前言
在現代資訊系統中，資料庫稽核已成為確保數據安全、合規性及防範內外部威脅的關鍵重要手段。尤其在台灣，《個人資料保護法》(以下簡稱個資法)對個人資料保護以及主管機關的要求，使稽核系統必須更加注重「5W」：人、事、時、地、物的全面記錄與追蹤。
透過這五個核心要素，資料庫稽核不僅要能保障數據安全性，更需要提供清晰的資料訪問的軌跡以支援法規遵循與事件追溯。
個資法相關條文
參考出處：全國法規資料庫中央法規
法規名稱：個人資料保護法，修正日期:民國 112 年 05 月 31 日
法規名稱：個人資料保護法施行細則，修正日期:民國 105 年 03 月 02 日
個資法條文如下：
第 18 條 公務機關保有個人資料檔案者，應指定專人辦理安全維護事項，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
第 27 條 非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。
個資法損害賠償與責任相關條文如下：
第 28 條 公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但損害因天災、事變或其他不可抗力所致者，不在此限。
第 29 條 非公務機關違反本法規定，致個人資料遭不法蒐集、處理、利用或其他侵害當事人權利者，負損害賠償責任。但能證明其無故意或過失者，不在此限。
個資法施行細則第 12 條規定
本法第六條第一項但書第二款及第五款所稱適當安全維護措施、第十八條所稱安全維護事項、
第十九條第一項第二款及第二十七條第一項所稱適當之安全措施，
指公務機關或非公務機關為防止個人資料被竊取、竄改、毀損、滅失或洩漏，
採取技術上及組織上之措施。
前項措施，得包括下列事項，並以與所欲達成之個人資料保護目的間，具有適當比例為原則：
一、配置管理之人員及相當資源。
二、界定個人資料之範圍。
三、個人資料之風險評估及管理機制。
四、事故之預防、通報及應變機制。
五、個人資料蒐集、處理及利用之內部管理程序。
六、資料安全管理及人員管理。
七、認知宣導及教育訓練。
八、設備安全管理。
九、資料安全稽核機制。
十、使用紀錄、軌跡資料及證據保存。
十一、個人資料安全維護之整體持續改善。
資料庫稽核因應法規要求需要具備的功能
1. 資料存取監控紀錄功能
- 相關法條對應：
- 《個資法》第 18 條、第 27 條：防止資料被竊取、竄改、毀損、滅失或洩漏。
- 《個資法施行細則》第 12 條：九、資料安全稽核機制。十、使用紀錄、軌跡資料及證據保存。
- 資料存取監控紀錄實施要求
- 個資法要求「應保存資訊系統使用紀錄」，明確規定資料管理者需確保能追溯處理個人資料的操作紀錄，防止資料被竊取、竄改、毀損、滅失或洩漏。
實施要點如下：
- 竊取：必需監控並記錄，查詢(Select)，匯出(Export) 操作命令和回傳值(Return Data)。 - 竄改：必需監控並記錄，新增(INSERT) 操作命令和新增數據，修改(UPDATE)操作命令和異動前、異動後數據，刪除 (DELETE) 操作命令和刪除數據。 - 毀損 : 必需監控並記錄，刪除 (DELETE) 操作命令和刪除數據，刪除表(DROP/Truncate Table)和刪除資料庫(DROP Database) 操作命令。 - 滅失 : 必需監控並記錄，修改(UPDATE)操作命令和異動前、異動後數據，刪除(DELETE) 操作命令和刪除數據。
- 洩漏 : 必需監控並記錄查詢(Select)，匯出(Export) 操作命令和回傳值(Return Data)。
