公報發言紀錄

發言片段

lineno: 440

發言片段: 0
何委員欣純：（10時23分）部長，我剛剛聽了一個早上，每次發生資安事件之後，我們在調查期間能不能把資安漏洞及時補起來？我剛剛聽到財政部電子發票整合服務平台的這件事情，我們慢了一個禮拜才解決這個資安漏洞，原因之一是怕影響營業稅的報稅，但我們的緊急應變也可以延長報稅的時間啊！第一要件是什麼？應該要把資安漏洞補起來，部長你同不同意？
發言片段: 1
主席：請數位部唐部長說明。
發言片段: 2
唐部長鳳：委員好。當然同意，所以他們第一時間有通知所有受到影響的人。
發言片段: 3
何委員欣純：只有通知啊！問題是資安系統上的漏洞沒有補起來。
發言片段: 4
唐部長鳳：對，當然應該要強制變更。
發言片段: 5
何委員欣純：我要問部長全國矚目的誠品事件，誠品連續2年名列警方的高風險賣場，今天很多委員都有提到，提到之後大家都在問，目前誠品的事情調查得如何？
發言片段: 6
唐部長鳳：對，我們現在是採同樣的作法，就是10天會寫報告，14天會做出處分，而且會讓大家知道是怎麼樣的處分。
發言片段: 7
何委員欣純：除了時間點之外，我們目前在調查期間，系統上的資安漏洞解決了嗎？問題還存在嗎？
發言片段: 8
唐部長鳳：這個是否請副署長跟您說明？
發言片段: 9
主席：請數位部產業署林副署長說明。
發言片段: 10
林副署長俊秀：我們上次到現場行政調查時有請偵九隊協助，偵九隊有要求一些Log的資料，誠品正在提供給偵九隊做進一步的分析。
發言片段: 11
何委員欣純：所以現在正在提供資料……
發言片段: 12
林副署長俊秀：我要去確認一下……
發言片段: 13
何委員欣純：意思是說在調查跟提供資料的這段時間，所謂的資安漏洞還是沒有解決？
發言片段: 14
唐部長鳳：這是兩件事，我們是個資的主管機關，但是因為誠品也有報案，所以刑事局那邊即時的聯防，包含跨國的偵查等等，是兩線在進行。
發言片段: 15
何委員欣純：所以部長我請問你的專業啊！因為我們一般人不懂啊！我們現在只關心從一般人的角度來看，我現在去誠品買書，在這個平臺或是系統上，有關資訊的安全與個資的安全有沒有受到保障？
發言片段: 16
唐部長鳳：謝謝委員給我們機會說明，我想任何人去剛剛您簡報提到民眾所通報的高風險賣場，都可能有一定程度的風險，這就是為什麼刑事局說它們是高風險賣場。我們現在主要的工作是確保我們找到原因之後根本解決這些事情。
發言片段: 17
何委員欣純：部長，我當然知道要找到根本原因、要解決事情，我現在就是在問你，現在調查的時間拖了這麼久，在這段期間，我所關心的是，如果我現在再去誠品買書，那我會不會也受到個資外洩、資訊安全、個資安全的影響？我現在要請你回答Yes or No，我們關心的是這個。在這段調查期間，所謂資安系統的漏洞到底有沒有被補足、被解決？有沒有暫停使用或怎麼樣？現在再去買書，會不會受到影響？就如同剛剛你回答的，為什麼那麼多人在關心蝦皮購物，還有很多電商平臺？因為每天有那麼多國人上網去買賣東西。問題是從數發部成立的到現在，我們所關心的是到底能為我們國人的資安把關到什麼程度？現在去蝦皮購物、去誠品買書，我的個資會不會外洩？
發言片段: 18
林副署長俊秀：跟委員報告，根據誠品的說明，它已經找了國內數一數二的資安公司來進行檢測，包括中華資安跟奧義智慧。
發言片段: 19
何委員欣純：那目前檢測的結果如何？
發言片段: 20
林副署長俊秀：目前他們的系統沒有問題。
發言片段: 21
何委員欣純：所以他們自己請了專業、一流的資安公司來檢測是沒有問題的，既然他們系統沒有問題，那為什麼還會發生問題……
