時事關注

因應數位發展,國家資安治理能力亦須升級
范秉航

2017/11/21
繼2016年7月第一銀行遭東歐駭客集團從倫敦遠端遙控侵入41台ATM,盜領8,327萬多元之後,今年10月3日遠東銀行國際匯款系統SWIFT交易系統異常,駭客盜轉約18億元新台幣至柬埔寨、斯里蘭卡與美國三地。除了金融業,Yahoo在2013年遭駭客入侵後,至今年10月才公布真正受影響帳號高達30億個。而早在5月份受到各界矚目的WannaCry勒索病毒,也在今年下半年爆發疫情,估計全球經濟損失達80億美元。根據今年趨勢科技所發布的2016年資訊安全總評報告指出,資安威脅逐年攀升,其中勒索病毒數量從2015年的29個暴增至2016年的247個,成長7.52倍。
對此,行政院去年8月成立資通安全處,掌理國家資通安全政策研議、法案審查、計畫核議、業務推動、督導及管考等業務;國家資通安全技術服務中心則由該處委辦及督導相關業務,包括提供政府機關事前安全防護、事中預警應變、事後復原等資安技術服務;經濟部標準檢驗局專責訂定資通訊安全標準。而在法規層面來說,我國目前已有與資通安全相關之相關法條或規範,但因立法目的不同,對於資訊類型、保護對象、適用範圍、規範對象等都有所差異。目前尚無以國家整體資通訊安全為主要考量,以風險管理為核心,建立完整的資通安全維護計畫及通報應變相關機制。也因此,資通安全處在今年4月擬具「資通安全管理法」草案,並送請立法院審議。
我國「資通安全管理法」草案總共有行政院、立委陳亭妃、時代力量、立委余宛如、立委許毓仁、親民黨等六個版本,目前主要討論的焦點集中在行政院版之上,其中最大的問題來自於國家資通訊安全機制的整體架構並不明確。資安作業是一套龐大的分工合作體系,因此精準治理架構是決定資安作業能否有效的關鍵。
以上六個版本的主要範本援引自美國《聯邦資訊安全現代化法》(Federal Information Security Modernization Act,FISMA),該法於2002年完成立法,經歷2012與2014年兩次修正,針對實務中所發現的問題予以更新。FISMA所設計的資安組織架構包含數個部分:(1) 資安防護標準之制定:NIST (National Institute of Standards and Technology,國家標準技術研究院);(2) 政策制定及業務監督:國土安全部與國家情報總監;(3) 政策執行單位:各級行政單位依規模大小分社資安長或資安工作人員;(4) 技術支援單位:聯邦資安事件中心:(5) 稽核單位:檢察總署或其指派之獨立外部稽核人員;(6) 上級監督或業務協調:國會、國家情報總監、國土安全部部長、國土安全委員會、政府改革委員會等。
回到行政院版草案上,架構與權責分工並不明確。「政府」負責資安人才培育、科研整合與應用、資安產業發展、機制推動等;「行政院」負責標準的制定、技術支援、稽核;「中央目的事業主管機關或直轄市、縣(市)政府」負責指定關鍵基礎設施報請行政院核定,稽核與管考資安維護計畫,派員進入非公務機關場所檢查。而其中最具爭議與問題之處有三,首先是專業分工,草案中並未明定權責單位,最終若都須回到行政院資安處協調與執行,確有其是否具備足夠行政能量的疑慮;其次是對「非」公務機關的行政檢查,需要明訂審查機制與執行標準,否則恐將侵犯私權;最後行政院版第五條指出得委任或委託其他公務機關、法人或團體,辦理資通安全整體防護、國際交流合作及其他資通安全相關事務。此舉旨在替資安技服中心量身打造的法源依據。然而,對委託業務具有代行公權力與保密義務的單位,是否適合以招標委託的方式辦理,實應有所斟酌。
針對資安法的推動,應朝兩個方向著力。首先是公私分離,資安法重點應先放在政府機構如何落實國家資通訊安全防護,並透過立法方式調整目前尚未明確的公部門權責分工結構與資源,並非將國家資安壓力透過行政檢查或罰則轉嫁予民間業者。其次是治理架構的專責分工,主管機關可區分為「資安治理」、「資安管理」及「資安標準」三類。「資安治理」(行政院資安處)為「政策制訂及業務監督者」,建立治理架構,並透過評估、指導與監督等作為,督導資訊安全管理機關之執行;「資安管理」為「政策執行單位」(各級行政單位),遵循治理架構所形成之指導原則,規劃並建立組織適用之管理機制;「資安標準」(經濟部標準檢驗局)訂定資安防護標準,並提供與資安認證與服務體系。資安技服中心則是扮演技術支援角色,以補足目前各主管機關之技術缺口。
在數位科技發展與網路普及下,政府相關部會均積極推動數位化建設,如數位人才、數位基礎建設、智慧城市、金融創新、物聯網等。然而,資安即國安,在數位建設之餘,資通訊安全的提升成為刻不容緩的課題。其中資安治理是政府單位必須養成的能力,也唯有更具效率的國家資安機制,才能創造出更寬廣的數位創新經濟發展空間。
 

本院:104 台北市中山區德惠街16-8號
電話:總機 +886 (2) 2586-5000,傳真 +886 (2) 2586-8855 聯絡我們

南台灣專案辦公室:807 高雄市三民區民族一路80號43樓1-2
電話:(07)262-0898,傳真:(07)398-3703,聯絡人:詹佳融

© 2015 台灣經濟研究院 版權所有. 隱私權聲明