委員會紀錄 立法院第8屆第3會期外交及國防委員會第20次全體委員會議紀錄 時　　間　中華民國102年4月29日（星期一）上午9時 地　　點　本院紅樓301會議室 主　　席　蕭委員美琴 主席：出席委員已足法定人數，現在開會。 進行報告事項。 報　告　事　項 一、宣讀上次會議議事錄。 立法院第8屆第3會期外交及國防委員會第19次全體委員會議議事錄 時　　間：中華民國102年4月25日（星期四）上午9時至12時54分 地　　點：紅樓301會議室 出席委員：陳歐珀　　楊應雄　　蔡煌瑯　　林郁方　　陳碧涵　　陳鎮湘　　詹凱臣　　蕭美琴　　陳唐山　　馬文君　　邱議瑩 　　　（出席委員11人） 請假委員：王進士 列席委員：陳亭妃　　許忠信　　孔文吉　　丁守中　　鄭天財　　許添財　　李桐豪　　徐耀昌　　葉宜津　　李貴敏　　廖正井　　林德福　　羅明才　　陳淑慧　　邱文彥　　林正二　　賴士葆　　黃文玲　　薛　凌　　陳怡潔　　姚文智　　江惠貞　　黃昭順　　簡東明　　呂玉玲　　吳育昇　　黃偉哲　　潘維剛　　林世嘉　　徐欣瑩　　邱志偉　　蔡其昌 　　　（列席委員32人） 列席人員：國防部副部長楊念祖及相關人員（部長高華柱請假） 主　　席：馬召集委員文君 專門委員：紀珠 主任秘書：劉錦章 紀　　錄：簡任秘書　趙弘靜 　　　簡任編審　劉慧琪 　　　科　　長　陳淑敏 　　　專　　員　陳國興 報　告　事　項 一、宣讀上次會議議事錄。 決定：確定。 二、邀請國防部部長高華柱報告「漢光29號演習檢討報告及後續兵力整建規劃」，並備質詢。 （國防部副部長楊念祖、作戰及計畫參謀次長室次長陳寶餘報告。委員陳歐珀、楊應雄、蔡煌瑯、林郁方、陳碧涵、陳鎮湘、詹凱臣、蕭美琴、陳唐山、馬文君、許忠信、許添財、李桐豪、黃偉哲、邱志偉、薛凌等16人質詢，均由國防部副部長楊念祖、副總長兼執行官陳永康、常務次長廖榮鑫、總督察室總督察長黃奕炳、作戰及計畫參謀次長室次長陳寶餘、政戰局局長王明我、軍備局局長金壽豐、軍醫局局長張德明、陸軍司令部參謀長羅際琴、海軍司令部參謀長許培山、空軍司令部參謀長丁忠武、後勤參謀次長室次長黃曙光、人事參謀次長室次長王信龍、情報參謀次長室次長柯文安、通信參謀次長室次長胡延年、全民防衛動員室副主任蔡忠誠即席答復。） 決定： (一)登記質詢在場委員均已發言完畢，報告及詢答結束。 (二)委員所提口頭質詢未及答復或要求提供之資訊，請國防部於2星期內以書面答復委員並副知本委員會，委員另指定期限者，從其所定。 (三)委員詹凱臣、邱議瑩、王進士、潘維剛所提書面質詢，列入紀錄刊登公報。 散會 [image: image1.jpg] 主席：請問各位，上次會議議事錄有無錯誤？（無）無錯誤，確定。繼續報告。 二、邀請行政院資安長、行政院資通安全辦公室、行政院國土安全辦公室、國家安全局、國防部、法務部調查局、內政部警政署刑事警察局報告「我國如何因應網軍與駭客攻擊並強化資訊安全措施」，並備質詢。 主席：國防部部長由於另有公務，自10時30分起將由次長列席備詢。本委員會邀請各部會首長來本委員會報告，基本上首長一定要親自列席報告，如果另有公務就需要向召委請假。本委員會的委員其實都非常尊重國安外交系統各位首長的專業，也能夠體諒各位公務繁忙，但是我們立法委員有監督的職責，所以各首長如果受邀列席備詢，就應該要來列席，如果真的另有要公，可以向召委請假，只要是正當的公務，不管是哪一個政黨的召委都會准假。部長已經有大概一個半月的時間都沒有來我們外交及國防委員會列席，本席在上週五有特別要求，因為國防部上個禮拜沒有請假、也沒有說明部長為什麼不來，後來我們得知部長在今天上午11時另有公務，所以我們要求部長在9時到10時30分的這段時間列席備詢。以後本委員會開會就是假定首長會列席，如果首長另有要務才由次長、副部長或其他人員代為列席，完全沒有各部會連絡人私自跟議事人員協商的餘地，一定要正式向召委請假，在此做以上宣告。 現在請國防部高部長報告。 高部長華柱：主席、各位委員。今天大院特別排了「我國如何因應網軍與駭客攻擊並強化資訊安全措施」的議題，主政單位是國安局和相關單位，國防部是政府的一環，針對國家及國軍資訊安全防護等相關部分，等一下請通信參謀次長室胡次長來報告。我們國防部一定會依據大院各位委員對國家及國軍資訊安全防護的指導繼續來努力，讓國軍資安工作得以順利推動，國防部也會跟政府相關單位做橫向緊密的協調，在國安會及行政院政策指導之下，防止因資料外洩而困擾政府及民間等各方面的入侵，這是我們國防部的政策。 主席：請國防部通信參謀次長室胡次長報告。 胡次長延年：主席、各位委員。非常感謝　大院特別安排本部報告「我國如何因應網軍與駭客攻擊並強化資訊安全措施」，希望藉此報告，讓大院各位委員瞭解國軍資訊安全防護作為；承蒙各位委員的關心與指導，讓國軍資安工作得以順利推動，藉此機會向各位委員表達敬意與謝意。 壹、前言： 近年網路安全及資料外洩等問題，一直困擾政府機關及民間企業，其中駭客（網軍）入侵、病毒感染及惡意程式肆虐等事件層出不窮，因而造成網路中斷、重要資料被竊等情事時有所聞；國軍為政府整體資安防護之一環，本部依國家安全會議及行政院指導，負責國防網際防護任務，以資安防護為核心，負責規劃、推動國軍資安防護及應變等工作。 年來，在各位委員前瞻指導及支持下，國防資安基礎建設依規劃逐年整備，除落實網路實體隔離作業，建置嚴密的資安防護機制外，另頒布多項資安稽核措施，並主動查察違規事件，在資安防護上已初見成效，現謹就本部「資安現況檢討」、「精進作為」摘報如后。 貳、資安現況檢討： 一、資安威脅分析： (一)網駭模式翻新應變不易： 鑑於資訊科技進步快速，資訊系統所產生之漏洞，易成為駭客（網軍）攻擊之途徑，故資安防護技術亦須與時俱進，本部資安防護人力、經費雖然有限，惟在落實網路實體隔離政策下，逐步建構國軍資安防護機制，並賡續配合行政院「國家資通安全會報」及國家安全會議「國家資通安全指導小組」指導，與政府各部門間採取策略聯防，以達臨機應變即時處置之目標。 (二)社交工程攻擊防不勝防： 現今以電子郵件偽冒長官、同僚及部屬身分遂行社交工程，誘使收件人開啟惡意郵件，致使電腦遭植入病毒，進而攻擊特定對象，盜取資料，已成為網際網路最普遍威脅；有鑑於網際網路屬風險較高之作業環境，故本部規範，未經核准不得於網際網路電腦上傳公務資料，以防杜資料遭竊取情事。 (三)網路混接衍生資安罅隙： 網路跨接混用，將使駭客透過網際網路入侵國軍網路，危害國防資訊安全，故本部實施「網路實體隔離」作法，並於內部軍網依機敏程度採取「專網專用」措施，以杜絕各式威脅；歷年來管制措施嚴謹，且配合綿密稽核作業，可有效拒止網路惡意行為。 (四)資料傳載未按規定管制： 光碟及隨身碟等移動式儲存媒體，具體積小、容量大及攜帶方便等優勢，成為資料傳載之媒介，須加以控管，方不致產生公務資訊外流；近年來國軍全面禁用非公發隨身碟，並輔以移動式儲存媒體管制措施，嚴格限制檔案不當傳載，能有效防治公務資料外洩。 二、研析檢討： 國軍面對網路資安威脅衝擊，歷年來雖藉建置嚴密的資安防護機制及策頒資安管制規定等作為，以完備各項資安防護工作；惟網路駭客（網軍）手法、惡意程式及病毒日新月異，國軍所面對挑戰亦同步提升，本部除加強全軍資安教育外，亦將持續掌握網路威脅型態，精進各項資安管理機制，以提升國軍資安防護能量。 參、精進作為： 為因應資訊科技快速發展所衍生之新型態資安威脅，現階段國軍資安政策係以確保國防資訊不受任何有形及無形之破壞為前提，以維護國軍網路之「機密性」、「完整性」與「可用性」。 針對國軍所面對之資安威脅，規劃具體作法概依政策面、管理面、技術面報告如下： 一、政策面： (一)確立發展目標： 針對當前資安威脅，國防資安基礎建設規劃以「國防資料不外流」、「資訊作業不中斷」為資安需求主軸，建立一個可信賴的國防資訊環境，並針對「實體安全」、「人員安全」、「系統安全」、「網路安全」、「電腦安全」及「資料安全」等6個面向，構築安全系統，俾有效執行資安管理，提升國防資訊安全強度。 (二)落實風險評鑑： 本部遵循行政院指導及CNS27001國家標準，於99年2月頒布「國軍資訊安全政策」，輔導各單位依據任務需求及環境特性，建立自身資安風險評鑑能力，經由風險評鑑，主動發覺資安威脅與弱點，妥擬風險對策及管控措施，藉計畫、執行、稽核及改善之循環作為，持續強化風險管理能力，阻絕資安風險肇生之衝擊。 (三)強化資安環境： 依據國軍資訊安全政策，推動各單位及各專用系統建立符合其任務需求與環境特性之資安政策與資訊作業環境，並強化國軍軍網網路架構，建置網路惡意行為管控等措施，完善單位資安防護能量及網路異常告警機制，妥善建置資訊存取、交換運用環境，以滿足資訊作業需求。 (四)持恆資安教育訓練： 為普及資訊安全教育，在基礎、分科、進修及深造等各級教育，規劃資安課程，並於各軍事院校專業系所，排定資訊安全專業課程，俾使國軍各級幹部均具備基本資訊安全素養，另每年本部及軍種辦理高階資安長、資安官資安講習，以強化資安知能；每月並針對資安違規人員，除依資安獎懲規定懲處外，亦實施資安違規再教育。 二、管理面： (一)強化資安應變作業： 依行政院修頒「國家資通安全通報應變作業綱要」指導，本部策頒「國軍資安事件通報應變指導要點」，以有效掌握國軍各單位資通訊及網路系統遭受破壞、不當使用及資通安違規等資通安全事件，並配合行政院資通安全辦公室，執行資通安全事件應變、處置及相關演練作業，俾強化回報、處置與復原機制。 (二)落實儲存媒體管制： 為有效管制儲存媒體，確保資料儲存、檢疫及交換等作業安全，訂定移動式資訊儲存媒體使用管制作法，置重點在集中管制、專碟專用、用畢清除及每日清查檢整等作業，以確維資訊安全。 (三)精進資訊資產管理： 為強化資訊資產管理，已頒布「資訊配賦基準」、「資訊（安）設備採購審查」及「資訊科技引進管理」等規定，禁止採購大陸製電腦，並結合資訊資產管理系統，強化資訊網路管理效能。 (四)持恆推動逐級督導： 推動資安管理一級督導一級機制，確立全軍資安長與資安官編組體系，專人專責，依程序、步驟、要領，每月對各單位執行定期及不定期資安稽核作業，逐級發揮督導功能，以強化「資訊安全，人人有責」認知，提升整體資安防護水準。 三、技術面： (一)提升資安防護機制： 為提升國軍資安防護強度，國軍資安防護管理中心朝統一發展，分於北、中、南、東建立地區資安防護管理中心，並整合資安事件通報及應變機制，運用資安知識庫，分析與預測威脅趨勢，防範人員疏失、惡意程式入侵等事件，達成「早期預警、即時應變」之整體防護功能。 (二)確實管制數位資料： 結合國軍目錄服務及電子憑證，管制公務電腦登入帳號及權限，並運用公務郵件傳送機敏資料加密機制，防止郵件遭竄改偽冒，確保郵件內容完整性及不可否認性。 (三)部署印表管控軟體： 研發印表管控軟體，電腦檔案列印時，自動加註浮水印暗記，資料輸出紀錄均記錄於伺服器，以有效管控資料印製輸出。 (四)強化民網資安環境： 結合「政府網際服務網（GSN）」及行政院技術服務中心管控機制，運用虛擬專屬網路，建置具資安防護能量之專用網際網路作業環境，以降低網際網路作業之風險。 肆、結語： 國軍資訊安全作為旨在建立安全之資訊作業環境，藉落實政策制度及標準化程序，以降低資安風險威脅，確保國防資訊及資訊系統之機敏性、完整性與可用性，本部將持續強化各項資安管理措施，建立官兵資安警覺，以有效杜絕資安事件肇生，期盼各位委員在資訊安全相關之國防預算上，給予支持，使本部能與時俱進完備國軍各項資訊安全防護機制，以達到「非法電腦連不上」、「不法人員進不來」、「公務資料帶不走」、「未經授權解不開」等目標，俾確保國軍資訊安全。 以上報告，敬請各位委員指導，謝謝！ 主席：請國安局張副局長報告。 張副局長光遠：主席、各位委員。本局今天承　貴委員會邀請，就「我國如何因應網軍與駭客攻擊並強化資訊安全措施」進行報告，感到非常榮幸，並對大院各位委員先進對國家情報工作重視與支持表達敬意及感謝。近年由於網軍攻擊駭侵情事和網路犯罪案件與日俱增，世界各國已開始正視此議題嚴重性，除積極研擬因應對策外，並投入大量資源組建各類防禦機制與措施，藉以強化國家整體網際空間安全，然我國同屬資訊大國，金融、電信等各類網路建設發展快速，易遭受相同侵駭與威脅。鑒此，本局謹就此議題及資通安全業管部分，向諸位委員報告。 壹、全球主要國家因應作為 一、國際社會發展情形：目前國際社會對於防範網路攻擊、犯罪等合作議題均具高度共識，且中共、俄羅斯與歐美等國已進行一系列國際網路犯罪執法合作機制；然在現行整體國際網際空間有關「網路自由與主權」、「網路軍事化發展與和平運用」、「聯合國框架下之網路治理與現行模式」等三大爭議焦點議題上，因中共、俄羅斯與歐美2大陣營立場根本不同，磋商與對話時形成各自表述情況，短期間仍無法形成具體共識，致未來世界大國仍將積極拉攏友好發展中國家，以構築其「網路安全國際規則」框架，故國際網安競合態勢將日益升高。 二、各國資通安全應處作為： (一)美國：將網路攻擊列為全球首要安全威脅，推動信息安全分享機制、強化基礎網路設施維護、減少貿易機密遭竊等相關政策應對；立法限制政府採購中共網通產品；並將網路攻擊部隊人力由500名提昇至4,500名，預算由2012年39億增加至今年47億美元，以強化網路攻防能量。 (二)英國：近表示將成立「反網路威脅中心」，延攬通訊總部（GCHQ）及軍5處（MI5）網路專家專責保護網路安全。2月與印度進行網路安全合作會談，將共享駭客犯罪及國家級網路攻擊等信息；另將於2010年至2014年間投資6億5,000萬英鎊，執行國家安全防護專案。 (三)德國：憲保局（BfV）為因應社群時代通聯模式與攻擊目標變化，將加強網路早期預警能量；聯情局（BND）亦於今年4月組建「網路戰爭處」，招募相關網安人才，應對愈趨嚴峻之國際網路威脅；國防部則已組建約6,000人的網路部隊至阿富汗執行網路監控任務。 (四)日本：防衛省年內將編列100億日圓成立「網際空間防衛隊」，警察廳4月起於13個道府縣警局成立「網路特搜隊」防止網路駭客攻擊。 (五)南韓：國防部表示年內將制定針對北韓網路攻擊之軍事應對方案，且將增加網路戰人力，發展美韓聯合司令部網路戰體系，並於今年增撥167萬美元，由民間產業招聘「白帽駭客」戰力。 貳、中共網軍發展及駭侵手法演變 一、中共網軍組建情形：共軍自2002年起擴充網路戰能量，發展初期雖遠落後各先進國家，然近年來蓄積相當能量且業務分工廣佈總參4大總部、7大軍區、國防科研機關與各級院校等，任務包括戰時網路攻擊，以及平時網路竊密、網路滲透遂行諜報活動等；另國防動員委員會亦將信息民兵納入編組，整體軍事機關網軍組織架構基本成形，預判其正式編制內人力約10餘萬人，今年投資經費推估已超過8,000餘萬美元。 二、駭侵手法演變趨勢：由於我國資通安防護措施已初步成形並略見成效，然中共網軍為突破我國防禦機制，大量利用「社交工程」手法，藉機敏機關或重要人士週邊關係，以「由近而遠」或「由疏而密」等迂迴方式對我發動突穿、滲透等駭侵攻擊，在獲取我遭駭單位內部網路最大控制權限後，肆無忌憚進行盜竊、偽造資訊或癱瘓網路通聯等。 三、遭受攻擊對象分析：另中共為全面掌握我國防、政治、外交、兩岸等發展動態，對我發動網路攻擊竊密對象，已由政府機關、駐外館處，轉向民間智庫、電信業者、委外廠商等，並轉變思維攻擊我較疏於防護網路節點設施或車輛交通號誌儀控設備、寬頻路由器、工業微電腦控制器、網路儲存系統等崁入式系統裝備，預判未來恐將擴及我國關鍵基礎設施與個人，並逐步蒐集民間政黨規劃、經貿分析、學術著作，以及電信網路、關鍵基礎設施系統等隱性資訊，或是透由網路攻擊癱瘓我國運作。 參、我國資通安全任務與分工 一、資通安全防護機制：我國自90年2月16日起，由行政院成立「國家資通安全會報」，專責綜理我國家資通安全各項政策與事務，鑑於近年「網際空間（Cyberspace）」安全已對國家安全產生重大威脅，為因應此一趨勢變化，復於99年11月6日由國家安全會議召會檢討「國家資訊安全機制組織架構」，並於100年3月7日由行政院修正發布「國家資通安全會報設置要點」，調整會報現有組織及其功能，成立「行政院資通安全辦公室」；另於100年4月6日由國家安全會議訂定發布「國家資通安全指導小組設置要點」，成立「國家資通安全辦公室」，並設置「網際防禦」、「外館防禦」及「網情蒐集」等3大體系，本局則以「網情蒐集」為工作主軸。（組織架構如圖所示） [image: image2.jpg] 二、本局任務職掌：依據「國家資訊安全機制組織架構」及「國家情報工作法」賦予權責，本局任務分工以「網情蒐集」為主，負責蒐研我國資通安全相關危安預警情資，適時提供我政府相關機關參考、應處；另本局亦定期出席國家安全會議「國家資通安全指導小組」與行政院「國家資通安全會報」所舉辦各項會議，和渠等機關間保持良好互動關係。 三、本局資通安全防處情形：由於本局工作特性較為機敏，已為網軍及駭客長期鎖定目標對象，本局對外網站2012年遭受侵擾次數達334萬餘次，該數據多屬網路偵查行為，只造成網路流量增加，非實質攻擊行為，具有網路惡意行為者約為7萬餘次，每日平均約為209次，本局均已成功阻擋，為防範中共網軍及駭客攻擊，本局近3年平均編列新臺幣數千餘萬，用於網路實體隔離建置、建立縱深防禦系統及文件輸出偵測機制等多重資安防護作為；另對外則提供政府機關網安威脅預警情資，以加強通資安全防護能量。 肆、策進建議： 一、加深我國總體防禦縱深，強化電信關鍵基礎設施防護：我國為高度資訊化社會，電腦、手機等資通訊產品應用普及，然各類通訊均需透由骨幹網路進行通訊傳輸，故面對日益嚴峻的資安威脅與挑戰，除加強個人資安防護觀念與作為外，更需結合國內電信業者力量，前進部署防護措施至電信骨幹網絡，共同組建多層次防禦縱深機制，故籲請國內各家電信業者不能僅考量自身商業利益，更應配合國家整體政策需求，強化並落實基礎骨幹網路安全。 二、整合政府機關相關資源，拓增本局網情蒐集來源管道：近年由於美國、愛沙尼亞、拉脫維亞、南韓等國民生關鍵基礎設施遭受網路攻擊事件頻傳，且攻擊模式由阻斷服務攻擊轉為直接毀癱攻擊，世界各國均已編列大量經費，組建網路戰部隊進行防禦攻勢。鑒此，為能擴大網軍及駭客威脅情資掌握範圍，本局除持續增進自身資通安全防護力度外，亦將賡續統合「網情蒐集」體系各單位內部作業能量，並與其他行政部門進行橫向聯繫，建立網際空間作戰攻擊、防禦及情蒐等應變能力，強化政府網路安全。 伍、結語 掌握中共網軍動態為本局重點情蒐要項之一，未來本局仍將持續透過各情蒐管道深入瞭解網軍及駭客發展趨勢與竊密手法。本人謹代表國安局對大院外交及國防委員會各位委員先進對本議題關注、並請繼續支持與督導本局通資訊安全相關「網情蒐集」作為。謝謝各位！ 主席：請行政院資通安全辦公室蕭主任報告。 蕭主任秀琴：主席、各位委員。今天行政院院本部相關單位及人員很榮幸應邀列席　貴委員會，以下由本人代表就「我國如何因應網軍與駭客攻擊並強化資訊安全措施」提出報告，敬請指教。 一、資安威脅情勢： 國際間網路攻擊事件頻傳，我國政經情勢特殊，因此屢遭駭客以進階式目標攻擊（即一般所稱之APT）方式，企圖竊取公務、國防及商業機密。其主要手段是以電子郵件社交工程攻擊，並入侵電腦佈建情蒐網絡。由於攻擊是針對特定目標，防毒軟體往往無法準確判斷，如再搭配零時差弱點攻擊，則更提高防護困難度。 二、資安整體防護策略： 強化資安整體防護須從「深度、廣度及速度」三個維度同時著手，主要策略包括： (一)協助機敏機關強化資安防禦縱深：駭客之入侵可概分為攻擊、控制及散播擴散三個階段，為確保重要資訊基礎建設安全及避免機敏業務資料外洩，各機關首須拉長戰線及增加防禦縱深，達到在攻擊發動初期，以偵測及阻擋社交工程電子郵件，使攻擊難以進入；在攻擊程式企圖控制電腦階段，則藉阻擋惡意程式安裝，使其難以得逞；在散播擴散階段，透過偵測與阻擋內網中的駭客活動，及時處理以降低損害。 (二)建立資安聯防擴大整體防護網絡：各類資安設備與防毒軟體均僅為單點防禦工具，整體之資訊網路、主機安全須仰賴更具全貌且即時性之資安監控中心（即一般所稱之SOC）。