建立我國通資訊基礎(chǔ)建設(shè)安全機制計畫簡報

1、建立我國通資訊基礎(chǔ)建設(shè)安全機制計畫簡報 報告單位：行政院NICI小組 中華民國九十年四月十一日報告內(nèi)容壹、依據(jù)貳、前言參、資通安全保護範疇肆、網(wǎng)路安全建置目標與執(zhí)行要點伍、運作體系架構(gòu)與職掌陸、資源需求與預(yù)定及重要措施時程-1-壹、依據(jù)一、奉總統(tǒng)八十九年八月卅日核定建立我國通資訊基礎(chǔ)建設(shè)安全機制案辦理。二、依行政院秘書長八十九年九月十五日臺八十九科字第二七一七九號函辦理。三、依八十九年十二月廿九日行政院NII委員會通過辦理。四、九十年一月九日院長核定同意辦理。五、九十年一月十七日行政院第2718次院會通過。-2-貳、前言一、隨著現(xiàn)代資訊化社會的來臨，許多大型企業(yè)、金融機構(gòu)、政府機關(guān)以及國軍各軍

2、事單位都相繼採用電腦資訊化作業(yè)，於是許多重要的資料都將儲存在電腦中或利用電腦通訊網(wǎng)路來傳遞。然而，這些儲存或傳遞的資料均可能涉及商業(yè)機密、個人隱私權(quán)，甚至國家安全之機密。因此，要如何防範電腦網(wǎng)路犯罪與危機，並維護資通系統(tǒng)安全將是政府施政最迫切的課題 二、現(xiàn)有之資訊及通訊安全措施：包括利用資料加密、身分鑑別、電子簽章、防火牆及安全偵測等作為，以防止資料及系統(tǒng)被不法侵入、破壞。惟此安全防護均侷限於局部性，並無整體防護、識別及回復(fù)等能力，對國家資通安全之防衛(wèi)應(yīng)變嚴重不足。 -3-參、資通安全保護範疇一、資通安全保護課題二、資通安全保護對象三、正常運作之重點資通安全體系四、資通安全保護工作重點-4-一

3、、資通安全保護課題(一)安全管理政策(二)物理實體安全(三)人員管理安全(四)安全規(guī)章法律(五)硬體設(shè)備安全(六)軟體系統(tǒng)安全(七)網(wǎng)路通訊安全 -5-二、資通安全保護對象(一)國防方面國防體系(二)政府方面(三)民間方面政府機構(gòu)事業(yè)機構(gòu)學術(shù)機構(gòu)ISP系統(tǒng)(HiNet、Seednet)金融體系大型、重要民間公司-6-三、正常運作之重點資通安全體系(一)政府的正常運作。 (二)軍事力量的維持。 (三)救援體系的正常運作。 (四)人民日常生活必需品(電信、水、電、油、瓦斯、食物)的正常供給。 (五)金融體系的正常運作。 (六)商業(yè)的繼續(xù)進行。 -7-四、資通安全保護工作重點(一)資通基礎(chǔ)建設(shè)安全的

4、防護 資通基礎(chǔ)建設(shè)安全之防護以抵禦攻擊為主，並以資 通系統(tǒng)生存為目標。植基於此，我國除軍事單位外， 其他機構(gòu)少有資訊邊疆(Information Frontier)的 概念。(二)資通基礎(chǔ)建設(shè)安全之識別 快速且正確的偵測與辨識惡意的使用行為對資通系 統(tǒng)的存活是相當重要的，必須謹慎地注意可能出現(xiàn) 危機癥兆的任何異?；顒訄蟾?。(三)資通基礎(chǔ)建設(shè)安全之回復(fù) 蒐集稽核線索與分析入侵活動資料是法律證據(jù)重建 之鑑識技能。在遭受攻擊後，快速且完整地回復(fù)資 通系統(tǒng)之回復(fù)技能均是通資訊基礎(chǔ)建設(shè)安全回復(fù)須 面對面的問題。 -8-肆、網(wǎng)路安全建置目標與執(zhí)行要點一、目標(一)積極防衛(wèi)資通設(shè)施，維護國家運行體制。(二)

