建立我国通资讯基础建设安全机制计画.ppt

《建立我国通资讯基础建设安全机制计画.ppt》由会员分享，可在线阅读，更多相关《建立我国通资讯基础建设安全机制计画.ppt（35页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、建立我國通資訊基礎建設建立我國通資訊基礎建設安全機制計畫安全機制計畫簡報簡報報告單位：行政院報告單位：行政院NICI小組小組中華民國九十年四月十一日中華民國九十年四月十一日報告內容報告內容壹、依據壹、依據貳、前言貳、前言參、資通安全保護範疇參、資通安全保護範疇肆、網路安全建置目標與執行要點肆、網路安全建置目標與執行要點伍、運作體系架構與職掌伍、運作體系架構與職掌陸、資源需求與預定及重要措施時程陸、資源需求與預定及重要措施時程-1-壹、依據壹、依據一、奉總統八十九年八月卅日核定建立我國通一、奉總統八十九年八月卅日核定建立我國通資訊基礎建設安全機制案辦理。資訊基礎建設安全機制案辦理。二、依行政院秘

2、書長八十九年九月十五日台八十九二、依行政院秘書長八十九年九月十五日台八十九科字第二七一七九號函辦理。科字第二七一七九號函辦理。三、依八十九年十二月廿九日行政院三、依八十九年十二月廿九日行政院NII委員會通過委員會通過辦理。辦理。四、九十年一月九日院長核定同意辦理。四、九十年一月九日院長核定同意辦理。五、九十年一月十七日行政院第五、九十年一月十七日行政院第2718次院會通過。次院會通過。-2-貳、前言貳、前言一、隨著現代資訊化社會的來臨，許多大型企業、金融機構、政府機關以及國軍各軍事單位都相繼採用電腦資訊化作業，於是許多重要的資料都將儲存在電腦中或利用電腦通訊網路來傳遞。然而，這些儲存或傳遞的資

3、料均可能涉及商業機密、個人隱私權，甚至國家安全之機密。因此，要如何防範電腦網路犯罪與危機，並維護資通系統安全將是政府施政最迫切的課題二、現有之資訊及通訊安全措施：包括利用資料加密、身分鑑別、電子簽章、防火牆及安全偵測等作為，以防止資料及系統被不法侵入、破壞。惟此安全防護均侷限於局部性，並無整體防護、識別及回復等能力，對國家資通安全之防衛應變嚴重不足。-3-參、資通安全保護範疇參、資通安全保護範疇一、資通安全保護課題一、資通安全保護課題二、資通安全保護對象二、資通安全保護對象三、正常運作之重點資通安全體系三、正常運作之重點資通安全體系四、資通安全保護工作重點四、資通安全保護工作重點-4-一、資通

4、安全保護課題一、資通安全保護課題(一一)安全管理政策安全管理政策(二二)物理實體安全物理實體安全(三三)人員管理安全人員管理安全(四四)安全規章法律安全規章法律(五五)硬體設備安全硬體設備安全(六六)軟體系統安全軟體系統安全(七七)網路通訊安全網路通訊安全-5-二、資通安全保護對象二、資通安全保護對象(一一)國防方面國防體系國防方面國防體系(二二)政府方面政府方面(三三)民間方面民間方面政府機構政府機構事業機構事業機構學術機構學術機構ISP系統系統(HiNet、Seednet)金融體系金融體系大大型、重要民間公司型、重要民間公司-6-三、正常運作之重點資通安全體系三、正常運作之重點資通安全體系

5、(一一)政府的正常運作。政府的正常運作。(二二)軍事力量的維持。軍事力量的維持。(三三)救援體系的正常運作。救援體系的正常運作。(四四)人民日常生活必需品人民日常生活必需品(電信、水、電、油、瓦斯、電信、水、電、油、瓦斯、食物食物)的正常供給。的正常供給。(五五)金融體系的正常運作。金融體系的正常運作。(六六)商業的繼續進行。商業的繼續進行。-7-四、資通安全保護工作重點四、資通安全保護工作重點(一一)資通基礎建設安全的防護資通基礎建設安全的防護資通基礎建設安全之防護以抵禦攻擊為主，並以資通系統生存為目標。植基於此，我國除軍事單位外，其他機構少有資訊邊疆(InformationFrontier

