公益數位轉型浪潮下,我們如何與資安危機共處?/專訪至善社會福利基金會

Fotis Fotopoulosr@ unsplash

文/特約記者  洪于倫

NPOst 延續今年震盪公益界的捐款人個資外洩事件報導,專訪支持亞洲兒少發展的至善社會福利基金會。事件中,至善基金會為其中一間遭受波及的社福團體,除了在第一時間發布反詐騙聲明、先後共寄發三次簡訊通知捐款人,後續也積極配合台灣公益團體自律聯盟,加強組織的系統管理與資安防護。在快速變化的數位時代,藉由至善基金會的經驗談,幫助我們思索公益團體的生存之道。

公益團體進入網路募款新紀元:金流線上化、資訊管理系統化、捐款人溝通社群化,資訊安全遂成為組織與捐款人的信任基礎。因此本次捐款人個資外洩事件,無論組織是否深陷其中,都是一場所有公益團體無法置身其外的震撼教育。面對事件,若是大事化小、小事化無,並無助於公益團體的數位轉型與募款動能,那麼在面對捐款人個資外洩時,組織對內如何採取緊急應變措施、如何與捐款人溝通,以及事件過後,如何提升資安意識,是當今公益團體刻不容緩的議題。

首要之務:捐款人溝通

今年8月11日,至善基金會陸續接獲捐款人反應,有心人士盜用組織名義進行詐騙。在確認遭受詐騙集團攻擊後,至善基金會即刻主動聯繫資訊服務商網軟科技,同步寄發簡訊通知捐款人,亦於Facebook公告反詐騙聲明。

在第一時間選擇向捐款人坦承個資外洩,至善基金會副執行長武庭芳說明:「捐款人是詐騙案的直接關係人,我們認為最該優先溝通的就是捐款人,必須確保後續不再有人受害,因此我們透過不同管道一一聯繫捐款人。」碰上詐騙事件,組織最擔心捐款人是否因此失去信任,武庭芳也和我們分享:「雖然部分捐款人接獲詐騙電話會選擇先停止捐款,但多數捐款人給予我們的反饋都是正向的!組織若能儘早聯繫捐款人,清楚告知詐騙手法與處置方式,他們會感受到組織是願意解決問題的。我們也發現捐款人之間會彼此提醒,如有接獲詐騙電話,也會先聯繫我們確認狀況,如此一來大幅降低了捐款人受害的機率。」

除此之外,至善基金會在每一個與捐款人的接觸點都新增了相關訊息,例如:在官方網站、Facebook粉絲專頁、捐款頁面上註明「組織不會撥打電話口頭向捐款人更改捐款金額」、「組織會聯繫捐款人的時間」,以及提供「165反詐騙專線」,與捐款人共同拉起第一道防線。

圖/至善基金會防詐圖卡(取自至善基金會粉絲專頁

然而詐騙集團的手法與策略鬼出神入,讓人摸不著頭緒。「9月中旬,我們發現詐騙集團進行第二波攻擊,利用上次竊取的資料分批聯繫,詐騙話術更從原先的『捐款設定有誤,需要詳細個資進行更改』到『詢問刷卡銀行,並假冒銀行方聯繫捐款者』,同時增加時效性讓捐款人緊張。」武庭芳坦言,第二波的爆發讓捐款人以為個資又外洩了,間接對組織失去信任。「同仁們都很自責與心疼,因為被詐騙的對象往往是跟隨組織多年,且行善心大半輩子的老年人。」也因此,除了寄簡訊通知捐款人,協助其辨別詐騙電話,組織內部啟動資訊系統革新、提升人員的資安知識刻不容緩,至善基金會的下一步就是要編織嚴謹的資安防護網,在組織與捐款人之間重新搭起一座堅固的信任橋樑。

