您不可不知的─資料偽裝
知道防止資料外洩的重要
企業多元化經營，從網路交易金融卡及RFID相關的應用等等，這些商業模式的快速發展，都須仰賴大量資訊系統有效的處理資料來達成。隨著應用範圍的越廣，資料的可用價值也隨之提高，儼然已成為一種有價的資產，對許多企業來說，是維持其營運及獲利的主要基礎，但就因為如此，也讓資料本身成為有心人士謀取利益的目標。面對因資料外洩所引發的後果，恐怕不只是利益上的損失，甚至還有可能賠上企業長期以來塑造的形象，因此，近年來企業界莫不積極尋求有效的防護措施，以維護資料的安全及防止資料外洩。
您的企業做好資訊保護工作了嗎？
回顧近幾年來，國內幾起重大資料外洩的事件，例如：
2002年9月偽卡集團涉嫌勾結某公司工程師，盜取高達一百萬筆以上客戶信用卡內外碼資料及金融卡資料。
2004年5月刑事局員警、某電信員工涉嫌將客戶之個人資料外洩，販賣圖謀暴利。
2004年12月某科技公司涉嫌利用職務之便，將四千多萬筆的客戶電話及住址另存，轉售他人，從中謀取超過兩百多萬元的暴利。
2005年6月美國花旗銀行遺失390萬客戶資料磁帶。
上述事件帶來的影響有利有弊，就『弊』而言，直接造成民眾個人資料與隱私的曝光，及該企業的形象蒙上一層陰影；就『利』而言，事件透過媒體的報導渲染，除了讓民眾體認到保護個人資料的重要性，也讓民眾會傾向慎選符合標準、規範嚴謹的企業。因此，在民眾對保護個人資料意識抬頭的同時，我們不禁要問，企業您是否已做好資訊保護的工作了嗎？
受到一連串的重大資安事件頻傳的影響，不僅企業利益蒙受損失，民眾更是心驚膽戰，深怕自己就是下一個受害者。往好處看，這也迫使政府及企業開始正視並落實資安問題的因應措施，也開始制定相關法規，目前為維護資料安全所制定的措施，如下：
法令規章：
- 電腦處理個人資料保護法
- 國家機密保護辦法
- 行政院及所屬各機關資訊安全管理要點
- 保險業個人資料檔案安全維護計畫標準
- 銀行法
- 金融控股公司法
企業安全控管：
- 加強稽核對資訊安全與程序的要求
- 資訊安全管理系統建置ISMS（Information Security Management System）
- 購置輔助工具，強化安全監控防堵資料外洩漏洞
但是，這樣的規範或防護措施難道就夠了嗎？！這樣真的就能杜絕資料外洩的問題不再發生嗎？！
面對資訊安全的威脅，資料需要偽造
從上圖一資料外洩的多數案例來看，可以發現資料外洩最大的威脅其實是來自內部人員的操守出現瑕疵，其中包含企業本身的員工或外包廠商人員，利用職務之便將資料帶出販賣以獲取暴利。但是企業為滿足市場市求，必須多元化經營，多數的技術須仰賴專業廠商來協助開發，惟有時為了趕進度及正確驗證系統，在測試階段通常會提供營運資料進行測試，這時就會讓企業的重要資料陷入可能被外洩的危機中，因此，為提供完好的測試資料又能兼顧安全性，「資料偽裝」的工作就顯得相當重要。
利用資料偽裝，建立完整又安全的測試資料
究竟什麼是完整的測試資料呢?該如何使用它呢？對單一筆資料或單一個資料表做偽裝並不是太困難，但如果是同時對多筆資料或是多個有關聯性的資料表來進行處理的話，要做偽裝可就不是件簡單的事，因為我們在做資料偽裝的同時，還須兼顧資料的「完整性」、「延續性」及「可用性」，要能符合上述三項條件才是我們規劃及處理資料偽裝作業的主要目的。舉例來說（圖二之一）（圖二之二），當資訊人員需要取得營運系統部分客戶及其相關訂單資料來作為測試資料，如果對Customer檔的CUSTNO欄位做了偽裝處理，那相對的Order檔內的CUSTNO欄位也必須做到相同處理，如此一來，當我們使用這份測試資料時才能順利的由偽裝過的客戶編號（CUSTNO）取得相對應的訂單資料，透過同步的偽裝，讓有關聯性的資料才能維持測試時的「完整性」、「延續性」及「可用性」。要知道系統實際的應用，及與資料間的關係更是複雜，還必須同時考慮哪些欄位需偽裝、哪些欄位需保留真實資料等...，因此，想要確實做好資料偽裝工作並不容易，目前多數企業資料偽裝的方式大多請AP人員針對部分欄位用取代部份字元來做處理，這樣其實是很不確實的作法，必須使用有效的步驟及方法來協助我們做好這樣的工作。
資料偽裝的步驟及方法
在資料偽裝的作法上，有其一套方法論，那澿我們需要先了解要做資料偽裝工作的正確步驟及方法，如：
*Analyze：每次的偽裝作業，需先瞭解資料應用目的，及被使用的資料中有哪些是敏感性資料，這樣才能事先分析資料結構、複雜度、及資料與資料間的關連性、還有會造成資料有敏感問題的因素有哪些？這樣有了正確的分析前置作業，才能達到偽裝的目的，同時又不影響資料在使用上的正確性。
*Design：在完成分析後，接下來要規劃偽裝的策略，例如來源的挑選、權限規則、欄位本身或是欄位與欄位之間的模糊程度、該套用哪種方法及資料產生的方式央C
*Develop：偽裝資料的方式通常有下列幾種方法（圖三），可運用這些方法交互使用：
*Encrypt透過演算法，將資料加密處理，在加密過程中可同時加入KEY值，當有需要時，可利用KEY值將加密資料還原。
*Translate：透過轉換表的方式，對欄位內的資料，或是部份字串取代為其他資料，維持其可讀性。
*Age：將日期欄位作日期的加減
*Mask：常用在現顯示電話號碼帳號之類的，將部份字元用符號或指定字元取代
*Generate：循序、隨機或套用方式自動產生欄位數據
*Deliver：管理者依據環境佈署資料，包含數量、資料格式等等
透過這些步驟及方法才能將資料偽裝的工作做得確實，從這些步驟及方法的運用來看，需要花費相當人力成本來做相關規劃及程式的開發，但要怎麼做才能符合效益呢？
如何迅速做好資料偽裝工作？
如同資料安全在其他環節所做的，運用適當的設備及專業的監控軟體來防範人員的疏失及外來的入侵。事實上，資料偽裝是一項專業技術，面對多樣且複雜的系統，需透過輔助工具才能正確、有效的做好偽裝相關規劃及開發工作，例如針對主機環境，叡揚資訊代理美國Compuware公司的File-AID/Data Solution機制，即提供上述的各項偽裝方法（圖四）。
File-AID/Data Solution功能畫面對Distributed環境，則可利用File-AID/CS從旁輔助，File-AID/CS運用資料的關連性，能快速簡便的完成資料挑選、同步偽裝及產生各種環境資料的動作（圖五之一）（圖五之二）（圖五之三）。
此外，File-AID/Data Solution和File-AID/CS可利用Batch方式來處理大量資料及日常作業達到自動化作業，不需撰寫任何程式，便能有效規劃、減少程式人員負擔，同時提高作業效率，更重要的是，能確實完成資料的保護。
總結
現階段對於資料偽裝的標準仍缺乏明確的規則，企業雖然開始正視此問題但仍未積極有效的規劃與運作，需明白「預防勝於治療」，早一步行動，就能儘早為您企業的資產（資料）做好安全把關。