臺灣的資安產業曾是一個小眾市場的角落,然而過去十年它經歷翻天覆地的變化,由被忽視的領域轉變為備受政府、企業關注的關鍵產業。
這種變革背後,國家資通安全研究院院長何全德認為,「資安即國安」戰略推動,為臺灣資安產業的蓬勃發展奠定基礎;而《資安法》實施也帶動了企業對資安的重視,使得資安成為企業營運中不可或缺的一環;監管機關對於資安標準的要求,迫使企業不得不投入更多資源和精力,以便提升資安水準,從而拉動市場需求。這是一系列外在因素的綜合作用,從政策、需求到技術發展,無不影響著資安產業的興盛。
資安產業的蓬勃發展,不僅是政策的推動,更是來自於實際的需求。何全德表示,供應鏈的要求,企業曾遭受駭客入侵的教訓,以及數位轉型和淨零轉型的推動,都成為了資安市場增長的推動力。此外,在COVID-19爆發後,數位轉型的加速使得更多人開始使用網路和科技工具,進一步推動資安需求。
過去,資安被視為被動的防禦性工作,但如今它已成為企業營運的標準配備。許多企業都意識到:無論面對駭客攻擊,或遵守主管機關提出來的法遵要求,良好的資安措施都不可或缺。
展望未來十年,何全德對臺灣資安產業抱持著樂觀的態度。他指出,數位轉型的加速和全球淨零轉型的推動,都將進一步擴大資安產業的市場空間;另外,像是安碁資訊、中華資安等公司的上市櫃計畫以及軟體公司的崛起,更加顯示了資安產業的潛力。
臺灣資安產業的崛起,不僅是一個產業的蓬勃發展,更是新型態的數位經濟的象徵。他表示,資安產業具有輕資產和高價值的特性,將為年輕人帶來更多的就業機會,同時,也將促進財富的重新分配,將為臺灣的經濟發展帶來新的動力,也將為全球的數位化進程注入更多的活力。
(攝影/洪政偉)
臺灣電子化政府為臺灣資安發展奠定基礎
在臺灣電子化政府的發展歷程中,資訊安全政策的推動扮演了至關重要的角色。何全德在公務部門服務超過四十年,作為臺灣電子化政府發展的幕後推手之一的他表示,從電子化政府的元年到資安政策的推動,臺灣資安政策是如何演進的呢?
1996年被譽為臺灣電子化政府的元年。當時舉辦的「網路世界博覽會Expo96」,標誌著政府正式將網路引進到其運作,他說:「儘管當時的網站只是靜態的,僅提供簡單的資訊服務,但就是這一步,真正奠定了臺灣電子化政府的基礎。」
在陳水扁總統任期中,資安政策開始受到重視,在其第一個任期內便成立跨部會協調的行政院資通安全會報,並建立資通安全會報技術服務中心。何全德表示,這樣的組織和作為,也讓政府各部門之間有了真正跨部門合作的機會,進而提升電子化政府的資安意識。
資安政策的法制化是推動資訊安全的重要一環,他指出,當時政府積極推動《電子簽章法》,並引進國際標準,例如英國資安標準BS7799,這些舉措為臺灣政府資安工作的推動,提供參考依據及鞏固臺灣資安政策的基礎,使其得以正式化和法制化。
除了法制化,資安意識的普及和資安人才的培訓,也是推動資安政策的重要步驟。政府積極推動資安意識的普及化,並且投入資安專業人才的培養——最早是成立資安會報技術服務中心,之後才將技服中心改成行政法人,於2023年元月正式成立資安院。
面對日益複雜的資安威脅,他表示,政府開始建立資安事件應變機制,各機關開始設立通報應變聯絡人,並建立政府全體系通報應變機制,政府也將進一步推動資安意識的普及,鞏固全社會對資安工作的支持和參與。
此外,政府開始定期進行兩年實施一次的資安國際演練(Cyber Offensive and Defensive Exercise,CODE),藉此檢驗各機關及關鍵基礎設施的資安應變能力,並提高資安整體防禦水準。
臺灣資安政策成形,最早在2001年成立資安會報
網路科技的快速發展帶來了人類文明進步,也衍生一系列負面問題例如網路成癮和網路犯罪。在這樣的背景下,政府的資安政策與法制逐步成熟。
