一、宣讀上次會議議事錄。

因為資通安全管理法涉及的……

是的。

好的。
柯委員建銘：另外，依據第十八條，中央目的事業主管機關可以派員進入非公務機關來檢查，非公務機關不能拒絕，這有沒有法律保留的問題呢？派員的「員」，資格是什麼？像電信的部分就有所謂的電信警察，所以要不要警察會同？再來，被指定為基礎設施提供者是非公務機關，不管這個非公務機關是財團法人或是國營事業，還有，該條規定，遇重大資安事件時，可派員進行檢查，並要求改正，請問這是要派什麼人？
宋副秘書長餘俠：第十八條最主要談的是檢查，但在檢查之前會通知它改善，而且另外兩個要件是要有重大缺失或是發生資安事件。
柯委員建銘：就是有缺失才會去檢查，沒有缺失怎會去檢查呢？請問派什麼人去檢查？再來，關鍵基礎設施有8種，包括銀行、水利等等，所以你們要派什麼人去檢查？

除了資安的專家之外……
柯委員建銘：親民黨黨團對第十八條有疑慮，所以這部分到時我們可以再來討論。
宋副秘書長餘俠：若要對人員的資格予以明定，就像個人資料保護法……

是。

好的。
柯委員建銘：最後，上個禮拜一行政院有討論電信管理法以及數位通訊傳播法，屆時若予以施行，可能像第一類電信等很多樣態都會改變了，但在電信管理法第四十二條是規定「得」指定關鍵基礎設施提供者，而本法第十五條則是規定「應」指定關鍵基礎設施提供者，基本上，這兩部法律的目的是一樣的，都是處理資訊安全的問題，所以在處理這些法律時，羅政委都沒有發現這部分有不同的規範嗎？到底哪個才是正確，我想這是可以討論的，畢竟裡面都有指定關鍵基礎設施提供者，但是「得」和「應」是不一樣的，所以我們希望這兩部法律你們應有一致性的看待。
宋副秘書長餘俠：好的，我們會跟通傳會做進一步的釐清。
柯委員建銘：還有縣市政府要擬定資安的安全維護計畫及管理，但縣市政府有沒有這個能力呢？你們有無考慮到這個問題呢？縣市政府要去檢查……
宋副秘書長餘俠：這是縣市政府有關資安能量的問題，而我們現在採用的做法就是用聯防的概念，即縣市政府跟其周遭的中央政府機關或是直轄市政府等有這些資訊能量的單位，要一起建構一個聯防的網路。
柯委員建銘：縣市政府的資安長有無這個能量呢？然後還有國家對資安人才培訓的問題。此外，依據第八條，很多部分是要委外的，在委外的時候，國家安全的部分會危害到什麼程度，我認為要有一個界線，總之，資通安全管理法我們是可以認同，但有一些事情應該要討論清楚。

好。
柯委員建銘：至於其他版本，包括余宛如版本，差異性真的是太大了，根本沒有辦法一起處理，總而言之，我還是覺得行政院版是最完整的，但上述幾個問題，可能要再討論看看。

是。謝謝委員的指教。

是。
吳委員志揚：我要提醒的是，你們應該是在前面的階段做計畫、規劃及執行，但是出事情的時候，你們要注意一下相關的處理方式是否會侵害到人權，方才柯總召已經提到第十八條，這應該也是今天所有委員會問到的重點，第十八條讓人家擔心會不會有人假借調查資安事件或是一般行政人員可能畏懼司法權力，這時就可以以這個為理由進到非公務機關，基本上，由公務機關內部自己去查，那個沒有問題，現在若進到非公務機關，當然就會有侵害人權的問題、會有營業秘密洩露的問題，請問這兩個問題如何處理？
宋副秘書長餘俠：重大資安事件發生的時候，最重要的是要迅速通報、即時處理，所以檢查的必要性是非常需要相關機關能夠在現場調查、能夠進行了解，所以基本上是希望經由訪問、查詢、檢驗，能夠馬上確定這個事件是否會擴大，然後做一些即時的處理。
吳委員志揚：做這些事情我都沒有問題，問題是非公務機關，就是民間的部分，所以如何避免行政作為被人家質疑是侵害人權？
宋副秘書長餘俠：其實在個人資料保護法也有類似的規範，比方說個人資料洩露之後，也是有這樣一個檢查、訪問，當然在這樣的過程當中經檢查而知悉的秘密，我們也明定要負保密的義務，這個也跟個人資料保護法是有一樣的強度。另外，我們必須強調的是，資安事件的發生即時的處理、迅速的通報是非常關鍵的，目的是希望能夠趕快確定，避免像遠東商銀類似的情形發生，這個就是因為迅速通報、即時處理，在各機關的聯防之下，能夠阻絕駭客於境外，我想這就是它的重要性。
吳委員志揚：方才委員提出質疑，關於非公務機關的部分你特別講說是關鍵基礎設施提供者才會適用，所以我要請問，什麼叫做關鍵基礎設施提供者？它的範圍有多大？
宋副秘書長餘俠：我們目前的關鍵基礎設施共有8大類，涵蓋能源、水資源、電信、金融、交通公共運輸、科學園區、緊急救護醫療等等。

