【资安周报第50期】台湾应师法以色列资安新创精神，投入2千万创造2千亿的产值

之前，新加坡总理李显龙以总理的高度，对外公开新加坡国家级的资安战略，对于台湾而言，具有振聋发聩的效果。不过，新加坡的资安战略，背后学习的对象其实就以色列，新加坡政府就找来以色列智慧情报组织8200的退役少将Yitzhak Ben Yisrael来主导新加坡的资安战略，而Yitzhak Ben Yisrael本身，也曾多次获得以色列颁赠的国防贡献勋章。

若进一步研究以色列的资安发展策略，可以清楚看到，以色列政府除了会设定清楚的政策方向外，也会思考每一个发展环节的配套措施，更重要的是，会制定明确且合理的KPI（关键绩效指标）作为评量政策成效的标准。

例如，以色列在规划2009年～2014年的以色列5年国防资安产业计划时，很清楚的KPI就是，在计划的第一年年底，要发展出6家资安新创公司。“6家资安新创公司”就是一个具体可行的数字，不会像是一些台湾政府专案委外的执行单位，会制定一些很可笑的KPI虚应了事，像是多少人参加研讨会、问卷回收多少、补助款发放多少、多少受补助企业顺利结案等指标，因为这些指标只是让委外单位可以结案，对于整个专案的发展根本没有实质的效益。

以色列政府先发展国防工业，确保国土安全

以色列的资安政策推动并非一蹴可及，而是经过长久的时间演变、酝酿和发展，才有这样的成绩。

刚开始，以色列在意的其实是国家安全，原因很简单，因为以色列周遭强敌环伺，尤其是，以阿冲突持续多年，到后来，甚至有许多邻国，会开始发射10公里～20公里射程的短程导弹到加沙地带，每年发射的导弹大约有2千颗，让以阿冲突持续扩大，以色列也视为主要的国家威胁。

以色列政府为了保护国家安全，也展开多层次导弹防御与防空体系（Multi-Layered Air and Missile Defense）计划，从2007年开始，以色列的国防工业公司拉斐尔先进防御体系公司（RAFAEL Advanced Defense System）就开始研发出“铁穹”防御系统，可以侦测、追踪、拦截对以色列带来威胁的短程导弹，有效射程达4公里～70公里，拦截成功率到后来高达9成。

既然导弹无法有效带来伤害，所以，后来就出现许多自杀炸弹客，以人肉炸弹的模式，对以色列带来点状的攻击。为了降低这种自杀炸弹客带来的伤害，以色列政府就必须要能够清楚掌握出入以色列国境的人，到底有没有哪些是危险份子？哪些人有和恐怖组织的人员联系？哪些人其实不会对以色列带来威胁等等。

也因此，只要有人进入以色列边境，该国军方单位除了扫描护照资讯外，也透过各种生物辨识机制，自动侦测并且记录每一位入境以色列民众的脸孔，如果有租车、开车或手机或网络相关的通联资讯，就会把人脸和车牌以及手机号码与讯号等，做完整的连结。

有这样的资讯串连之后，以色列政府就可以针对有危险疑虑的入境民众做追踪，例如，曾经和恐怖组织有互动甚至进行通联记录的民众，就具有较高的风险，以色列政府就会做事先的追踪预防，避免发生自杀炸弹的恐怖攻击事件后，再来善后，往往于事无补。也因为有这样的资讯串连和持续追踪，近年来，以色列也已经鲜少发生类似的自杀炸弹攻击事件。

这样的侦测追查技术也变成以色列政府的强项，但是，随着这样的实体恐怖攻击事件发生比较变少，反倒是网络上的各种攻击行为大增的同时，以色列政府也意识到国家政策转型的迫切性。

也就是说，过往以色列透过反恐方式来强化国防产业，但是，当实体的威胁和敌人变少了，全部都隐身在诡谲多变的网络空间时，以色列政府为了要在网络领域上，也能占有一席之地，也有计划的筹画资讯安全产业与国防产业结合的发展策略，透过完善的政策方向、配套措施和资源投入以及人才育成等，也让以色列成为资安创新的佼佼者，甚至于，现在有许多知名的资安大厂，例如Check Point或者是Palo Alto Networks等，都是来自以色列的知名资安业者。

制定5年国防资安产业计划，先慎始才能善终

台湾本土资安业者艾斯酷博（Xecure Lab）在2013年美国举办的资安盛会黑帽大会（BlackHat）中，一场剖析中国APT骇客LStudio完整后台运作方式的演讲，吸引美国那斯达克上市的以色列公司Verint（威瑞特）产品管理兼投资副总裁的注意，也成功让本土资安业者透过并购，摇身一变成为以色列资安公司在台湾的子公司。

艾斯酷博共同创办人也是现任台湾威瑞特总经理吴明蔚，也透过以色列的通路，将自己的研究成果卖到全世界，并且开始学习以色列人的做生意模式，并且深入了解以色列这个国家怎么推动资安产业，迄今也将近1千天。在这个过程中，吴明蔚对于以色列政府如何透过政策面协助以色列资安业者发展茁壮，有很深刻的感触。