5、建立資通安全優(yōu)勢，提升國家競爭力量。(三)堅實資通安全建設(shè)，健全網(wǎng)路社群發(fā)展。(四)主動偵測安全威脅，降低實質(zhì)危害因素。(五)建構(gòu)安全通報體系，強化事前預(yù)警機制。(六)保障民眾隱私權(quán)益，促進網(wǎng)路多元發(fā)展。(七)增強執(zhí)法專業(yè)能力，有效遏止網(wǎng)路犯罪。-9-二、執(zhí)行要點(一)編組專職人員統(tǒng)合推動資通安全工作及協(xié)調(diào)組織。 (二)律定資通安全組織職掌及分工。 (三)建立資通安全危機事件通報及預(yù)警機制。 (四)彙整及發(fā)布通報相關(guān)資訊，供各機關(guān)參考運用及早作好預(yù)防措施。 (五)執(zhí)行國家重要資通基礎(chǔ)設(shè)施之安全防護，建立主動偵防能力。 -10-二、執(zhí)行要點(六)策訂重要資通設(shè)施安全規(guī)範及回復(fù)重建措施。 (七)檢

6、討及增修訂資通安全相關(guān)法令、訂定資通安全技術(shù)標準及規(guī)範，建立產(chǎn)品檢驗及保證機制。 (八)推動資通安全學術(shù)研究及關(guān)鍵技術(shù)研發(fā)。 (九)加強資通安全人力培訓(xùn)及觀念宣導(dǎo)。 (十)提升執(zhí)法機關(guān)之偵防能力及人力，建立跨國及區(qū)域性合作機制。-11-伍、運作體系架構(gòu)與職掌一、資通安全之組織架構(gòu)二、國家資通安全應(yīng)變中心之組織體系三、政府各機關(guān)(機構(gòu))資通安全處理小組組織架構(gòu)四、資通安全事件通報及應(yīng)變作業(yè)流程五、資通安全事件通報單-12-一、資通安全之組織架構(gòu) ( 一)國家資通安全會報組織運作架構(gòu)國家資通安全會報召 集 人 ：行政院 院長兼副召集人：行政院 副院長兼委 員：相關(guān)部會首長及北高市長執(zhí)行長：行政院N

7、II小組總召集人兼副執(zhí)行長：總統(tǒng)府國家安全會議派員兼行政院主計處電子處理資料中心主任兼技合術(shù)業(yè)服務(wù)務(wù)中與心綜標準規(guī)範工作組稽核服務(wù)工作組資訊蒐集工作組網(wǎng)路犯罪工作組危機通報工作組NII小組主計處國防部交通部經(jīng)濟部財政部教育部中科院工研院電信研究所資策會民間業(yè)者經(jīng)濟部研考會國防部交通部財政部主計處(電子中心)國防部交通部經(jīng)濟部財政部 國科會中科院工研院資策會相關(guān)公協(xié)會民間業(yè)者法務(wù)部內(nèi)政部國防部交通部 主計處(電子中心)內(nèi)政部國防部交通部財政部經(jīng)濟部教育部衛(wèi)生署研考會.國家資通安全應(yīng)變中心危機通報分組等七組國家安全會議顧問-13-附表一、國家資通安全會報委員-14-姓名職稱單位備考張俊雄院長行政院

8、國家資通安全會報召集人賴英照副 院 長行政院國家資通安全會報副召集人蔡清彥政務(wù)委員行政院國家資通安全會報執(zhí)行長柯承亨諮詢委員國家安全會議國家資通安全會報副執(zhí)行長萬鎮(zhèn)歐主任行政院主計處電子中心國家資通安全會報副執(zhí)行長邱義仁秘 書 長行政院委員丁渝洲局長國家安全局委員張博雅部長內(nèi)政部委員伍世文部長國防部委員顏慶章部長財政部委員陳定南部長法務(wù)部委員林信義部長經(jīng)濟部委員葉菊蘭部長交通部委員曾志朗部長教育部委員林全主 計 長行政院主計處委員林嘉誠主任委員研考會委員翁政義主任委員國科會委員馬英九市長臺北市委員謝長廷市長高雄市委員召集人一員、副召集人一員、執(zhí)行長一員、副執(zhí)行長二員、委員十四員、合計十九員。

