2014年1月30日 星期四

IPv6 攻擊與防禦指引

IPv6 攻擊與防禦指引

每一年都會這樣說:IPv4 即將用盡網路位址,取而代之的是 IPv6,不過也沒有哪一年正式宣布用完了!

不過伴隨而來的是 IPv6的弱點將會成為攻擊者入侵網路的標的。

目前已經出現一些針對 IPv6 入侵與安全性的先期研究,包括遠端利用弱點進行攻擊、IPv6本身的弱點討論等。

本文嘗試提供 IPv6 攻擊與防禦的完整指引,包括 Ipv6 的偵查(Reconnaissance)、列舉(Enumeration)和掃瞄(Scanning)等技術。

此外,本文也以實例說明遠端攻擊IPv6弱點的方法,並提供簡要的防禦技術。

工具:IPv6 攻擊測試工具包
THC-IPV6是一套完整的工具包,可用來攻擊 IPV6 和 ICMP6 協定的弱點。
其內含了 IPV6 的主機存活掃瞄工具, IPV6 中間人攻擊工具, IPV6 DDoS工具等所組成。

新版本增加一些新工具模組:
1.detect_sniffer6 模組(在Windows,Linux,BSD,OS X 等平台)
2.fake_router26 模組– 提供了更多的控制選項
3.dnsrevenum6 模組 – 反向列舉 DNS
4.inverse_lookup6 模組 – 獲取 MAC 的 IPv6 地址
5.fake_solicitate6 模組

新增工具:flood_dhcps6 - DHCPv6 server fuzzer. Submitted by Brandon
新增工具:flood_redir6 - flooding with ICMPv6 redirects
新增工具:flood_rs6 - flooding with ICMPv6 Router Soliciations
新增工具:four2six - send an IPv4 packet via a 4to6 gateway
新增工具:dump_dhcp6 - show all DHCP6 servers and their config
新增工具:six2four.sh - send an IPv6 packet via a 6to4 gateway

原文出處:THC-IPV6 - attacking the IPV6 protocol suite
轉載自《網路攻防戰》

2014年1月27日 星期一

SQL Server 儲存設備 (Storage) 最佳調整作業

SQL Server 儲存設備 (Storage) 最佳調整作業


本篇主要參考Microsoft推出的一篇文章,內容主要介紹如何調整SQL Server資料庫的儲存設備(Storage),我目前發現在服務處理許多廠商的資料庫架構後,大家在儲存設備(Storage)的部份還是無法有效的設計,所以提供下列的文章再與大家分享。

1. 了解應用程式對資料庫I/O的影嚮,如應用程式的讀寫比率與需求量,此部份可以透過Microsoft 提供的效能監視器來進行監控統計,在觀察的物件上,可參考下列的物件進行分析。
A.  Average read bytes/sec, average write bytes/sec
B.  Reads/sec, writes/sec
C.  Disk read bytes/sec, disk write bytes/sec
D.  Average disk sec/read, average disk sec/write
E.   Average disk queue length

2.  利用多顆磁碟的方式,有效的改善效能。
A. 使用File Groups的方式可以讓Backup / Restore等作業時分散運作,進而降低運作時間。
B. 使用多個資料檔(Data Files)可以將資料分散在多顆磁碟上,透過分散處理的機制,改善效能。

3. 不要一味地調整並最佳化磁碟的設計,有時候簡單的設計會得到更好的效能與可靠度。
A. 除非你非常的了解應用程式,要不然不要太過於調整I/O效能。
B. 確認了解I/O的成長趨視,並重新平衡的將資料放置在磁碟上。

4. 在部署前確認儲存設備的狀態與相關設定。
A. 實際進行一些簡單的壓力測試,可以了解到I/O的效能,而Microsoft提供的SQLIO可以有效的模擬SQL Server實際的讀寫動作,該軟體可以透過下列網址下載。SQLIO Disk Subsystem Benchmark Tool.
B. 另外使用IOMETER也可以有效的進行模擬測試。

5. 永遠將交易記錄檔(Log Files)放置在RAID 1+ 0 or RAID 1的磁碟陣列上。
A. 可以得到最好的硬碟失敗保護和最好的寫入效能。
備註:在一般上RAID 1+ 0將提供最好的生產力給寫入密集的應用程式。大部份為了節省經費都會利用RAID 5來取代,但是RAID 1+0 將提供最好的寫入效能比其他的RAID等級。

6. 將交易記錄檔(Log Files)與資料檔(Data Files)放置在不同的實體磁碟上。
A. 當上述的條件是不可能時,考慮系統上I/O的特性和群組化相似的I/O特性,在其他的硬碟上。
B. 結合異質的工作負載會造成負面的效果在整體效能上,如Exchange 和 SQL 的資料檔(Data Files)在相同硬碟上。