何全德表示,經歷陳水扁總統、馬英九總統到蔡英文總統等三位總統、共六個總統任期,不同政府的時期,資安政策也經歷演變與調整,資訊安全已經成為政府與社會普遍關注的共同議題。
1996年,臺灣開始踏上電子化政府的道路,政府開始意識到資訊安全的重要性。然而,當時的資安工作,主要偏重於宣導保護資料和電子郵件安全,對於資安風險的認識還不深刻,主要仍是透過行政指導的方式推動資安工作。
當政府逐漸意識到需要跨部會協調、推動資安工作時,在2001年,陳水扁政府時期,率先成立行政院國家資通安全會報,專門負責協調各部門間的資安工作。這樣的行動,也彰顯出臺灣資安政策的發展,已從早期單純的宣導,往制度化和法制化邁出最重要一步。
2016年蔡英文總統上任後,提出了「資安即國安1.0」戰略,並於同年八月成立了行政院資安處,負責草擬《資安法》,於2019年元旦正式實施。
他解釋,《資安法》的制定是臺灣資安政策發展的里程碑,該法規定各級機關應該配置的資安專責人員數量,並訂定《資通安全責任等級分級辦法》,明確列出各級機關的資安責任等級,還律定了各機關的防護水準,從根本上提高國家的資安防護能力。
政府不僅強調了法制基礎,還積極投入資安相關建設。何全德表示,在國科會主委吳政忠的支持下,政府在科技預算內撥出25億資安專案經費,開始建立資安監控中心(SOC)和資安情資分享中心(ISAC)等。
在蔡英文總統任內,資安更是被視為重要議題,她推動了「資安即國安」1.0和2.0的國家戰略,從積極成立行政院資安處,強調資安在國家安全中的重要性;也接著成立資安院,接手執行資安政策、協助政府處理資安事件,以及培養資安人才等任務。
在蔡英文政府時期,臺灣的資安政策雖然取得重大進展,但仍面臨著新的挑戰和問題,政府仍將繼續加強法制建設和執行力度,提高資安防禦能力。
面對未來,他說,政府除了繼續加強法制建設和執行力度,提高資安防禦能力。同時,政府還將加強對資安意識的普及和培訓,積極培養更多的資安專業人才,同時推動資安即國安戰略。
即將於今年五月二十日就職第十六任總統的賴清德,也提出「五打七安」政策,即打擊「黑、金、槍、毒、詐」,也將治安、食安、道安、公安、校安、居安,以及網路資通安全這七項,列為重要的安全工作,可以看出,資安也將是未來賴清德總統重要政見之一。
(攝影/洪政偉)
要求上市櫃公司設立資安長,是資安發展重要里程碑
在臺灣,隨著國家資安戰略的制定成立資安組織,並制定《資安法》相關法規,包括公務機關及特定非公務機關,就有法規遵循義務,例如規定A級機關要做滲透測試、成立SOC(資安監控中心)等,相關的資安需求就會帶動資安市場的發展,也會逐漸演變成資安市場的商機。
現任國安會秘書長顧立雄在金管會主委任內,配合國家政策推動金融機構的資安,後續也有金融資安行動方案1.0、2.0陸續推出,對於金融資安的作為提出很明確的規範。
何全德認為,金管會要求上市櫃公司分級、分年成立資安專責單位、設立資安部門主管,尤其是設立副總等級資安長的要求,更是臺灣產業資安的重要里程碑,「這也讓資安長暨資訊長後,成為企業營運時重要的主管。」他說。
何全德表示,資安院成立就是為了支持和協助政府及關鍵基礎設施(CI),做好資安防護、人才培訓,以及產業資安相關的技術研發,幫國家培養各式的資安人才。
資安院出面訂定適用臺灣的「資安職能基準」
過去,美國曾發布NICE網路安全人才框架,定義7大類別、33個專業領域,以及52個工作角色;到了2022年10月,歐盟網路安全局(ENISA)亦發布ECSF網路人才技能框架,定義出資安團隊12種角色,為資安人才的分類和培養提供了重要參考。
他認為,這些框架定義不同類型的資安角色和相應的技能要求,為資安人才的培養和評估提供了標準和依據。
