跳至主要內容

參與 1 月 11 日的「資通安全管理法」公聽會感想

圖片
作者：

如果有人讀過由去年諾貝爾經濟學奬得主 Richard H. Thaler 的《不當行為》，也許就會開始學習如何當一個理性的經濟學者，而不被衝動或個人習慣沖昏頭進行不當的消費。書中所提到的一些概念其實更可以運用在各個場域裡，包括已參與幾次的座談會到今日公聽會的「資通安全管理法」。

法學專家們的疑問

大概整理了幾點：
  • 如何避免技術性的規避或離開市場？
  • 行政救濟的相關事項。
  • 擬這套法案時參考美國、日本、新加坡等這些國家的依據是什麼？是經濟或科技發展情況還是剛好搜尋到這個國家有這套法律，所以拿來用？
  • 這部「資通安全管理法」的主管機關是台灣的行政院，行政院主要是整合政策的功能，本身無執法的能力，僅能要求被管制者義務執行，也就是主管機關的管制責任是空虛的。
  • 參考的國家都有編制專責的單位與規劃預算，如果在台灣這套法令通過了，開始實行了，有編制的人力嗎？執行的能力嗎？可能沒有。
  • 「資通安全管理法」有主管機關，但「個人資料保護法」沒有主管機關。這兩部法一樣重要，但為什麼會有這樣的差異？

關於「關鍵基礎設施」的定義

在原本草案最具爭議性的第十八條被刪除後，大家的著眼點則放在「關鍵基礎設施」的定義，是否以行政院國土安全辦公室所定義關鍵基礎設施為主或是應該以網路服務設施作為關鍵基礎設施。
去年 12 月20日，幾個立法委員又開了一場座談會，那時我看到了朋友傳來的會議照片，我對朋友說，我所想到的關鍵基礎設施是這麼分類的：
  1. 優先該規範的應該是與網路有關的硬體建設：通訊基地台、線路、交換中心、資料中心、電信公司….然後再分等級。
  2. 次要為是建立在這些網路基礎建設之上的，有迫切性、與人權、人身安全及民生有優先需求的基礎建設或服務：國防(他們不談不然這會優先)、能源、醫療、照護事業、交通等基礎建設。
  3. 再來是與日常經濟活動相關的銀行金融、商業行為等相關應用與服務。
今天在會場裡，我再回頭檢視「資通安全管理法(草案)」中關於關鍵基礎設施的分類方式，於是有這樣的體會：若以一般民眾所能受到對網路建設不理解的多數人來說，國土辦所定義的「關鍵基礎設施」是對民眾最「有感」的，如果以技術人員的角度來看，這些不是技術人員或資安人員所定義的「關鍵基礎設施」。例如：台電停電五分鐘會比網路伺服器停止服務五分鐘所受到影響的層面來得更廣泛。

檢視立法的目的

由於今天的公聽會讓我感受到只是邀請專家學者為委員們上課，當IThome的記者朋友回饋她多年來處理資安新聞與看到國內各單位缺乏資安意識的感觸時，於是我開始回想：「這部法案訂立的目的是什麼？」
在第一版的提案中第一條提到：「為積極推動國家資通安全政策，加速建構國家資通安全環境，帶動資通安全產業發展，以保障國家安全，維護社會公共利益，特制定本法。」條列如下：
  1. 積極推動國家資通安全政策
  2. 建構國家資通安全環境
  3. 帶動資通產業發展
  4. 保障國家安全
  5. 維護社會公共利益
去年 12 月 20 日的審議後，第一條修改為：「為積極推動國家資通安全政策，加速建構國家資通安全環境，以保障國家安全，維護社會公共利益，特制定本法。」
  1. 積極推動國家資通安全政策
  2. 建構國家資通安全環境
  3. 保障國家安全
  4. 維護社會公共利益
也就是在修改後的法案裡已無所謂的「帶動資通產業發展」這件事。
在行政院版的「資通安全管理法 (草案)」被送入立法院後，簡處長曾受邀為大家解釋相關的疑問，那時我的解讀，立這個法的目的是：
  1. 推動國家資通安全政策
  2. 維護國家資通訊安全 (呼應資安即國安)
  3. 促進國內資通訊產業發展
  4. 提升公務部門中資訊部門人員的位階
  5. 促進國際交流
而上述的第3、第4也包含了建立資安意識、教育、人才培育、產學合作，畢竟那時我讀了日本的《網路安全基本法》，也相信在其規劃裡，也許在子法的部份會提到這些內容。於是再進一步確認，整理如下：
  1. 台灣 2017 至2020 年的資通安全政策為國家資通訊安全發展方案(106–109年)已在去年11月時公布於行政院國家資通安全會報網站。
  2. 關於產業發展及人才培訓的部份列於該方案中。發展新興資安產業、產學交流的主管機關是經濟部，而人才培育的主管機關是教育部。
  3. 該方案也規劃了政府部門人員資安意識、職能的提升，包括成立千人的資安應變小組。
  4. 在 2016 年的 8 月也公布了一版「國家資通安全通報應變作業綱要(修正版)」。
  5. 在行政院版的「資通安全法 (草案)」第四條與第五條也列有人才培育及國際交流。
國際交流的部份，其實台灣的 CERT 或相關的單位都會與國外的單位交流，只是我是非當事人通常是不知道，只有在 APrIGF Bangkok 2017 時第一次見到台灣的 CERT 。
昨天在讀 IGF 2017 關於資訊安全的報告，也與 APNIC 的朋友 Adli Wahid 討論到 CERT ( Computer Emergency Response Team) 的責任與義務。他認為，CERT 的存在與義務也僅是為了他們的目的而已，很多時候一般人不認為 CERT 有發揮什麼實際作用，事實上 CERT 並不負責國家安全，但可以協助與協調資安事件發生時的處理程序，減輕資安事故造成的傷害，並加速受害單位從事故中恢復的能力，事實上他與 TWCERT 與 TWNCERT 也有過互動，也提過台灣的相關單位是十分樂於分享、交流資通事件與處理方式，在某些國家或單位是少見的。同時也提醒我一點：
There is no silver bullet in security.
如同在 GCCS 2017 中的資安專家就提到，你永遠不知道那些攻擊行為的目的是什麼，也無法阻止攻擊事件的發生，只能減輕傷害與損失並加速復原。

在經歷了去年的網路治理會議後，幾乎每場會議都會談到如何建立每個人對個人資料、資訊安全、隱私保護的意識與能力，所以可以知道這是一件很重要的事，也不是只有台灣人缺少這樣的意識與能力，更樂見於國家有心提升公務人員有居安思維的意識而放在國家資通安全發展方案中。

後續建議

在今天的公聽會結束後，簡處長也提到對於後續的六部子法：
  1. 資通安全管理法施行細則
  2. 資通安全責任等級分級辦法
  3. 資通安全事件通報及應變辦法
  4. 資通安全維護計畫實施情形稽核辦法
  5. 資通安全情資分享辦法
  6. 公務機關人員資訊安全事件獎懲辦法
在一月底會以公開的方式，除了召開座談會將逐字稿 (希望我沒有誤會)與會議記錄公開上網外，也會透過國發會的平台 (不確定是 vTaiwan 或是 JOIN平台) 公開徵求意見。
事實上我也在思考以下哪一種方案對整體社會的機會成本最高：
  1. 繼續修改這部行政院版的「資通安全管理法 (草案)」同時照資安處的規劃徵求上述六部子法的意見。
  2. 撤回行政院版的「資通安全管理法 (草案)」並公開徵詢意見重新撰寫，連同六部子法 (可能不用到六部) 一起讓人民參與。
針對方案 1，各界都已投入大量的時間與人力成本於現有的草案中，幾乎已是無法回收的沉沒 (默) 成本，也許是因為這樣才執著於修改現有的法案並繼續擬六部子法。然而我所擔心的是若是行政院版的草案通過，很有可能因為母法過於模糊 (已被刪改的與最初目的不同)、子法內容未明的情況下，會不會傷害到經濟社會 (例如逼迫國內業者外移、對外國廠商無拘束能力、或法學專家們提到的) 或有無侵犯人權？
若是方案 2 ，對於資安處的傷害頗大，但理性的經濟人並不會計較沉沒(默)成本，適時停損，也可以就先前的錯誤經驗，研擬出方向，避免犯下重覆的錯誤，更確定也不會造成各界擔憂的法案出來，對整體社會來說也許就不必要再針對六部子法召開所謂的 15 場專家學者座談會和多場委員會議⋯⋯等不必要的各種成本支出。
然而最終的評估可能還是要由資安處來決定，畢竟站在我的角度來說，資通安全管理法是必要的，但請長官們以人權、整體社會與經影在法案實行後所需要付出的代價、遭受到的影響來考量這部法案是否要繼續修改還是撤案撰寫。

以人權為基礎的網路安全政策建議

去年在 APrIGF Bangkok 2017 參與了網路安全的教育訓練，其中 GPD 提供了一份文件：「Recommendations for human rights based approaches to cybersecurity」，在徵求同意翻譯至中文後，列在以下，希望不論是繼續修改還是重新撰寫，都希望能考量以下建議：
  1. 網路安全政策和決策過程應該要保護及尊重人權。
  2. 網路安全相關法規、政策、實行措施的發展，應該要出自於內心對於人權的尊重來設計。
  3. 網路安全相關法規、政策和施和實行措施應該要強化人們在線上與離線時的安全，考量關於個人與團體在不同風險中所面臨的威脅。
  4. 網路安全相關法規、政策和施和實行措施的發展和執行，應該要符合國際法，包含國際人權法和國際人道主義法。
  5. 網路安全相關法規、政策和施和實行措施不應該被作為侵害人權的藉口，特別是自由表達、集結社團、集會和隱私方面。
  6. 對於網路事件的回應不應該侵犯人權。
  7. 網路安全相關法規、政策和施和實行措施應該要維持及保護網路的穩定性與安全性，且不應該破壞基礎設施、軟硬體和服務。
  8. 網路安全相關法規、政策和施和實行措施應要能反應在加密和匿名規則上，確保人權的實現，特別是自由表達、集結社團、集會和隱私。
  9. 網路安全相關法規、政策和施和實行措施不應該阻礙有助於保護人權的科技發展。
  10. 網路安全相關法規、政策和施和實行措施的研擬，不論在國家、區域、國際階層上都應該要讓所有利害關係人透過開放、包容、透明的方式進行。
  11. 利害關係人應該要推廣教育、數位素養和技術及法務訓練，用以推進網路安全與實現人權。
  12. 所有利害關係人都應該分享尊敬人權的網路安全最佳實行措施。
  13. 加強網路安全能力建設，不論是對於連線或是離線的人都具有重要的作用；這樣的努力應該要促進人權發展。
朋友 Adli Wahid 建議關於 CERT 與 CSIRTs 的相關閱讀：
Labels:

