中國人大常委會於11月7日通過了備受爭議的網路安全法(以下簡稱本法),將於2017年6月1日開始施行。本法分為7章,共計79條。
本法立法目的係為了保障網路安全,維護網路空間主權和國家安全、社會公共利益,保護公民、法人和其他組織的合法權益,促進經濟社會資訊化健康發展(第1條)。本條賦予了管理部門極大的管理權能,引發了「中國將建立國家互聯網」的聯想。本法適用範圍包括在中華人民共和國境內建設、運營、維護和使用網路,以及網路安全的監督管理(第2條)。本法相關重點,摘要如次:
一、本法第21條將「網路實名制」明文化。規定網路營運者在為用戶辦理上網、電話等入網手續,或為用戶提供信息發布、即時通訊等服務,在與用戶簽訂契約時,應當要求用戶提供真實身份資訊。若用戶不提供真實身份資訊,網路營運者不得為其提供相關服務。
二、本法強化對個人資料之規範,例如:規定個人資料不得出售(第44條)。
三、嚴厲禁止任何網路詐騙行為(第46、67條)。
四、重大突發社會安全事件可在特定區域採取「網路通信限制」等臨時措施(第58條)。
五、境外的機構、組織、個人從事攻擊、侵入、干擾、破壞等危害中國的關鍵資訊基礎設施的活動,造成嚴重後果者,將依法追究法律責任;國務院公安部門和有關部門並可以決定對該機構、組織、個人採取凍結財產或者其他必要的制裁措施。(第75條)
垂直場域應用之5G頻譜政策趨勢 資訊工業策進會科技法律研究所 2019年07月25日 壹、事件摘要 在科技的進展下,各國為提升民眾與企業之連網品質,皆刻正積極的推動5G網路相關應用,國際標準化機構第三代合作夥伴計畫(3rd Generation Partnership Project, 3GPP)更提出了三個5G應用場景,分別是更大頻寬(Enhanced Mobile Broadband, eMBB)、海量連結(Massive Machine Type Communications, mMTC),以及超低時延(Ultra-reliable and Low Latency Communications, URLLC)[1]。而相對於4G時代如雨後春筍般冒出的影音串流平台,係以「人」為主要消費客群,5G時代則擴大至「萬物」[2],其中,製造業因可能透過無線技術來重新配置產品線或研發新興產品,而在5G世代產生巨大變化[3]。也由於製造業廠區對無線接取設施之渴求,製造業者開始思索自行控制網路基礎設施之必要性,垂直場域應用之概念應運而生。 垂直場域應用又被稱為企業專網(private network),係指為了特定用途,企業或組織自行付費建置限定區域內之行動網路基礎設施,且該網路僅特定用戶得以使用。企業之所以願投入龐大成本自行建置網路基礎設施,是因垂直場域應用所具備的網路涵蓋密集、網路延遲低、網路容量大、網路安全高,以及得以自主控管網路之5大特性[4]。此外,企業還可完全掌握何人可接取至其專網,哪些行動應優先考量,以及如何完善利用網路資源等[5]。然無線網路的接取也意味著頻譜的使用,但頻譜是有限稀有的資源,為提高頻譜之使用效率與社會價值,如何妥善配置頻段,促進國內製造業之發展,已是政府不容忽視之議題。 貳、重點說明 為了鼓勵企業自行建置網路,部分國家透過保留特定頻段之頻譜政策規劃,再由有需求之業者申請取得,以鼓勵垂直場域應用之發展,並保障區域性業者、中小企業與新創企業取得頻譜之權利,以防止頻譜僅被全國性電信營運商取得。然而,這樣的政策面臨兩方面的重大挑戰,第一,電信業者擔憂企業自建網路可能會壓縮其取得頻譜的數量,是以對政府保留專網頻段表示反對;再來,大部分的企業缺乏自行營運電信網路之經驗[6]。僅管如此,在頻譜政策的規劃上,大致上仍可區分為兩種政策模式,即規劃保留單一完整頻段,或與其他既有服務共用頻譜,本文以下即分別以保留完整頻段的德國,以及與既有服務共享頻段的日本為例,說明其政策概要,並進一步探討我國是否亦有規劃垂直場域頻段之必要性,相關困難又應如何克服。 一、保留專用頻段(德國) 德國作為工業4.0(Industry 4.0)之發起國,為進一步推動智慧工廠與智慧製造,聯邦網路局(Bundesnetzagentur, BNetzA)在規劃5G頻譜時,除了透過競標釋出5G最關鍵的中頻段3.4-3.7 GHz供全國性電信服務使用,特別保留3.7-3.8 GHz頻段共100 MHz頻寬供企業專網使用。且由於數以萬計的中小企業是構成德國經濟的重要支柱,惟中小企業難以擁有龐大資本與電信業者共同競標頻譜,是以,為降低該等企業取得頻率之成本,並提升中小型企業與新創企業對頻譜之需求,BNetzA方保留特定頻段,並採申請制之方式配置[7]。 