6、)的概念。(二二)資通基礎建設安全之識別資通基礎建設安全之識別快速且正確的偵測與辨識惡意的使用行為對資通系統的存活是相當重要的，必須謹慎地注意可能出現危機癥兆的任何異常活動報告。(三三)資通基礎建設安全之回復資通基礎建設安全之回復蒐集稽核線索與分析入侵活動資料是法律證據重建之鑑識技能。在遭受攻擊後，快速且完整地回復資通系統之回復技能均是通資訊基礎建設安全回復須面對面的問題。-8-肆、網路安全建置目標與執行要點肆、網路安全建置目標與執行要點一、目標一、目標(一一)積極防衛資通設施，維護國家運行體制。積極防衛資通設施，維護國家運行體制。(二二)建立資通安全優勢，提升國家競爭力量。建立資通安全優勢，

7、提升國家競爭力量。(三三)堅實資通安全建設，健全網路社群發展。堅實資通安全建設，健全網路社群發展。(四四)主動偵測安全威脅，降低實質危害因素。主動偵測安全威脅，降低實質危害因素。(五五)建構安全通報體系，強化事前預警機制。建構安全通報體系，強化事前預警機制。(六六)保障民眾隱私權益，促進網路多元發展。保障民眾隱私權益，促進網路多元發展。(七七)增強執法專業能力，有效遏止網路犯罪。增強執法專業能力，有效遏止網路犯罪。-9-二、執行要點二、執行要點(一一)編組專職人員統合推動資通安全工作及編組專職人員統合推動資通安全工作及協調組織。協調組織。(二二)律定資通安全組織職掌及分工。律定資通安全組織職掌

8、及分工。(三三)建立資通安全危機事件通報及預警機制。建立資通安全危機事件通報及預警機制。(四四)彙整及發布通報相關資訊，供各機關參彙整及發布通報相關資訊，供各機關參考運用及早作好預防措施。考運用及早作好預防措施。(五五)執行國家重要資通基礎設施之安全防護，執行國家重要資通基礎設施之安全防護，建立主動偵防能力。建立主動偵防能力。-10-二、執行要點二、執行要點(六六)策訂重要資通設施安全規範及回復重建策訂重要資通設施安全規範及回復重建措施。措施。(七七)檢討及增修訂資通安全相關法令、訂定檢討及增修訂資通安全相關法令、訂定資通安全技術標準及規範，建立產品檢驗資通安全技術標準及規範，建立產品檢驗及保

9、證機制。及保證機制。(八八)推動資通安全學術研究及關鍵技術研發。推動資通安全學術研究及關鍵技術研發。(九九)加強資通安全人力培訓及觀念宣導。加強資通安全人力培訓及觀念宣導。(十十)提升執法機關之偵防能力及人力，建立提升執法機關之偵防能力及人力，建立跨國及區域性合作機制。跨國及區域性合作機制。-11-伍、運作體系架構與職掌伍、運作體系架構與職掌一、資通安全之組織架構一、資通安全之組織架構二、國家資通安全應變中心之組織體系二、國家資通安全應變中心之組織體系三、政府各機關三、政府各機關(機構機構)資通安全處理資通安全處理小組組織架構小組組織架構四、資通安全事件通報及應變作業流程四、資通安全事件通報及

10、應變作業流程五、資通安全事件通報單五、資通安全事件通報單-12-一、資通安全之組織架構一、資通安全之組織架構(一一)國家資通安全會報組織運作架構國家資通安全會報組織運作架構國家資通安全會報國家資通安全會報召集人：行政院院長兼副召集人：行政院副院長兼委員：相關部會首長及北高市長執行長：行政院NII小組總召集人兼副執行長：總統府國家安全會議派員兼行政院主計處電子處理資料中心主任兼技合術業服務務中與心綜標準規範工作組稽核服務工作組資訊蒐集工作組網路犯罪工作組危機通報工作組NII小組小組主計處國防部交通部經濟部財政部教育部中科院工研院電信研究所資策會民間業者經濟部經濟部研考會國防部交通部財政部主計處主

11、計處(電子中心電子中心)國防部交通部經濟部財政部國科會國科會中科院工研院資策會相關公協會民間業者法務部法務部內政部國防部交通部主計處主計處(電子中心電子中心)內政部國防部交通部財政部經濟部教育部衛生署研考會.國家資通安全應變中心危機通報分組等七組國家安全會議顧問-13-附表一、國家資通安全會報委員附表一、國家資通安全會報委員-14-姓名姓名職稱職稱單位單位備考備考張俊雄院長行政院國家資通安全會報召集人賴英照副院長行政院國家資通安全會報副召集人蔡清彥政務委員行政院國家資通安全會報執行長柯承亨諮詢委員國家安全會議國家資通安全會報副執行長萬鎮歐主任行政院主計處電子中心國家資通安全會報副執行長邱義仁秘