7. 考慮進行TEMPDB的配置。
A. 確認移動TEMPDB 到合適和預定設定大小的硬碟空間上,在安裝SQL Server之後。
B. 如果將TEMPDB放置在RAID 1+ 0的磁碟上,可以獲得最佳的效能。
C. 對於TEMPDB,產生每一個CPU對應到1個 資料檔(Data Files)。

8. 連接資料檔(Data Files)分配的數量與CPU核心之間分配的關係
A. 建議上最好配置0.25到1個資料檔(Data Files)對於每一個CPU在主機上。
B. 在推薦上 TEMPDB 最好一個資料檔(Data Files)對應到一個CPU。
C. 雙核心的CPU可以當成是2個CPU。

9. 不要忽略SQL Server的基礎設定
A. 在分配多個資料檔(Data Files)後,每一個大小應該都是相同的。
B. 預先設定資料檔(Data Files) 和交易記錄檔(Log Files) 的大小。
C.  不要依賴自動成長的選項,最好透過手動成長的方式進行處理,但是為了安全可以保留此選項。

10.  不要忽略磁碟的基礎設定
A. 從硬碟廠商更新至最新的HBA Drives .
B. 可以從硬碟廠商的網站取得最新的HBA Drives
C. 根據你系統的情況調整HBA Driver的設定值。
D. 確認你的磁碟陣列的韌體是更新到最新與最佳的等級。
E. 使用多重通道的軟體來達到HBA與LUN的平衡負載。
F.  簡化配置和提出可用度的優勢
G. Microsoft Multipath I/O (MPIO): 微軟提供驅動程式開發工具可用來建立 Device Specific Modules (DSM)。

原文名稱:Storage Top 10 Best Practices
轉載自《CaryHsu - 學無止盡》

7個最佳實踐 SQL Server 執行在 Hyper-V 的方法

7個最佳實踐 SQL Server 執行在 Hyper-V 的方法


本篇文章主要由 SQL Server Magazine 的網站中轉貼過來,原始文章可以參考下列的原始網址。

作者對於Virtualize SQL Server的建置快速的成長並沒有很驚訝,尤其是Microsoft Hyper-V在虛擬化市場上的快速成長。Hyper-V是包含在Windows Server2008和Windwos Server 2008 R2之中,如何快速建置SQL Server在Hyper-V之上,下列將介紹7個實踐上最佳的實例給大家參考。

1、支援新的Second Level Address Translation的架構
由於目前Windows 2008支援 Second Level Address Translation (SLAT),所以可以有效的提升CPU與I/O等硬體整體的效能,讓SQL Server Database 運作的更加有效率,因為SLAT可以允許硬體將VM的記憶體對照到實體的記憶體上,而Inter稱為 Extended Page Tables-EPT, AMD稱為Rapid Virtualization Indexing-RVI. 基本上硬體上的對應會比軟體式的對應來的快,而且可以減少載入到Hypervisor中,並提供更好的可攜性。

SLAT補充:
支援處理器最新的第二階定址轉譯(Second Level Address Translation-SLAT)技術,從而提昇虛擬機器的效能;透過處理器核心暫停(Core Parking)的支援能力,讓運作中的虛擬機器得以耗用更少的電源。

2、更新至Windows Server 2008 R2 SP1
Windows Server 2008 R2 SP1提供許多對於VMs重要的改善,而且更重要的是支援Dynamic Memory。Dynamic Memory可以讓Hyper-V的主機上VM啟動時,自動的增加或減少記憶體的配置,這將可以提高可攜性和SQL Server執行在Hyper-V VMs上更多的效能提升。

3、使用多重路徑(Multi-Path) I/O
Multi-Path I/O (MPIO)是一個在Windows Server 2008和Windows Server 2008 R2上支援的新功能。他可以讓你建立多個不同的路徑在Hyper-V Hosts和SAN Storage之間。MPIO同時支援Fibre Channel和iSCSI Storage,能夠增加VM的可用性和改善SQL Server VMs的最大化 I/O 處理的效能。

4、安裝 Integration Services 在SQL Server VM之中
Hyper-V支援兩種的驅動程式,分別為模擬真實(Emulated)和虛擬(Synthetic),而虛擬的驅動程式的效能會比模擬真實的效能還要好。不過,如果你使用虛擬的驅動程式時,你必須安裝Integration Services元件,藉以提供OS與驅動程式之間的整合。

Integration Services說明:
http://trycatch.be/blogs/roggenk/archive/2008/10/23/hyper-v-integration-services-amp-virtual-services-consumers-vsc.aspx