BNetzA在決議釋出3.7-3.8 GHz頻段供垂直場域應用使用前,於2018年8月15日至9月28日發布公眾諮詢文件,並在收到69份意見回覆,其中包含全球行動供應商協會(Global Mobile Suppliers Association, GSA)、大型製造業者BOSCH與空中巴士對保留特定頻段之正面支持後,在2019年1月31日針對徵詢意見發布框架草案,並預計在5G頻譜拍賣結束後開始接受申請。 BNetzA將3.7-3.8 GHz頻段分為三種用途,使業者可根據自身需求提出申請,分別是當地室內應用無線網路(3.7-3.8 GHz)、當地室外應用無線網路(3.78-3.8 GHz),與區域性應用無線網路(3.7-3.78 GHz)。此外更對申請人附加二項限制,第一,須為該地區或建物之不動產所有權人或承租人;第二,不得為700-3600 MHz頻段之全國頻譜使用權者,換言之,BNetzA排除了既有電信業者申請取得該頻段之權利,以保障中小型企業與新創業者自行建置垂直場域應用之空間。但對於3.7-3.8 GHz範圍內的未使用頻譜,BNetzA允許電信業者為擴充網路容量,暫時性的使用該頻段,亦即在特定情況下,容許電信業者與中小企業共享頻譜,以促進頻率的有效利用。 二、與既有服務共享頻段(日本) 日本總務省(Ministry of Affairs and Communications, MIC)在規劃5G頻譜時,為鼓勵垂直場域應用之建置,考量保留企業專網頻段,並在2018年12月組成「Local 5G檢討作業班」(ローカル5G検討作業班),定期舉行會議共同討論如何推動企業或地方政府自行建置專網[8]。與德國相同,日本亦是透過申請制配置專網頻段,並僅限建物或土地所有權人自行利用或委託他人利用,全國性營運商不得使用垂直場域應用之規劃頻段,以保障中小型企業與地方政府取得完整頻段之權利[9]。 Local 5G檢討作業班研議之項目主要有三,第一,垂直場域應用的名額分配,並明確申請者的使用目的;第二,垂直場域應用技術條件的訂定,同時檢討頻率共享的可能性;第三,參考寬頻無線接取(Broadband Wireless Access, BWA)之導入經驗,規劃區域型與自用型,避免頻率互相干擾[10]。 頻譜方面,MIC研擬在中頻段4.6-4.8 GHz與毫米波28.2-29.1 GHz頻段保留總共1100 MHz頻寬,供當地業者與地方政府使用。相對於德國是保留一段乾淨的頻譜供垂直場域應用使用,日本則是規劃使垂直場域應用與既有服務共享頻段,4.6-4.8 GHz頻段需與政府專用電信共用,28.2-29.1 GHz頻段則與衛星業務共用,以極大化頻譜的利用效率。惟為避免干擾,MIC並正針對28.2-28.3 GHz頻段進行干擾測試,最快會在2019年8月作出是否釋出之決議,若未能通過干擾測試,該100 MHz頻寬將會作為護衛頻段(guard band),避免兩個相鄰的服務互相干擾。4.6-4.8 GHz與28.3-29.1 GHz頻段則會在與既有服務進行和諧共用測試後,至2020年5月過後方會釋出。 參、事件評析 一、我國垂直場域應用之頻段規劃必要性 有鑑於5G網路所需頻段較4G為高,通訊距離與訊號穿透性皆會受到影響,再加上為了確保傳輸速率並降低時延,需大量建置基地台,網路佈署成本將大幅度增加[11]。因此,5G網路布建初期將著重在六都等主要都會區,並逐步對外擴散。大多數製造業基於廠區地理範圍以及投入成本等問題,更將服務據點設在商用效益不佳、5G網路建置進度延後之地區。基此,政府若未為企業專網規劃特定頻段,可能導致企業使用免授權頻段而發生干擾之情形,更可能會抑制我國相關供應鏈掌握新市場商機之可能性。 針對頻段之保留,基於中頻段(3.5 GHz)為5G的關鍵頻段,毫米波(mmWave)則是推動5G網路達到峰值速度不可或缺的要素,是以我國似可參考德國與日本垂直場域應用之相關政策,由政府規劃在中頻段或高頻段保留部分頻寬,或是與現有服務進行頻譜共用,期在專網產業的興起下帶動整體網路設備業者的發展。 按電信業者因擔憂垂直場域業者可能會在取得頻譜後,將其用於提供公眾電信服務,而成為電信業者的水平競爭者,此方面可透過相關法規之限制避免類似情況發生。另一方面,電信業者也可適時提供援助,藉由長年網路建置經驗,作為系統整合的角色與垂直場域業者合作,而達到雙贏的局面。惟企業專網對於網路規格、服務品質、資安等皆與公眾電信服務不同,電信業者與企業如何深化合作,仍有待更多的交流與討論。 二、推動我國垂直場域應用之可能頻譜政策 相較已進行5G商轉的其他國家,我國目前尚未釋出頻譜[12],發照速度雖慢於其他國家,惟我國產業仍可透過實驗網路頻譜的申請,研發具高附加價值的企業專網應用,以在智慧製造、智慧醫療,抑或智慧農業等領域搶佔一席之地。