跳到主要內容

參與 1 月 11 日的「資通安全管理法」公聽會感想


如果有人讀過由去年諾貝爾經濟學奬得主 Richard H. Thaler 的《不當行為》,也許就會開始學習如何當一個理性的經濟學者,而不被衝動或個人習慣沖昏頭進行不當的消費。書中所提到的一些概念其實更可以運用在各個場域裡,包括已參與幾次的座談會到今日公聽會的「資通安全管理法」。

法學專家們的疑問

大概整理了幾點:
  • 如何避免技術性的規避或離開市場?
  • 行政救濟的相關事項。
  • 擬這套法案時參考美國、日本、新加坡等這些國家的依據是什麼?是經濟或科技發展情況還是剛好搜尋到這個國家有這套法律,所以拿來用?
  • 這部「資通安全管理法」的主管機關是台灣的行政院,行政院主要是整合政策的功能,本身無執法的能力,僅能要求被管制者義務執行,也就是主管機關的管制責任是空虛的。
  • 參考的國家都有編制專責的單位與規劃預算,如果在台灣這套法令通過了,開始實行了,有編制的人力嗎?執行的能力嗎?可能沒有。
  • 「資通安全管理法」有主管機關,但「個人資料保護法」沒有主管機關。這兩部法一樣重要,但為什麼會有這樣的差異?

關於「關鍵基礎設施」的定義

在原本草案最具爭議性的第十八條被刪除後,大家的著眼點則放在「關鍵基礎設施」的定義,是否以行政院國土安全辦公室所定義關鍵基礎設施為主或是應該以網路服務設施作為關鍵基礎設施。
去年 12 月20日,幾個立法委員又開了一場座談會,那時我看到了朋友傳來的會議照片,我對朋友說,我所想到的關鍵基礎設施是這麼分類的:
  1. 優先該規範的應該是與網路有關的硬體建設:通訊基地台、線路、交換中心、資料中心、電信公司….然後再分等級。
  2. 次要為是建立在這些網路基礎建設之上的,有迫切性、與人權、人身安全及民生有優先需求的基礎建設或服務:國防(他們不談不然這會優先)、能源、醫療、照護事業、交通等基礎建設。
  3. 再來是與日常經濟活動相關的銀行金融、商業行為等相關應用與服務。
今天在會場裡,我再回頭檢視「資通安全管理法(草案)」中關於關鍵基礎設施的分類方式,於是有這樣的體會:若以一般民眾所能受到對網路建設不理解的多數人來說,國土辦所定義的「關鍵基礎設施」是對民眾最「有感」的,如果以技術人員的角度來看,這些不是技術人員或資安人員所定義的「關鍵基礎設施」。例如:台電停電五分鐘會比網路伺服器停止服務五分鐘所受到影響的層面來得更廣泛。

檢視立法的目的

由於今天的公聽會讓我感受到只是邀請專家學者為委員們上課,當IThome的記者朋友回饋她多年來處理資安新聞與看到國內各單位缺乏資安意識的感觸時,於是我開始回想:「這部法案訂立的目的是什麼?」
在第一版的提案中第一條提到:「為積極推動國家資通安全政策,加速建構國家資通安全環境,帶動資通安全產業發展,以保障國家安全,維護社會公共利益,特制定本法。」條列如下:
  1. 積極推動國家資通安全政策
  2. 建構國家資通安全環境
  3. 帶動資通產業發展
  4. 保障國家安全
  5. 維護社會公共利益
去年 12 月 20 日的審議後,第一條修改為:「為積極推動國家資通安全政策,加速建構國家資通安全環境,以保障國家安全,維護社會公共利益,特制定本法。」
  1. 積極推動國家資通安全政策
  2. 建構國家資通安全環境
  3. 保障國家安全
  4. 維護社會公共利益
也就是在修改後的法案裡已無所謂的「帶動資通產業發展」這件事。
在行政院版的「資通安全管理法 (草案)」被送入立法院後,簡處長曾受邀為大家解釋相關的疑問,那時我的解讀,立這個法的目的是:
  1. 推動國家資通安全政策
  2. 維護國家資通訊安全 (呼應資安即國安)
  3. 促進國內資通訊產業發展
  4. 提升公務部門中資訊部門人員的位階
  5. 促進國際交流
而上述的第3、第4也包含了建立資安意識、教育、人才培育、產學合作,畢竟那時我讀了日本的《網路安全基本法》,也相信在其規劃裡,也許在子法的部份會提到這些內容。於是再進一步確認,整理如下:
  1. 台灣 2017 至2020 年的資通安全政策為國家資通訊安全發展方案(106–109年)已在去年11月時公布於行政院國家資通安全會報網站。
  2. 關於產業發展及人才培訓的部份列於該方案中。發展新興資安產業、產學交流的主管機關是經濟部,而人才培育的主管機關是教育部。
  3. 該方案也規劃了政府部門人員資安意識、職能的提升,包括成立千人的資安應變小組。
  4. 在 2016 年的 8 月也公布了一版「國家資通安全通報應變作業綱要(修正版)」。
  5. 在行政院版的「資通安全法 (草案)」第四條與第五條也列有人才培育及國際交流。
國際交流的部份,其實台灣的 CERT 或相關的單位都會與國外的單位交流,只是我是非當事人通常是不知道,只有在 APrIGF Bangkok 2017 時第一次見到台灣的 CERT 。
昨天在讀 IGF 2017 關於資訊安全的報告,也與 APNIC 的朋友 Adli Wahid 討論到 CERT ( Computer Emergency Response Team) 的責任與義務。他認為,CERT 的存在與義務也僅是為了他們的目的而已,很多時候一般人不認為 CERT 有發揮什麼實際作用,事實上 CERT 並不負責國家安全,但可以協助與協調資安事件發生時的處理程序,減輕資安事故造成的傷害,並加速受害單位從事故中恢復的能力,事實上他與 TWCERTTWNCERT 也有過互動,也提過台灣的相關單位是十分樂於分享、交流資通事件與處理方式,在某些國家或單位是少見的。同時也提醒我一點:
There is no silver bullet in security.
如同在 GCCS 2017 中的資安專家就提到,你永遠不知道那些攻擊行為的目的是什麼,也無法阻止攻擊事件的發生,只能減輕傷害與損失並加速復原。

