羅美玲 @ 第11屆第2會期外交及國防委員會第14次全體委員會議

時間: 0
Start Time End Time Text
00:00:00,069 00:00:05,698 主席有請速發部林正次請林正次委員好
00:00:12,760 00:00:15,941 10月底微軟提出了一份2024數位防疫報告國家級網絡供給已經開始結合網絡犯罪工具以及生成式的AI技術導致全球的資安危險進一步升高
00:00:35,468 00:00:50,468 本期引用了報告的圖表,我們可以看到在國家及網路的攻擊行為者的目標名單當中,台灣排名全球第6,而且是印太地區的第一名。
00:00:51,529 00:01:02,480 我們也看到就是說這份報告也列出了網路攻擊的十大目標產業其中第一名就是我國的核心戰略產業之一的IT產業關於關鍵基礎設施的政府部門比如說像運輸業、金融業、資訊科技產業還有金融業等等
00:01:15,452 00:01:15,492 主席
00:01:33,462 00:01:49,981 在這個生成這個AI生成式的這個AI現在被廣泛地用在這種這個資安威脅當中那我們除了這個自動生成惡意程式之外因為我看到了各部會的報告裡面有特別有提到那像這個它可以自動生成
00:01:50,401 00:01:50,481 主席
00:02:06,770 00:02:23,383 那我們目前是將這個零信任架構的這個防疫機制呢要導入到各行政機關就是要對這一個資安的防疫呢來做一些防護的這個措施那當然我們從這個表裡面可以看到初期當然是針對這個資安責任A級機關為優先並依序呢要導入這個身份鑑別機制設備鑑別機制跟信任推斷機制可是我在查閱了這個訴發部資安署跟這個資安院這三個單位呢
00:02:36,733 00:02:40,814 我們看近年來跟明年這個預算書可以發現對於這個零信任架構的執行成果跟未來推動的目標各單位揭示的這個程度並不一致我們來看112年我們推動的這個成果本席有發現就速發布已經完成了22個資安A級機關的身份鑑別機制
00:02:56,658 00:03:15,449 可是設備鑑別機制、信任推斷機制目前還沒有看到。我們速發部的資安署已經完成了兩個政府機關的設備鑑別機制,然後國家資通安全研究院也完成兩個中央部會的設備鑑別機制。那我再次看114年的預算書裡面,
00:03:18,191 00:03:45,373 可是我看到這個可能很需要這個訴發部來做一個解釋為什麼我們只看到國家資通安全研究院是準備要導入19個資安A級的機關來做這個設備鑑別機制可是訴發部跟資安署這裡我沒有看到任何的這個設定的目標這個部分可以來解釋一下嗎那再來還有一點就是112年我們推動的成果這個我們已經完成我們導入了
00:03:45,973 00:03:47,374 關於那個零信任機制這個是我們速發部持續在我們持續在推動的一個那個
00:04:15,578 00:04:17,440 這部分讓我們常常會有一些疑問,為什麼你這個資料我們找不到?
00:04:40,299 00:04:40,539 資安署
00:04:59,120 00:05:16,665 報告主席跟委員,資安署的部分就是有關民信院的計劃其實是資安署委託資安院合作一起導入執行的所以這個並不是只有資安院在執行,是我們一起在進行
00:05:17,085 00:05:45,547 是 是 我有看到是沒錯我是說為什麼有些進度我們看到就是說也看不到進度那而且47個身份要導入47 要完成47個身份鑑別機制也是我在媒體看到一般在你們報告書裡面看不到所以那剛剛鄧慈有提到說有碰到了一些阻礙是怎麼樣的阻礙嗎我們覺得零信任架構也推行了這麼多年了我們總覺得說這部分好像推得卡卡的這部分到底是怎麼回事
00:05:46,708 00:06:00,651 跟委員報告那個零信任機制是對抗駭客一個非常有效的手段但是對於那個一般對所有使用者來講就是我每次在登入的時候比如說我那個密碼就必須重新再輸入等等他是有關關的關卡我們知道所以這個其實這是一個相對來講是比較安全的這個機制對可是為什麼我們在公部門會推行的覺得好像不是那麼的順利
