保護敏感、個人和專屬數據應該是每個網路安全策略的要務。如果不這麼做，可能造成破壞性或甚至災難性的後果 — 導致因違反法規規定而被處以高額罰款，更重要的一點是，失去客戶信任。數據隱私法規相當繁複，而且每次發生新的入侵事件時，數據隱私法規似乎都會擴大。
不過，雖然遵循「一般數據保護規則」(GDPR)、「網路和資訊系統指令 2」(NIS2) 或「加州消費者隱私法案」(CCPA) 等法規很重要，但保護數據不僅是為了避免罰款。這關乎維護企業的命脈 — 企業的信任、企業的聲譽，以及企業的長期營運。真正的問題不是「我們需要遵循什麼規定？」，而是「為什麼數據保護應該成為超越合規性的核心策略重點？」
現今數據隱私和網路安全性的重大問題
確實，在評估現今數據隱私和網路安全狀況時，法規合規性往往是討論的重點。跨國家/地區、跨州、跨行業，企業必須遵循日益增加的法規要求保護數據。
對許多人而言，合規性始於歐盟 GDPR1 等法規，該法規自 2018 年實施以來一直做為全球藍圖。在美國，近二十個州也紛紛效仿，推出本身的法規，其中 CCPA2 發揮引領作用。CCPA 的嚴格指導方針 (以及對違規行為的高額罰款) 突顯不合規行為可能引發導致品牌受損的事件。
業界特定的要求，例如針對醫療保健的 HIPAA，又增加一層複雜度。為了滿足這些不同的法規，各個企業在網路安全工具和服務上耗費數十億美元。事實上，研究預測，全球數據隱私軟體市場規模將從 2024 年的 38 億美元飆升至 2032 年的 480 億美元以上，複合年成長率將超過 37%。3
雖然合規性很重要，但這只是難題的其中一面。企業必須承認真正的數據保護不僅是避免罰款和滿足法規要求。這是為了保護業務的核心並確保長期成功。有一些關鍵因素可以說明為什麼保護數據不僅是合規性問題：
- 營運彈性：個人資訊或敏感資訊遭到入侵時，整個業務運作都可能陷入停滯。無論是識別攻擊來源還是減輕影響，數據遭入侵都表示停機，因而中斷員工、合作夥伴和客戶的服務。對於維持系統運作和避免代價高昂的中斷，保護數據很重要。
- 財務損失：數據洩露的財務後果遠遠超出法規罰款。企業面臨停機造成的營收損失、高額罰款以及解決洩露的巨大成本。對於跨多個司法管轄區營運的全球企業而言，數據隱私洩露造成的財務損失可能會倍增。
- 聲譽損失：數據洩露可能會對企業的聲譽造成無法挽回的損失。聯邦貿易委員會 (FTC) 警告，未能履行保護個人資訊承諾的公司可能面臨公開審查和執法行動。沒有企業願意因為失去數百萬筆敏感記錄而成為頭條新聞 — 這對他們的品牌而言是很難恢復的打擊。
- 信任流失：信任是企業最珍貴的其中一項資產。無論是員工的個人可識別資訊 (PII) 遭暴露，還是客戶的數據被錯誤處理，信任都可能瞬間崩解。恢復這種信任可能需要數年的時間，而且會帶來巨大的聲譽和財務成本。
雖然合規性是數據隱私計劃的重要驅動因素，但企業必須認清真正的風險遠不止如此。數據隱私關乎保護業務連續性、財務穩定性，以及企業與客戶和員工之間賴以維係的信任。
數據隱私的風險和弱點
網路罪犯有許多動機 — 經濟利益、地緣政治混亂，或只是與其他駭客競爭的刺激。無論基於什麼原因，他們持續鎖定一些常見的弱點，而每個弱點都強調為什麼保護數據不僅是遵循法規：
- 存取控制薄弱或不一致：管理不善的存取控制是駭客未經授權而存取敏感資訊 (例如 PII) 的其中一種最簡單方法。攻擊者利用遭竊或遭入侵的憑證規避安全系統，甚至長期被視為安全主要手段的多因素驗證 (MFA) 現在也能夠透過創造性的方式加以規避。合規性措施可能要求存取控制，但真正的保護需要持續的監控、頻繁的更新，以及對持續演進的威脅進行持續監控的長期承諾。僅僅為了合規性而實施控制並不足夠 — 這些保護必須強大，並且加以主動管理，才能因應新的攻擊方式。
- 勒索軟體：勒索軟體攻擊已成為網路罪犯的首選武器，特別是在醫療保健、教育和政府等領域，敏感數據的暴露可能導致嚴重的營運中斷。這些攻擊可能會破壞服務，因此可能會導致長期停機並損害大眾信任。雖然合規性框架可能規定基本防禦，但真正的風險是營運彈性。勒索軟體攻擊提醒我們，保護數據是為了保障服務的連續性和維護相關各方的信任 — 單憑法規無法保證這兩個關鍵因素。
- 網路釣魚和社交工程：網路釣魚攻擊通常涉及高度複雜的社交工程手段，因此愈來愈難以偵測。駭客刻意製作模仿高信譽品牌的電子郵件或訊息，誘騙使用者分享憑證或點擊惡意連結。隨著公司電子郵件入侵 (BEC) 現象加劇，企業必須監控每天通過系統的大量電子郵件流量。網路釣魚超出合規性檢查清單的範圍；企業必須實施行為分析和使用者教育，藉以因應這些持續演進的威脅。人類因素往往是最薄弱的環節，單憑法規無法解決 — 警覺和持續訓練很重要。