在經歷了去年的網路治理會議後,幾乎每場會議都會談到如何建立每個人對個人資料、資訊安全、隱私保護的意識與能力,所以可以知道這是一件很重要的事,也不是只有台灣人缺少這樣的意識與能力,更樂見於國家有心提升公務人員有居安思維的意識而放在國家資通安全發展方案中。

後續建議

在今天的公聽會結束後,簡處長也提到對於後續的六部子法:
  1. 資通安全管理法施行細則
  2. 資通安全責任等級分級辦法
  3. 資通安全事件通報及應變辦法
  4. 資通安全維護計畫實施情形稽核辦法
  5. 資通安全情資分享辦法
  6. 公務機關人員資訊安全事件獎懲辦法
在一月底會以公開的方式,除了召開座談會將逐字稿 (希望我沒有誤會)與會議記錄公開上網外,也會透過國發會的平台 (不確定是 vTaiwan 或是 JOIN平台) 公開徵求意見。
事實上我也在思考以下哪一種方案對整體社會的機會成本最高:
  1. 繼續修改這部行政院版的「資通安全管理法 (草案)」同時照資安處的規劃徵求上述六部子法的意見。
  2. 撤回行政院版的「資通安全管理法 (草案)」並公開徵詢意見重新撰寫,連同六部子法 (可能不用到六部) 一起讓人民參與。
針對方案 1,各界都已投入大量的時間與人力成本於現有的草案中,幾乎已是無法回收的沉沒 (默) 成本,也許是因為這樣才執著於修改現有的法案並繼續擬六部子法。然而我所擔心的是若是行政院版的草案通過,很有可能因為母法過於模糊 (已被刪改的與最初目的不同)、子法內容未明的情況下,會不會傷害到經濟社會 (例如逼迫國內業者外移、對外國廠商無拘束能力、或法學專家們提到的) 或有無侵犯人權?
若是方案 2 ,對於資安處的傷害頗大,但理性的經濟人並不會計較沉沒(默)成本,適時停損,也可以就先前的錯誤經驗,研擬出方向,避免犯下重覆的錯誤,更確定也不會造成各界擔憂的法案出來,對整體社會來說也許就不必要再針對六部子法召開所謂的 15 場專家學者座談會和多場委員會議⋯⋯等不必要的各種成本支出。
然而最終的評估可能還是要由資安處來決定,畢竟站在我的角度來說,資通安全管理法是必要的,但請長官們以人權、整體社會與經影在法案實行後所需要付出的代價、遭受到的影響來考量這部法案是否要繼續修改還是撤案撰寫。

