資通安全法，歐盟要，台灣能不要嗎？／ 李鑄海

日前看到媒體發表評論，認為行政院草擬的《資通安全管理法》草案，對關鍵基礎設施及關鍵基礎設施提供者的定義太寬鬆，會造成國家不當侵入私人領域，並建議行政院應把法案收回，以免丟人現眼。

雖然對政府採取嚴格的檢視態度，是所有媒體應盡的責任，但從第四權在幫助民眾了解實情並據以判斷的角度來說，理解事實及平衡報導／評論，其實和批判政府一樣重要。如果真的有細看資通安全管理法草案，以及各條的立法說明，或是至少有向幾個資訊及法律學者或行政院進行平衡訪問報導，又或是已檢視行政院早已公布在國發會join平台的多場座談會紀錄的話，應該可以發現：這部法雖然一定有待改善之處，但與評論所稱應收回以免丟人，還有一段距離。

資通安全法的立法過程與關鍵基礎設施的規定

首先，通常這種針對機關、組織的資訊立法，在草擬過程中很少會邀請民權團體與會；但據悉在行政院為此法召開的六場座談會中，包括台權會此一捍衛人權立場鮮明的民權團體，以及長年努力保護民眾權益的消基會都在受邀之列。此外，除了資訊學者以外，亦有多位長期研究隱私和科技的法律學者受邀。

從內容面來看，以最近前述媒體大加撻伐的「關鍵基礎設施」相關規定為例，在資安法草案中，對「關鍵基礎設施」之定義，與國際一致，都是指「其功能喪失或降低對國民生活、經濟活動、公眾安全或國家安全有重大影響之虞者」才納入，也因此會含括能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院等領域。

資安法草案中，對關鍵基礎設施的定義與管理，與國際一致。

且由於所謂關鍵基礎設施，其實不會是單一的設備或資產；而多是多種設備、資產或網路、系統之集合體。名稱雖然叫設施，但其實更像功能的概念，因此國際上在每一領域，均會再區分為數個次領域及重要元件設施。例如能源這個主領域下，會再區分為電力、石油、天然氣、化學與核能材料等次領域，每一領域也都會有各自的重要元件設施。

為了避免在納管時也納入規模較小的機構，造成其不必要的負擔，資安法草案又另定：關鍵基礎設施提供者，應該由中央目的事業主管機關提請行政院核定，而不是凡在關鍵基礎設施領域內就一律納管。

關鍵基礎設施對國計民生影響重大，其資通安全在現今這個萬物聯網的資訊時代，其實涉及的已經不只是資料的保密，也可能會影響到實體的安全。紀錄片《ZERO Days》講述的就是伊朗核電廠的資通系統被駭客植入惡意程式以後，利用程式去破壞它的核電設備的運作。因此，各國對關鍵基礎設施的資通安全管理都日漸重視。

例如，歐盟不久前才通過了「網路與資訊系統安全指令」（The Directive on security of network and information systems）；指令中除了要求各會員國必須就關鍵基礎設施的資通安全加以管理，也規定各會員國必須制訂有效的罰則，處罰未遵守相關規範的關鍵基礎設施提供者。這些規定為的就是避免在資訊戰發生時，對國家人民的安全與生活造成重創。

因此，國家透過資安法納管關鍵基礎設施提供者，其實不只是國際趨勢，更是勢在必行；即使這些關鍵基礎設施提供者是私人企業，也不應該豁免於資安法的規範。否則為了國家安全，豈非又要走回所有關鍵基礎設施均要國有或國營的老路？

批判政府作為是媒體天職，但批判也應基於事實。

因此，重點應該放在到底何等規模、何種性質的關鍵基礎設施提供者應該納管，而非其是公立或私人單位。以緊急救援與醫院體系此一關鍵基礎設施領域為例，個別的醫療院所雖會被視為是關鍵基礎設施的一部分，但其影響力與重要性，則依醫療院所的規模與任務而有差異。因此需要中央目的事業主管機關，指定其中較具重要性的醫療院所，做為關鍵基礎設施提供者，納入資安法規範；一般診所等小型醫療機構則不必納管。以捉大放小的比例原則，藉以平衡國家安全與對私領域的涉入。

媒體評論應有所本

雖然拿放大鏡檢視、批判政府作為，絕對是媒體的天職，但如果沒有平衡報導／評論，或是不明究理，連基本名詞都沒搞清楚，就開始批評，似乎對人民知的權益也頗有不周。現在應該做的，是真的去檢視法的內容，去了解其真正的影響，而不要為了批判而批判。畢竟資通安全法，連歐盟這樣具有強大力量的國際組織都要，台灣能夠不要嗎？