9、國家資通安全技術(shù)服務(wù)與綜合業(yè)務(wù)中心運作規(guī)劃示意圖主任副主任訓(xùn)練推廣技術(shù)服務(wù)綜合業(yè)務(wù)技術(shù)支援支援政府單位支援國防單位支援民間企業(yè)訓(xùn)練推廣推廣服務(wù)團訓(xùn)練推廣人才培訓(xùn)()()()推動企劃行政管理綜合業(yè)務(wù)技術(shù)研發(fā)中山科學研究院（科專計畫支持）工研院、資策會學術(shù)界、民間企業(yè)中華電信研究所-15-(二)國家資通安全會報組織職掌(1)統(tǒng)籌國家層級資通安全基礎(chǔ)建設(shè)規(guī)劃作業(yè)。 (2)負責資通安全基礎(chǔ)建設(shè)作業(yè)綜合業(yè)務(wù)。 (3)負責資通安全人力培訓(xùn)及籌組資通安全技術(shù)服務(wù)團。 (4)負責資通安全基礎(chǔ)宣導(dǎo)及舉辦相關(guān)技術(shù)研討會。 (5)建置資通安全宣導(dǎo)及技術(shù)網(wǎng)站並蒐集最新資通安全相關(guān)技術(shù)。 (6)編訂資通安全基本作業(yè)手冊

10、並協(xié)助各機關(guān)訂定作業(yè)系統(tǒng)安全等級。 (7)推動資通安全關(guān)鍵技術(shù)研發(fā)及學術(shù)研究並協(xié)助發(fā)展我國資通安全相關(guān)產(chǎn)業(yè)。 (8)辦理資通安全攻防模擬環(huán)境建置及相關(guān)訓(xùn)練等事項。(9)提供各界資通安全技術(shù)諮詢服務(wù)。 1、技術(shù)服務(wù)與綜合業(yè)務(wù)中心 (辦理單位：NICI小組主責、主計處、國防部、交通部、經(jīng)濟部、財政部、教育部、中科院、資策會、工研院配合協(xié)辦) -16-(1)訂定資通安全技術(shù)標準。 (2)訂定各機關(guān)辦理資通安全有關(guān)作業(yè)規(guī)範。 (3)規(guī)劃建置資通安全檢測技術(shù)。 (4)規(guī)劃建置資通安全驗證方法 (5)規(guī)劃建置資通安全認證程序。 2、標準規(guī)範工作組(辦理單位：經(jīng)濟部主責、研考會、國防部、交通部、財政部配合協(xié)

11、辦) (二)國家資通安全會報組織職掌(續(xù))-17-(1)培訓(xùn)資通安全稽核人力。 (2)籌組資通安全稽核服務(wù)團。 (3)選定資通安全等級高之作業(yè)系統(tǒng)。 (4)對重要系統(tǒng)不定期辦理資通安全稽核。 (5)彙編重要系統(tǒng)資通安全稽核報告。 3、稽核服務(wù)工作組(辦理單位：主計處主責、國防部、交通部、經(jīng)濟部、財政部配合協(xié)辦)(二)國家資通安全會報組織職掌(續(xù))-18-(1)蒐集國內(nèi)外資通安全相關(guān)資訊。 (2)統(tǒng)計分析資通安全事件資料。 (3)結(jié)合技術(shù)服務(wù)組，研擬資通安全防範措施並對外提供。 4、資訊蒐集工作組(辦理單位：國科會主責、中科院、工研院、資策會、相關(guān)公協(xié)會及民間業(yè)者配合協(xié)辦) (二)國家資通安全會

12、報組織職掌(續(xù))-19-(1)指派人員負責資通網(wǎng)路犯罪事件偵查工作。 (2)培訓(xùn)執(zhí)法人員辦理資通安全有關(guān)偵防能力。 (3)建立跨國及區(qū)域性合作偵防機制。(4)配合研修網(wǎng)路犯罪相關(guān)法規(guī)。 5、網(wǎng)路犯罪工作組(辦理單位：法務(wù)部主責、調(diào)查局、內(nèi)政部、國防部、交通部配合協(xié)辦)(二)國家資通安全會報組織職掌(續(xù))-20-(1)建立資通安全事件通報處理程序。 (2)建置資通安全事件通報網(wǎng)站。 (3)建立資通安全事件危及公共安全、社會秩序有關(guān)緊急應(yīng)變程序。 (4)協(xié)調(diào)技術(shù)服務(wù)組，提供技術(shù)服務(wù)。 (5)建立事前各項資通安全事項通報及預(yù)警機制。 (6)統(tǒng)計發(fā)布我國資通安全事件及應(yīng)變程序。 6、危機通報工作組(辦

