企業營運機密資訊安全與保密
資訊安全專家萬幼筠演講文
文：何國豪、王郁馨、溫卓葳
最近台灣立法院終於修訂了營業秘密法，但比西方國家或是亞太周遭國家，還是稍微的慢，要求也沒有比較嚴格，鑒於西方國家的法規，不只對產品跟設計服務本身、還有營運模式也是有專利的，期許台灣未來也有經營模式的專利。
今日高科技業所面臨的挑戰不一定是從產品銷售本身，可能也是“人”。各位可能發現一件事，我們經營事業的核心可能會出現一個問題，就是要請到何種員工才是公司的資產而非負債。所以國內很多產險機構推出高級主管忠誠險。一個員工的薪資不高，但造成的營業秘密外洩恐怕是十數個億，過去台灣高科技業不乏這種例子，這一次營業秘密法修正，正是為了這個緣故。要使得營業秘密外洩的風險和處罰能夠對價？因此用風險管理的手法來思考營業秘密保護，是現代企業很重要的課題。
因為機緣巧合，曾經參與過一個營業秘密保護的案子。有個故事說到一位法官問資料外洩原告的主管說：「你告你的離職副總外洩配方，那你是多在乎這個資料的配方呢？」他說：「我們很在乎！」，書記官又到外洩的公司去取得一些證據來，發現說：「所謂的配方的文檔，正墊在魚缸下面，也有一部份文件置放在檔案櫃上，這就是不具保護意識。如果有保護意識，就不會如此處置。最後這個公司官司敗訴，理由是顯然不具保護該等資料的意圖。
機密保護的目的，是由傳統所謂的電腦安全，進展到目前的營業秘密保護，均是由商業資訊流程到技術面來實施。傳統的認知，營業秘密的保護是從R&D做起。根據國外的調查資料，我們的企業競爭遇到最大的挑戰是破壞性創新、第二是策略釐清、第三是文化塑造。因此營業秘密的保護也非僅只環繞在R&D部門，而是依據保護的標的來設定策略。
「策略」到底是有永續存在或是有最高價值，自有其因時、因地的差異。台灣的高科技產業很早成為國際供應鏈的一環，也突然成為國際營利的一部分，快速擴張。但是在這十多年來，很多高科技公司擴張速度大於其內部管理成熟的速度，也就是管理制度沒跟上去。曾親見國內這麼多高科技業者，其實驗室管理或文件的保護管理，從國際典範實務眼光來看，只能說我們國內公司的實驗室還有多數是處在大學研究所時代的實驗室機密保護的實務，而非是國際競爭的實務！很多時候，因為同班同學，當初實驗室教授怎麼管，他今天就怎麼管公司的實驗室。因為它是企業創造價值的核心，所以實驗室的人員，最初念書的習慣即他今日的管理習慣，所以他很少可以把他研發的軌跡、生產的技術這類非常重要的知識內涵，將其控管的方法，事前優化設計好，因應各種秘密保護的挑戰。
如果各位有機會觀摩海外的機密外洩訴訟，法官叫你出示產品或技術研發過程的合理性資料，若無法清楚描述過程，在訴訟上是相當不利的！但營業秘密保護，很多時候更非內部研發人員的問題，與之合作的上下游廠商，也是過往經驗可能的漏洞，甚至客戶都可能成為外洩源之一。舉個例子，發展一支手機，人員在發展過程，拿面板、鍵盤、散熱、元件，資料與樣品在部門與企業間跑來跑去，除非你夠強大到像Apple公司，將機台直接放在製造商，那你怎麼確保這些資訊進到這些機構時不會外洩？這完全是一個產品發展的歷程保護，或是設計過程的一個資訊的保護，要如何做到？需要一個嚴謹的紀律及管理過程？
但要保護的標的實在太多了，有因為時間遭淘汰的，也有新創新的殺手產品，為了降低保護的成本，全球頂尖的公司針對這種問題都是以風險管理導向為核心，空談認知與一般管理。設若十數人很有默契，聯合通謀外洩，要如何透過機制來防堵？把他的 Know how拿掉？那又如何能確保他在另外一家公司貢獻的價值低於在我們這家公司？這已經是很難的事。若缺乏有效的風險管理體系設計與運行時，屆時出事再寄望於法律，那機會就不多。
各位試思考一個情況，目前在台灣開始生效的個人資料保護法。若非法使用或散播個人資料，有高達5年或兩年的刑事責任，甚至有高達兩億的賠償。然而前一陣子，有位高科技業者的員工外洩資訊，跳槽到對手，罰款僅新台幣二十五萬，二十五萬台幣跟關兩年哪個代價高？所以法律對於人的價值是看的比較高的，研發的所謂的強制透過法律管理不如你們研發人員的管理、研發過程的管理跟資訊安全的加強。
