行政院110年度預算「國土及資通安全業務」項下編列經費781萬9千元,較109年度預算減少20萬元(減幅2.49%),工作項目之一為:跨機關資通安全業務與聯防之規劃、聯繫、協調推動及管考,期加強資通安全政策與實務之跨機關溝通協調與運作。經查:
(一)訂有「各機關對危害國家資通安全產品限制使用原則」
查該院於108年4月18日訂定發布「各機關對危害國家資通安全產品限制使用原則」,推動資通安全管理法第5條第1項所定資通安全整體防護事宜,強化中央與地方機關(構)、公立學校、公營事業及行政法人(以下簡稱各機關)之資通安全防護,以降低國家資通安全風險。又所稱危害國家資通安全產品,係指對國家資通安全具有直接或間接造成危害風險,影響政府運作或社會安定之資通系統或資通服務。其相關管理規範摘述如次:
1.第2點規定:本原則所稱危害國家資通安全產品,指對國家資通安全具有直接或間接造成危害風險,影響政府運作或社會安定之資通系統或資通服務。
2.第3點規定:本法主管機關應基於國家安全、國際情資分享
、潛在風險及衝擊分析等因素,蒐集相關機關意見綜合評估,據以核定生產、研發、製造或提供前點產品之廠商清單。本法主管機關應定期檢視前項核定之廠商清單,並依前項因素重新評估後,視需要調整。
3.第4點規定:各機關除因業務需求且無其他替代方案外,不得採購及使用第3點之廠商產品。各機關必須採購或使用第3點之廠商產品時,應具體敘明理由,經本法主管機關核可後,以專案方式購置,並列冊管理及遵守下列規定:(一)應指定特定區域及特定人員使用。(二)不得與公務網路環境介接。(三)不得處理或儲存機關公務資訊。(四)測試或檢驗結果應產出報告。(五)購置理由消失,或使用年限屆滿應立即銷毀。
4.第5點規定:各機關應依下列規定定期辦理資產盤點:(一)對本原則生效前已使用之第3點之廠商產品,應於廠商清單提供後3個月內列冊管理,不得與公務網路環境介接,並應移至非敏感或非重要環境。(二)前款之廠商產品已屆使用年限者,應於廠商清單提供後,即刻編列預算於該年度內汰除;未達使用年限者,應定明汰除期限。
依前揭原則規範,該院基於國家安全等因素,應評估並據以核定危害資通安全產品之廠商清單,定期檢視並調整。
(二)為強化我國資通安全產品使用管理,允宜妥適推進危害資安產品廠商清單評估作業進度
詢據該院說明,截至109年8月底止前揭危害國家資通安全產品廠商清單核定之辦理情形,業已邀集相關機關(單位)組成審查小組,以客觀並採用共識決方式審定廠商清單;惟經該院綜整分析各國限制使用危害國家資通安全產品之現況,發現其定義及禁用範圍不一,多數國家基於政治、經濟或貿易之考量,其政策立場為未禁用或未表態;另依國際評估報告及國際檢驗報告分析,並參考我國技術檢測結果,受測資通產品仍未排除其資安疑慮,爰為臻周延,該院刻正持續蒐集各國對於禁用危害國家資通安全產品之政策及作法,並視內外在環境變化,評估及檢討危害國家資通安全產品廠商清單之內容及其妥適性。另於廠商清單尚未公布前,現行各機關仍可依據行政院公共工程委員會107年12月20日工程企字第1070050131號函示,機關辦理資訊、電訊或通訊設備採購,如認廠商所供應之財物或勞務之原產地為中國大陸,有影響國安(含資安)或機敏資訊外洩之疑慮者,可於招標文件中明定廠商所提供之財物或勞務之原產地不得為中國大陸。
鑒於國際間許多資通產品之使用安全仍有疑慮,並便於各機關明確遵循,該院允宜妥適推進危害資安產品廠商清單評估作業進度,俾維護資通訊產品安全使用環境。
綜上,行政院110年度預算編列「國土及資通安全業務」經費781萬9千元,辦理跨機關資通安全業務與聯防之規劃、聯繫、協調推動及管考等工作。該院已於108年間發布「各機關對危害國家資通安全產品限制使用原則」,允宜依相關規定,妥適推進危害資安產品廠商清單評估作業,以強化我國資通安全產品使用管理機制。