政府除推動建立SOC整體防護網絡外，並透過G-ISAC資安資訊分享平台及去年8月間成立的資安技術交流小組，結合產官學研資源及專業技術，共同防範駭客攻擊。 (三)以演練及預警提升機關應變速度：行政院國家資通安全會報技術服務中心（簡稱技服中心）已依「行政院及所屬各機關資安事件通報應變作業規範」建置通報應變網站，與三千五百多個政府機關，近7,000個資安聯絡人建立通報管道，供警訊發布及事件通報之用。此外，依「國家資通安全通報應變作業綱要」現行規定，每年各機關應辦理1次資通安全通報演練，A、B級機關應至少辦理2次防範惡意電子郵件社交工程演練，並於每年10月底前將辦理情形報送行政院資通安全辦公室。 三、102年資安重點工作項目： 行政院於90年1月成立「國家資通安全會報」，100年3月修正資安會報設置要點，成立行政院資通安全辦公室，並逐步推動國家資通安全組織架構之調整。依現行「行政院處務規程」第28條規定，行政院資通安全辦公室屬常設性任務編組，負責統籌規劃國家資通安全政策、通報應變、重大計畫推動與管考及辦理相關會議。目前行政院資通安全辦公室除賡續檢討相關規定，提升整體資安通報應變能力，並督促部會落實資安防禦措施外，尚推動下列重點工作： (一)部會及國家資安監控之規劃：技服中心本（102）年1月1日起將逐步轉型為政府機關資安服務專案辦公室（SPMO）角色，協助各機關導入優質民間資安服務，強化整體資安防護能量。其SOC服務改以「二線監控」為主，俾將能量運用於協調處理跨部會之重大資安事件，並彙整分析政府機關資安防護資訊，以掌握對岸對我資安攻擊之全貌。 (二)推動政府資訊安全組態基準（簡稱GCB）：GCB源自美國軍方，正擴及美國聯邦政府。其目的在於規範資通訊終端設備的一致性安全設定（如：密碼長度、更新期限等），以降低成為駭客入侵管道，進而引發資安事件之疑慮。去年11月22日召開的行政院國家資通安全會報第23次委員會議，已責成各部會以部會資訊單位為權責窗口，規劃部會及所屬機關落實資訊安全共通組態之機制與時程。 (三)推動網域名稱系統安全延伸（簡稱DNSSEC）：DNSSEC為網路安全基礎建設之一環，目前國際上已有約70個國家採行。其目的在於透過網域名稱系統（DNS）之全球性安全認證，確保「造訪的網站不是假冒」，以及「從網站上所獲得的資訊是受到網站認可的」，並可延伸應用至電子郵件之認證，防止收到及發出假冒郵件。我國是由台灣網路資訊中心（即TWNIC）負責本項作業之整體規劃，行政院國家資通安全會報第23次委員會議已決議，政府機關由行政院研考會負責推動，各部會於本年1月底前完成導入規劃，並儘早完成建置。 (四)推動以全機關為範圍通過資訊安全管理制度（簡稱ISMS）資安驗證：目前各機關是依「政府機關（構）資訊安全責任等級分級作業施行計畫」相關規定，自行選擇適當資訊系統或範圍，進行ISMS資安驗證，主動以全機關為驗證範圍通過ISMS資安驗證者僅有行政院院本部及農委會。鑑於自行選擇系統或驗證範圍之完整度仍有不足，已促請各機關以全機關通過ISMS資安驗證為目標，逐步規劃推動。 (五)規劃資安健診作業：為掌握國內各政府機關資安現況，提早發現問題及採取相關因應措施，去年行政院資通安全辦公室已協調相關機關、民間資安業者及技輔中心等，針對現階段資安威脅較高或曾發生重大資安事件之六個機關（構）進行試辦資安健診，本年將擴大辦理，後續並已規劃將資安健診納入政府採購共同供應契約，由各部會依需要自行採購辦理。 (六)規劃辦理網路攻防演習：美國於2006年舉行第 一次網路風暴演習，至2012年已舉行4次演習。各國辦 理網路攻防演習時，多邀請其他國家共同參與，採聯盟組 織或跨國合作方式辦理。為審視我國資安防護能力，並積極爭取加入其他國家或組織之網路攻防演習，行政院資通安全辦公室規劃於本年底辦理國內大規模網路攻防演習及競賽，由各級政府機關擔任防守方，國防部、國家安全局、企業組織及學術研究單位擔任攻擊方，並邀請各國共同 參與，以交流經驗；另將訂定相關獎勵措施，以提高各界配合及參與意願。 以上謹就我國資安威脅形式、資安防護策略及近期資安重點工作做簡要報告，敬請各位委員惠予指教。最後，懇請各位委員支持行政院各項資安政策及業務之推動，以確保國家安全及全民福祉，謝謝。 主席：現在開始進行詢答，每位委員詢答時間為10分鐘，得延長2分鐘；上午10時30分截止登記。委員若有書面質詢及提案，請於本次會議散會前提出，逾期不予處理。 首先請陳委員歐珀質詢。 陳委員歐珀：主席、各位列席官員、各位同仁。蕭主任的報告裡面附上「行政院國家資通安全會報組織架構圖」，請問蕭主任，我們是比照哪個國家設置這樣的組織架構？並以此作為國家資通安全的應變處置？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。這個組織架構是在90年的時候，我們參考歐美主要國家及日本研訂的組織架構，之後為因應實際上的需要，我們做了一些調整及補強。 陳委員歐珀：本席在上個禮拜也詢問過，這個架構跟防恐差不多，是採雙軌制。 請問張副局長，現在國家資通安全辦公室的主任是誰？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。目前是簡主任。 陳委員歐珀：今天為什麼沒有列席？是因為沒有邀請他來嗎？ 張副局長光遠：是的。 陳委員歐珀：我知道你們是聯合作業。繼續請問蕭主任，相較全世界其他國家，台灣資安的處置和因應情況如何？ 蕭主任秀琴：不瞞委員，我們是首當其衝，但是我們也很努力的因應，其實現在歐美國家很願意跟我們做資安的交流，因為我們已經久病成良醫了。實際上，資安問題是不可能杜絕的，只能夠一而再、再而三的因應處理，我們也有一些相關的經驗，所以歐美國家會想要來向我們取經。 陳委員歐珀：根據國安局的統計，去年國安局對外網站被侵擾的次數高達344萬次，惡意侵擾有7萬餘次，平均每天就有209次。資通安全辦公室跟350個政府網站建立通報網，請問現在全國有多少資安通報人？ 蕭主任秀琴：委員所講的數字是受侵擾的次數，真正演變成資安事件，根據我們的統計，去年全年是251件，也就是得逞的件數其實相當有限，我們也都能夠在第一時間做損害的控管。 陳委員歐珀：就是敲門的有344萬次，破門的有7萬餘次，真正破門侵害到我們是有251次，是這樣嗎？ 蕭主任秀琴：是。 陳委員歐珀：這樣的數據代表我們國家的資安工作做得好不好？ 蕭主任秀琴：就是剛才向委員報告的，我們在資安方面已經有完整的體系，但是我們還需要加強，包括人力和各方面的資源，我們都期望能夠再充實。 陳委員歐珀：這些侵擾，尤其是重大侵擾，大部分來自哪一個國家？ 蕭主任秀琴：目前的掌握是來自中國大陸比較多。 陳委員歐珀：來自中國大陸的侵擾，在251次裡面占多少比例？ 蕭主任秀琴：請容我私底下再向委員報告。 陳委員歐珀：好。資通安全辦公室要求通報的標準有沒有一定的規範？ 蕭主任秀琴：有，我們有通報應變作業綱要，我們把所有機關發生的資安事件分為4級，最嚴重是4級，最輕是1級，只要是資安事件，不分等級都必須在1小時內通報到我們的資安網站。 陳委員歐珀：目前台灣各級政府的電腦及電訊設備的採購，有沒有針對資安做特殊規定？ 蕭主任秀琴：我們使用電腦就必須注意資安，就像日常的柴米油鹽一樣，你不可能使用電腦而不注意資安，但是我們覺得還是有加強的餘地，所以我們除了對行政院及所屬一再宣導、要求之外，我們最近也對總統府、四院及直轄市做宣導，再來會對縣市政府宣導如何補強其資安防禦。 陳委員歐珀：我們目前有沒有排除中國製的產品？ 蕭主任秀琴：我們對這個部分正在研議當中，就是硬體的部分；至於軟體的部分，它的危險度更高，如果有中方資金的公司要來台灣投資，基本上，如果經濟部投審會徵詢我們的意見…… 陳委員歐珀：你所謂的硬體其實都包括軟體在裡面，像手機裡面的軟體那麼多。你知不知道美國已經立法限制政府採購中國網通的產品？ 蕭主任秀琴：瞭解。 陳委員歐珀：還有哪一個國家禁止採用中國製品？ 蕭主任秀琴：目前歐盟也對這方面提高警戒，我們也一直提醒政府部門要注意，目前我們所做的是訂定一些安全的規範，至於要做到禁止進口某一些關鍵零組件，恐怕要有更強的依據，所以我們正在研議。 陳委員歐珀：印度都有限制，你知道嗎？你剛才自己也講了，我們所有的重大侵擾案件大多來自中國，結果美國、印度都限制採購中國網通的電子產品，那我們台灣要不要立法？你認為有沒有需要？ 蕭主任秀琴：我們贊成，因為目前我們在研議之際，就是覺得缺乏強而有力的法源依據。 陳委員歐珀：要有什麼樣的法源依據？為什麼會沒有法源依據？現在大敵當前，對我們台灣侵擾最多的就是中國大陸，你們還要什麼法源依據？像這麼嚴重的事情，國防部也要求法源依據嗎？ 主席：請國防部高部長答復。 高部長華柱：主席、各位委員。我們國防部已經有律定了。 陳委員歐珀：現在有不採用大陸貨的部會嗎？ 張副局長光遠：（在席位上）我們國家安全局就是如此。 陳委員歐珀：國防部也是嗎？ 高部長華柱：是。 陳委員歐珀：其他部會目前都沒有規定不買中國的製品嗎？本席要求，在沒有制定法律之前先訂定行政命令，像這麼嚴重的問題，我們不能不去解決。在座各位有沒有人購買大陸華為的手機？最近大陸的小米機已經進來了，你們有沒有人買華為的手機？大家都沒有買嗎？還是你們不敢講？本席在此要強調，連北韓的金正恩都知道不能用敵人的設備，所以他們沒有用南韓的三星、沒有用美國的蘋果，也沒有用中國的華為，他是用台灣的hTC。現在政府要採購手機，各位使用的手機應該都是政府採購的，中國大陸的小米手機物美價廉，我們要不要限制他們用低價來搶我們的市場？政府要不要採購？蕭主任，你們要不要趕快發布行政命令？ 蕭主任秀琴：報告委員，其實我們對資通訊設備有自主研發的能力，進口只占了一部分，所以政府部門一般都是儘量選擇國產品，但是由於價格的關係，比較難去約束民間部門不要使用中國大陸進口的資通訊產品，目前的情況是如此。 陳委員歐珀：政府要大力宣導，要有國家安全的思考，要求政府單位提高國安警覺，禁止採購中國製的產品，而且要呼籲民眾提高警覺，因為他們的訊息太容易被攫取到了，不管是做生意或國家安全都會受到影響，個人的隱私也會被影響，所以政府要強調網路安全的問題。你們今天的報告裡面提到：國安局籲請電信業者強化骨幹網路安全，請問國安局要求民間如何配合？ 張副局長光遠：現在我們只是提出呼籲，像這次南韓發生了網路攻擊事件，當分散式阻斷服務攻擊發生的時候，電信業者可以控制流量，在這個時候是沒辦法靠民間業者、銀行自己來處理的，所以請電信業者在骨幹網路上…… 陳委員歐珀：你們現在只有預期會怎麼樣，沒有解決的方案，也沒有找業者開會，你們不知道業者會如何反應，到底有哪些民間的基礎設施需要做資安的加強，你們也不清楚。 張副局長光遠：現在我們針對國際上所發生的這些駭客入侵事件…… 陳委員歐珀：你們要趕快進行相關的工作。 張副局長光遠：是的。 陳委員歐珀：最後，本席要請問國防部和國安局，如果真的被攻擊了，你們有沒有因應的方案？民間的廠商要不要參與演習？像上次高鐵因為訊號異常而停駛了4個小時，搞得一團亂，所以你們要不要像反恐一樣進行演習？ 張副局長光遠：委員的意見非常好，其實我們台灣已經開始進行攻防演練，因為中共不斷的在進攻我們所有的政府單位和民間機構，行政院在年底會由我們資通安全辦公室來籌組網路攻防演練，以加強資通安全。 陳委員歐珀：請你們進行一個和漢光二十九號一樣的演習，讓本委員會的委員來考察，謝謝。 張副局長光遠：謝謝。 主席：現在輪到本席質詢，請陳委員歐珀暫代主席。 主席（陳委員歐珀代）：請蕭委員美琴質詢。 蕭委員美琴：主席、各位列席官員、各位同仁。我們今天排的議題關係到整個國家安全和人民的財產人身安全，各種金融機構和基礎設施的安全保障非常的重要，可是國防部好像認為事不關己，今天部長的報告甚至說這是資通安全辦公室的事情、國安局的事情，本席對你們這種態度相當不以為然。在過去一個半月以來，部長幾乎都沒有到本委員會備詢，甚至讓本席覺得有性別歧視之嫌，因為以前林郁方召委所排的議程，部長都會來，本會期換成兩位女性召委，從3月初到現在，今天是部長第一次出現在這裡。而且今天這個議題非常重要，可是你們到現在都還覺得事不關己！ 這個議題真的非常重要，本席提出幾點，第一，美國國防部的QDR在2010年就已經把網域安全列為陸海空、太空以外的另外一個作戰區域，甚至還成立了網路司令部，他們非常重視網路安全，投入了很多的經費，他們是用這樣的態度來看待，但是你們卻好像事不關己。第二，最近美國跟中國的軍事高層重新恢復對話，這是兩年來第一次恢復，部長知道從媒體報導裡面所呈現出來最重要的議題是什麼嗎？就是網路安全、駭客攻擊的問題。 主席：請國防部高部長答復。 高部長華柱：主席、各位委員。這個我們知道。 蕭委員美琴：歐巴馬總統已經把網路安全列為美國國家安全最首要的議題。最近美國參謀聯席會議主席Dempsey跟中國解放軍總參謀長房峰輝進行雙邊會晤，就是在談網路安全的議題，美中之間現在最大的歧異就是在網路安全議題，所以這些國家都非常的重視。中國已經在上海浦東區的大同路上成立了61398總參三部二局，部長，你以前有聽過61398部隊嗎？ 高部長華柱：有，在別的地方還有其他的部隊，我們都有掌握。 蕭委員美琴：本席相信還有很多部隊，不過光是這個部隊的規模就不得了，針對全世界的網域安全，中國養了非常多的網軍日以繼夜的進行有系統性的攻擊，美國對此也有很多深入的報導，包括以什麼樣的組織、規模來進行攻擊，還有如何進行攻擊，完全是軍事化的在進行攻擊。最近在4月也舉行了八大工業國會議，部長知道這個G8會議首要討論的是什麼議題嗎？ 高部長華柱：也是網路安全。 蕭委員美琴：現在國際間對北韓、伊朗跟網路安全是同等在看待，因為這些議題都很重要。美國把自由號艦艇停泊在新加坡，這是美國用三百多億美金所打造的一個艦隊，最近由於美國海軍內部進行網路駭客演練，發現了這個艦艇的資通衛星設施有弱點可能會被駭客入侵。 高部長華柱：這個我們有掌握。 蕭委員美琴：你們也一定要去掌握這件事情。 高部長華柱：是。 蕭委員美琴：他們的國防部不但已經成立網路司令部，而且各軍種均成立網路安全部隊，並進行自我內部攻擊與自我演練，以找出自己的脆弱點。就現代武器精進化而言，我們幾乎是藉由衛星通訊獲得資訊，所以我們對衛星通訊的依賴度也愈來愈高。在幾個星期前，本委員會同仁參訪漢光演習，坦白說，以後的作戰不像施琅當年攻打臺灣是從澎湖搶灘，所以中國軍不會從澎湖搶灘，他們反而會採用網路攻擊的方式，這不但對國家安全會造成傷害，也會對我們的基礎設施造成傷害，種種傷害所影響的層面會更大，然而你們還是認為事不關己，都覺得這不是國防部的事情，然後，你們沒有理由都不到本委員會報告，雖然，部長最後還是接受我們的要求而前來本委員會，但本席希望未來國防部在網路安全部分仍要有更積極的作為。今天我看到國防部的報告，幾乎都把這件事情當成部隊有沒有人偷偷下載光碟、有沒有人上色情網站、有沒有駭客進入我們內部的網路系統？這完全是在矮化現今整體作戰資訊的重要性，令人感到滿失望的。 此外，最近駐美副代表李澄然對外表示，金溥聰告訴美國人說：我們即將與美國進行網路作戰的聯合軍演。請問部長，有沒有這回事？這是臺灣媒體所報導的內容，Taipei Times就有這樣的報導。 高部長華柱：金代表談論網路相關的問題，我們予以尊重。 蕭委員美琴：你們有掌握相關消息嗎？他們有跟你們回報嗎？ 高部長華柱：事實上，有一些是政府與政府之間的，另有一些是軍方與軍方之間的，其中可能會有一些誤會，謝謝委員特別提出這些問題。在兩個禮拜之前，監察院就安排今天我有約…… 蕭委員美琴：沒關係！我知道你在11點另有要事。 高部長華柱：對。因為雙方事先沒有協調好，如果造成委員的誤會，我特別向委員作說明與澄清，此其一。第二，我們必須重視這個問題，事實上，在過去這段時間裡面，國安會已成立資安辦公室，我們派出相關的高階人員前往支援，目前新任的聯六次長就是支援國安會資安的專門工作人員，所以國防部並非不重視此事。 蕭委員美琴：部長現在又講到一個重點，你們是在支援國安會，也是在支援行政院，我現在詢問你國防部主體性的問題，像美國海軍、空軍內部都有成立網路安全部隊，我們有沒有相應的作為？ 高部長華柱：有，我們不但要增加資電作戰的人力，而且過去幾年的人力也都增加至三個中隊，目前準備成立第四中隊。在這次漢光二十九號演習的實兵演練中，行政院資安辦公室有納入這項科目進行演練。 蕭委員美琴：我知道這次演習特別模擬台電輸配電系統遭駭客攻擊。請問部長，你們有沒有像美國海軍一樣，針對我方相關艦艇、衛星通訊設施進行自我演練？ 高部長華柱：這些都有。 蕭委員美琴：美國國防部在明年度預算中編列49億美金，主要是從事網路安全，而這筆金額是我們國防部一整年一半的經費。當然美國是個大國，我們沒有辦法跟人家相比，但是，今天在國防部的報告中，你們並沒在組織再造過程中就網路安全部分接續進行說明。事實上，美國將網路安全視同陸海空三軍之外的另外一軍，當然，美國還有太空軍，然而我們並沒有。 高部長華柱：向委員報告，現今任何的演習都是以資電優先，現今的狀況是比照在二十多年前第一次波斯灣戰爭，當時都是從資訊戰開打，所以我們會強調這部分。 蕭委員美琴：請部長答復我的提問。有關金溥聰大使在美國對外表示，我們將與美國進行資安作戰的聯合演習。請問部長，這是他們自己在講的，還是你們有參與這件事情？ 高部長華柱：這個exercise是指政府與政府之間的問題，還是指純軍事的問題，我事先並不了解。 蕭委員美琴：部長沒有聽說這件事情嗎？ 高部長華柱：是。 蕭委員美琴：請部長回去之後再進行了解，到底這是金大使自己跟他們的exercise，還是他自己信口開河，已經對外講了這件事情，本席請國防部針對此事進行查證。好不好？ 高部長華柱：有一些部分並不是純軍事的問題…… 蕭委員美琴：這當然需要聯合作戰，其實聯合作戰的重要性不輸實體的三軍聯合演習。 高部長華柱：我想委員非常了解國安工作具有延續性，以往每次在政軍兵推中早已包含國安工作在內，持續迄今未曾終止，是不是有些部分更應予提升？針對這點，我特別向委員說明…… 蕭委員美琴：你認不認同這部分需要提升，並增加相關方面的投資，包括部隊的訓練、經費的投入？ 高部長華柱：當然，我認為是需要的。剛才國安局也特別強調，在行政院資安辦公室規劃之下，今年我們要做部會之間的攻防。所謂部會之間的攻防，當然包含我們的三軍在內。 蕭委員美琴：部會之間的攻防實屬重要。 高部長華柱：是的。 蕭委員美琴：請問蕭主任，各部會之間必須經常進行演練及攻防，你們以後能不能在院會中公開各部會模擬駭客入侵的成績單？我們必須知道有哪些部會沒有重視內部的資訊安全，進而影響到政府整體的資訊安全。 另外，據我所知，現今任務編組的資通安全辦公室只有11名人員，這是非常重要的工作，我們不要講美國那種大國，連臺灣周邊與我們實力相當的國家，包括日本、韓國等等，他們都派出數千人的規模在守護網路資訊的安全。最近有駭客入侵美聯社網站指稱白宮爆炸、歐巴馬受傷，造成美國股市劇烈的震動，進而影響到許多人的財富立即縮水。現今金融體系高度電子化、資訊化，如果駭客入侵臺灣的哪家金融機構，說不定我去領錢時，銀行行員告知我的戶頭已經沒有錢，因為遭到駭客入侵，我帳戶裡面的存款在一夕之間全數歸零，如此將引起社會什麼樣的動盪與不安？這樣的問題是多麼的嚴重！這不只是要進行跨機關、跨部會的合作，我們應該有更完整的資訊防護系統，包括國軍演練的項目都應該納入民間的金融機構及基礎設施等等，至於我們法源、法規不足之處，以及剛才提及民營電信業者的情況，國防部不一定有法源可以要求這些電信業者立即調整網路寬頻，或是中斷駭客的攻擊，所以本席希望國防部針對不足之處應該更積極處理，包括我們現在的任務編組，實在不足以因應現今大規模駭客入侵的問題。事實上，政府對此完全不當作一回事，別的國家都是進行大規模且慎重的演習，八大工業國會議的重點也是在討論這項議題，然而現今臺灣資通安全辦公室只有11名人員進行任務編組。本席建議這不僅要常態化，相關資訊安全法規的研擬及臺灣周邊其他國家正熱烈討論的相關議題，我們也要更慎重地處理，好不好？