文／何珮琪
從日據時代就建置的總統府，其原本磅礡的建築氣勢，隨著時光流逝而漸漸不見其宏偉，在今日呈現為一非常有歷史感的優美建物。半為磚造半為木造的西式建築，古樸的迴廊與中庭，與許多現代的商業大樓相比已顯得稍稍簡陋，步行其中不免發思古之幽情。這一天，許多小朋友由老師帶隊來參觀，讓整個府內洋溢著活潑的生氣。
在這樣一座古老的建物內，了解它如何結合高科技的資訊安全和實體安全建置，來打造其安全防護，並肩負保護總統及內部決策機密的國家任務，是外界好奇的焦點。因為總統府的資安攸關國家元首的決策機密，即使府內的人員編制不大，在內部網路等的IT建置上也未必複雜，其安全工作完全不能有絲毫輕忽，其人員的工作程序和文化也必須被嚴格地要求。
最高規格的實體安全
歷經總統民選、政黨輪替後，元首的形象越來越平易近人，一般的遊客也可以在總統府一樓的開放區域參觀，但仍不免有層層關卡。例如，我們在進入總統府內部之前，要在數週前就先提出申請，如在入口處，有憲兵站崗，盤查證件。進入府內，要有內部人員帶記者進入；進入室內的第一關，就是一台X光儀器，檢驗訪客的隨身物品。如非公務所需，攝影機等都要留置該點。之後要在收發室交換證件，換取訪客證。其整個建築物內部走廊各點都裝置了攝影機，有安全室的警衛全日監控。其內部格局、中庭、甚至前陽台望出去的全景，都是禁止攝影的區域。可說，在安全的防護上的確有最高決策機關的架勢。
除去了那層神秘面紗，總統府內的資安建置，其實與一般企業機構並無二致，總統府資訊科的蘇憶湘科長表示，從防火牆、入侵偵測與入侵防護、防毒、內容及郵件過濾、身份控管以及內部網路到管理政策等等，該考慮的資安建置都齊備了，其規劃和一般企業的考慮大同小異。那麼，總統府內有些什麼特有的重要安全考量呢？
電子化總統府，強化內外溝通
蘇科長表示，總統府的資訊建置是依據行政院「資通安全會報」的規定來進行，並在李前總統時代成立的，依據法令，即使過程中發生了如921這類的天災，資通建設也不能停擺。元首的行程、決策、言論等，在發布之前都隸屬極機密。此外，總統府的網站向來是大陸惡意駭客入侵的首要目標，雖然網站內容並沒有國家機密，但將其網頁置換掉卻會挫折國家顏面。目前總統府的網站已經委託中研院設站代管，而府內資訊科最主要的任務在於建立「電子化總統府」的機制。
電子化總統府的願景，分成兩階段：首先是要在2004年推行「全府數位化」的作業，提昇總統府與其他單位、人員的業務互動，其次則是要在2008年推行「全方位數位化」的互動模式，扮演全球接軌的重要樞紐。所謂電子化總統府的資訊發展策略，就是要藉由資訊支援功能，來強化本府有關組織與人員等的幕僚職能，並且以充分滿足使用總統府資訊和服務者（也就是內部員工與外界）的資訊需求為目標。
電子化政府分為四個層面：政府對民眾（G2C）、政府對企業（G2B）、政府對政府（G2G）以及內部效率與效益與基礎建置等等。其重點就是要強化總統府與外界的溝通，並且藉著電子化的資料庫建立來達成更方便、有效率的管理與交易機制。
前瞻深入，規劃落實
這個扮演總統府與外界溝通橋樑的網路，完全由資訊科維護，而資訊科的人員編制其實不大。蘇科長提出，總統府的資訊科僅屬於科層級，直屬長官位於秘書長層級，在整體國家資通體系中扮演的角色不大，而其功能也偏重內部管理。以常態性工作來說人員足夠，在人力上，員額滿額的編制下只有十二人；網站客流量與工作人員的比例約是400比8；除少數的工作委外之外，駐點工程師有三位，主要執行維護性的工作，這個小而精的資訊科，一直是由蘇憶湘科長領軍。
