「非公務機關」並不等於「民間機構」

資安法質詢

今天在部分媒體與BBS瘋傳,行政院藉《資通安全法》草案第 18 條對民間機構進行「老大哥式」的資安管制。雖然我自己對該條文也不滿意,並有自己的版本,但將「非公務機關」與「民間機構」畫上等號,是一種刻意的誤導,有必要澄清一下。

 

《資通安全法》草案行政院版本第 2 條明訂了,「非公務機關」是指「關鍵基礎設施提供者、公營事業及政府捐助之財團法人」。所以第 18 條的「非公務機關」並不是常識中的「民間機構」。

資安法第十八條

行政院版本《資通安全法》草案第 18 條確實有各方意見。有業者反應「關鍵基礎設施提供者」定義不清,也有業者反應要全然避免「行政檢查」,無論如何確有爭議,但今天惡意把「非公務機關」與「民間機構」畫上等號,以訛傳訛,試圖帶風向,並無法讓大家專注到真正的問題上。

我自己的《資通安全法》版本也提到「私有關鍵基礎設施提供者」,我選擇的做法是,參考美國聯邦資訊安全管理法,給予了更明確的定義,並著重被指定的業者與政府之間的合作夥伴關係,讓兩者共同負有維護關鍵基礎設施安全的權利義務,但行政院在這點上,並未敘明政府該負的責任。

而另外是否真的應該要「行政檢查」,我也抱持了疑慮。我依然還是傾向回歸到 「業者自律」,並僅規範「私有關鍵基礎設施提供者」需要在重大資安事件發生時,七天內向主管機關報告即可。

我期待這篇發文,能使討論回歸正軌。今天僅是詢答,法案審查才剛要開始,行政院資安處也抱持開放的心態,我們應該把握這樣的機會,與行政單位多加溝通。而我自己也將密切關注《資通安全法》草案行政院版本第 18 條的後續,並隨時讓大家知道。

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *