針對今早我們期望台灣資通訊產品能有資安認證標章的記者會,感謝政院迅速的回應,重視資安即是重視國安,保障民眾的資安是我們能夠共同來推動的目標。
以前談戰爭談的是傳統軍武,但現在早已經是超限戰時代,這也是為什麼我們強調資安即國安。中共對台灣的資訊蒐集往往是基於惡意,而從我上任以來便發現在資安相關的制度上還有很多非常不足的面向,需要一一檢視並填補漏洞。
比如我的團隊一直在關心行政部門使用有資安疑慮產品的問題,目前已知行政院為避免中國製品資安疑慮,已在去年底發函要求各公務機關禁用及停止採購中國廠牌資通訊產品及服務,預計本年底汰換完成,未來我們也會持續追蹤監督。另一方面,日前爆出白牌(指由中國廠商設計製造,以臺灣品牌對外銷售)手機,在製程中被植入惡意程式遭暗中植入惡意程式,致使用戶被當詐騙集團人頭等等,我們關心NCC的相關資安認證、抽測狀況是否能夠落實。
針對區間測速設備產地問題和《政府採購法》修正的方向,同樣是我團隊過去追蹤和推動的資安制度問題。有關區間測速設備產地的問題,根據公總、警政署盤點狀況,初步回應儀器皆為台製。儘管清單內容顯示未使用中國產品,但民眾發現其中攝影機與補光燈與海康威視產品相似。交通部已經決定若廠商無法證明非中國製、並切結零組件亦非中國製者,須先下架停用。我們知道部分設備為地方政府設置,也請警政署說明對應的方法。 日前也找公總、警政署、行政院三方共同開會協調,一方面釐清問題,另一方面也希望行政單位盡快處理對應,不僅是現有設備、對未來的採購管控,都要慎重處理,回應民眾疑慮。
我在去年五月提出了《政府採購法》修正草案,希望強化涉及國家安全採購跨更多部會的審查機制,就是因為發現如果按照現行條文,容易產生各政府部門採購時各自認定國家安全範圍的問題;也就是根據目前的《政府採購法》,何謂國家安全常常沒有一個具有宏觀、回應目前中國對台灣超限戰目的和手段的標準。
因此,我們發現有四大問題是必須盡速解決的;包括
1. #乾淨資安產品要標章:雖然在造成爭議的白牌手機案例中,NCC表示有資安認證和抽測;但我們認為落實上還需要加強。
2. #洗產地惡行要防堵:行政單位對於中國製有資安疑慮的產品必須要有所對策,確實遏止白牌洗產地的產品被行政部門所採購。
3. #數據跳板第三地要控管:所謂有資安疑慮不是只有資料直接送中的狀況,也有傳輸到第三地跳板,行政部門應該要一併納管。
4. #政府採購法要強化:現行《政府採購法》中,有針對涉及國安採購的規定,但並沒有明確範圍界定及相關審查辦法,造成各部會自行解讀,需要重新檢視落實狀況。
除了相關規範的修正和補強外,民眾希望的是有一個清楚的標章來選擇安全的產品。目前雖然有標章制度,但普及度和民眾了解都不高,行政單位應該積極更完善的做法,並且推廣讓廠商加入資安認證、讓民眾認識標章,才能進一步做到資安即國安。
公務手機使用規範 在 王婉諭 Facebook 的精選貼文
國會聯絡人的專案報告竟然「從我的華為手機傳送」!?
行政院請注意!說好的中央政府機關,全面禁用中國資通訊產品呢?
