資訊安全觀念與案例概述

1、公務(wù)機密資訊保護與案例概述,,前言,資訊科技與網(wǎng)際網(wǎng)路的興起為我們的生活帶來許多便利性,但也開始引發(fā)一些相關(guān)的資安議題，特別是有意或無意間利用網(wǎng)路時所產(chǎn)生的安全疑慮。資訊安全之維護不只在建立防火牆或是購置硬體設(shè)備，包括使用者也應(yīng)該具備相關(guān)的網(wǎng)路資訊安全之相關(guān)概念。資訊科技與網(wǎng)際網(wǎng)路就像是一部汽車，需要大家遵守交通規(guī)則(資訊相關(guān)法律) ，才能促進生活的便利及安全。,資訊相關(guān)法律之介紹,刑法妨害電腦使用罪章國家機密保護法電腦處理個人

2、資料保護法,刑法妨害電腦使用罪章條文(1/2),第358條 無故入侵電腦罪 無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統(tǒng)之漏洞，而入侵他人之電腦或其相關(guān)設(shè)備者，處3年以下有期徒刑、拘役或科或併科10萬元以下罰金。第359條 無故取得、刪除或變更他人電磁紀錄罪無故取得、刪除或變更他人電腦或其相關(guān)設(shè)備之電磁紀錄，致生損害於公眾或他人者，處5年以下有期徒刑、拘役或科或併科20萬元以下罰金。,刑法妨害電腦使用罪章條文(1

3、/2),第360條 無故干擾電腦系統(tǒng)罪 無故以電腦程式或其他電磁方式干擾他人電腦或其相關(guān)設(shè)備，致生損害於公眾或他人者，處3年以下有期徒刑、拘役或科或併科10萬元以下罰金。第362條 製作程式供犯罪之用 製作專供犯本章之罪之電腦程式，而供自己或他人犯本章之罪，致生損害於公眾或他人者，處5年以下有期徒刑、拘役或科或併科20萬元以下罰金。第361條 對公務(wù)機關(guān)加重其刑第363條 告訴乃論,案例分析(1/3),2004年1

4、0月初，多達400萬會員的天堂網(wǎng)路遊戲服務(wù)驚爆遊戲公司網(wǎng)站疑似遭到駭客攻擊事件，傳出許多玩家的帳號遭盜、寶物遭竊（2004/10/7 民視新聞）。適用法條：刑法第358條刑法第359條,案例分析(2/3),一名大學(xué)肄業(yè)黃姓男子利用網(wǎng)路釣魚（phishing）手法，涉嫌架設(shè)虛假的「中X銀行」的網(wǎng)路銀行網(wǎng)頁，利用相似的網(wǎng)址，以魚目混珠的方式，誘騙兩家網(wǎng)路銀行的客戶誤信點選登入，從而套取其帳號、密碼，再憑此將被害人存款轉(zhuǎn)至人頭帳戶，被害

5、人多達六百多人。適用法條：刑法 偽造準文書罪刑法第359條 無故變更電磁紀錄罪第339-3條 電腦詐欺罪,國家機密保護法內(nèi)容 (1/3),2003年2月6日公發(fā)佈「國家機密」三個構(gòu)成要件為確保國家安全或利益而有保密之必要政府機關(guān)持有或保管之資訊依本法核定機密等級者（絕對機密/極機密/機密)機密之核定與變更應(yīng)注意相關(guān)準備文件、草稿依職權(quán)或申請註銷、解除或變更等級核定國家機密等級時，應(yīng)併予核定其保密期限或解除機密之條

6、件。涉及國家安全情報來源或管道之國家機密應(yīng)永久保密,國家機密保護法內(nèi)容 (2/3),明確標示等級、保密期限或解除機密條件書面授權(quán)原則其他機關(guān)需使用國家機密應(yīng)經(jīng)原核定機關(guān)同意國家機密之收發(fā)、傳遞、使用、持有、保管、複製及移交，應(yīng)依其等級分別管制。(以電子通信工具傳遞者，應(yīng)加裝政府權(quán)責主管機關(guān)核發(fā)或認可之保密裝備或加密技術(shù)。)複製物應(yīng)視同原件，依本法規(guī)定保護。絕對機密不得複製,國家機密保護法內(nèi)容 (3/3),刑罰基本上沿襲刑法