但針對企業專網的頻譜需求,由於我國5G頻譜釋照迄今仍以競標拍賣商用頻譜為大方向,在第一波5G釋照時並不會保留「指配頻譜」予企業專網,僅會在「第一類電信事業開放之業務項目、範圍、時程及家數一覽表」中以註記的方式,說明處理企業專網之大方向[13]。 依108年立法院三讀通過之電信管理法第57條規定,主管機關得考量無線電頻率使用特性、國家安全、實驗研發及市場競爭等情形,依職權或依申請核配二以上使用者使用同一無線電頻率。此一條文似可解釋為,在頻譜和諧使用及不干擾之情況下,通訊主管機關國家通訊傳播委員會可核配垂直場域業者與電信業者使用同一頻譜的法源依據。 有論者提出電信管理法通過後,尚可利用第58條頻譜租賃之方式提供企業專網頻譜,該條允許電信事業在取得主管機關核准後,將其獲配頻率之一部提供予他電信事業使用;惟按電信事業僅指利用公眾電信網路提供公眾通信服務之事業,垂直場域業者在屬性上較偏向專用電信,而非該法所稱之「電信事業」,在法規適用上仍有疑慮。此外,即使未來允許電信事業將頻譜出租、出借予垂直場域業者,惟電信業者取得5G頻譜之代價高昂,其衍生之使用成本恐亦非中小型垂直場域業者所能承擔。 肆、結語 各個國家基於不同的制度或產業特性,而對企業專網之規劃各有不同的考量,然共同目的皆係藉由頻譜之規劃刺激中小型企業、新創企業與地方政府自建網路,並透過客製化的領域營運需求,避免工業間諜與駭客攻擊等情事[14]。是以,我國政府亦可參採國際案例,在協調電信業者與垂直場域業者之下,為企業專網保留特定頻譜,以掌握垂直場域應用之發展脈動,並促進新創服務之萌芽,達到提升我國整體國際競爭力之目標。 [1] Keith Mallinson, The Path to 5G: as much evolution as revolution, 3GPP (May. 10, 2016), https://www.3gpp.org/news-events/1774-5g_wiseharbour (last visited June 11, 2019). [2] 総合通信基盤局,〈第5世代移動通信システムの導入のための特定基地局の開設に関する指針案について〉,頁8(2018)。 [3] 陳端武,〈AT&T、高通將智慧製造視為5G商機〉,DigiTimes,2018/03/23,https://digitimes.com.tw/iot/article.asp?cat=158&cat1=20&cat2=10&id=0000527161_V5Y24IJX5ULPGI230CHFJ(最後瀏覽日:2019/6/12)。 [4] 李建勳、蘇奕霖、廖修武,〈全球5G專網市場發展〉,資訊工業策進會產業情報研究所,頁4(2019)。 [5] Tony Ridzyowski, What is a Private 5G Network?, TTI (Dec. 18, 2018), http://www.turn-keytechnologies.com/blog/network-solutions/what-is-a-private-5g-network (last visited June 14, 2019). [6] Id. [7] BNetzA, Entwurf der grundsätzlichen Rahmenbedingungen des zukünftigen Antragsverfahrens für den Bereich 3.700 MHz – 3.800 MHz für Anwendungen des drahtlosen Netzzugangs (Jan. 31, 2019), available at https://www.bundesnetzagentur.de/DE/Sachgebiete/Telekommunikation/Unternehmen_Institutionen/Frequenzen/OeffentlicheNetze/RegionaleNetze/regionalenetze-node.html;jsessionid=1612C0A9E32BF6C018EF03D2F781EF94 (last visited June 12, 2019). [8] 総務省,〈ローカル5G検討作業班〉,http://www.soumu.go.jp/main_sosiki/joho_tsusin/policyreports/joho_tsusin/5th_generation/local_5g/index.html(最後瀏覽日:2019/6/13)。 [9] 新世代モバイル通信システム委員会,〈情報通信審議会 情報通信技術分科会 新世代モバイル通信システム委員会報告概要(案)〉,頁9(2019),http://www.soumu.go.jp/main_content/000624455.pdf(最後瀏覽日:2019/6/13)。 [10] 総務省 総合通信基盤局電波部 移動通信課,〈ローカル5G検討作業班の主な検討内容〉,頁2(2018),http://www.soumu.go.jp/main_content/000589526.pdf(最後瀏覽日:2019/6/13)。 [11] Ferry Grijpink, Alexandre Ménard, Halldor Sigurdsson & Nemanja Vucevic, The road to 5G: The inevitable growth of infrastructure cost, McKinsey & Company (Feb. 2018), https://www.mckinsey.com/industries/telecommunications/our-insights/the-road-to-5g-the-inevitable-growth-of-infrastructure-cost (last visited June 17, 2019). [12] 鄭鴻達、楊文琪,〈5G拚明年一月釋照 四年計畫啟動〉,聯合新聞網,2019/06/14,https://udn.com/news/story/7238/3870814(最後瀏覽日:2019/6/14)。 [13] 林淑惠,〈5G企業專網 首波落空〉,中時電子報,2019/03/04,https://www.chinatimes.com/newspapers/20190304000226-260202?chdtv(最後瀏覽日:2019/6/14)。 [14]經濟日報社論,〈5G企業專網規劃 兼顧公平與發展〉,聯合新聞網,2019/06/06,https://udn.com/news/story/7338/3855673(最後瀏覽日:2019/6/17)。
淺談台灣行動寬頻覆蓋率議題淺談台灣行動寬頻覆蓋率議題 科技法律研究所 法律研究員 黃志雯 2013年11月26日 壹、事件摘要 我國4G頻譜拍賣在歷經40天、393回合的「同時多回合上升」競標後,終在2013年10月底結束。這次的競標價金不僅高達1186.5億元外,也加入了國碁電子(鴻海集團)與台灣之星(頂新集團)兩家新進電信業者,使整體產業競爭性提高。預計民眾最快在2014年中時,即可享受靜態1Gbps、行動間100Mbps的高速網路,在無線寬頻的高速下,許多新興服務可孕育而生。 根據我國政府的規劃,4G營運時間越早,無論對產業、或是民眾皆是利大於弊。但是,從我國3G發展經驗可知,行動寬頻基地台建置的普及程度,攸關整體產業發展的關鍵。因此,行政院於今(2013)年11月成立「加速無線寬頻基礎設施小組」,依據電信法第32條第2項的規定,並透過跨部會協調,逐步落實公有建築物開放建設基地台之政策,增加4G業者涵蓋率,督促其儘速開台服務。同時,立法院為讓公有建物建設基地台能順利推行,於同年11月三讀通過修正電信法第32條。依據新修正之條文,未來除了因應輿論認為電磁波可能影響青少年發展,故允許高中職以下學校「得不同意」第一類電信事業設置室外基地台外,其餘公有建築物之主管機關,無正當理由不得拒絕業者申請。 透過落實公有建築物開放的政策,不僅可加速未來4G的發展外、亦可提升既有3G的覆蓋率。除此之外,當4G涵蓋全台後,其高速、穩定的特性將可被視為具有如固網般最後一哩(Last Mile)之效益,進而協助政府克服偏遠地區鋪設寬頻的困境,使全國居民皆可享有網際網路的便利。 貳、重點說明 政府透過落實公有建築開放架設基地台之政策,協助4G業者加速開台義務(5年內達人口涵蓋率50%),更希望能降低協商、架設基地台的成本,減少我國行動寬頻在都會區基地台數量不足、非都會區距離過遠之問題。其實,如何增加行動寬頻涵蓋率,是當前每一個國家致力發展的目標。新加坡與英國政府為了實現無所不在網路的目標,在管制的手段上分別是: (一)新加坡:為了協助電信服務業者可利用建物空間架設通訊設備,達到「行動寬頻訊號戶外覆蓋率99%、室內覆蓋率85%」的目標,新加坡修訂「建築物資通訊設施實施條例」。本條例要求開發商或屋主在建設大型建案時,必須依據建案大小設置「行動通訊設備布放空間」,以提供電信業者使用,增加行動寬頻覆蓋率。本條例落實後,預期可協助4G業者在既定時間內(2.5GHz須最早實現)完成全國、所有捷運/公路隧道內必須可接收4G訊號的要求。 (二)英國:英國為了改善既有行動寬頻涵蓋率,在今(2013)年11月提出5點改善措施。