CNS27001 A Tips

Transcription

1 91 5 ( ) 98 CNS27001( )

2 CNS27001 A Tips

3 Security Disclosure 01 Monitors 01 Application 01 7 S

4 資 通 安 全 法 律 案 例 宣 導 彙 編 目 錄 Security CNN

5 Disclosure Monitors MP Application CNS A 104

6

7 壹 資 訊 保 護 (Security)

8 資訊保護 一 電腦處理個人資料保護法 醫院可以將員工的健康檢查報告提供給雇主參 考嗎 案號 S 資料來源 法務部 96/01/05 法律決字第 九五 四六二二一號公告 焦點話題 常看到企業與醫院或診所合作提供員工健康檢查的福利 這 個健康檢查的福利 除有法律規定 1 雇主應於就職或在職一定期 間 2 提供健康檢查外 並要求該檢查報告要讓員工知悉 以讓員 工知道自己的身體狀況 通常健康檢查報告都是由醫院直接通 知 並且採取一定程度的保護措施以避免個人健康狀況遭外洩而 影響個人隱私 至於雇主如果想要知道員工的健康檢查狀況 是否必須要經 過員工書面同意後 醫院才可以將檢查結果通知雇主 重點摘要 1. 醫院是屬於 電腦處理個人資料保護法 以下簡稱 個資 法 之適用行業 因此對於個人資料必須謹慎保護確認個 人資料的安全 2. 雇主所依法提供予員工的健康檢查福利 費用由雇主負擔 是否可以要求醫院將員工健康檢查狀況通知雇主是本案爭議 的焦點 3. 至於非雇主提供的健康檢查結果 原則上員工並沒有通知雇 主的義務 法律觀點 醫院是屬於 個資法 所規範適用的行業 3 因此對於個人資

9 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A CNS A

10 資 訊 保 護 一 電 腦 處 理 個 人 資 料 保 護 法 註 釋 :

11 案號 S 資料來源 聯合晚報 97/09/22 焦點話題 資通安全法律案例宣導彙編 購物被詐騙 疑個資遭外洩 65 歲的鄭姓單身老翁 3 個月前透過 某電視購物頻道 買了 一台 46 吋的液晶電視 結果上個月底接到自稱是某購物客服人員 電話 指稱他信用卡扣款有問題 歹徒甚至利用網路越洋電話竄 改 來電顯示 致被害人誤信是銀行人員來電 前前後後共匯款 11 次 歹徒還佯稱是警官登門詐騙 單身且獨居的鄭姓老翁就這樣被詐騙集團耍得團團轉 卻苦 無親友商量 當歹徒再來電要他交出 200 萬元 鄭姓老翁懷疑歹 徒以手機搖控他的行動 於是把歹徒要求他將存款提交 監管帳 戶 一事 寫在提款單上 偷偷地塞給銀行行員時 機靈的行員 馬上要他把手機關掉 並告訴他 你被騙了 鄭姓老翁才驚 覺被騙上當 165 反詐騙專線 指出 上周受理詐騙報案總數為 916 件 其中 購物個資外洩而遭詐騙 的案件即高達 625 件 重點摘要 1. 電視購物頻道雖然目前尚不屬於 電腦處理個人資料保護 法 以下簡稱 個資法 之適用行業 然而對個人資料仍 必須謹慎保護 以確認個人資料的安全 2. 若購物頻道未謹慎保管客戶之個人資料而外洩者 對於客戶 因被詐騙而受損失 仍應負起法律責任 法律觀點 電視購物頻道 目前尚不屬於 個資法 所規範適用的行業 1 亦即不屬所謂對個人資料之蒐集或電腦處理之非公務機關 因此其

12 資 訊 保 護 一 電 腦 處 理 個 人 資 料 保 護 法 , ,000 管 理 Tips 1. CNS A.8.2.2

13 失 毀損或偽造 CNS 附錄 A 應如同相關法令 法規及若適用的契約條文所要求的 確保資 料的保護與隱私 CNS 附錄 A 資通安全法律案例宣導彙編 2. 應依據法令 法規 契約及營運要求 保護重要紀錄 免於遺 註釋 1 電腦處理個人資料保護法第 3 條第一項第 7 款 非公務機關 指前款 以外之左列事業 團體或個人 一 徵信業及以蒐集或電腦處理個人資料為主要業務之團體或個人 二 醫院 學校 電信業 金融業 證券業 保險業及大眾傳播業 三 其他經法務部會同中央目的事業主管機關指定之事業 團體或個 人 2 民法第 184 條 因故意或過失 不法侵害他人之權利者 負損害賠償 責任 故意以背於善良風俗之方法 加損害於他人者亦同 違反保護他人之法律 致生損害於他人者 負賠償責任 但能證明其行 為無過失者 不在此限 3 電腦處理個人資料保護法第 28 條 非公務機關違反本法規定 致當事 人權益受損害者 應負損害賠償責任 但能證明其無故意或過失者 不在此限 依前項規定請求賠償者 適用前條第二項至第五項之規定 4 電腦處理個人資料保護法第 27 條 公務機關違反本法規定 致當事人 權益受損害者 應負損害賠償責任 但損害因天災 事變或其他不可抗 力所致者 不在此限 被害人雖非財產上之損害 亦得請求賠償相當之金額 其名譽被侵害 者 並得請求為回復名譽之適當處分 前二項損害賠償總額 以每人每一事件新臺幣二萬元以上十萬元以下計 算 但能證明其所受之損害額高於該金額者 不在此限 基於同一原因事實應對當事人負損害賠償責任者 其合計最高總額以新 臺幣二千萬元為限 第二項請求權 不得讓與或繼承 但以金額賠償之請求權已依契約承諾 或已起訴者 不在此限

