▎ 從行政院國發基金創業投資電腦系統遭駭事件,看台灣資安現況 🧐
「資安即國安,切莫淪為口號!」
有鑑於近年來國內外資安事件頻傳,虹安於國會問政也經常關心我國資安政策與規劃。甫於上個月,行政院國家發展基金的創業投資電腦系統遭疑似來自中國大陸的駭客惡意入侵,顯現出政府機關的資安意識與作為仍然相當薄弱,所謂的「資安國家隊」似乎僅淪於口號而並非具有實質作用?
💡前情提要💡
6月底,行政院國家發展基金的創業投資電腦系統突然無法開機,近日終於釐清原因,該單位的電腦遭疑似來自中國大陸駭客惡意入侵,導致系統主機遭植入病毒程式,該單位主要負責國內產業新創與公司轉型業務,此事件已通報為三級資安事件,影響層面涉及投資企業與融資業務、個人資料恐已外洩...等,屬於極度嚴重的資安事件。
虹安曾多次公開呼籲,政府或企業要提高資安意識,且應定期執行模擬演練攻擊;政府也應該儘速盤點相關政策,加速產官學研資安防護能力。比如說定期執行紅隊演練攻擊(模擬駭客入侵,對各企業端點進行攻擊)的服務,藉此找出資安防護的弱點加以改進。全世界皆面臨著資訊戰以及日益猖獗的惡意竊盜資料的網路攻擊,近年更有許多企業遭到駭客組織的「勒索軟體即服務」(RaaS)新興手法攻擊,公私部門之資安意識、能力和人才提升,勢必得馬上佈建、徹底執行。
🎯🎯🎯國發基金的創業投資電腦系統遭駭,問題可能出在哪?
① 重要主機資訊系統並沒有資安團隊或資安人員進行主動積極防禦,突顯資安人才短缺問題造成的影響仍持續擴大。
② 資訊系統委外開發及維運,顯然並沒有進階資安防護的要求,造成甲乙雙方置系統安全不顧。建議應檢視所有目前政府重要系統委外營運之合約,無論新舊,對於資安的要求是否符合規範。
③ 國發基金系統既然委外由兆豐銀行開發及維運,此事件是否表示兆豐銀行在資訊安全管理上有所疏漏,不知是否有檢視兆豐銀行整體資安防護措施?雖然在金管會要求下銀行都有專屬的資安團隊及應該做好的防護,不過今天的事件,是否代表著兆豐在資安維運上存在某種瑕疵?又,這類的事件是否會在銀行系統中發生?
如果今天遭竊的不是所謂四五年前的舊資料,而是所有納稅人的血汗錢以及國庫資金?後果不堪設想。
所以,當我們發現國發基金委託外部建置的系統至今毫無有效的資安防護措施、一遭攻擊就破功,著實令人震驚!此舉形同開大門邀請別人來攻擊,#門打開嘸人顧厝,這樣的疏漏相當嚴重也不可容忍。試問數以百計政府機關單位中,是否可能還有類似情況?人民、企業、甚至是國家該如何有保障?
剛出爐的《109年國家資通安全情勢報告》才寫道:109政府單位資安稽核重點是以「行政院所屬部會行總處署」為主,隸屬於行政院的國發基金系統竟然仍存在著資安薄弱的問題!
🔊 虹安再度呼籲,行政院應該要針對所有政府機關與國營事業做 #資安總體檢,找出系統弱點漏洞,否則以台灣政府單位每年遭受2-4000萬次網路攻擊的頻率(2018年公開資料),政府重要機密與民眾個人資料如何能有效保障安全,實在令人高度憂心!
同時也有1部Youtube影片,追蹤數超過19萬的網紅3Q陳柏惟,也在其Youtube影片中提到,二月初,疫情正在擴散時,有民眾反映,到底中國疫情警訊目前狀況是如何?我們在外交部宣布旅遊警訊的國家名單中,卻找不到疫情蔓延始作俑者的中國。原來,中港澳被歸類在陸委會管轄範圍,因此必須要到陸委會網頁,才能看到中國的資訊。我指出這問題,但卻遭到外交部的發言人說我是「錯誤認知」,不知道有多少人跟我一樣有外...
