跳到主要內容

從「Privacy 是人權議題,由政府來立法保護,Security是 Nice to have」所引發的聯想



昨天下午參加了iThome所舉辦的2017台灣資安大會,其中一場講座的講者講了這麼一句話:
Privacy 是人權議題,由政府來立法保護,Security是 Nice to have
雖然在各個領域裡不斷強調要教育廠商、工程師、使用者(消費者)在產品與服務開發過程、使用過程中都要有資訊安全的概念,但說真的很不容易,以目前台灣的使用情境而言不是每個人都有保護自己、他人的隱私的觀念。

  • 案例一:有次在超商購物,聽到在咖啡座上,有個客人的電話應答:「XXX小姐您好,…您的出生年月日是XX年X月X日,身份證字號是0000000000,地址是…」我訝異的轉頭望向他,這位先生知道他已經在公共場合洩露他人的個資了嗎?
  • 案例二:中國的通訊軟體微信,一直以來都有使用者訊息被監控的情形出現。當我建議周遭的朋友們不要使用這款軟體時,他們會回應我:「我又不是什麼大人物,有什麼好擔心的。」
  • 案例三:總是會有因為使用者不當的操作或安裝了有安全疑慮的程式讓自己手機被入侵,使私密影片、照片,被公開社群網站上。更不用說四處打卡,連在家中也要打卡、拍攝自家內部裝潢給人看、讓人知道你的作息的人,只要有心人都能知道你家中什麼時間有沒有人在家。
在這樣的氛圍裡,我不禁有種:「私領域的不關心造就了危險的公共使用環境」的想法。由於民眾不願意對自己的行為負責,把保護自己與家人個資的責任交給政府,反而可能造成政府不當擴張權力的情況,例如不當的監控行為,甚至因為採購案,而讓不肖的廠商有機可趁。

由於隱私與人權有關,在理想的情況下,排除了利益團體為了盈收、政客為了選票…等情況下所預設的理想狀況,政府立法保護人民隱私,避免人民因為隱私外洩而造成的損失、人身安全、遭受歧視與不人道的對待,規範的對象是服務提供者與產品生產者,提醒他們有保護使用者隱私的責任。

政府所謂的「資訊安全」應該是環境面,著眼點應該是關鍵基礎建設,如水、電、能源運用等,如何讓人民維持日常生活、經濟事務活動運作,而不會因為資安危機導致服務中斷、破壞日常作息。在這樣的方向下,台灣出現了個人資訊保護法(簡稱個資法)及目前尚在草案狀態的資通安全管理法(簡稱資安法)。政府立法保護人民的隱私權、個資,廠商在法律規範下將資訊安全保護設計至生產流程中,這樣才能事半功倍,也才能避免政府或是有心人士過度擴張權力。

文章標題中的「Nice to have」是指廠商在生產、提供產品及服務時,能夠有安全措施及保護,對使用者來說,可以增加對產品與廠商的信心,也能提高品牌價值。但站在服務提供者、產品生產者的角度來說,安全問題是成本與風險的概念,利潤更是企業經營的重大考量。廠商把資安作法設計至生產流程中,可能會增加生產成本(例如資安強度增加時如何有順暢的使用者流程?這都要再請人設計,很多產品因為強調資安,使用者流程反而不順暢),成本增加,又想提升利潤,就必須提高產品售價;市場中的消費者想要便宜又好用的產品,對於資安、隱私保護觀念強度不夠,就算強調資安保護,消費者還是會以「價格高低」為優先考量。

以上所提的是理想的狀況。事實上台灣的個資法、資安法,雖然立意良善,但仍因為政治因素的干擾,呈現尚需改進的狀況。

在Facebok的台灣網路治理論壇社團討論時,有人提到了政府的監控與言論管制是與資訊安全有所抵觸的。

我的看法是,「監控」是政府站在國家安全的角度去行使他的權力,為了避免濫用權力,也有明確的法律限制政府該怎麼做,台灣目前有通訊保障及監察法通訊保障及監察法施行細則,其中通訊保障及監察法第五條來規範在什麼情形下可以進行監控。言論控制、監控是手段不是目的,要看政府這麼做的目的是什麼。以資訊安全或國家安全之名行言論監控之實,是政府明顯濫用權力的行為,對應的解決作法是人民的反監控,明確立法或修法規定國家在行使這樣權力時的行為,並時時監督政府有無濫用不該進行的監控。

