資通安全管理法之簡介與因應

為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全 ... >研究成果>科技法制要聞 返回列表 上一篇 德國「新車輛及系統技術」補助計畫第二期 下一篇 世界五大專利局針對新興科技與AI技術組成聯合工作組以提高專利審查效率 資通安全管理法之簡介與因應 刊登期別 　 隸屬計畫成果 　 摘要項目 資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 　　隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。

為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。

觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。

然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。

貳、重點說明 一、規範對象 　　資安法所規範之對象，主要可分為公務機關及特定非公務機關。

公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。

故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。

惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。

　　特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。

關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。

須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。

目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。

　　此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。

故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。

公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。

目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。

二、責任內容 　　資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 　　就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。

　　此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。

（二）事中維運 　　事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。

各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。

（三）事後改善 　　在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。

三、情資分享 　　為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。

情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。

　　我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（NationalInformationSharingandAnalysisCenter,N-ISAC）。

透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。

四、罰則 　　為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。

公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。

就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。

惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。

參、事件評析 　　公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。

考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 　　資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。

二、通報應變措施 　　資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。

三、委外管理監督 　　資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。

兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。

四、資料盤點及文件保存 　　資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。

故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。

  [1]參水利法第12條。

[2]參中央行政機關組織基準法第37條。

[3]軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。

另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。

[4]羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome,2019/02/15，https://www.ithome.com.tw/news/128789（最後瀏覽日：2019/5/13）。

[5]公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。

[6]資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。

[7]公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。

[8]〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。

相關連結 臺灣資通安全管理法上路一個月，行政院資安處公布實施現況 國家資安資訊分享與分析中心(N-ISAC) ※資通安全管理法之簡介與因應，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8259（最後瀏覽日：2022/03/21） 引註此篇文章 施弘文專案經理 編譯整理 上稿時間：2019年06月 資料來源： 延伸閱讀： 延伸閱讀： 文章標籤 影音專題 科法觀點 用手機閱讀及分享 推薦文章 你可能還會想看 歐洲推動人體生物資料庫再利用沙盒 　　非營利組織EITHealth於2020年2月展開公共人體生物資料庫（Publicbiobank）再利用之「數位沙盒」（DigitalSandbox）計畫的第二次公開徵求。

參與的中小企業於提案後，可於2020年7月底前獲得通過與否的通知，並最快於2020年9月開始參與計畫。

　　EITHealth成立於2015年，是歐洲創新技術研究所（EuropeanInstituteofInnovationandTechnology）下的「知識與創新社群」（knowledgeandinnovationcommunity）之一，主要資金來自歐盟「展望2020」（Horizon2020）。

有鑑於數位革命創造了大量極具研究價值的醫學生物資料，EITHealth於2019下半年提出公共人體生物資料庫再利用之「數位沙盒」計畫構想，該計劃主要目的在支持中小企業利用該生物資料實施創新服務或開發產品。

　　而依據歐盟一般資料保護規則（GeneralDataProtectionRegulation,GDPR）第89條規定，如果生物資料庫之利用係基於科學研究或公共利益之必要，可以在符合「適當的技術和組織措施」（TechnicalAndOrganisationalMeasures）之前提下得到豁免（exemptions）。

依此條文，EITHealth之「數位沙盒」計畫參與者得不遵守GDPR第15條（資料主體之接近使用權）、第16條（更正權）、第18條（限制處理權）、第19條（關於更正或刪除個人資料或限制處理之通知義務）、第20條（資料可攜性權利）以及第21條（拒絕權）之規定。

透過此計畫，有望幫助中小企業獲得公共人體生物資料庫、研究參與者（Sampleholder）和登記冊的近用權限。

此外，計畫亦提供最高35,000歐元的資金，以幫助中小型企業在開發創新產品時利用資料。

照相手機成為助長青少年犯罪之工具？ 　　青少年間的打架尋仇事件會因為照相手機的誕生而變本加厲嗎？ 　　發源於英國流行於青少年之間的一種犯罪活動「happyslapping」(藉由公開掌摑不認識之被害人，並由加害人之一以手機全程拍攝，並將照片以手機傳送或上網流傳之犯罪行為)，目前已逐漸蔓延於整個歐洲，且犯行甚至包括重傷害或是性侵案件，引起各國當局高度重視。

