以ISO27001為基礎探討個資法對電信業者的影響-以F公司為例

以作者查詢圖書館館藏

、以作者查詢臺灣博碩士

、以作者查詢全國書目

、勘誤回報

、線上人數：87

、訪客IP：18.118.1.158

姓名

余昌霖(YU CHANG LIN) 查詢紙本館藏

畢業系所

資訊管理學系在職專班

論文名稱

以ISO27001為基礎探討個資法對電信業者的影響-以F公司為例
(Based on the ISO 27001: To Explore the Influence of Personal Information Protection Act toward Telecommunications)

相關論文

★ 技術商品銷售之技術人員關鍵職能探討	★ 資訊委外之承包商能力、信任及溝通與委外成效關係之個案研究
★ 兵工技術軍官職能需求分析-以某軍事工廠為例	★ 不同楷模學習模式對VB程式語言學習之影響
★ 影響採購「網路資料中心產品」因素之探討	★ 資訊人員績效評估之研究—以陸軍某資訊單位為例
★ 高職資料處理科學生網路成癮相關因素及其影響之探討	★ 資訊服務委外對資訊部門及人員之衝擊-某大型外商公司之個案研究
★ 二次導入ERP系統之研究-以某個案公司為例	★ 資料倉儲於證券產業應用之個案研究
★ 影響消費者採用創新數位產品之因素---以整合式手機為例	★ 企業合併下資訊系統整合過程之個案研究
★ 資料倉儲系統建置之個案研究	★ 電子表單系統導入之探討 - 以 A 公司為例
★ 企業資訊安全機制導入與評估–以H公司為例	★ 從人力網站探討國內資訊人力現況–以104銀行資料為例

檔案

[Endnote RIS 格式]

[Bibtex 格式]

[相關文章]

[文章引用]

[完整記錄]

[館藏目錄]

至系統瀏覽論文 ( 永不開放)

摘要(中)

鑑於電信業者擁有通訊、網路等資源，留存大量的用戶資料，常為不法人士覬覦的目標，致使公司業務機密及用戶資料外洩事件頻傳，造成社會信用危機。本研究以個案電信公司作為研究對象，探討在ISO 27001資訊安全管理系統 (Information Security Management System, ISMS) 架構下，個案公司對於客戶個人資料保護的具體做法，以及該架構是否能符合個資法的資料保護措施。此外，本研究另以ISO 27001資訊安全管理標準下11大控制領域、39個控制目標、133項控制措施及ISO 27011增列檢查項目，與個人資料保護法找出兩者的相關聯性，並進行資料歸納整理及分析。

研究結果發現，電信業運用現有的ISMS架構去規劃以下作業流程，包含：個人隱私衝擊分析、個人資料定義與辨識、個人資料價值之判定標準、個人資料生命循環週期控管等，確實能補強個案公司在個資安全上的管控。另外，對電信業者而言，在ISO 27001共有6個控制領域、24項控制措施與個資法有相關聯性，分別為「遵循性」、「人力資源安全」各2項；「資產管理」、「存取控制」各3項；「資訊安全事故管理」5項；以及「通訊與作業管理」9項。因此，電信業者在針對個資法規劃防護時，可對這些相關聯性的控制措施投入較多資源並加強管控。
除此之外，研究發現個案公司通過ISO 27001認證，只需檢視目前ISMS下的架構，再針對個資保護控管仍不足的地方，建立屬於本身的個人資料作業流程並嚴格遵循，就不需重新導入新的認證機制。

摘要(英)

