水土保持博士變身資訊長，力推政府開放資料活絡產業創新

經濟部水利署主管的業務從天上的雨水，到地表上的海水、河水甚至農田中的水，甚至也肩負起防洪抗旱、管理灌溉用水、保護水庫生態等多方位的責任。

其中涵蓋了極為多元且複雜的資料，光是標準就多達400多個，到底如何統合？此時，專業的水利人才有辦法真正了解其中的複雜度及資料應用過程等，而經濟部水利署資訊室主任蘇瑞榮，正是出身水土保持博士的水利專家，為了能夠真正地發揮資料的價值，早在2006年起開始規畫統一各部會的資料格式。

在行政院於近3年積極推動開放政府資料下，在政府機關還在為統一資料格式而苦惱時，由於經濟部水利署已經統一了資料格式，因此可以在2015年開放出了各式各樣的資訊圖表與數據等，且涵蓋的範圍相當廣泛，包括了歷史淹水資料、水資源分區圖、水源特定區圖、水庫堰壩位置圖等近80項資料。

蘇瑞榮表示，要統一各種資料格式是一件繁雜卻相當重要的基礎工作。早期水利署所屬的各個機關的資料格式皆不同，就連空間座標標示的方法也不同，水利署光從草擬格式規範到正式上路，就走了7年。

水利署早在2006年就頒布了水資源資料標準，包括資料格式標準、水資源空間資料標準，而2011年則因為有用機器交換資料的需求，而制定了資料交換標準，統一了各機關的資料格式。

蘇瑞榮說，一開始在訂定資料格式時，光是各種標準就多達400多個，要整合各資料格式最困難的地方在於，每一個單位記錄的資料習慣不同，使用的資料格式也有相當大的差距，要如何統合各單位的需求？蘇瑞榮的經驗是，在格式方面，需要掌握「越多單位有交集的資料格式才是標準」的原則，才能確保資料格式統一能順利進行。

就算水利署已經訂定了各單位統一的資料格式，政府開放資料之路仍然不是這麼好走，如何讓機關接受開放文化也是關鍵之一，蘇瑞榮說，剛開始有一些公務員會認為開放資料徒增許多工作負擔。不過，他說，一旦政府單位訂出法規，如「以開放為原則，不開放為例外」，資訊單位就可以名正言順地要求所有的公務員遵守，以加快政府開放資料的腳步。

另外，「開放資料是有成本的」蘇瑞榮也強調，政府需要以可供機器讀取（Machine Readable）的檔案格式，如CSV、XML等開放資料，而政府單位在開放資料之前，必須要做很多前置作業，首先要檢核資料品質是否符合國家發展委員會訂出的開放資料標準，如檢查各項資料的正確性與完整度。

而水利署在行政院大力推動開放資料時，委託外部單位開發出開放資料檢核平臺，來檢核各項資料是否符合統一的資料格式與詮釋資料相關規範。因為，光是一份地理資訊圖表，就需要分別填寫屬性資料與詮釋資料，以詮釋資料來說，就需要填寫近40項資料，其中涵蓋了位置座標、地址、管理單位、土地利用情況等。

不僅如此，水利署內部擁有大量珍貴的地理與空間資料，其中還包括河川堤防的斷面資料，光是此份資料，業務單位甚至也需要提供數十項詮釋資料，包括了工程位置、工程名稱、施工單位、監造單位、材料，還包括了施工工法、或是否為加高工程或是搶修等等，當業務單位填寫之後，會再透過資料檢核平臺來檢查所有的資料欄位是否完整，再請業務單位補齊，再將資料開放出去。

不過，僅僅一項地理資訊圖，公務人員就要填寫相當多資料，也常會遇到公務員只會用資料，但不知道如何填寫等情況，此時，資訊室會站在業務單位的立場，幫忙詢問各機關單位，以將資料內容補齊。

