跳至主要內容

參與 1 月 11 日的「資通安全管理法」公聽會感想


如果有人讀過由去年諾貝爾經濟學奬得主 Richard H. Thaler 的《不當行為》,也許就會開始學習如何當一個理性的經濟學者,而不被衝動或個人習慣沖昏頭進行不當的消費。書中所提到的一些概念其實更可以運用在各個場域裡,包括已參與幾次的座談會到今日公聽會的「資通安全管理法」。

法學專家們的疑問

大概整理了幾點:
  • 如何避免技術性的規避或離開市場?
  • 行政救濟的相關事項。
  • 擬這套法案時參考美國、日本、新加坡等這些國家的依據是什麼?是經濟或科技發展情況還是剛好搜尋到這個國家有這套法律,所以拿來用?
  • 這部「資通安全管理法」的主管機關是台灣的行政院,行政院主要是整合政策的功能,本身無執法的能力,僅能要求被管制者義務執行,也就是主管機關的管制責任是空虛的。
  • 參考的國家都有編制專責的單位與規劃預算,如果在台灣這套法令通過了,開始實行了,有編制的人力嗎?執行的能力嗎?可能沒有。
  • 「資通安全管理法」有主管機關,但「個人資料保護法」沒有主管機關。這兩部法一樣重要,但為什麼會有這樣的差異?

關於「關鍵基礎設施」的定義

在原本草案最具爭議性的第十八條被刪除後,大家的著眼點則放在「關鍵基礎設施」的定義,是否以行政院國土安全辦公室所定義關鍵基礎設施為主或是應該以網路服務設施作為關鍵基礎設施。
去年 12 月20日,幾個立法委員又開了一場座談會,那時我看到了朋友傳來的會議照片,我對朋友說,我所想到的關鍵基礎設施是這麼分類的:
  1. 優先該規範的應該是與網路有關的硬體建設:通訊基地台、線路、交換中心、資料中心、電信公司….然後再分等級。
  2. 次要為是建立在這些網路基礎建設之上的,有迫切性、與人權、人身安全及民生有優先需求的基礎建設或服務:國防(他們不談不然這會優先)、能源、醫療、照護事業、交通等基礎建設。
  3. 再來是與日常經濟活動相關的銀行金融、商業行為等相關應用與服務。
今天在會場裡,我再回頭檢視「資通安全管理法(草案)」中關於關鍵基礎設施的分類方式,於是有這樣的體會:若以一般民眾所能受到對網路建設不理解的多數人來說,國土辦所定義的「關鍵基礎設施」是對民眾最「有感」的,如果以技術人員的角度來看,這些不是技術人員或資安人員所定義的「關鍵基礎設施」。例如:台電停電五分鐘會比網路伺服器停止服務五分鐘所受到影響的層面來得更廣泛。

檢視立法的目的

由於今天的公聽會讓我感受到只是邀請專家學者為委員們上課,當IThome的記者朋友回饋她多年來處理資安新聞與看到國內各單位缺乏資安意識的感觸時,於是我開始回想:「這部法案訂立的目的是什麼?」
在第一版的提案中第一條提到:「為積極推動國家資通安全政策,加速建構國家資通安全環境,帶動資通安全產業發展,以保障國家安全,維護社會公共利益,特制定本法。」條列如下:
  1. 積極推動國家資通安全政策
  2. 建構國家資通安全環境
  3. 帶動資通產業發展
  4. 保障國家安全
  5. 維護社會公共利益
去年 12 月 20 日的審議後,第一條修改為:「為積極推動國家資通安全政策,加速建構國家資通安全環境,以保障國家安全,維護社會公共利益,特制定本法。」
  1. 積極推動國家資通安全政策
  2. 建構國家資通安全環境
  3. 保障國家安全
  4. 維護社會公共利益
也就是在修改後的法案裡已無所謂的「帶動資通產業發展」這件事。
在行政院版的「資通安全管理法 (草案)」被送入立法院後,簡處長曾受邀為大家解釋相關的疑問,那時我的解讀,立這個法的目的是:
  1. 推動國家資通安全政策
  2. 維護國家資通訊安全 (呼應資安即國安)
  3. 促進國內資通訊產業發展
  4. 提升公務部門中資訊部門人員的位階
  5. 促進國際交流
而上述的第3、第4也包含了建立資安意識、教育、人才培育、產學合作,畢竟那時我讀了日本的《網路安全基本法》,也相信在其規劃裡,也許在子法的部份會提到這些內容。於是再進一步確認,整理如下:
  1. 台灣 2017 至2020 年的資通安全政策為國家資通訊安全發展方案(106–109年)已在去年11月時公布於行政院國家資通安全會報網站。
  2. 關於產業發展及人才培訓的部份列於該方案中。發展新興資安產業、產學交流的主管機關是經濟部,而人才培育的主管機關是教育部。
  3. 該方案也規劃了政府部門人員資安意識、職能的提升,包括成立千人的資安應變小組。
  4. 在 2016 年的 8 月也公布了一版「國家資通安全通報應變作業綱要(修正版)」。
  5. 在行政院版的「資通安全法 (草案)」第四條與第五條也列有人才培育及國際交流。
國際交流的部份,其實台灣的 CERT 或相關的單位都會與國外的單位交流,只是我是非當事人通常是不知道,只有在 APrIGF Bangkok 2017 時第一次見到台灣的 CERT 。
昨天在讀 IGF 2017 關於資訊安全的報告,也與 APNIC 的朋友 Adli Wahid 討論到 CERT ( Computer Emergency Response Team) 的責任與義務。他認為,CERT 的存在與義務也僅是為了他們的目的而已,很多時候一般人不認為 CERT 有發揮什麼實際作用,事實上 CERT 並不負責國家安全,但可以協助與協調資安事件發生時的處理程序,減輕資安事故造成的傷害,並加速受害單位從事故中恢復的能力,事實上他與 TWCERTTWNCERT 也有過互動,也提過台灣的相關單位是十分樂於分享、交流資通事件與處理方式,在某些國家或單位是少見的。同時也提醒我一點:
There is no silver bullet in security.
如同在 GCCS 2017 中的資安專家就提到,你永遠不知道那些攻擊行為的目的是什麼,也無法阻止攻擊事件的發生,只能減輕傷害與損失並加速復原。

