政府零信任架構推動有成，數位部首度公布內部導入經驗，資安院揭2023年上半最新進展

政府走在數位轉型的道路上，持續強化資安是拓展公務創新應用的重要基礎，在8月30日舉行的數位政府高峰會上，iThome邀來多位官員介紹政府數位應用的最新發展，也針對這一年來重要資安進展做出說明。在這場會議中，我們看到幾個重要的議題，包括：數位發展部近期多項資安工作的推動，以及國家資通安全研究院政府零信任架構的進展，都有政府專家說明2023年下半的最新進展。

推動零信任網路架構規畫與強化網站韌性，數位發展部經驗公開

成立已有一段時間的數位發展部（簡稱數位部），最近正推動多項計畫，例如：導入行動簽核、建立網站韌性、推動零信任架構、推廣雲原生等，除了部長唐鳳在不同場合多次傳達這些訊息，在這次數位政府高峰論壇中，數位發展部資訊處副處長周智禾更是具體說明這方面的資安經驗。

他從一般機關常見的網路架構，分成三個面向闡述，分別是：傳統內網環境的辦公區、內部伺服器，以及允許外部存取的DMZ區。

以辦公區而言，數位部主要做了兩件事：（一）採取不分內外網的網路架構，（二）讓存取都需要經過零信任架構的身分鑑別。

在具體作法上，數位部員工所有內部與外部連線均經過網際網路，並採用Cloudflare Access、Azure AD（現名Microsoft Entra ID），讓使用者存取內部系統時，先經過Cloudflare身分驗證，並跳轉使用Azure AD進行二階段驗證。

關於實際登入系統的流程，周智禾詳細說明當中的步驟，他表示，一開始會跳出Cloudflare Access的畫面，當判斷使用者還沒登入時，這時會跳出微軟Azure AD的登入畫面，在此進行兩階段身分驗證。

特別的是，在今年8月前，他們在Azure AD執行的多因素驗證（MFA），是以帳號密碼，以及Authenticator App驗證，最近，為了進一步提升安全強度，改用基於FIDO無密碼技術的TW FidO來驗證，他們為此也再開發另一個驗證機制，在這個介面中，使用者可用行動自然人憑證（TW FidO）來登入，並使用Cloudflare Tunnel方式來保障內部系統網路連線隱私，可隱藏伺服器IP位址。

不過，由於並非每個使用者都有行動自然人憑證，因此，該驗證介面也提供實體的自然人憑證，以及臨時密碼的選項，後者主要因應沒帶卡、沒帶裝置的情形，有效期間有多長？原則上是24小時。

在上述過程中，還有個相當特殊之處。雖然TW FidO已經符合多因素驗證，但在這樣的同盟驗證串接之下，後段的驗證機制將被微軟Azure AD視為多因素驗證之一，因此會出現再次進行多因素驗證程序的狀況。

而根據資安院提出的零信任架構的身分鑑別（身分鑑別系統部署、身分保證等級、鑑別保證等級）而言，當中列出的身分鑑別合規要求，至少要達IAL2/AAL3/FAL2等級。因此，數位部而言一開始的驗證要求，只有帳號密碼與微軟Authenticator App驗證，現在改用行動自然人憑證或自然人憑證，就等於符合更高等級的要求。

後續對於政府零信任架構的第二階段「設備鑑別」機制部署，數位部正在評估，目前考慮使用微軟Intune，或是CrowdStrike的方案。

根據資安院提出的政府零信任架構身分鑑別功能符合性驗證，包括零信任架構（零信任架構核心組件、零信任架構部署方式），決策引擎（零信任架構決策引擎安全通訊），身分鑑別（身分鑑別系統部署、身分保證等級、鑑別保證等級），決策控制（零信任架構決策控制功能、聯邦保證等級），存取閘道（存取閘道功能、存取閘道全通訊），資通系統（資通系統存取控制）。在此當中，以身分鑑別等級而言，資安院列出的身分鑑別合規廠商，至少要達IAL2/AAL3/FAL2等級。

其次，以EIP電子公文系統而言，這方面他們推動的是行動自然人憑證簽核，以及內部服務架構的調整。前者的最新進展在於，數位部持續推行的行動簽核電子公文，範圍將擴至一般公務機密文書，也就是「密」等級文件，行政院在7月7日已同意試辦。

因此數位部預計從10月開始進行，試辦到明年6月。主要效益在於減少人工傳遞公文數量、提升處理時效與簡化作業模式，讓紙本密件來文經上傳掃描、線上加密，使用自然人憑證才能開啟及處理公文，後續還會有密件紙本歸檔動作，待試辦覺得可行後，再研擬各機關參考。

