如果有上車需要止凡

如果台灣發生如韓國一樣的駭客攻擊事件，是否有抵擋能力？多位網路資安專家表示，台灣的網路根本毫無資訊安全可言，問題在於政府放任不管、業者只會買證書卻未落實稽核的心態，一旦發生駭客攻擊，台灣上自國家機密、下至市井小民隱私，將毫無安全可言。

撰文‧許樶文

三月二十日，韓國遭網路駭客惡意攻擊，導致多家媒體及銀行電腦主機癱瘓，震驚全球；大家不免擔心，一樣的狀況發生在台灣，能擋得住嗎？多位負責網路資訊安全的專家對此回應：「很難、幾乎不可能，因為台灣的資安稽核根本沒落實。」台灣網站分級推廣基金會執行長胡貽圓表示，韓國從九○年代初期就開始發展「電子化政府」，還曾在二○一○、一二年兩度獲得聯合國電子化政府評比第一名，「別的不說，當台灣把『網咖』當成特種行業強力掃蕩時，韓國卻是大力扶植網咖，這個國家對網路資訊安全投注的心力，與台灣相比，是兩種截然不同的格局。」「如果韓國擋不住駭客，那麼，台灣更不可能。相同的網路攻擊事件發生在台灣，確實讓人懷疑台灣資安的招架能力。」胡貽圓擔心地說。

漏洞一：政府缺乏明確罰則在韓國事件發生後，台灣的金融業、電信業、政府單位等，都急著對外宣稱自己已經通過ISO 27001國際資訊安全標準認證，但實際上，不論是金融業、電信業，甚至於政府部門，都曾因為網路被駭而損失慘重。

例如○三年時，某官股行庫因一位實習生騙取了主管的網路金鑰，將兩筆共三．二億元新台幣的資金存入虛擬帳戶中，然後再轉入自己帳戶；○九年一月，內政部移民署大當機，花了三天才修復，而這中間卻有被列管的五人因為電腦當機而順利出境。

資安漏洞不止於此！○八年至○九年跨年夜時，某電信業者系統當機，經調查，發現竟是電信業者合作廠商的離職工程師，利用公司不知道的帳號與密碼入侵電信業者的主機，約有超過百萬名用戶受影響。

查證後，該電信公司對工程師提出告訴，但這家電信公司卻沒因為未盡善良管理人責任而被政府罰款。「如果相同的事件發生在美國，該電信業者會因資訊安全管理不當而被罰兩千萬美元以上。」一位在某國立大學負責教授網路資安的老師強調。

漏洞二：認證機構良莠不齊「台灣的資安問題，不是我們『技不如人』，而是根本沒有嚴謹的要求與管理。」這位老師表示，除了政府沒有明定資安管理不當的罰責、造成業者怠惰之外，從資安的驗證到後續追蹤稽核，都有嚴重漏洞。

事實上，在經濟部標準局檢驗局底下、負責管理驗證公司的財團法人全國認證基金會只核可七家驗證公司能發放ISO 27001的證書，而這七家公司目前僅發出三百多張，令人憂心的是：「企業稱自己通過ISO 27001認證、手上還有證書的，遠遠超過這數目。」一家在台灣僅輔導企業通過ＩＳＯ認證、不發證書的顧問公司表示。

且這三百多張中，僅有不到十張是企業的每個部門都通過此標準認證，「剩下的多是企業的資訊部門通過驗證，所以駭客能從其他部門入侵。」這位老師指出，「在實務上，只要公司付三十萬元新台幣，找家驗證公司輔導，備齊文件，往往就能通過ISO 27001的認證。」但企業內部每一項資安細節是否真有符合ISO 27001的標準，恐怕未受到嚴謹檢核。

對於國內資安驗證的鬆散亂象，行政院國家資通安全會報召集人張善政也曾提及。去年，他在出席台北資安展開幕典禮時就提到，「台灣取得ISO 27001資安管理驗證的市場需求大增，但供應端卻是良莠不齊。」漏洞三：未依產業量身驗證在歐美先進國家，發放資安驗證的單位多為非營利事業機構，以在台灣也有分公司的挪威商ＤＮＶ為例，ＤＮＶ在挪威並不是「公司」，而是一個獨立的「基金會」，雖然驗證、稽核也會向企業收費，但因為非屬營利機構，不以賺錢獲利為目的，因此在檢驗與稽核上的公正性也較能受到信任。

而在台灣，負責資安的認證、稽核單位多半是營利事業。「在營利事業單位前提下，驗證、發證及後續的稽核皆為同一家公司，這樣的證書能有多少公正性？」一位教資安的老師提出質疑。