資訊系統 委外 開發 在 高虹安 Facebook 的最佳解答
虹安前日發表有關「疫苗接種預約平台」索資三週遭已讀不回一事,獲得衛福部薛瑞元次長、民進黨委員及媒體回應與指教,藉此機會與大家更深入討論此一議題。
👉🏻 薛瑞元次長說:「疾管署每月收到立院數百件索取資料,由於現階段要兼顧防疫工作,又要回答立法院的要求,對於立委的索資無法快速回應,請立委多諒解。」🙄 💢
不知道大家是否還記憶猶新,在談到華航諾富特飯店防疫管理曾遭檢舉而未處理時,陳時中部長曾有一句名言:「#公文不會跑得比病毒快」,當時甚至有藥師酸:「我阿嬤來跑都贏了」。原以為這樣的教訓衛福部會謹記在心,沒想到,面對立法院監督時,薛次長依舊用「無法快速回應,請多諒解」的理由來搪塞。
虹安辦公室是在6月24日發函疾管署,請其提供疫苗接種預約平台上線時程及建置相關預算項目說明。平台於7月6日完成建置上線,因此此項建置專案之規格、需求應早已明確,委外採購亦應有標案名稱、得標公司、採購金額等資訊。#系統開發專案一定有相關需求規格書文件,否則部會如何與委外廠商溝通?還是真的雙方心有靈犀、心領神會到完全不用任何文件往來?由此可知,需求規格書是現有資料,衛福部不是沒有時間處理,只是不願意處理。
薛次長也搬出「無法兼顧防疫工作」的理由試圖情緒勒索。但,此類資訊應為資訊室或主計室主管,並非第一線防疫相關人員,亦不需待調查或彙整統計,即可立即掌握時程之規劃,預算之金額等事實才是。虹安在二十日的等待後才發文表示不解,真的沒有過份要求多「快速」的回應。
👉🏻 鄭運鵬委員說:「關貿公司有豐富的建置政府系統平台經驗,委外建置是假議題,虹安是內行人講外行話」。🙄 💢
虹安認為,鄭委員身為資深國會前輩,民意代表資歷比虹安深,應深知疫苗接種預約平台使用人民納稅錢委外建置,運用於全國民眾,亦是防疫政策重中之重,監督委外案之規格和預算花用,當然是立委職責所在!不幫忙一起監督就算了,還急於幫外包公司說好話,鄭委員才真正是內行人講外行話!
虹安原文中,其實並未反對平台採委外建置,也並未質疑委外公司的能力與實績,虹安質疑的一直都是衛福部不回應預算來源,也遲遲不提供平台建置規劃,對於一些民眾需要的疫苗接種預約相關功能,為何目前於平台上並未提供,也無法一窺全貌。果若依鄭委員所說,關貿公司過往績效卓著,不容質疑、無須說明,則何須政府採購法招標程序?何須立法院監督?
👉🏻 劉世芳委員說,「委外計畫本來就會對外公開,委外建置有按照採購法沒有問題,而現在還在預算執行期間,執行還沒完成要報告什麼?一切要按照契約程序來走。」🙄 💢
劉委員可能沒有理解虹安所提出的問題,也未看文章就發言。我們並非要求疾管署提供疫苗預約平台之結案或執行報告,而只是要求說明本來在「委外計畫」中就應該會有的 #規劃時程 與 #預算金額。劉委員若認為本案都有依照政府採購法程序,計畫也有對外公開,那疾管署迄今三週無法回覆虹安索資,且不論這麼長時間的簽核是否合理,若連已經公開的資訊都無法直接提供政府公開採購網連結讓我們自行下載了解,豈不是更莫名其妙了嗎?
至於執行還沒完成要報告什麼?讓我來告訴劉委員,疫苗接種預約平台上線,許多民眾需要的功能未臻完善:混打防呆機制?第二劑接種時間通知?施打優先類別稽核?長者使用者介面體驗(UI/UX)強化?殘劑預約功能?如果按照劉委員所說,只能等到執行完成才能說,那不就錯過了這些功能需求完善的時間點?
👉🏻 關於另一媒體報導中,引述資深國會助理說「應該去找財政部,要求約見關貿公司的官股代表,自然資料就會一清二楚。」
虹安當然也知道,所以 #日前早已對財政部發函索資,請其轉請關貿公司提供相關資訊,財政部初步回應同樣也表示「要衛福部同意,本部不便提供」,建議我們回頭向衛福部索取。至於報導中評論,有官股色彩的公司,立委怎麼可能要不到資料的質疑,虹安只能無奈的說,對各部門和國營事業的敏感索資滯礙,早在去年質詢口罩進銷存數據時,就已經歷許多。
第十屆立法委員對行政院各部會的問政索資,往往困難重重一事,從第三會期紛紛擾擾的 #3加11會議紀錄 索取乙案,便可見一端。本來行政部門負責執行,立法部門負責監督,都是職責之所在,還是希望不分黨派的國會同仁都能誠實面對自己,別讓立法院成了只能拍手和舉手的立法局了。
資訊系統 委外 開發 在 高虹安 Facebook 的最讚貼文
▎ 故宮影片行銷不足,國際得大獎、網路觀看少,可惜了好內容
立法院教育及文化委員會,本週邀請 #國立故宮博物院 院長吳密察進行業務報告並備質詢,虹安在質詢時指出,#故宮 明年度編列了635萬的預算,規劃成立 #國際國寶頻道,在故宮官方的YouTube頻道上再加一個影片專區。
虹安首先要肯定故宮,在今年5月參加美國第53屆休士頓獨立製片與國際影片影展,抱回14項大獎。故宮網站與由各界名人共襄盛舉所拍攝的 #經典之美系列影片,分別獲得最佳首頁銀獎與網路影片類銅獎。今年7月參加美國博物館聯盟,也獲得獎項。
