限制使用危害國家資通安全產品注意事項

 

 

一、危害國家資通訊產品之定義

• 依數位發展部「各機關對危害國家資通安全產品限制使用原則」，指對國家資通安全具有直接或間接造成危害風險，影響政府運作或社會安定之資通系統或資通服務；如果有特殊原因必須使用，必須經機關資安長及上級機關資安長逐級核可。
• 「資通訊產品」參考數位發展部「資通安全管理法」第3條用詞定義，包含：
  1. 資通系統(軟體)：指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。
  2. 資通服務(廠商)：指與資訊之蒐集、控制、傳輸、儲存、流通、刪除、其他處理、使用或分享相關之服務。
  3. 關鍵基礎設施(硬體)：指實體或虛擬資產，系統或網路其功能一旦停止運作或效能降低，對國家安全、社會公共利益、國民生活或經濟活動有重大影響之虞，經主管機關定期檢視並公告之領域。

 

 

二、依據教育部111年全國大專校院資安長會議規定

• 落實盤點全校務聯網設備，採取適當管控機制，如連線控管、變更預設密碼、修補漏洞等，以強化資安防護作為。
• 透過委外契約或場地租借使用規定，要求對外出租場域不得使用大陸廠牌資通訊廠品(包含軟體、硬體及服務)。
• 落實「國立大專校院資通安全維護作業指引」，私立大專校院得參照辦理，強化資安事件應變機制與相關防護措施。

 

三、依據「第二期高等教育深耕計畫資安強化專章」規劃，需落實管理危害國家資通安全產品

• 禁止公務使用大陸廠牌資通訊產品
• 限制出租場域使用大陸廠牌資通訊產品

 

四、大陸廠牌或陸資業者的資通訊產品限制使用的考量是基於資安風險，前一陣子接連爆發的「華為的後門程式事件」、「海康威視的攝影機事件」，都讓人不得不對於大陸品牌的資通訊產品有資安外洩疑慮。

華為的後門程式事件	海康威視的攝影機事件
諸多報導華為的資訊設備存在後門程式，像是「臉書粉專爆華為路由器回傳數據到中國 NCC竟檢驗合格」、「華為旗下海思晶片被發現有後門，可入侵網路攝影機」明確指出華為的產品有資安疑慮，嚴重可能會危害國家資安。而且在「華為美國高管：陸有能力在所有產品上植入「後門」」報導中可以得知大陸是有能力在陸製產品上植入後門程式，因此我國資安法子法限制各級機關使用大陸廠牌的資通訊產品。	海康威視的監視器設備便宜但不安全，使用許多易於破解的韌體，就像「不必害怕中共政府獨享海康威視監視錄影機的後門，因為全球潰客都進得來啊！」提到搜尋Hikvision Backdoor就能找到一些已知的後門問題，而且不只是海康威視廠方可以用的後門，甚至是完全開放不設防的，任何人都可以隨意取得最高權限，公開出來的歐美被駭入海康威視監視錄影機分佈地圖相當驚人。

 

 

五、危害國家資通訊產品未汰換前，應加強下列資安強化措施

• 強化資安管理措施，例如：設定高強度密碼、禁止遠端維護等。
• 遭資安攻擊導致顯示畫面遭置換，應立即置換靜態畫面或立即關機。
• 不得處理公務事務，亦不得與公務環境介接。

 

提供常見大陸廠牌供參考（包括但不限於)

附件1.111年全國大專校院資安長會議紀錄

附件2.第二期高等教育深耕計畫資安強化專章

 

 

如有任何疑問，可洽圖書資訊處 系統網路組  陳清洋 分機7022