13、理單位：主計處主責、內(nèi)政部、國防部、交通部、經(jīng)濟部、財政部、研考會配合協(xié)辦) (二)國家資通安全會報組織職掌(續(xù))-21-二、國家資通安全應(yīng)變中心之組織體系召 集 人：國家資通安全會報執(zhí)行長兼副召集人：國家安全會議派員兼副召集人：國家資通安全會報副執(zhí)行長兼影響等級級以下時由主計處電子中心負責處理影響等級達到級時由召集人及副召集人進駐處理民營機構(gòu)分組召集單位：交通部國防體系分組召集單位：國防部學術(shù)機構(gòu)分組召集單位：教育部事業(yè)機構(gòu)分組召集單位：主計處行政機構(gòu)分組召集單位：研考會危機救災(zāi)分組召集單位：內(nèi)政部危機通報分組召集單位：主計處負責民營機構(gòu)(網(wǎng)路通信業(yè)、金融業(yè)、證券業(yè)、電信重點製造業(yè)) 資通安

14、全危機事件通報及應(yīng)變處理事項負責國防體系資通安全危機事件通報及應(yīng)變處理事項負責學校及研究機關(guān)資通安全危機事件通報及應(yīng)變處理事項負責政府事業(yè)機構(gòu)(電力、石油、自來水、金融、證券、關(guān)貿(mào)、航管、瓦斯) 資通安全危機事件通報及應(yīng)變處理事項負責政府行政機關(guān)資通安全危機事件通報及應(yīng)變處理事項協(xié)調(diào)警政、消防、衛(wèi)生等救援體系支援事故緊急處置一、規(guī)劃通報應(yīng)變作業(yè)計畫二、建立通報體系三、辦理通報宣導(dǎo)研討會四、建立通報網(wǎng)站五、彙整及發(fā)布通報資訊（國防通資訊危機事件通報及應(yīng)變體系）（民間通資訊危機事件通報及應(yīng)變體系）（政府通資訊危機事件通報及應(yīng)變體系）（通資訊安全報案通報及危機救災(zāi)體系）技服與綜業(yè)中心資訊蒐集工作組-

15、22-資通安全危機等級A級：影響公共安全、社會秩序、人民 生命財產(chǎn)。級：系統(tǒng)停頓，業(yè)務(wù)無法運作。級：業(yè)務(wù)中斷，影響系統(tǒng)效率。級：業(yè)務(wù)短暫停頓，可立即修復(fù)。-23-國家資通安全應(yīng)變中心各分組職掌主計處擔任國家資通安全應(yīng)變中心總召集單位，兼負中心幕僚作業(yè)並負責資通安全危機事前預(yù)警機制建立、彙總各分組有關(guān)資通安全危機事件通報、分析報告及協(xié)調(diào)技術(shù)服務(wù)組提供相關(guān)技術(shù)支援等事項。 (一)危機通報分組：(主計處擔任召集單位) 負責規(guī)劃通報應(yīng)變作業(yè)計畫、建立通報體系、辦理通報宣導(dǎo)講習、建立通報網(wǎng)站、彙整、發(fā)布通報資訊及資通應(yīng)變中心幕僚作業(yè)。(二)事業(yè)機構(gòu)分組：(主計處擔任召集單位) 負責政府事業(yè)單位(如電力、

16、石油、自來水、金融、證券、關(guān)貿(mào)、航管及瓦斯等)有關(guān)資通安全危機事件通報及應(yīng)變處理事項。(三)危機救災(zāi)分組：(內(nèi)政部擔任召集單位) 負責協(xié)調(diào)警政、消防、衛(wèi)生等救援體系支援事故緊急處置。(四)行政機關(guān)分組：(研考會擔任召集單位) 負責政府行政機關(guān)有關(guān)資通安全危機事件通報及應(yīng)變處理事項。(五)學術(shù)機構(gòu)分組：(教育部擔任召集單位) 負責學校及研究機構(gòu)有關(guān)資通安全危機事件通報及應(yīng)變處理事項。(六)國防體系分組：(國防部擔任召集單位) 負責國防體系有關(guān)資通安全危機事件通報及應(yīng)變處理事項。(七)民營機構(gòu)分組：(交通部負責召集單位) 負責民營機構(gòu)中電信網(wǎng)路業(yè)者有關(guān)資通安全危機事件之通報及應(yīng)變處理，並協(xié)調(diào)財政部

