數位發展部下設行政法人資通安全研究院(簡稱資安院)於今年2月10日正式掛牌上路,這也是全臺灣第一個資安專責行政法人。
接下首任院長位子的何全德,他行政資歷豐富,有近四十年的公務員經驗,任職研考會三十多年,督導行政院技服中心超過10年,也是許多包括公鑰基礎建設(PKI)、電子簽章法等推動先驅;再加上國家關鍵資訊基礎建設(CIIP)已經是國家資通安全重點防護工作,他擔任國發會管制處處長期間,更是負責包括國營事業,例如臺灣銀行、臺電、中油和臺水等國營事業在內的績效考核工作,是臺灣推行e政府和數位政府重要的政策執行者。
在徵選資通安全研究院院長時,因為何全德長期從事政府資訊及資安工作,加上推動資通安全工作逾25年,參與國家各項重大資通安全政策及法規研擬推動,兼具資安與行政兩種專長,在唐鳳親自邀請下,他允諾擔任首任院長。
面對外界好奇資安研究院的定位為何?何全德直言,資安院是國家級的研究機構,資安的技術幕僚,主要就是協助政府機關研究相關政策法規分析,作為政府決策參考,並積極推動關鍵基礎設施防護、強化資安人才培訓和推動產業資安等,都是資安院的法定職掌。
資安院主要任務是資安技術服務、技術研究發展、資安專業諮詢、資安行政協處、資安人才培力,在定位上,與數位部、資安署的關係密切,呈現三位一體的關聯,共同守護臺灣資安。圖片來源/國家資通安全研究院
專注四年內可落地資安技術的研發、移轉、推廣和應用
資安院是臺灣第一個資安研究機構,也是數位發展部下設的行政法人,他指出,資安院授權依據來自行政法,特色在於:不是政府機關,具有資安專業性,因為行政法人只能受命、行使低度的公權力,他們的定位是資安研究單位。
其實,資安院和數位部、資通安全署,是資安政策制定、推動與執行三位一體,只是有不同的角色定位差異,仍需要彼此分工合作。
何全德表示,數位發展部主要是制定國家整體數位發展政策,包含資安政策在內,責任目標在於策略推動;資通安全署則包含政策制定與執行,資安政策擬定、推動為其主要的工作職掌。
若從這樣的任務職掌來看,何全德提出很清楚的定義。
首先,資安院作為國家級的研究機構,就是資通安全的技術幕僚,也兼具智庫的功能,要協助研究相關的政策法規,作為政府相關決策的參考;對於資通安全科技的研發,資安院則身負技術移轉、推廣和應用落地的重要角色。
其次,資安院不僅協助政府把關重點的關鍵基礎設施的資安,落實防護,若研發出好的防護技術,可以做進一步的技術服務的開發和移轉。第三,資安人才培育也是資安院重要的任務之一。
他解釋,因為資安院不是政策諮詢單位,也不是政府《資通安全管理法》的主管機關,但需要提供很多資安技術方面的協助開發、還要移轉給民間使用。
除了數位發展部、資安署之外,另一個相關單位是數位產業署,主要是負責國家數位產業發展推動、定義數位產業,也會對國家數位產業提供相關的協助、輔導和獎勵,這些都囊括在產業署的工作職掌範圍。
對推動產業數位轉型的過程中,也會遇到各種資安議題,不論數位轉型或綠能轉型等,資安都是標準配備。
何全德表示,產業署負責國家數位產業的發展跟推動,包括資訊、資安、網路、通訊和傳播等五大類業務,數位產業署也會對國家數位產業提供相關的協助、輔導和獎勵。
數位產業若要進一步提升、成長,產業署就要推動數位轉型,而轉型過程中,不論數位轉型、淨零轉型等,都會碰觸很多資訊安全相關議題的情況下,資安院也會和數位產業署一起提供相關的資安技術諮詢與服務。
不過,資安院除了和數位發展部、資安署三位一體,也同時會連結數位產業署一起提供諮詢和服務,也會與各個相關部會做連結。
舉例而言,金管會先前推出「金融資安行動方案2.0」,不僅要擴大金融圈,也要推動零信任資安架構,並且要做到資安長的協調會報。
他指出,像是零信任資安架構,就是資安院可以協助的面向,例如,對於零信任產品的認證、驗證、技術、價格的諮詢服務等,都包括在內。
所以,資安院也會連結相關部會,並提供所有部會往數位轉型、淨零轉型的過程中,對需要的資安技術與其相關的前瞻研究、甚至是引進相關標準規範等,這些都是資安院積極努力的方向。
資安院是國家級的資安研究單位,提供服務的對象,所涵蓋的不只是政府公務機關,推動產業的資安也是資安院很重要的工作項目之一。
所以,各部會與民間產、官、學、研所需要的資通安全相關技術諮詢和服務,關鍵基礎設施機關的資安防護,以及包括法規、策略、標準、規範在內的資安治理等,都是資安院的研究範圍。
不過,國家科學發展最高指導單位的國科會,也成立資安科技研究中心,同樣都是針對資安技術的研究,和資安院相較,兩者有何不同?