就在剛剛,我的公務信箱收到了一封來自國會聯絡人有關專案報告的信件,信件最後,竟然出現「從我的華為手機傳送」的訊息。
這讓我非常驚訝,去年初,中國品牌的資通訊產品就已爆出嚴重的資安漏洞、開後門爭議,國際上亦有許多國家政府部門明令禁止使用華為產品。當時行政院發言人Kolas 曾表示:「總統府、行政院與中央各政府機關,多年前已全面禁止在公務上使用中國品牌的資通訊產品,當然也包括華為。」
當時行政院資通安全處處長也說明,依規定,公務使用的網路設備、手機、電腦等資通訊設備,已經全面禁止採購中國品牌產品;雖然個人使用的手機或電腦等沒有相關規範,但個人手機或電腦無法使用政府內部網路。
既然去年行政院早已宣告全面禁用中國相關的資通訊產品,即使是個人使用的手機、電腦設備,只要牽涉到「公務使用」,都必須要非常謹慎小心資安問題!我擔心的是,行政院各部會和立院國會辦公室之間的公務信件往返,是否都有遭中國監控、竊取資料的疑慮?
我要呼籲行政院,請重新全盤檢查目前各個國會聯絡人的相關資通訊產品使用狀況,無論是相關的信件往返,或是與國會辦公室的往來聯絡,都應該以最嚴謹的資訊安全規格管理,不該出現絲毫漏洞!
公務手機使用規範 在 邱顯智 Facebook 的精選貼文
【學生個人資料保護,不只是規定,更是義務】
上個月12日,中正大學發生了一場資安事故。有一份包括8,495位、橫跨五個學年度學生的身分證字號、手機、本地僑外生、身心障礙、原住民身分註記等資料的檔案,被寄給220位學生。
這是一次個人資料大量外洩的事故。
依據中正大學的說明,事件的原因,是因為中正大學通識中心一位還在試用期的承辦人員,「不慎」在信件中,「夾帶」了「用於查詢作業」的學生個資檔案。
然而,在這個案件中,學生個資通通放在單一未加密的文件裡面,除了難以避免未授權的存取,更不會有使用紀錄、軌跡資料,無從掌握個人資料的處理及利用情況。而且,這位新進職員取得資料目的只在於「取得e-mail通知講座訊息」,檔案卻包括身分證字號、手機、身心障礙等資訊,範圍顯然遠遠超過業務所需。
顯然的,整件事情不是單純個人疏失,更是制度性的問題。
在星期一的質詢中,中正大學馮展華校長,也證實該份個人資料檔案,是通識中心違規保存的歷年新生入學檔案彙整而成,並給未受學校個資保護相關訓練的試用期間人員使用。事後,學校也進行了懲處與通盤檢討。
我也在質詢中點出,事實上教育部早在2007年就定有「教育體系資通安全暨個人資料管理規範」,2019年和今年8月也有修正。然而,中正大學的「個人資料保護管理要點」,最後一次更新在2018年,從檢討看來,案發前也沒有落實相關的保護規範。
學生個人資料保護,不只是紙上的規定,學校更有積極作為的義務。
質詢的最後,則是一個濫用知識和地位不對等,不願意承擔責任的故事。
法律規定得很清楚:依據個人資料保護法第28條規定,公務機關違反個資法而侵害當事人權利時,就要負包括非財產損害的損害賠償責任,並且,在實際損害不易或不能證明的時候,法院可以依情節決定500元至2萬元的賠償。
然而,中正大學法學院卻在10月19日的臉書貼文,特別tag #基於有損害始有賠償之法理、#防止有心人士興訟。也有同學和我反應,有校方人員和他們說這次的個人資料外洩沒有造成任何損害,無需賠償。
學校外洩學生的個人基本資料、聯絡資訊甚至入學身分等,顯已侵害學生的資訊自主權,也造成學生擔心害怕的精神損失。但竟然有人向想主張權利的學生表示,學生不能求償?!這難道是面對過錯應該有的態度嗎!
只有面對問題、勇於承擔,才能真正建立防患於未然的處事文化。而除了學校,教育部也責無旁貸,應該以此為鑑,督促各級學校落實個人資料保護措施,防患於未然。
🎥質詢影片:https://reurl.cc/14Wl2m