Some illegal persons cast greedy eyes on the telecommunication companies because of its communication, Internet and a large amount of users’ data. Therefore, the company’s business secrets and users’ data are frequently leaked and crisis of social credit are occurred. The study aims to study the telecommunications to explore the F Telecom’s concrete measures to protect the consumers’ data under the structure of ISO 27001 Information Security Management Systems (ISMS). Besides, ISO 27001 contain 11 control domains, 39 control objectives, 133 controls and the inspection items of ISO 27011. The research seeks to find out the relevance between ISO 27001 and Personal Information Protection Act (PIPA), then collate and analyze the data.
The study shows that telecom use the existing ISMS structure to arrange the following processes, including Privacy Impact Assessment (PIA), definition and identification of personal data, the value criteria of personal data and the life cycle of personal data. It definitely can reinforce the security and control for the case company. In addition, for telecommunication companies, six domains and twenty-four measures are correlative with PIPA in ISO27001. There are two items for each compliance and human resources security; there are three for each asset management and access control; there are five items for Information security incident management, and there are nine items for communications and operations management. Hence, the telecom companies can invest more resources on the control measures when they plan to protect the PIPA.
Besides, the research finds that the case company passes the ISO 27001 certification. They need to review the existing ISMS structure and build their operation procedures to make up its insufficient parts. They do not need to use the new authentication mechanism.

關鍵字(中)

★ 個人資料保護法
★ ISO 27001
★ ISO 27011

關鍵字(英)

★ Personal Information Protection Act
★ ISO 27001
★ ISO 27011

論文目次

摘要 i
Abstract ii
誌謝 iii
目錄 iv
圖目錄 v
表目錄 vii
第一章緒論 1
1.1 研究背景 1
1.2 研究動機 2
1.3 研究目的 3
1.4 論文架構 3
第二章文獻探討 6
2.1 資訊安全 6
2.2 資通安全管理標準 16
2.3 ISO 27001與個資法相關聯性比較 22
第三章研究方法 25
3.1 研究方法的選擇 25
3.2 研究對象 27
3.3 研究工具 29
第四章個案分析 30
4.1 個案公司簡介 30
4.2 個案分析 32
4.3 個案公司ISO 27001控制標準下個人資料管理之措施 36
4.4 個案公司實施IS27001與個資法相關聯性探討 47
4.5 個案分析小結 57
第五章結論 59
5.1 研究結論 59
5.2 對管理之建議 60
5.3 研究限制及未來研究方向 61
參考文獻 62
附錄一 ISO 27001內容一覽表 65
附錄二 ISO 27011增項稽核表 68
附錄三企業安全組織工作權責說明表 73
附錄四風險評鑑報告 75
附錄五訪談內容逐字稿 78