另外由於現在的高科技業競爭態勢，產品高度集中、雲端化、文化塑造、創意溝通。你就發現企業界很多第二代進行所謂website 社群團體，激發創意、可以分享你的設計。這個設計有很多地雷，我可能挖角到的人帶來以前效力別的公司的設計。這樣就形成了一個營業秘密的地雷，所與國外對於使用一個“乾淨”的技術，或是在“Clean Room”內研發，也非常重要，要做新的創新，包含原始碼、圖資設計，在開始使用前，最好都要有個檢驗check in/ check out的流程，尤有甚者，實務上很多產業發現資料外洩不是肇因於工程師而是銷售人員，因為報價單中的資訊夠詳盡，讓客戶拿去和競爭對手詢價，一夕之間被對手掌握細節模仿，最後丟掉訂單的例子也不乏有之。
在所有的資訊移動中，可能競爭的關鍵就是某一兩處主要的差異，若遭致對手掌握、複製或針對性的對策來競爭，也是營業秘密衝擊項目之一，有時候企業內部人員對於很多資訊的掌握與發布，很多時候是認知意識的問題。用甚麼樣的控管文化來推動，效果非常不同！設下重重的天羅地網，員工會不會認為防民如防賊，覺得不受尊重；另外一部分是要如何管理員工的作業流程，實務上很難做到滴水不漏，不是技術與能力的問題，而是持續力與成本的選擇，所以安全議題是business issues而非technology issues。 營業機敏性資訊進入公司後，一定要因其商業敏感度將之分類，一定要增加員工保護意識，讓上下有一致的認知。舉個例子，測試的記錄重不重要？被很多單位認為是絕對的重要，是很多產品的心血，但如果給一般採購的業務是沒感覺的，所以有人專門在買高科技公司出來的紙。在IBM實驗室，我曾經參觀過，大樓底層就是個紙漿廠，甚至不容許任何紙張流出！從紙的開始到銷毀都看不到，這就是資訊保護的要件，這種事情在台灣不是做不到，而是要針對甚麼做，做到甚麼程度？這不是只有資訊科技安全的問題，還有營運長、技術長，全公司的人都要一起來做的。
智慧財產權就是智慧、財產、權，“權”是什麼？可能是智財權、專利權、商標權，一個東西要形成權利，一定要先定義其屬性與價值、由誰來持有？絕對不是產品工程師，一定主要經營階層 (產品經理，廠長，技術長，甚或CEO或董事長)，因為每個產品都是商業競爭策略的一環，例如說，什麼時候你會想過用手指頭滑開的動作會變成一個商品，所以這樣的一個發展你要如何標示它？這代表是一個產品進行改造的過程。
筆者曾接到一個韓系面板公司的律師聯絡，他表示面板產業有六公司一起開發下一代面板，後來發生互相侵權便互相告訴。我就疑惑了，這東西談了六年怎麼現在才來告？原來大家還是爾虞我詐，互相希望透過合作競合來了解競爭態勢，有幾家廠在技術文件內放餌，看你有沒有用我的？我有沒有用你的？有沒有分享？所以商戰完全透過智慧財產權展現，在這情形下該如何保護？在商場上競爭，台灣說過去是傳統製造業OEM 變ODM，變成製造業、製造服務業，甚至走向品牌，可能需要向品牌廠做相互銜接，都會造成各類的競合與資料交流，用什麼機密保護與營業秘密保護的原則，這當中有很重要的核心。
另外，高科技業資料外洩最多發生在何處？檢調單位曾經調查過，國內第一大宗的是委外單位，就是和你合作的廠商，因為雙方沒有一致的認知，所以如何慎選你流出去的資訊很重要。第二是業務銷售單位，交易處理的單位很容易被trace，所以如何形塑資料保護的記載。第三是銷毀，你不要的資料裡面，對你不珍貴、對我很珍貴。第四才是電腦。最後分享一個真實案例，因工作需要處理過一個詐騙事件，那是一個客服中心，在進行各類軌跡資料作大幅的分析，發現有客服人員一天之內接了1000多通電話的紀錄(亦即調閱了1000多筆資料)，這是邏輯上的不可能。後來我又研究了一下他的薪資待遇分析，真的是「凡走過必留下痕跡」再加上business know-how 還有大量資料分析，你可以發現很多事情是商業上的不正常，很多事情可以提前因應的，在國外稱為Inside Threat Analytic能提前因應，所以損失的代價一定較低，若能將機密標的與事件等級預先分類，事後定能有效處理。與其說安全管理是技術想法，不如說是流程改造。所以當你的RD流程優化的時候，思考資訊風險是個值得大家思考的問題。
