什麼是敏感資訊？

什麼是敏感資訊？

敏感資訊(sensitive information)涵蓋範圍廣泛，但其共通點在於，一旦資料外洩 (Data Breach)，將對個人或組織造成風險。敏感資訊的類型包括：

• 業務相關資料—會計資訊、財務、規劃與商業機密
• 政府資料—機密、受限、秘密與最高機密資訊
• 個人資料—電子郵件地址、電話號碼、實際地址與病歷
• 交易資料—銀行帳戶資訊、信用卡號碼與身份證號碼

大多數敏感資訊受到由各國政府與組織制定並執行的國內與國際法律與規章的多重保護。這些保護措施要求敏感資訊必須防範未經授權的存取。

無論敏感資訊是以實體或數位格式存在，都必須在靜態（即儲存時）與動態（即透過實體路徑如郵件，或數位路徑如電子郵件或應用程式間傳輸時）加以保護。

以下是有關於幾種不同類別敏感資訊的詳細資訊。

個人資訊

個人訊息，通常稱為個人可識別資訊 (personally identifiable information, PII)，是敏感資訊中的重要類別，能夠直接追溯到特定個人。一旦洩漏，可能對當事人造成傷害。由於此類敏感資訊能夠區分不同個人，因此可用於對匿名資料進行去除可識別資料處理。

值得注意的是，單一的個人資料本身並不構成敏感資訊。然而，當多項個人資料被串聯起來時，其整體可能構成 PII。因此，建議各組織對個人資料與敏感資訊採取相同的保護措施，以避免違規罰則及其他負面影響。

屬於個人資訊範疇的敏感資訊類型範例包括：

• 外國人註冊號碼
• 生物特徵資料（例如指紋、聲紋、視網膜或虹膜影像，或其他獨特的身體測量資料）
• 犯罪記錄
• 出生日期
• 駕駛執照號碼
• 基因資料
• 網際網路協定 (IP) 位址
• 位置資訊
• 家族姓氏等
• 姓名
• 非駕駛人身分證號碼
• 護照號碼
• 電話號碼
• 照片
• 出生地
• 政治立場或觀點
• 種族或民族血統
• 宗教或哲學信仰
• 性傾向
• 健保卡號碼
• 工會成員資格
• 退伍軍人和殘疾人士資料

業務和客戶資訊

敏感的商業資訊指的是任何一旦外洩就可能對組織造成風險的資訊。可被視為敏感資訊的商業與客戶資料範例包括：

• 銀行帳戶資訊
• 持卡人資料
• 消費者報告中的法院記錄
• 信用卡或金融卡購買
• 信用評分
• 客戶資料
• (美國)聯邦稅務識別號碼
• 財務資料
• 智慧財產資料
• 庫存資訊
• 行銷計畫
• 營運資訊
• 支付卡訊息
• 待執行的公司行動或計畫，例如首次公開募股 (IPO)、合併、收購或股票分割
• 銷售資料
• 供應商資訊
• 商業機密
• 未公佈的獲利報告

政府機密資訊

機密資訊是指根據敏感程度而限制存取的政府資料，通常分為最高機密、機密與保密。

最高機密 此類政府敏感資訊是指涉及國家安全、且需最高等級保護的資料。要被歸類為此等級的敏感資訊，必須符合極高的認定標準。

根據《聯邦法規》，如果此類資訊遭未經授權存取，可以合理預期其結果將是對國家安全造成「極其嚴重的損害」。

《聯邦法規》列出的「極其嚴重的損害」範例包括：

• 對美國或其盟友的武裝敵對行動
• 對國家安全造成重大影響的外交關係中斷
• 重要國防計畫的洩漏 / 受損
• 敏感情報行動的揭露
• 揭露對國家安全至關重要的科學發展

機密
根據《聯邦法規》，第二高等級的政府資訊分類適用於需要「高度保護」的敏感資訊，因為若遭未經授權存取，合理預期將對國家安全造成「嚴重損害」。

《聯邦法規》中所舉的「嚴重損害」的範例包括：

• 對國家安全造成重大影響的外交關係破壞
• 對與國家安全直接相關的計畫或政策造成重大損害
• 揭露重大軍事計畫或情報行動
• 與國家安全相關的重要科學或技術發展遭到洩漏

保密
被列為保密等級的政府資訊，在未經授權存取的情況下，合理預期可能對國家安全造成「損害」。此類資訊需要受到保護，但其保護程度不如機密與最高機密等級。

保密資訊的範例包括：

• 洩漏顯示美國及海外地區陸、海、空軍實力的資訊遭到洩漏
• 包含對敵方具有價值資訊的作戰與戰鬥報告
• 情報報告
• 包含用於訓練、維護與檢查機密戰爭彈藥之技術資訊的文件與手冊
• 戰爭彈藥的研究、開發、生產與採購
• 戰爭彈藥的效能特點、測試資料、設計與生產資料
• 動員計畫
• 揭示用於指涉機密資訊之代號或符號含義的文件
• 與特殊調查、審查或人員指派相關的文件，這些人員將知悉或接觸機密資訊
• 有關特殊運輸容器的特性、運輸路線及機密物資運送時程的詳細資訊

受保護的健康資訊 (Protected Health Information, PHI) 或電子保護的健康資訊 (Electronically Protected Health Information, ePHI)

