6成網路攻擊都是來自中國！59萬筆文官資料外洩只是一角　台灣為何深陷資安危機

美國網路安全公司麥迪安（Mandiant）2013年反追蹤141起駭客入侵事件後，指控隸屬於中國解放軍網路系統部的「61398部隊」，自06年就以這棟大樓為基地，不斷潛入美國大型機構與企業資訊系統，從事間諜行動、竊取商業機密。

儘管中國政府堅決否認這項指控，也沒有國際媒體得以親眼目睹解放軍駭客，但資訊安全專家普遍相信，一系列來自中國的網路攻擊事件，背後是由國家操控的駭客團隊所主導。

「我們天天都在網路上打仗。」一位長年從事資訊戰的退役軍官，對《今周刊》透露自己與中國網軍對抗多年的經驗。「每當遇到雙十節這種有政治意義的日子，或逢年過節對方覺得我們可能鬆懈的時候，各種攻擊更是多到不行。」

延伸閱讀 : 谷歌、臉書乖乖把錢匯入「他的」帳戶 東歐駭客「代收」廣達38億驚奇

延伸閱讀 : 挺台挺到被中國盯上　年僅38歲的布拉格市長為何成了北京的頭痛人物？

在台灣，無論政府機關或民間企業，最大的資安威脅來源，都是中國。

以色列網路安全廠商Check Point公布19年六月的統計數字，結果顯示，台灣企業受惡意軟體攻擊的比率，可達全球的四倍到數十倍不等；尤其是貿易戰開打後，來自中國的攻擊明顯增加。

兼任行政院資安長的行政院副院長陳其邁也指出，台灣目前每月平均面對3億次的駭客掃描（攻擊前的探勘）、3千萬次攻擊；對政府的攻擊多數來自中國。

APT悄然入侵

惡意程式可自動複製、打包寄出資料

當資訊系統遭到惡意攻擊，情況大概就像家裡遭竊或工廠被斷電，「主人」很快就能在短時間內發現異狀；但隨著資訊科技日新月異，網路攻擊的手法也快速演進，一種被稱為「進階持續性滲透威脅」（APT）的攻擊手段，近年日益盛行。

「APT的重點，就是希望對方不要知道系統被入侵了。」台灣駭客年會首任理事長、TeamT5杜浦數位安全有限公司執行長蔡松廷解釋，所謂進階持續性滲透威脅，可以看作是入侵者到建築物裡安裝了針孔或竊聽器，在屋主渾然不覺下，側錄屋內的一舉一動。

今年六月下旬，59萬筆台灣公務人員個資，包括身分證字號、姓名、服務機關、職務編號、職稱，被不明人士公布在國外網站上，銓敘部就是直到接獲外國通報才發現。

一位已轉往民間的前執法人員無奈地說，「如果今天不是有人把它整包放在網站上求售，你覺得會有人發現嗎？」

在這場看不見硝煙、卻從不間斷的網路戰爭中，台灣當然不會只是被動挨打。

「放在暗網上交易的台灣資料，大部分是從民間機構撈出來的，裡面又以信用卡號最值錢。來自政府單位的資料也有，但是不多。不是政府個資沒有商業價值，而是中國駭客如果本來就是接政府的案、受政府指揮，當然不需要把東西拿出來賣錢。」一位長期在各大暗網社群活動的白帽駭客分析。

因為間諜活動竊取而來的資料通常不會公開求售，因此前執法人員才會推測，近年來實際流向中國的政府資訊，遠比浮上枱面的要多。但他也強調，涉及國安、國防、情報人員身分這類機敏資訊，政府一定會採用實體隔離（不能連結外部網路）等高強度防護措施，再怎麼神通廣大的駭客也不容易接觸得到，遭竊風險較高的，其實是非機密的公文資料。

「資安不只是做安全技術，而是戰略層面議題，這是情報戰、資訊戰、心理戰。」行政院資通安全處處長簡宏偉，隨手拿起桌上由國防部印製的《中共的全球資源戰》，「我們要先了解對手思惟，才能預判可能的攻擊模式。」

當資訊價值隨著網路戰模式進化而全面提升，政府勢必也得投入更多心力，強化資訊安全防護。面對中國強力威脅的台灣，當然也得繃緊神經。

總統蔡英文16年就任後立刻喊出「資安即國安」，並成立行政院資通安全處，18年也制定《資通安全管理法》確立法源。在經費上，18年中央政府資安預算約11.25億元，較14年成長超過60％；行政院推出的「資安產業發展行動計畫」也規定經費10億元以上計畫，至少應編列5％資安預算、1億到10億元計畫至少6％、1億元以下至少7％。

儘管政府展現了決心，在專家眼中，對比實際需求，台灣政府對於資安的投入仍遠遠不足。

「台灣政府公務體系的人力配置有相當大的問題，考試院的公務人員職缺規畫明顯趕不上時代，目前為止，資訊職系人員的待遇和員額，跟政府需要的數量有重大落差，更不用說根本沒有資訊安全職系。」成功大學電腦與通信工程研究所教授李忠憲直言，「缺人」是台灣政府在資安議題上，最嚴峻的考驗。

蔡政府宣示「資安即國安」

欠缺人才是嚴峻考驗

根據立法院預算中心評估報告，自13年起，政府資訊業務經費的委外比率，都超過50％，19年是56.75％。

「委外本身不是問題，重點是委外到什麼程度。」財政部財政資訊中心主任陳泉錫直言，資訊委外是為提升業務效率，但政府部門不能失去技術主控性、核心業務更不應委外。

「現在往回看，資訊過度委外是完全錯誤的政策。」陳泉錫不客氣地評論。

對於公務員缺乏技術與規畫能力，外包廠商也是滿腹苦水。「公家機關要開發一套資訊系統，如果沒有具體想法，通常會先徵詢幾家廠商；每一家想拿到標案的廠商，都會提供各自的意見。但承辦人問完一輪以後，結果往往是『每一家提出的想法我都要』。」一位經常參與政府標案的業者無奈地說。

叡陽資訊董事長張培鏞指出，政府部門通常只對「眼見為憑」的軟硬體設備提供合理報價，看不見的維運預算則能省就省，沒有足夠研發維護經費的系統，長期將累積大量資安隱憂。

「你買Oracle（甲骨文）的軟體，每年還都要付產品售價22％的維護費，但政府資訊系統每年編列的『經常門』維護預算經常不到10％，軟體公司不僅沒有能力持續投入研發，連優化系統、減少漏洞都很吃力。」

陳泉錫說得更直白：「如果開發系統是生孩子，維護升級就是養孩子。但現在資訊業務經費經常被大刀一揮統刪10％，這不等於生完孩子就不管了嗎？」

台灣數位科技與政策協進會理事長高志明建議，政府應成立專責資訊單位如資訊總處，統籌全國資訊預算，並規畫資訊及資安人才培訓；專責單位可藉由分配資源的權力，提供國內軟體及資安業者合理協助，活絡台灣產業、進軍國際市場，如此一來，就能吸引優秀人才投入資訊資安領域，一舉解決人力與預算窘迫問題。