其中,在相關規範上,Ofcom除了直接提高3G業者涵蓋義務、在訊號難以達到區域建設基礎設施、定時提供行動寬頻速率報告,以及與交通部(Department for Transport and Network Rail)共同改善行動寬頻於鐵路、道路的覆蓋率與品質外,Ofcom認為4G寬頻亦扮演重要角色。當時,Ofcom即透過4G頻段拍賣,賦予一張2017年須提供98%人口於室內、95%人口能於英國境內取得行動寬頻服務義務之執照,希冀實現偏遠地區亦能擁有寬頻服務之理想。 參、事件評析 綜合上述,各國為了讓4G覆蓋全國,使所有民眾皆能享有高速、穩定的網路,無不透過兩階段方式,拍賣前賦予部分頻段提前完成涵蓋率普及的義務、拍賣後透過政策、法律協助、要求業者維護網路品質。台灣屬於地狹人稠的國家,行動寬頻業者對政府賦予的涵蓋義務,絕非是行動寬頻發展困境。但是,業者是否可提供如同牌告的速度與品質,一向倍受挑戰。我國3G產生這個問題,除了民眾在居家附近拒絕建置基地台之住抗問題外,其主因亦是在3G拍賣時並未賦予相關頻段義務、在「第三代行動通信業務管理規則」又僅要求涵蓋率達人口50%,導致業者不積極面對都會區基地台數量,少於負荷使用人數的事實;非都會區則是消極處理基地台與使用人距離過遠,造成訊號品質不佳、或是接收不到等問題。 因此,即使這次電信法32條修正後,排除高中職學校得以架設室外基地台,根據我國「行動寬頻業務管理規則」第66條規定,電波涵蓋範圍應達營業區人口50%,合理推測業者可一舉解決都會區架設基地台的問題。但是,在我國4G頻譜拍賣前,並未與新加坡、英國相同,賦予所謂的「黃金頻段」(700MHz)與「帝王頻段」(1800MHz)普及全國(含偏遠地區)之義務。在管理規則涵蓋率僅訂為整體人口50%,將可窺見多數業者終將先行投資都會區,造成部分非都會區仍存有網路延遲、或是難以接收的問題,使4G難以成為全國性最後一哩。 本文認為4G頻譜拍賣結束已成事實,現階段主管機關唯有透過「行動寬頻業務管理規則」第40條第二項第三款的規定,鼓勵業者積極建置偏遠地區高速基地台,並承諾於事業計畫書中。再者,從資通訊科技發展的角度,新加坡強置新建物必須具備、開放「行動通訊設備布放空間」,使業者得以自由建置基地台,對於4G、或是未來5G發展而言,建築物開放使用確實具有前瞻性。不過,在我國民眾目前仍對電磁波有所疑慮的情況下,現階段僅能開放公有建築建置基地台,唯待透過具權威的報告證明電磁波無害、且全民達成一定共識後,我國政府方能逐步推動既有建築開放、或是新建築必須具備「行動通訊設備布放空間」。最後,主管機關除了繼續支持推動相關行動上網速率測速計畫外,關於電信法第32條第1、2項,要求公有建築開放架設基地台,是否要朝向正面表列機關拒絕條款,亦是未來可探討的地方。
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步,伴隨著資安風險的提升,世界各國對於資安防護的意識逐漸升高,紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量,我國於107年5月經立法院三讀通過「資通安全管理法」(以下簡稱資安法),並於同年6月6日經總統公布,期望藉由資通安全管理法制化,有效管理資通安全風險,以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外,另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法,建置了我國資通安全管理之法制框架。然而,資安法及相關子法於108年1月1日實施後,各機關於適用上不免產生諸多疑義,故本文擬就我國資通安全管理法之規範重點為扼要說明,作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象,主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義,指依法行使公權力之中央、地方機關(構)或公法人,但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣(市)政府機關、依公法設立之法人(如農田水利會[1]、行政法人[2])、公立學校、公立醫院等,均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊,故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定,指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定,須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定,報請行政院核定,並以書面通知受核定者。