對。

我們並不以第一類或是第二類來做區分。

是。即它提供了基礎建設的服務。
吳委員志揚：第二條名詞定義中有提到「關鍵基礎設施」，指的是實體或虛擬資產、系統或網路，其功能一旦停止運作或效能降低，對國家安全、社會公共利益、國民生活或經濟活動有重大影響之虞，經行政院公告者。其實「國家安全、社會公共利益」算是比較好界定的，但「國民生活或經濟活動有重大影響」的部分，是否比較偏私人呢？比方說銀行等等。再舉一個對生活有影響的例子，就是FB掛掉，這對大家生活有沒有影響？若LINE掛掉了，這對大家生活有沒有影響？
宋副秘書長餘俠：這對生活是有重大影響，但是並未對資安形成危害。

應該讓民間先備份、復原……

這一定要符合重大資通安全事件的要件。
吳委員志揚：現在所謂的法治國就是當你要進到私領域時，必須要有司法一定程度的審查，我們當然知道政府想做很多事，問題是一些事情以人民角度來說，是有可能侵害到人民權利的，所以方才我建議的，包括柯總召講的，都絕對是立委所關心的，你們去把台灣的資安弄得很有水準、很高科技、很有效率，這些我們都贊成，但是在檢查這件事情上，我們看過很多電影，為了防堵駭客，結果政府變成最大的隱私侵害者，有太多這樣的例子，所以我們要站在人民的立場做嚴格的把關，本席剛才所講的概念，請你們回去再思考。
宋副秘書長餘俠：好的，謝謝委員指教，我們來思考。

目前並沒有定論。
葉委員宜津：我告訴你，從這部法來看，網路並沒有在國家主權範圍內，這是非常危險的，如果網路不是屬於國家主權，只是如同個人財產被侵犯的下位觀念，網路必須是國家主權，這種上位概念才是完整的。不可諱言，我們抄了美國，但是最重要的重點，我們對網路是國家主權這一點卻不敢立法，其實很多國家都明文立法，網路是屬於國家主權的範圍，現在國家主權已經不是只有傳統的土地、領空、領海，還包括網路，因為網路可以做國家級的攻擊。這是非常嚴肅的議題，沒有把網路納入，這部法根本就是開了一個大洞，也沒有什麼路用啦，就等於是人民個人財產被侵犯這樣的下位觀念而已。本席在上一屆提出國家安全法草案，就已經把網路納進國家主權的範圍內，只有做這樣上位概念的宣示，才能做真正的防禦和管理，要不然沒有用啦，真的沒有用！
再請問簡次長，資通法適用的對象是誰？

適用對象包括政府機關、關鍵基礎設施……
葉委員宜津：第一是公務機關，請問公務機關是否包括軍事機關、情報機關？

目前排除。

這部分請國防部向委員說明。

目前我們是採取一個規定……
葉委員宜津：好，是採取一個規定，一個行政規範，而這個行政規範要求得更嚴格，既是用行政規範，那為什麼這些公務機關不能也用行政規範，還要訂定法律，而且沒有罰則，這是什麼邏輯？用行政規範可以做更嚴謹的規定，竟然搞出一個沒什麼罰則、徒具形式的法律？請問副秘書長，請問處長，這是什麼邏輯？那你們也跟國防部一樣，訂定一個行政規範就好了啊！

我想國防部的意思是除了他們自己的單行規定之外……
葉委員宜津：副秘書長，我們是司法及法制委員會！主席，這個邏輯很奇怪吧，我們司法及法制委員會正經八百的審查一個法律，反觀更機密、更嚴重、關係到國家資通的，卻是用行政規範就可以了，這算什麼邏輯啊？完全是莫名其妙，我再強調一次，沒有把國家主權納入的資通安全，根本是騙人的！
再就另外一個問題，對公務機關沒有罰則，而對非公務機關有罰則，請教處長，非公務機關是什麼？
簡處長宏偉：就條文對非公務機關的定義，就是關鍵基礎設施提供者、公營事業及政府補捐助達一定比例之財團法人。
葉委員宜津：就你們的公告，關鍵基礎建設實施者、公營事業、政府捐助達一定比例之財團法人，但是廣義來說，公營事業都是政府的一部分，那你們對非公務機關的罰則，其實就只有針對所謂關鍵基礎建設提供者而已啊，其他都只是陪襯啦！況且基礎建設還要經政府公告核定的才算，你們公告核定的包括高科技園區、能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院這八大基礎建設，對不對？