7、規(guī)定方式增加刑法所無之刑罰毀棄、損壞、隱匿國家機密未經(jīng)核準擅自出境或逾越核準地區(qū)擴大對過失犯之處罰「過失洩漏或交付」之行為人不再以公務(wù)員為限毀棄、損壞、隱匿國家機密亦罰及過失緩衝期限規(guī)定本法施行前，依其他法令核定之國家機密，應(yīng)於本法施行後2年內(nèi)，依本法重新核定，其保密期限溯自原先核定之日起算。屆滿2年尚未重新核定者，自屆滿之日起視為解除機密。,案例分析(1/2),有洪姓記者涉嫌於民國89年非法取得國軍漢光演習計畫相關(guān)資

8、料，於勁報第三版撰寫關(guān)於本件「演習課目計劃表」之報導(dǎo)，內(nèi)容包括「演習項目」、「內(nèi)容」、「實施地點」及「方式」等消息，被法院依洩漏國防秘密罪判處有期徒刑一年（92年訴更（一）字第2號判決）。,案例分析(2/2),調(diào)查局公布一起洩漏國防機密案，電訊發(fā)展室莊姓少校因涉嫌將愛國者三型飛彈、天弓及鷹式等飛彈之雷達參數(shù)資料，洩漏給黃姓民間友人而遭拘提。據(jù)了解，該資料已低價轉(zhuǎn)賣中共軍方。此外，部分承包國軍重要武器裝備零組件的製造廠商，將零件轉(zhuǎn)往大陸生

9、產(chǎn)，而後再返臺組裝（蘋果日報2005/5/11）。,國家機密,電腦處理個人資料保護法內(nèi)容(1/5),規(guī)範主體：公務(wù)機關(guān)與非公務(wù)機關(guān)非公務(wù)機關(guān) 徵信業(yè)及以蒐集或電腦處理個人資料為主要業(yè)務(wù)之團體或人、醫(yī)院、學(xué)校、電信業(yè)、金融業(yè)、證券業(yè)、保險業(yè)及大眾傳播業(yè)等八項行業(yè)（個資法第三條第一項第7款）個人資料之定義 自然人之姓名、出生年月日、身分證統(tǒng)一編號、特徵、指紋、婚姻、家庭、教育、職業(yè)健康、病歷、財務(wù)情況社會活動及其他足資識別該個人

10、之資料。,電腦處理個人資料保護法內(nèi)容(2/5),規(guī)範之行為特定目的蒐集、處理與利用保持正確與蒐集目的消失後刪除義務(wù)當事人之個人資料自主權(quán)查詢及請求閱覽請求製給複製本請求補充或更正請求停止電腦處理及利用請求刪除(不得預(yù)先拋棄或以特約限制),電腦處理個人資料保護法內(nèi)容(3/5),得為特定目的外利用之情形法令明文規(guī)定有正當理由而僅供內(nèi)部使用為維護國家安全、增進公共利益為免除當事人之生命、身體、自由或財產(chǎn)上之急迫危險

11、為防止他人權(quán)益之重大危害而有必要為學(xué)術(shù)研究而有必要且無害於當事人之重大利益有利於當事人權(quán)益當事人書面同意,電腦處理個人資料保護法內(nèi)容(4/5),公務(wù)機關(guān)應(yīng)依當事人之請求，就其保有之個人資料檔案，答覆查詢、提供閱覽或製給複製本（個資法第12條）。公務(wù)機關(guān)保有個人資料檔者應(yīng)指定專人依相關(guān)法令辦理安全維護事項（個資法第17條）。,電腦處理個人資料保護法內(nèi)容(5/5),機關(guān)：國家賠償違反規(guī)定致當事人權(quán)益受損時，須負賠償責任（包括財產(chǎn)及

