上一頁

 

∼實務新知∼

財政部證券暨期貨管理委員會暨各週邊單位資通安全辦理情形

林豐智(證期會助理設計師)

壹、依 據

一、中華民國八十九年八月卅日總統核定「建立我國通資訊基礎建設安全機制」案。

二、中華民國九十年一月十七日行政院第2718次院會通過「建立我國通資訊基礎建設安全機制計畫」。

三、中華民國九十年四月廿四日行政院資訊通信發展推動小組簽報行政院核定修訂「建立我國通資訊基礎建設安全機制計畫」。

四、中華民國九十一年六月六日行政院院長核定第二次修訂「建立我國通資訊基礎建設安全機制計畫」。

貳、前 言

   隨著現代資訊化社會的來臨,許多大型企業、金融機構、政府機關及各軍事單位都相繼採用電腦資訊化作業,以減少人力、物力、財力之投資與維護,於是許多重要的資料都儲存在電腦中或利用電腦通訊網路來傳遞。然而,這些儲存或傳遞的資料均可能涉及商業機密、個人隱私權,甚至國家安全之機密。因此,要如何防範電腦網路犯罪與危機,並維護資訊系統安全將是政府施政最
迫切的課題。有鑑於此,政府成立我國最高資通安全之組織架構,係於行政院下設立國家資通安全會報,由行政院院長兼任召集人,行政院副院長兼任副召集人,執行長由行政院NII小組總召集人兼任,副執行長二位(分別由總統府國家安全會議派員兼任及行政院主計處電子處理資料中心主任兼任),委員十五員(由相關部會首長及北高市長兼任,並由NII小組負責幕僚作業)。資通安
全會報下設綜合業務組(行政院科技顧問組負責)、標準規範工作組(經濟部負責)、稽核服務工作組(行政院主計處電子處理資料中心負責)、資訊蒐集工作組(行政院國家科學委員會負責)、網路犯罪工作組(法務部負責)、
危機通報工作組(行政院主計處電子處理資料中心負責)、技術服務中心(經濟部負責)等七個分組及一個任務編組-國家資通安全應變中心。資通安全通報體系於平時依行政體制運作外,緊急狀況應變或任務需要時由危機通報工作組(行政院主計處電子處理資料中心)負責籌劃運作,並依需要進駐國家資通安全應變中心,國家資通安全應變中心下設危機通報分組、行政機關分組、學術機構分組、國防體系分組、民營機構分組一、民營機構分組二、民營機構分組三、民營機構分組四等八個分組,分別由主計處、研考會、教育部、國防部、經濟部、交通部、財政部、衛生署等單位擔任各分組召集工作。爰此,本部財稅資料中心於九十年四月十八日邀集本部相關單位召開會議決議,財政部所屬機關應成立「資通安全處理小組」,以因應資通安全事件之處理及緊急通報作業。

參、辦理成果

  本會依據財政部指示,於九十年五月廿二日簽奉 核定本會「資通安全處理小組」,由督導資訊室之專任委員擔任召集人、資訊室主任擔任總幹事,下分安全預防、危機通報及稽核等三個分組,負責辦理本會及監督證券期
貨週邊單位資通安全預防、危機通報、危機處理等事宜,並積極辦理各項資通安全相關事宜,茲將辦理成果摘述如次:

一、貫徹行政院及本部指示,參與各項有關資通安全事宜,並適時函知各證券期貨週邊單位配合辦理,如九十年五月因應中美網路駭客大戰、證券暨期貨民營機構之資通安全通報應辦理事項、行政院國家資通安全會報所屬技術服務中心提供安全漏洞掃瞄服務、行政院國家科學委員會提供資通安全「專題選粹」服務等事宜。另依據國家安全局及其它單位之網路資通安全測試報告,督導相關單位做好資訊系統安全漏洞之修補及防治工作。

二、九十年底完成提昇本會資通安全軟硬體設備作業,如採購主機硬體、防火牆(防毒軟體)及其它安控系統之軟硬體升級作業,以強化本會資通安全防護能量,並因應推陳出新之網路駭客手法。