是。
葉委員宜津：面對這些所謂的基礎建設提供的資通安全，你們有能力去查核監督嗎？
簡處長宏偉：我們就是要去做這件事情，這個領域當然有一些特定的專家學者，所以在查核監督時要納入這些專家學者的專業。
葉委員宜津：所以你們的人員不足，也沒有主管機關，就是行政院一級機關，從中央到地方沒有人力，你說要去做查核、監督、防護，你是騙誰啊？而且你剛才沒有講，你們規定可以委託其他法人或團體去辦理，對不對？
簡處長宏偉：是，條文規定可以委任或委託。
葉委員宜津：顯然一級機關沒有那樣的人力和能力，於是就委託法人或團體，但問題來了，我們以高科技園區為例好了，高科技園區有營業機密、技術機密，你委託法人或團體去查核，他們會隨便讓沒有公權力的人進去查嗎？
簡處長宏偉：就我們的定義，高科技園區並不是高科技園區裡面的廠商，我們所講的高科技園區是指支撐整個高科技園區的水、電、交通等等，所以高科技園區並不會把這些公司納為關鍵基礎設施。
葉委員宜津：如果這些高科技公司遭受到資通安全的迫害，我們改以銀行來講好了，銀行總是了吧，你隨便委託一個單位去查銀行，試問銀行會讓你查嗎？
簡處長宏偉：關鍵基礎設施裡面的確有屬於金融的部分，銀行就是，但目前金管會所提出的有5個比較上位的組織，並不是所有的銀行。
葉委員宜津：資通安全事件已經層出不窮，資通安全管理法是有迫切性和必要性，但是如果沒有像先進國家建立國家主權這種上位概念的話，這個法是騙人的，好像只是制定一個法，強調你家門窗要關好以避免小偷光顧這樣而已，並沒有建立國家主權的概念，沒有建立國家防護網，資通安全是假的，我還是希望將國防部的概念納進來，它可以用更嚴謹的行政命令，但還是叫國家資通安全管理法，不是嗎？所以，本席認為這個法不完整，還需要大修，謝謝。
主席：原本今天只進行詢答，剛才委員提出一些憂慮，這個法要再做更恰當的修正。
葉委員宜津：主席，其實很簡單，我們就打開天窗說亮話，我們不要只抄一半，就全部抄吧，漏掉最重要的部分，那有什麼用呢？只有裝鐵窗而已，都已經到網路時代了！

主席、各位委員。是的。
李委員俊俋：就處務規程第十七條的規定，國家資通安全相關法規及規範由資通處負責，這是它的職掌，沒有錯吧？

是。
李委員俊俋：所以，現在有關資通安全管理法草案就由你們資通處處理，是這樣的情形吧？

是的。

是透過副院長所召集的國家資通安全會報來進行整合。
李委員俊俋：是由會報在決定，實際的執行單位其實不是資通處。
宋副秘書長餘俠：會報是由副院長召集，委員都是各部會的副首長，會報的幕僚單位也明定是資通安全處。
李委員俊俋：幕僚單位是資通安全處，但實際執行資通安全其實是各部會的資訊單位，對不對？
宋副秘書長餘俠：對，因為這個法是訂定基本方針。
李委員俊俋：各部會的資訊單位因為性質不同，所以有不同的內容和不同的相關。

是的。
李委員俊俋：繼續請教處長，現在資通處總共有多少人？

主席、各位委員。現在正式編制是15人。

都是資訊職系。
李委員俊俋：你們今天送出的資通安全管理法草案，其實裡面問題重重，特別在我們法政背景的委員看來，這個法的問題很多，我們以下逐一檢視。首先，立法目的是為了提升資通安全環境，維護社會公共利益，增進資安產業發展，這三個目的都是，對不對？

是。
李委員俊俋：先不管你們的立法目的是否符合要求，整個架構有5個章節，包括總則、公務機關、非公務機關、罰則和附則，是這樣吧？

是。
李委員俊俋：裡面產生很多問題，條文提到資通安全管理法未來還會有很多的子法，請問包括哪些子法？

當然是有施行細則……
李委員俊俋：包括施行細則、作業辦法、通報應變辦法、稽核辦法、資訊分享等等，全部由資通處做整理規劃。

是。
李委員俊俋：這才是真正問題所在，你們沒有足夠的人力，人才也只是著重在資訊安全而已，對各部會的相關資訊並不是全部都瞭解，但是要做所有的事情。本席現在要問的是，就第三條的規定，為提升資通安全，推動事項包括資通安全專業人才之培育以及資通安全產業之發展及推動，請問內容是什麼？
簡處長宏偉：就資通安全專業人才培育部分，基本上資通處是政策規劃單位，比如我們會協調教育部要培育通才和專才，經濟部要培育產業人才，國防部要培育國防人才……
李委員俊俋：你瞭解本席要問什麼嗎？第三條規定推動事項有資通安全專業人才之培育，以及資通安全產業之發展及推動，但是對於如何推動事宜，條文裡面一個字都沒有提到，一個字都沒談！人才怎麼培育、產業怎麼發展，這部資通安全管理法完全沒有提到，其實本來就不會提到。你現在說你們的作法是去協調各部會，由各部會自行處理，那是怎麼樣運作？
簡處長宏偉：向委員報告，我們是透過協調部會，以計畫的方式，包括以行政面方式來協調大家來推動。