發言片段: 22
林副署長俊秀：跟委員報告，資安還有很多的是供應鏈管理的問題，現正清查中。
發言片段: 23
唐部長鳳：就是它的物流或是金流相關的合作夥伴。
發言片段: 24
何委員欣純：請問現在你所調查的部分，你們調查了什麼東西？你要求誠品提供什麼東西？
發言片段: 25
林副署長俊秀：我們請誠品提供很多Log的資料，包括權限的管理、還有供應商管理的相關資料。
發言片段: 26
何委員欣純：到現在已經第8天，經過一個禮拜多的時間，你們應該有掌握到一定的事證，證明它到底有沒有資安的問題。到底有沒有？
發言片段: 27
林副署長俊秀：目前資料還在彙整當中。
發言片段: 28
何委員欣純：好，你說還在彙整當中，你也說誠品自己聘請所謂專業的資訊公司來查並沒有問題，但最後問題還是發生了，所以他們自己調查的算不算數我不知道。面對他們自己請專業的資訊公司來查驗系統說沒有問題，不知道數發部怎麼看？又部長對這件事的態度為何？
發言片段: 29
唐部長鳳：是，我們為什麼會要求他們提出整個供應鏈相關的紀錄檔（Log）？因為誠品自己請來的資安公司，它所查核的範圍不一定有及於全部的過程，包含後面的貨運或者是物流、金流等這些部分，所以我們現在所彙整的資訊，就是去看後面這些環節是不是有可能出差錯，以及誠品有沒有可能導入所謂的隱碼技術，確保其後面其實根本不需要接到客戶的手機，手機號碼也應該要能夠執行這些工作。
發言片段: 30
何委員欣純：所以這可能就是你報告裡面的重點。
發言片段: 31
唐部長鳳：是的。
發言片段: 32
何委員欣純：好，你說誠品這件事情是屬於重大資安事件，那你是如何界定的？是因為媒體爆料了，還是他們召開記者會了，所以你就把它界定為重大資安事件？那一般國人發生的一些事情，包括我剛才講的誠品、蝦皮，這些早就是所謂的高風險詐騙賣場，2023年就有委員開過記者會了，但都要等到個資外洩案件發生之後才開始調查，而且是屬於重大的資安事件才會去查嗎？
發言片段: 33
唐部長鳳：不是，我們大概都會去查，像剛才產業署所講的，包含我們找民間做紅隊測試等，都是照著委員前幾張簡報，刑事局列為高風險賣場的排序來進行工作，所以這部分我們並沒有輕忽。這一次是……
發言片段: 34
何委員欣純：你依照排序來查是怎麼查？你剛剛說按照刑事警察局所謂高風險賣場的排序來查，那你們查的內容是什麼？查的方式又是什麼？
發言片段: 35
唐部長鳳：對，好比客戶的手機號碼等等洩漏的話，我們會試著去溯源，甚至我們也會請紅隊模擬駭客攻擊一樣，試著在剛剛整個全部過程裡面找到破口等。這一件個案是因為誠品本身有報案，已經列為刑事調查的程度，所以當然媒體就會報導，但是其實這些高風險賣場我們平常都有在輔導，也有在巡查。
發言片段: 36
何委員欣純：那稽查的頻率有多少？
發言片段: 37
唐部長鳳：這個是不是請產業署說明？剛剛聽到是40家次。
發言片段: 38
林副署長俊秀：我們每年會做電商的健檢，40家次，由2個紅隊演練。
發言片段: 39
何委員欣純：每年多少時間內的頻率是40家次？
發言片段: 40
林副署長俊秀：從去年8月27日成立之後，我們就做電商……
發言片段: 41
何委員欣純：到現在為止嗎？
發言片段: 42
林副署長俊秀：對，今年還會有40家。
發言片段: 43