三、為提昇各證券期貨週邊單位之資通安全防護能量及統一各週邊單位資通安全事件通報流程,本會於九十年五月十八日以(九○)台財證(資)第一三○一二二號函,請各週邊單位成立「資通安全處理小組」(包含織、架構及職掌),確定行政院規定之資通安全等級(『A』級:影響公共安全、社會秩序、人民生命財產。『B』級:系統停頓,業務無法運作。『C』級:業務中斷,影響系統效率。『D』級:業務短暫停頓,可立即修復),及訂定資通安全事件緊急通報流程,迄今證券期貨週邊單位共計通報二次資通安全事件。

四、為瞭解證券期貨週邊單位資通安全辦理情形及因應最新資通安全技術問題,本會於九十年六月十九日起按季定期邀集相關單位召開研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」會議,迄今已召開四次,除檢討各單位資通安全辦理情形外,尚包含各類網路攻擊方式之討論及因應(如資料隱碼「SQL Injection」、DOS「阻斷式服務攻擊」、Nimda病毒、deRed「紅色警戒」病毒)等,成效良好。

五、為瞭解因網際網路交易資通安全事件導致投資人權益受損,是否需建立賠償機制乙事,證基會於九十一年七月十六日完成「網際網路交易因資通安全事件造成投資人權益受損與相關賠償機制之研究報告」,並分送相關單位參考。報告內容陳述台灣證券交易所、櫃檯買賣中心、期貨交易所及集保公司應對投資人負善良管理人之責任(其中陳述資訊使用定型化契約有違反消費者保護法之平等互惠原則之嫌,對消費者顯失公平,契約條款可能無效。),並總結交割結算基金制度已能發揮功能,尚不須另設賠償機制。同時亦提出三項建議,做為未來市場改革方向,如加強證券市場自律(證券商應提負舉證責任)、資通安全事件發生後之處理、證券(期貨)商應加強對投資人之服務等建議。

六、為利本會瞭解各週邊單位資通安全風險,本會於九十年六月廿六日召開之研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」會議紀錄決議,請各單位自行外聘具公信力及查核能力之稽核單位,自九十年下半年起,每半年定期辦理有關資通安全外部稽核作業,並於每年一月、七月底前將稽核結果報會核備,並決議各單位辦理資通安全外部稽核作業時,應依「財政部暨所屬機關資訊安全管理基準(草案)」(本部已於九十一年六月廿四日正式函頒)為規範,迄今已辦理二次,對各週邊單位之資訊安全防護能力頗有助益。同時由於本會主導之證券期貨週邊單位資通安全外部稽核作業,其查核廣度及深度均達一定標準,故獲行政院主計處電子處理資料中心同意,以本會督導各證券期貨週邊單位辦理之資通安全外部稽核報告,代替該中心每年「行政院資通安全稽核服務團」稽核報告,並於每年年底將上述單位資通
安全外稽報告函送該中心彙辦。

七、由於過去曾發生駭客入侵證券商之資通安全事件,其原因主要係網站伺服器IIS系統軟體有漏洞、會員網站置於防火牆外及客戶數位簽章交付程序有瑕疵,讓駭客入侵並盜用客戶帳號及密碼,藉買賣股票而獲取非法利益。為因應證券商網路下單開戶數快速增加及網路犯罪在質與量方面均有提升現象,本會爰於九十年六月廿六日召開之研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」會議決議,請證交所、櫃檯買賣中心及期交所將資通安全項目納入證券商及期貨商之內部控制及內部稽核標準規範,並於每年例行之財務及業務檢查時,將資通安全項目納入檢查,目前證券商部分已由證交所訂定「建立證券商資通安全檢查機制」(計分「資訊處理部門之功能及職責劃分」、「應用系統維護管理」、「電腦系統管理」、「電腦作業管理」、「備援及回復作業」、「網路安全管理」等六大類)及相關檢查表,於九十一年二月廿一日以台證(九一)稽字第○○三五五一號通函各證券商自九十一年四月一日起實施,並將前開項目列入對證券商每年例行查核之檢查項目。