另外，自然人憑證目前可以做加密、解密、簽章與驗章，不過行動自然人憑證，目前只有簽章與驗章，沒有加密與解密，而內政部這邊也正在開發TW FidO的加解密功能，預計今年年底會上線。

第三，以對外服務網站而言，也就是數位部全球資訊網（moda.gov.tw），8月宣布一系列系統強固措施，聚焦網站韌性，以及雲原生等層面的發展，以因應境外網攻、提升網站穩定度。

周智禾也解釋了他們這方面的作法，並希望將相關經驗提供其他政府機關。

具體而言，在系統架構上，他們選擇融合靜態化、CDN、網頁代管與IPFS，因應網頁內容竄改與網頁回應緩慢的問題，同時採用前後端分離的作法，來因應網站改版需求。

靜態網頁的好處在於，內容顯示時不需經由網站伺服器運算；若使用動態網頁，網站要經由網站伺服器從資料庫擷取資料，由伺服器端即時處理。而靜態網頁這樣的架構，適合頁面內容變動不大的網站，像是各單位對外的網站，當然，以數位部的全球資訊網而言，仍然有新聞資訊發布等內容的需求，需要動態呈現，因此透過前後端分離的做法來因應，他們總共花了3個月完成這些改變。

對於零信任網路架構與網站韌性強化，數位發展部資訊處副處長周智禾說明了他們在這方面的關於的實務經驗。

政府零信任架構「設備鑑別」即將有首批通過驗證方案，「信任推斷」下半年將召開說明會

關於政府零信任架構的推動，國家資通安全研究院副院長吳啟文談到最新發展概況。

基本上，這項計畫是在2021年啟動，由當時的技服中心完成零信任架構與概念性驗證機制的研究與部署，並在去年7月正式公布，預計以3年3階段的方式進行，依序建立決策引擎的3大核心機制，包括「身分鑑別」、「設備鑑別」、「信任推斷」，並將先遴選2個機關逐年試行，以推動我國A級機關導入。

經過一年的推動，關於上述工作，吳啟文指出，他們在2021年已擇定試行機關是退輔會與文化部，後續他們遇到的關鍵挑戰，就是挑選何種資通訊系統來導入試行，雖然可從簡單的系統開始嘗試，但要真正試行在核心系統，才能知道實際效果，在相互討論後，他們後續決定偏向以核心系統來試行。

此外，2022年數位發展部成立，該單位在同年8月建置資通系統導入零信任架構。上述也已經提及這件事。

如今2023年下半剛開始，資安院對於政府零信任架構的未來推動，目前的進度是？吳啟文表示，去年決定推動我國A級機關導入，現在更明確的方向在於，從已導入T-Road的機關為優先來進行。

在推動商用產品符合我國政府零信任架構方面，自去年開始進行第一階段「身分鑑別」，到今年8月底為止，通過資安院功能符合性驗證的產品方案，已有12個。

而在第二階段的設備鑑別方面，吳啟文透露，有一家廠商提供的解決方案即將通過功能符合性驗證。

至於第三階段的信任推斷，資安院仍在規畫當中，原則上希望技術中立，不要有這個層面的限制規定，預計下半年將召開說明會，徵詢廠商意見。至於後續挑戰上，他也提到需考慮導入相容性的問題，這是因為各單位採用的三大核心機制未必由同一家廠商提供，後續導入必需考量相容性與整合的問題。

針對美國CISA與美國國防部持續推動的零信任架構發展，臺灣該如何對應，吳啟文表示，資安院已經將我國採行的措施進行比對，希望能瞭解哪些面向的進展較弱，成為未來後續推動的重要參考。

近年已有多國宣布將零信任網路安全納入國家戰略，包括美國、歐盟、新加坡、中國，當中又以美國最為帶頭與積極，自從2021年5月美國總統拜登簽署行政命令（EO 14028），再到2022年1月「聯邦零信任戰略」（Federal Zero Trust Strategy）草案通過後發布M-22-09備忘錄等一系列作為。

我國也在2021年由前技服中心完成零信任架構，與概念性驗證研究及部署機制，並分3階段推動商用系統符合產品驗證以及機關導入。

關於政府零信任架構推動一年多的現況，國家資通安全研究院副院長吳啟文指出，如今在身分鑑別的導入方面，首要推行的目標，將以完成導入T-Road的A級機關先做起。