PS:此處的Integration Services並非SQL Server中的SSIS,請不要誤會。

5、保留1GB的記憶體給Parent Partition(Hypervisor)
當你要進行環境的整合並將多個工作負載(機器)在同一台主機上,你必須最少保留1GB的記憶體給Windows Server去執行Parent Partition。這可以確認主機有足夠的記憶體空間執行不同VM,藉以減少頁面的置換,因為Partent Partition如有進行頁面置換時,將會造成VM的效能下降。

6、使用固定配置的VHDs在VM Storage
當你在建立一個VM時,你可以有兩個選擇建立Virtual Hard Disk(VHD),分別是Dynamic和Fixed。Dynamic VHDs適合在測式與開發的情境下,因為無法預估大約所需的空間,但是在效能上卻會比Fixed VHDs差。所以Fixed VHDs適合在正式或出貨的環境中而Pass-Through Disks是另一種選擇,藉以讓SQL Server獲得最大的效能,不過 Pass-Through Disks 不如VHDs來的彈性,但是他必須將Storage與VM單獨的綁在一起但只有提高比VHDs一點點的效能。

Pass-Through Disks說明:
Pass-Through Disk Access 其實這個不是VHD 的一種, 這能夠令Hyper-V 沒有VHD 下利用直接存取Physical Hard Disk工作, 而且沒有2040GB 限制. 但首先在disk managment 裡offline hard disk 才可以給Hyper-v 使用。

7、在OS、Database和Log Storage上,使用不同的 LUNs/VHDs
在一台實體的主機上,當你配置一個SQL Server在VM時,將OS與SQL Server放置在不同的VHDs上,可以改善效能,同樣的你也可以將Data File與Log File放置在不同的VHDs上。但前提是VHDs是放置不同的LUNs上透過不同的Disk,才會有效。

轉載自《CaryHsu - 學無止盡》

SQL Server - x86與x64的架構下 - 最佳記憶體設定

SQL Server - x86與x64的架構下 - 最佳記憶體設定

在SQL Server的版本中,有分為32位元與64位元,其中最大的差別就是記憶體的部份,但就我的觀察,大家也常常疏忽記憶體的設定規則,尤其是64位元的記憶體設定,所以造成系統效能不佳等情況,所以我整理了下列這一篇來跟大家說明如何進行32位元與64位元的記憶體設定。

1、鎖定記憶體分頁 (Lock Pages in Memory)
這個應該算是最多人疏忽的一部份,雖然在官方的文件說明可以不需設定,但由於如果啟動帳號的權限不足時,仍然可能造成無法取得更高的記憶體,就我遇到的情況是系統有32G,但是SQL Server只有吃到19G,可用記憶體還有10G左右,也沒有限制記憶體的使用量,但是SQL Server的記憶體就一直吃不上去,後來經確認主要是這個問題所造成,所以還是請大家千萬不要忘記。

設定方式:
在 [開始] 功能表上,按一下 [執行]。在 [開啟舊檔] 方塊中,輸入 gpedit.msc
此時會開啟 [群組原則] 對話方塊。
在 [群組原則] 主控台中,依序展開 [電腦設定] 和 [Windows 設定]。
展開 [安全性設定],然後展開 [本機原則]。
選取 [使用者權限指派] 資料夾。
這些原則會顯示在詳細資料窗格中。
在窗格中連按兩下 [鎖定記憶體分頁]。
在 [本機安全性原則設定] 對話方塊中按一下 [新增]。
在 [選擇使用者或群組] 對話方塊中加入一個具有執行 sqlservr.exe 權限的帳戶。
在命令提示字元下,執行 gpupdate /force 或登出您的帳戶再登入本機。
重新啟動SQL Server Service或主機。



2、AWE設定 (Address Windowing Extensions)
在32位元的架構設制下,記憶體最大只能對應到4G,而應用程式最多只能使用2G,雖然可以透過 /3GB 的參數,讓應用程式取得3G的記憶體,但對於資料庫軟體這種吃記憶體的應用程式說,這樣還是不夠的,尤其是當你的記憶體超過4G的時候,可以透過AWE的啟用,讓SQL Server取得更多的記憶體。

但是在64位元的情況下,由於沒有記憶體定址的問題,所以其實這個功能可以不需要啟用,但是如果啟用會不會有影響呢?其實也是不會,主是這個觀念還是要跟大家說清楚。

設定方式:
EXEC sys.sp_configure N'show advanced options', N'1'  RECONFIGURE WITH OVERRIDE
GO
EXEC sys.sp_configure N'awe enabled', N'1'
GO
RECONFIGURE WITH OVERRIDE
GO
EXEC sys.sp_configure N'show advanced options', N'0'  RECONFIGURE WITH OVERRIDE
GO