12、書長行政院委員丁渝洲局長國家安全局委員張博雅部長內政部委員伍世文部長國防部委員顏慶章部長財政部委員陳定南部長法務部委員林信義部長經濟部委員葉菊蘭部長交通部委員曾志朗部長教育部委員林全主計長行政院主計處委員林嘉誠主任委員研考會委員翁政義主任委員國科會委員馬英九市長台北市委員謝長廷市長高雄市委員召集人一員、副召集人一員、執行長一員、副執行長二員、委員十四員、合計十九員。國家資通安全技術服務與綜合業務中心國家資通安全技術服務與綜合業務中心運作規劃示意圖運作規劃示意圖主任副主任訓練推廣技術服務綜合業務技術支援支援政府單位支援國防單位支援民間企業訓練推廣推廣服務團訓練推廣人才培訓()()()推動企劃行政

13、管理綜合業務技術研發中山科學研究院（科專計畫支持）工研院、資策會學術界、民間企業中華電信研究所-15-(二二)國家資通安全會報組織職掌國家資通安全會報組織職掌(1)統籌國家層級資通安全基礎建設規劃作業。(2)負責資通安全基礎建設作業綜合業務。(3)負責資通安全人力培訓及籌組資通安全技術服務團。(4)負責資通安全基礎宣導及舉辦相關技術研討會。(5)建置資通安全宣導及技術網站並蒐集最新資通安全相關技術。(6)編訂資通安全基本作業手冊並協助各機關訂定作業系統安全等級。(7)推動資通安全關鍵技術研發及學術研究並協助發展我國資通安全相關產業。(8)辦理資通安全攻防模擬環境建置及相關訓練等事項。(9)提供

14、各界資通安全技術諮詢服務。1、技術服務與綜合業務中心(辦理單位：NICI小組主責、主計處、國防部、交通部、經濟部、財政部、教育部、中科院、資策會、工研院配合協辦)-16-(1)訂定資通安全技術標準。(2)訂定各機關辦理資通安全有關作業規範。(3)規劃建置資通安全檢測技術。(4)規劃建置資通安全驗證方法(5)規劃建置資通安全認證程序。2、標準規範工作組(辦理單位：經濟部主責、研考會、國防部、交通部、財政部配合協辦)(二二)國家資通安全會報組織職掌國家資通安全會報組織職掌(續續)-17-(1)培訓資通安全稽核人力。(2)籌組資通安全稽核服務團。(3)選定資通安全等級高之作業系統。(4)對重要系統不

15、定期辦理資通安全稽核。(5)彙編重要系統資通安全稽核報告。3、稽核服務工作組(辦理單位：主計處主責、國防部、交通部、經濟部、財政部配合協辦)(二二)國家資通安全會報組織職掌國家資通安全會報組織職掌(續續)-18-(1)蒐集國內外資通安全相關資訊。(2)統計分析資通安全事件資料。(3)結合技術服務組，研擬資通安全防範措施並對外提供。4、資訊蒐集工作組(辦理單位：國科會主責、中科院、工研院、資策會、相關公協會及民間業者配合協辦)(二二)國家資通安全會報組織職掌國家資通安全會報組織職掌(續續)-19-(1)指派人員負責資通網路犯罪事件偵查工作。(2)培訓執法人員辦理資通安全有關偵防能力。(3)建立跨

16、國及區域性合作偵防機制。(4)配合研修網路犯罪相關法規。5、網路犯罪工作組(辦理單位：法務部主責、調查局、內政部、國防部、交通部配合協辦)(二二)國家資通安全會報組織職掌國家資通安全會報組織職掌(續續)-20-(1)建立資通安全事件通報處理程序。(2)建置資通安全事件通報網站。(3)建立資通安全事件危及公共安全、社會秩序有關緊急應變程序。(4)協調技術服務組，提供技術服務。(5)建立事前各項資通安全事項通報及預警機制。(6)統計發布我國資通安全事件及應變程序。6、危機通報工作組(辦理單位：主計處主責、內政部、國防部、交通部、經濟部、財政部、研考會配合協辦)(二二)國家資通安全會報組織職掌國家資

17、通安全會報組織職掌(續續)-21-二、國家資通安全應變中心之組織體系二、國家資通安全應變中心之組織體系召集人：國家資通安全會報執行長兼副召集人：國家安全會議派員兼副召集人：國家資通安全會報副執行長兼影響等級級以下時由主計處電子中心負責處理影響等級達到級時由召集人及副召集人進駐處理民營機構分組召集單位：交通部國防體系分組召集單位：國防部學術機構分組召集單位：教育部事業機構分組召集單位：主計處行政機構分組召集單位：研考會危機救災分組召集單位：內政部危機通報分組召集單位：主計處負責民營機構(網路通信業、金融業、證券業、電信重點製造業)資通安全危機事件通報及應變處理事項負責國防體系資通安全危機事件通報

