【全面盘点国家级资安情报力：科技部打造SP-ISAC】主动通知会员威胁情资，吸引大量业者加入
科学园区示意图（图片来源／维基百科）
台湾有三个重要的科学园区，都由科技部各个科学园区管理局负责，而在资通安全管理法中，沿用国土安全办公室的关键基础设施类别，将科学园区列为主要的关键基础设施服务业者，依法需打造资讯资安分享与分析中心（ISAC）。
科技部资讯处处长薛大勇指出，台湾各个科学园区有许多全球重要的关键产业业者，一旦爆发重大资安事件，可能影响国家经济发展。
因此，科技部虽然只将科技园区管理局列为关键基础设施服务提供者（CI），但该局打造的SP-ISAC，相较于其他关键基础设施业者的不同，就是吸纳大量企业加入。“光是2019年第一季，加入SP-ISAC的业者就超过九百间。”他说。
| 科技部资讯处处长薛大勇表示，将科技园区管理局列为关键基础设施服务提供者（CI），可保护园区厂商的资安，降低对业者带来的损害。 （摄影／洪政伟） |
分享攻击情资有成，吸引园区业者主动要求加入
薛大勇表示，行政院针对八大关键基础设施业者，要求成立ISAC（资讯资安分享与分析中心），彼此资安能联防，交换情资并掌握最新的攻击手法。
其中，因为科学园区有许多民间企业，但这些业者当中，有些公司并不重视资安，宁可将大笔资金投资在研发项目，却不投资在资安项目。因此，这些民间企业若加入SP-ISAC成为会员，即可享受到八大关键基础设施业者打造的ISAC联防，获得互相通知、分享最新的资安攻击手法，借此保护园区厂商资讯安全，降低损害。
他坦言，SP-ISAC面对加入会员的厂商时，因为这些业者都不在资安法的管辖范围，因此，并无法产生强制的约束力，相对而言，许多园区厂商的主管机关是经济部，除非有爆发重大资安事件，才可能借由主管机关的力量，要求做相关的行政检查外，实际上，科学园区管理局对相关业者毫无强制力。
虽说科技部对于园区厂商没有任何的约束力，但是，因为SP-ISAC努力主动分享攻击情资有成，反而吸引多数园区业者主动要求加入。
目前，园区管理局都会针对监测负责范围的油、水、电、交通、电压，其他还有包括不断电系统、备油和通关系统等，因此，要在园区设厂，都须符合设管条例程序规定，才能进驻园区，薛大勇指出，只要业者能进驻园区，皆可加入SP-ISAC。其中，竹科、中科和南科共进驻679家业者，与科学管理园区共用系统，后来开放周边业者加入SP-ISAC，到今年四月底已突破九百家，推出的教育训练课程供不应求，2018年只有6场，2019年增加为12场。
SP-ISAC在2017年12月由南科试营运，2018年12月推广到中科和竹科；咨询服务在2018年有两百多次，但2019年第一季有150次以上。薛大勇指出，科技部在7月完成CERT平台建置，2020年底完成二线SOC平台建置，未来，将规划会员付费，以点数鼓励匿名回馈情资，针对付费会员提供网域监测服务。
相关报导 打造国家级资安情报力