參考文獻

【中文文獻】
1.林茹玉 (2011)，「個資安全防護實作建議」，資訊安全通訊，17(3)，37-51。
2.徐弘昌 (2009)，「以ISO 27001為基礎評估電信業資訊安全管理－以第一類電信業者為例」，國立交通大學管理學院碩士在職專班管理科學組碩士論文。
3.張碩毅、黃迺康、陳央庭、蘇仲杰 (2012)，「企業個人資料保護管理機制之建構與實證」，電腦稽核，25，91-113。
4.張慶勳 (2011)，論文寫作軟實力－悠遊在研究寫作天地中。臺北市：五南圖書出版股份有限公司。
5.陳向明 (2002)，社會科學質的研究。臺北市：五南圖書出版股份有限公司。
6.陳思穎 (2010)，「個人資料保護法基本觀念介紹及因應規劃」。
7.陳盈成 (2012)，「外商銀行業資訊安全管理之研究－以A銀行為例」，淡江大學資訊管理學系碩士在職專班碩士論文。
8.黃小玲 (2011)，「個資法與國際隱私管理標準、規範之分析與應用」，資訊安全通訊，17(3)，22-36。
9.黃小玲 (2012)，「個資法及ISO 27001相通性與操作概述」，行政院國家資通安全會報技術服務中心。
10.黃廷弘 (2011)，「ISMS 國際資安標準於電信業的應用」，ISMS國際資安標準之應用及資通安全威脅與管理研討會。
11.經濟部標準檢驗局 (2006)，「CNS 27001資訊技術－安全技術－資訊安全管理系統－要求事項」。
12.樊國楨、黃健誠、廖菊芳 (2011)，「個人資料保護與資訊安全管理探微」，電腦稽核，23，1-15。
13.穆震宇 (2012)，「客戶資料外洩，新個資法2億伺候」，現代保險健康理財雜誌263期。
【英文文獻】
1.ISO/IEC. (2005), ISO/IEC 27001 Information Technology – Security Techniques – Information Security Management Systems – Requirements.
2.ISO/IEC. (2007), ISO/IEC 27002:2007 Information technology – Security Techniques – Code of practice.
3.Yin, R. K. (2009), Case study research: Design and methods (4th ed.). Thousand Oaks, CA: Sage.
【網路文獻】
1.APEC. (2013), “apec privacy framework”, accessed 2013/03/18, available at: http://www.apec.org/Groups/Committee-on-Trade-and-Investment/~/media/Files/Groups/ECSG/05_ecsg_privacyframewk.ashx
2.BSI. (2013), “Data protection. Specification for a personal information management system”. accessed 2013/03/18, available at: http://shop.bsigroup.com/en/ProductDetail/?pid=000000000030175849
3.ISO. (2012), “ISO/IEC 27001:2005”. accessed 2012/12/18, available at: http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=42103
4.OECD. (2013), “OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data”. accessed 2013/03/18, available at: Web:http://www.oecd.org/internet/ieconomy/oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonaldata.htm
5.Symantec. (July - September 2010), “Symantec Intelligence Quarterly”. accessed 2012/11/05, available at: http://www.symantec.com/content/en/us/enterprise/white_papers/b-symc_intelligence_qtrly_july_to_sept_WP_21157366.en-us.pdf
6.Symantec. (2012), “Threat Activity Trends”. accessed 2013/11/04, available at: Web:http://www.symantec.com/threatreport/topic.jsp?id=threat_activity_trends&aid=malicious_activity_by_source
7.NCC (2012)，「電信事業資通安全管理作業要點」。台北市：國家通訊傳播委員會。2012年12月19日，取自： http://www.ncc.gov.tw/chinese/show_file.aspx?table_name=law&file_sn=2622
8.內政部警政署165 (2013)，165專線工作成效。台北市：內政部警政署。2013年05月20日，取自：http://www.165.gov.tw/work_stat.aspx
9.台灣個人資料保護與管理制度 (2012)，「TPIPAS制度規範」。台北市：經濟部商業司。2013年03月18日，取自：http://www.tpipas.org.tw/model.aspx?no=159
10.行政院法務部 (2012)，「個人資料保護法」。台北市：法務部。2012年12月05日，取自：http://www.moj.gov.tw/public/Attachment/292711254460.doc
11.考選部 (2012)，資訊安全政策。2012年12月05日，取自：http://wwwc.moex.gov.tw/main/content/wfrmContent.aspx?menu_id=101.
12.邱瑩青 (2009)，資訊安全的最大威脅－人員安全。2012年12月05日，取自：http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=672
13.花俊傑 (2010)，個資安全保護實務（一）。網管人。2013年03月20日，取自：http://www.netadmin.com.tw/article_content.aspx?sn=1008200008
14.黃國彥 (2000)，文件分析法。國家教育研究院。2013年06月07日，取自：http://terms.naer.edu.tw/detail/1303274/
15.資安人編輯部 (2012)，美大學遭駭客入侵30萬筆師生資料外洩。資安人。2012年10月05日，取自：http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=7096#ixzz2BMfLiMj3
16.萬幼筠 (2010)，個人資料保護實務經驗分享。Deloitte. 2013年03月18日，取自：http://www.deloitte.com/view/tc_tw/tw/db065eed8a56b210VgnVCM3000001c56f00aRCRD.htm

指導教授

周惠文

審核日期

2013-6-19

推文