須注意者為該指定行為具行政處分之性質,如受指定之特定非公務機關對此不服,則可循行政救濟程序救濟之。目前各關鍵基礎設施領域,預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外,政府捐助之財團法人,依該法第3條第9項之規定,指其營運及資金運用計畫應依預算法第41條第3項規定送立法院,及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人,則非屬資安法所稱特定非公務機關之範圍。公營事業之認定,則可參考公營事業移轉民營條例第3條之規定,指(一)各級政府獨資或合營者;(二)政府與人民合資經營,且政府資本超過百分之五十者;(三)政府與前二款公營事業或前二款公營事業投資於其他事業,其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構,可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段,分述如下: (一)事前規劃 就事前規劃部分,資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」,使各機關得據此落實相關之資安防護措施,各機關並應依據資通安全責任等級分級辦法之規定,依其重要性進行責任等級之分級,辦理分級辦法中所要求之應辦事項[5],並將應辦事項納入安全維護計畫中。 此外,在機關所擁有之資通系統[6]部分,各機關如有自行或委外開發資通系統,尚應依據分級辦法就資通系統進行分級(分為高、中、普三級),並就系統之等級採取相應之防護基準措施,以高級為例,從7大構面中,共須採取75項控制措施。 (二)事中維運 事中維運部分,資安法要求各機關應定期提出資通安全維護計畫之實施情形,上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件,應於機關知悉資通安全事件發生時,於規定時間內[7],依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施,以避免資通安全事件之擴大。 (三)事後改善 在事後改善部分,如各機關發生資通安全事件或於稽核時發現缺失,則均應進行相關缺失之改善,提出改善報告,並應針對缺失進行追蹤評估,以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通,並考量網路威脅可能來自於全球各地,資安法第8條規定主管機關應建立情資分享機制,進行情資之國際合作。情資分享義務原則於公務機關間,就特定非公務機關部分,為鼓勵公私間之協力合作,故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心(G-ISAC)調整提升至國家層級並更名為「國家資安資訊分享與分析中心」(National Information Sharing and Analysis Center, N-ISAC)。透過情資格式標準化與系統自動化之分享機制,提升情資分享之即時性、正確性及完整性,建立縱向與橫向跨領域之資安威脅與訊息交流,以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實,資安法就公務機關部分,訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容,配合機關內部之人事考評規定訂定獎懲基準,而獎懲辦法適用之人員,除公務人員外,尚包含機關內部之約聘僱人員。就特定非公務機關部分,資安法則另訂有相關之罰則,針對未依資安法及相關規定辦理應辦事項之特定非公務機關,中央目的事業主管機關得令限期改正,並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分,因考量其影響範圍層面較廣,故規定特定非公務機關如未依規定進行通報,則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範,勢必投入相關之資源及人力,以符合資安法之要求。