經濟部水利署資訊室主任蘇瑞榮表示，水利署資安防護守則第一條就是資訊安全人人有責，每一位公務員都必須具備資安概念。

鼓勵民間應用政府開放資料，活絡產業經濟

而近年來，臺灣人民利用政府開放資料發展出相當多元的應用服務，蘇瑞榮說，當民間積極地應用政府開放資料時，反而能帶動行業的興起或是活絡現有的產業。

經濟部水利署不光規畫長遠的開放資料政策，鼓勵民間應用，然而，近期卻發現了多起中國大陸駭客入侵政府網站的事件，由於資訊安全如同國家安全，也會涉及國家機密資料，因此各政府機關更需要加強資安防護。蘇瑞榮說，近期在經濟部水利署的公務信箱中，就發現了來自地方鄉鎮公所的信件，而這些地方政府單位，由於缺乏資安意識或是政府預算，常常成為駭客攻擊的首站。

也就是說，冒用臺灣政府機關發送電子郵件的攻擊手法也是中國大陸駭客針對臺灣政府最常使用的攻擊手法之一。中國大陸網軍會製作許多以假亂真的釣魚郵件，如利用傳送.gov.tw的郵件，來吸引公務員點擊，蘇瑞榮說，臺灣政府內部一共包含了近九千個機關單位，但是，不可能每一個機關在資安防護上都做得密不透風，因此，中國大陸網軍就用此漏洞竊取機關內部資料。

他說，這封信件的寄件人由於是來自臺灣政府機關，因此很容易引誘公務員開啟信件。不過，由於此信件和經濟部水利署的業務完全沒有關係，因此懷疑是中國駭客寄來的釣魚信件。而遇到類似的情況就必須立刻著手調查。

因此，蘇瑞榮立即找來同事用沙箱檢查此封信件的來源是否是中繼站，後來發現此封信正是由中繼站發出，確實來自於中國大陸的駭客。他解釋，當中國大陸駭客竊取資料之後，必須層層回到中繼站，因此，臺灣政府單位可以透過檢查中繼站來了解駭客的入侵手法，而目前發現來自中國大陸的中繼站超過一萬個。

他進一步解釋，目前中國大陸網軍估計約18萬人，當臺灣面對中國大陸大量而頻繁的網路攻擊時，政府國家機密資料自然成為網軍攻擊主要的目標。

政府機關如今面對更難以應付的APT（進階持續性威脅）攻擊，而且這些攻擊不但有組織與計畫地運作，且近年更加頻繁。對於中國大陸網軍來說，由於和臺灣之間地理位置相近，且使用同一種語言，經常將臺灣作為「練兵場」，當中國大陸網軍研發出新的攻擊手法時，就會先到臺灣磨練技術是否成熟，而當臺灣遭受到某個特定攻擊手法之後，經常沒過多久相同的手法就會出現在其他的國家。

而中國大陸網軍的攻擊手法推陳出新，蘇瑞榮也指出了多種攻擊手段，例如，這幾年間就出現「蟲蟲危機」，中國大陸駭客使用如同寄生蟲將卵寄生在瓢蟲身上的手法，也就是說，會將病毒寄生在AP系統中，而沒有更動被寄生電腦的程式碼，導致被病毒寄生的單位，難以透過掃描找出病毒。

「中國大陸網軍有一招也相當奸詐」他說，如今趨勢科技發現中國網軍會仿冒趨勢科技的防毒軟體如PC-cillin等，來冒用防毒主機的身分。

不過，蘇瑞榮說，水利署進行資安防護工作的困難在於，由於公務員通常是固定上下班時間，因此面對無時無刻可能來自於駭客的攻擊時，經常無法及時處理。

資安如同作戰人人有責

在政府遭受中國頻繁攻擊的情況下，蘇瑞榮說，為了因應多樣的駭客攻擊行為，包括了勒索、殭屍、木馬、社交工程、DDoS與APT等，水利署透過外部廠商，部署了7x24全年無休的資訊安全監控中心（Security Operation Center，SOC），其中涵蓋了監控網路攻擊、入侵事件、即時通報及防護建議等。

