延宕許久的《資通安全管理法》(簡稱《資安法》)終於在今年5月11日立法院三讀過關,總統府也於6月6日正式公布該法。不過,《資安法》本身是一個提綱挈領的資安大原則,行政院資安處處長簡宏偉表示,有許多更細部的規範,則有賴6個子法進一步闡述說明。
對此,行政院資安處也在今年7月9日,正式對外公布包括:《資通安全管理法施行細則草案》、《資通安全責任等級分級辦法草案》、《資通安全事件通報及應變辦法草案》、《特定非公務機關資通安全維護計畫實施情形稽核辦法草案》、《資通安全情資分享辦法草案》以及《公務機關所屬人員資通安全事項獎懲辦法草案》等6個子法的草案內容,並依法對外預告60天。
簡宏偉指出,在預告的二個月內,也會在八月和九月同步舉辦多場座談會,如果各界對於子法有疑慮或建議,可以在公開的座談會中提出相關的看法外,也可以上國發會「眾開講」的平臺表達意見;在彙整各界意見後,則會將這6個資安法相關的子法,送交立法院備查。
《資安法》第23條規定,施行日期將由主管機關訂定,簡宏偉表示,依照子法預告以及規範適法機關所要面對的程序和作法,參照目前適法機關的準備時間,暫定將於2019年1月1日正式施行。
行政院資安處處長簡宏偉表示,資安法的6個子法終於在7月9日對外預告,對於條文內容有意見或想法的民眾,都可以在舉辦的座談會中提出看法,也可以直接到國發會「眾開講」的公共平臺表達意見。 (攝影/洪政偉)
根據母法資安法制定6大子法,資安處也會提供文件範本參考
《資安法》今年3月~5月時,舉辦二階段、共計14場座談會,也事先收集各界對於《資安法》及其6大子法的建議,而在7月9日,行政院針對6個資安法子法,進行為期60天的預告期間,也會在8月、9月陸續舉辦其他的座談會。
簡宏偉表示,除了持續蒐集各界對於資安法子法的建議外,還會針對公務機關以及特定非公務機關,舉辦到底該如何因應資安法規範的座談會,就是從實作面來看,希望讓這些適用資安法的機關單位,可以知道後續在適法性上有哪些文件要準備、哪些作為要執行,未來,行政院資安處也會準備相關的程序和相關文件範本,作為機關的參考。
簡宏偉表示,《資安管理法》就規定要明訂6個子法,而《資通安全管理法施行細則草案》主要是,針對資通安全維護計畫實施情形的稽核結果,提供相關的改善報告,包含委外和客製化系統的建置、維運和相關服務提供等,藉由稽核或其他適當的方式,確認受委託的業務執行狀況。
資安責任列公務員獎懲參考,「應做未做才罰」是核心精神
若以適用對象來看,資安法主要適用的對象,可以分成公務機關以及特定非公務機關,前者包含中央與地方政府以及公法人外,後者主要是以關鍵基礎設施提供者、公營事業以及政府捐助的財團法人為主;其中,針對公務機關所屬人員,也制定資通安全事項獎懲辦法,就是希望可以提升公務人員對於維護資訊安全的責任和意識。
至於對於罰則的部份,有許多公務人員認為,許多機關在沒人、沒錢甚至長官不支持的前提下,將資安落實與否列為公務人員獎懲的範圍,其實並不妥當,也無法收到正面效果。
簡宏偉則重申,「應做未做的部份才會處罰,」並不是有出事、發生事情就會處罰,他認為,主管機關如果只會一昧指責、懲處這樣的作法,對於提升適法機關的資安意識與強化資安相關的作為,並沒有幫助。而人事總處也表示,未來這些資安相關的指標,都只是公務人員獎懲的參考之一,也降低公務人員的憂心。
資安事件通報依情節輕重,分成第一級~第四級
另外,機關落實資安法也可以分成「事前」、「事中」和「事後」有不同因應措施,並制定相對應的資安法子法作為應變的參考基準。
簡宏偉表示,在「事前」,所有的適法機關一定要制定的規範,除了資安法施行細則中,針對公務機關以及特定非公務機關要求一定要制定的「資通安全維護計畫」之外,就是針對如何訂定通報應變機制而制定的《資通安全事件通報及應變辦法草案》。
目前資通安全事件分成四級,依照事情的嚴重性,從輕到重,分別是第一級到第四級。第一級和第二級主要是非核心業務資訊系統,依照洩漏程度分輕重,這也是目前政府部門最常面對到的資安事件種類;第三級和第四級則通常會涉及到,核心業務資訊系統有沒有遭到輕微或嚴重的資訊洩漏,輕微者列為第三級,嚴重者列為第四級。以去年度政府遭遇到的資安事件種類來看,政府機關還沒有遭遇到第四級、最嚴重的資安事件。
資安事件的通報應變方式,一定都必須在「事前」完成規畫與制定,一旦「事中」遇到第一級~第四級的資安事件時,才能夠依照相關的通報應變辦法進行通報。
資通安全事件分級一覽表
公務以及特定非公務機關發生資通安全事件,依照情節輕重分成第一級到第四級,如果是非核心業務資訊遭到洩漏,通常列為最輕微的第一級或第二級資安事件,這也是政府部門最常發生的資安事件類型;如果是核心業務資訊遭到外洩,輕微者列為第三級資安事件,嚴重者是第四級資安事件。去年政府還沒發生第四級資安事件。
資料來源:行政院資安處,2018年7月
公務機關資安事件通報應變流程
公務機關如果發生資安事件,必須要在1小時內通報上級監督機關以及主管機關,資安事件等級重大者,必須在36小內;非重大者,則在72小時內,完成損害控制與復原狀況
資料來源:行政院資安處,2018年7月
《資通安全管理法》演進歷程
2015年5月21日
資通安全管理法草案提出(由資通安全辦公室召開資通安全管理法草案專家座談會)
2016年8月1日
行政院資通安全處成立(取代資安辦,成為政院資安專責機構,首任處長為簡宏偉)
2016年8月31日
行政院資安處完成資安管理法草案初稿(9月將舉辦了6場法案座談會,並上網徵求全民意見)
2017年4月27日
行政院版的資通安全管理法草案通過(送請立法院審議)
2017年11月6日
立法院司法及法制委員會審查資通安全法草案(共有行政院、時代力量黨團、親民黨團、民進黨立委陳亭妃、余宛如、國民黨立委許毓仁等6個版本)
2018年5月11日
資通安全管理法完成立院三讀(六月中旬總統正式公布,正式施行日期由行政院另定)
2018年6月6日
總統府公布資通安全管理法
2018年7月9日
行政院預告《資通安全管理法施行細則草案》、《資通安全責任等級分級辦法草案》、《資通安全事件通報及應變辦法草案》、《特定非公務機關資通安全維護計畫實施情形稽核辦法草案》、《資通安全情資分享辦法草案》以及《公務機關所屬人員資通安全事項獎懲辦法草案》等6個子法草案內容
2018年8月~9月
舉辦多場座談會
2018年9月6日
資安法6個子法草案預告期滿,文字條文修正後,送立法院備查
2018年10月
資安責任等級主管機關備查
2019年1月1日
暫定資安法管理正式施行
資料來源:行政院資安處,iThome整理,2018年7月
相關報導 資安法六大子法草案出爐:翻新責任分級架構,全套法遵執行要求曝光
相關報導 資安法立院三讀通過
熱門新聞
2024-12-03
2024-11-20
2024-11-29