何委員欣純：好，今年還會有40家次。我認為要更頻繁，因為你看從110年到111年，這幾家一直都在民眾通報的高風險賣場裡面，那表示第一個，在上面交易的民眾使用率高。第二個，我相信這幾家掌握國人的個資量也最高。第三個，他們在報警、報案方面，是警方列管的高風險賣場。所以這個部分數發部應該要更積極提高稽查的頻率跟次數還有家次。我為什麼這麼講？因為我剛剛說一般人關心的是上網去買東西、訂東西，留下的個資到底會不會外洩？關鍵就在大家對政府要有信心，而可以幫他們把關的單位就是數發部。
發言片段: 44
唐部長鳳：我完全同意，而且剛三讀通過的個資法在這一點會有很大的幫助，因為之前如果是限期改善等，那個過程是沒有辦法裁罰的，而之前最多也只罰到20萬而已，所以從電商的角度來看，當然最主要的是商譽受損，但是罰金就有點不成比例。三讀通過新版本的個資法最高是罰200萬元，應該可以促使更多電商適當的投資，以解決根本原因的問題。
發言片段: 45
何委員欣純：我剛剛還有一個問題，你沒回答到，就是你如何界定重大的資安事件？因為我看到面對重大的資安事件，你們的速度就加快一點，之前在質詢你的時候，很多的行政調查是很慢的。
發言片段: 46
唐部長鳳：那是個資事件，我們資安通報是政府裡面自己的，重大矚目的個資事件這個在1.5綱領裡面……
發言片段: 47
何委員欣純：那你怎麼界定重大矚目的個資外洩事件？媒體爆料或有人開記者會，或是委員……
發言片段: 48
唐部長鳳：包含委員們或是媒體等，或者它影響的範圍非常大等，就是一次影響非常多人。
發言片段: 49
何委員欣純：我是建議啦，你要分級分類，而且要把效率、魄力、能力跟專業拿出來，這樣我們國人才會信任政府，也才會相信我們成立數發部是有用的。不然的話，很多國人到現在為止都還沒有感受到。政府對於詐騙、個資外洩的因應對策，或是資安系統的建置，這些都還沒讓民眾感受到。
發言片段: 50
唐部長鳳：對，這兩年境外攻擊力道大幅竄升，今年可能又會更多，我們相應的聯防以及根本原因的查處力道也必須等比例的上升。
發言片段: 51
何委員欣純：要加強、加強、再加強。你們除了稽查、行政調查慢，法案的推動也慢啊！最後再提醒你們，你剛剛講個資法已經修法通過，個資法修法通過才多久的時間？行政院的版本送到我們立法院三讀通過才75天，數發部成立到現在已經268天，我們卻還沒看到行政院版的資通法！
發言片段: 52
唐部長鳳：其實我們有一個版本正在跟地方政府協商，因為涉及地方政府與中央權限的問題，我們希望能儘快協商出一個共識。
發言片段: 53
何委員欣純：協商還要多久？
發言片段: 54
唐部長鳳：我們當然希望年底前……
發言片段: 55
何委員欣純：預計時程是多久？
發言片段: 56
唐部長鳳：我們希望年底前能提出院版，如果協商順利的話也許可以加速。
發言片段: 57
何委員欣純：我希望你們可以儘速於下會期提出，並在年底前三讀通過，不要告訴我年底前才能提出版本！
發言片段: 58
唐部長鳳：我們就請資安署的同仁……
發言片段: 59
何委員欣純：要加快速度，好不好？
發言片段: 60
唐部長鳳：是，儘量加速！
發言片段: 61
何委員欣純：個資法才花了75天就三讀通過！
發言片段: 62
唐部長鳳：理解。
發言片段: 63
何委員欣純：好不好？效率、能力、專業要讓人民有感，大家才會信任政府，才會相信成立數發部是有用的。
發言片段: 64
唐部長鳳：謝謝委員提醒。
發言片段: 65
何委員欣純：謝謝。
發言片段: 66
唐部長鳳：謝謝委員。
發言片段: 67
主席：現在處理臨時提案。請議事人員宣讀。
1、
查財政部電子發票整合服務平台於112年5月中旬，被白帽駭客揭露，發給營業申請人同一預設密碼，存在資安漏洞，致使廠商營業秘密資料，有外洩之虞。