留言

發佈留言

請勿匿名留言，待審核後才會出現。

此網誌的熱門文章

女性在防災包中應準備的物品

作者：
全球在這幾年地震頻繁，再加上戰爭的陰影愈來愈大，坊間已經有各種災難包的清單作為一般人備災參考，也看到有些廠商會與名人合作，推廣救災包的重要性。我也採購一個以減少準備的成本，但在檢視與思考廠商陳列的物資清單裡，還是少了什麼，特別是如果遇到戰爭時，那些救災包，不論是幫小朋友準備的、幫寵物準備的，看似很棒，仔細想想，比較像露營用的物品清單。 這讓我很沮喪，因為我買了一個還要花更多成本準備急救藥品的防災包。身為女性，我會選擇多備急救藥品及衛生物品，因為那是能保護生命與尊嚴的基本協助。 網站中所販售的急救內容物是備而不用，反而有些必要的物品，如 止血帶 、止痛藥等，可能因為法規管制而沒有被列在販售的急救藥品清單中，但也沒有詳細的列在教學文章中，許多必要的物品都被輕描淡寫的帶過。我雖然已採購該防災包，但仔細想想，那個可能比較像露營用的清單，有點後悔，但我會留著當基礎，再把沒必要的東西改為必要的物品。災難來臨時，我們都只能選擇必要的，而不是選擇想要的。 急救訓練時的經驗 專科時曾與同學接受紅十字會的急救訓練，有一堂課裡，參與的學員們都討論過「物盡其用」這件事，例如在山上突然骨折或不幸出現開放性傷口時，有什麼東西是可以拿來急救使用的？且當災難來臨時，我們只能帶必要的物品離開，也能減少不必要負重，確保行動方便。 我曾檢視過多份清單，但都沒有看到女性必備的物品。有些東西不論在何時對女性來說是必備的：保險套、避孕藥、衛生棉、消毒藥片，有些物品因為國內法規管制，所以不會在販售清單上出現，所以還是需要自己準備。 保險套 ：在戰亂或災區，被迫流離失所時，女性容易因性暴力而面臨傳染病或非預期懷孕風險。雖然保險套無法完全保護女性尊嚴，但至少能減少性病與意外懷孕的風險。另一方面，與許多大型儲水袋相比，保險套體積小、攜帶方便，也能臨時裝水，在缺乏乾淨飲用水的環境下派上用場。 避孕藥 ：若在災難或戰爭環境中，醫療資源極度不足，女性若意外懷孕，將面臨極高的健康危機。避孕藥雖然在一般通路不易買到，但若能事先向醫師取得處方並納入防災包，就能有效降低非計畫性懷孕。 衛生棉 ：一般型的衛生棉也好，或是夜安型（例如34、40公分）的衛生棉，除了生理期使用外，厚實且吸水量大，在臨時缺少紗布或繃帶時，也可用作包紮或止血墊。如果場地髒亂，同時也能暫時保持傷口乾燥，減少感染風險。雖然占空間，但在災難環境中，這些吸水性佳的材...
發佈留言
閱讀更多

為什麼我支持《數位中介服務法》草案

作者：
在經歷許多次反抗台灣政府所立的網路相關法案後，我其實沒想過除了《數位通傳法》草案外，我還會再支持另一部法律草案，雖然 《數位通傳法》草案還壓在某處，但如果有人讀過《數位通傳法》的草案，再讀這部《數位中介服務法》草案，就會知道這部草案的重要性，而且也可以顯示台灣網路使用者的成熟度，更重要的，這是我第一次看到引入國際網路治理多方利害關係人機制的法律草案，而且是用在正確的地方。 有興趣想知道我在讀法條時的筆記和當下的感想，可以看我這則  Tweet 。這篇不使用逐條讀法條的方式來寫，因為那會讓人昏昏欲睡，我也不去比對歐盟《數位服務法》，因為我在讀《數位服務法》草案時，該草案特別強調是加強歐盟 E-Commerce Directive  ，而不是取代它，而且更多著重在預防盜版、仿冒，保護消費者的法案。所以當有輿論提到參考自《數位服務法》的《數位中介服務法》草案限縮言論自由時，我其實是一頭問號的，但一直到今天我才有時間讀《數位中介服務法》草案，這篇文章出自於我的個人經驗和閱讀法案的心得，與擔任的職務無關。 如果最近注意一下網路的資訊，有幾件事該注意一下： 有許多人在社群平台，如Facebook或是其他網路看到一些廣告，而這些廣告可能是要你支持台灣農產品、台灣製的產品，結果你收到時，上面還寫著簡體字，通常這是所謂的一頁式廣告詐騙，而行政院的消費者保護會在 2019 年時就有新聞稿在警告「 一頁式廣告詐騙多 小心查證保障多 」，之後像公視或是其他單位都有相關的活動在提醒大家小心這類廣告。但目前這些廣告其實多數不易處理，因為不容易取證、保留證據，等到追查到時已經找不到對方了。 有不少親密照片與影片在情侶分手後，被報復性的上傳到情色網站或透過即時通訊傳到親友的帳號裡，或是被洩露個資，遭到公開的霸凌。 之前有一個專題：「 青春煉獄：網路獵騙性私密影像事件簿 」，光是讀完這個專題報導我就覺得受傷。 有人使用 Deep Fake 把台灣名人的臉部照片合成至色情影片再上傳至色情影片平台，今年 7 月才被判刑。 還有許多創作者藉由網路分享作品時，被人盜用，甚至有國外的使用者修改台灣人的作品去參與比賽還獲獎。 有一次打電話問某個部會，如果消費者在國外電子商務平台買東西，但資料被外洩怎麼辦？雖然政府願意協助，但衡量至國外打官司的時間和成本，就會讓人卻步。 有些行為在現實世界裡有法...
22 則留言
閱讀更多

