跳到主要內容

參與 APRICOT 2018 心得 (1)


去年是我第一次參與 APNIC(註1) 會議,由於在台中,占了地利之便,很輕鬆的可以參與,同時與許多亞太地區的人有所交流。其他國家的參與者們除了讚嘆台中是個很棒的地方、台上的致詞者出現蛇肉湯讓與會者摸不著頭緒外,也有一位中國的參與廠商告訴我:「其實我是因為參與 APRICOT(2017) 所以才來台灣參與 APNIC44…有機會的話,妳要參與 APRICOT (Asia Pacific Regional Internet on Operational Technologies )。APRICOT 比 APNIC 更盛大,妳會遇到更多人,對妳的研究會更有協助。」同時,在 APNIC 認識的好朋友 Adli Wahid 也鼓勵我再參與 APRICOT ,可以認識更多不同的業者及觀察到更多與 APNIC 不同的面貌。
基於去年在 APNIC44 的經驗當我知道 APRICOT 2018 辦在尼泊爾時,我想,我一定要去。幾經波折,我終於成功到達加德滿都,也擁有了令我難忘的經驗。

在寫自己的心得前,先翻譯一下關於 APRICOT 2018 報告中的相關數字:
  1. 報名人數:1,020人
  2. 經濟體系代表:64個
  3. APNIC 成員組織代表:247個
  4. 現場參與:752人(已扣除APNIC 職員)
  5. 透過 Adobe Connect遠端參與者:71人(依據Adobe Connect 提供的數據,計算不重覆的 IP 並已排除現場參與者、 APNIC 職員)
  6. 透過 YouTube 遠端參與者:1,589 個觀看數;共被瀏覽了 12,998 分鐘
  7. #APRICOT2018 的tweets數:931筆(談論數)

參與 FIRST TC Plenary

在24日的早上,我參與了「FIRST TC Plenary」,最吸引我的是上午的「CSIRT PLAYBOOK — Scaling your Security Monitoring to Protect large enterprises.」
Elements inside the CSIRT Playbook

台灣有 TWCERTTWNCERT 也有 TWCSIRT ,規模不同。這個場次則是與大家分享關於 CSIRT (註2) 如何協助大型企業規劃、制定和監督資訊安全緊急事件回應的Playbook (直譯為遊戲書可能無法引起共鳴,但也不是操作規範,所以保留原字)。

我認為不同規模的公司應該都要有自己的「資訊安全因應事件」程序手冊,並且透過演練、教育訓練等方式讓公司的人員建立並強化資訊安全保護及如何處理資安事件的意識。

台灣與其他國家不同的地方在於台灣的 CSIRT 或是 CERT (註3) 似乎變成了單向訊息發送的單位,也許是因為平時都參與商業意味較濃厚的資安年會,所以大多會注意到防毒軟體公司或是網路服務的相關業者所提供的年報或攻擊事件報導,台灣的 CSIRT 和 CERT 在國際上並不是沒有貢獻,他們也會分享資料並與其他國際單位交流,只是相對於亞洲其他國家的 CSIRT / CERT ,我所聽到的音量反而較為微弱。

從政策擬定之初就參與討論的業者們

我參與的場次大多都是政策討論為主,這次討論的提案有 4 個,延續去年在台中 APNIC44 的提案
  1. 提案-123:修改 103/8 IPv4 轉移政策
  2. 提案-120:最後/8 位址池耗竭計劃
  3. 提案-119:臨時轉讓
  4. 提案-118:APNIC 區域自由(轉讓)政策
這些提案也不是在當下就在討論的,而是透過SIGs (Special Interests Groups) 群組討論,然後在 APRICOT / APNIC 的政策會議上提案。在討論這些政策時,就不是政策制定者關起門來討論了。由於 APNIC 的網路政策只要一達到共識就會實施,所以相關的利害關係人一定會參與討論,不論是透過現場或是線上參與,大家都會遵循議事規則來討論,而且因為本身就是在產業,這些政策的實施都會影響到收益,所以對於討論政策的脈絡都相當清晰,提出數據與估算影響層面,不會讓政策含糊過關,或是講出「因為它很重要,所以它是關鍵基礎設施」這樣的話語。

台灣政府對於通訊、網路、纜線等基礎建設的態度在管制、保護、特許的成份居多,還有各地方也有不同的法規限制,所以廠商在這方面能施力的部份較不容易。但若要談論「數位經濟」,這些都算是數位經濟的基礎,如果這部份弱化,我們所談的數位經濟都只能算在應用層上空談,沒有穩定、強而有力的基礎,是不可能有繁榮的數位經濟前景。當國內相關廠商無法參與這些基礎的網路政策時,我們談電子商務、跨境服務,還會受限於國與國之間的貿易協定、貿易法規、外交政策。而台灣的情況更特殊的一點時,當我看到國際網路服務供應商、交換中心的業者在這裡交流、參與亞太區的網路政策討論時,幾乎鮮有台灣其他的業者參與討論,當然也有可能是國外的服務商以亞太地區代表為主參與討論。

