在今年八月裴洛西 (Nancy Pelosi) 訪台,諸多電子看版遭駭事件後;數位部與行政院積極展開跨部會研商,由數位部修訂「各機關對危害國家資通安全產品限制使用原則」(原規範於2019 年 4 月 18 日發佈)。在經過公共政策參與平台的意見收集,與政府單位商討下,數位部長唐鳳已經對修定的內容提出預告:「公務機關及公部門委外場域,不應使用中國資通產品,若需例外使用,需經過資安長的核可,再將例外申請送至數位部個案核定,以專案方式購置並列冊管理。」
◾️ 前情提要
今年八月美國眾議院議長裴洛西 (Nancy Pelosi) 訪台期間,超商及火車站的電子看板遭駭一事,經查後,是因為業者使用中國廣告播放軟體,使駭客得以利用其漏洞,在其置入惡意的內容。
◾️ 修訂內容描述
原法規限制使用中國資通產品的範圍僅有公務機關,預計修訂後會擴及到公家機關委外合作廠商所使用的軟硬體和服務;對於目前契約尚末到期的委外合作廠商,也需對於目前所使用的中國製軟硬體和服務進行盤點和資安威脅評估。
若機制無可避免的需要採購與使用中國製的資通產品,需通過兩道把關門檻的許可:(1) 機關內部資安長與上級機關資安長核定 (2) 本法主管機關核定;若無上級機關,也需直接函報本法主管機關核定。中國製的資通產品使用與採購需以專案方式列冊管理,希望可以降低中國製資通產品所帶來的風險。
專案方式列冊管理即:(1) 機關需說明使用的限定範圍與人員 (2) 需購買/使用的理由 (3) 不得與公務網路環串接 (4) 不得與上處理/儲存公務資訊 (4) 需經過測試並附上產出報告 (5) 當購置理由失效或是年限期滿,需立即銷毀。
參考資料
政院將修正禁用中國資通產品條例,例外使用需經資安長同意, iThome (Oct 19, 2022)- https://www.ithome.com.tw/news/153700
機關例外使用中國資通產品 明定須資安長核可, udn.com (Oct 18, 2022)-https://udn.com/news/story/7240/6695832
機關例外使用中國資通產品 須資安長核可, 自由時報 (Oct 18, 2022)- https://news.ltn.com.tw/news/politics/paper/1546435