個資盤點可說是因應個資法的第一步，唯有確實掌握個資標的及位置，才得以執行接下來的保護措施。而依法規規範，個資盤點工作需調查的範圍包含紙本與電子檔案，去年個資法剛上路時，多數是仰賴人力執行全面性調查，但是在作業程序中，人力介入越多，就越難避免出錯，因此因應法規遵循需求而生的自動化盤點工具，可說除了協助提高盤點效率，同時也避免人為錯誤發生。
協助輔導過許多企業因應個資法的資策會科法所科技應用法制中心法律研究員蕭崴仁指出，一般建議執行盤點方式，會分為縱向面與橫向面來看。前者是以人或者所經手的個資資料為標的；後者則是個資檔案本身，從一開始蒐集產生，之後的處理與利用，到最後刪除銷毀皆應涵蓋。
就資訊技術的角度而言，自動化盤點工具應該要能辨識每個人電腦中所存放的個資資料，也就是縱向面，並且能加以統計總數。「因為盤點只是因應個資法的第一步，後續還要據此資訊進行風險管控、調整工作流程，以進行PDCA（Plan-Do-Check-Act）的循環，來逐步改善。若經由盤點所取得的資訊不夠完整，甚至是錯誤百出，皆會讓後續控管作業失效。所以一開始要利用自動化盤點工具來確認，到底每個人手上擁有哪些個資資料，這是我們希望透過工具能夠達到的目標。」蕭崴仁說。
但是若要達到法規要求的「全面性」，自動化盤點工具其實仍無法全數涵蓋。資策會科法所科技應用法制中心法律研究員賴怡秀說明，主要是因為在企業的工作流程中，仍相當仰賴紙本文件，非數位化的個資盤點同樣是不可或缺的一環，此時仍舊需要人工調查，再利用盤點工具確認是否有遺漏。
加入執行保護與追蹤
去年率先推出自動化個資盤點工具的Openfind P-Marker，經過一年多累積客戶端實作經驗與回饋，日前版本再更新，在P-Marker 2.0新版中進一步增加檔案加密、搬移、排除等機制，並統整與比對執行記錄檔，供管理者檢閱個資處置狀態，以利日後改善保護措施，讓個資盤點工作如今不僅只做調查統計，亦可提供基本保護與分析改善。
 |
| ▲Openfind P-Marker 2.0新版提供的Reader，讓使用者自行查看本機中存放的個資檔案，並可選擇適當的處置狀態。（資料來源：Openfind） |
Openfind產品經理王銘賢表示，前一版的P-Marker原本很單純只是用來把個資檔找出來，之後再利用Excel來統計報告。「沒想到客戶的反應大出意料之外，P-Marker就像把封裝個資的『潘朵拉盒子』打開了，突然找出一大堆個資，反而成為另一種困擾，」因為公司必須針對找到的個資制訂保護政策，例如加以刪除、搬移到某個受保護的儲存區域統一保管，或是直接加密。但散落於各台電腦中的檔案，需要逐台一一處理，相當耗費IT人力。
於是在P-Marker 2.0新版中提供免安裝的P-Marker Reader，使用者只要在電腦上開啟此介面，就會先讀取該電腦經過盤點程式執行後的記錄檔，清楚列出本機中含有個資內容的檔案清單，並且在P-Marker Reader加入處理機制，使用者可選擇執行加密、搬移至伺服器，或是設為白名單排除的動作。其中，檔案加密功能是利用Microsoft Office和Adobe內建提供的加密及其函式庫（Library）來執行。不論使用者最後選擇何種檔案處置措施或不予理會，皆會被留下記錄，讓管理者事後可追蹤查看個資保護措施執行狀態。
「從客戶的實際使用經驗來看，不管盤點工作是人力、工具協助，都需要不斷定期查檢，以避免資料、人員異動時，個資檔案的保護會有遺漏。因此我們認為，要有效控管個資檔案至少要做到盤點、處理個資檔案、管理者觀看改善狀況，此三步驟必須定期循環，才能確保所有個資皆有進行適當的保護措施。」Openfind線上服務部協理李孟秋補充。
除了檔案也盤點網頁
另一款Privacy ID自動化個資盤點系統，是由在資安顧問領域相當資深的安資捷執行長陳勇君所規劃設計。Privacy ID程式掃描工作主要是運作在Windows的伺服器與桌面端環境，至於其他非Windows的系統，則提供透過網路芳鄰的方式來執行，例如利用連線網路磁碟機來掛載非Windows環境的資料夾，同樣可作為Privacy ID掃描的標的。
除了檔案型的自動化盤點工具，安資捷亦提供動態網頁的個資盤點。陳勇君說明，第一次先執行模擬使用者存取行為後取得靜態網頁資料，會先由客戶判斷哪些網頁出現個資屬於正常，並予以排除。之後再執行，萬一發現有其他網頁出現個資，就可能屬程式邏輯出問題所導致。若沒有即時發現，萬一經由搜尋引擎爬取（Crawler）過後，很可能因此造成個資在網路上四處流竄，就如同日前知名銀行的網銀程式錯誤讓大筆個資外露，其後果不堪設想。利用此動態網頁盤點來確認程式邏輯設計是否正確，即可避免類似情況發生。
 |
| ▲安資捷自動化個資盤點工具，可支援23種檔案格式、資料庫、網頁應用程式，皆為盤點服務範圍。（資料來源：安資捷） |
陳勇君表示，盤點工作只是因應個資法的初始階段，盤後處置動作同樣不可忽視。他認為，若控管策略選擇搬移集中管理，日後就必須確保「資訊不落地」，也就是要存取伺服器中的個資檔案時，需透過Google Docs或Office 365這類雲端文件編輯服務，來直接開啟檢視、編輯、列印。」
若是控管策略採分散管理，也就是個資檔案需保留在原來位置，就需要搭配DLP（Data Loss Prevention）來管控。「但不論最後控管政策採取哪一種措施，安資捷不僅提供盤點工具，後續還會協助客戶導入合適的解決方案，因為我們主要是以顧問服務的角度協助客戶建立個資防護架構，因此除了盤點工具以外，在架構中需要的額外防護機制，亦會由合作夥伴來提供。這點可說是安資捷跟其他盤點工具較大的差異。」