2021政府機關資安現況揭露，近年三級事件通報人為疏失是主因

隨著2018年資通安全管理法施行，政府已核定納管機關與資安責任等級，在今年2月，總共納管對象有7,706個，包括A級機關有90個，B級有372個，C級1,052個，其他多為D級機關，達5,380個，E級則有812個，若以特定非公務機關而言，也逐步納管，達427個。

而資安通報制度發展相關現況，也是全民持續關注的焦點。對此，行政院資安處處長簡宏偉在一場活動中，公布近年重大資安事件，並強調落實資安的重要性。

教育體系通報最多，人為操作、設定與網站設計疏失最常見

關於政府機關近年的重大資安事件通報現況，在2020年有9件，2021年至今有11件，它們都是三級事件，最嚴重的四級事件則無。

這些重大資安事件看似越來越多，是否可能令民眾無法信任？簡宏偉強調，從政府與聯防角度來看，隨著資安法的頒布施行，資安事件的通報，其實代表政府機關守法，以往發生資安事件並不會通報，但現在都能做到通報，這是好事。

一旦有單位通報資安事件，就能通知相關領域業者，並協調相關部會去做聯合防禦，降低讓事件再擴大的可能性，因此，通報事件多並非壞事。這幾年以來，他也不斷強調資安事件通報的重要性。

對於近期這些通報事件，是否有需要特別重視之處？簡宏偉指出，從事件根因來看，有15件都與人為疏失有關，突顯當中最大的問題，是在資安管理與落實面；只有2件是駭客入侵，包括機關主機遭植入勒索病毒，以及CI業務系統運作受影響；另外設備問題也包含在內，造成服務中斷，共有3件。

對於人為疏失的狀況該如何理解，他舉例，為了做到實聯制，許多地方機關使用Google表單供民眾登記，卻因為表單權限的設定錯誤，導致民眾個人資料可公開瀏覽。

還有那些人為疏失，造成資料外洩？

舉例來說，地方政府表單試算表的權限設定錯誤，導致他人可公開檢索，也有廠商活動發布抽獎資訊，卻誤放連結，使民眾資料外洩；中央機關則有系統不當變更，導致包含民眾個資的資料外洩，估計有51筆資料遭異常存取。

值得關注的是，教育體系的資安通報數量最多，例如：網站存在設計漏洞，遭外部使用者以不當的方式存取；承辦人未將敏感資料進行遮罩處理，就將包含個資的資料上傳至網站；來自國外異常連線以Wi-Fi 基地臺管理者帳號登入網頁，但該職員休假中，疑似因弱密碼遭識破而導致入侵。

簡宏偉指出，這樣的資料外洩狀況，通常都是因為管理的問題，或是設定的問題，並不是高深的入侵活動。

因此，資安管理與落實是現階段的重點，而這需要大家配合，例如，要求單位加強人員對於資料的保護，調整資安服務採購契約範本，讓機關據以要求廠商負起資安責任，並要求各單位預設禁止遠端存取，同時，要在網站建置時，就導入資安概念。

由此可見，人為疏失的問題其實有多個面向。若從上述事件來分析，可以包含三大方面：首先，是人員操作不當的面向，誤將民眾個資寄出，或是誤放連結；第二，人員設定不當的面向，包括權限設定不當，系統不當變，以及敏感資料未進行遮罩保護；第三，網站設計漏洞的面向：存在程式漏洞等。

此外，還有像是弱密碼的問題，這不僅是人員缺乏意識，在管理面與系統面，其實也都沒有做好防護所造成。

對於近年政府機關的重大資安事件通報，行政院資安處處長簡宏偉表示，多起三級事件都是起於人為疏失，今年並有許多來自教育體系的通報，但他也強調，機關守法通報是好事，才能聯防並降低事件擴大。

弱密碼與遠端存取的盤點，再次顯現資安缺乏落實

除了上述這些資安資安事件通報，簡宏偉也談到近年幾個資安事件經過深入調查之後，發現有許多管理的問題要解決，這也是為何政府推動資安落實，並一再要求各機關人員，以及供應商都要重視。

以今年6、7月發現的事件為例，經調查之後發現，有多個機關郵件帳號遭到利用，寄送社交工程釣魚信，以及惡意程式垃圾郵件，原因是：提供網頁登入的郵件伺服器，並未限制外部存取，而且，有多達34個機關、190組郵件帳密可能被竊取，其中28個機關的143組帳密，竟然是透過郵件主旨回傳給攻擊者。

而分析這些遭竊密碼組成後，又讓弱密碼這樣的常見問題浮上檯面。

在他們進一步統計中，發現光是密碼與帳號相同狀況，就有33組，密碼是123的竟也有24組，密碼是123456的有14組。然而，落實強式密碼早已是老生常談的資安基礎，但顯然，用弱密碼的人仍無足夠意識，而負責管理的人也無警覺，而未採取更強力的管制。

此外，有鑑於近年攻擊者從供應鏈端入侵的態勢，政府機關的確做了許多防護工作，但是，攻擊者從廠商的管道入侵的狀況，實在不能輕忽。

例如，他們之前稽核時曾發現有個單位，在政府機關與廠商之間，具有一條存在多年的VPN連線，但是，隨著人員異動，竟導致長期無人管理，後來資安人員清查時更是發現，該連線帳號密碼是群組同仁共用。因此，機關與廠商在資安管理上都有很大的問題。

資安管理是當今臺灣政府的重大挑戰，因為各機關仍不斷出現未能落實的狀況，例如，在一起機關電子郵件帳號遭利用的事件中，外洩的系統登入資訊大多都是採用弱密碼，而且密碼與帳號相同狀況的比例也很高。當然，個人的基本資安意識培養也很重要。

社交工程郵件攻擊的威脅，同樣值得關注

上述談了許多人為疏失的問題，還有一種介於人為疏失、但又相當難應對的威脅，就是社交工程郵件。

簡宏偉在此演說中，也特別提到2020年520的攻擊概況，而這次事件就是政府體系遭遇多種社交工程郵件攻擊。

特別的是，這次公布了更多細節，例如，這段期間政府體系其實遭遇了3波攻擊。

第一波攻勢在5月18與19日，主要是針對國安體系，這些惡意釣魚郵件的主旨包括：「韓國瑜政治獻金證據」、「企業防疫紓困報名表」等；第二波則在5月19與20日，針對府院體系，郵件主旨是「請盡快填寫會議議程表」；第三波攻勢發生在5月19到23日，以及6月初，鎖定我國衛福體系，郵件主旨是「志工溫馨增集」等。

對於這樣的威脅，除了人員要具備足夠的資安意識，不要一疏忽就中招，簡宏偉表示，政府也希望從源頭開始抵擋防範，否則一旦擴散出去再處理，將耗費太多時間與成本。

對此，簡宏偉說明政府的防護策略，近年來不只從管理面著手，朝向資安落實來推動，在技術面上，也將朝向主動式防禦發展，目標是將防禦陣線往前推。

另外，他也一再強調事件記錄保存與資源投入的重要性，否則僅是擋住攻擊、恢復系統，但若沒有辦法知道攻擊來自哪裡，或是恢復後又再被攻擊，等於事件沒有真正被處理與改善。