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。謝謝委員的指教。我們已經明確地要求各部會辦理各種的資安演練，也已掌握他們演練的情形，所以我們會依照委員會的建議，在重要的會議場合提報。 此外，剛剛提及資通安全辦公室仍屬任務編組，我想當時長官應該是要先求有、再求好，最近在我們內部會議中也接獲指示，資安辦公室的組織與員額要朝向常態化進行調整。 蕭委員美琴：這部分在行政院組織改造裡面並沒有被提出。 蕭主任秀琴：當時這部分是先列為常設性任務編組，經過我們一再地爭取，於今（102）年3月20日內部會議已經決議要朝向常態化的方式做調整。 蕭委員美琴：現在由這11人負責國家網路安全，甚至還要協調民間從金融到基礎設施等各項事務。 蕭主任秀琴：確實不足，謝謝委員關切。 主席（蕭委員美琴）：請林委員郁方質詢。 林委員郁方：主席、各位列席官員、各位同仁。本席要先澄清一下，我的好朋友蕭美琴主席有點抬高我的身價，他說好像我當主席的時候高部長就來，他當主席時高部長就不來，不過我記得民進黨的陳亭妃委員擔任主席時，高部長也來過好幾次。另外，我當主席時，高部長向我請過假，我也准過，所以我想國防部應該沒有這麼大膽，對國民黨好一點、對民進黨不好，不會這樣。也不會對我好一點、對蕭主席不敬，我想也不至於。不過我想請教副局長，今天討論的是很重要的議題，局長為什麼沒有來？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。因為局長今天要準備一個重要會議。 林委員郁方：蕭主席對國安局比較好，局長沒有來，他都沒有修理你們。 張副局長光遠：局長認為今天這個問題非常專業，而資訊安全是我負責督導的業務。 林委員郁方：好，在報告書第3頁提到「另中共為全面掌握我國防、政治、外交、兩岸等發展動態，對我發動網路攻擊竊密對象，已由政府機關、駐外館處，轉向民間智庫、電信業者、委外廠商等，並轉變思維攻擊我較疏於防護網路節點設施或車輛交通號誌儀控設備……」等等。請教副局長，台灣高鐵日前發生訊號異常導致全面停駛的事件，先不講跟中共有沒有關係，是不是駭客網路攻擊所造成的？你們報告書指出的就是這種情形。 張副局長光遠：高鐵號誌訊息故障的問題滿專業的，目前高鐵局正委託日本專家做深入的調查研究。 林委員郁方：國安局有沒有要求一起參加調查？ 張副局長光遠：沒有，他們沒有要求我們協助調查。 林委員郁方：這是你們報告書中第3頁所寫的，而且寫得非常清楚，連「車輛交通號誌儀控設備」都指出來了。 張副局長光遠：近年來，行政院全面推動資訊安全政策，所以政府各機關部會在網路安全的意識上已大大提升，設備上也加強許多，因此中共駭客對於政府機關的攻擊漸漸覺得困難，所以逐漸轉向民間機構及網路節點的部分。 我之所以提到網路節點的部分，像前年美國伊利諾州春田市一個供電設施被俄羅斯的駭客入侵，導致該設施的馬達一直開開關關而損壞。為什麼我提到交通網路幹線的節點？因為這些節點所用的電腦都是工業電腦，這些電腦沒有防火牆，沒有入侵偵測的機制，所以現在我們發現這些部分也被駭客拿來當作中繼站，也就是駭客駭侵了一些資料以後放在這個中繼站，等到一個時機再移出去，這方面是一個隱憂。 林委員郁方：副局長，你說得很好，但是你們在寫這個時一定有感覺才會特別寫進去，所以我要請教你，有沒有可能是駭客入侵，導致高鐵號誌的訊號異常？此外，這有沒有可能是中共的作為？ 張副局長光遠：我不能這樣講，我現在只能講，台灣目前是一個高度資訊化的環境，凡是用遠端遙控的設備，將來都有這個可能。 林委員郁方：因為你清楚地指出「交通號誌儀控設備」，這一定是你心裡有這樣的感覺才會這樣寫，所以我才要請教你，高鐵發生號誌訊號異常，導致全面停駛的事件，你不能排除跟駭客有關，對不對？ 張副局長光遠：因為現在高鐵號誌…… 林委員郁方：副局長，你不太瞭解立法院答詢的文化，你現在就要簡單地回答我，你排不排除有這樣的可能性？ 張副局長光遠：如果高鐵控制的訊號是開放性的就有可能，如果它的控制系統是封閉性的就不可能。 林委員郁方：就你瞭解，它是開放性的或封閉性的？ 張副局長光遠：依我判斷，高鐵訊號控制系統應該是封閉性的網路。 林委員郁方：所以應該不是？ 張副局長光遠：應該不是。 林委員郁方：所以你排除這個可能性？ 張副局長光遠：是。 林委員郁方：你認為不是駭客所為？ 張副局長光遠：是，我個人的判斷應該不是。 林委員郁方：如果最後證明是駭客所為，你怎麼辦？ 張副局長光遠：我要自請處分。 林委員郁方：此外，在第5頁，你們建議政府需「結合國內電信業者力量，前進部署防護措施至電信骨幹網絡，共同組建多層次防禦縱深機制，故籲請國內各家電信業者不能僅考量自身商業利益，更應配合國家整體政策需求，強化並落實基礎骨幹網路安全。」你們寫得非常明確，而且應該是有感覺你才會這樣寫。在此請教副局長，究竟國安局有沒有主動建議或主動安排跟國內電信業者進行磋商、協調，然後提供他們一些建議，有沒有？ 張副局長光遠：有。 林委員郁方：哪些家的配合度比較高，哪些家是只有考量自身的商業利益而不配合國家整體政策需求，可不可以做個分類？ 張副局長光遠：我舉個例子，八八水災及九二一大地震，整個通訊系統受到重創，無法與災區連絡，當時，幾家民營電信業者只有中華電信願意配合，因為中華電信有百分之三十幾的股份是政府所有，我的意思是在災難或戰爭的情況下，電信業者如果不能主動配合政府，他們認為利益無法回收的時候，他們就不願意做，所以將來我們面對駭客癱瘓攻擊時，情況會很嚴重。 林委員郁方：我瞭解你講的情形，其實世界各國的政府也滿注意這個問題，你認為我們需不需要立法來做某些限制，至少規範在國家發生重大危機時，尤其戰爭的時候，民間電信業者應該如何配合？ 張副局長光遠：我覺得應該立法。 林委員郁方：那麼應該由誰提出立法草案？ 張副局長光遠：這算是基礎設施，我認為國土安全辦公室應該可以做主導。 林委員郁方：請國土安全辦公室陳主任來答復，我看到女性擔任重要的職位都覺得很欣慰，請問你認為你的職務重不重要？ 主席：請行政院國土安全辦公室陳主任答復。 陳主任會英：主席、各位委員。重要。 林委員郁方：很重要，你現在有沒有覺得你在工作上很難施展，沒有資源、人力不夠，經費也不足？ 陳主任會英：目前還好。 林委員郁方：是不是有很大的改進空間？ 陳主任會英：可以。 林委員郁方：「可以」是什麼意思？ 陳主任會英：可以改進。 林委員郁方：應該要改進。對於方才國安局副局長所說的，你感覺如何？如果有需要立法，我認為一個單位要得到足夠的人力及資源，是需要社會大眾支持的，因為有時候來自政府內部的支持是不夠的，你們需要外界尤其立法委員的支持。可是要得到我們的支持，你們除了必須先證明這個單位很重要以外，最重要的，還要證明這個單位能夠勇於任事、主動性夠、積極性夠，有強烈、旺盛的企圖心把事情做好。像這樣的立法，你要不要提出來？ 陳主任會英：要。跟委員報告，我們現在正在研議關鍵基礎設施防護的法案。 林委員郁方：預計什麼時候可以完成你們的研議，把法案送到立法院？ 陳主任會英：我們預備在下個年度提出一個法案研究，因為這個年度沒有編列這筆預算。 林委員郁方：你們的動作要快一點，你們現在已經不是黑機關了吧？ 陳主任會英：我們是行政院的一個單位。 林委員郁方：其實比較好的方式是透過立法院來認可、支持你們這個單位的設立，這樣比較好，你同不同意？ 陳主任會英：之前的委外研究有提出一個版本，但是我們覺得那個版本不甚理想，所以我們現在準備再重新思考如何制定防護的草案，我們會以最快的時間…… 林委員郁方：主任，你不要一直在思考，也不要一直在規劃，你講的都是未來的事，你要把未來變成今天就要完成，你們的動作要快一點。 陳主任會英：我們已經在進行了。 林委員郁方：而且你認為副局長講的構想很重要，尤其你們要協助草案的研擬，你們應該透過行政系統、行政院送到立法院，這樣做事情才有一個依據，好不好？ 陳主任會英：這是我們重要的工作。謝謝。 林委員郁方：接下來我想再請教副局長，現在我們有沒有網軍？我不是指防護，而是指我們有沒有建立網路作戰部隊的儲備？ 張副局長光遠：所謂網軍，就網路安全而言，它是一個概念性的意義，實際上，它是一個能量的統稱。 林委員郁方：我們有沒有這個能量的建立？ 張副局長光遠：其實我們現在講起來是有的。 林委員郁方：作戰就是攻、守，我們現在談的都是守，在必要的時候，我們有沒有攻擊的能力？當然，我們不會做這種事，但是在作戰、有危機的時候，如果有必要，我們有沒有攻擊的能力？ 張副局長光遠：剛才國防部已經報告過，他們現在已經有3個中隊，現在還準備成立第4個，其實這個就是我們國軍的網路資訊作戰部隊。 林委員郁方：你覺不覺得我們應該大量吸收民間的人才？ 張副局長光遠：這個確實是需要的。中共的網軍那麼強，但是他們還是吸收了六千多、將近一萬名二十多歲的年輕小伙子作為駭客進行網路攻擊…… 林委員郁方：根據你的了解，我們民間的駭客能力怎麼樣？強不強？ 張副局長光遠：非常強。 林委員郁方：所以你們國安局有沒有在招募民間所謂的「年輕小伙子」、很厲害的駭客？ 張副局長光遠：有。我們國家安全局有招募資訊專業的人才，每年都有。 林委員郁方：好，謝謝。 張副局長光遠：謝謝委員。 主席：請陳委員鎮湘質詢。 陳委員鎮湘：主席、各位列席官員、各位同仁。因為部長將在10時30分離開會場，我先請教部長兩個小問題。這次發生雅安大地震，中共從中央軍委會開始，統統都動員了，請你評估一下這次中共在救災方面，尤其是資訊方面，跟上一次有什麼顯著的不一樣？ 主席：請國防部高部長答復。 高部長華柱：主席、各位委員。這些年來，最重要的是他們在資訊的掌握、情資的掌握方面，尤其他們運用了衛星，在北斗衛星不斷地研發成功以後，對於困難的地形、長距離、跨戰區之間的資源，我覺得他們比以往有很大的進步，值得作為我們更進一步的參考。事實上，國防部從第一時間開始就密切地掌握他們部隊調動的狀況，了解他們這一次的狀況跟以往有什麼不一樣。當然，與5年前5月12日汶川大地震相較，這一次的規模沒有那麼大，但是從他們部隊的掌握及反應的狀況看來，他們才有把握不接受其他國際的支援。 陳委員鎮湘：我想這是非常重要的，他山之石可以攻錯。至少今天從我們國軍的角度來看，中共的改進對我們而言是非常大的警惕，尤其是在今天討論的主題─資訊戰方面。我們台灣在執行救災的任務等等，常常因為地形的限制或受到裝備的影響而產生了很多困擾。他們在如此大的區域調動如此大的部隊，他們能夠快速的進步，這是非常值得我們警惕的。請問部長，在人才、裝備、構想方面，我們有沒有做一些改進？ 高部長華柱：有。我們已經要求情報單位不斷地掌握他們的救災武器裝備及特殊援救方式的改善，我們都有做專業的分析。甚至他們利用不同的裝備從事援救，比方把貨櫃屋變成野戰醫院的做法，還有投入的兵力、使用的載具等等，與以往相較，這些都做了大幅度的改變，值得我們繼續加以蒐整。鑑於他們在武器裝備上的改善，我們爾後的發展也應該做一些調整。 陳委員鎮湘：這一點是非常重要的，我希望這次雅安大地震的經驗能夠提供我們學習的機會。 其次，關於我們投入部隊救災的問題，就中共來講，汶川大地震、雅安大地震都屬於國家級的災難。台灣的颱風、地震頻繁，如果我們長期動用常備部隊投入救災，是非常、非常值得擔心的事情，至少在部隊的訓練、投資方面會受到影響。所以我一直強調，國軍是要救災，國軍投入重大災害的救援，誰也不容質疑，但是對於一般性的災害，該誰做的就由誰去做，國軍應該站在備援的立場，而不是替代的立場，不曉得部長認同這一點嗎？ 高部長華柱：委員一再提醒我們特別注意，災難的發生，有些是有預警的，有些是沒有預警的，發生災難的程度大小也各有不同。像88水災、921大地震是沒有預警的，但是又很大，造成大量的人員傷亡，對於這種災難，就是要全力投入。至於一般可以預警的災難，我們不需要那麼早發動，如果是超級颱風、跟以往不一樣的，這時候我們的部署及處置與一般性颱風的狀況應該有所差異，動員的機制等等都應該配合，才不會導致正規部隊的訓練產生了耽誤。 陳委員鎮湘：部長的觀念是正確的，我希望能夠朝這個方向去走，同時也要讓所有權責單位去做該做的。我想提出一個口號，就是「寓動員於救災」。今天台灣動員一個區塊，我們說的多，但是實質上考驗的少，尤其無預警的狀況少，有預警的狀況多，我們是不是應該在救災及動員方面做緊密的結合？我們每一年救災的狀況及機會是很多的，如果能夠在救災的時候啟動動員的機制、完成整備、實施、付之於行動，平、戰時就可以很快地結合為一體，部長認同嗎？ 高部長華柱：我非常支持委員的建議及看法。事實上從921震災到88水災，委員一直強調將動員與救災結合，可惜我們的法令上沒有辦法配合。好在88水災以後，災防法修訂了，最起碼先做到第一步，讓我們的教召部隊可以不要因為有颱風警報而解散，我們現在教召部隊排定盡量放在汛期，密集的分布在北、中、南，這樣第一線就有留守部隊，萬一有大的災難，這個部隊就可以支援我們正規部隊或地方政府。我們現在準備修的第二個部分，是剛剛委員特別強調的，如何有法源動員部隊，除了教召部隊，大量的動員人力也可以投入。美國這兩年的後備部隊，在國民兵投入的部分沒有問題，但他們聯邦的reserve沒有辦法投入，所以他們剛剛通過法令，這正好呼應了委員的看法。我們希望在這個會期或最晚在明年的會期，能把它修好，這樣才能支持委員剛才的看法。 陳委員鎮湘：有關修法的問題，我想不分朝野，我們都會支持，我也希望國防部跟相關單位能夠配合，盡快的提出，我們來協助解決。還有一個小問題，事實上是一個大事情，就是這次漢光演習看到火炮射擊潮溼的問題，有些人認為我們軍種，尤其是在後勤改制以後，產生很多的困擾，不能夠滿足軍種實質上的需要，我想這一點國防部是不是應該深入去檢討一下？我們怎麼樣在精粹案定案以後，再加上募兵制，將來人員的更迭，在這方面我們能不能夠提出一個具體有效的辦法？就像當年我們因為後勤改制所產生的缺憾，能夠快速的補救起來，而不要在以後因為這些問題，造成不能射擊或其他等等情況的理由，你們是否可以提出有效辦法？ 高部長華柱：謝謝委員，我們這次的改制就是尊重三軍原來的專用裝備的後勤，仍然建立在各軍種，通用的裝備原來是在聯勤，現在是由陸軍統一掌握，如果還有需要改善的部分，我們會利用下一次的修正把他彌補起來。 陳委員鎮湘：本席認為這一點很重要，部長有事情就請先行離開。繼續我請問行政院蕭主任及國安局副局長，剛才本席看了你們兩位的報告，以及你們提出的組織架構，本席也很欣慰的聽到我們蕭主任說組織的常態化，我想不僅僅是組織的常態化，我們組織也要功能化、有效化。今天的時代是一個全面資訊作戰的時代，不分平時、戰時，資訊作戰永遠都是跟我們相依相存的，有關軍事這部分，當然是由國防部負責，其他的部分，本席不曉得在我們國安局的功能裡面，是不是全部都能夠掌握？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。這是沒有辦法的，因為我們在國安局的整個組織架構裡面，也就是目前我們國家資通安全組織架構裡面，我們是負責網情蒐集。可是目前我們行政院資安辦公室所辦的資通安全會報以及所有的會議，我們國安局都會參加，來做橫向的彼此相互支援。 陳委員鎮湘：我想這點攸關整個行政院及跨部會的責任，我們也沒辦法在這裡做定論，不過我希望我們行政院辦公室，將來變成常態化以後，你們這個指揮機制要有功能，成於一，敗於二、三，主官要負全責，你總不能什麼事都要院長下決定，總不能任何事都要總統下決定，你總要有一個負責單位，這個單位是誰？明確的律定，如果是國安局，那國安局就義不容辭，如果你沒有具備這些條件，你就應該充實條件，強化你的功能，而不是這個不是我的，那個不是我的，那我這個單位整合到底是哪一個負責？是你這11個人的辦公室嗎？不是的，所以我們網路作戰，要有一個網路作戰的全般概念，網路作戰的全般概念不是攻，就是防，不是防，就是研，不是研，就要破，攻、防、研、破。你總要有一個單位來負責執行，本席為什麼要提這個？因為在這些組織結構裡面，看不出來到底誰是主辦？誰是協辦？誰是主要負責人，每個部會都有，但每個部會都沒有責任，那怎麼行？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。報告委員，之所以有這樣比較複雜的組織架構，是因為資安的業務，沒有辦法由單一的機關來管理、推動，所以必須分工，但是…… 陳委員鎮湘：各盡其責，這點本席同意，但總要有一個總集成，這個總集成要下決心。 蕭主任秀琴：我們總集成的平台就是行政院資通安全會報，過去是由科技顧問組擔任幕僚，從100年3月以後，已經成立了資通安全辦公室，來專責幕僚工作。 陳委員鎮湘：本席希望今天以及未來，天天可以隨時都跟我們在一起。我們所發言的問題，可能隨時都有新的問題出現，這些新的問題有沒有在我們指導辦公室的全般概念中，想定的設計方面、各種假定事項方面，能不能夠有前瞻性的掌握，這是很重要的，不是每一件事情你都是消極被動的等待，那是不行的。所以我想我們帶兵作戰，要把敵人各種可能發生的狀況都要想到。今天的作戰，你要曉得我們不僅僅是面對中共而已，我們應該作全方位的、全球性的考量，所以這點本席要特別提醒我們相關的單位，你們要好好的思考，否則的話，你只具形式，沒有實質，是非常危險的，好不好？ 張副局長光遠：謝謝委員指導。 主席：我們大約在11時處理委員的提案。 請蔡委員煌瑯質詢。 蔡委員煌瑯：主席、各位列席官員、各位同仁。美國國家安全部的官員說，網路攻擊視同戰爭行為，你贊不贊成他這種講法？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。現在美國已經是這樣定義，目前我們還沒有這樣…… 蔡委員煌瑯：如果網路攻擊到基礎的公共設施，或是攻擊到商業，影響到經濟，他們都把它定義為是戰爭行為，臺灣未來會不會把類似的網路攻擊定位成戰爭行為，這個是非常重要的定義。 張副局長光遠：目前我們還沒有朝這方向去研究。 蔡委員煌瑯：這個不能馬虎草率，美國把它定義為戰爭行為的時候，接著立即進行的就是報復，就是經濟制裁，甚至因為它是戰爭的行為，對發動網路攻擊的國家，可以立即發動網路攻擊，用相同的程度來癱瘓對它發動網路攻擊的國家，經濟制裁還是小case，他們還可以進行網路攻擊，我們要很清楚台灣要把類似這種恐怖的網路攻擊，定位為敵意或是戰爭的行為？ 張副局長光遠：到目前為止，雖然美國有這種看法，美國政府也是被駭客偷竊政府機關的一些…… 蔡委員煌瑯：我們要不要把它定義為戰爭的侵略行為？ 張副局長光遠：現在這種行為如果把它定義為戰爭行為，訴諸武力的話…… 蔡委員煌瑯：未來的網路戰爭不下於所謂的飛彈戰爭，影響的層面與造成的國家動盪，絕對不小於實質的傳統戰爭或飛彈政爭，所以國安局要趕快研擬，網路作戰是一觸即發。 張副局長光遠：如果把偷竊政府資訊也把它定義為是一個戰爭，其實它已經開始…… 蔡委員煌瑯：它偷竊了報社，然後發布假消息，讓股市大跌，這個就是影響金融經濟。 張副局長光遠：如果以台灣目前的環境，我們認為還是以…… 蔡委員煌瑯：那本席請問你，你剛剛說這次的高鐵事件不是中國的駭客所為，是不是？ 張副局長光遠：是的。 蔡委員煌瑯：這是你說的。請問你，中國的駭客有沒有能力癱瘓我們的高鐵或是公共設施？有沒有能力？ 張副局長光遠：我認為沒有能力。 蔡委員煌瑯：你認為沒有能力？ 張副局長光遠：是的。 蔡委員煌瑯：你有把握？這下你又要自請處分了。 張副局長光遠：因為這種系統關係到老百姓的生命，所以這種系統的設計都是封閉性的。 蔡委員煌瑯：本席是問他們有沒有能力，而不是他們要不要做，他們都可以癱瘓美聯社了，還到美聯社竄改資料。 張副局長光遠：那個是Twitter，是一個社群網站，他盜用別人的帳號發布假訊息。 蔡委員煌瑯：那也是一樣，他也可能盜用別人的帳號侵犯、攻擊我們的基礎設施，這是可能的。他們可不可能攻擊我們的民航局或者調查局，或是駭入我們的報社？中國的駭客有沒有可能做到？他們有沒有這個能力？ 張副局長光遠：政府的網路如果不夠安全，就是它的防火牆以及一些入侵偵測系統如果不夠嚴密的話，當然是有可能。 