何全德表示,資安院在這樣的背景下,由資安院人培中心出面,參考美國NICE和歐盟ECSF的框架,建立通用於臺灣的「資安職能基準」,並將臺灣資安人才依不同職能類別和專業領域,分為19種,也會定義相應的知識、技術和能力(KSAs);進一步而言,根據這套基準可制定相應的課綱、教材和測驗,以培養評估資安人才的能力。
「資安人才的培養,是保障國家和企業資訊安全的重要保障。」何全德說,而人才培養工作是資安院的重要職能之一,通過制定和推廣資安職能基準,資安院可透過更理想的方式,對資安人才進行培養和評估,確保其具備所需的專業知識和技能,提高資安人才整體水準。目前資安院先推出資安長班,以及資安事件工程師班,在這種職能訓練之外,未來還會辦理高階實戰班人才;因為資安要分不同產業領域,必須做適地化,且根據不同產業做不同教材。
他認為,資安院作為支持和協助政府和關鍵基礎設施(CI)的資安工作的單位,可以扮演數位強力膠的關鍵角色,透過幫助企業和組織更精確了解自身資安需求,從而更好地配置資源,提高資安整體水準,也能更精確地表述企業與組織本身培養哪些人才,以及自己需要哪類人才,讓需求更精確。
何全德也觀察到,這個數位時代的資安需求持續攀升,也催生出許多資安新創公司,他們不僅提供純粹的資安服務,還讓一些傳統SI(系統整合商)開始跨足資安業務,這也促使資安產業化的發展趨勢。
作為資安風險較高的金融業,對資安解決方案的需求更是持續增加,何全德表示,金融機構積極尋求更有效的資安保護方案,應對不斷變化的威脅和攻擊,不只為資安技術創新和應用提供巨大商機,也成為資安市場發展一大驅動力。
然而,資安不僅是個行業,它還需要不同領域之間的合作和交流,例如,金融業與資安公司的合作、政府與企業的合作等,這種跨領域的合作促進了資安市場的健康發展。在這樣的趨勢下,我們可預見資安市場將會繼續成長,為各行業帶來更多機遇和挑戰。
從技術、管理和教育面落實,確保人員、系統和資料安全
資訊安全一直是臺灣數位化發展的關鍵,何全德表示,面對技術持續變化、資料持續增加,可以從兩個三角形來思考資安的因應策略。
第一個三角形,是強調技術、管理和教育訓練在資安工作的重要性。他指出,透過資安技術的自主研發,加上落實資安政策的管理、稽核與執行,並且藉由教育訓練的方式,把重視資安的全民資安意識,深植每個人的腦中。
「資安院還有一個重要任務,就是要提升全民資安意識,」何全德認為,政府和企業要開展相對應的資安宣傳活動和教育訓練外,也必須提高終端使用者(End User)對資安的重視程度。
第二個三角形,是從人員、系統、資料這三個面向來看。何全德認為,人員就涉及兩個重要議題:人員安全和人才儲備;其次是系統保護,最後是資料保護。何全德說,這是具有戰略思考的保護策略,需從多個層面確保資訊安全,因為未來的資安不僅是技術防禦,更應注重資料保護和系統架構的安全性,ZTA(零信任架構)是更加安全和靈活的架構,可以有效保護系統和資料。
他也提醒法律的重要性,法律應該與時俱進,以應對不斷變化的資安挑戰。何全德表示,政府可以通過法規和採購政策,提高企業和組織的資安意識和能力,從而全面提升國家資安水準。
面對未來,「應該要持續關注AI在資安領域的應用」他表示,AI發展為資安領域帶來新的機遇和挑戰,例如,AI在漏洞掃描、攻防演練的應用,都可以藉此提高資安防禦效率和能力。
他也強調韌性(Resilience)的重要性,因為韌性已經是資安領域的重要趨勢,不僅要做到資安事件的溯源,連資安防禦也必須做到向左移動到開發端等,才能應對日益複雜的資安威脅。
因為資安是全球性的問題,他認為,臺灣需要加強國際合作和交流,共同應對跨國的資安威脅,保障全球資訊安全的同時,也就是保障臺灣的網路安全。【本文採訪日期為2024年4月】
熱門新聞
2024-10-05
2024-10-04
2024-10-02
2024-09-29
2024-10-03
2024-10-01
2024-10-01