00:06:13,550 00:06:40,651 再來講公文則要來配合來做才對啊報告委員資安署在辦理林信任部分是分三個階段在進行那他前兩年已經把林信任的前兩個階段導入到22個機關那接下來我們會針對47個機關進行所以並沒有是以逐步的計畫在進行那47個年底會完成嗎因為我在媒體看到說會完成
00:06:41,131 00:07:05,888 我們總共有49個A級的這個資安機關嘛49個因為文化部跟退府會在這個事辦的時候就已經完成了導入三個機制嘛所以我們剩下還47個總共還有47個那22個也在112年的時候已經完成身份鑑別機制了可是設備鑑別跟信任推斷這部分本席到目前都還沒有看到那剩下的呢我們47個總共會累計完成嗎
00:07:09,271 00:07:12,058 是在今年年底就會完成47個A級機關的導入
00:07:15,250 00:07:39,886 好那再來你看我們自己公務部門公務機關推行的好像都這麼卡卡的更何況我們還有44個資安A級特定非公務機關啊那什麼時候才能夠導入啊因為這些都是國家關鍵基礎設施的提供者像台電啊、中油、台大醫院、台鐵、高鐵銀行這個銀行等等都是喔所以到目前這個都還沒有還沒有這個進度對不對
00:07:43,988 00:08:02,062 我們目前先導入的部分是公務機關那CI的部分我們會陸續在明年開始推動OK 好 這個要加油喔因為我們在資料上面真的看不到你們這些資料就覺得說這部分推行的好像不是那麼的順利那再來還有我在八月份的時候有看到就是我們黃部長呢
00:08:03,163 00:08:03,263 李卓人議員
00:08:19,261 00:08:39,552 關於人工智慧風險分級框架現在事實上是還在一個討論的階段最主要的問題是在於說歐盟跟美國的做法是非常不一樣的歐盟那邊他們是用分級的方式就是把人工智慧分成好幾個危險程度然後在最高的級
00:08:41,212 00:09:07,051 最危險的那個層級他們是禁止使用的但是美國那邊呢他們是用分類而不是用分級的方式他們只是利用行政的就是行政部門由美國總統發出的名義簽署發布了一個指引就是說我們使用人工智慧有什麼危險那我們現在就是說因為美國他們認為說所謂的那個regulation hinder innovation他們的概念是這樣所以他們不希望
00:09:07,791 00:09:24,540 就是做這種明確的分析與禁止的那個動作那美國他們也明確的跟我們這些自由世界的這些那個夥伴國家跟我們講說他們不希望其他的國家是用那個歐盟那樣的方式因為歐盟那樣的方式的話會
00:09:25,600 00:09:45,349 那個會限制到的大部分的都是美國的公司因為我們知道現在在AI方面主要的那個在進行先進研發的公司像OpenAI、Google、Meta都是美國的公司所以說歐洲他們那邊他們是主張用那個限制的方式用立法限制的方式而美國那邊呢
00:09:46,049 00:09:47,570 法務部長提到年底本來想要來推行人工智慧的風險分析框架現在目前是
00:10:12,944 00:10:16,545 目前人工智慧基本法是由國科會主導在推動的,我們會配合國科會的計畫,我們會努力做我們該做的事情。
00:10:39,534 00:11:07,908 OK好那之前呢相關的這個AI的這個風險問題之前我跟國安會其實也做了很多的討論本期是建議像資安署、國安會還有國科會甚至我們資安研究院應該要成立一個類似跨部位類似這種AI資安的技術聯防的一個小組那我本來期待就是說我們的風險這個管理框架可以在年底的時候可以看得到可是目前正式的這個說話是這個部分還有很多討論的空間
00:11:08,928 00:11:28,550 是,這個不單單是我們台灣內部還有很多討論的空間,事實上在整個國際上,這個都是一個正在熱烈討論的議題。對,我們也有參考了其他國家比較成熟經驗的是RMF這個部分的話,像美國,它有提出了人工智慧風險管理框架,像這部分是不是也來做參考?