從意識到行動:設立資管資源

回顧數位轉型歷程,多數公益團體欠缺資安意識與資源,在導入網路系統服務時只重視功能性、低成本,卻忽略最重要的資安防護;近年來,越來越多系統供應商開始開發公益團體適用的資料管理系統,以滿足公益界要大量管理捐款人資料、定期與捐款人聯繫及核對捐款細節等需求。然而捐款人是公益團體最重要的資產,在本次個資外洩事件中,我們也看見龐大的捐款人資料庫是詐騙集團求之不得的目標。系統供應商跨足公益界,卻因為不了解公益團體最重要的資安防護需求,沒辦法提供組織健全的建議與保障。

Caspar Camille Rubin@ unsplash

走過數位轉型的層層困難,武庭芳認為:「過去因為不瞭解而導致資安破口,雖然這次事件帶來傷害,卻紮紮實實地為團隊上了寶貴的一課。」至善基金會未來將系統部署至微軟Azure,由至善內部MIS專人維護與管理;網軟則負責程式碼維護。武庭芳也說明:「組織內建置MIS (Management Information System )專職,在未來將由專人與系統服務商溝通,進行資安管理與系統維護,定期檢核以強化資料庫的安全。;如有資安危機時,也有能力立即應變。我們也聘請專業人士,對全體同仁進行資安相關課程,提升組織的資安意識。除此之外,也將加強資料庫的權限管理:透過多因子驗證的方式,避免帳號資料外洩;限縮使用人員、存取範圍與登打資料內容;以及不再將新增捐款人的個資留存於資料庫。」

至善基金會對內補足專業技能,對外更要求資訊系統商加強防護措施,例如:清查與清除惡意程式、改善驗證機制、全面提升網路安全層級等。資安相關知識是組織面臨數位轉型時最重要的一環。

緊急止血之後:組織革新,邁向數位轉型

在數位轉型的世代中,公益界如何因應快速變動的網路環境以謀求生存之道,是所有公益團體共同的挑戰。作為台灣公益團體自律聯盟的一員,至善基金會在事件延燒後,便與聯盟及其他受害團體共同成立Line社群,彼此更新事件調查的進度報告,以及探討後續的行動方針。「聯盟可以協助釐清法律歸屬,並協助團體向刑事單位溝通,加速偵辦。」談及加入聯盟的益處,武庭芳認為人多力量大,團體彼此攜手,藉由聯盟能夠向外尋找更多資源。「未來希望能有更多資安教育的資源挹注。」

Hannah Busing@ unsplash

梳理至善基金會的經驗,面對資安危機,公益團體能以兩個面向來應對:

一、如何與捐款人溝通?組織發生個資外洩時,第一時間主動聯繫捐款人,讓捐款人瞭解狀況並提供協助。同時在捐款流程中,增加個資保護相關訊息,提前提醒捐款人組織聯繫時間與確認資料方式,預防捐款人受騙。

二、組織內部如何進行改革?對內加強資訊系統安全防護措施、改善組織內部的權限管理方式與驗證機制、在與第三方系統商合作時,明確訂定雙方的權利及資安條款。此外,提供全體人員資安教育,防範未然。
這次的資安危機歷時數月,影響的範圍不只是受害團體,更為公益界投下震撼彈,然而衝擊過後,公益團體是否能樂觀且快速應變,才是在數位轉型浪潮中的成敗關鍵。回首台灣的公益捐款歷史,在資源不平均的現況下,要達成改革,更需要團體共同協作、創新思考,期待公益團體能寫下新的扉頁。


延伸閱讀:公益捐款的歷史分頁:深陷資安危機,我們要如何續寫未來?/專訪陳文良

作者介紹

NPOst 編輯室

NPOst 編輯室

NPOst 公益交流站,隸屬社團法人臺灣數位文化協會,為一非營利數位媒體,專責報導臺灣公益社福動態,重視產業交流、公益發展,促進捐款人、政府、社群、企業、弱勢與社福組織之溝通,強化公益組織橫向連結,矢志成為臺灣最大公益交流平臺。另引進國際發展援助與國外組織動向,舉辦每月實體講座與年會,深入探究議題,激發討論與對話。其姐妹站為「泛傳媒」旗下之泛科學、泛科技、娛樂重擊等專業媒體。NPOst 臉書:https://www.facebook.com/npost.tw