蔡委員煌瑯：本席告訴你，我們行政院剛剛對所有的行政單位做ISMS的資安驗證，有沒有？ 張副局長光遠：是的。 蔡委員煌瑯：只有行政院和農委會通過，也就是說，除了行政院和農委會之外，所有單位的資安檢驗驗證都沒有通過，都沒有完整度，當我們遭到網路攻擊的時候，臺灣是不堪一擊的，不是嗎？ 張副局長光遠：向委員報告，剛才行政院資通安全辦公室報告，目前只有行政院院本部和農委會以全院、全機關使用ISMS，最主要的原因，我認為還是因為預算的問題，本局也嘗試導入…… 蔡委員煌瑯：沒有預算我們就要增加預算，不能讓我們的國土安全部只有500萬元的預算，本席都還沒問資安辦公室一年到底有多少預算。 張副局長光遠：一年一個單位導入ISMS，需要有相當多的花費、相當高的預算。 蔡委員煌瑯：如果未來可能發生網路攻擊，而且也被美國認為這可能是一種戰爭行為的話，臺灣就要提高警覺，我們就要努力。 張副局長光遠：是的。 蔡委員煌瑯：另外，如果你不能夠治本，每天只會治標，本席認為這樣防堵不了未來網軍對臺灣的大量攻擊，如果我們不能夠治本，只是治標的話，就是事倍功半，例如華為，華為和中國中興公司大量在臺灣投標，現在包括我們很多的網路基地台、無線電的控制器，還有所謂的軟體程式，都是他們的產品，他們標了很多案子，而華為有中國軍方的資金。如果你不能治本，繼續讓他們參與網路基地台或是無線網路控制器的標案，或是有關軟體的標案讓他們得標的話，這等於是開了一個網路的漏洞、資安的漏洞，你還要培養很多人去防堵他們的網路攻擊，這樣不是事倍功半嗎？ 請教資安辦公室蕭主任，未來你們說要立專法，專法裡面是否應該加上敵對國不能夠參與我們的通訊設備資訊投標？是不是要加上這一條？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。報告委員，其實不只是資通訊設備，在美國911事件之後，世界各國對關鍵基礎設施的部分，當然資通訊也是當中的一環，各國對這個部分的防護都非常重視。 蔡委員煌瑯：我們臺灣是資訊安全的門戶大開，中國是我們的敵對國，但是他們的華為和中興公司大量、大舉在臺灣投標，而且未來我們的4C執照開放只採書面審查，國安局根本連參與的機會都沒有，這麼重要的網路，如果被有中資的公司或是敵對國掌握的話，你培養再多的網路防禦大軍都沒有用。 蕭主任秀琴：是，報告委員，目前我們都是比較個案式的在阻擋，剛剛說的是倘若能夠經過立法，把這些可能…… 蔡委員煌瑯：你贊不贊成未來立法的時候把這一條列入？就是敵對國的公司或者是企業不得投資我國的基礎設施、公共設施的建設，或者是類似網路資訊這些標案的投標，你是否贊成？ 蕭主任秀琴：報告委員，我想不只是敵對國，其實國與國之間，在資通訊安全這部分都必須有一些基本防護。 蔡委員煌瑯：你會把這一條放進去嗎？ 蕭主任秀琴：我想我們會放一個將來實際執行的時候可行而且能夠達到目的的條文。 蔡委員煌瑯：你們要趕快做，現在真的是緩不濟急，你看現在小米機已經在網路上對台販售10萬台，在這個小米機裡面，難道沒有所謂的軟體或是置入性的程式，或是沒有遠距、竊聽等等功能嗎？現在已經有10萬台流入臺灣了，我們到底有沒有管制敵對國的通訊器材販售到臺灣，有沒有管制？ 蕭主任秀琴：我們主要是宣導一些防範措施，因為在自由貿易之下，你很難針對某些特定的產品，在沒有一個強而有力的…… 蔡委員煌瑯：所以才要立專法，這個專法到底能不能管制類似敵對國的這些資訊產品，或者是他們的資訊企業到我們臺灣來投資？現在我們整個3C網路或者是基地台的設置，甚至是無線的控制器，幾乎都被中國的網路企業所掌握，這些網路企業的老闆，包含軍方、國家、政府，這樣我們還要防範什麼呢？所以你們不只要治標，建立所謂的網路軍隊、網路人才，或是建立一個防禦網，也應該要從根本做起，要治本才對，不是嗎？ 蕭主任秀琴：是，報告委員，目前我們的做法就是剛剛報告的，會有一些個案的防禦，或者是如果很明確會危害我們的國安，我們…… 蔡委員煌瑯：美國是嚴格限制中國到他們國家參加所謂的採購網通產品的標案，他們是完全限制的。 蕭主任秀琴：是，我們目前的做法是如果有足夠證據，我們也會引用兩岸人民關係條例的相關規定來處理。剛剛我要說的是，如果要進一步防禦的話，可能需要有一個法源依據，這樣我們才能夠防微杜漸。 蔡委員煌瑯：請問你，在那個法源裡面，你們會不會列入本席剛剛說的內容？ 蕭主任秀琴：文字上可能我們會再斟酌，但是會達到委員剛剛提示的方向。 蔡委員煌瑯：也就是未來在專法通過之後，我們的敵對國不能到臺灣投資網通系列的招標，對不對？ 蕭主任秀琴：我們是支持這樣的方向，但是可能要再…… 蔡委員煌瑯：你支持沒有用，要你的老闆支持。 蕭主任秀琴：是，所以這需要經過跨部會研商，我們應該要有一個更周延的辦法，要擬出能夠適度防衛的機制和條文。 蔡委員煌瑯：如果我們沒有從根本去防堵的話，那臺灣就是自我繳械，同時也沒有危機意識，未來不用戰爭，我們不用買飛彈、買飛機，未來只要網路攻擊，臺灣就癱瘓了，因為臺灣沒有危機意識。本席希望你們這個專法在1個月之內趕快提出來，能不能做到？ 蕭主任秀琴：因為這是整個關鍵基礎設施的一環，就是剛剛…… 蔡委員煌瑯：4C年底馬上就要招標了，而且NCC說要採書面審查，表示你們連實質審查都不願意做，因為實質審查時要去審查他背後有沒有中資、中國人民解放軍的軍資，這些你們都要去檢查，如果你們只做書面審查，這樣看得出什麼？所以應該要實質審查才對，這部分應該都要列入專法的規範。 蕭主任秀琴：我想目前NCC能夠處理、能夠把關的部分，他們都會儘量處理。 蔡委員煌瑯：所以你們就趕快立一個專法，把敵對國有敵意的資金，不只是中資，只要它是有敵意的資金，包括和我們有競爭、競合關係的資金，也可以把它排除在外，不是嗎？這個部分一定要立專法，而且要快，不快不行，不快的話，臺灣整個網路通訊的命脈都會掌握在我們的敵人手上！好不好？ 蕭主任秀琴：謝謝委員的指教。 蔡委員煌瑯：而且國土安全辦公室和資安辦公室要整合，統合成一個國土安全部，就算直屬總統也沒有關係，這部分應該要增加預算、增加人力，把它強化為一個國土安全部，而不再是一個辦公室、一個任務編組。 現在資安有多重要，你看美國的例子、南韓的例子，南韓的例子連銀行都被癱瘓，如果像高鐵這樣，光癱瘓一個高鐵，就整個癱瘓立法院的議事，因為有二十幾個立委被關在高鐵上面，這不就癱瘓議事了嗎？這還不是最嚴重的，他們如果侵入民航局，當天上在飛的這些飛機被駭的時候該怎麼辦？這是相當嚴重的事情。 所以我們希望這部分真的要痛定思痛、要居安思危，你們要提升國土安全辦公室和資安辦公室，讓它結合成為一個國土安全部，而且要增加它的預算、人力，以及屬於它的職權，這樣我們才能防範來自敵國的攻擊，好不好？ 蕭主任秀琴：謝謝委員。 主席：休息5分鐘。 休息 繼續開會 主席：現在繼續開會。請馬委員文君質詢。 馬文君委員質詢之後，我們先處理今天的提案。 馬委員文君：主席、各位列席官員、各位同仁。首先請教國防部廖次長，國防部在日前發布一則新聞，就是就共軍可能進到我們漢光演習網站的部分提出警告，其實本席覺得我們發布這個新聞可能有一點多餘，既然我們的軍網和民網是完全實體隔離的，軍網大概就是行政用的網路，而且這次漢光演習是在民網，為什麼你們認為有可能會攻擊到我們的軍網？ 主席：請國防部廖次長答復。 廖次長榮鑫：主席、各位委員。我們最主要是要提醒所有的官兵，現在有這樣一個惡意的攻擊程式，讓所有人知道上網時如果看到這樣的附件，千萬不要打開，這是提醒我們…… 馬委員文君：不過因為它是在民網裡面，而你們的軍網和民網是實體隔離的…… 廖次長榮鑫：確實是實體隔離的。 馬委員文君：其實他是不是打開附件，對軍網應該沒有影響，所以軍網如果受到攻擊，其實有可能是內部的人做的，這個才是你們要重視的問題。 廖次長榮鑫：這個我們不知道從哪裡做的。 馬委員文君：本席剛剛提到了，軍網和民網是隔離的，你們發布的那個訊息，它是不可能攻擊到軍網，如果它可以攻擊到軍網，其實就是內部造成的，你懂本席的意思嗎？ 廖次長榮鑫：向委員報告，其實在我們國防部裡面有軍網也有民網，但是它確實是實體隔離的。 馬委員文君：那個部分本席很清楚，既然你說它是兩條平行線，而這個惡意程式是公布在民網上面，那它就沒有任何理由可以進到你們的軍網裡面，如果你們的軍網受到攻擊，其實是內部產生的問題，本席要強調的是這一點，你要讓所有人員在運用時警惕的是這個部分。 廖次長榮鑫：是，確實。 馬委員文君：本席現在想要請教的，就是國防部所謂的軍網，其實這個部分大概是行政網路而已，我們比較擔心的，而且本席認為中共或者其他想要取得情報的人、駭客，甚至是網軍，他們更有興趣的應該是我們非行政用的一些系統，例如我們的指管系統、情報系統、密碼系統，頻譜管理以及氣象、水文等等資料。 廖次長榮鑫：所以我們的指管系統基本上也是封閉型的。 馬委員文君：還有，其實像我們其他的網路，例如環網、大成、電展室，關於這些非軍網的系統，本席想請教一下，我們大概做了什麼樣的管制？ 廖次長榮鑫：委員，是不是可以請我們聯六次長向您報告？ 馬委員文君：請儘量簡短、簡要。 主席：請國防部通信參謀次長室胡次長答復。 胡次長延年：主席、各位委員。基本上我們除了一般的行政網路和軍用網路以外，有關於特殊系統，我們都是用專屬的網路，在專屬的網路上面，我們大概分為幾個部分，第一個，我們都會具有一個專屬的機制，所謂專屬的機制，中間可能包含加解密，以及絕對…… 馬委員文君：本席要問的不是這個，本席知道其實我們對這個部分的控管應該是比軍網更嚴格，也應該要這樣。本席想要請教的是，針對這些部分，它是由專業單位做稽核呢？還是由業務單位、系統承辦單位自己管？就是有關稽核的部分。 廖次長榮鑫：這個一定是專業，成立一個編組。 馬委員文君：什麼樣的專業單位？ 廖次長榮鑫：就是對這個系統非常了解…… 馬委員文君：把那個專業單位的名稱提供給本席，好不好？ 廖次長榮鑫：是，我們…… 馬委員文君：就是本席剛剛說的，我們指管系統、密碼系統，以及環網、大成等等，還有電展室，如果你們針對這些部分有一個專業的稽核系統、稽核單位，是哪一個單位？ 廖次長榮鑫：我們等一下立刻把這個資料給您。 馬委員文君：另外，其實大家比較擔心的，是你們會不會發生洩密的事件，本席剛剛提到的這些部分，才是最容易發生問題的單位，因為就本席所知，其實管資安的不太想碰，業務的承辦單位其實也不想被管，所以就這部分的專業單位來說，到現在為止，本席認為其實我們還不夠落實、具體。 廖次長榮鑫：向委員報告，這就是我們為什麼把這個部分拉到副主官的層級由他來當資安長的原因，像我們軍令部門就是由副總長執行官陳上將來擔任資安長，基本上就是要把那個層級拉高，讓所有的單位都非常重視資安。 馬委員文君：次長，你剛剛說的稽核單位，直接公開說一下吧！稽核單位應該無所謂吧？是哪一個單位？ 廖次長榮鑫：剛才您提到的，因為他有不同的專業，所以我們…… 馬委員文君：所以你還是個別的…… 廖次長榮鑫：不是，他還是有納編不同的專業，成立小組去檢視。 馬委員文君：是所有的單位都這樣，還是都個別處理？所以你們還是由業務單位處理而已，並沒有設立專責的稽核單位，你們這樣做只是防衛而已，並沒有做攻擊，現在無線3G的網路這麼發達，他只要一個小小的無線網路卡就可以洩密了。 廖次長榮鑫：我了解委員的意思。 馬委員文君：所以本席覺得我們這部分做得並不夠，因為今天國防部的報告就是針對軍網，其實一般來說，如果軍網是實體隔離，那它根本不太會發生問題，除非內部有問題，所以我們比較擔心的，國防部裡面比較可能會洩密的部分，應該是本席剛剛提到的這幾個系統，所以本席想知道這些部分你們是怎麼做稽核管理。因為就本席所知，其實現在唯一做的最好的，大概就是訊安，關於訊安的部分，你們要不要說明一下？訊安這部分可能有自己的網路監控裝備和人員在處理，至於其他的，就是剛剛本席說的那些有嗎？ 廖次長榮鑫：報告委員，我們既然說資安是這麼重要，而且也這麼容易被想要攻擊的這一方進入，所以我們是不是不要在這個公開場合談？我們等一下再完整的向委員報告。 馬委員文君：通常還沒有做的，國防部也會用私下報告的方式處理。 廖次長榮鑫：沒有問題，就是委員所指導的…… 馬委員文君：就這個部分請國防部提供資料。 廖次長榮鑫：是，了解。 馬委員文君：因為我們比較擔心的是這部分的洩密，或者是這部分的系統被竊取資料或被駭，如果中共的網軍要攻擊，本席相信他們有興趣的大概也是這個部分。 接下來請教國安局副局長，臺灣有沒有網軍？就你們的認知來說，如果你們認為中共的網軍正式編制有10萬人，請教你，就國安局的看法以及國防部的看法，我們臺灣有沒有網軍？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。我剛才講過，網軍是個概念性的定義，內涵包括防禦能力與作戰能力。 馬委員文君：那麼為什麼報告裡會列出中共編制10萬網軍這個數字？ 張副局長光遠：它是一個綜合數字，包括總參技偵部有12個局、7大軍區、海空軍，以及二砲部隊等。 馬委員文君：所以按照這樣的說法，或者這樣的分類，其實台灣應該也有網軍，因為無論是四大總部、七大軍區或網軍成員，其實你們已經把能夠編制進來的類似人員全部都納入了，所以，如果中共有十萬網軍，相信台灣也有，對不對？你們既然將中共的網軍歸納為十萬大軍，是不是應該要有編制？這十萬大軍有沒有指揮官、有沒有駐點、駐紮軍區等編制？其實，今天這份報告，恐怕也有點自己嚇自己的意味，因為報告中提到，德國國防部有派員到阿富汗執行網路監控任務，人數是6,000人，可是本席自行查詢資料，德國派到伊拉克的所有人員，法定人數只有4,300位，實際派到伊拉克的人數則有4,700多位，已經超過法定人數。那麼，你們這裡的6,000人，數字是從哪裡來的？ 張副局長光遠：我們這裡指的不是作戰部隊，完全是做網路監控。 馬委員文君：可是報告裡說這是派到伊拉克的人員。 張副局長光遠：是派到阿富汗。 馬委員文君：對，報告顯示，德國派到阿富汗的人員有6,000人，可是如果這些人不是作戰部隊，要怎麼派去？本席要知道你們的數據從何而來，因為實際上派去的，大概就是這4,000多人。 張副局長光遠：委員，請容我會後到您的辦公室，向您補充資料。 馬委員文君：另外還有一份數據，包括剛才的中共十萬網軍與德國派駐阿富汗人員，雖然我們可能都不太懂德文，可是現在資料在網路上的傳輸速度非常快，所以國安局的報告必須非常詳實。比方說，國安局在2002年被駭客敲門的次數達到3百多萬次，可是Alexa統計數據顯示，國安局網頁一天被點閱的次數才62次。當然，這是認定的問題，但是點閱次數最高的總統府其實也不過2,000多次，對於國安局這3百多萬次是怎麼累積的？大家可能有點興趣，如果警戒過頭到疑神疑鬼的地步，倒也沒有必要。以十萬網軍數據為例，你說他們編列了8,000多萬美金預算，如果分給10萬人，平均一個人才分到800美金，買一部堪用的電腦或iPad就差不多用完了。所以你認為，像這樣小米加步槍等級的預算，就可以做到什麼嗎？ 張副局長光遠：這8,000多萬美金，完全是用在網路作戰部隊，還不包含購買裝備。 馬委員文君：可是如果中共網軍有10萬人，這樣的經費怎麼跟其他國家相比？因為報告裡提到，美國、英國等其他國家投入的預算經費更是高出許多。本席要表達的是，我們是不是把中共網軍的人數估得太高、預算卻低估了？以美國橡樹嶺國家實驗室的超級電腦「泰坦」為例，不算裝機費，就要花9,000多萬美金，所以本席認為國安局在數據掌握上也不該突出太多，這是本席看完今天的報告之後，覺得有質疑的部分。 張副局長光遠：報告委員，這8,000多萬美元，我們是引用瑞士斯德哥爾摩國際和平中心預估的數字。此外，中共是善於隱藏預算的，所以根據我們估計，實際的作戰部隊，至少是我們估計數字的1.5倍到2倍。 馬委員文君：我們擔心的不在於人數到底有多少，因為即使有10萬大軍，也可能用爛電腦。預算其實是容易掌握的、因為看得到數據，如果只有這樣的預算要分給10萬人，還不如只分給幾位使用超級電腦的天才，可以做到得更多。今天安排這樣的議題，我們希望看到的是國安單位與國防部等相關單位如何落實、做到最好的安全防護，這才是我們關心的。 剛才本席質詢時要求的資訊和資料，請相關單位提供。 張副局長光遠：好，謝謝委員。 主席：現在處理臨時提案。 進行第一案。 一、為因應世界各國對於未來資訊戰爭的重視與發展，此外，根據統計，臺灣遭到駭客攻擊的次數更居「世界之冠」，國防部實有必要進行完整的中長程資訊安全與戰爭之計畫規劃，從國防大學設系、招生及人才培育；資安管理目標及設備提升、民間人才延攬及防止流失；與現職人員增能訓練計畫等。爰此，國防部應於一個月內，向外交及國防委員會，提出相關規劃與做法之書面報告。 說明： 1.現代戰爭的發動，已非傳統進行陸海空軍的直接軍事行動，而是透過網路與電子資訊戰爭，癱瘓敵方之作戰與情資指揮系統，讓敵方在還未啟動戰爭之前，即已「眼盲手殘」，即致盲作戰或斬首行動；另一方面，資訊戰爭的破壞並不僅限於正式軍事行動，從美國、南韓的經驗也可發現，資訊駭客也能破壞社會資訊安全系統，嚴重影響正常的民間活動與民心士氣。 2.對於這種新型態戰爭的變化，國防部實有必要進行完整的中長程資訊安全與戰爭之計畫規劃，從國防大學設系、招生及人才培育；資安管理目標及設備提升、民間人才延攬及防止流失；與現職人員增能訓練計畫等，為我國在面對資訊戰爭的挑戰，奠定良好之因應基礎。 提案人：陳碧涵　　陳鎮湘　　詹凱臣　　王進士　　林郁方　　馬文君 主席：請國防部廖次長說明。 廖次長榮鑫：主席、各位委員。首先謝謝委員對這個議題的重視，我請本部通信參謀次長室胡次長說明。 主席：請國防部通信參謀次長室胡次長說明。 胡次長延年：主席、各位委員。提案第3行提到「中長程資訊安全與戰爭之計畫規劃，從國防大學設系、招生及人才培育」，我們建議大院將「國防大學」改為「軍事院校」，因為國防大學是包含管理學院等各學院的整體，所以建議修正為「從軍事院校設系、招生及人才培育」。 主席：請問各位委員，本案做如上修正，有無異議？（無）無異議，修正通過。 進行第二案。 二、有鑑於目前由行政院資通安全辦公室於全機關所推動之「ISMS資安驗證」，僅有行政院院本部及農委會通過驗證。其他機關多因自行選擇系統或驗證範圍之完整度不足而無法通過驗證。而事實上，就國安局報告中所預測之中共網軍組建情形，預判其正式編制內人力約10萬餘人，且所投入之經費推估更已超過8千餘萬美元。其攻擊手法大多以「社交工程」、「由近而遠」及「由疏而密」等迂迴方式，對我發動突穿、滲透等駭侵攻擊。而對於行政機關之駭入，勢必將以未通過資安相關驗證之單位，為首要攻擊、駭侵目標。故要求行政院應立即檢討全機關ISMS資安驗證之成效，並將全機關之落實成績每六個月定期於行政院院會公布其排名，給予執行較差機關之強烈警醒，並督促其改進，提升資安防護之作為。 提案人：蕭美琴 連署人：邱議瑩　　陳唐山　　蔡煌瑯 主席：請行政院資通安全辦公室蕭主任說明。 蕭主任秀琴：主席、各位委員。提案中提到，目前通過我們在全機關所推動之驗證的只有行政院本部及農委會，其實根據我們的要求，A、B級機關必須通過驗證，但係針對其重要業務及系統，目前A級機關全數都已經依規定通過了，B級機關也已經有百分之八十幾通過，至於院本部及農委會是主動、積極對全機關進行驗證。這個部分，我們會積極宣導，請各機關都往這個方向努力，但是提案後段要求每六個月定期在行政院院會公布排名，這一點是不是可以依照剛才委員的指示，針對社交工程演練以及資通安全通報演練？因為這部分的落實也很重要，而各機關的執行卻是比較參差的。關於這部分的演練與成績，我們會依照委員的指示，在重要會議中提報。 主席：那麼對於倒數第3行，你的具體建議是什麼？是將倒數第3行的「將全機關之落實」改成「將全面通報」嗎？？ 蕭主任秀琴：改為「將各機關辦理資通安全通報演練及電子郵件、社交工程演練之成績」。 主席：請問各位，對於本案照上述意見修正通過，有無異議？（無）無異議，修正通過。 進行第三案。 三、行政院雖於2011年3月7日由行政院修正發布「國家資通安全會報設置要點」，調整會報現有組織及其功能，成立行政院資通安全辦公室，綜理協調我國家資通安全各項政策與事務。