“外包员工信息泄露，企业也有责任”……釜山deepfake事件敲响警钟

就最近发生的外包维护和维护员工删除釜山地区一所学校教职员工的22万份电脑文件并制作深度伪造性剥削材料的事件而言，有人呼吁对公司外部人力资源管理系统进行全面重新审查。

该事件被评价为超越单纯个人犯罪的案件，暴露了外包企业管理监督责任和信息保护制度的漏洞。特别是，人们担心类似的信息泄露事件可能发生在外部人员经常参与的企业环境中，例如IT（信息和通信）维护和设施管理。

据法律界14日消息，现行个人信息保护法第二十六条规定，受委托的公司必须对受托人的个人信息处理过程进行管理和监督。解释是，如果外包人员访问工作电脑或云系统并泄露信息，外包公司也很难逃避责任。

大纶律师事务所张智云律师解释说：“法院判断的是对受托人的管理和监督义务是否忠实履行。如果企业没有妥善建立控制体系，即使受托人有违法行为，也很有可能导致企业承担责任。”

张律师特别担心的是，许多公司认为他们在外包合同过程中仅仅通过签署保密协议（NDA）就已经履行了法律义务。他指出，“NDA可以作为事故发生后追究责任的依据，但它在证明管理体系事先到位方面存在局限性。”

他补充说，“在很多情况下，当外包公司规模较小或缺乏资金时，事后索赔实际上很困难”，并补充道，“最终很可能由公司直接承担财务和法律负担。”

张律师还强调，企业安全系统最近正在从“基于信任”的方法转变为“零信任”的方法。解释是，需要一个结构来系统地控制外部人员和内部员工并保存所有记录。

他建议：“必须建立内部PC自动锁屏、数据泄露防护（DLP）系统和存储介质控制解决方案。我们还需要一个日志管理系统，可以客观地检查外部人员是否单独工作以及文件访问记录。”

他还表示，“合同中不应包含简单的赔偿条款，而应包含无需证明实际损害即可索赔的处罚条款”，“要求外包企业投保网络安全责任险也是现实的风险应对措施。”

张律师强调，“这一事件最终表明，仅靠人的信任是不可能实现信息保护的”，并补充说，“企业安全应该基于可验证、可记录的控制系统来运作，而不是基于个人道德。”

[查看全文]

“外包员工信息泄露，企业也有责任”……釜山deepfake事件敲响警钟（链接）