17、(有關(guān) 金融業(yè)者)、經(jīng)濟部(有關(guān)重點製造業(yè)者)對其主管重要目的事業(yè)辦理通報及相關(guān)應(yīng)變處理事 宜。-24-三、政府各機關(guān)(機構(gòu))資通安全處理小組組織架構(gòu)國家資通安全應(yīng)變中心各機關(guān)(機構(gòu))資通安全處理小組危機處理安全預(yù)防一蒐集資通安全資訊二培訓(xùn)資通安全技術(shù)三訂定系統(tǒng)安全等級四建置資通安全措施五執(zhí)行資通安全監(jiān)控一規(guī)劃危機處理程序二查明安全事件原因三確定影響範圍並作損失評估四執(zhí)行緊急應(yīng)變措施五辦理安全事件通報六執(zhí)行解決辦法-25-各機關(guān)資通安全處理小組職掌(一)安全預(yù)防：負責蒐集網(wǎng)路安全資訊、培訓(xùn)網(wǎng)路安全技術(shù)、訂定各機關(guān)系統(tǒng)安全等級、建置網(wǎng)路安全措施、執(zhí)行網(wǎng)路安全監(jiān)控等事項。(二)危機處理：負責規(guī)劃危

18、機處理程序、查明危機事件原因、確定影響範圍並作損失評估、執(zhí)行緊急應(yīng)變措施、辦理危機通報、執(zhí)行解決辦法等事項。 -26-四、資通安全事件通報及應(yīng)變作業(yè)流程發(fā)現(xiàn)資通安全危機事件確定影響範圍，評估可能損失，判斷是否需要支援啟動緊急應(yīng)變措施辦理資通安全事件通報通報災(zāi)害防救體系資通安全事件通報建檔需要支援重大災(zāi)害重大事故通報檢調(diào)單位協(xié)調(diào)資通技術(shù)服務(wù)組支援納入列管是否是是否執(zhí)行解決辦法辦理資通安全事件結(jié)案通報資通安全事件解除列管否資通安全事件通報單(表二)-27-附表一(單位全銜)資通安全通報網(wǎng)聯(lián)絡(luò)人員調(diào)查表-28-五、資通安全事件通報單機關(guān)(機構(gòu))名稱資通安全事件通報單洽詢電話： 傳真： e-mail:

19、 或逕送：臺北市廣州街二號填報時間： 年 月 日 時 分編號：一、發(fā)生網(wǎng)路安全之機關(guān)(機構(gòu))聯(lián)絡(luò)資料：機關(guān)(機構(gòu))名稱： E-MAIL：聯(lián)絡(luò)人： 電話： 傳真： 二、網(wǎng)路安全事件通報事項： 1.事件發(fā)生時間： 年 月 日 時 分 2.主機(伺服器)資料： IP位址(IP Address)： 網(wǎng)域名稱(Domain name)： 主機(伺服器)廠牌、機型： 作業(yè)系統(tǒng)名稱、版本、序號： 網(wǎng)際網(wǎng)路資訊位址(Web URL)： 已裝置之安全機制： 附表二-29- 3.網(wǎng)路安全事件資料： 安全等級：級；級；級；級 影響等級： 級：影響公共安全、社會秩序、人民生命財產(chǎn)。 級：系統(tǒng)停頓，業(yè)務(wù)無法運作。 級：

20、業(yè)務(wù)中斷，影響系統(tǒng)效率。 級：業(yè)務(wù)短暫停頓，可立即修復(fù)。 事件說明： 可能影響範圍及損失評估： 應(yīng)變措施：三、期望支援項目：四、解決辦法：五、已解決時間：年月日時分-30-陸、資源需求與預(yù)定及重要措施時程一、資源需求資通安全經(jīng)費預(yù)算總表單位：臺幣仟元-31-二、推動經(jīng)費來源需求規(guī)劃建議項目規(guī)劃案技術(shù)服務(wù)與綜合業(yè)務(wù)中心技術(shù)支援訓(xùn)練推廣技術(shù)研發(fā)綜合業(yè)務(wù)人力37人15人2人10人10人經(jīng)費需求(仟元)80,00035,00045,000小計80,00035,00045,000(一) 、技術(shù)服務(wù)與綜合業(yè)務(wù)中心經(jīng)費需求及來源註：技術(shù)服務(wù)與綜合業(yè)務(wù)中心預(yù)算(8仟萬元) 來源，擬請經(jīng)濟部技術(shù)處由科技專案計 畫項下檢討勻支。(二) 、技術(shù)服務(wù)與綜合業(yè)務(wù)中心細部規(guī)劃 各相關(guān)工作組提送工作計畫書 提 出預(yù)算需求 1.可由原有單位預(yù)算自行檢討支應(yīng)。 2.需呈報另行籌措來源。-32-三、主要工作