3、SQL Server可用記憶體限制設定
不管是那一種資料庫,基本上都是屬於非常吃記憶體的應用程式,所以如果你沒有設定可用的範圍值的時候,那會變成資料庫與作業系統一直持續不斷的調整記憶體的使用量,造成記憶體的使用不佳,但是應該設定多少才是合適的,大家可以參考下列的對應值進行,藉以保留最佳的記憶體。

設定方式:
EXEC sys.sp_configure N'show advanced options', N'1'  RECONFIGURE WITH OVERRIDE
GO
EXEC sys.sp_configure N'max server memory (MB)', N'3200'
GO
RECONFIGURE WITH OVERRIDE
GO
EXEC sys.sp_configure N'show advanced options', N'0'  RECONFIGURE WITH OVERRIDE
GO


實體記憶體
Max Server Memory
2GB
1500
4GB
3200
6GB
4800
8GB
6400
12GB
10000
16GB
13500
24GB
21500
32GB
29000
48GB
44000
64GB
60000
72GB
68000
96GB
92000
128GB
124000

轉載自《CaryHsu - 學無止盡》

2014年1月13日 星期一

警署要求國道記錄 律師:違反《個資法》

警署要求國道記錄 律師:違反《個資法》

內政部警政署要求交通部高公局及遠通電收提供所有上國道的車輛行車記錄,引發監控全民疑慮,律師葉奇鑫表示,警政單位可透過車籍資料和車牌號碼比對出車輛所有人是誰,這筆資料絕對是個資,警政署此舉絕對違反《個資法》,遠通電收拒絕提供是正確的。

葉奇鑫舉例,警察偵察犯罪,會發文給電信公司,要求提供特定嫌疑人的通聯紀錄;但警政署此次的要求形同還不知犯罪者是誰,就直接要求電信公司交出全台所有民眾的通聯紀錄,等於監控人民,絕對違反《個資法》。 他說,警政署只能在法律有明文規定,或涉重大公益時,才可如此要求,否則等於監控全民。


轉載自《蘋果日報》

2014年1月11日 星期六

安全研究人員:思科、Linksys與Netgear的無線路由器有後門

安全研究人員:思科、Linksys與Netgear的無線路由器有後門

Vanderbeken在無意間發現他的Linksys WAG200G路由器有後門,在網路上公布他的發現之後引起了其他軟體工程師的興趣,進而挖掘其他有同樣漏洞的路由器,包括Linksys、思科與Netgear等品牌的多款路由器都被證實具有同樣的後門,並進一步指出這些路由器都是由台灣的中磊電子(Sercomm)所製造。

一名法國的安全系統工程師Eloi Vanderbeken在無意間發現他的Linksys WAG200G路由器有後門,未經授權即可存取。在公布此事後,便有愈來愈多人回報其他品牌的路由器也有同樣的後門,包括思科與Netgear。

這個意外發現是源自於Vanderbeken在聖誕節時打算限制客人得以使用的頻寬,但他忘了路由器的帳號與密碼,於是進入了管理頁面,竟意外查到韌體中的TCP 32764網路傳輸埠正在等候差遣,並可接受13種訊息,其中有兩種不需密碼即允許進入配置設定,還可回復路由器的出廠預設值,這代表外人也可隨意存取該路由器。

Vanderbeken在軟體專案共享網站Github公布他的發現,引起了其他軟體工程師的興趣,而挖掘了其他有同樣漏洞的路由器,包括Linksys、思科(Cisco)與Netgear等品牌的多款路由器都被證實具有同樣的後門。

Net-Security.org報導指出,這些路由器都是由台灣的專門代工網通設備的中磊電子(Sercomm)所製造。其他由中磊代工的3Com、Aruba、Belkin與Watchguard等品牌的產品也被懷疑含有同樣的後門。

資安業者Sophos建議,若使用者發現自己的路由器受到影響,最好更新來自品牌業者的韌體,確定管理權限未被外部存取,並選擇更強大的密碼,若是具備技術背景的用戶,則可選擇OpenWRT或DD-WRT等開放源碼韌體。

轉載自《iThome》

Yahoo廣告暗藏危機 大量惡意程式被散播給網站訪客

Yahoo廣告暗藏危機 大量惡意程式被散播給網站訪客

荷蘭資安顧問公司Fox-IT的安全研究人員指出,惡意廣告透過Yahoo廣告網路,散播惡意程式給成千上萬的網站訪客,不過,Yahoo隨即便封鎖了該惡意攻擊。

Fox-IT貼文指出,凡在瀏覽器中看到該廣告的訪客,會被重導向到一個會下載「Magnitude」漏洞攻擊工具的惡意網站上。

「該漏洞攻擊工具主要利用Java的安全漏洞,並安裝大量不同的惡意軟體,」Fox-IT表示,包括ZeuS、Andromeda、 Dorkbot/Ngrbot、廣告點擊惡意程式、Tinba/Zusy及Necurs等惡意程式。該安全公司調查發現,感染的開始時間約在12月30日,但該公司認為惡意感染可能更早就已經開始了。