蘇瑞榮說，水利署資安防護守則第一條就是資訊安全人人有責，當每一位公務員都具備資安概念，才有辦法真正實現零資安事件的目標。未來，蘇瑞榮說，水利署計畫建立智慧SOC平臺，可在SaaS平臺上，利用主動式雲端截毒技術來偵測APT與惡意程式等攻擊。

此外，而「資訊服務也必須要結合業務單位」他說，過往，臺灣早期在政府進行河川疏浚及砂石採售過程中，由於黑道橫行，使得多位水利工作人員遭受到黑道騷擾等，導致生命與財產等受到威脅。

為此，蘇瑞榮說，當時水利署同事在相當心寒的情況之下，科技真正發揮了其價值，自資訊室協助架設遠端監控設備後，並輔以監控系統，同時連線地檢署，成功擺脫了黑道的威脅。

另外，身為資訊室主任的蘇瑞榮，2013年甚至開始經營起電子報，至今已經發行了近2,000篇文章，擁有約1萬名訂戶，其中涵蓋了各式各樣的水利資訊與知識，他不但要集合水利署同事的稿件，每個禮拜還要和同事一起負責校稿，至今仍然維持每個禮拜定期出刊。

IT人需具備跨領域能力

蘇瑞榮在水利署資訊室工作了近20年，起初以水土保持博士的背景進入到資訊室時，他開始彎下腰和同事學習資訊知識與技術，走了10多年擔任資訊室主任，他說，過程中透過和同事討論資訊技術等，能夠慢慢擴大資訊領域相關的知識，另外也透過自行搜尋資料加以學習，因為「責任到哪裡，知識就到哪裡」。

而因為蘇瑞榮具備跨領域能力，當資訊室人員透過寫程式來解決業務部門的需求時，他能夠扮演起資訊部門和業務部門之間的橋樑，將水利第一線工作人員的需求翻譯給資訊部門聽，讓資訊人員做出來的應用服務能夠更符合業務單位的需求。

因此，他也鼓勵年輕人不能只懂得資訊技術，也要了解管理、公文撰寫與跨領域溝通等能力，才有機會脫穎而出。

 CIO小檔案 

蘇瑞榮

經濟部水利署 資訊室主任

●      學經歷：中興大學水土保持學研究所博士，在經濟部水利署任職近20年，一路從水利署資訊室擔任簡正，負責確保資訊安全、水庫集水區管理業務，之後擔任科長負責推展地理資訊業務，目前負責確保資訊安全、整合應用系統、推展共用系統與共用網站、資料共享與資料開放、推廣知識應用等

 機關檔案 

經濟部水利署

●      成立時間：2002年3月28日

●      地址：臺中市南屯區黎明路2段501號

●      主要業務：水資源調查、開發、利用、保育、經營管理及統籌調配與中央水、旱災之防救事項

●      員工人數：現有職員399人，附屬機關職員1,220人，合計預算員額1,619人

●      年度預算：約156億元

●      網址：www.wra.gov.tw

 資訊部門檔案 

●      資訊部門名稱：資訊室

●      資訊部門人數：25人

●      每年IT預算：約4,971萬元

●      資訊部門分工：一科負責資訊安全、網路管理、網站管理、行政系統；二科負責防災應變系統支援、地理資訊系統。

IT部門大事紀：

●      2010年：引進AirMagnet、NetSecure加強有線/無線網路控管，強化資通安全品質，並重新規畫網路架構，以改善署內基礎網路環境；同時配合政府節能減碳及資訊資源集中政策，使用VMware虛擬化軟體整併實體伺服器

●      2011年：租用中華電信IDC機房，建置本署及所屬機關共構機房與資訊共享平臺，提供雲端基礎設施服務

●      2012年：建置共構機房與本署主機房之間異地備份/備援機制，因應本署及所屬機關緊急應變災難損害，而能於最短時間內復原

●      2013年：成立電子報

●      2014年：導入開放資料檢核系統

●      2015年：開放約80項資料，包括水資源分區圖等