營業秘密保護

保護企業資料範圍最廣最嚴格、生命週期最完善

稽核與電子監控

企業如何有效進行合法監控

2014年台灣IC 設計業龍頭聯合檢調力量,對涉有洩密重嫌之離職員工住所及新東家辦公室進行大規模搜索,且案情直指對岸。此案再次震撼台灣科技業,讓日趨白熱化的兩岸產業競爭,再次搬上媒體頭條。洩密事件主角為內部員工,凸顯企業在營業秘密管理上內部員工的風險與威脅,而資訊部門應該在平時扮演何種角色,以協助企業落實內部員工管理,中華數位科技企業資料保護研究小組吳毅勛顧問建議如下。

存有企業機敏檔案的檔案伺服器、電子郵件、文管系統、資料分享平台等,可建置一套完善的Log 紀錄與分析設備,且建議應包括異常警示通知與定期報表功能,以供企業高階主管或稽核人員審閱。台灣的高科技業,實務上也流行監控員工的IM通訊、事務機使用、USB傳輸等,以確保可以在必要時提供相關佐證資料以保護公司的利益。

企業資訊系統所需的監控設備,通常是資訊單位負責採購與建置,而最常使用的方式為『常態的進行監控,但不主動查核』。但這樣的建置方式能夠發揮的內控效果有限,中華數位企業資料保護研究小組吳毅勛顧問建議採行以下方式,發揮設備的最大效果:

  1. 由資訊單位主動分析日常記錄後,定期產出報表,包括『異常存取事件』、『異常使用量』、『非法存取事件』等均應納入報表。
  2. 報表應定期(每週或每月)發送各級主管或稽核專員查閱,以主動發現異常情事。
  3. 如主管或稽核員發現有異常情事,應遵循內部流程,針對特定員工進行深度調查與證據蒐集,以確保在必要時可採取法律行動以保障公司權益。
  4. 員工離職時,應由稽核單位主動列出異常報表給直屬主管,才能適度的監督員工。

中華數位科技企業資料保護研究小組吳毅勛顧問特別提醒,上述監控作業因有可能會侵害內部員工的個人隱私,且隱私權屬於憲法保障範圍,在執行前建議應召集資訊、法務、稽核、管理單位,共同制訂稽核政策與流程,包括公告稽核政策、請員工簽署監控同意書、稽核程序SOP化,以確保全部的程序均有嚴謹的內部流程控管,所有員工的隱私都能在合理的保障內,同時達到企業營業秘密監控的保護目的。