惟行政院資通安全辦公室之組成型式，卻僅為「任務編組」，成員僅十一人，且多無相關資訊安全背景，其執行成效令人質疑。為有效整合政府相關資源、加深我國總體資訊安全防禦，並提高資通安全辦公室之位階，故要求行政院應立即修正其「處務規程」，將「資通安全辦公室」提升為常設性、非任務編組型之單位，以利資訊專業人員之進用，精進與其他行政部門進行橫向聯繫、強化並落實與民間企業間之基礎骨幹網路安全。 提案人：蕭美琴 連署人：邱議瑩　　陳唐山　　蔡煌瑯 主席：請行政院資通安全辦公室蕭主任說明。 蕭主任秀琴：主席、各位委員。謝謝委員的關切，我們也希望行政院資通安全辦公室能夠儘速成為編制內的單位，但是因為整個籌辦必須經過一些程序、需要一些時間，所以請求委員把「行政院應立即修正其處務規程」調整為「行政院應儘速修正其處務規程」，容許我們有一些作業上的彈性。 主席：好，本案將「立即」改為「儘速」，不過也是要趕快，今天每位委員幾乎都有一樣的要求。 請問各位，對於第三案照上述修正通過，有無異議？（無）無異議，修正通過。 進行第四案。 四、有鑑於美國不僅已將網路攻擊列為全球首要安全威脅，將其網路攻擊部隊人力由500名提升至4,500名，預算更由39億美元提高為47億美元，以強化網路攻防能量。惟我國於蒐網網路資訊專才之情況明顯不佳，多數網路專才不願進入僵化體系之行政機關任職，恐讓我國資訊安全防護成效差強人意。故要求行政院資通安全辦公室應與各相關單位進行協調，積極於民間、學校…等機關，網羅搜尋資訊安全專才，用其所長，進入資訊安全相關單位為國效力，以加強我國資通安全防護及反擊能量。 提案人：蕭美琴 連署人：邱議瑩　　陳唐山　　蔡煌瑯 主席：請行政院資通安全辦公室蕭主任說明。 蕭主任秀琴：主席、各位委員。剛才提到，這涉及到攻、防兩方面能量，行政院資通安全辦公室比較偏向防禦部分，如果要像諸位委員希望的，在攻防兩方面都要強化，我們建議讓國防部和國家安全局也與行政院資通安全辦公室並列。 主席：本案增列「國防部與國安局等相關單位」，請問各位，有無異議？（無）無異議，修正通過。 進行第五案。 五、有鑑於中共為全面掌握我國防、政治、外交、兩岸等發展動態，對我發動網路攻擊竊密對象，已由政府機關、駐外館處，轉向民間智庫、電信業者、委外廠商等，並轉變思維攻擊我較疏於防護網路節點設施或車輛交通號誌儀控設備、寬頻路由器、工業微電腦控制器、網路儲存系統等崁入式系統裝備，預判未來恐將擴及我國國家關鍵基礎設施與個人，並逐步蒐集民間政黨規劃、經貿分析、學術著作，以及電信網路、關鍵基礎設施系統等隱性資訊，藉以透由網路攻擊癱瘓我國運作。故要求行政院資通安全辦公室應整合各相關部會，定期於我國家關鍵基礎建設、重要地標、交通建設…等相關地點進行資訊安全演習，以增進我國總體防禦與及時應變措施。 提案人：蕭美琴 連署人：邱議瑩　　陳唐山　　蔡煌瑯 主席：請行政院資通安全辦公室蕭主任說明。 蕭主任秀琴：主席、各位委員。我們的關鍵基礎設施大概可以分為八大領域，在分工上，資通訊部分屬於行政院資通安全辦公室的權責，其餘七大領域是由國土安全辦公室主政，所以我們建議，提案後段改為「由行政院國土安全辦公室會同資通安全辦公室整合各相關部會」。 主席：本案依照行政院資通安全辦公室意見修正，請問各位，有無異議？（無）無異議，修正通過。 請詹委員凱臣質詢。 詹委員凱臣：主席、各位列席官員、各位同仁。本席有一個問題想請教國防部廖次長，臺灣土地面積和人口都不是很大，為什麼我們遭受到的駭客攻擊會是世界第一？你個人有沒有掌握什麼資訊？為什麼臺灣這麼小的地方，會遭到全世界最多的駭客攻擊？ 主席：請國防部廖次長答復。 廖次長榮鑫：主席、各位委員。就我個人的觀察，由於我們也曉得攻擊來源為何，應該是對方對我國在語言上、以及要了解狀況都比較容易，所以會產生這樣的狀況。 詹委員凱臣：但是如果駭客攻擊都是來自中國大陸，他們對美國應該有更大的興趣啊！ 廖次長榮鑫：基本上就是以攻擊我們作為開始。可能也有另外一個原因，就是我國的IT產業、包括相關專業、知識領域都很強，駭客可能希望先在台灣練功練得很好，再去入侵其他國家，這應該也是一種模式。 詹委員凱臣：對，本席猜想也是這樣。 本席請教另外一個與資安不完全有關的問題，國防部一直在研發一種「定磁脈衝」攻擊，目前研發情況如何？ 廖次長榮鑫：有關定磁脈衝EMP的部分，有些國家在研究，我們目前沒有，但是相關防範作為，我們也在研討，但是相關細節請容我們私下向您報告。我們自己沒有做。 詹委員凱臣：你今天有很多資料要求私下報告。 廖次長榮鑫：主要是針對相關防範部分。 詹委員凱臣：這個問題也是私底下再報告？ 廖次長榮鑫：是，機敏性比較高。 詹委員凱臣：另外，國防部有沒有辦法針對網路使用上很強的青少年或電玩高手加以整頓？畢竟在這些領域，這些玩家也曾經拿過世界第一，國防部有沒有計畫邀請這些玩家，加入網路防範的一部分、加強治安？畢竟國內有很多高手啊！ 廖次長榮鑫：這個概念非常好，但是我們還要研究如何在現有制度、法令下產生誘因，這個部分就是我們必須強化的。現在我們是有積極在做相關規劃，問題是這個誘因到底能不能吸引那樣的人才。國內現在有很多狀況，以知名麵包師傅吳寶春能不能就讀EMBA為例，顯示我們在誘因上還要更強化。 詹委員凱臣：誘因是非常重要的，比方說國防部也好、行政院各單位也好，如果他們有一些網路的專門人才，在他們退休或退伍之後，能不能去中華電信？ 廖次長榮鑫：當然可以。 詹委員凱臣：不行喔！你最好再問一下。他可以去其他民間機構，但是中華電信有超過30%以上的政府持股，恐怕有點問題喔！ 廖次長榮鑫：他只是不領那個錢而已，就是說現在退下去以後…… 詹委員凱臣：喔！對，對，對，我現在的問題就是這樣子，就是他能不能領雙薪啦。 廖次長榮鑫：對，對，對。 詹委員凱臣：那就不能領了嘛？ 廖次長榮鑫：他是可以去，但只是說要怎麼領。 詹委員凱臣：可以去，但是必須放棄嘛。 廖次長榮鑫：對，對，對。 詹委員凱臣：那如果中國大陸說「你來我這邊，我給你更高的薪水」，那我們國家所有的一些人才，陸、海、空、通訊、情報等所有人才，是不是又跑到那邊去了？ 廖次長榮鑫：人才流大概就是跟著誘因在走。 詹委員凱臣：是不是就這個樣子？這個也是一個誘因的一部分，對不對？ 廖次長榮鑫：是，是。 詹委員凱臣：所以有一個關於陸海空軍戰士的法律裡面的第三十一條之一規定，本席一直認為那部分應該要考慮到。 廖次長榮鑫：是。 詹委員凱臣：因為我也質詢過，如果空軍的飛行員下去之後，只能去長榮不能去華航－－不是不能去，就是不能領雙薪啦，這樣誘因就少了；而長榮也收不下那麼多，結果要跑到大陸去了！所以這整個對飛安、對我們國家安全都是有影響的。 廖次長榮鑫：那是影響非常、非常大。 詹委員凱臣：對，對。 廖次長榮鑫：互相影響。 詹委員凱臣：好，謝謝次長，請回座。 接著我想請教資安辦公室主任。請問你不是主任嗎？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。是，我是主任。 詹委員凱臣：剛剛有一個委員在問你們現在主任是誰，你說主任沒有來。 蕭主任秀琴：對不起，剛剛問的是國家資安辦的主任，我是行政院資安辦的主任。 詹委員凱臣：我們國家資安辦是什麼？ 蕭主任秀琴：是國安會下面的單位。 詹委員凱臣：好。那我另外請問你，你剛剛說有些單位已經通過認證了。 蕭主任秀琴：是。 詹委員凱臣：那你又說只有行政院院本部和農委會有通過ISMS的認證，是什麼意思呢？ 蕭主任秀琴：是這樣的：我們這個認證，主要是要確保這個系統本身還有它整個運作的SOP是符合資訊安全的規定，所以我們要求機關先要把重要業務跟資訊系統挑出來，一定要去做這個驗證；而這個要求A級機關全部都達成了，B級機關也絕大多數做到了，至於行政院院本部跟農委會，他們是更進一步，就把其他比較週邊的業務整個機關都拿來驗證，當然這是最完整的、最保險的。 詹委員凱臣：嗯。 蕭主任秀琴：所以我們也鼓勵其他機關，如果在資源許可的情況下，也儘量朝這個方向努力。 詹委員凱臣：那他們為什麼會遲延驗證這個動作呢？如果這個驗證那麼重要、對資安有影響的話，為什麼我們整個國家只有兩個機構通過這個驗證呢？ 蕭主任秀琴：報告委員，他們也是通過，只是通過的是局部的。 詹委員凱臣：局部的是嗎？ 蕭主任秀琴：對，對，對，重要的部分都通過了，至於其次的、比較週邊的部分，要不要一起做，這個我們讓機關有權限去衡酌，當然就整個機關而言，不管重不重要的業務都進去、整個都通過驗證，那是一個最完整的、最安全的作法，所以我們現在開始鼓勵機關儘量編預算，朝這個目標來執行。 詹委員凱臣：我對網路、電腦不是專家，但是我想我們一直在防範駭客的攻擊，對不對？如果我們防範了，或是在防範之前，有沒有一種反駭客的行動呢？也就是我們主動去破壞他們的網站，因為我們現在好像都在防守嘛，對不對？你說1年有幾萬次、每天有多少次等等，那有沒有一種反駭客的行為？在它還沒有發生之前或者是發生之後，我們可以反而侵入他的網站、去破壞他的功能？有沒有這種功能？ 蕭主任秀琴：的確有一些機關有這種想法，但是細節部分，是不是私下再跟委員報告？ 詹委員凱臣：你懂我的意思嘛，對不對？ 蕭主任秀琴：我知道、我瞭解。 詹委員凱臣：我們好像都是在防守，沒有主動去攻擊。 蕭主任秀琴：是，是。 詹委員凱臣：如果知道他們的網站、網路、系統和人員，我們可以做一些主動的攻擊，對不對？ 蕭主任秀琴：您的意思是說「反制」。 詹委員凱臣：對，對，對。 關於高鐵的事件，所有媒體都在罵，認為這個很簡單嘛，只要把開關關掉再重新打開就好了，這個高鐵就可以重新行駛，我深深地不以為然，以下是我個人的意見，大概也從來沒有任何一位政府官員或任何一位立法委員提出來：如果是我的話，我也會把高鐵停止，雖然它停止之後的處理方式、什麼時候再啟動，行動上是比較慢一點，但是對於整個高鐵那麼重要的一個東西，不是把開關再打開就好了！高鐵裡面的作業人員沒有一個人知道這個規則嗎？沒有一個人知道這個技術嗎？對不對？上電腦的人都知道，打不開就把電腦關掉再重新打開就好了，連電視也是這個樣子啊，不容易看的話把電視關掉就好了。但是不是這麼簡單啦，所以我個人認為，雖然我跟高鐵一個人都不認識，但是我對於他們能夠馬上把它關掉、不要讓高鐵啟動，我認為這是對的；你不把原因找出來，只有這樣重新再弄的話，那是很危險的事情。所以我個人對這個是贊成的。謝謝你。 我現在要請教調查局王局長。局長好，大家都重視行政院的資安、行政院的反恐，事實上對這兩個中心我也是有一點意見的，但是我們先不談這個；我也對國安局、國防部都有一些期待，也希望他們能夠怎麼樣。但是調查局呢？我一直認為調查局是一個非常重要的工作，你們上禮拜在反毒工作上又破獲了一個有史以來最大的毒品案，本席在這邊予以肯定。 主席：請法務部調查局王局長答復。 王局長福林：主席、各位委員。是，感謝。 詹委員凱臣：毒品如果是80%都來自中國的話，你想想看，如果我是中共網路的駭客，那我首先要攻進來的就是調查局的網站，因為調查局專門破獲中共毒品的進來，尤其是在境外的阻絕部分，不是境內，境內是由警政署或一些其他單位負責，但如果是境外阻絕的部分，調查局的成績是做得最好的。境外阻絕就是在還沒有進來之前就加以阻絕，如果我是中共的駭客，我專門就進入調查局的網站，看有什麼辦法可以讓調查局沒有辦法破獲我的毒品走私！所以調查局在這方面，你們平常在網路方面、資安方面，做了哪些防護的措施？ 王局長福林：謝謝委員的詢問。的確本局的全國資訊網站也受駭，但是基本上我們都沒有受到任何的影響。本局已經導入資訊安全管理系統，也就是ISMS系統，我們對於主機的系統和網路連線的系統，包括內稽內控方面都有一定的規範，也包括密碼、防毒程式；特別是在網路連線的部分，我們所有都實體隔離、專機專用，而且使用連線加密的傳輸，在網際網絡方面也是單一出口的設計，將來如果經費許可的話，我們可能還會做一個虛擬化的架構。這些是在整個內稽內控的部分。 另外我們也積極主動發掘相關的駭客入侵事件，配合行政院資通安全辦公室及國安體系給予我們的相關資料，我們也做一些追蹤解析及追查通報的工作，我們的目標是在危機的立處跟風險的控管。 詹委員凱臣：嗯。 王局長福林：為了因應未來犯罪情境的改變，局裡面今年1月1日在五都的5個調查處設立了5個科──資安科，以因應未來犯罪情境的改變。我們在招生的部分，剛才也提到人才的培育，我們從前年開始大量招收資訊科學類跟電子科學類，招生的比重占了…… 詹委員凱臣：你剛剛說在五都設立的那個科，不是只有為了資安的問題、駭客的問題吧？是為了整個犯罪的防制問題吧？ 王局長福林：是整個犯罪的防制，包括資安的部分。 詹委員凱臣：喔！好的。 王局長福林：我們招收的比例已經提升到40.8%跟52.4%，我想對於人才的培育方面我們也加以重視。謝謝。 詹委員凱臣：好的，謝謝局長。 主席：請王委員進士質詢。 王委員進士：主席、各位列席官員、各位同仁。我想先請教國安局張副局長。 副局長好。我想網軍跟駭客的攻擊是目前我們資訊安全的重大威脅，因為我們國安局的工作性質比較機敏，在今天的報告中，我們也看到去年1年就遭受駭客侵擾三百三十四萬餘次，當然其中有很多是偵察行為，只是增加網路的流量，但實際攻擊也有七萬餘次，平均每天209次。 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。是的。 王委員進士：我看這個也是非常麻煩的事情。那這些國內遭受駭客跟網軍攻擊的，有沒有包括國防部、調查局及警政署等方面？ 張副局長光遠：向委員報告，我們所提出的數字只是針對本局的部分，因為我們的話…… 王委員進士：看機關嗎？ 張副局長光遠：因為我們是它非常有興趣的一個單位。 王委員進士：是。 張副局長光遠：三百三十多萬次其實講起來只是它試探性的部分，因為每一個電腦…… 王委員進士：對，就是偵察行為，試探性的不致造成攻擊。 張副局長光遠：它要看其中的漏洞。 王委員進士：這樣的情況這麼多，你說實際的過程中惡意的也有七萬餘次嘛。 張副局長光遠：是的。 王委員進士：那事實上我們有沒有遭受到什麼損害？ 張副局長光遠：這點倒沒有，我們國安局最近這幾年…… 王委員進士：防護的措施都做得很好，沒受到損害？ 張副局長光遠：是的，因為我們現在情報工作的網路跟一般上網的蒐情網路是實體隔離、分開的，所以我們內部的情報網路是完全跟外部隔離的。而我們蒐情的網路則是曝露在網路上，所以這些電腦會遭遇到攻擊，不過我們對這些蒐情的電腦有嚴格的規定，它上面不准儲存機密的資料，而且…… 王委員進士：好，謝謝副局長。我要請教剛才詹委員凱臣在問行政院資通安全辦公室這邊的事情，我看你在講我們都是採守勢，就是以防範、防護為主。 張副局長光遠：是的。 王委員進士：那有沒有攻擊的部分？譬如說去破壞他們的…… 張副局長光遠：是，剛才詹委員…… 王委員進士：蕭主任在說明的時候，我看副局長好像很想起來答復，那就給你說明一下好了。 張副局長光遠：謝謝委員。剛才詹委員提到為什麼不反擊？明明知道它在進攻，為什麼不去攻擊它？事實上我們目前對於這種惡性的攻擊，我們會調查它的來源是哪裡，結果我們的統計出來發現，真正直接從中國大陸來的，大概只有4.9%；從我們臺灣本土中繼站來的反而有38%；從亞洲週邊國家來的有28%；從美洲地區來的有26%。 王委員進士：反而從中國大陸來的不是最大宗的？ 張副局長光遠：我們追蹤得知，直接來的只有占百分之四點多，我的意思就是它的攻擊都是用跳板攻擊，都是用一些殭屍電腦來做代理攻擊。 王委員進士：副局長，我想…… 張副局長光遠：所以你反擊它沒有用，因為反擊到它第一個節點的時候就停了，就像我講的，有38%的攻擊都是從臺灣的一些殭屍電腦上面來進攻的，所以反擊過去以後沒有用。 王委員進士：這樣啊？ 張副局長光遠：是的，所以…… 王委員進士：那他們也是很厲害，副局長你是科技的專業嘛。 張副局長光遠：是的，過去從事過這樣的工作。 王委員進士：所以你講起來頭頭是道啦！我想從大陸本土那邊來干擾的才百分之四點多，那其他…… 張副局長光遠：我說直接從那邊來…… 王委員進士：直接從那邊來的？那臺灣這邊的是百分之三十多？ 張副局長光遠：臺灣這邊的講起來應該也是被它…… 王委員進士：那週邊其他國家還有…… 張副局長光遠：等於說是已經被它植入後門程式，當做一個代理戰爭的地方。 王委員進士：對，對。那你說的週邊國家，大部分是來自哪裡？ 張副局長光遠：講起來應該也是中國的駭客利用週邊國家、美洲地區國家的一些電腦，如果電腦疏於防範的話，它就會植入後門程式，而且取得它的一些控制權。它可以在它需要的時候做一些阻斷式攻擊，或者是做一些…… 王委員進士：請教副局長，這邊有沒有什麼防範的措施？ 張副局長光遠：講起來，需要每個機關的防火牆、整個機構在縱深防禦上的一些入侵偵測系統，而且行政作業的電腦都要做實體隔離；另外還要有教育要求，不准攜帶母子碟等不合規定的一些儲存媒體進入你的…… 王委員進士：這個很好，但對於各機關採取這樣的防範措施，你們有沒有提供他們一些意見還是什麼？ 張副局長光遠：有，現在我們行政院資通安全辦公室…… 王委員進士：這應該是資安的問題。 張副局長光遠：對於所有的國安機關、行政院所有的部會，我們目前都會要求所有的同仁，在資安方面都要有一定的受訓時數。 王委員進士：好，謝謝。我再請教副局長，不是有一個維基解密事件嗎？ 張副局長光遠：是。 王委員進士：它都針對美國的部分，是不是？ 張副局長光遠：它最主要是由…… 王委員進士：它攔截一些機密的情報，然後…… 張副局長光遠：它是一個值勤的士兵利用值勤的時候，把美國跟中東地區的資訊…… 王委員進士：跟它往來的一些資訊。 張副局長光遠：是，他把一些資訊加以儲存了。 王委員進士：那我們臺灣這邊有沒有類似維基解密這樣的網站在攔截我們臺灣的這些資訊？ 張副局長光遠：它那個等於算是美國的情報網路裡頭一個自己的工作人員做出的違法行動，目前在臺灣來講，就如您剛剛講的，這個是內部安全的問題，以國安局來講，我們內部的同仁只要帶他沒有報備的東西，像母子碟也好，甚至是相機的儲存媒體等等，他只要往那個機器一插上去，我們內部的監控機制馬上就會警示，然後我們的監控中心馬上會去找到當事人，我相信我們國防部也有這樣的設計。 王委員進士：好，謝謝。 另外還有我們的情報部分，有沒有在跟外國交換情報？ 張副局長光遠：剛剛我講到國安局在資訊安全這方面，我們負責的是網情蒐集，當然一方面我們直接去蒐集中共用什麼樣的方式來攻擊我們，同時我們也檢查到底它偷了我們政府什麼樣的東西，光靠我們這樣直接做是不夠的，因此我們會利用一些情蒐管道…… 王委員進士：對，各相關單位。 張副局長光遠：我們會和他們相互合作、交換一些情資。 王委員進士：好，謝謝副局長，您請回座。 張副局長光遠：謝謝委員。 王委員進士：我再請教國防部廖次長，現在軍中的電腦作業是什麼樣的方式？是集中在一個電腦室處理？ 主席：請國防部廖次長答復。 廖次長榮鑫：主席、各位委員。我們是非常、非常明確的實體隔離，有民網、有軍網，是分開來隔離的。另外有一些像指管等特殊部分，那是封閉式的一些系統。 王委員進士：前面你說像基層單位、基層部隊，它是不是也有這方面的隔離？ 廖次長榮鑫：一樣，我們全國軍都是這樣在做。 王委員進士：是。那我請教副部長，國軍內部的網路好像也經常出現一些不屬於作業需求的資料，而一些行政機關也是這樣，就是有一些電腦遊戲、電影、MP3這一類的，有沒有？ 廖次長榮鑫：我們非常、非常嚴格地要求，在我們軍網上是不容許、不可能有剛才您講的這些東西出現。 王委員進士：就像這些管制一樣，我想智慧型手機也不能帶進去。 廖次長榮鑫：是，我們智慧型手機、所有的儲存媒體都不准帶進去，帶進去就立刻懲處，而且我們在門口都有在做抽查。 王委員進士：檢查？你說「搜檢」當然門禁也很森嚴。 廖次長榮鑫：是。 王委員進士：但是在比較高層而不是一些士兵的部分，我想應該也有發生過個人電腦的問題，像連長以上的幹部或是其他人，有沒有攜帶個人電腦進去的情況？ 廖次長榮鑫：我們一直持續在做要求，只要是被發現就立刻懲處。