00:11:29,711 00:11:29,871 羅美玲委員
公報發言紀錄

發言片段

lineno: 109

發言片段: 0
羅委員美玲：（9時18分）謝謝主席，有請數發部林政次。
發言片段: 1
主席：請林政次。
發言片段: 2
林次長宜敬：委員好。
發言片段: 3
羅委員美玲：政次好。有關於10月底微軟有提出了一份2024數位防禦報告，裡面提到國家級的網路攻擊已經開始結合網路犯罪工具以及生成式AI技術，導致全球的資安危險是進一步升高，本席引用了這個報告的圖表，我們可以看到，在國家級網路攻擊行為者的目標名單當中，臺灣是排名全球第6，而且是印太地區第1名。
我們看到這份報告也列出了網路攻擊的10大目標產業，其中第一名就是我國的核心戰略產業之一的IT產業，關於關鍵基礎設施的政府部門，比如說像運輸業、金融業、資訊科技產業還有金融業等等，都是位列其中，一旦這些設施遭到攻擊的時候，對社會穩定跟經濟的秩序，就會帶來很直接而且巨大的衝擊。本席想請教，生成式AI現在被廣泛用在這種資安威脅當中，我們除了自動生成惡意程式之外，因為我看到了各部會的報告裡面特別有提到，像它可以自動生成惡意的程式之外，能夠協助計畫跟管理複雜的攻擊流程，像過去耗時的攻擊手段，可以更快、更頻繁地執行。
我很詳細看了數發部提交的報告，我們目前是將零信任架構的防禦機制導入到各行政機關，就是要對資安的防禦來做一些防護的措施，我們從這個表裡面可以看到，初期當然是針對資安責任A級機關為優先，並依序要導入身分鑑別機制、設備鑑別機制跟信任推斷機制，可是我在查閱了數發部、資安署跟資安院這三個單位，我們看近年來跟明年的預算書，可以發現對於零信任架構的執行成果跟未來推動的目標，各單位揭示的程度並不一致。我們來看112年推動的成果，本席有發現數發部已經完成了22個資安A級機關的身分鑑別機制，可是設備鑑別機制、信任推斷機制目前還沒有看到。而數發部資安署已經完成了兩個政府機關的設備鑑別機制，然後國家資通安全研究院也完成兩個中央部會的設備鑑別機制。我再次看114年的預算書，這個可能很需要數發部來做個解釋，為什麼我們只看到國家資通安全研究院是準備要導入19個資安A級的機關來做設備鑑別機制，可是數發部跟資安署這裡，我沒有看到任何設定的目標，這個部分可以來解釋一下嗎？
再來還有一點，112年我們推動的成果已經完成導入了22個資安A級機關利用這個身分鑑別的機制，可是我看到媒體報導是年底的時候會完成47個，到底現在進度是如何？因為現在也快要年底了，所以這幾個問題，想請政次來回答一下。
發言片段: 4
林次長宜敬：關於零信任機制，這個是我們數發部持續在推動的保護資通安全的一個重要措施，當然，導入零信任機制的時候，對於使用者來講會增加一些困難，所以我們也受到一些阻力，這個我們必須很坦白地講。
發言片段: 5
羅委員美玲：受到一些阻力？因為我發現我們的預算書或是成果的報告裡面，這部分讓我們常常會有一些疑問，為什麼我們找不到這個資料，到底是發生什麼問題？所以現在政次是說在推動的過程當中遇到了一些阻礙嗎？這個可以特別說明一下嗎？
發言片段: 6
林次長宜敬：抱歉，很坦白地跟委員報告，由於這個部分並不是我督導的，所以我請資安署來說明。
發言片段: 7
羅委員美玲：OK，好。
發言片段: 8
趙組長由靖：報告主席跟委員，資安署的部分有關零信任的計畫其實是資安署委託資安院合作一起導入執行的，所以這個並不是只有資安院在執行，是我們一起在進行。
發言片段: 9
羅委員美玲：是。我有看到，是沒錯，我是說為什麼我們也看不到進度？而且要完成47個身分鑑別機制也是我在媒體看到的，一般在你們報告書裡面看不到，所以剛剛政次有提到碰到了一些阻礙，是怎麼樣的阻礙呢？零信任架構也推行了這麼多年，我們總覺得好像推得卡卡的，這部分到底是怎麼回事？
發言片段: 10
林次長宜敬：跟委員報告，零信任機制是對抗駭客一個非常有效的手段……
發言片段: 11
羅委員美玲：是，沒錯。
發言片段: 12
林次長宜敬：但是一般對所有使用者來講，就是我每次在登入的時候，譬如說密碼就必須重新再輸入等等……
發言片段: 13
羅委員美玲：是，它是有關關的關卡，我們知道。
發言片段: 14
林次長宜敬：對。
發言片段: 15
羅委員美玲：所以其實這相對來講，是一個比較安全的機制嘛！
發言片段: 16
林次長宜敬：是。
發言片段: 17
羅委員美玲：對，可是為什麼我們在公部門推行的，覺得好像不是那麼順利？照理來講公部門要配合來做才對啊！
發言片段: 18
趙組長由靖：報告委員，資安署在辦理零信任部分是分三個階段在進行，前兩年已經把零信任的前兩個階段導入到22個機關，接下來我們會針對47個機關進行，所以是以逐步的計畫在進行。
發言片段: 19
羅委員美玲：47個年底會完成嗎？因為我在媒體看到說會完成……
發言片段: 20
趙組長由靖：是，沒錯。
發言片段: 21