因為日常事務，我遇到網路詐騙了

作者：
在各位閱讀我的個人被詐騙經驗前，請看一下內政部警政署的 打詐儀表板 網站，了解一下台灣每天有多少人被網路詐騙，各種網路詐騙的手法，好好保護自己，希望不會有人再被詐騙。 為什麼沒有洗滌貼身衣物的小家電？ 台灣的女性多少都有被教導貼身衣物要與一般日常衣物分開洗滌的觀念，且不要與襪子一起洗，加上女性貼身衣物的材質也不適合洗衣機洗，所以多數女性在洗澡時會順手洗滌自己的貼身衣物。因為浴室空間有限，所以我也是拿個小板凳、洗臉盆、洗衣板，在小小的空間內把貼身衣物洗乾淨。隨著年齡增長，我開始覺得這是一種負擔，甚至遇到出差過夜時，晚上會累到沒力氣洗貼身衣物，帶回來洗，就更疲倦。 有時候在居住的地方，是公用的洗澡間，更不好意思拿著裝著貼身衣物的洗臉盆在洗手台洗衣服，如果在公共淋浴間裡洗衣服，還要注意自己是否占用其他人使用浴室的時間。 所以長期都在注意有無這種小家電，我相信它有需求存在，例如寶寶的口水巾、衣服，就不適合與大人的衣服襪子一起洗，但寶寶的衣服都小小的，就像女性的貼身衣物的布料也沒有太多，全丟進洗衣機裡，又十分浪費水。 不幸的是，大多數這種專門洗滌貼身衣物的機器都來自中國，而且台灣似乎都覺得反正手洗就好了。那有人算過手洗一套貼身衣物要花多少時間嗎？一個家長還要再手洗嬰兒衣物的時間要花多少？這個需求存在，卻沒有人想要做這一塊。或者，消費者得冒險去買中國的產品。 一個冠上台灣品牌合作的迷你洗衣機吸引我的眼光 我覺得不用 Facebook 是人生最棒的決定，但我仍使用 Twitter、Instagram 與 WhatsApp， 用Instagram連結植物社群，Twitter 與 WhatsApp是連結網路治理社群與國外的朋友。其他通訊軟體如 Signal、Telegram，我都有使用。 今年 5 月是我個人意外忙碌的月份，需要台北台南兩地跑，所以迫切的需要一台方便的清潔小家電來節省我更多的時間，於是我睡前滑手機時，在 Instagram 上看到所謂「玉如阿姨與東元家電TECO」合作的迷你洗衣機，我還轉發給朋友，想到這個東西的人很厲害，因為它就把果汁機裡的刀片拿掉就好了。 因為是睡前，所以沒有想太多再去查證，更何況它的價格還算合理，且是貨到付款，不用先匯款，所以我就下單，填寫收件資料後就去睡了，雖一讓我感到奇怪的是，它不需要填寫電子信箱位置，它只要收件人姓名、電話、超商店名即可。 因...
2 則留言
閱讀更多