台灣在討論所謂的「網路政策」多是討論在應用層面,且過度窄化在零售的電子商務平台,而這些業者、立法人員、政策制定人員缺乏對網路政策、市場發展、國際情勢與議題前因後果的了解,又受限於政黨意識、派系區隔造成相關的立法或規範只成了他們個人職場生涯的 KPI ,更可能造成壓抑市場自由發展而非有利於市場生態多樣性的局面。

註解:
  1. APNIC:Asia-Pacific Network Information Centre,亞太網路資訊中心
  2. CSIRT:Computer Security Incident Response Team,網路(電腦)安全事變應變中心
  3. CERT: Computer Emergency Response Team,網路(電腦)危機處理中心
參與 APRICOT 2018 心得連結:(1)、(2)(3)(4)

留言

這個網誌中的熱門文章

讀 2019 世界經濟論壇「全球競爭力報告」和「全球風險報告」

自從把重心放在網路治理領域後,比較少去關注世界經濟論壇 (World Economic Forum,WEF)的一些報告。最近看到一些媒體、政府部門的新聞稿在慶賀台灣的全球競爭力排名已前進到 12 名,刻意彰顯自己的政績,都讓我感到十分有趣。通常排名進步有幾種可能:1. 台灣真的競爭力提升了不少,2. 其他國家/經濟體系的評分下降,3.評分的方式改變。
於是我看了自己在 2015 時所觀察歷年全球競爭力報告中的「不利經商因素」(The most problematic factors for doing business),從 2011-2012 至 2015-2016 的報告中,「政策的不穩定性」和「低效的政府官僚」一直都是台灣兩大不利經商因素。在 2019 年的全球競爭力報告裡已經看不太出來明確的項目,但在另一份報告 Global Risk Report 裡,從 2018 年起就有相關的項目。

關於2018年的台灣網路治理論壇

2017年辦理了台灣網路治理論壇(Taiwan Internet Governance Forum,以下簡稱 TWIGF)後,陸續也有許多單位或有興趣的朋友加入論壇中的 Multi-stakeholder Steering Group (以下簡稱 MSG),TWIGF 今年也舉辦了幾次座談,努力讓台灣的民眾了解什麼是「網路治理」和與其相關的範疇,並持續舉辦會議讓與會者透過親身參與,體驗與了解什麼是「網路治理」和「多方利害關係人機制」。

TWIGF 在 2017 年的主題是「數位衝撞之契機 – 經濟、安全與人權之和諧發展」並將子議題分為:數位經濟、網路安全及網路人權,參與者約有兩百多人也刊登上《Global Information Society Watch(GISWatch) 2017 Special Issue - Internet governance from the edges: NRIs in their own words》,藉由此機會讓國外的讀者了解台灣網路治理的發展狀況。 網路治理論壇的精神:對話才是重點 不同於台灣習慣的研討會、座談會模式,主持人或與談人可能會準備大量的投影片向參與者簡報。TWIGF 會議裡有主持人、與談人和參與者三個角色,與會重點是主持人、與談人、台下參與者三方針對該場次主題的對話,並非與談人的個人演講;三方可能分別在不同領域裡有不同的專業,依照主席宣布的議事規則進行討論,沒有多餘的簡報與演講,在該場次 60 至 90 分鐘的對話時間裡,透過「多方利害關係人機制」找到彼此對議題的共識。對話可能包括了爭論、對談,參與者都是熟悉該議題或對議題有興趣,在彼此尊重與包容的前提下發言與討論,透過對話形成共識。

閱讀歐盟區塊鏈技術運用於身份識別的報告與台灣的數位身分識別證

中午時間,我在查詢相關資料,回覆信件後,回頭問自己:「為什麼自己在查詢資料時,總是先從歐盟的資料著手?很多人會反應為什麼要查歐盟或 OECD 的資料而不先使用國內的資料?其他國家的研究資料不能用嗎?」

這幾年的心得是,在歐盟和 OECD 的報告裡會提供研究方法,公開告訴每個人,他們的數據來源、取得方法、怎麼推估、根據什麼政策框架,有什麼研究限制,這些公開的研究條件,都經得起外界審視和質疑,所以在檢查其合理性後,可以使用這些報告。

以區塊鏈技術運用在身分識別用途來說好了,在 GDPR 公布後,裡面的條件都規範了資料使用和流通的限制,對於喜歡不經告知就擅自挪用、交易的企業來說,使用資料的成本與門檻都提高許多,許多科技業者也質疑,在需要資料發展創新科技,如 AI 和區塊鏈,或是自主駕駛車輛,也需要大量的地理交通資訊,在 GDPR 這麼嚴謹的限制條件下,要如何發展新科技?