資安即國安 數位部知漏洞嗎

防駭與反駭，指的是有效偵測與對付駭客網路攻擊及網路竊取資料（包括適度反擊），防偽指的則是有效偵測「偽資訊」（包括使用軟體所製作、合成或修改而得之聲音與影像）。

「防駭、反駭與防偽」不僅是社會有需求，連數位部都有需求；以「數位政府化」為例，數位部若真要實現數位政府的理念，必須先證明政府（以及政府將提供資料給它的公民營機構）確實可做好防駭工作（如果還能做到反駭當然更好）。

「網路通訊的韌性」也一樣，若兩岸真的發生衝突，數位部不僅要「變出」某種備用網路，也要能有效對付對方的駭網戰術以及各種偽訊息才行。

數位部轄下有國家資通安全研究院與資通安全署，前者負責資安科技的研發、移轉與應用，後者負責國家的資安防護；在防駭部分，資安署只負責「國家關鍵基礎設施」（資安署組織法第二條第三項），並由資安院提供協助（資安院組織法第三條第四項）；而資安院本身也只負責支援「具有特殊敏感性之政府機關（構）」（資安院組織法第三條第六項），對於一般政府機關與公營事業機構，資安署的作法是：對相關（資安）人員作教育培訓並考核其業務。

當然，這種安排不能說是不合理，問題是：不管是資安院還是資安署、好像都沒有向社會大眾完整交代過當初那兩千多萬筆戶政個資是怎麼被駭出去的。「兩千多萬筆戶政個資被駭」，代表之前政府機關與公營事業機構的資安措施有漏洞，請問資安院與資安署知不知道這些漏洞是什麼？又請問資安院與資安署如何能確保目前（希望是針對先前各個漏洞改良過的）資安措施沒有其他漏洞？

理想上，希望資安署在查核資安業務時不要只是單純的檢查負責人員的各種作法，資安署或資安院最好能找來部內的白帽駭客，地毯式地一個個網站檢查（即作入侵測試），這才是可以確保沒有任何已知漏洞存在的辦法！

至於民間各單位的防駭措施、監督與查核，確實是個問題，但政府不能不管！然而，談到對民營事業與機構、甚至自由業從業人員防駭措施的監督與查核，目前所能看到的只有：資安院可以「協助規畫及培育資通安全專業人才」（資安院組織法第三條第五項），而若「（民間）產業（對）資通安全（有）重大發展之需求」，理論上資安院也可提供「支援」（資安院組織法第三條第七項）。

除此之外，政府所做的就只是在確認民間企業被駭之後「可能」作出懲處，但這種事後懲處的做法根本就只是沒有辦法的辦法而已！在這種狀況下，請問政府如何能確保當一切資料被數位化與雲端化後，各種由政府所提供給民營企業專用的資訊不會被駭？政府不能永遠都只是在出事後，以罰款與要求限期改善了事！這並不是負責任的作法！

資安即國安！數位部應該要將「防駭、反駭與防偽」列為整個數位部的工作重點才對。