然而,這些影片在故宮官方YouTube頻道上,點閱率還是很低。影片能夠獲獎肯定,顯然是精彩的,問題還是出在沒有好的數位行銷策略,放到網路上,點閱數還是不多。叫好不叫座,可惜了好內容。
依照業務報告內容,故宮明年打算導入新媒體與數位科技,建構 #智慧博物館。項下有包括推動新媒體數位展演、充實數位內容基礎架構,擴大線上應用與行銷、打造智慧服務、擴大open data專區的應用廣度、運用Facebook、Instagram、Podcast等新媒體載具進行網路曝光,及深化google arts and culture合作等多達十二個計畫。
然而虹安發現,故宮雖有如此旺盛企圖心,但在110年度預算書中,只打算增加2名資訊職系人員,對比前述大份量的數位科技發展方向,顯然不足。就算這些計畫將來要委外進行,若沒有懂得資訊系統規格和專案管理的人才,要真做好恐怕不容易。以虹安過去已數度質詢,#交通部 委外開發3年,花了1.5億元的 #UMAJI APP為例,林佳龍部長已經坦誠失敗,提醒故宮必須重視資訊人才,以免重蹈覆轍。
對於虹安的提醒,吳密察院長表示,雖然只有兩個名額,但一定會精挑細選出高手。目前也打算把資訊相關人力整合成一個處,底下有三個科負責所有的數位行銷工作,希望可以達成任務。至於得獎影片曝光偏低部分,除了網路頻道的露出,故宮也整理出特展的空間,將來會規劃成觀賞室,讓到院參觀的民眾也可以欣賞這些得獎的影片。
資訊系統 委外 開發 在 3Q陳柏惟 Youtube 的最讚貼文
二月初,疫情正在擴散時,有民眾反映,到底中國疫情警訊目前狀況是如何?我們在外交部宣布旅遊警訊的國家名單中,卻找不到疫情蔓延始作俑者的中國。原來,中港澳被歸類在陸委會管轄範圍,因此必須要到陸委會網頁,才能看到中國的資訊。我指出這問題,但卻遭到外交部的發言人說我是「錯誤認知」,不知道有多少人跟我一樣有外交部所說的錯誤認知呢?
陸委會組織的設立,為「大中國思想」下的產物,邏輯上代表「大陸淪陷區」乃「大中華民國」之叛離一部分。而這樣的「錯誤認知」源自於中華民國體制的現況,外國人分不清台灣和中國之間的區別,許多民眾在國外被為難,撤僑時我們也無法與中國站在對等的地位。
相較於中國國台辦,還包括對台統戰的功能,陸委會對中事務多是以交流、救助或照顧為主,至於中國打壓台人、中國的霸道言行,卻難以使力。此外,陸委會目前的職權也僅有情事研判、聯繫、資訊蒐集與出版、資源利用與開發事項,而實際執行還只能靠海基會來處理。目前的法定職權並沒有讓陸委會有足夠的武器來反應國台辦的種種威脅。
吳釗燮部長也承認目前台灣人在國外,被混淆誤認成中國人時,遭受到不合理的對待,部長也建議民眾可以聯繫代表處,代表處會盡全力幫助民眾。但我認為,比起外交部被動式等待民眾求援,中國相關警示資訊,應主動併列外交部公告系統。
目前外交部下設的亞東太平洋司未有中國科,在不廢除陸委會或是併入外交部的情況下,我與團隊建議,外交部應該另行成立「中國司」,以外交部組織法第二條第一項第二款「涉外政治、軍事、安全、通商、經濟、財政、文化、國際組織參與、公眾外交及其他涉外事務之統合規劃、協調及監督。」,補強陸委會本身法定職權不足之處,讓台灣的行政組織有更強大的法定職權,提升國家地位,以「抗中保台」,在國際遇到各種問題時,我們能更有力的保護自己。
除了避免窗口混亂,避免讓民眾不知所措之外,最重要的是保障民眾的權益,並找回台灣自己的主體地位,3Q。
#3Q陳柏惟 #中二立委 #台灣基進
===============================
◆ 訂閱3Q的Youtube → https://www.youtube.com/c/3QChen
◆ 追蹤3Q的FB → https://www.facebook.com/3Q.PehUi/
◆ 追蹤3Q的IG → wondachen
◆ 追蹤3Q的噗浪 → wondachen
◆ 追蹤3Q的推特 → https://twitter.com/wondafrog
===============================
◆ 台灣基進官網 → http://radicalwings.tw/
◆ 訂閱台灣基進官方Youtube → https://pros.is/L8GNN
◆ 追蹤台灣基進官方臉書 → https://www.facebook.com/radicalwings/
◆ 捐款支持台灣基進 → http://radicalwings.tw/support.php
![post-title](https://i.ytimg.com/vi/pjtl4io2e6U/hqdefault.jpg)