對此,何全德引述數位發展部部長、也是資安院董事長唐鳳先前曾經提及的定義來解釋,他說:「資安院研究的技術就是四年內可以落地的技術;資安科技研究中心做的是學術拔尖,則更偏向前瞻性的資安技術研究,兩者有很明確的任務分工。」
數位轉型和淨零轉型是臺灣發展的重要關鍵
面對國際地緣政治的複雜情勢,臺灣一直佔據關鍵角色,有風險但同樣也有機會。何全德表示,如果要看2020年至2050年、未來這三十年的發展,臺灣產業結構一定會有很大的改變,數位產業的產值一定會持續擴大的情況下,臺灣必須要掌握數位轉型、淨零轉型的機會,但中間也要確保國家的數位韌性,例如從俄烏戰爭引發的地緣政治的風險,或者是COVID-19帶來的社會風險,若要確保臺灣安全,就必須要做到數位韌性和數位永續。
臺灣有很好的硬體和半導體產業基礎,隨著各種人工智慧應用,例如ChatGPT的發展和更多數位服務冒出頭,對臺灣而言都是前所未有的機會,如何在既有良好的半導體產業基礎上,加上更多人工智慧創意和淨零轉型,並利用資訊科技做節能減碳、做更好的碳排管理等,對產業發展和轉型都有正面效益。
此外,當所有產業開始上雲端、或開始大量採用人工智慧技術,以及各種資料驅動等,資安就會變得越來越重要。
他認為,當我們可以預見未來資安發展趨勢時,資安院有責任要做到超前部署,針對所需要的資安科技研發和人才培訓標準的規範運用等,打造讓臺灣更安全、安心跟安穩的數位環境,這是資安院很重要的目標。
再來,他也期許資安院能夠變成國際級的資通安全專業的研究機構,有這樣的法人單位加上有好的人才,就可以研發好的技術,然後能夠協助產、官、學、研,做更好的資安防護。最終,可以促成產業或是一般社會大眾,都能夠享受安全、安心跟安穩的「三安」數位環境。
期許資安院能夠變成國際級的資通安全專業的研究機構,最終,可以促成產業或是一般的社會大眾,都能夠享受安全、安心跟安穩的「三安」數位環境。──資通安全研究院院長 何全德
資安院具即戰力,AI、後量子密碼等都是研究重點
資安院在各界的支持與期待下成立,何全德表示,目前招募的人才,囊括以往技術服務中心170位資安專家,今年底前招募人數目標為220人,預計五年內成長到500人。
他也說,現在的170人中,具有博士學位的有二十多人、占整體員工的7%,平均學歷都有碩士以上,全部都有多年工作經驗,「這是一個具有即戰力的隊伍,」何全德肯定說道,未來四年也會專注在可落地的資安研究開發,像是一些滲透測試的檢測工具、資安健檢、資安分析等技術研究發展,都是資安院的重中之重。
資安院也成立一個「前瞻籌獲中心」,就是專門做比較偏向未來技術的研究與開發,比方說,現在ChatGPT很熱門,未來一年、兩年相關的研究以及技術諮詢會非常多,期待資安院可以扮演技術諮詢的角色,並推動相關軟硬體和服務的檢測,確保其安全性。
何全德坦言,如何強化個資保護已經是全民關注的議題,資安院也在研究數位訊息防護技術的開發和移轉,從資料產生的過程、傳送、儲存到最後的銷燬,都需要有安全的防護技術,這也是目前研究的方向,「但資安院不會做商業性、與民爭利的產品,會研發的是具備戰略性的資安產品或技術。」他說。
他舉例而言,像是後量子密碼時代的來臨,美國NIST正在評選最後的後量子密碼標準,但不論哪一個入選最後標準,牽涉範圍很大,資安院有責任關注此事,更要設法在新定版後量子密碼實作的過程中,針對相對應演算法的更新有對應的作為,讓未來所有密碼演算法更新,可以符合國家和社會的安全。
這樣的前瞻研究也必須做到產、學、研合作才行。何全德也坦言,以資安院目前不到二百人的規模,其實做不了太多事情,例如現在AI浪潮來襲,像是AI的檢測就會是重要的議題,對於AI演算法可信任度(Trustworthy)的檢測工具開發、測試等,也是今年內重要的目標之一。
此外,像是油、水、電、醫療、金融等關鍵基礎設施的安全防護,今年會先鎖定醫療機構的安全性進行保護,不僅要保護病人個資,加上醫療院所已經開始引進許多會牽涉病人生命安全的OT設備,資安院也會檢測相關OT設備、研究並制定標準規範;除了關鍵基礎設施防護外,還有零信任架構等,未來還有低軌衛星通訊鏈路的數位韌性和數位安全等,這些都是未來四年內要落實的項目。
資安院和其他法人單位採取「合作分工」模式
由於資安院是一個法人單位,和其他數位發展部下設的其他法人單位,例如資策會、電信技術中心等,則會採取「合作分工」的模式進行互動。