因為這是屬於執行面的部分。
李委員俊俋：所以，就法案內容，講不好聽一點，就是脫褲子放屁。我們為了要發展資通安全人才專業培養，為了要發展資通安全的產業發展，但對怎麼發展並不知道，條文裡面也沒有提到，你們有發現這樣的問題嗎？
再請教處長，人才推動計畫的內容、目標和相關子法是什麼？

這些都放在第五期的發展方案裡面。

因為這已經是屬於執行面……
李委員俊俋：這就是我要問的問題，你們的法案規範目的到底是什麼？如果只有談資通安全，這個我可以瞭解，就資通安全怎麼做，但如果只談資通安全，就不要跟我說這裡面還有人才規劃和產業如何發展。
再者，第十四條提到對公務機關所屬人員有獎懲，績效優良者應予獎勵，請問什麼叫「績效優良」？
簡處長宏偉：包括落實執行資安受稽核的部分，以及確實做到防禦，這也是我們現在正在做對資訊安全評估給予一個準則框架。
李委員俊俋：判定任何公務機關優良與否，要有評鑑的方法和內容，才有辦法判定，條文只寫「績效優良」，請問「績效優良」定義為何？你瞭解我的意思嗎？

我知道。
李委員俊俋：另外，除了對績效優良者予以獎勵，未遵守本法規定者，按其情節輕重，依相關規定予以懲戒或懲處，請問「相關規定」是什麼？
簡處長宏偉：公務人員懲戒條例相關的人事規範裡面，針對公務人員沒有做的部分……

主席、各位委員。有15個正式人員。
王委員育敏：科技中心廢止之後，變成是資策會下轄的技術服務中心，請問你們的關係是什麼？

我們委託他們處理資安事件。

這幾年大概是3億到4億之間。
王委員育敏：這麼龐大的預算，你們無力處理，要透過委託的方式，那你認為是用現在方式比較好？還是交由將之提升為行政法人之後，讓它有獨立的預算和人力得以穩定的運作，會比現在的效能更好？你能回答這個問題嗎？

我們現在也在檢討它未來的屬性是怎麼樣的情況會比較好。
王委員育敏：所以你發現現在的做法是錯誤的？其實這不是由你來回答，今天本來應該由秘書長回答。請問宋副秘書長，資安處在105年8月1日掛牌，實質運作是每年以3、4億的經費委託給資策會的技服中心，這樣的作法會比當時張善政院長力主設置行政法人資通安全科技中心更好嗎？你們要不要好好評估一下？現在你們的人力跟資源這麼不穩定，所以難怪公部門的資安工作都做得不好啊！這件事情難道不需要檢討嗎？

因為資訊科技日新月異、變化很快……
王委員育敏：需要專業人才，而且在運作上要有穩定的系統才對嘛！

我們希望能夠結合民間的資源來維持資訊……
王委員育敏：依照你們執行的狀況，你們現在都是用訂合約的方式，這種方式缺乏彈性，而且沒有辦法快速因應一些緊急的事故。你們現在資安人力的缺口高達500人，對不對？這麼龐大的人力缺口，你們一個資訊處才只有15個人，這樣能做好什麼事情呢？你們應該要整個融合成一個整體，從政策的規劃、人員的編制到預算的編列要合為一體，這樣執行起來才會有效率啊！我相信現在處長做起來也是綁手綁腳吧！有些事情很緊急，又是委託辦理，你們可以親自指揮或自己去做嗎？也不行吧！
簡處長宏偉：跟委員報告，雖然這個是委託辦理，不過是專人專用，所以其實我們是可以直接指揮的。