以人權為基礎的網路安全政策建議

去年在 APrIGF Bangkok 2017 參與了網路安全的教育訓練,其中 GPD 提供了一份文件:「Recommendations for human rights based approaches to cybersecurity」,在徵求同意翻譯至中文後,經過 T.H. Schee 的調整刊登於 OK Taiwan 網站上,列在以下,希望不論是繼續修改還是重新撰寫,都希望能考量以下建議:
  1. 網路安全政策和決策過程應該要保護及尊重人權。
  2. 網路安全相關法規、政策、實行措施的發展,應該要出自於內心對於人權的尊重來設計。
  3. 網路安全相關法規、政策和施和實行措施應該要強化人們在線上與離線時的安全,考量關於個人與團體在不同風險中所面臨的威脅。
  4. 網路安全相關法規、政策和施和實行措施的發展和執行,應該要符合國際法,包含國際人權法和國際人道主義法。
  5. 網路安全相關法規、政策和施和實行措施不應該被作為侵害人權的藉口,特別是自由表達、集結社團、集會和隱私方面。
  6. 對於網路事件的回應不應該侵犯人權。
  7. 網路安全相關法規、政策和施和實行措施應該要維持及保護網路的穩定性與安全性,且不應該破壞基礎設施、軟硬體和服務。
  8. 網路安全相關法規、政策和施和實行措施應要能反應在加密和匿名規則上,確保人權的實現,特別是自由表達、集結社團、集會和隱私。
  9. 網路安全相關法規、政策和施和實行措施不應該阻礙有助於保護人權的科技發展。
  10. 網路安全相關法規、政策和施和實行措施的研擬,不論在國家、區域、國際階層上都應該要讓所有利害關係人透過開放、包容、透明的方式進行。
  11. 利害關係人應該要推廣教育、數位素養和技術及法務訓練,用以推進網路安全與實現人權。
  12. 所有利害關係人都應該分享尊敬人權的網路安全最佳實行措施。
  13. 加強網路安全能力建設,不論是對於連線或是離線的人都具有重要的作用;這樣的努力應該要促進人權發展。

朋友 Adli Wahid 建議關於 CERT 與 CSIRTs 的相關閱讀:

留言

這個網誌中的熱門文章

國際合作不是只有聊天和簽署MOU

這是第三次參與台灣網路資訊中心(Taiwan Network Information Center,簡稱 TWNIC )所辦理的 IP 政策資源管理會議 ( IP Open Policy Meeting, 簡稱OPM,以下如果有再提到都會寫為 TWOPM )。第一次參加時覺得有點像研討會,第二次匆匆忙忙的在活動進行到一半就要趕往柏林參與 Freedom Online Coalition 年會,這是第三次參與會議,留下一點心得記錄。
因為自己接觸的領域也多在應用與末端消費者的使用研究或是政策治理,較少接觸到網路基礎建設端的「政策(Policy)」或是「治理(Governance)」。消費者應用端都常較容易理解,也容易獲得共鳴,以行銷與管理的角度來說,談應用端的投入成本不高,回收速度快,自然大家也都會一窩蜂往末端應用來談:網路行銷、應用⋯⋯簡而言之就是以最少成本行發大財之目的。

關於大家在討論的數位經濟

2017年三月的第三個星期,台灣的立法院裡發生了兩件事,一件是國民黨的許毓仁委員召開了第二次的「數位經濟基本法」草案公聽會,另一件事則是民進黨的余宛如委員等11人,成立了「立法院數位國家促進會」。配合了年初行政院科技會報所發布的「數位國家•創新經濟發展方案(簡稱DIGI+)」,可以感受到新政府積極想要有所作為的各種行為。
台灣各方對於「數位經濟」的定義,一直都是模糊、充滿不明確、僅提供大方向的描述,但若要立法,法律是需要明確定義的規則,模糊的方向可能會導致行政資源的浪費,在日後也可能對於整體社會發展有不利的未來。
從定義來看,先查尋維基百科:
Digital economy refers to an economy that is based on digital computing technologies. The digital economy is also sometimes called the Internet Economy, the New Economy, or Web Economy.  「數位經濟」是指基於數位運算科技的經濟體系。有時也被稱為網路經濟、新經濟或網絡經濟。 在維基百科的頁面下方則提到「數位經濟」這個詞彙最早出現於Don Tapscott在1995年出版的《The Digital Economy: Promise and Peril in the Age of Networked Intelligence》一書當中,作者認為數位經濟的基本需要以下的要素:   The digital economy requires a new kind of businessperson: one who has the curiosity and confidence to let go of old mental models and old paradigms; one who tempers the needs for business growth and profit with the requirements of employees, customers, and society for privacy, fairness, and a share in the wealth he or she creates; one wh…

關於「.io 」域名的故事

常會看到不同的頂級域名(Top-level domain,簡稱 TLD),從古老的通用頂級域名(Generic top-level domain,簡稱 gTLD)名:
.com:商業相關.edu:教育相關.gov:政府相關(但美國則沒有.gov.us 或 .com.us 哦!).net:網路相關.mil:軍事相關.org:不屬上述的組織使用 到現在還有 .cc、.io這些常見的TLD「.io 」域名會讓人聯想 Input/Output,電腦輸入/輸出會記為「 I/O」,自1997年9月16日開放註冊,所以多是資訊相關從業人員會申請的 TLD 之一。