荒謬的資安漏洞不止於此，各行業該符合的網路資安條件都因產業特性而有所不同，即使企業能讓坊間的驗證公司每年稽核，也該按照產業類別，訓練專門人才稽核。

據了解，歐美先進國家甚至是中國大陸，負責稽核人員幾乎要求按照產業類別加以區分。但在台灣，目前驗證公司負責稽核的人員幾乎都是橫跨多種產業的「通才」。全國認證基金會就坦言：「目前驗證公司的稽核人員，確實沒有按產業別分類。」據了解，全國認證基金會曾在○二年八月出過一份報告，附錄建議依照歐聯執委會規則，將產業總共分為三十九類，依照專才分類稽核，但最後卻不了了之。

相較於台灣，大陸對於網路資安的要求，卻是比台灣嚴格、明確許多。大陸師法美國，從一九九五年開始，逐步建立網路資安技術要求的標準，並在準備工作告一段落後，在○七年六月頒布「信息安全等級保護管理辦法」，大陸並沒有遵照ＩＳＯ的相關辦法，而是自己制定一套資安規則，由專門的公安部落實發證書制度，並定期派員稽核。

此外，大陸將資安分為五等級。反觀台灣，推動資安已經超過十二年，到○九年才訂出「資訊與資訊系統分類分級」工作項目，可是到現在，分類分級的標準都還沒有明確訂定。

ＩＳＯ制定的國際認證標準並沒有問題，有問題的是台灣政府的心態與執行力，「橘逾淮為枳」，一個國際認可的制度到了台灣後，卻漏洞百出，值得相關單位深思。

什麼是ISO 27001？

ISO（International Organization for Standardization），中文名稱為「國際化標準組織」，成立於1947年，是製作全世界工商業國際標準的機構，並不會頒發任何證書給企業，只能制定規範讓各國遵守。台灣原本是ISO創始國之一，但目前已經不是，不過仍參考ISO標準。

ISO 27001是資訊安全管理系統的國際標準，主要從1995年開始廣泛運用，它能確保其組織本身的資訊安全防護措施是有效的，但這僅是最基本的標準。

美銀美林：

我們認為，大部分選項是不可行的——最為公平和明智的選項是，實施延期付款機制——以一天為基礎，在有能力（累積了足夠的財政收入）支付一天內的應付款前，不支付任何款項。

1.憲法第十四條修正案將不會被使用

白宮已經排除了利用憲法第十四條修正案來上調債務上限（該修正案聲明，美國公共債務的合法性不得被質疑）。本週，美國國家經濟委員會主管Gene Sperling和總統顧問Dan Pfeiffer都已經否決了利用該選項的可能性。今年早些時候，白宮新聞秘書也強調，奧巴馬政府不認為第十四修正案授予總統無視債務上限的權力。

2.價值上萬億美元的硬幣不會被鑄造

我們認為，財政部完全不會考慮鑄造硬幣（這不會受到債務上限的限制），並要求美聯儲購買這些硬幣來暫時性突破債務上限。這樣做的合法性備受質疑，而且還會進一步加劇兩黨間的政治不信任。這還將冒著成為首次踏入債務貨幣化黑洞的風險。我們認為，美聯儲是極不可能同意接受鉑金硬幣來換取財政部的支付能力的，因為這將使美聯儲政治化，威脅美聯儲的獨立地位。

3.不大可能出售資產

在2011年的債務上限爭論中，財政部官員否決了出售黃金儲備的選項，因為這將削弱世界對美國的信心，同時影響了全球金融系統的穩定。財政部官員也認定，折價出售其它資產(比如說TARP救助計劃的資產)並不能最大化納稅人的利益，可能是有害的。這些資產的拋售將只能爭取到很小的時間。自那時以後，財政部已經完全淡出了其MBS證券投資組合，而TARP救助計劃的資產現在也一共不到250億美元。

4.按優先級付款：財政部將不願意這麼做

在突破債務上限情況下的另一個選項是，財政部優先支付償付債務相關的款項。向國債持有人以外的索款人發行欠條或單據的想法，其實也是優先償付的另一種表現形式，在哪種情況下債務償付都有優先權。然而，從實際操作的角度看，這可能是不可能實現的。財政部每個月要處理8000萬-1億單付款，修改系統仔細挑選付款將是操作上的噩夢。政府將被指責在挑選贏家和輸家，同時也會成為媒體和公眾強烈監視的中心。在2011年，當優先償付債務款項的法案被提出，這部分內容就被指責為給中國付錢而不給聯邦僱員付錢。在2011年，有報導就稱，財政部官員認定，不存在公平或明智的方式，在每年大量的付款票據中挑選付款。

5.延遲付款機制最可能出現

我們認為，對財政部來說，最合理的選擇可能是，實施延遲支付機制。在這種情況下，財政部將得到有充足的現金支付一整天的應付款，才基於一天的基礎上支付這些應付款。比如說，如果財政部沒有足夠的現金支付2013年11月1日的全部應付款，那它將等到有足夠的現金收入（可能要等到11月3日或4日），才全部支付11月1日到期的應付款。鑑於美國每月都有較大規模的財政赤字，日期越晚，拖延的情況就越嚴重，但起碼財政部不會不得不挑選贏家和輸家。

📖 ZKIZ Archives

Random Tags