現在是直接由行政院資通安全處在處理。
劉委員櫂豪：你們有沒有比較中意的方向，或者你們什麼時候才會評估出來？因為大家還是會關心，你們認為這個組織是有必要的，無論它的名稱叫做什麼，現在討論的只是在於要用什麼型態來成立及運作嘛！還是說你們要等這個法律通過之後才會思考下一步的問題，或者同步進行，我要問的是你們的時間表為何？
簡處長宏偉：我們是同步在評估，但在這個法通過了以後才會正式去推這件事情，因為去年廢止之時，其中有一個論點就是沒有一個上位的法源。
劉委員櫂豪：對。跳到下一個問題，我就姑且稱它為中心，將來你們期待這個中心能夠達到什麼樣的功能？
簡處長宏偉：我們參考其他國家，包括德國的做法，它要有專業的技術人力、技術持續進步，接下來它要能夠協助整個政府資安事件的通報應變、資訊分享，希望能夠達到這樣的功能。因為它有足夠的技術專家，所以當發生重大資安事件的時候就能即時處理，同時也能夠產出專業的評估報告。
劉委員櫂豪：我個人的傾向是，如果用行政法人會比較有彈性，但政府要設立行政法人在數目上也受到控制，這其實是另外一種類型的總員額控制。而如果回歸到行政機關，它就真正受到公務人員總員額的控制，所以有其難度。行政機關的好處是，因為都是公務人員，在監督、督促上都很明確，公務體系幾十年來的運作都有一定的規矩在，但相對的其優點往往也可能是缺點，就是比較沒有彈性，包括用人方面的晉級、薪水等都會受到限制。資安人員是非常專業的人才，無論他的薪水或是升遷條件，以現有的體制我們就會怕找不到很專業的人才願意加入此一行列。相較而言行政法人之彈性當然是夠，但或許我們可以預見將來在監督上的問題，因為資安人員相對上一定掌握了很多別人看不到的資訊，當他們擁有技術、資訊的時候要如何監督，讓他忠於職守不致偏差，這是我們將來可能要非常著重的地方。至於其他的像是純粹採NGO等方式，在現行的架構之下我看是有點困難。所以現在應該是歸為兩大類在思考，各有利弊，我們期待行政院團隊能夠儘快推動，除了今天討論的母法之外，就該有的相關組織架構也應該未雨綢繆、同步進行。特別是現在大家都認為資訊安全非常重要，但99.9%的人並沒有能力去捍衛或保障自己的資訊安全，像我們每天都在上網、透過網路做很多的事情，坦白說，我們明明知道這有風險，但無力去防衛自己的安全，只能自我想像：我可能不會是幾億分之一被挑中的那一個人。所以，有賴政府來做這一件事情。
因為時間的緣故，我只簡單地再問一下相關法律的問題，草案第五條是寫「行政院得委任或委託其他公務機關、法人或團體，辦理……相關事務。」如同剛剛我提到資安中心的問題，你們將來有沒有什麼想法，「法人或團體」是只有一個，還是多面性的、包含很多類型？
簡處長宏偉：其實它可以是多類型，所以我們才用委任或委託的方式，包括政府機關本身。舉例來講，某一個標準規範建議是由經濟部去處理的時候，我們就可以委任經濟部來處理。
劉委員櫂豪：所以跟資通安全有關的可能就會分門別類，委託不同專業的人士、無論是政府或者政府以外的組織來做這樣的事情。
簡處長宏偉：是，我們會朝這個方向……
劉委員櫂豪：還是回到很重要的那件事情，就是要考量如何監督管理，好不好？

謝謝委員。
主席：請鍾委員孔炤發言。鍾委員發言完畢之後，會議休息5分鐘。
鍾委員孔炤：主席、各位列席官員、各位同仁。資通安全管理法草案討論到現在，上個禮拜也討論過，剛剛這麼多的委員在質疑，甚至說民進黨執政之後把這麼重要的一個三級機關給廢除掉，我們都知道資通安全管理法草案最主要的立法目的就是為了要維護整體的資通安全，另外就是要保障國家安全與公共利益，沒有人會去忽視資安的安全性跟重要性，也不會因為民進黨執政，在105年5月3日把它廢止之後，就忽視它的存在，反而是希望能夠強化它的功能性，最主要就是當時的立法宗旨，但是在這一次的草案裡面，我上一次有提問，你們還是未明定所謂的主管機關，是否直接由行政院為本法的主管機關？因為我剛剛有講，如果在野黨去質疑當時三級機關的資安會報，隸屬在科技部、隸屬在行政部門這麼重要的一個位階，你們把它廢除之後，但是你們的草案裡面卻沒有一個本法的主管機關，到底是行政院或者是科技部，請問處長或副秘書長可以回應嗎？

它是定在各個條文裡面……
鍾委員孔炤：不管是審計、國防等單位，一大堆統統坐在後面，但是有關他們角色的扮演，我剛剛有提到科技部的角色到底在裡面扮演什麼？行政……

我剛剛特別舉了例子……
鍾委員孔炤：我問一下用詞的定義，所謂的非公務機關，包括關鍵基礎建設的提供者，它有八大功能對不對？

是。
鍾委員孔炤：有關這八大功能，我的建議不知道是對或錯，但是你們是不是可以做參考，因為我上次也特別把資料給處長過，是不是可加上概括性的條例，最起碼讓它不會很抽象。講白了，那個關鍵基礎設施的提供者有八大功能，雖然是很抽象的東西，但是如果可以加上概括性的條例在裡面，授權行政院調整公告的方式來加以定義，會不會比較具體，容易讓大家來了解？
宋副秘書長餘俠：謝謝委員，這部分我們來檢討，這是很好的建議。
鍾委員孔炤：上一次我就有書面給處長，我也感謝你很快就回應我，但是有些東西你們還是避重就輕，也沒有回答得很清楚，所以我才會在此再次詢問。大家的時間都很難得，因為我們的時間就只有8分鐘，頂多延長2分鐘，我一直跟你講關鍵基礎設施的定義是不是要明確一點，因為關鍵基礎的安全設施如果不明確的規定，不是只放在立法說明而已，包括我的書面資料也有給你嘛！
另外，我想問的是非公務機關進入檢查，你們要進入檢查，這個檢查就會涉及非公務機關相關資訊的隱私，或是其營業機密，或是法遵的成本，都是你們要做妥善考量的。但是對於你們進入檢查的資格、檢查員的資格跟其身分，我沒有看到草案裡面有規範。他的資格是怎樣？進到非公務機關檢查的時候，你們是認為必要時得派員執證明文件進入非公務機關檢查，對不對？但是這些檢查員的資格該怎麼認定？