為了有效防止資料被竊取、竄改、毀損、滅失或洩漏，必須完整且準確地記錄資料庫的存取軌跡。不僅需記錄執行的 SQL 指令，還應包含異動前後的數據內容以及操作的回傳結果，以確保追蹤與審計的全面性與準確性。
2. 監控記錄查詢要求
- 相關法條對應：
- 《個資法》第 28 條、第 29 條：需證明機構無過失或已採行適當措施。
- 《個資法施行細則》第 12 條 : 十、使用紀錄、軌跡資料及證據保存。
- 監控紀錄查尋實施要求
個資法要求「應採取適當保護措施保護個人資料」，明確規定資料管理者需能證明其無故意或過失。
實施要點如下：
- 提供操作軌跡紀錄搜尋，可以查找個人資料查詢, 新增, 刪除，修改軌跡紀錄和異動前、異動後數據。
- 操作軌跡紀錄必須要準確紀錄使用者行為 5W 軌跡紀錄，且可以追蹤到人，如果無法辨識前端使用者身分，軌跡紀錄無法做為有效證據使用。
監控記錄必須具備辨識前端使用者身份的能力，避免因使用共用帳號而無法將操作行為準確歸責到特定使用者，確保責任可追溯性。
3. 安全監控告警要求
- 相關法條對應：
- 《個資法》第 28 條、第 29 條:需證明機構無過失或已採行適當措施。
- 《個資法施行細則》第 12 條 : 四、事故之預防、通報及應變機制。 - 安全監控告警實施要求
個資法要求「應採行適當之安全措施，事故之預防、通報及應變機制」，明確規定資料管理者需採取適當安全保護措施保護個人資料。
實施要點如下:
- 提供安全事件告警功能，當發現有異常操作時，立即通知安全人員。 - 異常的高頻操作個人資料相關表格
- 異常的批量下載個人資料
- 異常越權，提權命令
- 高風險操作(如刪除表，刪除資料庫)
- 不合規範操作，如非正常工作時段訪問
- 高頻登入操作
安全監控與告警系統應具備即時發現異常的能力，能迅速通知安全人員，從而預防 或及時阻止潛在的安全事件。除了依賴人工設定告警規則外，未來稽核系統的發展方向將更加側重於引入機器學習技術，通過自動分析與歸納歷史紀錄，生成更加精準和動態的安全告警規則，提升準確率。
4.持續改善要求
- 相關法條對應：
- 《個資法施行細則》第 12 條：十一、個人資料安全維護之整體持續改善。 - 持續改善實施要求
個資法要求「個人資料安全維護應持續改善」，明確規定資料管理者需採取適當改善措施保護個人資料。
實施要點如下：
- 透過監控儀表板，持續監控安全事件告警趨勢，管理者可以了解整體資料安全持續改善狀態。
- 透過事件處理情況審核追蹤，確保事件有妥善處理改善，避免單一事件持續發生。
個資法要求資料管理者持續改善資料維護安全，透過監控儀表板掌握安全告警趨勢 及審核追蹤管理事件的處理情況，確保事件妥善解決並防止重複發生，持續改善。
5W 在資料庫稽核中的重要
1. 人 (Who)
「誰」進行了操作是稽核的核心。確定使用者身份有助於：
- 防範未授權訪問：避免內部員工或外部攻擊者未經授權的數據操作。
- 使用者行為追蹤：記錄特定使用者的操作行為，用於異常行為檢測。
- 責任歸屬：在發生資料洩漏或異常時，能快速定位責任人。
個資法關聯性：
個資法要求「應保存資訊系統使用紀錄」，明確規定資料管理者需確保能追溯處理個人資料的操作人員。如前述法規要求，必須要準確紀錄使用者行為，且可以追蹤到人，如果無法辨識前端使用者身分，軌跡紀錄等同於無用。
2. 事 (What)
「做了什麼」即操作的內容。這包括：
- 操作類型：
- 對資料的操作 DML : Insert, Update, Delete, Call/Exec(StoredProcedure or Function), Select, Export 資料查詢類(DQL)等操作。