PHI 或 ePHI 是受美國健康保險流通與責任法案 (HIPAA) 規範的敏感資訊。它包括任何可識別個人身分的醫療資訊，或在提供醫療服務過程中所建立、使用或揭露的資料。這些資訊涵蓋個人的醫療、身體或心理健康狀況，並以實體或數位形式記錄與儲存。

PHI 與 ePHI 的範例包括：

• 預約
• 裝置識別碼與序號
• 健康記錄
• 提供的醫療保健服務
• 實驗室或測試結果
• 醫療記錄
• 醫療帳單
• 病人表格
• 處方
• 醫療提供者或病人的通訊記錄

教育記錄

教育資訊與記錄被視為敏感資訊，其潛在雇主、公立教育機構和外國政府存取的行為皆受到嚴格管制。

教育記錄的範例包括：

• 學術專業領域與學術活動
• 諮詢記錄
• 授予的獎項
• 修讀的課程
• 出生日期與地點
• 獲得的學位
• 紀律處分記錄
• 出勤證明文件
• 獲得的教育服務
• 父母和/或監護人的緊急聯絡資訊
• 成績和/或平均成績
• 學校所建立、收集並保存的醫療與健康記錄
• 學生註冊的課程單元數
• 有關學生在校狀況的正式信函
• 父母和/或監護人的地址
• 日程
• 就讀學校
• 特殊教育記錄
• 學生信箱
• 學生識別碼
• 考試成績

敏感資訊與個人資訊

敏感資訊的法律規章

以下是幾項涉提及敏感資訊並要求加以保護的法律與規章。

國家法律

美國 (U.S.)

• 兒童網路隱私保護法 (COPPA)
• 家庭教育權利與隱私法案 (FERPA)
• 金融服務業現代化法 (GLBA)
• 健康保險流通與責任法案 (HIPAA)
• 1974 年隱私法

國際

• 澳洲聯邦隱私權法
• 澳洲隱私法與敏感資訊
• 巴西的 Lei Geral de Proteçao de Dados (LGPD)
• 加拿大個人資訊保護與電子文件法案 (PIPEDA)
• 智利的第 19628 號私人生活保護法
• 中國資料保護法，即個人資訊保護法 (PIPL)
• 埃及個人資料保護法 (PDPL)
• 歐盟一般資料保護規範 (GDPR)
• 日本個人資訊保護法
• 奈及利亞資料保護條例 (NDPR)
• 泰國個人資料保護法 (PDPA)
• 英國資料保護法

管理敏感資訊的美國州法律

• 加州隱私權法案 (CPRA)，加州消費者隱私權保護法 (CCPA) 的修正案
• 科羅拉多州隱私法案 (CPA)
• 康乃狄克州個人資料隱私權與線上監控法案
• 印第安納州消費者資料保護法案
• 愛荷華州消費者資料保護法案 (ICDPA)
• 馬里蘭州線上消費者保護法案
• 麻薩諸塞州資料隱私權法
• 蒙大拿州消費者資料隱私權法案
• 紐約州隱私權法
• 紐約州 SHIELD 法案（制止駭客攻擊與改善電子資料安全法案）
• 俄勒岡州消費者隱私權法案 (OCPA)
• 田納西州資訊保護法案
• 德州資料隱私權和安全法案 (TDPSA)
• 猶他州消費者隱私法案 (UCPA)
• 維吉尼亞州消費者資料保護法案

法律與規章中所涵蓋的主要敏感資訊類別

以下是美國各項法律規章中規定敏感資訊處理方面的具體項目。

生物識別

• 允許消費者選擇不出售生物識別資訊
• 制定有關生物識別資訊收集或保存的書面政策
• 實施特定類型的生物識別（例如指紋、臉部、聲音、虹膜與手掌）

兒童的線上隱私權

• 禁止為行銷目的蒐集未成年使用者的資訊
• 要求網站、線上服務或應用程式的運營商刪除已蒐集的未成年人個人資訊

連線裝置（例如喇叭、手機、攝影機與影像監控設備）
應當禁止在未經個人同意的情況下，對其所擷取的資料進行以下行為：

• 收集
• 儲存
• 使用

消費者權利
提供與其敏感資訊和個人資料相關的具體消費者權利，例如：

• 存取—查看任何已儲存關於他們的資訊
• 刪除—請求刪除有關他們的任何資訊
• 更正—要求更新不準確的資訊

地點隱私權

• 禁止在未經同意的情況下轉讓或出售消費者的地理位置或全球定位系統 (GPS) 資料

網站隱私權

• 要求經營商業網站或線上服務的營運者，在蒐集個人可識別資訊時，須告知客戶其個人資訊分享的相關實務
• 分享網路瀏覽器資訊前需徵得同意

透過隱私納入設計(PbD)來保障敏感資料安全

敏感資訊的保護對企業至關重要。越來越多的組織採用隱私納入設計(PbD , Privacy by Design)方法來保護敏感資訊。這種安全方法將隱私融入所有原則、系統和裝置的實施與部署中。

隱私納入設計透過七項核心原則，幫助組織確保敏感資訊的保護：

1. 主動而非被動；預防而非補救
2. 隱私做為預設設定
3. 將隱私嵌入設計中
4. 功能完整—正和而非零和
5. 端對端安全性—完整生命週期保護
6. 可視性與透明度—保持開放
7. 尊重使用者隱私—以使用者為中心

無論採用何種方法，組織都必須保護敏感資訊，以遵守多項法規和法律，並滿足對敏感資料保護的期待。