他解釋,合作分工是「先合作再釐清彼此責任」,但「分工合作」則是先確認工作範圍之後才進行合作,兩者思維是不一樣的。
不同法人的專業並不一樣,何全德以中研院研究後量子密碼為例,那是屬於最前瞻的研究階段;但如果到最後標準選定後,接下來就會是更換密碼演算法的實作問題,而新的加密器是否安全,相關的測試和實作,資安院會責無旁貸地出面承擔。
他說,至於國科會的資安科技研究中心仍會偏向前瞻資安技術POC(概念性驗證)和理論性研究;資安院仍偏重應用面、技術面的研究,甚至開發實作一些新的產品工具。
美國NSA(國家安全局)也有其不對外公開的漏洞作為網路武器之用,為了做到主動防禦,美國CISA(網路安全及基礎設施安全局)也會針對某些常用設備的漏洞,彙集成一個漏洞資料庫,這是一般業界不會做的事情。
何全德表示,資安院也會朝著類似目標,集結臺灣政府機關常用設備的漏洞資料,讓更多資安業者或企業用戶,可以即時掌握相關的漏洞消息,避免後續駭客利用這些漏洞資料造成更大危害。
何全德表示,資安看似複雜,但也不複雜,掌握後,也是基本工;而不論是4G、5G通訊系統到低軌衛星,或是CTI(資安威脅情資)搜整萃取作為主動防禦,資安院都期待成為一個交換平臺,把SOC或ISAC的資料放在這個平臺做交換和分享,目前也有STIX的共通格式做資料交換。
他表示,當匯集所有資料後,可以利用AI做資安情資蒐集、彙整和應用,資安院便能掌握即時情資、進一步做到超前部署。
至於人才的問題,何全德指出,無論是資安人才培育、加強員工資安意識和提升全民資安意識等,都是資安院接下來必須要接手處理的議題。
今年先定義資安長和鑑識工程師的職能基準
資安院在人才培訓部分,今年主要先鎖定「資安長」和「資安鑑識工程師」,定義出相關的職能基準。
何全德坦言,資安人才面臨結構性問題,要解決人才不足的問題,像是政府或是一般企業,在地端人手不足的情況下,可以透過將系統集中上雲的方式,解決企業資安人才不足的問題。
他也同意,「軟體安全做的好,資安沒煩惱」,可以透過源頭管理,像是SSDLC(軟體安全生命週期)、SBOM(軟體物料清單)或是DevSecOps等,都是很好的確保資安的應對方式。
他表示,接著可以加強資訊人員的資安能力,畢竟許多企業或單位會有IT人員但不一定會有資安人員,在IT的基礎上增加對資安的掌握度,是培養資安人才最快的方式。
另外,何全德也指出,政府部門會延續以往資安服務團的作法,進駐到重點單位提供服務,今年會選擇掌握民眾個資或曾發生資安事件的部會進駐,提供為期三個月的資安服務。
至於考試院,也在規畫增加資安人員的類科,除了原先的資訊處理人員外,也會新增資安類科,讓公務人員考試有名正言順的資安名額。
歐盟的ENISA(網路資訊安全局)提出新的歐洲網路技能框架(European Cybersecurity Skills Framework,ECSF),其中列出12類資安人才的職能基準,何全德表示,資安院也參考其規範建立臺灣資安人才的職能基準,今年先定義「資安長」和「資安鑑識工程師」兩個職能的規格和標準。
為什麼會先挑選資安長?何全德表示,因為金管會和證交所都要求一定規模以上的企業必須要設立資安長,但究竟什麼樣的人適合擔任資安長呢?除了是老闆信任的對象,也可能會由公司其他像是財務長、營運長高階主管兼任外,資安長並沒有一個共通的職能參考基準。
因此,他表示,資安院今年便先鎖定資安長,希望各個企業指派資安長時,可以有一個職能參考依據。
像是歐盟對於資安長的職能定義,大多不是技術性規範,以資安管理、法遵、風險管理、策略管理為主,資安院之後會制定資安長教育訓練的課綱、教材、題庫等等;當制定合適訓練機構的評選標準後,也會發展不同機構的特色,例如,臺中有許多精密機械老闆的第二代,可以透過和中興大學合作訓練課程後,再頒發資安長職能證書,期待這會成為全國資安長的職能參考基準。
至於另外選定資安鑑識工程師,則是當企業發生資安事件時,如何找出資安事件的發生根因和軌跡,需要專業的資安鑑識工程師到企業內部進行資安鑑識,若能定義相關的職能定義,也可以避免不肖資安業者的濫竽充數。文⊙黃彥棻、攝影⊙洪政偉
熱門新聞
2024-10-05
2024-10-07
2024-10-07
2024-10-05
2024-10-07
2024-10-07
2024-10-07