- 對物件(Object)的操作 DDL : Table, Index, Function, StoredProcedure，User 等物件的創建，刪除，變更等操作。
- 權限的操作 DCL : 權限 Grant, Revoke, Alter 等操作和密碼變更操作。
- 交易(Transaction)控制 TCL : Commit, Rollback, Savepoint，Set Transaction， Set Isolation 等交易控制操作。 - 影響範圍：操作影響的數據範圍，使用者，權限或結構。
個資法關聯性：
若發生資料洩漏或不當使用，稽核必須記錄操作內容，找到操作指令，證明是否涉及個資的處理，並評估影響範圍。
3. 時 (When)
「何時」執行的操作是重建事件軌跡的關鍵：
- 時序關係：清楚記錄操作發生的時間，判斷事件的先後順序。
- 異常時間警示：如非工作時段的資料訪問操作，可被標記為疑似異常行為並提供警示。
個資法關聯性：
個資法強調持續監控與資料保護的時效性，準確記錄操作時間能確保事件的即時性應對。
4. 地 (Where)
「在哪裡」進行的操作，包含數據庫端和前端操作者的真實系統位置：
- 系統位置：記錄操作發生於哪個伺服器或資料庫節點的 IP 地址，以及客戶端 IP地址有助於快速定位問題源頭。
個資法關聯性：
在網路數據傳輸中，需明確記錄操作者的位置以符合法規對個資流動的管理規範。
5. 物 (Which/How)
「使用什麼」或「如何操作」涉及系統與工具層面：
- 操作工具：如應用系統，應用程式，工具等資訊，有助於識別未授權裝置。
- 訪問通道：記錄操作通過的 API、應用系統等，有助於區分正常業務操作與潛在風險。
- 訪問對象：記錄操作的對象，包括表，欄位，回傳值，錯誤碼和錯誤訊息等。
個資法關聯性：
個資法第 12 條 公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人。
因此對於資料處理的管理要求，稽核記錄需覆蓋所有涉及設備，訪問通道，應用系統，使用的前端工具以及訪問對象，明確是誰訪問了那些數據，才可以作為有效的證據。
個資法與 5W 的深度關聯
個資法強調個人資料的蒐集、處理、利用須符合法律規範，並要求保存完整的處理記錄。
稽核中的 5W 能有效支援以下法規要求：
1. 資料處理透明化
個資法要求資料處理須有完整紀錄，5W 可以提供清晰的處理軌跡，達到軌跡紀錄
透明化的目標。
2. 事故責任追溯
在資料外洩事件中，稽核紀錄提供的 5W 資訊可協助判定事故源頭與責任人，符合法律對責任劃分的需求。
提升合規性價值
通過 5W 的完整記錄，企業能證明其符合個資法規範，明確的紀錄可以自證無故意或過失，有助於避免罰則並增強客戶信任。
挑戰與解決
- 準確識別：按照法規要求，必須要準確紀錄使用者行為，且可以追蹤到人，如果無法辨識真實使用者身分，軌跡紀錄等同於無用。
- 數據量過大：過多的稽核記錄會增加存儲成本與分析負擔。解決方法是使用稽核紀錄過濾技術，篩選有稽核價值的紀錄。
- 查詢效率差：傳統稽核系統，往往因數據量過大，查詢效率就非常差，甚至遺漏或找不到，解決方法是使用分布式集群部署架構，不但可以分散數據提升查詢效率，也可以提高系統可靠性與擴充性。
- 隱私保護：在記錄 5W 資訊時，需注意避免因記錄過多個資而引發隱私問題，需要使用加密與遮罩技術。
結語
資料庫稽核中的 5W 不僅是實現資訊安全與合規的基礎，也是企業面對複雜數位威脅非常關鍵策略。透過 5W 稽核紀錄幫助企業全面掌握數據處理的透明性與可追溯性，不但可以滿足台灣個資法的合規要求，更可以提升資料安全。隨著法規與技術的持續演進，稽核 5W的落實將為企業數據治理提供更堅實的保障。