八、為避免類似納莉颱風或九二一地震影響證券期貨市場之正常運作,本會於九十年十月二日以(九○)台財證(資)字第○○五五二○號函請各單位確實執行電腦相關資訊系統及重要資料之當日異地備援,並定期演練緊急應變計畫,以更有效落實及確保證券期貨市場之正常運作與資訊安全,爰請各證券期貨週邊單位提報電腦資訊系統軟硬體備援計畫,並積極規劃建置異地備援系統,目前證券集中交易系統、櫃檯買賣交易系統、期貨交易系統及集中保管系統均已完成異地備援系統之建置。另本會於九十年九月廿五日之研 商證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」九十年度第二次會議紀錄決議,如萬一發生異常,請各單位即時依資通安全通報作業通報本會及國家資通安全應變中心,並副知本部財稅資料中心,目前各證券期貨週邊單位均依決議事項配合辦理中。

九、為提昇證券商、期貨商及證券期貨業界人士之資通安全能力,本會爰請證基會針對上述人員進行教育宣導或開辦有關資通安全方面之訓練課程,該會邀請資訊安全法規、網路安全、電腦病毒防治及電腦稽核方面專家學者,於其例行課程中增開『資訊安全與電腦稽核研習班』(課程主題包括制定資訊安全政策「Security Policy」之實務、資訊風險之評估、資訊作業內控觀念與相關法令規範、國際性標準介紹、電腦稽核相關實務,以及系統入侵之偵測與回應等),獲致各界肯定及熱烈反應,從九十一年四月起陸續開課,迄今已開辦四梯次,一六九人次參加訓練,對提升資訊從業人員之資通安全防護能力頗有助益,未來該會仍將持續增開相關課程。

一○、為因應電子簽章法通過後之證券暨期貨相關法規變革,本會於九十一年一月卅一日召聞之研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」九十一年度第一次會議紀錄決議,請各週邊單位於內部相關會議中提出有關電子簽章法通過後之因應及規劃;並請證基會在相關訓練課程中納入授課範圍。

一一、為避免因限水、限電等問題影響證券期貨市場正常運作,本會於九十一年五月九日召開之研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」九十一年度第二次會議紀錄決議,請各單位對於水、電供應,須事先規劃檢測及訂定緊急應變措施。目前各週邊單位均已完成檢測,可因應連續三十六小時之斷水斷電,並已與消防局取得聯繫,於危急情況下,可以消防車支援用水。

一二、為配合政府推動「保護智慧財產權行動年」活動及避免惡意電腦軟體(如含有木馬程式、電腦病毒等)之使用,本會除加強內部之清查及宣導外,並於九十一年五月九日召開之研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」九十一年度第二次會議決議,請各證券期貨週邊單位注意單位內軟體使用之合法性,並列入各單位資通安全內部稽核查核項目。

一三、為統一各週邊單位辦理資通安全內部稽核作業,並整合資通安全內部及外部稽核作業,本會於九十年九月廿五日召開之研商「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」九十年度第二次會議紀錄決議,各單位應加強交叉追蹤資訊安全內、外稽單位所出具報告內容外,資通安全內部稽核報告內容需依「上次查核問題或重大事件複查追蹤」、「審查資訊部門自行查核」及「稽核業務單位使用電腦情形」項次分列,並應包含「財政部暨所屬機關資訊安全管理基準(草案)」(本部已於九十一年六月廿四日正式函頒)之十一項大項,各單位可檢視各查核項目之重要性,自行訂定查核週期於九十二年度起正式實施。

肆、未來辦理重點

一、目前證券商已採網路認證機制從事網路下單,惟投信基金及期貨商雖有開放網路下單制度,惟尚未有類似認證機制,鑑於加強上述二者之網路交易安全,未來將參酌證券商之網路下單方式,儘速規劃安全之網路交易環境。

二、針對證券期貨週邊單位之重要資訊系統(如資通安全等級A級),持續辦理其資訊系統之主、異地熱備援機制。

三、持續加強辦理證券期貨週邊單位之資通安全內、外部稽核作業。

四、持續召開「證券期貨週邊單位對資通安全危機事件之通報及應變處理作業」會議。

五、持續督導各週邊單位辦理資通安全相關作業,以減少因資通安全影響交易市場、投資人權益等事件發生。


回目錄