跳到主要內容

發表文章

目前顯示的是有「資通安全管理法」標籤的文章

參與 1 月 11 日的「資通安全管理法」公聽會感想

如果有人讀過由去年諾貝爾經濟學奬得主 Richard H. Thaler 的《不當行為》,也許就會開始學習如何當一個理性的經濟學者,而不被衝動或個人習慣沖昏頭進行不當的消費。書中所提到的一些概念其實更可以運用在各個場域裡,包括已參與幾次的座談會到今日公聽會的「資通安全管理法」。
法學專家們的疑問 大概整理了幾點: 如何避免技術性的規避或離開市場?行政救濟的相關事項。擬這套法案時參考美國、日本、新加坡等這些國家的依據是什麼?是經濟或科技發展情況還是剛好搜尋到這個國家有這套法律,所以拿來用?這部「資通安全管理法」的主管機關是台灣的行政院,行政院主要是整合政策的功能,本身無執法的能力,僅能要求被管制者義務執行,也就是主管機關的管制責任是空虛的。參考的國家都有編制專責的單位與規劃預算,如果在台灣這套法令通過了,開始實行了,有編制的人力嗎?執行的能力嗎?可能沒有。「資通安全管理法」有主管機關,但「個人資料保護法」沒有主管機關。這兩部法一樣重要,但為什麼會有這樣的差異?

從「Privacy 是人權議題,由政府來立法保護,Security是 Nice to have」所引發的聯想

昨天下午參加了iThome所舉辦的2017台灣資安大會,其中一場講座的講者講了這麼一句話:
Privacy 是人權議題,由政府來立法保護,Security是 Nice to have 雖然在各個領域裡不斷強調要教育廠商、工程師、使用者(消費者)在產品與服務開發過程、使用過程中都要有資訊安全的概念,但說真的很不容易,以目前台灣的使用情境而言不是每個人都有保護自己、他人的隱私的觀念。

案例一:有次在超商購物,聽到在咖啡座上,有個客人的電話應答:「XXX小姐您好,…您的出生年月日是XX年X月X日,身份證字號是0000000000,地址是…」我訝異的轉頭望向他,這位先生知道他已經在公共場合洩露他人的個資了嗎?案例二:中國的通訊軟體微信,一直以來都有使用者訊息被監控的情形出現。當我建議周遭的朋友們不要使用這款軟體時,他們會回應我:「我又不是什麼大人物,有什麼好擔心的。」案例三:總是會有因為使用者不當的操作或安裝了有安全疑慮的程式讓自己手機被入侵,使私密影片、照片,被公開社群網站上。更不用說四處打卡,連在家中也要打卡、拍攝自家內部裝潢給人看、讓人知道你的作息的人,只要有心人都能知道你家中什麼時間有沒有人在家。

留住本土廠商、吸引海外廠商:仍待改善的台灣法律環境

本文刊登於Rocket Café:  留住本土廠商、吸引海外廠商:仍待改善的台灣法律環境。因為撰寫時間匆促,感謝辛苦協助的編輯。

日前EZTABLE宣布將企業總部移至印尼;報導中提到,業者將總部移至東南亞國家的原因,除了投資人的壓力外,也想拓展該區域的市場,並節省與當地業者合作所需要支出的差旅費。

姑且不論EZTABLE出走到底真實原因為何,從台灣的政策和法令環境來看,要是筆者自己經營公司,在這種內外夾擊的狀況,加上投資者的壓力,可能也不得不轉往海外經營。
當然,每家廠商選擇出走或留下,都有複雜的原因;但檢視我國的法令環境,對留住國內廠商,吸引國外廠商來台,仍有諸多障礙。

資通安全管理法,對於開發業者的挑戰 「資通安全管理法」草案在去年底未能通過,在草案第六條提到:「行政院得委任或委託其他公務機關、法人或團體,辦理資通安全整體防護、國際交流合作及其他資通安全相關事務。」而自第17條起則是對非公務機關的規範,第19條規定如下: 中央目的事業主管機關因查核資通安全維護情形發現重大缺失,或遇重大資通安全事件,而認有必要時,得派員攜帶執行職務證明文件,進入第十六條及第十七條之非公務機關場所檢查,並得命相關人員為必要之說明、配合措施或提供相關證明資料。
對於前項之檢查,非公務機關及其相關人員無正當理由不得規避、妨礙或拒絕。
參與檢查之人員,對於因檢查而知悉之他人應秘密之資訊,負保密義務。  就筆者解讀,由於行政院並無人力與編制可對公務機關、非公務機關進行相關資安檢測,所以得委外進行檢查工作;同時若是有發現重大的資通安全事件,有權直接進入私人公司檢查相關資料。

如果你是開發商,面對這樣的法律,會選擇把營業機密相關的伺服器放在台灣還是國外?如果該公司本身不是台灣企業,企業總部、相關開發人員與機器都在國外,政府就只能檢查公司在台灣的辦事處。因為台灣政府沒有權力去搜查國外的總部。這樣就輕鬆規避了這條法律。