所以Deloitte的建議如下 : 第一個是人的管理，所有資訊安全第一件事就是人的管理，它被embedded在流程裡面，他會接觸到很多資料，會有委外廠商進駐，用什麼方式管理它？第二，專利侵權惡意破壞時須如何防衛它呢？營業秘密法裡面講到兩個觀念，一個是人、一個是物。你要保護營業秘密，又要希望限制它的使用或加以裁罰，你一定要表示對人跟物的相對管制，這些管制一定要在證據上呈現，因此要在日常的作業上展現你願意管制它。1資訊有分類、2限制大家取用、3使用上有規範、資訊流動有規範、5若為專利須揭示其專利內涵。執行這樣子的流程管理會形成evidence documentation，等到要訴訟時在法庭上搬出來講，法庭才有辦法幫你，否則空口說白話。所以這是第一項對人的管理要切分權責義務。例如做I/O或音效，配合主要RD的硬體或軟體的協同運作，他一定有碰觸到很多計畫與資料都會被同一部門在不同階段接觸，所以，要看到核心資訊不一定在該館單位才行，在協同單位也有機會，做得越久看得越多，部門調度得越多，接觸到的資訊越多。所以資訊最多的是支援所有其他核心的支援單位！甚且不是核心研發單位的，所以發生這個現象的時候，可以classify成「重要研發的利害關係群體」把這些角色的權限義務定義清楚，再去設計其流程，營運流程到策略資源的流程，最後到用適當的框架一層一層保護。
高科技業可能也是從這樣類推出來，找到自己的最適的管制方式，只是RD的研發在這領域非常特別，人多龐雜，一般研究可能是十幾個博士，頂尖的人聚在一起研發出奇妙的設計，但我們一個RD部門多少人？通常都八、九百人，一挖角就30、50人，核心80、90人，你會發現它的競爭力就被移動了，這是一個很大的挑戰，這時候你會發現top down approach ，防護策略面的從需求策略面導向設計，但是保護執行面一定要從底層面上來。例如說為何要裝某監測工具？監測什麼行為？老實跟大家報告通通監測等於無法監測！因為你根本無法過濾，怎麼知道受監控對象有什麼特別的行為？甚至你還干涉其隱私呢！
所以國外有幾個實務：第一個，你標定你要保護的機密資料，如何分類？要在什麼區域怎麼使用？有沒有相對應的控管？這些控管有些你要透過資料標示來分類？譬如說，西方國家做那麼久就labeling，為什麼這個東西很重要？他用什麼方式去找的？由此可以看到一些八卦，三星跟蘋果打官司，他就調所有的case來證明一件事情，我們就可以發覺什麼樣的information是被放在hot zone的，來決定我要保護什麼樣的東西。保護策略一定要先定好，當然確定了之後會調整很多作業流程跟內涵甚至技術層次，才會用到權限劃分，誰在什麼時候可以看資料？用什麼方式？可不可以帶回家看？
講個真實發生的笑話與大家分享，國內某公司有離職員工將資料帶走後吃上官司，公司告他偷資料，結果法官說：請問為什麼資料要帶回家？這位員工表示因為責任制的關係我要帶回家做才做得完，法官說這就是有故意，法令是規定無故才違法，因此不罰。這是真的故事，所以很多企業思慮工作到底要不要帶回去做，所以很多人就開始用雲端技術管理，你在家裡做的設計不能存下來只能在雲端之上。所以如果要用技術來管理一件事要怎麼走，一定要找目的需求來解。
善用驗證、改善、監控、稽核等等，是現今流行的幾項管理手法，美國國安局曾建議與中國大陸有資訊交流的單位，要針對資訊環境設定強化守則，並發揮稽核，所以一個完整地P-D-C-A，落實在研發機密保護，再加上營業秘密保護法的法律手段整合，從規劃需求面的部屬到執行到監測、到改善跟整合分析，或許是一個不失合理的做法！￭ | 