另外一種談論「言論監控」、「言論審查」的情境可能也是與網路使用者人身安全相關,例如言語霸凌、假新聞、謠言,這些可能導致社會不安、危害社會秩序。在亞太區網路治理論壇上聽到的案例是,當網路發言者的IP、真實姓名被公布時,他可能就會喪失性命。在這樣的情況下,就要再另外討論,例如政府、網站維護者對於使用者的保護程度。

台灣的資安法與相關的執行細則是處於草案的狀態,但部份的條文總讓讓人不安、讓人無法信任。原因在於:

  1. 政府內部的資訊安全人才不足,儘管有培訓計畫,一個是緩不濟急,另一個是這些培訓出來的人要如何因應未知的資安危機?如果是外部聘入,當任期結束時,後續的處置要怎麼延續?
  2. 以政府的角度是希望公務機關依循行政院的通報機制,地方政府也要成立通報機制與資安單位,以大都市帶周邊城鄉的觀念來建立地區型的資安通報機制。現實面是,如果是駭客要攻擊,他一定先攻擊這些目標:大城市、金融業、交通、重要的民生設施、資訊中心,鄉下地方可能還會因為台灣網路基礎建設落差的關係,成為攻擊目標的機會反而較低,但有可能會成為攻擊的起點或跳板。從另一個角度看,也許還需要鼓勵產業間自己成立所謂的資安通報機制及應變手段,也許會更有效率,更能促進產業之間的人才交流,對於公務機關的負擔可能較沒有那麼重。
  3. 所謂的關鍵基礎設施其實不止水、電、能源等基礎設備,比如跨境電商,只要有影響到民眾日常生活與經濟活動的服務,就算是「關鍵基礎設施」。這樣的定義又更模糊了,雖然規定委託檢查的單位若是觸及敏感的公司資訊是不能外洩,但看到就是看到了啊!
  4. 諸多限制的目的是為了什麼?似乎已經到限制網路使用者自由使用網路的極限,這些限制也限縮了網路創業者的發展空間。
  5. 更糟糕的是,這些法令對於國外的廠商似乎發揮不了作用,國外業者可能選擇撤離台灣,卻緊緊限制了國內的業者。

先前曾經想過,由於政府積極的發展智慧城市,但智慧城市裡首要考量的就是安全的資料傳輸環境,屬於高度資訊安全需求的使用情境,若是由政府打造所謂安全的資料傳輸環境,會不會變成如中國一樣除非翻牆不然就是與世隔絕的網路環境?或是政府時時都在監控的通訊環境?

但能確定的是,如果人民、使用者不注意自己、家人、朋友的隱私,把自己該負的責任都交給政府時,就會讓政府、居心叵測的投機者對法規進行不當的設置,再來爭取所謂的「自由的網路使用環境」也就無任何意義了。

文章圖片取用自Pixabay

留言

這個網誌中的熱門文章

問題不在於區塊鏈

這個星期在台灣,有一場盛大的「亞洲區塊鏈高峰會」,因為在準備 TWIGFAPrIGF 2019 的會議資料,就沒有報名。看了INSIDE 整理的逐字稿,不禁坐在電腦前抽動著嘴角。對於需要經過銀行或是第三方、第 N 方擔保的支付工具,都應屬於建立信任的數位支付工具,如果一個以加密貨幣為交換工具卻還要經過銀行,那都不是「區塊鏈應用」,或可說,它還在重建信任的過渡期。

