日本內閣府研議「網路資訊安全判斷基準草案」並將作為未來機關處理共同標準

  日本內閣府網路安全戰略本部(サイバーセキュリティ戦略本部)於2017年7月13日第14次會議中提出對2020年後網路安全相關戰略案之回顧(2020年及びその後を見据えたサイバーセキュリティの在り方(案)-サイバーセキュリティ戦略中間レビュー-),針對網路攻擊嚴重程度,訂立網路安全判斷基準(下稱本基準)草案。對於現代網路攻擊造成之嚴重程度、資訊之重要程度、影響範圍等情狀,為使相關機關可以做出適當之處理,進而可以迅速採取相應之行動,特制訂強化處理網路攻擊判斷基準草案。其後將陸續與相關專家委員討論,將於2017年年底發布相關政策。

  本基準設置目的:為了於事故發生時,具有視覺上立即判斷標準,以有助於事故相關主體間溝通與理解,並可以做為政府在面對網路侵害時判斷之基準,成為相關事件資訊共享之體制與方法之基準。

  本基準以侵害程度由低至高,分為第0級至第5級。第0級(無)為無侵害,乃對國民生活無影響之可能性;第1級(低)為對國民生活影響之可能性低;第2級(中)為對國民生活有影響之可能性;第3級(高)為明顯的對國民生活影響,並具高可能性;第4級(重大)為顯著的對國民生活影響,並具高可能性;第5級(危機)為對國民生活廣泛顯著的影響,並具有急迫性。除了對國民及社會影響,另外在相關系統(システム)評估上,在緊急狀況時,判斷對重要關鍵基礎設施之安全性、持續性之影響時,基準在第0級至第4級;平常時期,判斷對關鍵基礎設施之影響,只利用第0級至第3級。

  本次報告及相關政策將陸續在一年內施行,日本透過內閣府網路安全戰略本部及總務省、經濟產業省與相關機構及單位之共同合作,按照統一之標準採取措施,並依據資訊系統所收集和管理之資料作出適當的監控及觀測,藉由構建之資訊共享系統,可以防止網絡攻擊造成重大的損失,並防止侵害持續蔓延及擴大,同時也將為2020年東京奧運會之資訊安全做準備。我國行政院國家資通安全會報目前公布了「國家資通安全通報應變作業綱要」,而日本以國民生活之影響程度標準列成0至5等級,其區分較為精細,且有區分平時基準及非常時期基準等,日本之相關標準可作為綱要修正時之參考。

相關連結
※ 日本內閣府研議「網路資訊安全判斷基準草案」並將作為未來機關處理共同標準, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&i=77&d=7850&lv2=77 (最後瀏覽日:2019/08/24)
引註此篇文章
你可能還會想看
聯合國討論網路身份管理計畫

  聯合國國家安全組織(U.N. National Security Agency)計畫於一項名為Q6/17之「網路使用者身份管理計畫」提案中,討論如何以修改網路架構之方式,確保網路通訊來源之真實性與可追溯性。此項計畫被認為可能對網路匿名性產生極大衝擊。   目前網路所賴以溝通訊息之TCP/IP通訊架構,仍允許使用者於一定範圍內保有於網路上匿名發言或活動之可能,例如Tor線上匿名軟體(Tor: anonymity online)之運作即是。然而,此種匿名式的運作架構,被抨擊可能威脅網路安全,例如駭客可利用大量偽造來源地址(spoofed source IP addresses),發動分散式阻斷服務(DDoS)攻擊。   有鑑於此,Q6/17提案乃嘗試藉由網路連線技術架構的調整,確保未來任何網路上之活動皆可追蹤出原始網路通訊來源(“IP Trackback”)。然而,此種作法被批評為將摧毀網路匿名特性,並對個人隱私造成侵害,或成為各國政府打擊政治異議人士的工具。發表匿名言論權利曾受許多國家憲法或國際條約的肯認,例如1995年美國最高法院於McIntyre v. Ohio Elections Commission一案,做出「匿名發表權乃受憲法保護之人民基本權」見解,歐盟亦有「網路通訊自由宣言(Declaration on Freedom of Communication on the Internet)」。故Q6/17嘗試消弭發表網路匿名言論之技術突破,是否能通過世界各國憲法之嚴格檢驗,仍值得後續關注研究。