18、及應變處理事項負責學校及研究機關資通安全危機事件通報及應變處理事項負責政府事業機構(電力、石油、自來水、金融、證券、關貿、航管、瓦斯)資通安全危機事件通報及應變處理事項負責政府行政機關資通安全危機事件通報及應變處理事項協調警政、消防、衛生等救援體系支援事故緊急處置一、規劃通報應變作業計畫二、建立通報體系三、辦理通報宣導研討會四、建立通報網站五、彙整及發布通報資訊（國防通資訊危機事件通報及應變體系）（民間通資訊危機事件通報及應變體系）（政府通資訊危機事件通報及應變體系）（通資訊安全報案通報及危機救災體系）技服與綜業中心資訊蒐集工作組-22-資通安全危機等級資通安全危機等級qA級：影響公共安全、社

19、會秩序、人民生命財產。q級：系統停頓，業務無法運作。q級：業務中斷，影響系統效率。q級：業務短暫停頓，可立即修復。-23-國家資通安全應變中心各分組職掌國家資通安全應變中心各分組職掌主計處擔任國家資通安全應變中心總召集單位，兼負中心幕僚作業並負責資通安全危機事前預警機制建立、彙總各分組有關資通安全危機事件通報、分析報告及協調技術服務組提供相關技術支援等事項。(一)危機通報分組：(主計處擔任召集單位)負責規劃通報應變作業計畫、建立通報體系、辦理通報宣導講習、建立通報網站、彙整、發布通報資訊及資通應變中心幕僚作業。(二)事業機構分組：(主計處擔任召集單位)負責政府事業單位(如電力、石油、自來水、金

20、融、證券、關貿、航管及瓦斯等)有關資通安全危機事件通報及應變處理事項。(三)危機救災分組：(內政部擔任召集單位)負責協調警政、消防、衛生等救援體系支援事故緊急處置。(四)行政機關分組：(研考會擔任召集單位)負責政府行政機關有關資通安全危機事件通報及應變處理事項。(五)學術機構分組：(教育部擔任召集單位)負責學校及研究機構有關資通安全危機事件通報及應變處理事項。(六)國防體系分組：(國防部擔任召集單位)負責國防體系有關資通安全危機事件通報及應變處理事項。(七)民營機構分組：(交通部負責召集單位)負責民營機構中電信網路業者有關資通安全危機事件之通報及應變處理，並協調財政部(有關金融業者)、經濟部(

21、有關重點製造業者)對其主管重要目的事業辦理通報及相關應變處理事宜。-24-三、政府各機關三、政府各機關(機構機構)資通安全處理小組組織架構資通安全處理小組組織架構國家資通安全應變中心各機關(機構)資通安全處理小組危機處理安全預防一蒐集資通安全資訊二培訓資通安全技術三訂定系統安全等級四建置資通安全措施五執行資通安全監控一規劃危機處理程序二查明安全事件原因三確定影響範圍並作損失評估四執行緊急應變措施五辦理安全事件通報六執行解決辦法-25-各各機關資通安全處理小組職掌機關資通安全處理小組職掌(一)安全預防：負責蒐集網路安全資訊、培訓網路安全技術、訂定各機關系統安全等級、建置網路安全措施、執行網路安全

22、監控等事項。(二)危機處理：負責規劃危機處理程序、查明危機事件原因、確定影響範圍並作損失評估、執行緊急應變措施、辦理危機通報、執行解決辦法等事項。-26-四、資通安全事件通報及應變作業流程四、資通安全事件通報及應變作業流程發現資通安全危機事件確定影響範圍，評估可能損失，判斷是否需要支援啟動緊急應變措施辦理資通安全事件通報通報災害防救體系資通安全事件通報建檔需要支援重大災害重大事故通報檢調單位協調資通技術服務組支援納入列管是否是是否執行解決辦法辦理資通安全事件結案通報資通安全事件解除列管否資通安全事件通報單資通安全事件通報單(表二表二)-27-附表一(單位全銜)資通安全通報網聯絡人員調查表姓名姓

