完成三讀程序《資通安全管理法》將預備正式啟動!

2018 / 05 / 18

邱述琛、李冠樟

受到各界關注的《資通安全管理法》，在上週五（5/11）順利完成三讀。預期在今年就由行政院公布正式施行日期。依照目前行政院資安處的規劃，將以18個月的時間、區分三個階段，逐步納管公務機關、關鍵基礎設施服務產業及公營事業或政府捐助達一定比例的財團法人單位，未來也將會持續蒐集適用過程中發現的問題，進行檢討。

《資通安全管理法》中明訂，政府應提供資源，整合民間及產業力量，共同培育資安專業人才、研發資通安全科技、發展資通安全產業及訂定資安技術規範與審驗機制，故國內資安產業，無不關注後續之資通安全管理法後的發展。此法納管單位其中還包括，部分非公務機關，故「特定非公務機關資通安全維護計畫」與「資通安全情資分享辦法」等直接涉及與非公務機關的子法，亦同步會受到高度的關注，後續我們也期許行政院當以務實的態度與其他中央目的事業主管機關積極合作，並與受管單位加強溝通，以順利推動各項作為，發揮綜效。

關鍵基礎設施主管機關的核心角色
國內目前關鍵基礎設施包括：政府機關、通訊傳播、銀行與金融、能源、水資源、交通、緊急救援與醫院、高科技園區等八大類，其中央目的事業主管機關則包括：通傳會、金管會、經濟部、交通部、衛福部及原能會等單位。從過去幾年觀察，國內資安現況，政府機關、通訊傳播、銀行與金融產業之主管機關較為積極也較具能量，其他中央事業主管機關則仍在持續地積極推動與整備。

以關鍵基礎設施安全來說，這是直接涉及民眾日常生活，甚至可能影響民眾的人身安全，以醫療單位為例，近期國外醫院頻遭勒索軟體攻擊、APT或關鍵重要醫療儀器發現多項重大漏洞等案例，都可能會直接影響醫療服務或造成就診民眾的生命威脅。
政府與關鍵基礎設施業者肩負著資安防禦的重責大任，在《資通安全管理法》通過後，政府機關與民間單位在資安情資分享、資安弱點及事故通報時，仍有很多地方需要詳細討論與設計，在正式實行後，雖然會有一段適應與調適期，但只要大家攜手合作，加強產官學各界的合作，並秉持公平與互惠的精神，相信必能事半功倍，共同打造國內的整體健全的資安生態鏈更是指日可待！

本文作者目前任職於KPMG數位科技安全（Cybersecurity）服務部協理與經理

資通安全管理法關鍵基礎設施