美國參議員提案規範物聯網設備之資安漏洞

  美國參議員2017年08月01日提案立法,要求提供給美國政府的物聯網網路連結設備,須符合產業資訊安全標準,同時規範設備供應商,提供之設備必須可持續更新,不得含有無法更改參數的設定與不得具有任何已知安全漏洞。兩黨皆有參與提案參議員,共和黨為Cory Gardner和Steve Daines,以及民主黨的Mark Warner和Ron Wyden。   由於物聯網連結數持續成長,與物聯網相連的裝置與感應器,預計在2020年會超過200億台裝置,相關裝置的資料蒐集與傳輸,同時影響消費者與產業。當這些裝置在出廠時若預設無法更改的參數,即預設固定程式無法更新,則該裝置連接物聯網時,會因裝置無法更新程式,而可能產生資安漏洞,進而影響物聯網上其它連結設備之安全性。   2016至今,物聯網相關設備已被惡意阻斷服務攻擊(DDOS)影響相關網站、伺服器以及網路基礎設施提供者。   Warner等4位參議員提出的〈2017年物聯網資安改進法〉(Internet of Things (IoT) Cybersecurity Improvement Act of 2017)草案,主要關注: 聯邦政府採購的物聯網相關設備,須可持續更新、符合產業標準、不含無法更改內建參數的設定、以及不含已知安全漏洞。 行政管理和預算局(Direct the Office of Management and Budget ,OMB),須發展可供替代網路級(network-level)資安設備以供限制性資料處理。 國土安全部的國家保護和計畫局(National Protection and Programs Directorate)須向提供連線設備予聯邦政府的承包商,發布整合性的資安漏洞揭露指導原則。 免除資安研究人員基於誠實信用研究時,所揭露與資安漏洞有關之法規責任。 要求所有執行機構清點所有連結物聯網的設備。

打擊網路犯罪 歐美強化資料保存法制

  繼歐盟於 2006 年通過資料保存指令( Directive on the retention of data )後,美國司法部亦開始關注資料保存的議題,但不同於英歐盟資料保存之目的乃著眼於對抗恐怖主義及打擊嚴重犯罪,美國資料保存的目地則偏重於根除兒童色情相關的問題。   為因應科技時代的犯罪, 檢察官常需要透過 ISP 業者提供客戶通聯紀錄等資訊以協助犯罪偵察 , 因此美國在 United States Code, Section 2703(f) 便早已規定 , 有線或電子通信服務業者必須配合政府要求提供調查犯罪所須的資訊。但由於該法並未明白要求業者應主動收集哪些項資訊,因此美國 ISP 業者僅保存與商業利益有關之網路使用記錄,美國司法部長 Alberto Gonzales 4 月 20 日於國家兒童權益保護中心( National Center for Missing and Exploited Children , NCMEC ) 表示,目前 ISP 業者能提供的資料相當有限,這相當程度地阻礙犯罪調查工作的進行,因此他認為應研擬更利於法庭證據取得之資料保存法令。   為避免人權團體以資料保存侵害個人的隱私權為由,而妨礙立法的進度,因此美國目前資料保存法令的推動方向可能有兩種不同的發展方向,其一是僅由 ISP 業者記錄特定期間內民眾的活動紀錄,另一種方向則是與歐盟相似,保存電話通聯、網頁瀏覽以及 mail 、即時通訊等內容。

SWIFT與金融業者攜手合作發展區塊鏈電子投票

  環球銀行金融電信協會(Society for Worldwide Interbank Financial Telecommunication, SWIFT)於今年3月宣布將與德意志銀行、星展銀行、匯豐銀行、渣打銀行、證券軟體供應商SLIB與新加坡交易所(Singapore Exchange,SGX)聯合於亞太地區展開建構於分散式帳簿技術(Distributed Ledger Technology ,DLT)之電子投票概念性驗證(Proof-of-Concept, PoC),探究分散式帳簿技術是否能有效簡化股東權利之行使,以提高市場參與者效率。   目前實務上召集股東會耗費大量人力與時間成本,紙本投票流程繁雜且費時,股東表決權也經常因代理行使錯誤導致無法及時反應股東真意,因此業界希望可以透過將區塊鏈分散式帳簿技術應用於電子投票系統,改善股東會之透明度與自動化程度,提升股東會之效能及股東參與度。   SWIFT表示區塊鏈電子投票概念性驗證將於2019年上半年展開, 旨在體現四大目標: 測試與發行人和證券存託機構(Central Securities Depository)建立的投票解決方案,同時該方案係以許可制的私有鏈(private blockchain)儲存與管理數據資訊。 展現基於ISO 20022所為之混合解決方案之可行性,將訊息之傳遞與分散式帳簿技術結合,促進互通性並避免市場分裂。 電子投票的概念驗證將會在沙盒環境中測試SWIFT的應用程式代管(host)能力。 確認使用ISO 20022作為應用程式介面標準化之基礎,透過應用程式介面將儲存於分散式帳簿節點間資料分享給分類帳。   期望透過區塊鏈技術之應用,以金融創新的解決方案改善傳統上股東會礙於書面投票或代理流程繁瑣之不便利,將區塊鏈技術與ISO標準相互結合,建立系統化之創新電子投票解決方案,促進市場發行者與參與者密切合作。   我國金融監督管理委員會為強化股東權益之保護,落實電子投票制度,於 106年1月18日發布金管證交字第1060000381號函釋:「依據公司法第一百七十七條之一第一項規定,上市(櫃)公司召開股東會時,應將電子方式列為表決權行使管道之一」;又隨著智慧型手機與行動網路普及,電子投票可能成為未來股東會股東表決權行使趨勢之一,此次SWIFT與業界共同提出之區塊鏈電子投票發展或可作為未來我國電子投票實務運作之參考。

TOP