12、非財產(chǎn)上損害賠償）; 責任總額最高為新臺幣二千萬元。公務(wù)員：刑事責任個資法第33條意圖營利違反規(guī)定命令罪或第34條非法輸出、干擾、變更、刪除、妨害正確罪，依個資法第35條規(guī)定，須加重其刑至二分之一。機關(guān)賠償當事人後，仍可向該員求償。,案例分析,臺北地檢署追查高雄市衛(wèi)生局官員涉嫌販售新生兒資料案，發(fā)現(xiàn)有衛(wèi)生局工作之人員，涉嫌長期販售職務(wù)上掌管的孕婦與新生兒資料給王姓嫌犯，對外販售獲利。檢方已依貪污治罪條例將這些公務(wù)人起訴。同案中另

13、發(fā)現(xiàn)屏東縣衛(wèi)生局某官員之妻，疑似利用丈夫職務(wù)之便偷印名冊轉(zhuǎn)寄給王姓主嫌，被依個資法起訴（聯(lián)合報2005/9/15）。,資安事件案例宣導(dǎo),網(wǎng)站涉洩露師生個人資料電腦失竊資料遺失電子郵件帳號遭駭客竊取公事家辦洩密8個警所私灌FOXY 偵查筆錄外洩全臺近千網(wǎng)站被植入惡意程式網(wǎng)路銀行資料遭竊取,網(wǎng)站洩露學(xué)師生個人資料,案由：中部某所知名大學(xué)網(wǎng)站因控管不當，透過Yahoo 、Google 等搜尋引擎，便可直接取得該校助學(xué)貸款學(xué)生名冊

14、，名冊內(nèi)含學(xué)生身份證字號、貸款金額等個人資料，讓學(xué)生資料暴露於危險之中。,網(wǎng)站洩露學(xué)師生個人資料,預(yù)防方式：網(wǎng)站應(yīng)指派專人管理審核內(nèi)容，以避免洩漏學(xué)生、教師個人資料。不適合公開的檔案不可存放在公開之網(wǎng)站上。網(wǎng)站上過期的資料應(yīng)進行檔案刪除、不可只移除超連結(jié)，以免被搜尋引擎取得而被讀取。,電腦失竊資料遺失,案由：南部某國小電腦遭竊，人事教職員資料因存放於電腦中而一並外洩、會計預(yù)算電子檔案亦於電腦中一同遺失。,電腦失竊資料遺失,預(yù)防方

15、式：行政業(yè)務(wù)責料應(yīng)養(yǎng)成備份習慣，避免造成資料永久遺失。筆記型電腦、行動碟等儲存設(shè)備因攜帶方便、容易遺失，應(yīng)設(shè)定密碼保護或資料加密，並儘可能避免存放機密公務(wù)資料，並妥善保管。辦公處所應(yīng)加強門禁管制，設(shè)備遭竊應(yīng)立即向所轄派出所報案。,電子郵件帳號遭駭客竊取,案由：國內(nèi)4 所大學(xué)之郵件伺服器與駭客中繼站建立連線，且特定電子郵件帳號遭登入下載郵件查看，疑似洩漏重要資訊內(nèi)容。,電子郵件帳號遭駭客竊取,預(yù)防方式：應(yīng)注意電子郵件使用安全，勿

16、開啟來路不明之信件，以免被植入後門程式竊取資料。郵件帳號及瀏覽器應(yīng)取消記憶密碼功能，以避免帳號密碼記錄被駭客利用木馬程式竊取。個人電腦應(yīng)安裝防毒軟體，且作業(yè)系統(tǒng)及防毒軟體應(yīng)隨時更新，以避免漏洞產(chǎn)生。電子郵件及相關(guān)系統(tǒng)之登入密碼應(yīng)定期更新。,公事家辦洩密,案由：某中央政府機關(guān)內(nèi)人員習慣將公文之電子檔案，以隨身碟拷貝至家中電腦辦公並儲存。因家中電腦已遭駭客植入後門程式，以致長期大量經(jīng)手之機密文書外洩，又經(jīng)各媒體大幅報導(dǎo)，損害政府機關(guān)

