個資事件：把通報壓力轉成可執行的應變流程

很多企業的個資事件應變計畫，寫在制度文件裡看起來很完整：有通報表單、有聯絡清單、有事件分級，也列出法務、資訊、客服和公關的分工。但真正發生事件時，最常見的問題不是不知道要做什麼，而是不知道現在先做哪一件事。

客服收到客戶反映帳戶異常，資訊人員看到一批可疑下載紀錄，委外廠商通知儲存環境可能遭到入侵。這些訊息都可能是資安事件，也可能進一步成為個人資料事故。團隊若一開始就急著追究責任、撰寫公告，反而可能破壞證據，讓攻擊持續，或在事實尚未釐清前對外做出錯誤承諾。

本文不把第一時間想像成可以查完全部真相的時間。它的目標比較務實：先把損害控制住，建立可信的事件時間線，讓後續的法律判斷與對外溝通有可靠基礎。

...