羅委員美玲：我們總共有49個A級的資安機關嘛，因為文化部跟退輔會在試辦的時候就已經完成了，導入三個機制，所以我們剩下總共還有47個，而22個也在112年的時候已經完成身分鑑別機制了，可是設備鑑別跟信任推斷這部分，本席到目前都還沒有看到，那剩下的呢？我們總共47個會累計完成嗎？
發言片段: 22
趙組長由靖：是，在今年年底就會完成47個A級機關的導入。
發言片段: 23
羅委員美玲：好，再來，你看我們自己公務部門、公務機關的推行好像都這麼卡卡的，更何況我們還有44個資安A級特定非公務機關，那什麼時候才能夠導入？因為這些都是國家關鍵基礎設施的提供者，像台電、中油、臺大醫院、臺鐵、高鐵、銀行等等都是，所以目前都還沒有進度，對不對？
發言片段: 24
趙組長由靖：我們目前先導入的部分是公務機關，那CI的部分，我們會陸續在明年開始推動。
發言片段: 25
羅委員美玲：OK，好，這個要加油，因為我們在資料上真的看不到，就覺得這部分推行的好像不是那麼順利。再來，我在8月份的時候，有看到我們黃部長提到年底要推出人工智慧風險分級框架，我本來想說你們這次的報告書裡面會提到這部分，可是發現你們隻字未提，這個會來推行嗎？他說年底就要推出了耶！那這部分呢？
發言片段: 26
林次長宜敬：OK，跟委員報告，關於人工智慧風險分級框架，事實上現在還在一個討論的階段，最主要的問題是在於歐盟跟美國的作法是非常不一樣的，歐盟那邊他們是用分級的方式，就是把人工智慧分成好幾個危險程度，然後在最高的、最危險的那個層級，他們是禁止使用的。但是美國那邊是用分類，而不是用分級的方式，他們只是利用行政部門由美國總統發出的名義簽署發布了一個指引，就是我們使用人工智慧有什麼危險。因為美國認為所謂regulation hinder innovation，他們的概念是這樣，所以他們不希望做這種明確的分級與禁止的動作。美國也明確的跟我們這些自由世界的夥伴國家講，他們不希望其他的國家是用歐盟那樣的方式，因為歐盟那樣的方式，會限制到的大部分都是美國的公司，因為我們知道現在在AI方面主要在進行先進研發的公司，像OpenAI、Google、Meta都是美國的公司。所以歐洲他們是主張用限制的方式，用立法限制的方式，而美國是希望說用分類以及用行政方式發布指引，就是提醒大家風險在哪裡的方式。事實上在整個社會，我們還必須經過一番討論決定要走往哪個方向，這件事情我們已經……
發言片段: 27
羅委員美玲：所以黃部長所提到的，年底本來想要來推行人工智慧的風險分級框架，目前是推不動的意思嗎？因為目前還有待社會上的對話，是這樣子的意思嘛？所以年底之前就沒有辦法來推行囉？那部長話有點講得太快了一點是不是？
發言片段: 28
林次長宜敬：是，因為這個計畫主要是……目前這個人工智慧基本法是由國科會主導在推動的，我們會配合國科會的計畫，努力做我們該做的事情。
發言片段: 29
羅委員美玲：OK，好，相關AI的風險問題，之前我跟國安會其實也做了很多的討論，本席是建議像資安署、國安會還有國科會，甚至我們資安研究院，應該要成立一個類似跨部會，類似這種AI資安技術聯防的一個小組。我本來期待我們的風險管理框架在年底的時候可以看得到，可是目前政次的意思是這個部分還有很多討論的空間？
發言片段: 30
林次長宜敬：是，不單單是臺灣內部還有很多討論空間，事實上，在整個國際上，這個都是一個正在熱烈討論的議題，我們在……
發言片段: 31
羅委員美玲：對，因為我們也有看了，也參考了其他國家比較成熟經驗的RMF，這個部分的話像美國NIST有提出了人工智慧風險管理框架，像這部分是不是也來做參考？
發言片段: 32
林次長宜敬：是。
發言片段: 33
羅委員美玲：再來是FAIR，我想FAIR最近在金融業跟企業界也滿常用的，當然可以參考的標準很多，對於資安安全來講，臺灣是一個受到假訊息跟資安嚴重威脅的國家，我們希望有自己的架構出來。OK，以上，謝謝。
發言片段: 34
林次長宜敬：好，謝謝委員。
發言片段: 35
主席：謝謝羅美玲委員。
接下來我們請洪申翰委員上臺質詢。

公報詮釋資料

page_end 58
meet_id 委員會-11-2-35-14
speakers ["林憶君","羅美玲","洪申翰","徐巧芯","黃仁","沈伯洋","陳永康","陳冠廷","馬文君","王鴻薇","賴士葆","洪孟楷","葛如鈞","楊瓊瓔","黃國昌","王定宇","林楚茵"]
page_start 1
meetingDate ["2024-11-18"]
gazette_id 11310101
agenda_lcidc_ids ["11310101_00002"]
meet_name 立法院第11屆第2會期外交及國防委員會第14次全體委員會議紀錄
content 邀請國家安全局局長、數位發展部、法務部調查局、內政部警政署、國家科學及技術委員會報告 「AI 技術在資安、深偽（Deepfake）影片及錯假訊息之影響評估及因應」，並備質詢
agenda_id 11310101_00001