蘇科長表示，過去，總統府的業務發展是比其他行政機關慢的，直到1994年才有一個算是資訊的任務編組，當時的工作僅僅是執行公文的打字排版等工作。但在1996年成立資訊科之後，在蘇科長的籌劃下，便開始積極架設網路，電腦，並在2002年推動辦公室自動化流程。
總統直選後，總統府的網路業務量突然增多，因為總統府網站上開放民眾陳情和建議等，阿扁上任後又發行總統電子報，資訊量暴增三四倍，這是始料未及的。但資訊科的人力並沒有增加，其中的工作全靠資訊系統的更新來消化。為了兼顧資訊應用的深度和業務量，總統府的資訊系統一直是朝向最前瞻性的規劃來執行。蘇科長說到，「過去也考慮過研考會的Gopher系統，但我們在研擬後認為不適用，而採用當時還很新的Web，請李前總統來啟用。這項決定在當時還是創風氣之先，之後便有很多機關跟進，採用網際網路。」
總統府的資訊系統，因為有上級的授權和支持，以及認真負責的主管，很早就起步，比一般公務單位還積極且富有前瞻性。蘇科長表示，西元1998年，我國開始推動「電子化政府」政策，要將台灣建設為「綠色矽島」，因此公務機關都啟用網路建置。而總統府在19999年便全面進入網路的應用，並啟用兩道防火牆的規劃，連防毒、入侵偵測系統都一應俱全，在資安防護的觀念和建置上，都相當周全且落實。
西元2000年，蘇科長到美國作為期一年的資安進修，在這一年他體認到，資訊需求需結合業務、管理、決策等不同層面，因此在回國後更積極提出導入ISMS的建議，並進行「總統府資訊發展策略與規劃研究」專案。首要的工作就是釐清總統府的資訊需求和範圍。第一階段就是先在府內對一、二級主管作問卷訪談、需求分析、環境及趨勢分析，並提出電子化總統府的願景與目標、發展計劃、架構極整體藍圖等等。接下來，便以業務系統規劃（Business System Planning, BSP）的方式，來做資訊系統的分析設計，以推導出該年度實際需要建置的系統，提出相關計劃、逐步進行。可以說，無論是計劃的周延性、認真和完整性，總統府的ISMS計劃比起大企業也有過之而無不及。
機密分級，界限清楚
總統府的MIS日常作業管理，較多的工作在機密資料的保護，對外以防火牆的控管為主，對內則主要在身份及權限的控管。雖然看似千頭萬續，其例行工作也可以大致區分為三個區塊：
一、總統府全球資訊網的維護
由中研院代管的總統府全球資訊網站，其實並沒有什麼機密資訊，多半是公開資料的刊登，資料從張貼到發布之間也會有一段間隔。未來計劃是加強網站的互動功能。
二、內部網路：保密與準確
內部網路和身份的管理是資訊科工作的重點。蘇科長表示，總統府的資安工作有兩個重要的原則：一是機密性，二就是正確性，所有的活動與時程都講究即時性，如府院間的溝通、視訊會議等，一切程序不可出錯、不可重來。
值得一提的是，總統府的資訊特色在於其機密等級非常清楚嚴謹，因此誰能做什麼，有什麼權限，什麼時候作，都井然有序。所謂的機密資料有哪些呢？蘇科長表示，總統府內的資產，主要是資訊資產和政策，多屬於不成文的。資料的密等可分為三級：
1. 極機密資料：總統府的資訊特色是，一段時間後資料便不再機密，可以公開，如總統文告，因此在資訊發布前達到充分保密的目的即可。在資料還在機密時期時，只能將其存放在一台個人電腦內，不放上網路。極機密的資料量不大，用一只隨身碟即可存取，因此這些極機密資料都保存在長官（秘書長）辦公室內的電腦，由秘書長自理，即使MIS人員也無法觸及。資訊人員頂多提供支援設備，連資料的備份也由長官自行管理。
