【iThome 2021 CIO大調查 (下）｜IT抗疫實例：財政資訊中心主任張文熙】財政部為遠端工作層層把關，避免成為資安破口

由於疫情在5月突然升溫，雙北市成為高風險地區，不少企業開始實施居家上班，行政院也在5月下旬宣布，要求雙北地區中央政府機關提升員工居家上班措施，從原本的3分之1居家上班比例，一舉提高到2分之1，掌管全國財稅資料的財政部配合政策，2分之1的員工在家上班，另外2分之1的員工再分散風險，一半在原辦公地點上班，另一半到其他分支地點辦公。

財政資訊中心主任張文熙表示，財政部在去年就規畫、演練居家上班，今年國內疫情突然爆發風險大增，原先規畫3分之1員工在家上班、3分之1異地上班、3分之1在原辦公室上班，配合政府要求，居家辦公比例提高至2分之1，為因應遠端工作需求大量增加，財政資訊中心增加採購居家辦公使用的筆電，以及視訊會議、遠端登入控管的授權數。

以往，在辦公室上班，較易確認員工的身分，並集中控管系統存取行為，現在大量員工在家上班，若缺乏妥善的資訊安全防護，遠端工作可能成為資安破口。因此，在規畫居家辦公時，財政資訊中心內部的資安團隊和業務部門一起討論，如何在安全的條件下讓員工能夠居家辦公，第一步是讓在家工作的員工使用SSL VPN遠端辦公，但這只是最基本的讓員工能夠遠端登入，駭客若冒用遠端工作者的身分入侵，發動攻擊或竊取資料，因此財政資訊中心規畫第二層、第三層防護機制，確保遠端登入者身分的合法性，包括手機的動態密碼，搭配個人憑證，例如對AP設有權限控管驗證，要求自然人憑證，更高的系統權限則還需要搭配其他憑證，例如機關憑證或其他憑證，「因為員工不在現場，就需要對遠端登入行為有更嚴格的控管限制」，張文熙說。

萬一駭客還是突破防線入侵，所有資料傳輸都經過加密處理，即便駭客取得資料也不易解密資料，導致資料外洩。此外，財政資訊中心也加強對遠端登入行為的監控側錄，搭配SOC的24小時監控， 對異常的登入行為側錄留下紀錄，供事後追查之用。「我們透過層層的安全程序，降低駭客的興趣」，張文熙說。

除了因應疫情，加強對遠端辦公的部署及資安防護，政府業務仍要維持運作，依照法令規定在時間內完成，例如今年為了避免群聚感染風險，財政部不只短期暫停實體申報櫃臺，鼓勵民眾使用線上報稅。

今年財政資訊中心更首次結合身分識別中心與五大電信合作所提供的行動電話身分識別服務（Mobile ID），利用電信業者提供的第三方數位身分識別服務，讓無法使用自然人憑證插卡的手機也能完成身分識別，在居家防疫下，民眾不需要臨櫃報稅，只要透過民眾個人申辦的手機門號行動網路，就能完成手機報稅。

張文熙指出，原本為了便民推出的手機報稅，就如同電子支付，剛開始對民眾而言可能只是嚐鮮，但在疫情爆發之後，為了避免接觸，變成不得不使用的服務，手機報稅推出後明顯感受到民眾的接受度隨疫情而提高，到6月初為止，手機報稅人數已超過63萬。