Yahoo證實了此次的感染事件,同時表示已進行了惡意程式的刪除作業。「在Yahoo,我們十分重視安全性與使用者的隱私權。我們最近發現,一起廣告被設計用來散播惡意程式至使用者身上的案例。對此,我們立即加以移除,同時會持續監控並封鎖任何用於這起惡意活動的任何廣告,」某發言人於週六透過電子郵件表示。

透過流量樣本,以及9%的典型感染率,Fox-IT表示,該惡意軟體每小時約感染2.7萬名用戶端。至於使用者受感染數最多的國家,則包括羅馬尼亞、英國與法國,Fox-IT指出。

原文出處:CSO
轉載自《網路資訊雜誌》

2014年1月8日 星期三

中興大學招生網站出現XSS漏洞

中興大學招生網站出現XSS漏洞

中興大學校方招生網頁上存在漏洞,有心人可利用該漏洞進行XSS攻擊,假造幾可亂真的招生網頁,騙取使用者個資生。目前校方已將該網頁關閉並進行修復。


國立中興大學招生網站存在XSS(Cross site scripting)漏洞,網友發現之後為興大碩士在職招生網頁加入動漫風的招生廣告在網路上流傳,目前興大已關閉整個招生網站以修復問題。但資安專家提醒,校方也應注意後續可能衍生的個資外洩問題。

上週五(1/3)筆名為「名無乚」的網友發現中興大學網站招生網頁中存在安全漏洞,只要更改該招生網頁網址部份參數,就能以iframe方式隨意將外部網站內容嵌入興大招生網站。「名無乚」除了向中興大學反映,同時也以動漫圖片製作偽造的招生網頁讓校方了解,不料該示範網頁在網路上傳開並引發討論,甚至有網友以為興大招生網站遭駭客入侵。

該「偽造」的招生網頁在網路流傳開之後,中興大學於1月4日上午在臉書上發出公告,提醒使用者注意網路上流傳假造的中興大學招生網頁,同時關閉招生網頁進行檢查。

中興大學發出新聞聲明表示,1月3日得到消息後,經調查並網站功能均正常,並未被駭客入侵,網管人員已對網站進行安全性的修正。

中興大學指出,該事件消息在1月3日得知,但因為1月4日為該校碩士在職專班報名最後截止日,為免影響報名者權益所以未關閉招生網頁以修復問題,先在臉書上公告提醒大家注意。校方網站未被入侵,為避免誤連假造網頁,提醒使用者不要輕易點入他人提供的招生學頁連結,可依學校網站進入招生頁面。

目前為止,今中興大學招生網頁仍未重新上線。至於何時修復再次對外開放?該校招生組回應,校方得知網路上出現冒牌網頁後,已馬上檢視招生網頁是否有漏洞,同時進行修補,將儘最大努力在最短時間內修復。

對於這起資安事件,資安專家表示,這是傳統網站設計上的瑕玼,為標準XSS的一種,網站似乎未經安全檢測便上線,明顯的語法機制進行轉址是危險且不嚴謹的做法,雖然對網站功能影響有限,但對上網填寫資料的使用者而言則有風險。在發現之前,若有使用者已被騙取個人資料,校方應思考如何處理,特別是個資法實施後,若使用者個資外流,校方也難辭其咎。

他表示,網頁設計常跟設計者本身習慣、管理機制是否完善有相當的關係,要避免這類問題只有從嚴諷檢查程序上著手,撰寫語法時也要多加注意。另外,上線的完整檢查制度可避免盲點產生,更重要的是撰寫與維護者的危機意識需要提昇,因為網頁不是只給你想接觸的人看,由於沒有限制誰能瀏覽網頁,思慮上必需相當周延才行。

轉載自《iThome》

遠通eTag網站被「真駭客」破解!伺服器密碼全部看光光

遠通eTag網站被「真駭客」破解!伺服器密碼全部看光光

當一個伺服器的密碼被駭客看光光,會發生什麼事?恐怕不難想像。1月7日下午1時左右,有人發現遠通電收的「FETC官網」被駭客破解,只要用簡單又直覺的指令就可以將伺服器重要的機密檔案看光光。日前遠通電收系統也曾停擺一整天,最後遠通才表示「被駭客入侵」,被許多民眾懷疑;而這一次,可以肯定真的是駭客入侵,有心人士甚至可以輕易的讓伺服器完全停擺。