2. 機密資料：如公務上的公文，總統出國的行程（含公開與非公開）、總統會議的安排、總統的薪資預算執行等，都屬機密資料。這是府內的重要資產。府內的公文系統是一套封閉系統，有其專屬的平台，目前重要文件的傳輸也應用到加解密，未來也有建立網路身份認證（GCA），申請數位簽章的措施。又因考慮到當首長在外地需要連入府內網路時，就有建構虛擬私有網路（VPN）的需求，因此隨之而來對VPN加密的軟體和技術也會引進。
3. 密等資料：一般公文及會計報表、員工薪資等等。
為求保密，後端網管工作便完全不可以委外，其制定的資訊安全政策也很謹慎，例如以「最少限度開放」為原則等，以降低人力和風險。府內的內部網路只限於最低時限內開放應用，在非上班時間就封閉。在下班或例假日時間，如果府內員工有公務需要加班，不但需要例外的許可，還需派員監控其使用情形。
此外如TELNET、FTP等功能也都是不開放的。在內容安全方面，府內也並設有網路過濾機制，部分網站不開放，員工上網、收發電子郵件也會留下紀錄。郵件有紀錄可查，有程序可查看，但並不監看，如有需要一切依法由政風室來執行。值得注意的是，近年來垃圾郵件量越來越大，連總統府也不能倖免，因此核管非公務郵件也開始列入工作項目。
三、視訊會議與電腦教室：
去年因為SARS的突發與蔓延，造成各機關溝通及行動的不便，因此府、院都立刻加裝了視訊系統，總統、副總統和行政院長的辦公室也有。它包含跨機關的視訊連線，以及建置視訊會議的環境。目前是由中華電信負責視訊系統的連線，當總統需要和外賓進行視訊會議時，不但要採用雙線線路，一組備援系統，並有工程人員在機房待命，以確保頻寬穩定，監控也不會變慢。並且，視訊會議並不事先通知，多是臨時宣佈開會，即使MIS人員也不能預知，以確保其機密性。
在教育訓練上，總統府內則設了一個配備先進的多媒體電腦教室，可以提供互動式的教學。總統府對府內員工的訓練，採取相當積極的態度。提供e化教材供學員線上作e-Learning和e-Training，以24小時的彈性化訓練方式，協助員工成長。
立足台灣，放眼世界
綜觀總統府，需求與安全結合的資訊安全建置，長遠的規劃與前瞻的考量，按部就班紮實的資安計劃和步驟，足證其「立足本土，放眼世界」的宏觀不是空話。即使是一個科級單位，憑其用心與認真，也能帶動全體的資安認知與活力，其資安意識的貫徹和落實，相當值得所有政府單位效法！
資安委外，如何管理？
資安資訊多且變化快, 長期夥伴可時時分享最新資訊，因此總統府的軟、硬體及資安架構是委外由資訊業者擔綱負責，雙方已經配合多年，默契良好。總統府的資安委外非同小可，因此對委外業者的評選也相當嚴謹。首先，欲接下總統府資訊業務的業者，其工作人員都要事前一一經過身家調查無礙後才能接案，連顧問也不例外。
總統府內會組成「評選委員會」、選出成員，其委員包含內部成員及外部成員（由產、官、學界人士中遴選），以二比一的比例來共同組成。委外前的內部先期規劃很重要，首先，內部規劃是採取合議制，也就是在開會中討論，這時資訊科的運作功能就顯得相當重要，因為它要負責主動列出需求、提出方案、建議廠商等等。之後，就按《政府採購法》規定運作了。
什麼是委外團隊的必要條件？蘇科長認為，「在諮詢方面，各業者的技術層次的差別並不大，但是和廠商的夥伴關係（partnership），以及廠商的配合度，如業者是否能夠提供充分且即時的服務，就是更重要的考量因素。」
而總統府在這方面，也已經建立一個有效的管理委外業者的步驟，例如一開始，定標準作業流程、需求分析、評選委外廠商、建立合約，之後開始執行委外作業、進度掌控、績效監控、驗收、檢討、統計分析等等，照這樣的步驟進行，便能有效將委外作業的成效發揮到極致，這就是一個可資借鏡的良好資安委外關係。