考量公務機關或特定非公務機關之資源有限,故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌,以避免資源或相關措施重複建置,以下則列舉幾點建議: 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制,與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似,故各機關於適用上可協調內部之資安與隱私保護機制,共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制,而個人資料保護法第12條亦規定有向當事人通知之義務,兩者規定雖不盡相同,惟各機關於訂定通報應變機制上,可將兩者通報應變程序進行整合,以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務,個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同,惟均著重對於資料安全及隱私之保護,故各機關可從資料保護層面著手,訂定資安與個人資料保護共同之檢核項目,來進行委外廠商資格之檢視,並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時,須先進行內部之資產盤點及分級,而個人資料保護法施行細則第12條中,則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時,可建立內部共同之資料盤點清單及資料管理措施,並增加資料使用軌跡紀錄,建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定,軍事機關指國防部及其所屬機關(構)、部隊、學校;情報機關指國家情報工作法第3條第1項第1款(包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊)及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定,行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關(構),於其主管之有關國家情報事項範圍內,視同情報機關。 [4] 羅正漢,〈臺灣資通安全管理法上路一個月,行政院資安處公布實施現況〉,iThome, 2019/02/15,https://www.ithome.com.tw/news/128789 (最後瀏覽日:2019/5/13)。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級,各機關應依據其責任等級應從管理面、技術面及認知與訓練面向,辦理相應之事項。 [6] 資通系統之定義,依資通安全管理法第3條第1款之規定,指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後,應於1小時內依規定進行資通安全事件之通報;如為第一、二級資通安全事件,並應於知悉事件後72小時內完成損害控制或復原作業,第三、四級資通安全事件,則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉,行政院國家資通安全會報技術服務中心,https://www.nccst.nat.gov.tw/NISAC(最後瀏覽日:2019/5/14)。
歐盟公布資料保護相關指令適用意見書由歐盟二十七個會員國資料保護主管機關組成的第二十九條資料保護工作小組(The Article 29 Working Party)最近公布其應適用何國資料保護法規之意見書。 歐盟資料保護指令(EU Data Protection Directive)第四條對於蒐集或處理個人資料所應適用之法規有所規範,依該條規定,機構必須依其成立之國別適用該國資料保護法規;機構若於其他國家裝置設備處理資料,則須遵守設備所在地之法令。 隨著全球化的趨勢與新興科技的發展,目前處理資料機構之運作方式已與當初制定指令時有所不同,許多機構在世界各國設置營運點,向全球各地提供各類型服務,尤其是網際網路的發展,使得遠端服務及在虛擬環境下分享個人資訊更為容易,但同時也增加辨識資料處理所在地之困難度,因此工作小組提出該意見書,希望藉此釐清資料保護指令第四條之適用。 工作小組於該意見書中指出,資料保護指令所指的應適用法規,並非資料控制者(data controller)所在地之法規,而是附屬於該資料控制者並實質進行資料處理之機構的所在地法規。蓋因同一資料控制者可能在數國成立附屬機構,在此種狀況下判別適用法規的標準,應視實際上相關資料處理活動的發生地,亦即處理資料機構所在地。 而針對處理個人資料所使用之設備,工作小組表示,即使處理資料之機構並未擁有設備,而使用該設備處理個人資料時,亦可適用指令第四條之規定,需遵守設備所在地之相關法規;但工作小組同時特別釐清,以電信電纜或郵政服務等方式傳輸資料並不會落入資料保護法規之範疇。