謝謝委員。

是。

是。
曾委員銘宗：其實銀行走得比較快，像英國早就成立了，英國的資訊分享機制包括銀行、證券、保險，也包括一般的上市上櫃公司，美國的部分只有銀行歸銀行，其他產業歸產業。另外跟你討教有關第十八條的檢查是由誰來檢查？是行政院資訊處還是各部會去檢查？
簡處長宏偉：現在以條文所述，是由中央目的事業主管機關邀集專家學者及法律學者，還有資安專家一起去檢查。
曾委員銘宗：好，還是要回到各主管機關，你要把各主管機關訂明。像最近銀行發生這些詐騙事件，主管機關金管會也沒這個能耐及專業，它有銀行、證券、保險的金融專業，資訊的話它就沒這個專業，它也邀請外界包括趨勢科技做相關檢查。本席問一個問題，錢由誰出？你這裡沒有交代，這個檢查是很貴的，假設邀請這些專家，誰出錢就是個問題。權力來自哪裡？錢誰出？這裡都沒有交代，我建議可以比照證交法第三十八條之一之規定清楚，主管機關因為有必要對上市上櫃做檢查，可以委外會計師或律師等專業人員去做檢查，也可以邀請像趨勢科技這樣的公司去做檢查，將檢查結果提供給主管機關，錢由業者出，在這裡就要定清楚才有其可行性，不然你叫主管機關派人嗎？主管機關自己都看不懂，我不騙你。到時候我再來提案好了，謝謝。

謝謝委員。

所以我們是用帶動。
蔡委員易餘：即使將這幾個字拿掉，我認為也不會影響本法通過立法，這是我提出的第一點。
第二，有關第十九條以下的罰則，你們是針對非公務機關，而且還限定在持有關鍵基礎設施才訂定有罰則，可是對於公務機關卻沒有罰則。這部法律好像是針對私人企業而來，你們對政府部門的規定力道也太小了。
簡處長宏偉：其實不會，對於公務機關的部分，我們在第十四條有提到，依相關規定處理，比如考績法等，其實會比罰鍰更高。如果對公務機關罰款的話，等於是從國庫的左手交給右手，實際上的效益並不大，因此我們在第十四條是依相關規定來懲戒或……
蔡委員易餘：從國庫的左手到右手，這是整個預算的概念，對於公務機關而言，他們還是會很痛苦，因此我無法接受你的解釋。一旦公部門違反資訊安全或通報義務時，該處罰的還是要處罰，這在隔年度的決算中也可以看到他們因違反資安而被處罰，既然被處罰的話，相對應而言，就應該有公務人員要被懲處。縱使你們會依公務人員服務法，或懲戒的相關規定等恐有重疊之處，但是我認為並無不可嘛！在特別法中再次重申，如果公務人員涉及違反資通安全就可以做相關的規定，既然是特別法的話，要嘛就比較重或一樣重，但是不能沒有規定，否則這部法看起來就是在針對民間企業，對公部門反而是付諸闕如啊！
第三，第十八條是規定主管機關與政府的檢查辦法，你們賦予機關可以到非公務機關，包括銀行或通訊等處去檢查。你們是中央目的事業主管機關，結果卻又授權地方縣市政府也可以有檢查權力，這樣會不會將權力開得太大呢？我們對檢查本身已經有很大的疑慮，結果你們卻讓中央及地方縣市政府都可以去做，縣市政府有能量或公務人員有能力去理解什麼叫做資安檢查嗎？還是後來會變成擾民，或是形成對私權侵害的一個破口呢？請處長說明一下。
簡處長宏偉：謝謝委員。當初第十八條會把直轄市、縣市政府納進去，是考量到有些關鍵的基礎設施是屬於縣市所管，就像捷運公司，在這種情況之下，的確是由直轄市來主管，由它來負監督之責。
蔡委員易餘：雖然是由它監督，但是通過之後你們還是可以去監督。
簡處長宏偉：是。所以這個部分我們也會參酌委員的意見，看看是不是要做更明確的限定。
蔡委員易餘：講到更明確，我覺得如果真的要處理第十八條，可以針對各機關去檢查的部分來修改，這麼重大的檢查，你們只用一條就處理掉，以正當法律程序來說，像刑事訴訟法，關於搜索、盤查的程序都相當嚴謹。對於第十八條，我認為甚至把它的位階拉到更高，讓它變成專法，規定得更細膩，都是有必要的。而你們直接用一個條文就賦予主管機關這麼大的權力，讓人感覺這就是一個帝王條款，根據這個條款，為了檢查，什麼都可以做。對於這部分，我有很大的疑慮。今天只有排詢答，希望你們趕快針對整部草案再好好討論，這樣才有辦法進行最後的條文審查。謝謝。