▲遠通電收這次真的被駭客攻擊了。(圖/翻攝自遠通電收)

「一般來說, server上的檔案(尤其是牽涉到權限的檔案)都是敏感資料,所以不能讓人隨便存取,就算是提供服務的server也會檢查使用者傳進來的要求是否有不應該執行的指令;但是遠通這網站只要用&path=../../../../......./etc/passwd這種簡單且直覺的指令就可以看到這麼重要的passwd檔,很明顯完全沒有任何防護阿。」有匿名的民眾解釋,在這種系統底下,要讓伺服器癱瘓輕而易舉。

記者詢問系統工程師,得知這其實是Linux系統上的群組以及User檔,遠通電收的網站被如此破解,意味著「使用者的權限被看光光;簡單來講,是個天大的漏洞,程式人員太懶了。而且這好像還不是全部的檔案,或許還有更多沒被放上來的都被破解了。」

▲駭客把這些數據資料都放到Pastebin上任人觀看。(圖/翻攝自Pastebin)

不過,雖然遠通電收的系統被駭客抓出「漏洞百出」,民眾還是不要嘗試入侵遠通電收相關系統;一旦被追出來,肯定會吃上官司,切勿以身試法。

延伸閱讀:
ETC網站傳漏洞 遠通電收否認
遠通電收ETC 網站有漏洞,檔案任你讀?
遠通電收網站被駭,主機管理資訊在網路被公開
年撈20億資安卻是幼幼級 遠通出包哭哭:我被駭82億次

轉載自《三立新聞網》

2014年1月3日 星期五

企業人資管理如何因應個人資料保護法的實施

企業人資管理如何因應個人資料保護法的實施

個資法實施後,許多公民營企業在日常管理上發生管理過當或認知不正確的案例,如:學校將表現優異學生全名隱藏後公告;企業內活動所需,人資部門不願提供其他部門員工名單;勞檢所進行勞檢業務時,公司以個資法規定為由,拒絕提供員工相關資料等事件。個資法實施後,企業人資單位要考量的議題是我們蒐集的個人資料有哪些?是否有必要蒐集?是否有安全儲存與管理?內外部如何運用?以及日後該如何建立調整管理機制?以下就人資管理作業的觀點與範疇來解析正確的因應對策。

1. 個資法實施後,是否應該要求員工一律簽署個人資料同意書?

員工個人資料的蒐集,非公務機關依第19條在有契約關係的情形下,在人資管理的特定目的下,並不需要與員工簽署「書面」的個人資料同意書。而員工資料後續的利用行為,非公務機關依第20條於蒐集之特定目的必要範圍內為之,即屬合法利用,應該沒有讓員工簽署「書面」的個人資料同意書的必要性。

第8條的法定告知義務,依施行細則第16條規定,「得以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉之方式為之。」亦未要求須以書面告知,故由條文的解析觀察,就一般企業員工的個人資料蒐集、利用的行為,不另行簽署個人資料蒐集、處理、利用的同意書,並不會使企業陷於違反個資法的困境。但假設企業超出人資管理目的範圍的利用,考量到以書面取得員工有關特定目的外利用同意,可以避免法律條文解釋疑義的風險,且減少對外提供員工個人資料須逐次徵詢員工同意的執行成本,確實可以在考量企業對於員工個人資料對外利用的需求之後,請員工簽署個人資料同意書,或在勞動、聘僱契約中以獨立的區塊載明要求員工簽名同意。

2. 企業內部使用員工個人資料:假設總務部門負責辦理公司成立三十周年慶祝活動,需要人資部門提供員工個人資料時,人資部門能否提供予總務部門作為內部使用?

企業對員工個人資料的利用,應於蒐集的特定目的,如人資行政管理作業之必要範圍內為之。而此一利用包括企業內部使用在內。因此,企業人資單位因其他部門需求,提供相關部門同事個人資料的行為,應無違反個資法的規定。

3. 員工個人資料做為行銷商業利用:若企業對保有的員工個人資料,從事人資行政管理特定目的外的利用,例如將員工個人資料提供公司業務單位或外部行銷公司做為非人資管理目的之商業利用,是否須先取得當事人的書面同意?

