Amex ordered to implement access controls after privacy breaches

•此次洩露事件源於一名美國運通員工在與一名前客戶的個人關係期間及結束後，跨越五個內部系統未經授權存取了該客戶的敏感數據，凸顯了內部威脅的風險。
•澳洲資訊專員辦公室 (OAIC) 的指令明確要求美國運通在六個月內，於五個相關系統中實施「帳戶級別的存取日誌和操作日誌」，以建立員工存取或操作客戶記錄的時間戳記錄。
•美國運通還必須建立技術控制措施，以限制員工對特定客戶資訊的存取，特別是針對「弱勢或高知名度持卡人」的個人化聯絡安排。
•OAIC 在調查報告中指出，美國運通本可以合理地實施「即時 (Just-in-Time, JIT) 存取控制」，即在沒有時間限制觸發因素（例如客戶主動驗證）的情況下，阻止員工開啟客戶記錄，而非僅依賴基於角色的權限。
•除了實施安全控制外，美國運通還被勒令向投訴人支付經濟和非經濟損失賠償，報銷相關費用，並由公司高級代表簽署書面道歉信。

帳戶級別存取日誌和操作日誌 (Account-level Access and Action Logging)：要求在五個相關系統中實施，以建立員工每次存取或操作客戶記錄時的時間戳記錄。
限制性技術控制 (Restrictive Technical Controls)：需建立技術措施，以限制員工對特定客戶資訊的存取，特別是針對弱勢或高知名度客戶的數據。
即時存取控制 (Just-in-Time, JIT Access Controls)：OAIC 建議採用此類控制，以防止員工在沒有時間限制觸發因素（例如客戶主動驗證）的情況下開啟客戶記錄，而非授予對系統中所有資訊的常規存取權限。美國運通最初以不合理和不切實際為由拒絕了此要求，但被專員駁回。
內部威脅緩解 (Insider Threat Mitigation)：調查強調了內部安全風險作為一個重大威脅，特別是在處理大量個人資訊的金融服務等行業中。
違反澳洲隱私原則 11.1 (Breach of Australian Privacy Principle 11.1)：美國運通因未能採取合理步驟保護個人資訊免受未經授權的存取，違反了《1988 年隱私法》中的澳洲隱私原則 11.1。

澳洲金融服務業將面臨對內部威脅和存取控制更嚴格的監管審查。

OAIC 的裁決明確強調了內部安全風險的重要性，並將其視為金融機構安全策略的核心組成部分，這將促使其他機構加強防範。

「即時存取控制」等先進存取管理技術可能成為澳洲數據安全合規的新行業標準。

儘管美國運通最初反對，但 OAIC 仍堅持認為即時存取控制是合理的，這為未來監管機構對數據存取管理的要求設定了先例。

未能充分保護客戶數據的公司將面臨更高的財務和聲譽成本。

美國運通被勒令賠償投訴人並公開道歉，這表明監管機構將對隱私洩露事件採取更嚴厲的懲罰措施，包括經濟和非經濟損失。

2022-11-24

OAIC 收到針對美國運通涉嫌數據洩露的投訴。

2023-03

OAIC 針對客戶投訴啟動對美國運通的調查。

2025-10-17

OAIC 發布關於美國運通調查的聲明，指出已發布初步意見。

2026-06-15

OAIC 發布調查摘要報告，認定美國運通違反《隱私法》並命令其賠償投訴人。

2026-06-16

OAIC 正式指令美國運通在六個月內實施統一的帳戶級別存取和操作日誌。

Amex 因隱私洩露被勒令實施存取控制