在經歷了去年的網路治理會議後,幾乎每場會議都會談到如何建立每個人對個人資料、資訊安全、隱私保護的意識與能力,所以可以知道這是一件很重要的事,也不是只有台灣人缺少這樣的意識與能力,更樂見於國家有心提升公務人員有居安思維的意識而放在國家資通安全發展方案中。

後續建議

在今天的公聽會結束後,簡處長也提到對於後續的六部子法:
  1. 資通安全管理法施行細則
  2. 資通安全責任等級分級辦法
  3. 資通安全事件通報及應變辦法
  4. 資通安全維護計畫實施情形稽核辦法
  5. 資通安全情資分享辦法
  6. 公務機關人員資訊安全事件獎懲辦法
在一月底會以公開的方式,除了召開座談會將逐字稿 (希望我沒有誤會)與會議記錄公開上網外,也會透過國發會的平台 (不確定是 vTaiwan 或是 JOIN平台) 公開徵求意見。
事實上我也在思考以下哪一種方案對整體社會的機會成本最高:
  1. 繼續修改這部行政院版的「資通安全管理法 (草案)」同時照資安處的規劃徵求上述六部子法的意見。
  2. 撤回行政院版的「資通安全管理法 (草案)」並公開徵詢意見重新撰寫,連同六部子法 (可能不用到六部) 一起讓人民參與。
針對方案 1,各界都已投入大量的時間與人力成本於現有的草案中,幾乎已是無法回收的沉沒 (默) 成本,也許是因為這樣才執著於修改現有的法案並繼續擬六部子法。然而我所擔心的是若是行政院版的草案通過,很有可能因為母法過於模糊 (已被刪改的與最初目的不同)、子法內容未明的情況下,會不會傷害到經濟社會 (例如逼迫國內業者外移、對外國廠商無拘束能力、或法學專家們提到的) 或有無侵犯人權?
若是方案 2 ,對於資安處的傷害頗大,但理性的經濟人並不會計較沉沒(默)成本,適時停損,也可以就先前的錯誤經驗,研擬出方向,避免犯下重覆的錯誤,更確定也不會造成各界擔憂的法案出來,對整體社會來說也許就不必要再針對六部子法召開所謂的 15 場專家學者座談會和多場委員會議⋯⋯等不必要的各種成本支出。
然而最終的評估可能還是要由資安處來決定,畢竟站在我的角度來說,資通安全管理法是必要的,但請長官們以人權、整體社會與經影在法案實行後所需要付出的代價、遭受到的影響來考量這部法案是否要繼續修改還是撤案撰寫。