事實上我們現在有一些人他如果帶進去…… 王委員進士：因為我們在車上檢查都差不多把後車廂掀開，看一看有沒有什麼違禁的東西，那…… 廖次長榮鑫：我跟委員報告，我想我們現在很多的狀況…… 王委員進士：筆記型電腦很容易攜帶。 廖次長榮鑫：有一些長官如果帶進去，會有人檢舉他，他會有這樣的風險，所以他基本上會遵守這個規定。 王委員進士：對，我想這些應該要能夠嚴謹要求，例如筆記型電腦、智慧型手機等等。 廖次長榮鑫：我們持續要求。 王委員進士：對啦，我經常也有接到一些小兵因為帶手機進去而被處分的問題。 廖次長榮鑫：是，是。 王委員進士：經常有一些鄉親會對這些事情來瞭解一下。 廖次長榮鑫：是。 王委員進士：為了我們國防的安全、國家的安全，這方面當然我們應該要好好管理。 廖次長榮鑫：是，是。 王委員進士：未來的戰爭應該電子作戰是未來的趨勢，我想各相關單位，不僅是國防部，國安局、調查局、警政署、刑事警察局等等，在這方面都很重要，要注意到網路的安全。 廖次長榮鑫：謝謝委員，我們會持續做。 王委員進士：好，謝謝。本席接著請教資通安全辦公室蕭主任。 請教蕭主任，行政院現在設有這個任務編組，和國土安全辦公室是併列的；剛才有委員問你的時候，你說有8大領域，其中才1樣是你們所掌管的。那平常你們這兩個單位有沒有什麼聯繫？還是一些工作上疊床架屋？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。其實國土安全辦公室是建置單位，資通安全辦公室是常設任務編組，我們的定位是不太一樣的。 王委員進士：不一樣？ 蕭主任秀琴：是，是，這個…… 王委員進士：雖然不一樣，但是我看國土安全辦公室他們好像每年的預算只有500萬元而已，他們很多人員都是各個單位借調過來的嘛。 蕭主任秀琴：是。 王委員進士：建置單位怎麼會這樣？ 蕭主任秀琴：國土安全辦公室有編制內人員，也有借調人員；而資安辦因為是任務編組，有兼辦、借調跟約聘人員，沒有編制內員額。 王委員進士：是這樣子？ 蕭主任秀琴：是。 王委員進士：剛才你講到8大領域，其他的部分是他們的，我是說平常你們業務上的一些聯繫是怎麼樣？因為其實你們這個資訊安全也跟國土安全都一樣嘛。 蕭主任秀琴：對，非常密切，所以在裡面跟資安最密切相關的資通訊部分，就由我們來直接主辦，其餘的部分是由國土安全辦公室主辦，但是我們都予以協助。 王委員進士：分工合作，你們不要各自為政啦。 蕭主任秀琴：是，我們充分配合。 王委員進士：好，謝謝。 蕭主任秀琴：我們合作得很好，謝謝委員關心。 主席：請陳委員唐山質詢。 陳委員唐山：主席、各位列席官員、各位同仁。今天有好幾個掌管資訊安全相關業務的單位在這裡，請教張副局長，平常你們這幾個單位在國內就業務方面有什麼樣的互動？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。行政院資通安全辦公室跟國家資安辦公室每個月有技術性的一些會報；每三個月還有一些政策性的會報，我們國安局都會來參加。因此，對於有關網路安全這方面的一些訊息，我們政府所有的機構都是互動非常密切。 陳委員唐山：假定說我們政府裡面的單位發生被駭客侵入或資料被偷事件，譬如說是外交部，那你們在國安局裡面是不是可以發現到？你們知不知道？ 張副局長光遠：我們在這方面的工作大概做了好幾年了，我們一方面會瞭解中共用什麼手段來駭侵我們的政府機關；同時我們也用相當多的方式進行反蒐，看看中共拿了我們什麼東西。像剛剛您提到外交部的這個情況，我們是有發現過，我們通常在掌握這個訊息之後，就立刻透過通報機制反映到我們的資通安全辦公室，而資通安全辦公室他們就會綜合調查局、刑事警察局及相關單位去做一些調查。這些調查一方面是去瞭解被控制的是哪些電腦，但我們最主要的是要瞭解它用什麼手段，當這些都弄清楚之後，相關單位會把缺點改掉。 陳委員唐山：OK。以目前我們科技這樣的發展，在你們的技術方面，是不是能夠事先就曉得？譬如說某一個單位的資料已經被人家偷走，在被偷的那一刻你們是不是已經知道？或者是要經過其他的方法，譬如「反偷」的技巧，在把對方的資料偷回來之後，才發現原來我們那個單位的資料已經被人家偷了？我的問題再講得清楚一點：當我們某一個單位的資料被偷，在那一刻你們是不是已經曉得？ 張副局長光遠：我們現在行政院底下有一個技術服務中心，他們有相當多的專業人員，他們會協助政府機關各部會，凡是被中共駭侵的一些狀況，他們都在掌握。剛剛委員提到當他們正在偷的時候是不是能夠馬上掌握？以我們目前所掌握的資料而言，都是從它已經入侵的中繼站去找的，我剛剛講過，直接從它那邊來的比較少，而從臺灣本土來的有差不多38%左右，這些大概是已經被它控制住的電腦，被用來當做它的中繼站，我們都是在中繼站裡面看到它有些加了密打包的東西，我們再把它解密後才能夠發現、才能夠找到，所沒辦法即時，這是很困難的。　　　　　　 陳委員唐山：在被偷的那一刻，我們現在還沒有技術、沒辦法…… 張副局長光遠：沒辦法即時，目前我們大部分找到的都是事後。 陳委員唐山：沒辦法去detect某個單位是在某一個時刻資料被偷？這點我們目前還不知道？ 張副局長光遠：像剛才我們的一個報告裡面就提到，去年它惡意的入侵就有七萬多次，當我們知道這是入侵的時候，其實我們就把它擋掉了，也就是說它想進來偷取，但是沒有成功，因為被我們擋掉了，這個就算是即時吧。 其實我們行政院現在也是單一出口，他們也是一樣，他們被對方希望入侵的次數，我相信可能是百倍於我們。　 陳委員唐山：換句話說，我們現在有這樣的技術可以把它擋掉？ 張副局長光遠：是的。 陳委員唐山：就是potential的部分，可能它會入侵，而我們有可能已經把它擋掉，所以它拿不到我們的資料？ 張副局長光遠：是的，在我們一些網路安全的設計上，如果大家都照著規定來做，照講應該是被侵駭的機會是很少的，可是為什麼我們要加強宣導？就是有些同仁不遵守這個規定，譬如說他今天要加班但沒時間，因為要回去照顧小孩，所以他就把做的東西燒在光碟片上、母子碟片裡面帶回家，也就是公務家辦，但問題是他家裡的電腦沒有設防，也沒有實體隔離，已經被植入後門程式，人家用關鍵字一下就找到他重要的一些敏感東西，公文就抄走了，這就是違反規定，也就是說他不遵守這種規定，雖然我們的設計很好，可是工作的同仁沒有遵守規定的觀念，還是容易造成漏洞。 陳委員唐山：根據你們的資料，臺灣有哪些機構的資料曾經被中國大陸那邊偷過？有幾個單位？ 張副局長光遠：我非常誠實地向委員報告，大概我們政府機關在過去10年來說，幾乎是都有、都發生過，可是當它發生過之後，為什麼我們在90年要成立行政院資通安全會報？就是因為我們發現中共的駭客入侵是人海戰術，人數相當的多，所以我們在成立這個辦公室以後，發生的駭侵數量，各個機關目前數量大幅度地在減少。所以剛剛在我們的報告中說它現在為什麼用迂迴的方式？就是因為政府機關現在設防越來越嚴密，因此它透過學術機構、民間企業等這些迂迴的方式來做，它甚至用一些工業電腦來當做中繼站，所以他們的困難也是越來越高。 陳委員唐山：所以現在駭客的侵略非常厲害，全世界每個地方都是這樣，不單是在我們臺灣，在英國、德國甚至於美國，他們有很多都已經公開講了，認為中共這方面的入侵做得是太厲害了！在這樣的情況之下，我們要怎麼樣避免？因為你們這個單位跟其他單位相較，我認為是最清楚狀況的，所以應該要用什麼樣的方式來避免？你剛剛也提到過，譬如說外交部有人下班之後把碟片拿到家裡去操作，這就給了他們一個機會可以去偷我們的資料。 除了這些之外，你們要怎麼樣公開給一般機構一個advice，說怎麼做才能夠避免這種事情再發生？因為我在外交部那時候曾經跟你們單位有接洽過，這方面的工作是不是繼續在進行？是不是時時刻刻有人到你們那邊去受訓等等？　 張副局長光遠：現在我們外交部在資訊安全方面，可以說改進了很多，他們現在將全球的外交機構整個通訊網路在做改善，希望整個外交單位跟國內的通訊網路，用一個專屬化的MPLS通道來改善；同時它在資安方面，我們的外館以前都沒有資訊專業人員，現在外交部也開始將資訊專業人員往外館派遣。另外，我們國安局會配合外交部，每一年都有一個海外的安全檢查作業，檢查其作業環境。外交部在這方面現在加強違規人員的處分，也執行得很嚴格。 陳委員唐山：根據你們的瞭解，外交部現在這部分有沒有改善？ 張副局長光遠：改善得相當多。向委員報告，這方面的花費也相當的多，投資很大，所以，希望大院委員們將來對於整個政府機構在資訊安全防禦的經費及人力上能夠大力支持。 陳委員唐山：我個人認為，在生產電腦方面，臺灣是聞名全世界，以這樣的基礎而言，相關的人才應該是很多，你有沒有聽過OLPC這個單位？這是MIT（麻省理工學院）的教授所發起，主要是為了幫助一些比較沒有發展的非洲國家，讓每個人能夠有一台電腦，在他們透過聯合國來執行這個計畫時就跑到臺灣來，因為一人一電腦只要100塊美金，他們認為只有臺灣可以做得到，當時他們來找我，也找過陳水扁總統，當時生產出來一個portable type，價格是120塊美金，可見，國際上認定臺灣在電腦這方面是最好的，以此為基礎的話，我們電腦相關的技術應該很多，我對我們的資安方面是非常有信心的，應該可以做得比其他國家更好。您對此有何看法？ 張副局長光遠：委員剛才所指教的，確實是如此。臺灣算是一個資訊大國，但資訊的普及化及網路的自由化其實也造成很多的危險，嚴格來講，我們政府機構及全民都應該有一個共識，即電腦是一個工具，但也容易造成災害。 陳委員唐山：希望大家在一個這麼好的基礎之上加把勁，把臺灣的資安工作做好。 張副局長光遠：謝謝委員指教，謝謝。 主席：請陳委員碧涵質詢。（不在場）陳委員不在場。接下來的質詢，每位委員質詢時間6分鐘，得延長2分鐘。 請許委員忠信質詢。 許委員忠信：主席、各位列席官員、各位同仁。上次局長在這裡說我們臺灣每天被駭上萬次，美國電信巨擘威瑞森公司宣稱美國96%的被駭事件，源頭都來自中國，有一部分是來自羅馬尼亞，他們來的目的是要竊取資訊，所以，歐巴馬最近在白宮簽署了一份支持法案，發出一個禁買令，要求美國的政府部門在9月底之前禁止購買與中國政府相關的資訊公司產品與系統，何謂與中國政府相關？即受中國補助、控制、甚至中國政府直接營運者，請問副局長，臺灣有沒有可能跟進，與美國一樣，拒買受中國政府所影響的資訊公司的系統與產品？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。現在本局所使用的電腦裝備原則上都是要採用國產，…… 許委員忠信：你要不要在國安局做成一項決議，向馬總統建議，美國已經這樣做了，我們更必須要這樣做？因為中國來竊取的不只是商業機密而已，也可能竊取我們很多的國防機密。美國都可以這樣做了，我們臺灣為什麼不跟進？你們國安局是否願意做成一份報告，向馬總統做這樣的建議？ 張副局長光遠：現在對於比較具敏感性的電訊設備，尤其是電腦網路的核心，經濟部是有一些列管的項目…… 許委員忠信：他們列管的項目很少。美國政府此次的禁買令範圍非常廣泛，只要受中國影響的公司所生產的資訊產品與系統，就不得購買及接受其服務。他們指的對象包括華為、中興、聯想等公司，請問副局長，這幾家公司在台上市的產品有多少？ 張副局長光遠：以華為為例，它現在是世界第二大生產通訊設備的公司，目前大概只有易利信的規模比它大，但因為其具高度爭議性，例如其負責人過去有軍方的色彩，還有…… 許委員忠信：副局長，請你針對本席的問題答復，華為與中興公司在台的產品有多少？系統又有多少？ 張副局長光遠：我們的電信公司的核心設備沒有華為的設備…… 許委員忠信：核心之外呢？很多都是華為的設備與系統，只要使用他們的設備和系統，駭客就進來，美國就是因為駭客的問題才會發出這個禁買令。臺灣與中國的商業競爭、國防競爭，中國每天處心積慮地想要竊取臺灣的機密，我們又用他們的設備和系統，一天到晚處於被駭、被竊取機密的危機當中，每天被駭一萬多次。 張副局長光遠：他們的攻擊並不是透過其設備，而完全是透過網路。 許委員忠信：華為所生產的通訊產品、網路相關系統、軟體、售後服務甚至都有植入一些程式，只要我們一使用，就會被竊取資料，像這種情形，你不知道嗎？ 張副局長光遠：目前因為我們國家對華為的產品管制得很嚴格…… 許委員忠信：如果很嚴格，為何會到處可見？ 張副局長光遠：它的核心設備沒有進入我們的網路…… 許委員忠信：你講的核心設備只有一點點，但是，其他部分到處都是他所生產的產品。 張副局長光遠：周邊部分，也許他的產品有些後門，但是…… 許委員忠信：你不要再狡辯了，我問你最簡單的問題，上週四早上高鐵當機，與中國駭客有沒有關係？ 張副局長光遠：關於這個，現在絕對不能把它連在一起，高鐵現在還在調查…… 許委員忠信：重新開機就好了？ 張副局長光遠：因為它是一個封閉型的系統，駭客沒有管道可以進去。 許委員忠信：你怎麼知道？ 張副局長光遠：這麼重要的一個系統…… 許委員忠信：重新開機就可以排除障礙？這很有可能是被駭，那誰會來駭高鐵？中國有可能，所以，你們應該要往這方面去查。你們都沒有想過這個問題，美國的核電廠、重要的水庫、通訊設施、機場，跟你們說的一樣，說跟高鐵一樣是隔離的系統，但是，美國的國會做出了調查報告，他們認為這個被駭的可能性很高，所以，本席認為台灣高鐵上週的事件與中國駭客可能有關，你要不要去查？ 張副局長光遠：謝謝委員，您的危機意識很強，我相信這部分的可能性，我們會去瞭解。 許委員忠信：你們要去查，查出來再給本席一份報告。 張副局長光遠：是。 許委員忠信：為了公平，我稍後也會去交通委員會質詢交通部部長及高鐵董事長，你們一定要去做調查，再給本席一份報告。 張副局長光遠：是。 許委員忠信：謝謝。 張副局長光遠：謝謝委員。 主席：請廖委員正井質詢。（不在場）廖委員不在場。 請李委員貴敏質詢。 李委員貴敏：主席、各位列席官員、各位同仁。今天我們談的是網軍，4月23日美國發生駭客入侵美聯社的網路帳號，並發佈白宮遭到恐怖攻擊的假消息，當天道瓊指數在2分鐘內大跌131點，當然，美國的因應也很快，白宮立即做了澄清，股市也在8分鐘之內回復原狀。我們在臺灣看到這則新聞時，媒體是以花邊新聞的方式來報導，可是，這個事件的背後是值得大家一起來省思。請問，國防部現在有一個特定的網軍機構嗎？ 主席：請國防部廖次長答復。 廖次長榮鑫：主席、各位委員。其實對網軍的定義是從中國大陸而來的一個概念，基本上，只要是在做資訊安全這個區塊的人統統叫做資訊安全編制內的人…… 李委員貴敏：有多少人？ 廖次長榮鑫：三千多人。但是，其中有一個部隊是所謂的資訊戰部隊，分為三個中隊，編組狀況大致是如此。而這三千多人之中，有很多是負責資訊安全工作，但比較特殊的是這個資訊戰部隊。 李委員貴敏：所以，你剛才說資訊安全比較多的部分是被動地focus在防護部分，與中國方面的網軍還有一大段的落差？ 廖次長榮鑫：是。 李委員貴敏：與駭進去或透過網路方式去做national defense還是不同的？ 廖次長榮鑫：是不一樣。 李委員貴敏：請問，國安局有類似網軍的架構嗎？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。沒有。 李委員貴敏：在現代社會電腦網路快速的情況下，人們是透過電腦的處理蒐集資訊，對生活型態提供了很多的方便性，國家安全對其依賴度也很高。我們看到中國大陸有網軍，事實上，英、美、日、韓統統都有，而這個網軍的特性在於它可以用遠距離、匿名的方式駭進去網路，其造成的傷害是非常大，現在很多武器的攻擊都是用電腦控制，在這種網軍很強大的情況下，根本不需要幾百億的設備，就像我昨天看電視上報導一架F-16就要價一千多億，以這樣的情況下，如果你今天可以掌控對方的電腦，等於整個飛機是在你的掌控之中，所以，如果我們只是被動地、完全不做規劃，對我們臺灣國防的安全及國家安全怎麼可能達到防衛的目的？ 廖次長榮鑫：現在全世界對於駭客及主動攻擊都認為是一種不能接受的行為或行動，對國防部而言，我們有資訊戰部隊，也希望從過去被攻擊及對攻擊方式的瞭解逐漸建立能量，但基本上，我們是保守的，不會去做那樣的攻擊行動，所以，全世界目前還是非常審慎地在處理這個區塊。 李委員貴敏：次長，你的意思是，因為國際間對這樣的行為是譴責的，而你們預見這種行為在臺灣發生的機率不高，所以，我們不需要做因應？ 廖次長榮鑫：當然不是，我們有在做這樣的…… 李委員貴敏：我現在要再舉另外一個例子，事實上，在2010年，網路上出現一個電腦病毒，此病毒是西門子公司所開發，我們現在不只是在談這種電腦病毒透過國家安全系統去侵蝕我們國防中的戰機、航空母艦，我現在只是先單純地談這個病毒侵入民間的系統後造成工業界的損失，就像我剛才提到4月23日駭客入侵後發布假消息造成股市跌了一百多點的例子，就算他不侵入你的國防系統、國安網站，不是去擷取你的資料，他只是單純地侵入民間系統，造成股市崩盤、經濟潰敗，臺灣不是一樣會垮嗎？從國防的角度而言，這不是應該由國防部負責嗎？從國家的經濟、政治的安定性、對老百姓而言，今天光是一個高鐵事件就已經弄得人心惶惶，如果今天在股市中或其他方面再多一點假的消息，整個股市崩盤、經濟潰散，臺灣還需要作戰嗎？它不需要作戰就垮了！ 廖次長榮鑫：基本上，還是在國安會與行政院的組織架構下，國防部在這個區塊主要是針對…… 李委員貴敏：剛才國防部說這與國防部無關，請問國安局…… 廖次長榮鑫：我們講的是分工，並不是無關。 李委員貴敏：好，沒關係，從國防的角度而言，國防部take care；從其他的角度而言，國安局take care。今天假設有人發布假消息說臺灣已經成為疫區，因為H7N9而死亡的人數已經達數千人，這樣不會造成整個臺灣潰敗嗎？對於這樣的事情，我們到底成立了什麼樣的網軍來因應？還是我們根本沒有成立？還是短期之內，我們不會成立？目前到底是什麼樣的情況？ 張副局長光遠：這是美國的情況，它是透過twitter發佈…… 李委員貴敏：我不是要深究美國的情況，我對美國沒有興趣，我只是要瞭解臺灣在這樣的情形之下，國安局會有什麼樣的因應措施？ 張副局長光遠：臺灣也是一樣，就像您剛才提到的例子，它是透過一個社群網站發布不實消息，影響社會的心理與安定…… 李委員貴敏：我現在請教的是，國安局做了什麼預防措施？你們做了什麼事情、什麼規劃，能夠確保美國這類的事情不會在臺灣發生？ 張副局長光遠：報告委員，發生是一定會發生的，因為網路社群是一個自由開放的地方，我們只能說，一旦發生的時候，我們立刻成立一個機制，如果牽涉到金融機構方面，我們會請金管會介入，立即採取措施。如果影響到交通設施，交通部馬上要有一個機制來解決。因為網路社群是一個自由的地方，我們無法禁止它，因此，現在我們的機制是沒有辦法預防，但是，一旦發生時，我們是會有處理的機制。另外，全民的教育…… 李委員貴敏：副局長，我必須要說，我對你的回答非常遺憾，有一句話說「三軍未動、糧草先行」，如果你已經可以知道將來可能會有什麼樣的事情或動作，你應該做的是要先有預防措施，臺灣的IT產業現在在全球還是最強的，我們有沒有很優秀的年輕人可以做為網軍的基礎？當然有啊！你不屬於這方面的領域，我今天詢問你的時候，你還不去規劃，就馬上說這是不可能預防的。難道真的要等到損害形成，我們才能去做因應嗎？而且損害造成之後，你們的因應方式居然只是請金管會去發布一個消息而已，這樣怎麼對呢？ 張副局長光遠：這是一個分工，因為網路社群…… 李委員貴敏：這不是分工，既然你負責國安局，就應該擔起這個責任，為我們的國家安全做好預防措施。謝謝。 張副局長光遠：謝謝委員。 主席：剛才國防部對李委員的質詢有不實的回答，其實國際間已經開始針對網路作戰研擬Rules of Engagement，你們竟然說不存在！Rules of Engagement就是相互往來的攻防規則，而且美國甚至幾年前就試圖運用網軍去癱瘓伊朗的核武系統，這難道不是攻防的一部分嗎？你們應該多做一些相關研究，以後再來跟我們報告。 請許委員添財質詢。 許委員添財：主席、各位列席官員、各位同仁。國安局今年以來對網路安全做了相當多的揭露，引起國人廣泛的注意，因此你們對網路安全的權威性多少也有相當的提升，但是你們今天給本院的報告卻只講問題和現象，而沒有提供答案。