政府禁用中国资讯产品，资安处拟明确原则与禁用清单

随着全球对中国资讯产品潜在资安问题的疑虑逐渐增高，政府机关禁用中国资讯产品的作法将有更明确的规范，行政院资安处最晚将于1月底前公布政府机关使用陆资产品的处理原则，并于3月底前公布陆资产品管制清单。受规范者为资通安全管理法规范的政府机关与关键基础设施及其服务提供者，目前此规范不涉及一般民营企业。

行政院资安处处长简宏伟表示，政府的立场就是资安等同国安，而国安没有灰色地带，因此对于涉及国家敏感性系统或服务的采购，政府采购法已明文规范可排除陆资产品，以确保国家安全。随着陆资产品的资安疑虑升高，因应国安会的要求，行政院资安处最晚将在1月31日公布“各机关使用陆资产品处理原则”，并于3月30日前公布受规范的陆资品牌产品清单，且持续更新这份中国产品禁用清单。

简宏伟指出，目前行政院所规范的陆资产品，包括软件资产、资通讯设备、便携式设备，以及资讯系统的开发、维运和维护与云端服务等，只要负责设计、制造，甚至是提供的产品服务是陆资企业，都在该处理原则的规范之中。

他进一步表示，由于产业变化会影响对于产品的认定，因此资安处将持续更新中国禁用产品清单。例如，原本是台资企业，透过公开市场的股权交易、市场企业并购等方式，也有可能变成陆资企业；又或是因为商业决策的改变，即便是不在禁用清单中的外国厂牌，都有可能随时把客服中心设在中国，而使其产品存在资安隐忧，因此这份中国禁用产品清单必须持续更新。

简宏伟表示，政府将采取阶段性作法，而不会断然要求政府机关单位立刻汰换所有中国产品。第一阶段将要求各个机关盘点相关的软硬件产品和服务，查明是否有陆资产品，如果已经到了汰换期限，就直接汰换；若距离汰换年限还有一段时间，机关必须明定汰换期限，并且规范陆资产品不可以介接机关重要敏感的环境和系统。

简宏伟表示，如果采购陆资产品有其业务上的必要性，则需要具体记载原因与采购清单，并规定专人负责、规定专门应用的区域范围，不得与公务系统相连接。

简宏伟强调，陆资产品处理原则是针对公务机关组织，而非针对个人。公务人员的私人的手机仍有自由选择产品的个人自由，但是公务用手机绝不能采购陆资产品，而公务人员的私人手机若在明列的禁用中国产品清单中，则不可连接公务机关的内网。目前公务机关对于私人手机连结内网，皆采列管与限定Mac Address等连网权限控管。

对于日前美国联邦政府基于资安考量禁用中国网络摄影机，简宏伟表示，对政府而言确实是很大的资安风险，这类产品会纳入评估，若确定有资安风险，会要求资安法适用机关逐步汰换陆资产品，并避免陆资品牌的网络监控系统与公务系统连结，以确保重要机敏资料的安全性。

虽然政府祭出的管制措施目前只针对“资安法”适用的公务机关以及关键基础设施业者，但简宏伟认为，陆资品牌的无人机与智慧音箱等物联网装置，因为价格便宜逐渐取得广大的市占率，对于资安亦是一大隐忧。

他表示，无人机的影像若被暗中取得，则可以作为情资侦查之用；而随处可见的智慧音箱，当数量够庞大时，串联成一个内部网域，就成为庞大的情搜网。之前国外就有报导，智慧音箱可以录下命案现场的片段，倘若陆资品牌的智慧音箱刻意安装后门程式，偷偷录音，要做任何资料搜集、控制，更是轻而易举。此外，中国政府对于网络言论的过滤，是否也会在智慧音箱产品发生，也是值得注意的。

简宏伟表示，一般民众较缺乏资安风险概念，往往因为物美价廉、性价比高而选择陆资产品，对于中国物联网产品的高市占率及高渗透率所带来的潜在威胁，对未来将积极对一般民众宣导。

目前NCC已经有规定，电信业者的骨干网络设备禁用陆资产品，工程会也有函示，政府采购若涉及敏感国安议题的采购，可以排除陆资产品；而投审会在审查来台投资的陆资企业时，也已经明定不得承包政府专案等规范。