並沒有在逃避。

是。
余委員宛如：換句話說，其實可以列入法規裡，我覺得明定是比較好的。
第十八條也有很多委員在詢問，簡處長，以一個資訊人的立場，你覺得政府這樣立法恰當嗎？
簡處長宏偉：以我的立場，當發生重大資安事件時，的確該在第一時間停止，這是真的。
余委員宛如：科技部薛處長也在場，請問一下，你以資訊人的立場來看第十八條，你覺得政府這樣立法妥當嗎？

……
余委員宛如：再請問經濟部的馬主任，你覺得如何？

這類事件就屬於本法適用範圍。
段委員宜康：我是說，本法規範的範圍，在非公務機關只規範關鍵基礎設施提供者，對不對？以銀行為例好了，我剛才如果沒有聽錯的話，金管會不把銀行視為關鍵基礎設施的提供者，對不對？是，還是不是？銀行是不是關鍵基礎設施的提供者？不是吧！

金管會副處長也在座。
段委員宜康：假設某銀行遭到資安攻擊，導致交易功能停頓，畢竟現在銀行都要使用電腦，一旦電腦被駭、導致當機，交易功能是不是停頓？包括匯款、甚至連存提款也無法進行了。存提款或許還可以，但跨行轉帳就不行了。這會不會對社會公共利益或經濟活動造成重大影響，或是對社會造成重大衝擊？我想會吧！可是，如果我們提報的名單沒有銀行，因為銀行最常發生的資安問題是個資外洩，所以我們就不把銀行視為關鍵基礎設施的提供者，一旦某銀行遭到攻擊，導致電腦當機，各位可以想像，對於其客戶或商業活動會有多大影響。所以，我認為本法在定義的處理上有點混亂，不確定到底想規範什麼樣的事件、規範的層次是什麼，以及要達到的目的是什麼。
我再問一個問題，是關於地方主管機關。我們給地方主管機關什麼樣的權限呢？剛才余委員宛如也問了，地方主管機關可以檢查、可以處罰，該非公務機關要把資安計畫提報給地方，包括直轄市與縣市政府。但我們為什麼相信他們有能力處理這些問題？假設如同剛才行政院所報告的，美國與日本的關鍵基礎設施提供者數目這麼少，那我們為什麼不能要求行政院擔起所有責任，為什麼要讓縣市政府處理？你要我們相信縣市政府有能力？或者我們可以期待，把這麼重大的責任交給縣市政府是合理的嗎？退一萬步說，我相信中華電信應該會是關鍵基礎設施提供者，因為它是電信公司。中華電信在各地都有機房、都有分公司，那是不是任何縣市政府都可以去中華電信機房突擊檢查，或者都可以要求中華電信提報其資安計畫，對於中華電信來說有保障嗎？而業者又能相信地方政府有能力處理這些資安危機，或有能力審查業者的資安報告嗎？地方政府的資安到底做得好不好，你們自己清楚啊！縣市政府連自己都做不好，還有辦法審查他人的資安計畫嗎？你們在法條中制定的管制功能也太草率了吧！
我再問第3個問題。第五條規範委任與委託其他公務機關法人或團體，其中當然也包括公司，辦理資通安全整體防護國際交流等資通安全相關事務，那代表什麼？代表行政院可以將全國所有單位，包括非公務機關的資通安全事務委託給其他法人，包含民營企業。那要不要依照採購法公開招標？也就是針對中華民國所有關鍵基礎設施與政府資通安全照採購法招標，交給一家公司，這未免也太草率了吧！你們制定這項條文的目的到底是什麼？行政院把資安講得那麼重要，那為什麼不能自己做？就算要委託或委任，那條文有沒有明定承包商的資格與條件？你不要跟我說會訂在施行細則，因為這類條文沒有獲得那麼大的授權，最合理的方式就是按照採購法公開招標，否則，會不會有資訊公司來質問行政院為什麼沒有公開招標，直接交給資策會，或為什麼直接給哪一個法人？對不對？你不要只是點頭，要回答我的問題啊！
宋副秘書長餘俠：謝謝段委員的指教，我想針對第五條，您關心的是委託這個部分。由於在實務上，不只行政院院本部，在各目的事業主管機關、也就是部會，甚至地方政府，為了建立資訊交流等機制，都成立了資安中心，大概都是委託辦理。
段委員宜康：如果只是要從事資訊交流、只是要處理資訊業務，或只是提供資訊服務，或許我可以接受，但是在資安管理法中談的資安，是要去追究地方政府或中央其他目的事業主管機關所做的委託有沒有漏洞、委託對象是否有問題，或者是否有能力，這些都應該訂在法條裡，重新檢視。以衛福部為例，不是把健保資料委託給某一家資訊公司管理就可以了，重點是有沒有去追究該資訊公司的資安能力到底有沒有到達標準，這些細節都要訂在法條裡啊！
宋副秘書長餘俠：所以第八條特別提及，委外辦理的建置維護……
段委員宜康：我就問你，第五條的部分，如果要委託的話，是不是要依照採購法？
宋副秘書長餘俠：是，如果是委託，必須按照採購法。
段委員宜康：所以，就是先公告，讓各界來投標整個政府、整個國家資訊安全這個最重要的工作嘛！
宋副秘書長餘俠：對，其實針對受託者的專業能力經驗、對於資通需求之選任與適當作法，我們在第八條中也是這樣要求。
段委員宜康：通過這個法條之後，我們就應該相信你們會去要求，所以，我才要問為什麼要委託。如果這件事這麼重要，你們卻把這項核心業務、這麼關鍵的事務都委託出去，那政府到底累積了什麼？
宋副秘書長餘俠：目前政府受限於資安人力與預算，長期以來都將資訊作業委外。
段委員宜康：這就是問題，我們的政府把核心業務一塊一塊地委託出去了，讓大家標來做生意。
宋副秘書長餘俠：不過，基本上，專案管理仍然由資訊單位同仁辦理。
段委員宜康：今天時間有限，等進入逐條再來處理這件事。