個資法第7條第2項規定:「第20條第1項第5款所稱書面同意,指當事人經蒐集者明確告知特定目的外之其他利用目的、範圍及同意與否對其權益之影響後,單獨所為之書面意思表示。」所謂單獨所為之書面意思表示,是指蒐集者就蒐集的個人資料為特定目的外之利用,依法須經當事人書面同意始得為之,如與其他意思表示於同一書面為之者,應於適當位置單獨使當事人得以知悉其內容後並確認同意,不得以概括同意的方式為之。

施行細則第27條規定:「本法修正施行前已蒐集或處理由當事人提供之個人資料,於修正施行後,得依本法有關個人資料保護之規定,繼續為處理及特定目的內之利用。其為特定目的外之利用者,應依本法修正施行後之規定為之。」亦即企業不能便宜行事於定型化勞動契約內為此一約定,而須另立書面為之,始符合新個資法的規定。

4. 企業為勞工辦理體格及健康檢查可否保存勞工檢查結果報告?

適用勞工安全衛生法的企業,依照該法第12條規定,勞工體格或健康檢查是法律強制規定雇主須為勞工辦理的項目,且雇主應負擔健康檢查費用,並須將檢查結果發給受檢勞工。企業基於對作業場所安全衛生管理所必要,為保存及管理所屬勞工依照「勞工健康保護規則」所定檢查項目的結果,法定保留時間為10年,在不危害勞工隱私權的情形下,蒐集應是符合個資法第6條第1款的規定。

但若企業另行給與受檢勞工超出「勞工健康保護規則」所定檢查項目的其他檢查結果,則應有勞工的書面同意文件,始得合法蒐集。至於不適用勞工安全衛生法的企業,基於對員工的福利照顧,若欲保存及管理受檢員工的健康檢查結果,則應事先取得員工的書面同意文件,始能合法蒐集。企業為了達成上述目的,可思考將該同意內容置入勞動契約或其他書面,以為約定。

5. 企業內部員工通訊錄的管理原則

筆者過去任職公司就曾發生員工間因個人私怨,透過內部員工通訊資料的取得,得知對方居家住址與電話,進而挾怨報復,引發洩漏員工個資的爭議。因此個資法實施後,建議企業內部員工通訊錄應該注意以下重點:

(1)通訊錄欄位應與企業職務有必要的連結性,有勞動契約關係之證明,得認為有職務上的必要。

(2)通訊錄之一般欄位僅包含公務郵件、公務信箱、公務電話、分機號碼、英文名字、部門及職稱等資料,員工私人住址、身高、體重、私人郵件及私人電話則避免分享。

(3)通訊錄中增加個人資料權益保護提醒,並定期執行通訊錄更新。

(4)公司內部聯絡資訊查詢系統必須建置帳號管理機制,如有公告應該要保留紀錄。

(5)職工福利委員會在組織上並非企業內部單位,相關會務運作使用時,建議由會員自行提供個人資料。

6. 勞工檢查處在進行勞檢業務時,若請求企業提供員工的個人資料、考勤狀況及薪資明細時,企業能否提供予勞工檢查員?

勞檢員依照勞動檢查法的規定請求提供企業員工個資,企業據此提供員工的個人資料,應是符合新個資法第20條第1款「法律明文規定」之例外規定,得為特定目的外之利用,不須取得員工之書面同意即得為之。

7. 員工離職時要求企業人資單位刪除保有與該員工有關的個人資料,請問企業是否須配合予以刪除?

個資法第2條第4款所稱刪除,指使已儲存的個人資料自個人資料檔案(包括備份檔案及軌跡資料)中消失。如為事後查核、比對或證明之需要而留存「軌跡資料」者,得不予刪除。所謂「軌跡資料」是指個人資料在蒐集、處理、利用過程中所產生非屬於原蒐集個資本體之衍生資訊,包括但不限於資料存取人之代號、存取時間、使用設備代號、網路位址(IP)、經過之網路路徑等,可用於比對、查證資料存取之適當性。

個資法第11條第3項規定:「個人資料蒐集之特定目的消失或法定保存期限屆滿時,應主動或依當事人的請求,刪除、停止處理或利用該個人資料。但因執行職務或業務所必須或經當事人書面同意者,不在此限。」因此,該名離職員工所提刪除該個人資料的權利主張,企業人資須檢視個人資料蒐集的法定保存期限是否已經屆滿?是否有其他法律上的依據可以優先主張?

勞動基準法、勞工保險條例、勞工退休金條例、勞工安全衛生法與勞工健康保護規則中,均有規定保存員工個資的法定年限。在法定保存期限尚未屆滿前,該名離職員工請求企業刪除屬於上述範圍內個人資料的行為,企業當可依據前述法律規定予以婉拒。若企業對於現職或離職員工個人資料已屆法定保存期限,有繼續保存該資料的需要,可思考於勞動、聘僱契約內,增列與當事人個人資料留存期限的約定。

8. 個資法新增一項蒐集個人資料前,原則上須盡到對當事人的「告知義務」,企業人資於蒐集求職者個人資料時,是否須做到此項告知義務?

