三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件

  三菱電機informationsystems公司所研發用於圖書館的系統封包MELIL/CS造成引進系統的圖書館發生個人資訊外洩與Web館藏檢索系統當機的系統障礙。從2010年7月到9月因系統障礙,總共有3間圖書館,共2971人的姓名、出生日期、住址、電話及圖書名稱等個人資料外洩。

 

  有關個人資料外洩的經過,是因為三菱電機informationsystems公司在研發MELIL/CS系統時,先在引進系統的圖書館進行系統測試,於測試之後再將系統程式帶回公司修改,此時就不知情的將存有個人資料的程式帶回公司,也把這些資料登錄到產品的原始碼上。因此將進行測試的2間圖書館使用人約210人的個人資料登錄於該產品的原始碼上。
但發生個資外洩的直接原因更在於負責三菱電機informationsystems公司產品運作、維修的銷售伙伴千代田興產公司,該公司所設置的伺服器完全沒有設定權限區分,甚至不需密碼就可以連接該公司伺服器存取資料。因此發生第三人進入該公司伺服器,下載3個引進該系統圖書館約3000人的個人資料。

 

  另外對於Web館藏檢索系統當機的發生,是因為圖書館使用人為了獲取圖書館新增加館藏圖書的資訊,以自動蒐集資訊程式直接存取館藏資料庫所發生。三菱電機informationsystems公司當初在設定網路連接圖書館系統,是以一次存取可以連接10分鐘的方式,所以只要以連接頻率高的機械性存取,只要超過資料庫的同時連接數的設定數值,就會發生存取障礙。

 

  對於三菱電機informationsystems公司系統設計失當及千代田興產公司未設定伺服器存取權限所造成個人資料外洩事件,因為這兩家公司都是屬於財團法人日本情報處理開發協會(JIPDEC)的取得隱私標章企業,所以由JIPDEC依據隱私標章營運要領中的「有關賦予隱私標章規約」第14條規定,各處以由2011年1月起3個月的隱私標章停權處分。

相關連結
※ 三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=5455&no=57&tp=1 (最後瀏覽日:2026/05/22)
引註此篇文章
你可能還會想看
惠普 : 軟體專利是必要之惡

  智慧財產權議題涉及專利、著作權和商業機密,近年來因開放原始碼軟體而備受矚目。開放原始碼軟體可共享、修改和重新發布,和傳統專屬軟體的保密性和發布限制迥然不同。   許多開放原始碼與自由軟體倡議人士都痛批軟體專利,相形之下,惠普以擁有大量的專利為傲。2004年惠普一共獲頒1,775項美國專利,在美國排名第四。   惠普Linux負責人表示,開放原始碼程式設計師或許厭惡軟體專利的概念,但最好還是試著自我調適,因為軟體專利是不會消失的。且開放原始碼軟體是在著作權法的基礎上發展而成的,而專利比較麻煩,是因為程式設計師把專利視為削弱他們的自由。另一方面,企業則把專利看待成自家珍貴創意的保護傘。   惠普Linux副總裁Martin Fink批評開放原始碼促進會(Open Source Initiative;OSI)核准開放原始碼授權證書的作法太草率。去年8月,Fink曾指出,開放原始碼授權證書多達52種,實在太多了。現在數目變得更多,因為他抱怨OSI核准任何符合開放原始碼定義的申請案,卻不試著加以整併以強化開放原始碼業的基礎。只基於符合規格就核准授權證書,而未顧及進一步鞏固開放原始碼經營模式的能力,這會構成明顯而迫切的危險。   一家銷售智財權法律免責保險的公司說,調查顯示,Linux作業系統的核心(kernel)可能涉及283項專利侵權。惠普2002年也提醒眾人,微軟可能醞釀對開放原始碼軟體提出專利訴訟。但目前為止這些威脅尚未發生,而紅帽公司(Red Hat)和Novell揚言運用自家專利反制那類威脅,IBM和昇陽也表明不會針對開放原始碼侵犯的數百項專利提出告訴。

新加坡個資保護法責任指南

  新加坡個人資料保護法(Personal Data Protection Act 2012, PDPA)的基本原則之一在於可歸責性(Accountability)之建立,原因在於個資保護的責任歸屬,是組織對個資的持有與控制所為的承諾與責任表示。因此,PDPA第11、12條之法遵責任,組織必須對所持有或控制的個資負責,並且需制定並實施資料保護政策、溝通並告知員工相關政策、及履行PDPA義務所必須施行之流程與作法。於組織責任而言,PDPA雖有強制性義務責任,但應忖量組織內部責任歸屬的措施,而非僅將責任落於遵守法律的程度,組織必須從合於法規的方法轉為基於責任歸屬的方法來管理個人資料。   從而,該指南在政策、人員、流程等領域中透過資料生命週期的循環,確立組織責任歸屬。從落實良好的責任制始於組織領導力的概念出發,設定組織管理高層之職責與調性,繼而規劃處理個資及管理資料風險的方法。並由組織人員治理面向,確立溝通資訊與員工培訓知識與資源。除此之外,也在特定流程設置上,紀錄個人資料流動,了解如何收集、儲存、使用、揭露、歸檔或處理個人資料為流程的首要任務,繼而確認資料保護層面主要的差距與需要改進的領域。再將資料保護實踐於業務流程、系統、商品或服務。

加拿大CRTC制訂無線通訊服務契約之準則

  加拿大廣播電視和電信委員會(Canadian Radio-television and Telecommunications Commission,CRTC)將制訂新的準則,規範關於加拿大電信業者無​​線通訊服務契約之條款內容,所謂的無線通訊服務包含行動電話以及其他個人行動裝置,該準則之制訂並將透過網路諮詢收集公眾意見。   在多數的國家,無線服務已經與民眾日常生活密不可分,但難以理解的契約文字、有問題的條款、高昂的漫遊費用或繁重的契約解除費用等事項,時常是消費者對無線通訊服務抱怨的來源。加拿大無線通訊協會(Canadian Wireless Telecommunications Association,CWTA)曾在2009年推出一個業者自律的行為守則,在沒有政府管制的前提下,希望能提供較好的消費者保護。   然而由於加拿大各地方政府的消保規範不一致,除了對消費者權益保護不足外,相關無線通訊業者也感到難以遵行,因此於2012年3月呼籲應由中央管制機關制訂統一的規範。2012年10月,CRTC審視無線通訊市場,認為服務契約條款內容對民眾確實影響重大,許多加拿大民眾表示,對行動電話或其他個人行動服務的許多契約內容感到困惑,如去年(2011),消費者有關無線通訊服務的投訴量,即相當於其他電信服務之總和。故CRTC決定制定具有約束力的準則,幫助消費者選擇無線通訊服務。 本次CRTC邀請加拿大民眾透過網路討論以下問題: 關於無線服務契約之準則應該包含哪些內容? 有關的業者違反準則時,應如何投訴解決呢? 無線服務契約準則應如何推動及審查,以確保其能正常運作呢?   對此,CRTC主席Jean-Pierre Blais表示:「我們希望加拿大民眾參加網路討論,表達對於無線服務契約準則之意見,例如如何使服務契約能更清晰、更容易理解等。」在這份準則制訂完成後,將提供無線通訊服務之業者在制訂服務條款時,有一個明確的、一貫的遵循內容。

再工業化!?美國推動先進製造知基礎法制政策研析

TOP