專　輯

30 ◆ 2008.7.16 第47卷第1期 275

從資安看如何防止公務機密資料外洩

壹

前言

　　近年來，隨著間諜軟體、木馬程式、釣

魚網站等惡意攻擊日漸猖獗，世界各地傳出

多起嚴重的資料外洩事件，當然台灣也不能

倖免。外洩的資料包羅萬象，而其中最主要

的內容是個人資料。資料外洩的起因不僅止

於駭客所發動的各種資安攻擊，另外還有最

令機關防不勝防的內賊。只要有心，要在機

關內部竊取資料很容易，從辦公桌上亂放的

機密文件、電子郵件、即時通軟體、網路硬

碟、隨身碟，都可當作工具，如果機關沒有

危機意識，採取防範措施，資料外洩在所難

免。

貳

各種公務資料外洩實例

　　政府資訊公開法雖規範政府資訊（指

政府機關於職權範圍內作成或取得而存在於

文書、圖畫、照片、磁碟、磁帶、光碟片、

微縮片、積體電路晶片等媒介物及其他得以

讀、看、聽或以技術、輔助方法理解之任何

紀錄內之訊息）以主動公開為原則，並應適

時為之。但該法第18條亦說明限制公開或

不予提供之政府資訊，所以不是所有的公務

資訊都適宜公開。同時依據公務員服務法第

四條，公務員有絕對保守政府機關機密之義

務，對於機密事件，無論是否主管事務，均

不得外洩。但是從1980年代有個人電腦開機

型病毒開始，1990年網際網路普及之後，就

常發生電腦病毒、病蟲感染等資安問題。公

務機密資料的外洩，更因為資訊技術及網路

普及而更形嚴重。

　　今（97）年06中旬發生國中基測全國18

個考區、31萬考生的個人資料及分數外洩，

基測成績還沒寄發到各學校，就已有部分學

生收到補習班招生的傳單信函。外洩的原因

懷疑和基測電腦處理作業的公司有關。同樣

的考生資料外洩事件亦發生在94年3月，當

時才十九歲的建中畢業生蘇柏榕是一名電腦

奇才，他從國中開始就先後入侵大考中心和

國中基測中心的電腦資料庫，偷走部分考生

的資料後轉賣給補習班招攬學生。這名蘇姓

男子同時也是92年3月間，在總統府全球資

訊網首頁，貼上總統府指定4月1日愚人節為

國定假日。後來更利用學術網站作為掩護，

陳邦正 行政院人事行政局資訊室主任

2008.7.16 第47卷第1期 275 ◆ 31

專　

輯

侵入中華電信公司等知名網站，非法取得多

達上千萬筆的會員資料販售圖利。

　　今年6月報載，南部某縣2萬多人的公教

人員資料，只要上Google鍵入關鍵字就可以

找到姓名、服務機關、身分證號、職稱。另

外，今年4月24日女子熊世芬涉嫌組成犯罪

集團，以詐騙或買通等手法，從內政部入出

國移民署、台北縣市警察局、中央健保局等

單位盜取上萬筆民眾個資，再轉賣給徵信社

作為討債、抓姦等，不法獲利近億元。所以

像徐姓女藝人患胃癌，某週刊取得資料搶先

報導，不只知道她在哪一家醫院，連病史都

一清二楚，就是公務資料外洩。前兩年，台

中市長胡志強在競選期間，病歷資料曝光，

也是資料外洩的結果。去年4月國內傳出警

用電腦因安裝P2P分享軟體Fox y，造成多項

筆錄資料外洩，民眾利用P2P分享軟體，輸

入「筆錄」等關鍵字，就可搜尋並下載警方

電腦中的筆錄資料。這些資料除詳細記述案

件內容外，就連當事人的個人資料都一併露

出。

　　某市政府衛生局教育科股長，於88至92

年間，利用職務下載國民健康局產婦及新生

兒資料（出生醫院、時間、產婦、身分證字

號、出生日期、地址、電話），44萬3690

筆。以每筆15至32元，賣給10餘家嬰幼兒

產品廠商，獲取不法利益3951萬元。（最後

被以貪污治罪條例第6條第1項第4、5款（主

管監督業務圖利）、刑法第132條第1項（公

務員洩漏國防以外機密）、電腦處理個人資

料保護法第34條（對個人資料檔案為非法

輸出、變更）、電腦處理個人資料保護法第

35條（公務員利用職務犯罪，加重處分）起

訴）

參

造成公務資料外洩的原因

　　會造成這些公務資料外洩，除了使用

私人電腦處理公務、電腦知識不足、使用不

明軟體等人為疏忽之外，問題都出在駭客身

上。為何駭客會對公務資料有興趣，最主要

原因在這些公務資料在資訊安全的定義中是

一種可以變賣的資產。資訊資產的範圍包括

資訊紀錄（資料、資料庫、資料檔、系統規

劃與設計文件、使用與操作手冊、內部控制

作業要點）、電腦系統（電腦作業系統、應

用系統、開發工具、服務、電力服務、空調

服務）、人員（資訊系統開發與維護人員、

系統管理人員、資訊與設備擁有者、資訊/

文件製作人員）、實體（工作區、員工辦公

區、主機控制室、機房、機器設備、電腦、

通訊設備）等五種，它們每一項可以用財務

的角度來評評估它的價值，駭客經由各種手

段取得這些資產後，可以變賣獲利，這也就

是為何資訊安全事件會層出不窮的原因，最

後的目的就是竊取公務機密資料。

　　資安事件的起因都是有意或無戒備中被

植入病毒、蠕蟲、木馬程式、間諜程式、側

錄程式、惡作劇程式這幾種惡意程式。然後

他們透過垃圾郵件、釣魚網站、社交工程、

P2P、影音網站、Sql Injection、關鍵字廣