我請本院資安處簡處長說明。

隨著網際網路及資通科技快速發展與普及，資通科技相關應用，已被世界各國視為協助產業經濟轉型、提升國家競爭力及有效解決社會發展議題之關鍵，各國亦紛紛致力於資通政策之規劃，建構公開、有效率之數位環境，希望藉由科技化服務，進而提升民眾生活品質、維護公共利益、帶動產業發展及國家整體競爭力。
然而，網路普及化與消費者使用行為之日新月異，資通系統或服務之應用所引發之網路犯罪、個人資料保護等資通安全課題，逐漸成為影響社會安定、國家安全之隱憂，資通安全威脅型態之瞬息萬變亦使全球面臨嚴峻之考驗。參諸國際近年對於資通安全保護之趨勢，各先進國家已將此議題提升至國家安全層次，並制定專法加以規範。
本院資通安全管理法草案重點
為針對整體資通環境，以風險管理為核心，要求公務機關及受規範之非公務機關考量並因應資通安全風險，訂定及實施資通安全維護計畫，確保資通安全，並由行政院統籌分配資源，整合民間力量，提升我國整體資通安全環境及全民資通安全意識，確保國家安全與公共利益，行政院已參酌美、日、德等先進國家立法原則，並考量我國社經環境與法規制度，擬具「資通安全管理法（草案）」，期透過建立一套以風險管理為核心之機制，要求規範對象進行風險管理，並於發生資安事件時，能立即通報並應處。
目前適用對象包括公務機關及非公務機關，公務機關指中央與地方機關（構）及公法人，而非公務機關則以關鍵基礎設施提供者、公營事業及政府捐助達一定比例之財團法人為主。

本草案主要規劃5個章節，分別為總則、公務機關資通安全管理、非公務機關資通安全管理、罰則及附則，共計21條。主要重要條文如次：
1.明確規範資通安全政策制定與推動組織，以及本院及中央目的事業主管機關之權責，以強化資安政策之制定、推動與執行之能量。
2.規範公務機關應建立資通安全維護機制。
3.規範關鍵基礎設施提供者等非公務機關應建立資通安全維護機制。
4.規範資通安全事件通報、應變與矯正、預防機制。
5.訂定行政檢查與罰則，以及其他推動資通安全相關配合事項。

一、本法的中央主管機關是行政院，但目前行政院負責資訊安全是行政院的國家資訊安全會報，這部資通安全管理法通過後，國家資訊安全會報的位置是否改變？
二、科技部做為我國科技產的主管機關，而資訊安全與台灣IT產業息息相關，未來科技部在台灣資訊安全上其扮演的角色為何？
三、2016年7月10、11日周末凌晨，第一銀行爆發了臺灣有史以來第一次的大規模ATM遭駭盜領案，遭駭的ATM是推出超過十年的德利多富（Wincor）舊款ATM，型號為Pro Cash1500，內建的是微軟已經停止支援的WindowsXP作業系統，儘管透過特殊合約仍可尋求微軟客制安全更新，不過，只要進入eBay，人人都可以下標買到同款ATM來研究入侵手法，過去向來外人難知的ATM防護機制，在這款機型上一點都不是秘密。根據金管會清查，全臺39家金融機構，連同中華郵政在內，共有2.5萬部ATM，其中約2成，也就是近5千臺都是同一款ATM，一銀手上的4百多臺同款機型只是少數，其他金融機構部署的數量更多。雖然台灣警方在7月18日就偵破並追回贓款。
無獨有偶的今年10月3日遠東商銀被駭，駭客匯出資金一度高達6,000萬美元，創台灣銀行業「SWIFT系統（環球銀行間金融電訊網路）」被攻破首例，2016年孟加拉央行，因為類似手法、被駭走8,100萬美元，在遠銀被盜的6,010多萬美元中，有4,600萬匯到他國銀行，1,400萬匯到國外個人帳戶，因轉帳金額過大，容易引起銀行注意與警覺，加上國際銀行間的合作機制、國際刑警組織協助凍結，雖追回大部分的款項。
以上這兩個案例讓台灣金融業的資安也亮紅燈，對於金融業資訊安全的補救措施，政府目前做了哪一些，相關的資安漏洞是否已補強。