- 內部威脅：心生不滿的員工和承包商即使離開企業，仍可存取敏感數據庫，內部威脅變得愈來愈頻繁。這些人經常利用本身對公司系統的了解來竊取數據或破壞營運。合規性可能要求記錄對系統的存取，但內部威脅突顯持續存取稽核和更嚴格的數據保留政策的必要性。保護數據表示超越法規措施，確保不再隸屬於該企業的人無法保留有害的存取權限。
- 第三方廠商入侵：隨著企業愈來愈仰賴外部廠商，第三方數據洩露日益加劇。這些廠商通常擁有存取敏感資訊的特權，但可能並不一定採取強有力的安全措施。保護數據隱私不僅涉及企業內部發生的情況，也涉及整個生態系統。企業必須超越自身的合規性，評估合作夥伴、廠商和服務提供者的安全實務，藉以防止在直接控制範圍之外發生洩露。
除了這些常見的威脅之外，遠端和混合工作者使用的個人行動裝置帶來另一次重大風險。駭客可以利用不安全的裝置和家庭網路，通常偽裝成合法使用者存取企業系統。為什麼這很重要：隨著遠端工作的廣泛轉變，僅憑合規性法規已經不夠。企業必須實施全面的行動裝置管理 (MDM) 解決方案並教育員工如何保護他們的家庭網路。
邊緣運算和物聯網 (IoT) 也在擴大攻擊範圍，因為許多 IoT 裝置由於體積小、運算能力有限而缺乏強有力的安全措施。隨著 IoT 普及，這些裝置為駭客提供進入更大的系統發動攻擊的進入點。為什麼這很重要：合規性可能涉及更廣泛的 IT 基礎結構，但 IoT 和邊緣裝置需要專用的安全通訊協定彌補法規經常忽視的漏洞。保護這些端點對於確保整體數據安全至關重要。
最後，駭客正在使用人工智慧 (AI) 自動發動並擴大攻擊。從網路釣魚到身分竊取，AI 驅動的攻擊比以往更快、更頻繁、更具破壞性。為什麼這很重要：雖然合規性要求數據保護，但是很少考量 AI 帶來的速度和複雜度。企業需要採用 AI 驅動的防禦措施防範攻擊者所使用的新興技術。
所有企業確保網路安全中的數據隱私所需採取的策略和步驟
企業必須優先考量網路安全中的數據隱私，不僅是基於合規性原因 — 營運彈性、法律義務、信任、聲譽和員工/客戶體驗都取決於這一點。下列步驟有助於為立即採取行動奠定堅實的基礎：
- 測試、測試、測試
定期的數據隱私稽核和弱點評估應該是任何網路安全策略的核心。雖然合規性稽核通常是強制性，但評估即時弱點和企業整備的內部稽核也同樣重要。測試確保系統保持彈性並因應持續演進的威脅。 - 全部加密
數據 (無論是動態數據還是靜態數據) 都應一律加密，無論數據是在雲端、邊緣還是數據中心。備份數據也必須加密，加密金鑰管理必須精確且一致。加密是最後一道防線，確保數據即使遭入侵也能保持安全。 - 制定強有力的政策
強大的數據隱私架構很重要。所幸，您不必從頭開始 — GDPR、HIPAA 和 PCI DSS 提供絕佳的標準。採用政策，僅收集和儲存對於業務運作至關重要的個人數據 (例如薪資或客戶數據)。每次擴展存取政策都會增加數據洩露的風險，因此維持最低限度的必要存取權限非常重要。 - 利用 AI 協助防禦
隨著攻擊數量和複雜度增加，應該利用 AI 加強數據隱私防禦。雖然企業可能難以僱用足夠多的熟練網路安全工程師和 SOC 分析師，但 AI 是有效的效用倍增工具，可以自動識別和緩解威脅。
超越基礎：增強數據隱私的額外步驟
除了上述關鍵步驟外，也可以考慮實施下列措施進一步加強您的數據隱私策略：
- 最終使用者訓練：人為錯誤是數據洩露的主要原因，員工經常在不知不覺中破壞自己的數據安全性。持續的教育和訓練能夠提高對網路釣魚、社交工程和數據處理最佳實務的認識，促使降低這種風險。
- 降低複雜度：對老舊的基礎結構進行現代化改造並採用平台化有助於消除過於複雜的安全環境造成的弱點。簡化安全堆疊可縮小攻擊範圍並改善數據隱私控制。
- 識別惡意 IT：員工或部門將未經授權的技術引入企業時，就會發生「惡意 IT」。在沒有監督的情況下使用個人或私人數據開發和訓練大型語言模型 (LLM) 或 AI 工具時，這種情況尤其危險。對於維持數據隱私的控制，進行稽核以便發現並解決惡意 IT 措施非常重要。
- 指定數據隱私主管：追蹤新的數據隱私威脅、法規和新興判例法需要持續保持警惕。讓數據隱私成為某人的全職工作 — 任命專職主管掌握新的發展並確保遵循持續發展的法規。
最後，請記住，對於任何認真處理數據隱私的企業而言，關鍵要求是與網路安全合作夥伴合作，該合作夥伴應該表現出對超越法規合規性界限的數據隱私所做出的承諾。這必須在產品、實務和各個層面的數據隱私策略方針中體現。
想知道 Palo Alto Network 仍在做什麼其他預測？在這裡檢視他們的 2025 年預測部落格。
1What is GDPR, the EU’s new data protection law?，GDPR.EU，2024 年
2US Data Privacy Guide，White & Case，2024 年
3Data Privacy Software Market Size, Share & Industry Analysis，Forbes Business Insights，2024 年