告、漏洞、即時通、病毒下載程式等入侵手

專　輯

32 ◆ 2008.7.16 第47卷第1期 275

段，來進行阻斷式攻擊、殭屍電腦、零時差

攻擊、網站綁架、緩衝區溢位攻擊、密碼攻

擊、竊聽、截奪、重送攻擊等攻擊。

肆

如何防止公務機密資料外洩

　　公務員洩露公務機密，可能涉及的責

任，在刑事責任上，包括：刑法第一百零

九條洩漏國防秘密罪、第一百三十二條洩

漏國防以外之秘密罪;國家機密保護法第五

章罰則各條規定;國家安全法第二條禁止為

外國或大陸刺探、蒐集、交付、傳遞秘密

文書之規定;電腦處理個人資料保護法第五

章罰則各條規定。在民事責任上，包括，民

法：公務員如因故意或過失洩密職務上保密

之秘密，致使第三人權利受到損害，依民法

第一百八十六條規定，公務員之侵權行為責

任第三人得請求公務員賠償其損害。在行政

責任上，包括，依公務員懲戒法第二條規定

的移付懲戒，亦得依公務員考績法予以行政

懲處。在行政懲處上，依公務人員考績法第

十二條第三項第二款規定，略以：「..洩漏

職務上機密，致政府遭受重大損害，有確實

證據者。」得一次記二大過免職。所以公務

員對公務資料之處理需審慎以對。針對前面

所提的惡意程式、入侵手段和攻擊方式，如

果我們把各種的入侵手段加以阻擋，雖然不

能完全阻絕，但絕大多數的惡意程式將無法

植入您的電腦，駭客也將無法進行攻擊，公

務資料將不致於外洩。防範的方式可以區分

為機關或個人兩個層次。

　　在個人或家庭方面，至少要做到下列各

項：

　　■ 要有資訊安全是大家的事的認知，不

會只是資訊人員的事。

　　■ 減少接觸不當資訊管道，不隨意下載

或複製不明檔案。

　　■ 減少上網做線上交易等機密活動，

不輕易在網路留下身分證號、信用卡

號。

　　■ 機密資料要審慎保護：重要資料要備

份、桌面要清潔、螢幕保持淨空、機

密文件上鎖、重要檔案要加密、減少

檔案分享。

　　■ 電子郵件會攜帶病毒和木馬程式等惡

意程式，不要轉寄郵件、取消郵件預

覽、不明人士寄的附件檔立即刪除、

使用垃圾郵件篩選功能、不回應垃圾

郵件、使用防毒軟體。

　　■ 不隨便下載不明程式或在不明網站上

閒逛。

　　■ 定期檢查防毒或防火牆軟體，並且隨

時更新病毒碼。

　　在機關方面：

　　■ 政策面：需宣示對資訊安全的重視和

貫徹，主管需先確定機密資料的範圍

有哪些，像人事資料、都市計畫、戶

籍、車籍、底價、招標規格等都是公

務機密資料，需訂出如何控管這些機

密資料的步驟。針對像隨身碟、電子

郵件、即時通、點對點軟體、數位相

機攝影機、m p3、印表機、報表等資

2008.7.16 第47卷第1期 275 ◆ 33

專　

輯

料外洩的管道也要加以管制，控管對

外傳輸內容並限制無線網路通訊。

　　■ 防護專案：需訂出政策、教育、條

款等事前預防措施。資料要分級、標

示，並做到事後偵測、處理、稽核。

　　■ 導入資訊安全管理系統：依據行政

院國家資通安全會報94年5月20日訂

定之「資訊安全責任等級分級作業施

行計畫」，不同資安等級之機關，分

別在96或97年需導入資訊安全管理

系統(ISMS，Information Security

Management System)並完成第三者

認證(取得ISO 27001)。ISMS是一套

有系統地分析和管理企業資訊資產、

風險分析的方法，是企業整體管理系

統的一部份。如同IS O9000是品質管

制、ISO14001是環境管理、HACCP是

食品、ISO16949是汽車業的國際標準

一樣，資訊安全管理系統之驗證標準

是ISO27001。ISO27001使用美國戴明

博士推動的PDCA (Plan,Do, Check,

A c t)管理循環，共包括11大管理要

項、39個控制目標、133個控制方

法。依據風險管理的方法加以制訂，

進而用以建立、執行、操作、監控、

審查、維護與改進組織的資訊安全。

利用資產盤點將企業內的每一種資產

依據它的威脅、脆弱點、衝擊，算出

風險值和風險等級，對於無法承受的

高風險就用133個控制方法來改善，

直到它能降到可接受的風險值為止。

當然，我們會對核心業務做業務持續

運作計畫(BCP, Business Continu-

ity Plan)的演練，以確保在天災等

意外狀況發生時，企業仍能正常運

作。另外，透過績效指標來評估確保

有落實資訊安全工作，這些KPI(K e y

Performance Index)是利用四階文件

中的表單、紀錄來彙整統計。

伍

結語

　　公務資料外洩造成的後果，對機關企業

而言，包括形象受損、內部系統癱瘓、業務

受影響（客戶流失、退出市場）。對個人的

影響，包括個人銀行帳戶被盜，個人身分資

料被被竊，資料被竊後可能被申請人頭帳戶

或者向地下錢莊借錢，帳戶亦可能被盜用，

作為人頭帳戶。惟有每個公務員具有堅守公

務機密安全之警覺與紀律，才能確保公務資

料安全維護。