中小型網路商店 風險增

[meme]

中小型網路商店 風險增
作者： 記者何英煒╱台北報導 | 中時電子報 – 2011年12月16日

資策會產業情報研究所（MIC）產業分析師胡自立昨（15）日表示，個人資料保護法上線後，中小型網路商店將面臨更高的營運風險。但另一方面，有4成5的受訪店家卻認為，資訊安全法規的強化，可以鼓勵更多消費者上網購物。

MIC針對目前的中小型網路商店進行調查，在受訪的250家業者當中，有8成的店家表示，曾經遭遇到資訊安全的攻擊，其中以惡意程式、客戶資料外洩及線上服務中斷最多。

目前台灣的中小型店家當中，有7成是選擇開店平台，其中以Yahoo!奇摩超級商城、PC home網路家庭商店街為主，有26.4％的店家以拍賣平台為網購商店的主要根據，多數以Yahoo!拍賣及露天拍賣為主，當然也有4成的比例是自行架站。

今年下半年個人資料保護法即將上路，有64％的受訪店家表示將面臨更高的營運風險，近5成（49.6％）的受訪者認為民事賠償金2億元太高，而每一筆賠償金額最高2萬元也有42％受訪者認為太高。

面對新法上路，網購業者目前最缺乏的是資安技術專業人力，還有因應時間不足。至於網購業者目前在資訊安全的相關投資竟有51％業者表示在1萬元以下，而有52％的受訪者表示，資訊安全的相關投資佔總資訊投資金額的2％以下。

也因為中小型的網路商店資訊安全能力不足，不少業者期盼平台業者可以提供協助，例如提供電腦與帳碼密碼的設定教學等。

雖然個人資料保護法對於網購業者在資訊安全相關維護感到壓力，但另一方也有45％的受訪者認為，這有助於增加消費者上網購物的信心。根據調查，7成以上的消費者會因為資訊安全的議題而轉換網路商店。

http://tw.news.yahoo.com/%E4%B8%AD%E...213000615.html

[slob]

今年參加過資策會的講習，目前只針對中小企業導入資安及個資管理認證，
對於會議中一直提及的個人經營網路商店，卻沒有什麼應對的方法，
每每都避開這個議題!!

深深的覺得，這真的是對個人架站的網路商店是一大考驗，
甚至可以說已經難以營運，不可能經營得下去，
只要一個不注意，就是準備賠上所有的努力...
最後只能選擇大品牌的開店平台，才有可能去應對將來的種種問題...

[meme]

如果個體公司有經營自家網路商店者聯署跟上級反應,
經由公聽會與多次座談, 也許可擬出更周全的辦法
　

[cool]

資料的蒐集上，可能要愈簡單愈好。
一些比較個人隱私的資料，身份證字號、出生年月日、婚姻狀態....就不要設計出表格讓使用者填寫。

[boss33]

台灣大多是中小企業到微型企業
光是搞生產 行銷 客服 就已經是差不多人力用罄
所以開店平台才有商機

如果一直要求資安等級提高 鐵定到最後是大開店平台得利

[marklin]

大品牌的網路商店一大堆了
這給店家帶來了不少方便
不過也讓產品價格殺聲四起.

[Ricado]

不管是平台或是自己架設的網站，資安問題和個資問題不能混為一談。

以個資為例，再大的平台都還是可能會有個資外洩問題，而個資外洩問題不僅在於技術問題，絕大部分是管理問題，說更難聽一點，技術問題反而成為管理不當的藉口。

首先，當您下單之後，您的資料不是只有平台業者有這份資料，還包括刷卡銀行、接單銀行、物流業者、商品供應商...都會取得部分資料。除了銀行端部分，購物平台的PM、倉管、供應商、物流配送人員...這期間有多少人看了您的資料，而這些資料通常也都是一整份清單的。

以前透過網路購物寄給家父，連絡電話都會留自己的，有一次因為事先已知配送時間，當天不方便接電話，因此第一次留下家父的行動電話，第二天他便接到詐騙電話，請問這個是資安問題，還是管理問題。

