王育敏於司法及法制委員會會議

1. 王委員育敏

   主席、各位列席官員、各位同仁。今天討論整個國家的資通安全，這個議題的確值得討論，但本席發現我們並沒有討論關鍵議題，而是討論這次的修法，其實這是捨本逐末。近幾年來，包括勞動部、台北市資訊局、外交部等都出現重大的資安事件，這是發生在公部門。我認為處理資安問題要分兩個層次，首先必須做好公部門的資安，然而現在公部門的資安有做得很好嗎？恐怕是沒有，為什麼公部門的資安做得不好？我們來看主要的原因。當時民進黨執政上台之後，做了一件偉大的事情，在立法院用非常粗暴的方式，直接提案在院會廢止了國家資通安全科技中心的設置條例。當時張善政院長認為這個科技中心是捍衛國家資訊安全的重要部門，其實那時也不算小英總統正式上任，民進黨立院黨團和時代力量黨團聯手在院會通過廢止這個科技中心。這件事情茲事體大，當時在野黨的人數很少，沒有辦法阻擋，但是我們苦口婆心勸民進黨不要如此躁進，但是民進黨一上台之後，就是反國民黨所做的事情，為了廢止而廢止。當時張院長對廢止一事也苦口婆心，他說將來的政府會為做這件事情而後悔！張院長認為這個科技中心非常重要，它可以把政府人力資源的問題通通整合在一起，整合在科技中心，讓它有穩定的人力和預算，而不是靠委託的方式來執行整個政府公部門資訊安全的工作。但是105年8月1日，行政院把科技中心廢止之後，設置了資安處，也掛牌了。我請教處長，現在資安處有多少人？

2. 主席

   請行政院資安處簡處長說明。

3. 簡處長宏偉

   主席、各位委員。有15個正式人員。

4. 王委員育敏

   科技中心廢止之後，變成是資策會下轄的技術服務中心，請問你們的關係是什麼？

5. 簡處長宏偉

   我們委託他們處理資安事件。

6. 王委員育敏

   每一年委託的經費是多少？

7. 簡處長宏偉

   這幾年大概是3億到4億之間。

8. 王委員育敏

   這麼龐大的預算，你們無力處理，要透過委託的方式，那你認為是用現在方式比較好？還是交由將之提升為行政法人之後，讓它有獨立的預算和人力得以穩定的運作，會比現在的效能更好？你能回答這個問題嗎？

9. 簡處長宏偉

   我們現在也在檢討它未來的屬性是怎麼樣的情況會比較好。

10. 王委員育敏

    所以你發現現在的做法是錯誤的？其實這不是由你來回答，今天本來應該由秘書長回答。請問宋副秘書長，資安處在105年8月1日掛牌，實質運作是每年以3、4億的經費委託給資策會的技服中心，這樣的作法會比當時張善政院長力主設置行政法人資通安全科技中心更好嗎？你們要不要好好評估一下？現在你們的人力跟資源這麼不穩定，所以難怪公部門的資安工作都做得不好啊！這件事情難道不需要檢討嗎？

11. 主席

    請行政院宋副秘書長說明。

12. 宋副秘書長餘俠

    主席、各位委員。我們一直在聆聽各界的意見，都會持續檢討。

13. 王委員育敏

    到目前為止，你們檢討的心得是什麼？

14. 宋副秘書長餘俠

    因為資訊科技日新月異、變化很快……

15. 王委員育敏

    需要專業人才，而且在運作上要有穩定的系統才對嘛！

16. 宋副秘書長餘俠

    我們希望能夠結合民間的資源來維持資訊……

17. 王委員育敏

    依照你們執行的狀況，你們現在都是用訂合約的方式，這種方式缺乏彈性，而且沒有辦法快速因應一些緊急的事故。你們現在資安人力的缺口高達500人，對不對？這麼龐大的人力缺口，你們一個資訊處才只有15個人，這樣能做好什麼事情呢？你們應該要整個融合成一個整體，從政策的規劃、人員的編制到預算的編列要合為一體，這樣執行起來才會有效率啊！我相信現在處長做起來也是綁手綁腳吧！有些事情很緊急，又是委託辦理，你們可以親自指揮或自己去做嗎？也不行吧！

18. 簡處長宏偉

    跟委員報告，雖然這個是委託辦理，不過是專人專用，所以其實我們是可以直接指揮的。

19. 王委員育敏

    所以你贊成繼續照現在這樣的模式嗎？

20. 簡處長宏偉

    跟委員報告，我們現在正在評估它的屬性，從公權力大小來確認把它歸為哪一類會比較合適，目前在進行中。

21. 王委員育敏

    好，本席今天要特別凸顯的問題就是，並不是換黨執政就什麼事情都要一切歸零而重新做，如果是好的政策，像張善政前院長其實是非常專業的科技人才，他的觀點、他的看法一定有值得參考的地方，但是我們感到最遺憾的就是去年民進黨跟時代力量在立法院做了這件事情，有審慎評估的過程嗎？根本就沒有！而且也沒有經委員會討論，直接在院會提案，然後就很匆忙的廢止了。對於這樣的廢止過程，本席在此再次予以譴責，為了廢而廢，手法太過粗暴，賠上的是什麼？就是我們公務部門的整個資訊安全，本席希望下一次不要再犯這樣的錯誤，不要再發生類似的情況了！如果人力和資源這些關鍵的問題沒有解決的話，本席不認為你們這次提的「資通安全管理法草案」對於提升整個公部門的資訊安全會有任何的幫助，資訊安全講求的是實質，包括人力有沒有到位、資源有沒有到位，必須要有每天力行的系統性管理，而不是制定一個法來規定如果做不好就要處罰，沒有從本質上來改善，只是規定要處罰，這樣有用嗎？這樣是沒有用的，無助於資安問題的改善跟解決。所以我覺得應該要恢復原來的這個行政法人，讓整個資安工作的人力、資源是一條鞭，而且有穩定的人力來執行政策，這其實是最關鍵的事情。

22. 第二，本席要檢討你們所提「資通安全管理法草案」的內容，這個案子非常的急就章，本席真的很難得看到連母法都還沒有通過就要先討論子法這種事情，如果母法沒有通過的話，那討論這個子法不是就變成浪費錢、浪費時間嗎？怎麼會這樣本末倒置呢？過去在立法院這種情況非常罕見，母法根本都還沒有討論，召委也沒有要安排進行逐條審查，結果你們在七、八月就召開跟子法有關的座談會，為什麼會這樣本末倒置呢？你們已經完全違反整個立法行政工作的推動了，為什麼會這樣？你們可以解釋嗎？

23. 簡處長宏偉

    跟委員報告，關於子法的部分，我們在七、八月其實只有請政府機關對子法的草案提供建議，至於其他產業和專業的學者，我們並沒有請他們來討論子法草案。

24. 王委員育敏

    現在的問題就是連母法都還沒有通過，你們怎麼知道子法的內容會是怎麼樣呢？這是非常離譜的立法過程，本席希望你們要檢討。

25. 另外還有一個今天很多人在討論的關鍵問題，就是這個法涵蓋的範圍，現在整個政府部門最迫切的就是應該要先把自己的事情做好，公務部門的資安管理都還沒有辦法完全落實，結果這個法的範圍擴及非公務機關，而且你們對非公務機關的解釋也不是很清楚，有規定關鍵基礎設施提供者，而且影響到民眾平常生活品質的也都是，這樣所有的民營業者都被納進來了。

26. 簡處長宏偉

    關於關鍵基礎設施提供者，其實我們有明確的定義，照這個定義，也不是把所有的業者都納進來，就像我們剛才所報告的，整個資安管理法是以風險管理為核心，所以有風險評鑑的機制，在這樣的情況之下，有8個主要的類別，每一個其實都有再分級。

27. 王委員育敏

    請處長去看一看媒體對你們的評論，這是一個非常嚴重的指控，就是你們這樣的擴權已經侵害到人民的隱私，因為在第十八條規定你們可以進入非公務機關場所檢查，如果他們不配合，還要處十萬元以上一百萬元以下罰鍰。像這樣的動作到底有沒有符合比例原則？立法院可不可以制定這樣的法律、以資安為名去侵犯這些非公務機關？我覺得這是一個很嚴肅的問題，因為過去民進黨也很擅長立一些法，以轉型正義為名而去侵犯一些政黨的財產權益，所以這個部分一直被詬病也招致很多批評。關於民間企業的隱私權跟商業機密，你們在執行的過程當中是不是有侵權？這其實是非常嚴肅的問題，本席希望行政院要非常嚴肅的來看待。

28. 最後，本席要重申一點，就是整個資安問題最關鍵的就是有沒有穩定的人力、穩定的架構、資源的整合和系統性的執行，而無關乎於這個資通安全管理法，如果這個關鍵的問題、本質的問題沒有到位的話，不管再制定什麼樣的法律，我們政府部門還是會產生資訊安全的漏洞，因為根本就沒有專業的人力、財力和穩定的系統來捍衛政府部門的資通安全。本席認為這件事情是你們的當務之急，而且也該去檢討了，在廢止了那個中心之後，你們現在應該要回過頭來檢討，如果有不當、錯誤的地方，請你們要立即改正，謝謝。

文字取自立法院公報，依公報上的講者標籤切出王育敏本人的發言。這段發言沒有對應的影片。