例如你們提到美國、日本、韓國和德國對中國網軍駭客攻擊所採取的防衛措施，包括人力、物力和制度，相對的，我們到底落後多遠呢？應該做的和還沒做的又相差多少呢？可否請張副局長報告一下？你一定要趕快說錢非常不夠，讓總統知道錢不要亂花，所謂「錢要花在刀口上」，現在的「刀口」就是網路安全，你至少要這樣講，因為這和國安局的預算有關。 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。我們確實已經對這方面越來越重視了，所以才有資安辦的成立。這方面以前只是一個會報，現在變成一個資安辦公室，意思就是要開始採取行動。當然，這部分牽涉到人力和預算，這是非常現實的。 許委員添財：你這樣只是跟著我講而已，超出我講的部分是不是也能報告一下？ 張副局長光遠：其實是因為我們90年向總統提報，受到總統的重視之後，才成立這兩個辦公室，而且在行政院的人事組織修編之後，各單位的人力都在裁減，只有資訊人員是增加的，所以政府已經採取了一些實際的行動。 許委員添財：後冷戰時期隨著全球化進入經濟戰，兩岸經濟交流的結果共相沈淪，這是本席的經濟分析。請你評估一下現在中國和臺灣的網路技術、資訊技術和軟體技術，他們是和我們相當、比我們先進，還是比我們落後？相差幾年？ 張副局長光遠：網路技術如果以設備的生產來講，中國大陸是進步的。 許委員添財：好，硬體的生產技術他們是進步的，因為他們已經上到外太空了，我們還沒有嘛！那軟體方面呢？ 張副局長光遠：軟體方面就系統部分而言，歐美還是比較領先。 許委員添財：那臺灣呢？ 張副局長光遠：因為現在電腦所使用的軟體大部分還是美國在主導，像微軟，所以電腦的軟體系統都還是美國大廠在主導。 許委員添財：那是人家進步啊！但是我們有沒有國際合作？ 張副局長光遠：當然有，就是我們透過一些…… 許委員添財：會不會像我們跟美國買武器，美國會擔心他們的武器秘密透過臺灣轉給中國一樣，也擔心臺灣把他們的網路技術透過兩岸交流移轉到中國，所以他們的網路和資訊相關技術要透過合作管道轉移給臺灣的時候也會怕怕的？有沒有這個問題？還是我們從來都不管，也沒有提出相關要求？這些國會都不知道。你只給我們這些資料有什麼用呢？ 張副局長光遠：這方面的資訊是有待附加，因為美國和臺灣一樣，也是遭受駭客攻擊非常嚴重的地方，所以有時候會要求我們協查一些網路駭客攻擊的IP位址。 許委員添財：美國已經明令禁止購買中國的資訊設備，譬如華為的產品，可是臺灣的遠傳電信和亞太電信都跟他購買，而且金額都是以十億、百億來計算，請問國安局有沒有提出警告，讓經濟部、NCC、交通部等相關部門採取必要的禁止措施？ 張副局長光遠：有。國安會確實有召集經濟部、NCC和幾家電信業者，在這方面做一些律定，所以中國大陸的產品並沒有在我們電信網路的核心設備中出現。 許委員添財：這是民間的啊！ 張副局長光遠：民間部分因為我們現在還沒有法令可以約束他們…… 許委員添財：好像有些民間公司還要叫他們來參股，這怎麼可以啊！國安局以前抓台獨和異議份子都非常賣力而有效，現在為了防堵國際敵意網軍攻台，也應該發揮更大的作用、提高更大的效率，這方面我們互勉好不好？我們鼓勵你，該編預算就編預算，該找人就找人。 張副局長光遠：是的，謝謝。 許委員添財：「賽門鐵克」說臺灣的網路威脅排名全球第9，殭屍網路是臺灣網路安全的最大隱憂，這部分當然涉及移動電信設施使用者的安全觀念和使用習慣，請你透過麥克風公開向全民呼籲一下，有哪些使用網路、電腦和智慧型手機的人犯了安全上的壞習慣或缺乏安全觀念，這些樣態是怎麼樣。 張副局長光遠：現在智慧型手機在臺灣占的比例越來越高…… 許委員添財：時間有限，請你具體說明。 張副局長光遠：希望使用者不要隨便下載App程式，也希望所有使用電腦的人不要貪便宜，去使用盜版軟體，或者為了省錢，到處去copy人家的軟體，這通常…… 許委員添財：這是最基本的。 張副局長光遠：再者，上網以後不要隨便下載一些圖片或者看了很吸引人的一些…… 許委員添財：除了色情App，還有一種是網友一直傳，有一天傳到最初的發送者手裡，被他抓到就來臺灣告侵權，這種case你們掌握了多少？他們動輒索賠兩、三百萬，最後談判是30萬。好可憐啊！一個小女生或家庭主婦就因為好奇，認為那個圖片或短片很好，或者覺得那個資料講得很有道理，然後就一直傳、一直傳，3年後竟然被告上法院，判賠二、三十萬，這種案例你們掌握了多少？ 張副局長光遠：我想刑事警察局應該比較瞭解。 許委員添財：網路犯罪、引誘犯罪，然後臺灣的司法又配合他們所謂的保護智慧財產權，結果坑殺無辜的網友、消費大眾，你們掌握了多少？如果連這些資訊都沒有的話，表示我們太落後了，對國人權益的保障幾乎不下功夫、不夠重視，案例到底有多少？沒有嗎？ 張副局長光遠：現在沒有數據。 許委員添財：時間應該要扣掉，請國安局會後補提供書面資料給本席。 另外，我們的政府是最差的，破壞網路安全的就是政府本身，例如政府所提供的App，統統都要求民眾必須提供密碼、自己的資料，哪有這樣做的？因為那是屬於公開的資料，任何人都可以自由進去、自由出入，這時候怎麼可以要求民眾必須提供資料呢？難怪歹徒會有機可乘，只要掌握了政府公開的App網站，就可以蒐集使用這個網站的臺灣國民的相關基本資料，所以政府等於是幫這些具敵意的網軍提供可蒐集資料的場所及可能性，這一點一定要改，但本席講了很多次，都沒有人要聽啊！行政院是在幹什麼啊？所以這個政府率獸食人、為虎作倀，在資訊戰裡面可能也是扮演著幫兇的角色，這一點很重要，你們必須去全面檢討政府提供的App，不要擾民、不要民眾填寫資料，因為我們擔心有人會惡意進去網站，如果想要讓民眾可以自由進出，能量就弄大一點嘛！怎麼會是能量小又怕人家使用呢？因為擔心受影響，所以就加以限制，而且不是以價制量，而是以資訊提供來制量，怎麼會有這種政府呢？你們有沒有注意到這個問題？本席提醒了好幾次，沒有人理我，請應該答復本席的單位，事後提供書面資料給本席。 主席：好，事後提供資料給許委員。 許委員添財：主席，這個問題應該很重要吧，不僅擾民，還提供敵軍可乘之機，只要駭進網站，就可以在那邊等著收資料了，是不是？ 張副局長光遠：我們會去瞭解一下。 許委員添財：以上三個題目的資料，請國安局擔任整合者，相關部會如果不願意提供，就請國安局幫本席催促，然後由主席來監督國安局。 張副局長光遠：好，謝謝委員。 許委員添財：要不然本席今天的質詢就等於是質詢假的了。 張副局長光遠：謝謝委員。 主席：請徐委員欣瑩質詢。 徐委員欣瑩：主席、各位列席官員、各位同仁。本席覺得召委非常用心，安排了「我國如何因應網軍與駭客攻擊並強化資訊安全措施」的議程，請問蕭主任，行政院資通安全辦公室是不是一個統籌單位？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。是資通安全會報的幕僚單位。 徐委員欣瑩：如果國內發生重大的網路攻擊事件，由誰來指揮？今天列席的單位有這麼多個，誰來統籌指揮？ 蕭主任秀琴：我們現在有個通報應變系統，當我們掌握到這個資訊時，如果發現該事件是屬於三、四級的話，行政院資安辦與國家資安辦就會開會…… 徐委員欣瑩：所以你們是按照你們得到的通報來判斷？ 蕭主任秀琴：是。 徐委員欣瑩：這個判斷是由資安辦公室判斷嗎？ 蕭主任秀琴：我們有一個很明確的標準在判斷它是屬於哪一個層級的事件。 徐委員欣瑩：通報上是通報到哪裡？誰來判斷？ 蕭主任秀琴：首先是由機關（構）自行認定，到了主管機關會再做覆核。 徐委員欣瑩：由它判斷？ 蕭主任秀琴：對，到了技服中心也會再做一次覆核，也就是說，我們會逐層去做確認通報的資訊是不是正確的。 徐委員欣瑩：如果出現有預謀的整體網路攻擊事件發生時，相信蕭主任應該知道，2007年北歐愛沙尼亞曾經發生網路攻擊事件，2008年喬治亞共和國也發生網路攻擊事件，這些攻擊事件都癱瘓了全國的網路，可是在一開始的時候，都只是部分網站當機或癱瘓而已，類似的事件如果發生在臺灣，誰來判斷這究竟是單一事件還是一連串的攻擊？ 蕭主任秀琴：最近我們為什麼要讓技服從第一線退居第二線，就是因為我們認為必須要有一個單位去蒐集所有資料，然後去做比較完整的判斷，今天當一個單位送來通報，表示他們發生了某一事件，接著又有其他的通報過來，我們就會去綜合研判…… 徐委員欣瑩：所以是由資安辦公室判斷的？ 蕭主任秀琴：技服中心加上行政院資安辦，以及國家資安辦，我們會一齊去做綜合研判。 徐委員欣瑩：如果判斷的結果這可能是一連串的事件，這時候SOP的統籌機制是由誰來做？ 蕭主任秀琴：我們就會啟動專案，例如：國安資安辦的部分，會有國防部、國家安全局，行政院的部分則是國土安全辦公室，相關部會也會就其職掌一齊參與處理。 徐委員欣瑩：所以我們已經建有應變的機制與SOP？ 蕭主任秀琴：有的。 徐委員欣瑩：本席聽到這個回答很高興，因為這樣的事件還沒有發生過，我們並不知道。另外，資訊安全方面的人力配置是不是足夠？你可不可以說明一下，從資通安全辦公室到整個部分，如果要啟動這個機制，到底有多少人力？因為你們說人力足夠，表示你們曾經模擬過。 蕭主任秀琴：人力是永遠都可以再充實的，我剛剛是說…… 徐委員欣瑩：但臨時要增加會來不及，因為現在類似的案件一直在發生，包括南韓情勢緊張時也曾經發生過網路攻擊事件，而且至今還查不到攻擊者，一下子說是中國，一下子說是朝鮮，也有人說是匿名駭客發動組織的攻擊，表示這個情況已經是世界性了，各國都有可能發生，臺灣萬一哪一天發生時，怎麼辦？網路會癱瘓多久？ 蕭主任秀琴：關於韓國遭駭事件，其實4月10日已經有一個正式報告…… 徐委員欣瑩：我現在是問國內的部分，我只是舉南韓為例。 蕭主任秀琴：我覺得前面的防範會比事後的補救更重要。 徐委員欣瑩：但事情發生後的處理機制我們也要瞭解啊！您認為現在整個人力配置是足夠的嗎？ 蕭主任秀琴：就過去曾經發生的案例，我們大概都能夠即時處理，當然將來這個危機會越來越大，不過委員剛才提到的那些案例，其實都是長期的埋伏，例如：美聯社的推特被駭或是南韓的例子，其實南韓的案例他們已經努力了8個月，這也是我一開始會強調資安防護有深度、廣度、速度三個面向的主要原因。 徐委員欣瑩：我就是擔心你們的廣度不夠。 蕭主任秀琴：其實我們希望每個機關…… 徐委員欣瑩：我當然知道你們希望每個機關都去做防護，而每個機關也都有防護，但當事情發生後，負責整合、統籌、指揮的單位是你們嗎？ 蕭主任秀琴：資訊匯集到行政院之後，我們有G-IASC、資安技術交流小組，都會即時去傳達這個訊息。 徐委員欣瑩：那個小組由誰統籌？ 蕭主任秀琴：資安技術交流小組也是在資安會報下面的一個任務編組。 徐委員欣瑩：請問你知道DDoS是什麼嗎？ 蕭主任秀琴：知道。 徐委員欣瑩：它是什麼？ 蕭主任秀琴：它是透過分散式的阻斷，利用很多殭屍網站一直向你做一些其實是無效的請求，讓你沒辦法去提供正常請求部分的服務，透過這個方式來癱瘓你的正常運作。 徐委員欣瑩：我們可以應變這種情況嗎？ 蕭主任秀琴：我們以前也遭遇過，但是我們都能夠即時處理。 徐委員欣瑩：最後，民眾都很擔憂現在駭客有沒有可能在股市交易時去竄改股價，甚至癱瘓整個股市交易，這方面如何防範？您剛剛講得很好，事前的防範勝於事後的補救，本席現在只是以股市為例，證明國家機制的運作也會牽扯到民眾的財產，這種情況我們可以去預防嗎？有做最好的防備嗎？ 蕭主任秀琴：目前的機制應該是可以有一些適度的防範…… 徐委員欣瑩：適度的防範，而不是健全的防範？ 蕭主任秀琴：以技術來講，它是健全的，但是我們當然還要再做一些努力，例如：現在每個機關幾乎都設有24小時的監控，一旦發生事件，1小時內通報過來，我們就會馬上處理，然後透過網絡，所以美國推特事件能夠很快就被止住…… 徐委員欣瑩：本席問的是如何防範，但你回答的是發生以後的處理，所以防範和發生都需要？針對本席提出的case是不是可以提供書面報告給本席？ 蕭主任秀琴：好。 徐委員欣瑩：謝謝。 蕭主任秀琴：謝謝。 主席：接下來登記質詢的李委員桐豪、江委員啟臣及邱委員議瑩均不在場。 請姚委員文智質詢。 姚委員文智：主席、各位列席官員、各位同仁。本席剛才特地先來這邊聽了很久，因為我對於前幾天高鐵突然一個上午無法通車的事件，還是覺得沒有得到解答，所以我想要一一請教各位，請問國土安全辦公室陳主任，高鐵突然發現訊號異常，中斷行駛這麼久，您是什麼時候知道的？ 主席：請行政院國土安全辦公室陳主任答復。 陳主任會英：主席、各位委員。我們是在看到報導後就立刻跟…… 姚委員文智：看到電視報導？ 陳主任會英：對。 姚委員文智：你做了什麼處理？ 陳主任會英：我們立刻跟高鐵的安全部門聯繫，瞭解它的狀況。 姚委員文智：什麼時候聯繫的？ 陳主任會英：我印象是8點多。 姚委員文智：什麼時候排除是資訊安全的問題？ 陳主任會英：他們告訴我們這純粹是系統故障，沒有我們所擔憂的人為…… 姚委員文智：沒有國土安全的問題？ 陳主任會英：沒有人為的破壞。 姚委員文智：什麼時候知道的？ 陳主任會英：我們跟他們聯繫之後就知道了，也有向上報。 姚委員文智：幾點幾分？ 陳主任會英：我記得是8點半左右。 姚委員文智：其實早上6點就已經發生了。 陳主任會英：但是並沒有跟我們通報。 姚委員文智：你看到的媒體是電視嗎？ 陳主任會英：是。 姚委員文智：請問蕭主任是什麼時候知道的？高鐵什麼時候跟你說排除這方面的問題？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。由於這個部分跟資通安全是比較間接的，所以我們並沒有介入處理。 姚委員文智：資訊通訊的安全其實就是要養兵千日，預防危機的隨時出現，本席現在是想要瞭解，當危機出現時你們是如何處理的，你什麼時候排除掉這個原因？ 蕭主任秀琴：這部分我們是接受機關請求去支援的，在這個案例當中，我們並沒有接到高鐵的請求，所以我剛才才會說…… 姚委員文智：剛才你在答復委員的質詢時提到資通安全辦公室的SOP，以及將許多名詞拿來排列組合，所以是有人告訴你有問題才有你的事情？ 蕭主任秀琴：對，還是要由事發單位來通報，以及說明他能不能處理。 姚委員文智：請問王局長，這件事局裡面有跟你通報嗎？ 主席：請法務部調查局王局長答復。 王局長福林：主席、各位委員。我們只做一般維安情況的反應，這件事基本上並不是我們主政的狀況。 姚委員文智：你是什麼時候知道的？ 王局長福林：我們的狀況都分為事前、事中、事後三個狀況，事前的狀況…… 姚委員文智：你是什麼時候知道的？ 王局長福林：都在事情發生後…… 姚委員文智：什麼時候知道的？你講那麼多幹嘛！ 王局長福林：8點左右。 姚委員文智：林局長，這件事跟你們有關嗎？ 主席：請內政部警政署刑事調查局林局長答復。 林局長德華：主席、各位委員。比較沒有關係。 姚委員文智：比較沒有關係？ 王局長福林：是。 姚委員文智：請各位回座，接下來本席想要請教國安局張副局長幾個問題。方才你在答復許委員忠信的質詢時提到關於高鐵這件事情你才要去瞭解，對不對？之前都沒有任何通報嗎？ 主席：請國安局張副局長答復。 張副局長光遠：主席、各位委員。通報是有的，當高鐵中斷時，我們的公情中心有發布訊息給本局的主管。 姚委員文智：關於這件事，高鐵公司表示是因為出現反應異常、電腦顯示異常，這樣的事情如果是出現在一般的機關，或許會有充裕的時間，但如果是發生在機場、高鐵等影響國家、社會運輸重大命脈的地方，你們是不是在第一時間就必須去啟動及瞭解？畢竟高鐵過去並沒有出現過這樣的事情。 張副局長光遠：確實是，我想…… 姚委員文智：你剛才是說你是在委員質詢後才要去瞭解。 張副局長光遠：不是，委員是要我去確定一下這是不是一個駭客行為，所以我是去瞭解這個部分，至於高鐵的訊號…… 姚委員文智：這部分你們不是應該在第一時間就知道了嗎？ 張副局長光遠：嗯。 姚委員文智：如果不排除的話，整個防衛機制就應該啟動了，你們如果不是在第一時間就將其排除，認為這是屬於高鐵內部的封閉系統，應該自行處理的話，這不就是屬於你們的責任嗎？或是應由國土安全辦公室、資通安全辦公室來處理，不是嗎？我是很懷疑啦！因為你剛才是回答說你才要去瞭解。 張副局長光遠：不是才要去瞭解，那是因為委員一直問我那是不是駭客行為，雖然我跟他講不是，但他還是要我去瞭解。 姚委員文智：你們在報告中提到這麼多駭客行為，有一個數字是每天1萬件，我看是有一點吹牛啦！ 張副局長光遠：那是掃瞄的次數。 姚委員文智：那應該是來瀏覽嘛！ 張副局長光遠：不是，他是想要瞭解你的port是做什麼功能，所以必須做掃瞄。 姚委員文智：就你參與這樣的工作，駭客侵入安全體系中最嚴重的事件是哪一件？還是你報告的幾百萬件其實都只是來掃瞄、逛街的？有沒有什麼重要事件？你剛剛提到幾乎所有的機關都有這種經驗，你可不可以跟大家講一下？這樣我們才知道有哪些狀況，以及如何加緊防範啊！ 張副局長光遠：本局的情報網路是封閉的，不過另外有一個蒐情網路是開放的，雖然這個蒐情網路有…… 姚委員文智：我是說以副局長的高度，整個國家的資通安全，國安局顯然也是負責重要的任務，你們到底碰過什麼樣的案例？ 張副局長光遠：我想最嚴重的應該是健保局的個資外洩。 姚委員文智：所以到目前為止，最嚴重的就是將健保局的個資全部竊取，是不是？ 張副局長光遠：是的。 姚委員文智：所以健保局曾經發生每個人的病歷、看病資料統統外洩？ 張副局長光遠：只是人資而已。 姚委員文智：你確定嗎？ 張副局長光遠：是的。 姚委員文智：那其實也滿嚴重的。 剛剛很多委員提到我們要不要成立網軍進行反駭，你的回答好像是你們有主動進行情蒐，大概是你們的說法不同。 張副局長光遠：是的。 姚委員文智：希望這部分你們能更加積極；不管預算或人員，本席都希望看到一定的成果。 接下來本席要請教國防部廖次長。有關資通安全的問題，和美國合作重不重要？ 主席：請國防部廖次長答復。 廖次長榮鑫：主席、各位委員。當然重要。 姚委員文智：也是一個重要的方向。 廖次長榮鑫：是的。 姚委員文智：那我請問你，你知不知道我們2007年有和美國簽署一個協議？ 廖次長榮鑫：這個我不清楚。 姚委員文智：你不清楚？ 廖次長榮鑫：是的。 姚委員文智：難怪外界質疑簽了協議之後，看不出台美共同執行資通安全工作的重要性。2007年阿扁總統任內和美國簽了一個資通訊論壇，對不對？請問誰可以幫次長回答一下？ 主席：請國防部通信參謀次長室胡次長答復。 胡次長延年：主席、各位委員。我們有參加一個ICT Forum。 姚委員文智：5年來有什麼樣的成果？還是你也像廖次長一樣都不知道？ 胡次長延年：我們每年都有和美方充分交流，針對相關的資訊建置和作為，都有做很深入的討論。 姚委員文智：討論？請次長回去瞭解一下。 其實5年來雙方的合作不斷在倒退，很多事情都流於空談。為什麼馬政府要把台美之間2007年好不容易建立起來的資通安全論壇擱在一邊呢？這項合作其實非常重要，何況剛剛很多委員都提到美國發生的問題。 最後是有關博勝系統的問題，你們在報告中提到，為了增加防禦縱深，要和民間合作，強化電信關鍵基礎設施；剛剛很多委員也提到，我們一方面要排除中國網軍介入，包括他們的廠商，另一方面也要擴大和民間合作。請問次長同意嗎？ 廖次長榮鑫：民間的合作是同意的。 姚委員文智：那我請教你，博勝系統有和多少民間廠商合作？ 胡次長延年：我們整個資訊系統的基本政策除了美方軍規不輸出的以外，國內能做的相關系統建置和作業維持都在國內做。 姚委員文智：坦白說啦！都是特定一家公司，其他很少啦！虧我們還是IT大國，怎麼樣在資訊安全和情報維護的前提之下，擴大民間參與！這也是你們自己寫的嘛！結果呢？你們都是和過去果芸當總經理還是董事長的神通電腦合作，都綁在那裡啦！這樣要怎麼讓大家共同來維護？這點我要特別請國防部檢討。 主席：詢答時間到了。 全部集中在單一廠商確實有很大的風險，請國防部會後將檢討結果以書面方式提供給我們。 接下來登記質詢的林委員佳龍、黃委員偉哲、徐委員耀昌、吳委員育仁、鄭委員天財、呂委員玉玲、楊委員麗環、黃委員昭順、江委員惠貞、王委員惠美、呂委員學樟、盧委員嘉辰、孔委員文吉、林委員正二、楊委員瓊瓔、劉委員櫂豪、蔣委員乃辛、林委員滄敏、羅委員淑蕾、邱委員文彥、簡委員東明、尤委員美女、蘇委員清泉、蔡委員其昌、李委員昆澤、林委員明溱、陳委員明文、段委員宜康、潘委員孟安、陳委員亭妃、張委員慶忠、陳委員其邁、潘委員維剛、吳委員育昇、高委員金素梅及黃委員文玲均不在場。 