23、名職稱職稱電話電話傳真傳真行動電話行動電話電子信箱電子信箱-28-五、資通安全事件通報單五、資通安全事件通報單機關機關(機構機構)名稱名稱資通安全事件通報單資通安全事件通報單洽詢電話：傳真：e-mail:或逕送：台北市廣州街二號填報時間：年月日時分編號：一、發生網路安全之機關(機構)聯絡資料：機關(機構)名稱：E-MAIL：聯絡人：電話：傳真：二、網路安全事件通報事項：1.事件發生時間：年月日時分2.主機(伺服器)資料：IP位址(IPAddress)：網域名稱(Domainname)：主機(伺服器)廠牌、機型：作業系統名稱、版本、序號：網際網路資訊位址(WebURL)：已裝置之安全機制：附表二

24、-29-3.網路安全事件資料：安全等級：級；級；級；級影響等級：級：影響公共安全、社會秩序、人民生命財產。級：系統停頓，業務無法運作。級：業務中斷，影響系統效率。級：業務短暫停頓，可立即修復。事件說明：可能影響範圍及損失評估：應變措施：三、期望支援項目：四、解決辦法：五、已解決時間：年月日時分-30-陸、資源需求與預定及重要措施時程陸、資源需求與預定及重要措施時程一、資源需求資通安全經費預算總表單位：台幣仟元狀況狀況單位體系單位體系經費預算經費預算備註備註平時作業技術服務與綜合業務中心80,000行政院NII小組負責規劃標準規範工作組經濟部負責規劃稽核服務工作組主計處負責規劃資訊蒐集工作組國科

25、會負責規劃網路犯罪工作組法務部負責規劃通報應變工作組主計處負責規劃小計平時通報及應變處理國家資通安全應變中心主計處負責規劃危機通報分組主計處負責規劃危機救災分組內政部負責規劃行政機關分組研考會負責規劃事業機關分組主計處負責規劃學術機關分組教育部負責規劃國防體系分組國防部負責規劃民營機構分組交通部負責規劃小計總計-31-二二、推動經費來源需求規劃建議推動經費來源需求規劃建議項目項目規劃案規劃案技術服務與綜合業務中心技術服務與綜合業務中心技術支援技術支援訓練推廣訓練推廣技術研發技術研發綜合業務綜合業務人力37人15人2人10人10人經費需求(仟元)80,00035,00045,000小計80,00

26、035,00045,000(一)、技術服務與綜合業務中心經費需求及來源技術服務與綜合業務中心經費需求及來源註：技術服務與綜合業務中心預算技術服務與綜合業務中心預算(8仟萬元)來源來源，擬請經濟部技術處由科技專案計擬請經濟部技術處由科技專案計畫項下檢討勻支畫項下檢討勻支。(二)、技術服務與綜合業務中心細部規劃技術服務與綜合業務中心細部規劃各相關工作組提送工作計畫書各相關工作組提送工作計畫書提提出預算需求出預算需求1.可由原有單位預算自行檢討支應可由原有單位預算自行檢討支應。2.需呈報另行籌措來源。-32-三、主要工作預定時程第一階段第二階段89.990.191.192.193.193.12資通安

27、全通報體系(89.12.月已完成通報體系建立)國家資通安全會報組織(已於90.1.月報院後編成)國家資通安全應變中心(已於90.1.月報院後編成)資通技術研發策略規劃及系統弱點評估(預計90.7.月前完成)認證、保證、信息分享體系完成政府(PKI)基礎建設(配合電子化政府完成CA認證機制)完成基本防護體系(目標：危害層面限於局部)入侵偵防及緊急應變計畫認證、保證、信息分享及通報體系之檢討及修正各工作組提出第一階段執行工作計劃(預計90.2.15月前完成)技術服務與綜合業務工作組提出資通規劃細部報告(預計90.3.月前完成)完成主動偵測及有效預防之整體防護體系(目標：有效遏止潛在威脅可能發動之攻

28、擊、入侵或破壞行動)-33-四、重要措施時程(範例格式)重要措施重要措施完成期限完成期限主辦機關主辦機關一、檢討及增修網路犯罪相關法規二、籌組資通安全技術服務團三、建置資通安全技術網站四、訂定資通安全技術標準、檢測技術、驗證方法及認證程序五、檢討修訂資通安全作業規範六、研擬資通安全相關防範措施七、籌組資通安全稽核服務團八、建置資通安全宣導網站九、編訂資通安全基本作業手冊十、建置資通安全危機通報網站九十年六月底九十年六月底九十年六月底九十年六月底九十年六月底九十年六月底九十年六月底九十年六月底九十年六月底九十年六月底法務部國防部國防部經濟部標準檢驗局、交通部電信總局、國防部通資局、財政部金融局研考會國科會科資中心、國防部通資局主計處電子中心主計處電子中心主計處電子中心主計處電子中心-34-