以人權為基礎的網路安全政策建議

去年在 APrIGF Bangkok 2017 參與了網路安全的教育訓練,其中 GPD 提供了一份文件:「Recommendations for human rights based approaches to cybersecurity」,在徵求同意翻譯至中文後,列在以下,希望不論是繼續修改還是重新撰寫,都希望能考量以下建議:
  1. 網路安全政策和決策過程應該要保護及尊重人權。
  2. 網路安全相關法規、政策、實行措施的發展,應該要出自於內心對於人權的尊重來設計。
  3. 網路安全相關法規、政策和施和實行措施應該要強化人們在線上與離線時的安全,考量關於個人與團體在不同風險中所面臨的威脅。
  4. 網路安全相關法規、政策和施和實行措施的發展和執行,應該要符合國際法,包含國際人權法和國際人道主義法。
  5. 網路安全相關法規、政策和施和實行措施不應該被作為侵害人權的藉口,特別是自由表達、集結社團、集會和隱私方面。
  6. 對於網路事件的回應不應該侵犯人權。
  7. 網路安全相關法規、政策和施和實行措施應該要維持及保護網路的穩定性與安全性,且不應該破壞基礎設施、軟硬體和服務。
  8. 網路安全相關法規、政策和施和實行措施應要能反應在加密和匿名規則上,確保人權的實現,特別是自由表達、集結社團、集會和隱私。
  9. 網路安全相關法規、政策和施和實行措施不應該阻礙有助於保護人權的科技發展。
  10. 網路安全相關法規、政策和施和實行措施的研擬,不論在國家、區域、國際階層上都應該要讓所有利害關係人透過開放、包容、透明的方式進行。
  11. 利害關係人應該要推廣教育、數位素養和技術及法務訓練,用以推進網路安全與實現人權。
  12. 所有利害關係人都應該分享尊敬人權的網路安全最佳實行措施。
  13. 加強網路安全能力建設,不論是對於連線或是離線的人都具有重要的作用;這樣的努力應該要促進人權發展。

朋友 Adli Wahid 建議關於 CERT 與 CSIRTs 的相關閱讀:

留言

此網誌的熱門文章

各國政府在談資料跨境傳輸時,台灣需要什麼?

保護個人資料可能是各行各業的一個重要議題,不止增加了企業的資安相關成本也增加了法遵成本。尤其是需要跨國傳輸(個人)資料的企業,除了要配合各國的資料保護法(規範、規則)外,也要擔心資料外洩事件後續的成本,還有許多額外的行政手續。許多國家已經感受到資料流動的重要性,也紛紛的透過數位經濟協議、各種雙邊或多邊協議,來減輕企業跨境傳輸資料時的相關成本,以促進(數位)經濟發展,例如2018年時,美國、墨西哥、加拿大已簽署「美國-墨西哥-加拿大協定」(United States, Mexico, and Canada Agreement),讓這三個國家的企業可以在忠北美境內自由傳輸資料。 2019年由日本前首安倍晉三在世界經濟論壇和2019年的G20大阪峰會中提出提出「Data Free Flow with Trust」(簡稱DFFT),其核心概念是「基於信任的資料流通」。這樣的概念主要是建立彼此信任的跨境資料傳輸,促進資料自由流動,同時確保對隱私、安全和智慧財產權之信任。 在2019年G20大阪峰會時就已談出了DFFT的發展概念,2021年時已擬定發展的藍圖。當時也討論了所謂的資料在地化、資料主權等議題,並且也有著「資料的連結與使用是可提升生產力的重要因素,限制跨境資料流動,會是國際貿易體系的沉重成本之一,且資料在地化的要求可能會提高企業的生產與法遵成本」之共識。 到了2023年,因當時聯合國網路治理論壇(UN IGF)在日本京都舉辦、及G7日本廣島峰會的緣故,DFFT的概念再次被提出,且被熱烈討論著。G7廣島峰會裡則是建立了夥伴關係機制 (Institutional Arrangement for Partnership,IAP),並由OECD擔任協調的單位,來建立所謂的IAP;日本的JICA(Japan International Cooperation Agency)也在UN IGF 中提出執行 DFFT 之相關倡議。 如果有興趣進一步了解DFFT,可以閱讀: Digital Agency, Data Free Flow with Trust (DFFT) , World Economist Forum, Data Free Flow with Trust (DFFT): Paths towards Free and Trusted Data Flows 網路上的資料很多