雖財政部於13日要求全面更換密碼、加強密碼強度，初步解決電子發票整合服務平台漏洞。惟該系統承包商仍有承作多項公私部門資訊系統，恐類似漏洞仍存在於其他政府資訊系統而未發現。為增進我國政府資訊安全考量故，茲爰請數位發展部：
(一)盤點該廠商所承攬之其他政府資訊系統，是否亦有類似漏洞，並於一個月內完成清點改善、提出報告。
(二)盤點政府各部門現有各類向民眾公開、提供民眾登入使用之「網路便民服務系統」登入驗證方式之安全性，並提出改善規劃，兩個月內提出初步盤點結果與改善規劃報告。
提案人：李昆澤　　何欣純　　許智傑　　鍾佳濱
發言片段: 68
主席：請問各位委員及行政部門有無意見？若無意見就照案通過。
進行第2案。
2、
查財政部電子發票整合服務平台於今年5月中旬，被白帽駭客揭露，發給營業申請人同一預設密碼，存在資安漏洞，致使廠商營業秘密資料，有外洩之虞。
雖財政部於13日要求全面更換密碼、加強密碼強度，初步解決電子發票整合服務平台漏洞。惟該系統承包商仍有承作多項公私部門資訊系統，恐類似漏洞仍存在於其他政府資訊系統而未發現。
查自然人憑證、工商憑證之安全性、驗證強度皆遠較帳號密碼登錄驗證為高，為增進我國政府資訊安全考量故，茲爰請財政部，檢視部轄現有向民眾開放、提供民眾登入使用之網路資訊系統驗證方式安全性，並研議以安全性較高、驗證強度較強之自然人憑證、工商憑證作為登錄驗證機制或其他方式提升安全性，於兩個月內提出檢討報告。
提案人：李昆澤　　何欣純　　許智傑　　鍾佳濱
發言片段: 69
主席：請問各位委員及行政部門有無意見？
請財政部財資中心張主任。
發言片段: 70
張主任文熙：第2行建議增加三個字，即「發給營業申請人」改為「發給營業人帳號申請人」，因為這是針對人……
發言片段: 71
主席：發給營業人，「申請」不要了？
發言片段: 72
張主任文熙：不是，增加三個字，改為「營業人帳號」。
發言片段: 73
主席：「發給營業人帳號」，增加三個字？
發言片段: 74
張主任文熙：對。
發言片段: 75
主席：各位委員有無意見？若無意見第2案通過。
請許委員智傑發言。

公報詮釋資料

page_end 264
meet_id 委員會-10-7-23-11
speakers ["陳雪生","邱臣遠","林楚茵","陳椒華","林俊憲","陳素月","蔡培慧","李昆澤","邱顯智","何欣純","許智傑","游毓蘭","鍾佳濱","江啟臣","洪申翰","李貴敏","王鴻薇","劉櫂豪","魯明哲","鄭天財Sra Kacaw","高嘉瑜","王婉諭","張其祿","趙正宇","洪孟楷","陳歐珀","吳欣盈","傅崐萁"]
page_start 189
meetingDate ["2023-05-22"]
gazette_id 1125902
agenda_lcidc_ids ["1125902_00005"]
meet_name 立法院第10屆第7會期交通委員會第11次全體委員會議紀錄
content 一、邀請數位發展部及財政部就「『電子發票整合服務平台』登入系統出現資安缺失，如何就全 國政府部門各系統進行資安系統盤點及改善」進行專題報告，並備質詢；二、審查委員賴品妤等 36人擬具「資通安全管理法部分條文修正草案」案；三、繼續審查委員陳以信等16人擬具「資通 安全管理法第二條條文修正草案」案；四、審查台灣民眾黨黨團擬具「資通安全管理法第三條及 第七條條文修正草案」案；五、繼續審查委員林楚茵等18人擬具「資通安全管理法第十一條條文 修正草案」案
agenda_id 1125902_00004