如果有人讀過由去年諾貝爾經濟學奬得主 Richard H. Thaler 的《不當行為》，也許就會開始學習如何當一個理性的經濟學者，而不被衝動或個人習慣沖昏頭進行不當的消費。書中所提到的一些概念其實更可以運用在各個場域裡，包括已參與幾次的座談會到今日公聽會的「資通安全管理法」。
法學專家們的疑問
大概整理了幾點：
- 如何避免技術性的規避或離開市場？
- 行政救濟的相關事項。
- 擬這套法案時參考美國、日本、新加坡等這些國家的依據是什麼？是經濟或科技發展情況還是剛好搜尋到這個國家有這套法律，所以拿來用？
- 這部「資通安全管理法」的主管機關是台灣的行政院，行政院主要是整合政策的功能，本身無執法的能力，僅能要求被管制者義務執行，也就是主管機關的管制責任是空虛的。
- 參考的國家都有編制專責的單位與規劃預算，如果在台灣這套法令通過了，開始實行了，有編制的人力嗎？執行的能力嗎？可能沒有。
- 「資通安全管理法」有主管機關，但「個人資料保護法」沒有主管機關。這兩部法一樣重要，但為什麼會有這樣的差異？
關於「關鍵基礎設施」的定義
在原本草案最具爭議性的第十八條被刪除後，大家的著眼點則放在「關鍵基礎設施」的定義，是否以行政院國土安全辦公室所定義關鍵基礎設施為主或是應該以網路服務設施作為關鍵基礎設施。
去年 12 月20日，幾個立法委員又開了一場座談會，那時我看到了朋友傳來的會議照片，我對朋友說，我所想到的關鍵基礎設施是這麼分類的：
- 優先該規範的應該是與網路有關的硬體建設：通訊基地台、線路、交換中心、資料中心、電信公司….然後再分等級。
- 次要為是建立在這些網路基礎建設之上的，有迫切性、與人權、人身安全及民生有優先需求的基礎建設或服務：國防(他們不談不然這會優先)、能源、醫療、照護事業、交通等基礎建設。
- 再來是與日常經濟活動相關的銀行金融、商業行為等相關應用與服務。
檢視立法的目的
由於今天的公聽會讓我感受到只是邀請專家學者為委員們上課，當IThome的記者朋友回饋她多年來處理資安新聞與看到國內各單位缺乏資安意識的感觸時，於是我開始回想：「這部法案訂立的目的是什麼？」
在第一版的提案中第一條提到：「為積極推動國家資通安全政策，加速建構國家資通安全環境，帶動資通安全產業發展，以保障國家安全，維護社會公共利益，特制定本法。」條列如下：
- 積極推動國家資通安全政策
- 建構國家資通安全環境
- 帶動資通產業發展
- 保障國家安全
- 維護社會公共利益
- 積極推動國家資通安全政策
- 建構國家資通安全環境
- 保障國家安全
- 維護社會公共利益
在行政院版的「資通安全管理法 (草案)」被送入立法院後，簡處長曾受邀為大家解釋相關的疑問，那時我的解讀，立這個法的目的是：
- 推動國家資通安全政策
- 維護國家資通訊安全 (呼應資安即國安)
- 促進國內資通訊產業發展
- 提升公務部門中資訊部門人員的位階
- 促進國際交流
- 台灣 2017 至2020 年的資通安全政策為國家資通訊安全發展方案(106–109年)已在去年11月時公布於行政院國家資通安全會報網站。
- 關於產業發展及人才培訓的部份列於該方案中。發展新興資安產業、產學交流的主管機關是經濟部，而人才培育的主管機關是教育部。
- 該方案也規劃了政府部門人員資安意識、職能的提升，包括成立千人的資安應變小組。
- 在 2016 年的 8 月也公布了一版「國家資通安全通報應變作業綱要(修正版)」。
- 在行政院版的「資通安全法 (草案)」第四條與第五條也列有人才培育及國際交流。
國際交流的部份，其實台灣的 CERT 或相關的單位都會與國外的單位交流，只是我是非當事人通常是不知道，只有在 APrIGF Bangkok 2017 時第一次見到台灣的 CERT 。
昨天在讀 IGF 2017 關於資訊安全的報告，也與 APNIC 的朋友 Adli Wahid 討論到 CERT ( Computer Emergency Response Team) 的責任與義務。他認為，CERT 的存在與義務也僅是為了他們的目的而已，很多時候一般人不認為 CERT 有發揮什麼實際作用，事實上 CERT 並不負責國家安全，但可以協助與協調資安事件發生時的處理程序，減輕資安事故造成的傷害，並加速受害單位從事故中恢復的能力，事實上他與 TWCERT 與 TWNCERT 也有過互動，也提過台灣的相關單位是十分樂於分享、交流資通事件與處理方式，在某些國家或單位是少見的。同時也提醒我一點：
There is no silver bullet in security.
如同在 GCCS 2017 中的資安專家就提到，你永遠不知道那些攻擊行為的目的是什麼，也無法阻止攻擊事件的發生，只能減輕傷害與損失並加速復原。
在經歷了去年的網路治理會議後，幾乎每場會議都會談到如何建立每個人對個人資料、資訊安全、隱私保護的意識與能力，所以可以知道這是一件很重要的事，也不是只有台灣人缺少這樣的意識與能力，更樂見於國家有心提升公務人員有居安思維的意識而放在國家資通安全發展方案中。
後續建議
在今天的公聽會結束後，簡處長也提到對於後續的六部子法：
- 資通安全管理法施行細則
- 資通安全責任等級分級辦法
- 資通安全事件通報及應變辦法
- 資通安全維護計畫實施情形稽核辦法
- 資通安全情資分享辦法
- 公務機關人員資訊安全事件獎懲辦法
在一月底會以公開的方式，除了召開座談會將逐字稿 (希望我沒有誤會)與會議記錄公開上網外，也會透過國發會的平台 (不確定是 vTaiwan 或是 JOIN平台) 公開徵求意見。
事實上我也在思考以下哪一種方案對整體社會的機會成本最高：
- 繼續修改這部行政院版的「資通安全管理法 (草案)」同時照資安處的規劃徵求上述六部子法的意見。
- 撤回行政院版的「資通安全管理法 (草案)」並公開徵詢意見重新撰寫，連同六部子法 (可能不用到六部) 一起讓人民參與。
若是方案 2 ，對於資安處的傷害頗大，但理性的經濟人並不會計較沉沒(默)成本，適時停損，也可以就先前的錯誤經驗，研擬出方向，避免犯下重覆的錯誤，更確定也不會造成各界擔憂的法案出來，對整體社會來說也許就不必要再針對六部子法召開所謂的 15 場專家學者座談會和多場委員會議⋯⋯等不必要的各種成本支出。
然而最終的評估可能還是要由資安處來決定，畢竟站在我的角度來說，資通安全管理法是必要的，但請長官們以人權、整體社會與經影在法案實行後所需要付出的代價、遭受到的影響來考量這部法案是否要繼續修改還是撤案撰寫。
以人權為基礎的網路安全政策建議
去年在 APrIGF Bangkok 2017 參與了網路安全的教育訓練，其中 GPD 提供了一份文件：「Recommendations for human rights based approaches to cybersecurity」，在徵求同意翻譯至中文後，列在以下，希望不論是繼續修改還是重新撰寫，都希望能考量以下建議：
- 網路安全政策和決策過程應該要保護及尊重人權。
- 網路安全相關法規、政策、實行措施的發展，應該要出自於內心對於人權的尊重來設計。
- 網路安全相關法規、政策和施和實行措施應該要強化人們在線上與離線時的安全，考量關於個人與團體在不同風險中所面臨的威脅。
- 網路安全相關法規、政策和施和實行措施的發展和執行，應該要符合國際法，包含國際人權法和國際人道主義法。
- 網路安全相關法規、政策和施和實行措施不應該被作為侵害人權的藉口，特別是自由表達、集結社團、集會和隱私方面。
- 對於網路事件的回應不應該侵犯人權。
- 網路安全相關法規、政策和施和實行措施應該要維持及保護網路的穩定性與安全性，且不應該破壞基礎設施、軟硬體和服務。
- 網路安全相關法規、政策和施和實行措施應要能反應在加密和匿名規則上，確保人權的實現，特別是自由表達、集結社團、集會和隱私。
- 網路安全相關法規、政策和施和實行措施不應該阻礙有助於保護人權的科技發展。
- 網路安全相關法規、政策和施和實行措施的研擬，不論在國家、區域、國際階層上都應該要讓所有利害關係人透過開放、包容、透明的方式進行。
- 利害關係人應該要推廣教育、數位素養和技術及法務訓練，用以推進網路安全與實現人權。
- 所有利害關係人都應該分享尊敬人權的網路安全最佳實行措施。
- 加強網路安全能力建設，不論是對於連線或是離線的人都具有重要的作用；這樣的努力應該要促進人權發展。
朋友 Adli Wahid 建議關於 CERT 與 CSIRTs 的相關閱讀：
- IGF 2017 — Best Practice Forum on Cybersecurity
- IGF 2015 — Best Practices Forum on Establishing and Supporting Computer Security Incident Response Teams (CSIRTs) for Internet Security (2015)(PDF)
- IGF 2014 — Best Practice Forum on Establishing and Supporting Computer Security Incident Response Teams (CSIRT) for Internet Security (PDF)
留言
發佈留言
請勿匿名留言，待審核後才會出現。