新個資法第8條規定:「非公務機關依第19條規定向當事人蒐集個人資料時,應明確告知當事人下列事項:
一、非公務機關名稱。
二、蒐集之目的。
三、個人資料之類別。
四、個人資料利用之期間、地區、對象及方式。
五、當事人依第三條規定得行使之權利及方式。
六、當事人得自由選擇提供個人資料時,不提供將對其權益之影響。

但有下列情形之一者,得免為前項之告知:
一、依法律規定得免告知。
二、個人資料之蒐集係非公務機關履行法定義務所必要。
三、告知將妨害公務機關執行法定職務。
四、告知將妨害第三人之重大利益。
五、當事人明知應告知之內容。

依照免為告知事項第5款「當事人明知應告知之內容」,企業得免為告知。求職者應徵企業職缺,無論是經由企業官網徵才入口、參加校園或軍中就業博覽會徵才,或是經由人力銀行主動應徵,求職者應該不可能不知資料被蒐集之目的及用途。如當事人已明知應告知的內容,企業即無必要再重複告知。但若企業願意依照上述規定主動告知求職者應告知的內容,對企業雇主品牌形象而言,應該具有正面加分效果。

9. 企業該如何自行盤點個資法的適法狀況?

一般中小企業很難像大型企業擁有健全的資訊系統與資源,建構完全符合法令的流程、資訊系統與機制,建議人資部門可以先就企業內各部門所掌握的個資進行盤點,並加強個資的管理,依照個資洩漏的風險程度,逐步建構完善的管理系統。盤點的項目包含個人資料檔案名稱、資料來源、使用及保存目的、是否有個人資料相關同意文件、個人資料類型、個資處理方式、直接取得或間接取得,若屬間接取得,是否與直接取得資料混同、是否提供予第三人、檔案管理人員、檔案保存方式、得接觸檔案人員、是否可刪除或停止利用、是否採取適當安全措施、其他與個人資料相關事項等項目。

結語
個資法的規範內容相當完備與先進,完全尊重每位國民對個人基本資料的主導權,但要讓全體國民及企業均完全遵守相關規定,確實尚需一段調適時間。對企業而言,必須透過嚴謹的管控機制與態度,才能逐步建構良善的管理環境,降低企業在個人資料管理上的企業風險。

作者:鍾文雄/怡東集團人資長暨松誼企管執行副總經理
轉載自《經濟部工業局》

2014年1月2日 星期四

落漆!國道計程今正式收費 遠通昨遭駭客入侵

落漆!國道計程今正式收費 遠通昨遭駭客入侵

國道計程  員警憂勤務加重 國道採計程收費,造橋收費站旁便道30日起禁止通行。國道員警和救援隊私下抱怨,不但執勤油料成本增加,也耽誤到場處理車禍的時機。中央社記者管瑞平攝                102年12月31日

國道計程收費在去年12月30日上路,今(2)天起將正式收費,但卻傳出遠通電收主機遭駭,昨天有民眾想儲值或安裝eTag都無法,停擺超過半天,引發民怨。

國道計程收費在去年12月30日上路,前三天免費體驗期結束後,從今天起,國道計程費率未來將採三段式收費,橫向國道暫不收費,縱向國道每車每天免費里程20公里,200公里內,每公里費率1.2元,200公里以上,每公里0.9元。

遠通電收日前表示,ETC用戶數截至去年12月28日已經超過570萬人,利用率近90%,以經常走國道的用路人約有六百萬,目前只約30萬人尚未申辦第一只eTag。

昨天有不少民眾想在正式收費前申辦eTag,但遠通計次收費系統轉換成計程收費系統時,頻出現中斷或停擺。甚至連要在超商儲值也都沒有辦法;據報導,遠通電收昨深夜表示,因主機一直接獲大量異常搜尋,至晚間確認是駭客攻擊,深夜已向北市內湖警分局報案。消基會則批評遠通電收的應變能力有問題。

轉載自《NOWnews生活中心》

瘋啥:Snapchat破功 460萬個資遭駭

瘋啥:Snapchat破功 460萬個資遭駭

Snapchat被不明人士駭入,收集460萬筆用戶資料,放上網供人下載。(圖擷取自SnapchatDB!)
圖擷取自SnapchatDB!

智慧手機通訊App「Snapchat」出現安全大漏洞,遭人收集460萬筆用戶的帳號、電話號碼與所在區域,並做成資料庫檔案丟上SnapchatDB.info網站,供人下載。

創辦人也中招

Snapchat已修補漏洞,但這款標榜保密性很高,傳送訊息「閱後即毀」的通訊軟體,居然連創辦人電話號碼也被駭客貼出來,顯得顏面無光。

轉載自《蘋果日報、自由時報》