自接觸區塊鏈應用以來,不斷的聽到網際網路的大老們、前輩們、經濟學者們都在極力反對區塊鏈技術,很多人權團體、媒體、各國央行、金融體系都對於區塊鏈的特性大加撻伐:
過度集中、非去中心化。整個網際網路是個過度中心化的系統,大概很少有人去想網際網路的架構和特性。ICO 是詐騙。老實說,這就是一個人要不要被騙一樣,你不能說投資失敗就是被騙,ICO 是一種賺錢手段,但是「投資」還是「投機」?每個人心中都有一把尺。加密貨幣(Cryptocurrency)的應用。加密貨幣是數位(電子)支付的一種,大家常常把加密貨幣作為數位支付的代名詞。台灣政府對於加密貨幣的態度較偏向視之為虛擬貨幣、商品,而不是正式的法幣 (Fiat Money)。無法移除不該保有的資料。有些人權團體表示會有人把婦女、孩童受虐的照片或裸露的影片上傳到區塊鏈上,且無法移除。把這個問題歸咎於區鏈技術實在很莫名其妙,畢竟暴力傷害人類、動物的行為就是非法行為,當影片或照片上網後,會迅速的傳播與擴散,有些是存在私人的硬碟裡。但該注意的重點在於:(1) 這些虐待、強迫裸露、拍攝這些影片與照片的犯罪行為根本就不該發生(犯罪預防)、(2) 這些存在私人硬碟裡的照片與影音檔根本就不該被擴散 (民眾教育)、(3) 基於前面兩點,政府應該加強自己的責任,而不應該強迫平台業者對使用者的內容進行審查,內容審查是侵犯言論自由權的。智財所有權的問題。例如用作品完成時的時間戳記 (Timestamp) 可以證明是自己的作品,但今天如果有人把這篇文章用他自己的帳號,把文字內容上傳到 IPFS (星際檔案系統,Inter Planetary File System),頂多就是在之後加註原始作者是誰,上傳者不是原作者這種尷尬的情況。所以日後若是使用自動化的分潤系統,要怎麼去證明作者是誰?如何分給哪些人?交易速度慢,無法因應全球金融、資料交換的大量工作。反觀,網際網路被大量應用的年代初期…

參與 1 月 11 日的「資通安全管理法」公聽會感想

如果有人讀過由去年諾貝爾經濟學奬得主 Richard H. Thaler 的《不當行為》,也許就會開始學習如何當一個理性的經濟學者,而不被衝動或個人習慣沖昏頭進行不當的消費。書中所提到的一些概念其實更可以運用在各個場域裡,包括已參與幾次的座談會到今日公聽會的「資通安全管理法」。
法學專家們的疑問 大概整理了幾點: 如何避免技術性的規避或離開市場?行政救濟的相關事項。擬這套法案時參考美國、日本、新加坡等這些國家的依據是什麼?是經濟或科技發展情況還是剛好搜尋到這個國家有這套法律,所以拿來用?這部「資通安全管理法」的主管機關是台灣的行政院,行政院主要是整合政策的功能,本身無執法的能力,僅能要求被管制者義務執行,也就是主管機關的管制責任是空虛的。參考的國家都有編制專責的單位與規劃預算,如果在台灣這套法令通過了,開始實行了,有編制的人力嗎?執行的能力嗎?可能沒有。「資通安全管理法」有主管機關,但「個人資料保護法」沒有主管機關。這兩部法一樣重要,但為什麼會有這樣的差異?

關於2018年的台灣網路治理論壇

2017年辦理了台灣網路治理論壇(Taiwan Internet Governance Forum,以下簡稱 TWIGF)後,陸續也有許多單位或有興趣的朋友加入論壇中的 Multi-stakeholder Steering Group (以下簡稱 MSG),TWIGF 今年也舉辦了幾次座談,努力讓台灣的民眾了解什麼是「網路治理」和與其相關的範疇,並持續舉辦會議讓與會者透過親身參與,體驗與了解什麼是「網路治理」和「多方利害關係人機制」。

TWIGF 在 2017 年的主題是「數位衝撞之契機 – 經濟、安全與人權之和諧發展」並將子議題分為:數位經濟、網路安全及網路人權,參與者約有兩百多人也刊登上《Global Information Society Watch(GISWatch) 2017 Special Issue - Internet governance from the edges: NRIs in their own words》,藉由此機會讓國外的讀者了解台灣網路治理的發展狀況。 網路治理論壇的精神:對話才是重點 不同於台灣習慣的研討會、座談會模式,主持人或與談人可能會準備大量的投影片向參與者簡報。TWIGF 會議裡有主持人、與談人和參與者三個角色,與會重點是主持人、與談人、台下參與者三方針對該場次主題的對話,並非與談人的個人演講;三方可能分別在不同領域裡有不同的專業,依照主席宣布的議事規則進行討論,沒有多餘的簡報與演講,在該場次 60 至 90 分鐘的對話時間裡,透過「多方利害關係人機制」找到彼此對議題的共識。對話可能包括了爭論、對談,參與者都是熟悉該議題或對議題有興趣,在彼此尊重與包容的前提下發言與討論,透過對話形成共識。