包括台湾在内，对于政策大多会有3年～5年的中长期计划，以色列从2009年决心发展国家的资讯安全产业发展时，第一步就是规划2009年～2014年的5年国防资安产业计划，最让吴明蔚印象深刻的是，以色列政府在规划期间就下足了功夫，花半年以上，也砸2千万元，进行各种大规模的访谈和研究，目的就是要汇整各界的建言，找出以色列未来5年的国防资安产业发展可作为参考依据的长期计划。

以色列的苦心没有白费，最关键的政策就是，成立隶属以色列总理的国家资安大战略指导中心，分别成立偏重发展以色列资安新创产业的国家网络局（Israel National Cyber Bureau，INCB），负责以色列网络大小事务，包括法规、学术机构、商业贸易等，并且负责把以色列透过军事训练培养出来好的资安人才，例如8200情报单位的资安专家，以及学术资源和产业资源进行串连整合；另外，也同时成立作为资安监管机构的国家网络监管局（Isreal National Cyber Authority，INCA），就是负责法规制定、推动和执行。

一路看着以色列政府对于国防资安产业的发展策略的制定和推动，吴明蔚认为，以色列在制定国家政策时，不是只是把计划当成装饰品，目的就是要让这个计划一定要成功，就得让这样的产业可以兼顾国家的资安需求，也能带动一整个资安产业的生态发展，“唯有资安这个产业可以获利、赚钱，才会有更多优秀人才愿意投入这样的领域。”他说。

吴明蔚指出，成立两个专责机构是政策推动的根本，结合各种新兴技术与资安的整合，并且在城市做实际的技术应用，也成立资安科技园区并且有好的整合，更重要的是，也和以色列最顶尖的6间大学合作，进行产学合作和创新研发。他认为，从这样国防资安产业政策推动的过程可以看出来，以色列透过政策推动和知识累积创新，让资安成为以色列最珍贵的宝藏之一。

要检视政策成效，一定要有适当的评量标准，以色列政府设定第一年的KPI很简单，就是到年底要发展出6间资安新创公司。

吴明蔚指出，第一年6间资安新创公司看起来很少，台湾政府执行类似政策时，说不定还是设定一个看起来更漂亮的数字。但他认为，第一年的6间资安新创是找出一个可行的模式，如果方式可行，之后就可以顺利复制。关键永远不在，到底第一年要培养多少间资安新创公司才对，而是，如果作为政策的先锋测试，要怎么让这样的计划执行是成功且可被复制的。

也因为以色列政府国防资安产业政策制定得宜，加上有完善的配套措施，以及适当的评量指标，即便第一年只要成立6间资安公司就好，但是，到2011年就相继成立超过165间资安公司，更重要的意义在于，也吸引了230间国际以及以色列的创投公司投资这些资安公司，到目前为止，每一年都有40多间资安公司成立，迄今的资安公司也高达250间。

以色列国防资安产业5年计划结束在2014年结束，要评估相关的绩效，官方统计，以色列资安产业对外汇累积的产值高达2千亿元；到2015年以色列资安出口的外汇则超过370亿元，和2014年相比，更成长更将近40％。

他认为，以色列政府刚开始，花2千万元做国家政策规划，但最后，却可以有2千亿元的产值产出，这样的投资不仅划算，才是台湾政府在做相关政策规划时，应该真正了解的方向。

台湾仿效以色列制定资安政策，东施效颦又何妨

好的专案政策研究，绝对不是把委外案随便用个几百万元，发包给资策会或软协、银行工会等公协会或研究单位得标后，然后再由这些得标单位，去做一些由产业自己填答的问卷需求，或再另外发包给学校研究单位做研究充数。

当然，政府的政策推动也不应该是，由某个得标单位带着台湾资安业者出国参展、发名片，回来主办单位写洋洋洒洒写一份参展报告搭配精美照片之后，却没有意识到，这样的参展计划，其实对参展业者并没有带来任何实质的生意收入，但是，政策执行单位还自以为参展成效良好。

更糟糕的是，台湾的政策执行更多时候多沦为“补助案”，为了雨露均霑，政策执行者怕被说偏袒某个行业，也怕资源分配太少，会让没有分到的业者抱怨，在动辄得咎的情况下，这种齐头式评等的分配补助款方式，就是最安全的政策执行方式。但从过往的经验也可以发现，只要一个政府政策编列的预算，7成都是经济部的补助时，几乎都可以视为补助案，对于产业的真正提升，几乎很难有具体成效。

如果新加坡政府聘请以色列资安专家有效，可以让新加坡有一个真正国家层级的网络安全战略出炉，台湾东施效颦又有何不可！台湾政府也可以同样聘任真正对以色列资安政策了解的专家，细细的厘清产业的发展和真实的产业现况，找出国家真正的资安需求和产业可以发挥的技术专长，相信，台湾也有机会，在未来5年，同样创造出可以成立多家资安公司，并且有好的产值的资安产业生态圈。

关于以色列的资安政策推动和资安产业观察，预计在11月底出刊的“iThome资安专刊秋冬合刊号”中，也将有更完整的报导。

以色列为了推动国防资安产业5年计划，关键之一就是成立了以色列国家网络局（Israel National Cyber Bureau，INCB），负责以色列网络大小事务，并把以色列透过军事训练培养出来好的资安人才，例如8200情报单位的资安专家，以及学术资源和产业资源进行串连整合。