另一方面，如果資料儲存，是以加密方式處理，即使駭客入侵，整個資料庫都帶走，沒有相對的解密程式，要如讀取資料。不要說個人資料沒有加密，連最重要的密碼都沒有做安全處理。一般來說，密碼大多是以MD5儲存較為安全，因此密碼忘了，應該是以重設密碼處理，但是某購物平台卻可以取得原來的密碼，表示密碼是可以反解、甚至明碼儲存。

最後更誇張的就是掩耳盜鈴。購物網站都會告訴我們，為了保護您的資料，您的信用卡號碼部分已 * 號表示，結果只有你看到的有*號表示，在後台可能全部是明碼。這讓我想到常常有清涼照加密碼之後，密碼被駭客破解，我就真的很佩服這些駭客，不指佩服他們的技術，最重要的是佩服他們可以那麼準確地找到那些帳號有清亮照。如果這個密碼只是在網頁上設定密碼保護，但是存放照片的電腦、硬碟，卻呒有任何的保護，任何一個內部網管人員都可以輕易地瀏覽。

反正出事，就怪給資安問題，讓駭客背黑鍋。頂多發表個聲明，本公司已強化系統安全，最多再找個資安顧問背書。

但是，如果是針對內控、管理、流程去檢討，對平台業者來說，鐵定是人仰馬翻。這一部分，小網站處理起來反而簡單，可能只要面對鏡子問子己有沒有偷看就好了。

可惜的是，個資法實施之後，不能再以技術問題當藉口，但是目前看到的卻全是在討論技術問題。

[slob]

以資策會目前推動的政策來說，
資訊安全與個資管理是兩個並行的重點，
首先針對資安部分，
會檢測該公司的系統是否能一定程度的抗入侵攻擊，
再看個資記載的部分是否違反個資法，
並要求接觸個資人員必須明定只限幾位，
且必須經過考核並記載監管閱覽紀錄，
而所有的網站操作都要記錄在案，
還有許許多多不下於ISO認證的繁雜規定，並要接受專門單位定期的輔導與測評，
合格之後能發給認證標章，
如此一來，當發生詐騙與個資糾紛，才能作為法官心證的有利依據...

這些認證程序，以中小型企業來說都難以配合，更遑論個人...
試想...就個人網路商店要導入ISO認證...這....

[citi]

>>資安問題和個資問題不能混為一談。

也許是角度的問題

以消費者的角度來說：我的個資外洩就是資安問題，我才不管你是哪個環節出問題，就算我取了一個很笨的密碼，那也是廠商的資安出問題！

以廠商的角度來說，我們只負責上架賣產品，資安和個資是平台方面出的問題。

以平台業者來說，就像你說的，刷卡銀行、接單銀行、物流業者、商品供應商都有機會取得個資，自家的管理可能是一個問題點、廠商的管理也是一個問題點點、銀行、資安、消費者又是其他的問題點，對平台業者來說，他無力去個別追蹤了解不同的問題點，所以對外說明時，只能選擇一個對自己殺傷力最小的來說。

對資安業者來說，對消費者講生硬的資安名詞實在太遙遠了，如果非從業人員，誰看得懂一堆英文縮寫的意思？如果把資安和個資綁在一起，才容易讓消費者明白自家產品的重要性，畢竟大家都不想被騙上新聞。

於是乎，故事就這麼樣去發展，當消費者的個資發生外洩的時候，平台業者在衡量輕重的時候可以把問題歸咎於資安，資安業者也很樂意藉由這個可以置入性行銷的機會對外說明資安的重要以及自家產品的優越，讓平台業者也可以對外說明我們已經採用新的資安系統，安定廠商和消費者的心，廠商也可以對消費者說明問題是出在資安，並建議消費者改更不符合人性原則的密碼，而非自家的管理端；消費者在新聞上看到平台業者採用新的資安系統後，又可以繼續安心設定很笨的密碼...

互蒙其利，各取所需罷了。