請邱委員志偉質詢。 邱委員志偉：主席、各位列席官員、各位同仁。請問行政院資安辦蕭主任，你之前的學術專業背景是什麼？ 主席：請行政院資通安全辦公室蕭主任答復。 蕭主任秀琴：主席、各位委員。我學的是農業經濟。 邱委員志偉：農經？ 蕭主任秀琴：是的。 邱委員志偉：那你之前在公部門的服務經驗呢？ 蕭主任秀琴：我92年到行政院服務，原來是在第五組，96年升任副組長…… 邱委員志偉：你上一個工作是什麼？ 蕭主任秀琴：是行政院後來改為經濟能源農業處的副處長。 邱委員志偉：所以無論是你的專業訓練或過去的公職經驗，都和資安沒有直接的關係。 蕭主任秀琴：是有一些關係…… 邱委員志偉：但你不會是這方面的專業吧？ 蕭主任秀琴：是有一些淵源的，我在進入行政院之前…… 邱委員志偉：我繼續請教你，因為我知道你的專業不是資安，過去的工作經歷也不在資安，請問你們的資安會議多久開一次？ 蕭主任秀琴：我們資安會報目前是半年開一次。 邱委員志偉：半年才開一次啊！ 蕭主任秀琴：但是我們還有其他…… 邱委員志偉：半年內電腦病毒和駭客攻擊方式都會有很大程度的變化耶！ 蕭主任秀琴：報告委員，那只是一個政策溝通平台，我們還有其他很多會議。 邱委員志偉：溝通平台很重要啊！你們以行政院的層級，協調各單位進行資安的跨部會協議，所以這個平台很重要啊！半年才開一次會，時間實在拉得太長了。 蕭主任秀琴：我們也會視需要找資訊主管開會，平均一個月找各部會開一次會，和國家資安辦…… 邱委員志偉：由誰來主持？ 蕭主任秀琴：曾經由副院長或科技政委…… 邱委員志偉：協調會報的召集人是誰？是政務委員嘛！ 蕭主任秀琴：資訊會報的召集人是科技政委。 邱委員志偉：是哪一位科技政委？ 蕭主任秀琴：目前是張善政張政委。 邱委員志偉：張政委是不是可以比照羅瑩雪政委的模式，到立法院備詢？羅瑩雪政委兼蒙藏委員會委員長，必須到立法院備詢，資通安全會報也是非常重要的跨部會協調機制，為什麼張善政可以不來立法院備詢？ 蕭主任秀琴：這一次並沒有邀請他來，而且資安會報目前已經有一個專責的幕僚單位了，所以今天由我來這裡向委員報告。 邱委員志偉：這個組織架構很清楚，召集人就是政務委員，所以應該是由張政委代表整個資通安全會報。 蕭主任秀琴：他是做決策，如果是日常運作…… 邱委員志偉：我們就是要討論他的決策，而不是要討論你的幕僚作業，幕僚作業只要給我們書面資料就好了。我們就是要問他相關決策和決策模式，以及他對未來的評估啊！所以張善政政委應該列席本委員會報告嘛！ 請問你們的副召集人是誰？ 蕭主任秀琴：是國安會的袁諮委。 邱委員志偉：對啊！他們都可以迴避立法院的監督，由你這個幕僚單位的主管來應付立法院的質詢。這個體制好像有問題喔！你本身不是這方面的專業，擔任過的政府公職也不是這方面的專業…… 蕭主任秀琴：委員應該聽我講完…… 邱委員志偉：我要問的人必須有決策能力。 蕭主任秀琴：我在資訊單位工作過三年半，有很長時間在推動業務電腦化，行政院第五組曾經是行政院的資訊單位，在沒有資訊室以前是我們在兼辦資訊業務，資安辦的成立也是我經手處理，所以委員不能說我完全沒有背景…… 邱委員志偉：這是生死存亡的問題。我並沒有質疑你的能力，我覺得在整個行政院體系應該有比你更適合的人選，立法院監督的體制，召集人、副召集人應該列席。從網路攻擊或駭客的行為看，過去只是阻斷服務，所以不會造成民生、經濟的不方便，現在是直接癱瘓式的攻擊、是國家存亡的問題。國家存亡問題我們當然要非常重視，這不是開玩笑的，也不是半年開會一次你就應付一下，應該定期每個月召開，特別是中華人民共和國解放軍對臺灣的網路攻擊是無孔不入的。 蕭主任秀琴：整個關鍵、基礎設施的防護，不是只靠資安這一塊，我們還有別的機制，資安方面在行政院、總統府有很多機制是交錯運作的，不是半年才開一次會的。 邱委員志偉：人事編制目前是多少人？ 蕭主任秀琴：資安辦目前設置1位兼任主任、2位兼任副主任、5位借調同仁、3位約聘同仁。 邱委員志偉：都是借調與約聘同仁，沒有自己的人員，這種陣容與規模，你如何去統合跨部會的協調事項？年度預算是多少？ 蕭主任秀琴：今年度是四百多萬元。 邱委員志偉：四百多萬元如何去抵擋中國解放軍強大而且綿密的恐怖駭客？ 蕭主任秀琴：我們比較是政策的規劃推動，所以我編的經費比較是會報、各層級會議或推廣教育講習等等。 邱委員志偉：你算是協調會報最主要的負責人，所以你今天列席，如果你不是負責人，不需要列席啊！列席代表你的重要性。61398部隊你有一定的瞭解與掌握嗎？ 蕭主任秀琴：聽過、知道。 邱委員志偉：目前編制多少人？ 蕭主任秀琴：我想這個部分可能…… 邱委員志偉：61398部隊在哪裡？ 蕭主任秀琴：在廣州。 邱委員志偉：我的天啊！如何把這麼重大的資安會報交給你。我隨便問61398，這是中國網路供給的中樞，對臺生存威脅重大的單位，你還說廣州，是在上海。 接著請教國防部次長，資通安全非常重要，國防部針對中華人民共和國解放軍的攻擊，第一線的作戰防役就是國軍，目前國軍網路作戰有沒有戰略優勢？以我軍的能力，具不具有資訊戰或網路作戰的戰略優勢？ 主席：請國防部廖次長答復。 廖次長榮鑫：主席、各位委員。目前在整個國軍裡面，負責資訊安全的大概有三千多人，主要是防護的部分，有資訊戰部隊來做相關的防護。 邱委員志偉：這是禦敵？ 廖次長榮鑫：是。 邱委員志偉：有沒有攻擊性的？除了攻擊之外，還要反制，相對中華人民共和國解放軍編列那麼多人力，甚至跟企業、學校合作得遍地開花，所以民營企業裡面還有一部分要服從解放軍的指揮，去做網軍的工作；學校也是…… 廖次長榮鑫：我們現在顯然以防護為主，希望能逐次建置你講的攻擊…… 邱委員志偉：目前還沒有攻擊性的思維，就是網路作戰…… 廖次長榮鑫：那個思維是有的。 邱委員志偉：思維要反應在預算與政策啊！ 廖次長榮鑫：在我們的政策與部隊建置上，其實是有的，早上部長也講，我們原來是3個中隊，希望能夠在人力上再增加。 邱委員志偉：目前美國對中國的網路攻擊也非常重視，他們也採取跨部會的作法，甚至在外交上與其他國家合作，我們應該跟美國與日本做合作。美國有提一個計畫，就是經貿機密遭竊行政策略，這個辦法你們瞭解嗎？你們不瞭解，那麼重要的文件，就是美國針對中華人民共和國解放軍的駭客攻擊，進行各部會的協調，並協調其他重要國家，所寫出來一個經貿機密遭竊的行政策略。這個報告我都有看過，次長應該有一定的瞭解，這部分要請誰來回答？ 廖次長榮鑫：你講的經貿，我們現在主要是國防…… 邱委員志偉：最主要是它竊取經貿的資料，這經貿資料是中華人民共和國對美國最主要的商業機密…… 廖次長榮鑫：這部分在分工上我們是國防…… 邱委員志偉：我們可以學習美國的作法？ 廖次長榮鑫：當然。 邱委員志偉：這部分國防部有沒有掌握？ 廖次長榮鑫：你講的這個報告我沒有看到。 邱委員志偉：這個報告非常重要，我建議國防部應該去瞭解，看美國怎麼做、怎麼去抵擋或對抗中國網軍的攻擊，學習完之後建構出我們自己的模式。美國的經驗我們可以學習？ 廖次長榮鑫：當然。 邱委員志偉：好，謝謝！ 主席：請林委員世嘉質詢。（不在場）林委員不在場。 登記質詢的委員均已質詢完畢，潘委員維剛、林委員佳龍、陳委員碧涵及邱委員議瑩提出書面質詢，列入紀錄，刊登公報，請相關機關以書面答復。 潘委員維剛書面質詢： 關於網路資安的議題，日前受到世界矚目的議題就是南韓受到網路駭客的網路攻擊，結果造成南韓境內的電子商務交易癱瘓了一整天，對於南韓經濟造成了傷害，顯示網路的資訊安全也與現在國家社會息息相關，因此網路資訊是否安全也直接影響到國家社會的發展，而我國的網路安全部分，據國安局統計指出高達334萬次，等於每天有將近一萬次的攻擊，如果我國相關單位沒有做好相關防護就可能造成嚴重的資料外洩問題。 除了網路資料受到攻擊而外洩外，近來也常常有人收集我國相關機關的資源回收，再對於這些回收內容進行分類，進而從分類的結果分析相關個人資料的存在，其分析的結果就可以對於我國的人均素質資料進行核對，進而可以挖角我國的優秀人才，這是除了網路資訊安全之外，相關單位也必須要注意相關議題。並且日前台灣高鐵出現訊號異常的情況，雖然沒有證實錯誤來源，但是也讓人聯想到目前我國鐵公路都已經以網路連線等進行控制，因此如果相關設施的網路資安沒有設防，將會造成相當大的損害。 本席認為目前網路的世界已經占據了我們生活的全部，但是網路世界猶如大海一樣，深不可測，因此網路世界的防範相當不容易，我國目前負責資訊安全的單位有行政院資通辦公室，國安局等單位，對於資訊安全的維護也沒有發生甚麼意外，期盼各單位應該要與網路科技與時俱進，以保護我國網路資訊安全。 林委員佳龍書面質詢： 本院委員林佳龍，有鑑於中國網路攻擊對象已由過去多集中在軍政重要單位，轉移擴大至電信業者與交通號誌儀控等民用商業設施。此外，攻擊強度與頻率也不斷提升，對我國家安全與經濟利益造成嚴重威脅。然而，迄今仍未見政府有效結合官方與民間資源，透過加強橫向聯繫，提升我國整體資安水準。尤有甚者，即便在政府內部，通過資安驗證（ISMS,Information Security Management System）的單位也僅有行政院本部與農委會。在在顯示政府對於資訊安全的重視程度與資源投入依然相當不足。針對上述問題之檢討與未來改進作為，在此特向行政院提出質詢。 說明： 一、以日前高鐵因訊號異常，導致有長達數小時被迫處於全線停駛狀態為例，若高鐵在戰時成為解放軍網路滲透攻擊之對象，恐將影響我國兵力跨區增援之計畫。換言之，針對類似情境想定，應及早交由國安單位評估研究，預做因應。 二、在2008年漢光演習中，位在中部的機械化步兵200旅便曾搭乘高鐵進行兵力北上運輸，利用其高速優勢，趕在大兵團抵達前先行建立野戰營地，成為該旅6條跨區增援之路線之一。 三、根據美國電腦安全公司Mandiant Corp.於四月底向華爾街日報透露，除先前曾被該公司揭露的解放軍61398網路部隊以外，至今仍有至少多達20個組織持續進行網路滲透，且攻擊次數絲毫沒有減少。 陳委員碧涵書面質詢： 「我國如何因應網軍與駭客攻擊，並強化資訊安全措施？」 近期國際網路與資安問題不斷，網路駭客的危害從以前一些無傷大雅的幽默玩笑，到現在入侵企業資訊、國家情報。尤其是最近國際情勢不穩，各國受到網軍攻擊入侵事件更加嚴重，甚至可能演變成為全面性的戰爭。 1.美國：美聯社推特帳號遭駭，發佈「白宮爆炸，美國總統歐巴馬受重傷」的假訊息，導致美國股價瞬間下滑150點，引發聯邦調查局和美國證券管理委員會介入調查。事後敘利亞駭客宣稱犯案。 2.南韓：遭到內部駭客攻擊，南韓數家電視台和銀行在三月初遭到駭客攻擊網路癱瘓，3家電視台緊急關閉電腦網路，緊急啟動備用系統。樂金（LG）集團因電腦主機有「不正常的網路活動」，因此緊急停止網路服務。新漢銀行（Shinhan Bank）也出現網路銀行與自動提款機失靈，連銀行內的臨櫃作業也因為網路中斷而停擺。南韓金融體系大亂，並引起民眾的恐慌。 3.日本：在中日因釣魚台主權問題發生衝突後，日本受到駭客攻擊次數攀升，駭客攻擊事件不斷，04月19日日本兩大入口網站Goo、Yahoo Japan在同一天遭受駭客攻擊，Goo高達10萬名用戶的帳號資料外洩。 4.臺灣：我國資安官員也表示，臺灣遭到駭客攻擊的次數居「世界之冠」。許多活躍的大陸網軍，長年滲透臺灣的國防、外交、民生（油、水、電）、航管、通信等關鍵系統，入侵規模及深度已構成「準戰爭程度」。 以上種種跡象顯示，現代戰爭已不再是武力軍備的互相抗衡，戰爭主要目的演變成破壞敵方的作戰指揮中樞，阻斷敵方聯合作戰的能力，再予以各個擊破，以及癱瘓民生相關機構，造成民心士氣的浮動以及恐慌，以求先發制人，以最小的損失換得勝利（非傳統戰爭）。網路駭客所擁有的資電作戰能力，就是這種無聲戰場的關鍵力量。 一、為因應現代戰爭的需求，在資訊工程人才方面的培養便顯得相當重要，在資安上除了防範駭客的惡意攻擊外，也必須懂得如何反制敵人，但目前技職體系以及大專院校普遍存在「學用落差」的問題，造成學校教學內容與社會需求脫軌。請問國防部，國軍負責資安工作的官兵，有多少比例是國防大學所培養出來的人才？國防大學資訊工程以及資訊管理系所，是否有針對現代戰爭的需求去規劃課程？目前在這兩個學系中，有關資安的相關課程佔所有課程的比重為何？師資當中有多少比例，是資訊安全與資訊戰爭的專長領域？這些國防大學畢業的學生，在分發到軍中各個單位之前，是否已經具備了資安相關的專業能力或證照？面對資訊與網路系統在國防安全上的重要性與日俱增，國防部對於相關人才的培育有何整體的中長程計劃？對於所有現職官士兵的在職教育，有關資安維繫的部分，目前的做法為何？國防部是否有推動「資訊安全月」或是「資訊安全週」的做法，密集宣教資訊安全的重要性？ 二、除學用落差的可能性以外，軍中資安專業人員是否有人才外流的問題？這類可維護企業資訊與網路安全的專業人才，在民間企業的薪資待遇相當優渥，國外企業願意每年花費9.2萬元美金的薪資來聘請這樣的專業人士，而在國內擁有CEH（道德駭客認證）、ECSS（駭客基礎認證）的電子商務技術主管起薪一個月6萬以上，一般系統維護／操作人員5萬以上，平均薪資成長率每年約12%。反觀國軍對於資安相關專業人員提供的薪資，除了津貼較一般軍官的高以外，沒有其他誘因使資安專業人才有意願繼續留營服務，為我國國防與資訊安全努力，這實在是很可惜事情，國家花錢培養這樣的專業人才，是為了保障國家的國防安全，這些相關技術人員的流失，也是國防安全的損失，希望國防部可以重視並防止這樣的事情發生。請問，對於類似資訊安全與防護這類專業人才的爭取與防止人才流失，國防部的具體作法為何？ 三、許多駭客在網路上犯案，以得到網路上所謂的駭客成績單，進而引起國際企業的關注，並將其挖角至企業中為資訊與網路安全建構更強大的防護，例如：蘋果、FACEBOOK等資訊相關企業，都有聘請相關民間的駭客成為該企業的白客（網路安全守護者，也被稱為道德駭客），而我國天才駭客卻在無知犯案後卻沒有被好好引導成為社會一股正向的力量，反而遭到有心人士的利用，入侵企業進而竊取客戶個資，再轉賣出去，牟取利益。例如：臺灣知名駭客蘇柏榕，在2003年時入侵中華民國總統府網站，並在網頁上更改張貼公告「四月一日、全國放假一天」的訊息，當時造成轟動，但最後在2007年，入侵中華電信網站，竊取兩百七十四萬筆客戶郵件帳號及密碼、入侵批踢踢竊取四十多萬筆會員資料、入侵包括無名小站、雅虎、Google等網站，竊取個人資料。天才型的駭客並非可以用教育的方式培養出來，而沒有將這樣的人才引導，成為社會正向力量，對國家來說也是一大損失。 許多電腦專才與所謂的駭客，並非為資訊工程及管理科班出身，而是透過自習或是興趣成為專業人才，對於這類民間的專業人士與力量，國防部是否有爭取進入體制內，貢獻心力的計畫與做法？ 四、在大陸有所謂的愛國駭客存在，也就是所謂的紅客，在美國著名期刊《外交政策》在網站上發表Mara Hvistendahl的評論文章〈中國的駭客大軍〉（China's Hacker Army）。深入剖析中國駭客的「文化」和其運作方式，點出中共與不受雇於人的自由駭客之間的曖昧關係，以及中共如何操控這種所謂的「愛國駭客」對外發動攻擊，以坐收漁翁之利。 姑且不論大陸紅客行為的對錯與優劣，他們行動的根據卻是基於愛國的情操，而反觀臺灣這次的漢光演習，大部分民眾的反應，都是「事不關己」，不然就是「看好戲」，我們全民國防的精神戰力和愛國情操究竟到哪裡去了呢？隨著經濟、觀光的開放，兩岸交流日益頻繁，臺灣人民的敵我意識早已灰飛煙滅，民眾現在想的是生計問題，是如何去賺大陸的錢，國家安全與愛國情操早已被擺在後面。請問部長，對於這樣的問題您有甚麼看法？您該如何加強全民國防教育以及培養全民無形精神戰力？在募兵全面實施之後，民眾與國防的連結性就變得更低，現在大部分的男性國民至少還有服過1年的兵役，瞭解國防是在做些甚麼，但未來說不定連怎麼保衛國家都不清楚，全民國防的意識勢必下降，國防部有甚麼因應的措施嗎？ 五、行政院資通安全辦公室在書面報告中提到：規劃辦理網路攻防演習：籌辦國內大規模網路攻防演習，由各級政府機關擔任「防守方」，國家安全局、國防部、企業組織及學校機關擔任「攻擊方」，並邀請其他國家共同參與以交流經驗。關於此項網路攻防演習之辦理情形為何？另外企業組織以及學校單位是否具有能力擔任網路攻防演習的「攻擊方」？未來是否有計畫借重國際資通安全與防護相關機構，共同參與此項網路攻擊與防禦演習？ 邱委員議瑩書面質詢： 本院邱議瑩委員針對「我國如何因應網軍與駭客攻擊並強化資訊安全措施」，特向國安局、行政院資通安全辦公室提出質詢： 國安局部分： 一、許多資安專家都指出，由於駭客攻擊多數來自中國，因此台灣可以說是遭受駭客攻擊活動最頻繁的國家。國安局的報告中也不諱言，單是國安局的對外網站，去年一整年就遭受到334萬多次的侵擾，其中，具有惡意行為的攻擊有7萬多次。請問國安局對於台灣整體遭受駭客攻擊的情況是否有掌握？去年一整年，出現的駭客攻擊活動有多少？對於政府部門的攻擊活動有多少？有多少件被駭客突破的案例？以政府部門來說，哪些單位遭受駭客攻擊的頻率最高？攻擊的來源為何？來自中國的比率有多少？去年傳出法務部資訊處有過半人員的電腦，遭中國網軍入侵卻渾然不知，事後是否有查出攻擊的來源？ 二、國安局在報告中特別提及，中國駭客已轉變思維，攻擊我較疏於防護的交通號誌儀控設備等。請問國安局，是否暗指上周高鐵因訊號異常停駛的事件，與駭客攻擊有關？今年3月，南韓的多家金融機構及電視台遭到駭客攻擊，導致銀行服務和節目製作癱瘓。請問國安局，這種攻擊若發生在台灣，以金融及媒體企業目前的資安防護能力，是否足以防禦？上周，美聯社的推特（twitter）帳號遭駭客入侵，散布「白宮遭受攻擊、歐巴馬受傷」的新聞，讓美股在3分鐘內，瞬間重挫1%，市值縮水1,300多億美元，股匯市一片混亂。請問國安局，政府要如何防範類似的事件在台灣發生？ 三、今年二月，美國的資訊安全公司曼迪安特（Mandiant）發表報告，揭發中國解放軍設在上海的秘密單位「61398部隊」，並公布證據指出「61398部隊」就是近年入侵美國政府機關和企業網路的黑手。請問國安局，對於「61398部隊」的規模和能力是否瞭解？是否具備攻擊癱瘓我國關鍵基礎設施的能力？對於該部隊所進行的活動是否有掌握？在台灣發現的駭客攻擊事件中，有沒有蒐集到與「61398部隊」有關的事證？ 資通安全辦公室部分： 一、依國安局的報告，美國今年投入了47億美元（約臺幣1,391億）的預算，將網路攻擊部隊人力，由500名提昇至4,500名，以強化網路攻防；日本則編列100億日圓（約臺幣30億）成立「網際空間防衛隊」。請問資通安全辦公室，我國政府機關每年約投入多少經費來執行資訊安全的工作？面對中國編制10萬多人的網軍，相關的經費及人力是否足以因應？是否考慮整合政府及民間的資安科技與能力，組成網路攻防的專業部隊？台灣遭受駭客攻擊活動的頻率在世界上是數一數二，政府機關應以身作則，積極提升防禦能力。但資通安全辦公室的報告表示，目前政府各單位中，通過全機關ISMS資安驗證的單位，只有行政院院本部以及農委會。請問資訊安全辦公室，絕大多數的單位未能通過ISMS資安驗證的原因為何？如何改善？ 二、國安局的報告中指出，中國對我發動網路攻擊的對象，已由政府機關轉向民間智庫、電信業者等，而蔡得勝局長也指出，中國過去對台的網路攻擊是以竊取資料為主，現在已進一步轉向基礎建設的破壞。請問資通安全辦公室，針對重要基礎設施的資安防護機制是什麼？對於交通、電信、金融、電力等業者或事業單位，是否有進行過資安檢視？這些業者或事業單位的資安防護能力如何？若發生網路攻擊事件時，是否有及時的通報及協防機制？是否有制定資訊安全的標準規範，要求各業者或事業單位落實？ 主席：本日口頭質詢未及答復或請補充資料者，請於2星期內答復；委員另有要求期限者，從其所定。 本次會議到此為止，現在散會。 散會（13時6分）