在法國甚至發生一起學生攻擊教師並以手機拍照的案件，使得警方對於此種原本被單純視為是青少年間挑釁尋仇行為，已重新定義為「預謀暴力犯罪」；法國教育部長更公開表示希望能夠禁止學生在教室內使用手機。

　　至於歐洲其他國家也針對此種暴力犯罪行為採取進一步行動。

德國巴伐利亞省及愛爾蘭許多學校已明令禁止學生在教室內使用手機；今年四月初，丹麥法院則針對兩名青少年學生傷害路人之行為做出有罪判決；而在荷蘭也傳出類似案例。

在英國甚至有受辱的學生，因無法承受外界異樣眼光而上吊自殺的個案。

　　照相手機因為其強大傳輸、上網及存證功能，成為激發青少年逞血氣之勇並滿足個人英雄慾望之工具，這樣的發展途徑恐怕是照相手機原創者始料所未及。

台灣目前似乎尚未受到此股歪風影響，但是，如何灌輸青少年正確享受科技進步的便利，似乎是相關當局應該關注的議題。

比利時法院對網路搜尋引擎巨擘被控侵害著作權乙案，判決Google敗訴 　　比利時法院針對報業出版組織Copiepresse控告網路搜尋引擎巨擘Google侵害著作權一案，於二月十三日做出一審判決。

該法院認為Google未取得授權，在GoogleNews新聞搜尋之服務中片斷重製原告之報導內容，並以重製的方式將受到保護之著作傳播給公眾，該行為已侵害到Copiepresse之著作權。

法院除了下令Google刪除搜尋引擎中所出現的新聞報導片斷，並按該網站刊登的時間為基準，計算一天兩萬五千歐元的賠償金，Google應給付總金額高達三百四十五萬歐元的賠償金於Copiepresse。

　　Google的主要答辯指出，其係為協助使用者在該網站上尋找資訊的搜尋引擎，而非擁有自己資訊的入口網站。

GoogleNews也只針對使用者所輸入之搜尋關鍵字所做出之新聞頭條匯集及文章聯結，該行為應受到著作權法中「合理使用」(FairUse)之保護。

而對搜尋結果之頭條、內容片斷及縮小圖片顯示，Google則抗辯此一作法已替Copiepresse網站吸引來更多想要閱讀全文之讀者，並為其締造更高的網路流量。

　　Copiepresse則主張，Google因在其網站刊登片斷重製之報導內容而受有廣告收益，就法律面而言已是侵害行為所得之利益。

該組織的報導內容出現在Google的快取頁面，已使得該片斷的報導內容得自Google的網站中免費取得。

通常許多報業僅將其報導文章的資料庫提供給付費會員瀏覽。

　　對此判決結果，Google已決定上訴。

　　全球媒體業者都對此判決密切注意。

Google去年八月已和美聯社達成和解。

而法國法新社去年三月控告Google的快取網頁侵害著作權乙案，目前仍在法院審理中。

而其它入口網站公司YAHOO!、AOL、Microsoft等已付費於法新社取得授權刊登其新聞文章內容。

新時代的管理利器－系統化的企業員工管理制度 最多人閱讀 二次創作影片是否侵害著作權-以谷阿莫二次創作影片為例 美國聯邦法院有關DefendTradeSecretsAct的晚近見解與趨勢 產學合作的推動-以株式會社東京大學TLO為例- 何謂專利權的「權利耗盡」原則? 美國涉密聯邦政府員工之機密資訊維護-保密協議（Non-disclosureAgreement,NDA）之使用 淺談區塊鏈之著作權保護機制 何謂「監理沙盒」？ 從中國大陸第四次專利修訂草案初評我國廠商專利布局建議 TOP 會員登入 "會員專區"及"科技法律諮詢服務"的會員資料並不能共用 登　　入 加入會員│忘記密碼