聊聊台灣的人工智慧政策發展進度-歐美國家

明天 (520)是台灣第 16 任總統上任的日子。我們在上個星期五,也就是 5 月17 日的晚上,曾經經歷過2014年 318 學運的人,幾乎又有同樣的感受覺,彷彿又回到10年前,國民黨準備通過與中國不明不白的服務貿易協定。台灣人在接下來要面對的,是一個朝小野大的治理體系,唯一慶幸的是,我們可以全民監督政府,可以線上關注立法院又在上演什麼戲碼。 在 18 日下午幫觀音蓮換盆後,有個感觸:「大家都有生活要過,如果不是國會失能,誰想再走上街頭?」如果我們這一代都被教育為溫良謙恭儉讓,那怎麼立法院還能打成這樣? 回到新總統宣布內閣成員的那天,出現所謂「行動創新的AI內閣」,我始終無法理解這表示內閣自動化還是內閣AI化?我在媒體的報導裡,只能理解將延續智慧政府的願景,人工智慧 (AI) ,似乎是提升搜尋引擎關鍵字用的流行用字。 簡單查詢一下,台灣近期關於人工智慧的相關法規、規範、指引、辦法、原則,除 2018 年提出所謂的「 AI小國大戰略 」、 2019年時有立委提出應擬「 人工智慧發展基本法 」、2023年8月由國科會所擬的「 使用生成式AI參考指引(草案) 」,國內腳步最快的監管機關應該是金融管理委員會,在2023年10月公布「 金融業運用人工智慧(AI)之核心原則及政策 」,有相關的指引和配套措施。 當其他國家為避免發展人工智慧傷害人民而陸續建立事前管制的法規時,我有點擔心,台灣的法規進度在哪裡?如果從0到10,10是歐盟AI Act的程度,那台灣會在哪裡?台灣所謂的 AI內閣,有什麼 AI 操作或監管指引嗎? 關於全球 AI政策發展的觀察站 有興趣的人可以多閱讀 OECD 的 OECD.AI ,這裡面收集相對完整的全球立法資訊,自我 2019 年開始看這個網站到現在,這幾年網站內的內容增加非常多。 年初時一場線上研討會,參與者建議除了原有的功能外,也可以再提供一些政策研析,畢竟 OECD裡有許多的專家,不僅僅是討論及觀測經濟發展而已,這個意見很快被採納,但寫文章需要時間,所以他們也利用一些AI功能可以搜集收章,讓網站出現大量的文章。今年除了新增文章外,也看到有他們正在全球觀測所謂的 AI Incidents ,使用者可以透過網站了解全球因為開發或使用人工智慧系統所出現的實際危害事件,也 定義AI Incidents和 AI Hazard的不同 。免費,每個人都可以

關於花精的FAQ(4)--使用篇

這部份有十六個Q & A,內容很多,我想應該可以解決在使用花精上最常見的疑問。 花精是芳香療法嗎?是保養品嗎?是藥品嗎? 花精應該算是順勢療法的一種,可以外用也可以食用,不能說是保養品,因為沒有保養品用在皮膚上的直接效果,可以確定的是,花精並不是藥品也不含所謂藥品的效用,但它確實能藉由自花朵萃取出來的能量來平衡人心中的負面情緒。 花精買回家之後要怎麼使用? 通常買回家的花精我們被稱為Stock Bottle,裡面有濃度較高的酒精,所以只要放在陰涼處通常可以放很久,但是如果你的居住地方較悶熱,還是建議放在冰箱裡會比較恰當。平常我們在使用的被稱為Treatment Bottle,調配方式如下: 你要先有一個30ml的玻璃瓶,要有滴管,可以少於30ml,買回家後先用沸水煮5分鐘。注意滴管部位的塑膠不要放到熱水裡。 在已消毒過的30ml玻璃瓶中加入礦泉水或是乾淨的飲用水。 從每個花精的Stock bottle裡各取出兩滴花精加到這30ml的瓶子裡。 每天喝四次,每次取四滴,加入水或是飲料裡,或是直接滴四滴到嘴巴裡。 如果你要搭配急救花精的話,加入Treatment Bottle中的急救花精是四滴,其他的花精還是以每種兩滴為主。 我已經有使用其他的花精了,我可以混用巴哈花精嗎? 原則上是不建議。像是如果你本身已經有澳洲花精的急救花精,就不建議再混合巴哈花精的急救花精。 花精在調配上最多幾種?可不可以三十八種全用? 一般而言一瓶Treatment Bottle裡最多不超過六種花精,因為太多的花精可能會讓你看不清楚自己真正需要的是什麼?也解決不了根本的問題,可能短期內改善了某種情緒但長期而言是沒有改變的,也有可能會互相抑制。但因為每個人的情況不同,有些人可能只需要一種或兩種;有些人可能需要調配到七種或八種,甚至有些人需要三十八種全部,當我們真正的了解自己的情緒問題出在哪裡時,就知道適合的花精到底有哪些,再慢慢的排除掉不需要的花精。 用錯花精會不會有不良的影響? 不會,花精是很溫和的東西,簡單的就成份上而言,它就是水而已,頂多加上了白蘭地防腐,特別一些的說法是,花精多了自然界的能量。花精所改善的是我們的負面情緒或是較黑暗的性格,如果選擇了不適合的花精也不會有什麼不好的影響。 如果我已經有其他品牌的急救花精,而且還有很多,我一定要再重新買巴哈急救花精嗎? 不用,選擇最適合自己