17、形象。,公事家辦洩密,預(yù)防方式：公務(wù)機密資料攜出應(yīng)依程序辦理。（依國家機密保護法規(guī)定：公務(wù)機密資料攜出辦公處所，應(yīng)經(jīng)機關(guān)首長核準）。家中電腦之使用較缺乏定期更新軟體與防毒程式之習慣，應(yīng)妥善設(shè)定自動更新機制，以防範病毒入侵。家中電腦連線上網(wǎng)時通常沒有防火牆保護，應(yīng)加裝個人電腦防火牆，以降低遭入侵之機率。,8 警所私灌FOXY 偵查筆錄外洩,案由：據(jù)電腦犯罪防制中心指出：8 所警察機關(guān)之警員擅自安裝F0XY （檔案下載軟體）於警所電

18、腦中，且不熟悉FOXY 之設(shè)定方式，誤將電腦中所有資料開放予所有人下載，造成警所電腦筆錄責料外洩，警政署怒追究相關(guān)人員的疏失責任。,8 警所私灌FOXY 偵查筆錄外洩,預(yù)防方式：點對點（P2P ）檔案下載軟體因版本與種類繁多，軟體容易被改寫加入木馬或後門程式，故不要安裝P2P 軟體，如Bittorrent ( BT ）、eMule 、FOXY 等，以免造成機密資料外洩；另P2P 下載之檔案也容易含有病毒或是非法之盜版軟體，容易遭到廠

19、商追蹤舉發(fā)而產(chǎn)生訴訟與巨額賠償。,全臺近千網(wǎng)站被植入惡意程式,案由：據(jù)媒體報導(dǎo)：平均每10 個網(wǎng)頁，就有1 個植入惡意程式碼，「拒絕壞程式基金會」（http : / / stopbadware . org ）發(fā)布「全臺近千網(wǎng)站植入惡意程式」訊息，顯示目前網(wǎng)站內(nèi)含惡意程式碼問題嚴重。,全臺近千網(wǎng)站被植入惡意程式,預(yù)防方式：勿瀏覽非公務(wù)用途網(wǎng)站。個人電腦應(yīng)安裝防毒軟體，作業(yè)系統(tǒng)及防毒軟體隨時更新。瀏覽器安全等級應(yīng)設(shè)定為中級或更高等級

20、。勿任意下載或安裝來路不明、有違反法令疑慮（如版權(quán)、智慧財產(chǎn)權(quán)等）的電腦軟體。,網(wǎng)路銀行資料遭竊取,案由：據(jù)科技犯罪防制中心指出：有犯罪集團利用假資料註冊與國內(nèi)知名網(wǎng)路銀行、航空公司等極為類似之網(wǎng)址，再於各大搜尋引擎公司購買關(guān)鍵字廣告，誘使民眾連結(jié)至藏有木馬程式網(wǎng)頁，俟民眾電腦遭植入木馬後再導(dǎo)向正常網(wǎng)站，此時木馬程式已開始進行鍵盤側(cè)錄與竊取檔案，竊取民眾網(wǎng)路銀行帳號密碼，其後再進行轉(zhuǎn)帳盜取，此類損失已達數(shù)千萬元。,網(wǎng)路銀行資料遭竊取

21、,預(yù)防方式：使用搜尋引擎時需特別注意關(guān)鍵字廣告與正牌網(wǎng)站之區(qū)隔。個人電腦應(yīng)安裝防毒與防火牆軟體，祚業(yè)系統(tǒng)及防毒軟體應(yīng)定期更新。避免將個人基本資料於網(wǎng)路上流傳。避免於辦公室瀏覽非公務(wù)網(wǎng)站。,參考資料,教育部資訊安全宣導(dǎo)案例網(wǎng)路文官學(xué)院資訊安全課程 (http://elearning.nat.gov.tw/) 資訊相關(guān)法律簡介資訊安全概論2007全民資安健檢網(wǎng)站(https://www.i-security.tw/nic