企業資安資料毀損：法律追訴與自保指南

企業資安資料毀損：法律追訴與自保指南

資安威脅日益嚴峻，企業營運高度依賴數位資料，一旦面臨資安攻擊、內部人員惡意操作導致資料毀損，不僅可能造成營運中斷、商譽受損，更可能面臨巨大的經濟損失。身為企業資安被害人，您是否感到無助？其實，台灣法律為您提供了捍衛權益的武器。本文將深入解析企業資安資料毀損的法律責任，並提供實務應對策略，助您在危機時刻有效追究責任並重建資安防線。

核心法條解析：捍衛企業資料的法律武器

當企業的電腦資料遭受無故刪除或變更時，主要涉及的法律責任如下：

中華民國刑法第359條：妨害電腦使用罪

這是處理電腦資料毀損最直接且重要的刑事法條。它保護的是電磁紀錄的「完整性、可用性與機密性」。

《中華民國刑法》第359條：「無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄，致生損害於公眾或他人者，處五年以下有期徒刑、拘役或科或併科六十萬元以下罰金。」

這條文的關鍵在於：

• 行為客體：他人電腦或其相關設備的「電磁紀錄」，涵蓋儲存在任何數位介質上的檔案、程式、數據等。
• 行為態樣：「無故」取得、刪除或變更。所謂「無故」是指沒有正當理由、法律依據或權限。
• 結果要件：「致生損害於公眾或他人」。此損害不限於經濟損失，只要導致電腦使用人對重要資訊的控制、完整性或可用性受損，即已構成。

中華民國刑法第352條：毀損文書罪

在《刑法》第359條增訂之前，實務上曾將數位資料解釋為「準文書」而適用本條。但現在有了更專屬的第359條，因此在電腦資料毀損案件中，應優先適用《刑法》第359條。

《中華民國刑法》第352條：「毀棄、損壞或致令不堪用之文書或物品，足生損害於公眾或他人者，處三年以下有期徒刑、拘役或三萬元以下罰金。」

民法第184條：侵權行為損害賠償

除了刑事責任，企業資安被害人也能依據《民法》向行為人請求損害賠償。

《民法》第184條第1項前段：「因故意或過失，不法侵害他人之權利者，負損害賠償責任。」

這表示無論是故意的惡意破壞，或是因過失導致的資料毀損，只要造成企業損害，行為人都可能需要負擔民事賠償責任，賠償範圍包括所受損害及所失利益。

特定關鍵基礎設施之特別法規

對於電業、產業創新、水利、全民健康保險等領域的「核心資通系統」，相關法律設有更嚴格的處罰規定，例如《電業法》第71-2條、《產業創新條例》第66-2條等。這些條文針對危害國家重要基礎設施資通系統功能的行為，處以更重的刑罰，顯示國家對於這些領域的資安有更高的保護要求。

關鍵法律概念，企業必須懂！

理解以下幾個法律概念，有助於企業判斷是否遭受資料毀損侵害：

• 電磁紀錄：指以電子、磁性或其他物理方式，所記錄、儲存、處理或傳輸的資料。不限於實體硬碟，雲端資料、程式碼、圖片、影音等都是。
• 無故：指行為人缺乏正當理由、法律授權或被害人同意。即使是公司內部員工，若其行為超出職務權限，也可能構成「無故」。
• 刪除：使電磁紀錄消失、無法讀取或無法正常使用的行為。包含透過作業系統刪除、格式化硬碟、使用資料清除軟體等。
• 致生損害：損害不限於經濟損失。只要重要資訊的「完整性、正確性或可用性」受損，例如公司研發資料消失、客戶資料管理受影響，即使有備份但回復耗時耗力，都可能被認定為損害。

企業資安毀損實務案例：從他人的經驗中學習

以下透過兩個真實案例改編的情境故事，讓您更了解資料毀損的法律責任：

案例一：離職員工的「最後一擊」

某科技公司研發部門的資深工程師阿明，因不滿公司資遣，在離職當天晚間，利用職務之便將公司配發電腦硬碟D槽內的數十個專案檔案進行格式化。這些檔案包含重要的研發數據與客戶資料，公司雖然有部分備份，但因不完整且回復耗時，導致新專案進度延宕，造成公司重大損失。法院最終認定阿明構成《刑法》第359條「無故刪除他人電腦之電磁紀錄罪」，判處有期徒刑。

本案啟示：離職員工對公司資料的處理必須極度謹慎。企業應建立完善的離職交接與資安稽核程序，並確保重要資料有完整且異地備份。

案例二：惡意清除研發機密

另一家軟體開發公司的研發經理老王，在跳槽前夕，為了報復公司並阻礙競爭對手，多次使用專業資料清除軟體，將公司配發筆記型電腦內數千筆與營業相關的研發專案檔案徹底刪除，並確認無法還原。這些檔案是公司耗費巨資與數年心血的智慧財產，雖然老王聲稱有備份，但因資料無法全部回復，導致公司研發停擺。法院最終認定老王構成《刑法》第359條「無故刪除他人電腦之電磁紀錄罪」，處以有期徒刑。

本案啟示：「損害」的認定不限於直接經濟損失，資料的完整性、可用性受損即構成。即使有備份，若無法完全回復或回復成本高昂，仍屬損害。企業應強化智慧財產保護，並對核心資料進行分級管理。

企業資安被害人，下一步怎麼走？實務操作指引

當企業不幸成為資安資料毀損的被害人時，應立即採取以下行動：

1. 立即保全證據：這是最關鍵的第一步。應立即停止受影響的系統運作，並尋求專業資安鑑識公司的協助，對受損電腦、伺服器、網路設備等進行鑑識，蒐集所有可能的數位證據，如系統日誌、連線紀錄、操作紀錄、刪除行為的時間戳記等。這些證據將是後續追究法律責任的基礎。
2. 進行內部調查與損害評估：釐清資料毀損的範圍、類型、時間點、可能的行為人及影響程度。評估對營運、客戶、合作夥伴造成的實際損害，包括直接損失、間接損失及商譽損失等。
3. 檢視資安政策與權限管理：重新審視公司的資安政策、資料存取權限管理機制，找出漏洞並立即補強。確保員工僅能存取其職務所需之資料，並定期審查權限。
4. 強化備份與復原機制：確保所有重要資料都有自動化、定期且異地儲存的完整備份。並定期測試備份資料的完整性與可回復性，以縮短災害復原時間（RTO）與資料損失容忍度（RPO）。
5. 優化員工離職程序：對於離職員工，應立即收回所有公司配發的電腦設備，變更相關帳號密碼，並進行資料交接與稽核。與員工簽訂保密協議，明確約定離職後對公司資料的保密義務及違反後果。

結語

面對日益複雜的資安威脅，企業除了強化自身的資安防護能力外，更應了解自身的法律權益。當不幸成為資安資料毀損的被害人時，務必保持冷靜，迅速採取證據保全與損害評估措施，並善用法律工具追究不法行為人的刑事與民事責任。唯有如此，才能有效捍衛企業資產，並為未來的資安防禦積累寶貴經驗。