14 資訊保護 一 電腦處理個人資料保護法 分享軟體出包 防外洩 警局要警刪除家中資料 案號 S 資料來源 自由時報 97/09/28 焦點話題 由於以往曾經傳出縣市警察局公文與筆錄等資料 因員警電 腦內安裝了 P2P 1 分享軟體導致外洩情事 警政署最近特別 清查發現 網路上目前還是找得到包括調查筆錄在內的警察機關 公文資料 經查其中北部某警局有 70 餘筆公文資料外洩到網路 上 而經過分析 資料外洩除因感染電腦病毒或木馬程式以外 最可能的原因是員警將辦公室公文資料帶回家裡電腦作業 不慎 經由家裡裝有 BT 2 或 FOXY 等網路分享軟體的電腦外洩 因此 該警局發出通告到轄下的各警分局與刑警大隊等各單 位 要求所有員警將家中電腦內的公文資料全數刪除 如果因作 業需要 務必將備份燒錄到光碟 不能把資料留存在電腦硬碟 裡 以防止資料透過網路外洩 部分基層員警私下透露 因為業 務公文量大 才會把公文資料帶回家處理 在家裡電腦上處理公 文時 會把分享軟體關閉 作業中會隱去重要名稱與文號等資 料 再燒錄成光碟後刪除 免去不必要的困擾 重點摘要 1. 使用網路分享軟體須當心 避免個人資料外洩 2. 對於公務機關造成個人資料外洩 民眾可以依照 電腦處理 個人資料保護法 以下簡稱 個資法 之規定來求償 法律觀點 P2P Peer-To-Peer 分享軟體 是一種可以讓使用者直接連結 到他人的電腦搜尋資料的軟體 目前在網際網路上相當廣泛地被使

15 P2P P2P P2P 17 6 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A CNS A CNS A CNS A

16 資 訊 保 護 一 電 腦 處 理 個 人 資 料 保 護 法 註 釋 : 1 P2P Peer-To-Peer 2 BT Bittorrent P2P BT

17 案號 S 資料來源 中時電子報 97/10/15 焦點話題 資通安全法律案例宣導彙編 私售考生個資 主嫌求刑十年 台中 公司承攬民國 97 年國中基測試務涉嫌販售考生個 資案 高雄地檢署偵結 將涉嫌販售考生個資給補教業與學校牟 利的業者 依背信 詐欺 偽造文書及電腦處理個人資料保護法 等罪嫌起訴 分別求處 10 年與 9 年的有期徒刑 至於涉嫌向 公司購買考生個資的北 中 南八名補教業 者 因犯罪情節比較輕微 在檢方曉以大義下立下悔過書 同意 各繳新台幣 120 萬元給國庫 並切結 240 小時的志工服務同意 書 調派名師為少年監獄或低收入戶的學生輔導功課 但該 緩 起訴 處分的條件仍需高等法院檢察署核定 重點摘要 1. 販賣個人資料 應依 電腦處理個人資料保護法 以下簡 稱 個資法 負擔刑事責任 2. 檢察官求刑原則上並無拘束力 僅具有供法官參考之價值 3. 檢察官為緩起訴處分時 可附加條件要求被告履行 法律觀點 最近在社會上常聽見詐騙集團活躍犯案的消息 而詐騙集團犯 案的手法雖然多樣化 但是目前最為人所知者 也就是先行取得被 害人的個人資料 以取信被害人後 再要求被害人為轉帳或其他交 付款項的動作 所以個人資料的外洩 助長詐騙集團的橫行 也因 此對於個人資料之保護 不僅在於避免人格權受侵害 並促進個人 11

18 資 訊 保 護 一 電 腦 處 理 個 人 資 料 保 護 法 管 理 Tips 1. CNS A CNS A

19 註 釋 : 資 通 安 全 法 律 案 例 宣 導 彙 編 13

20 資訊保護 一 電腦處理個人資料保護法 某市政府網站擺烏龍 民眾個資外洩 案號 S 資料來源 華視 97/11/17 焦點話題 某市政府法規會 也就是主管消費者保護的機關網站 把民 眾申請國賠的資料 全都開放提供檢索 不但個人身分資料全都 查得到 就連就醫紀錄都被張貼在網站上 當市民想申請國賠 而進入某市政府法規會網站時 在全文 檢索中隨意輸入查詢字眼 就會出現一筆筆民眾的案例資料 不 只是文字陳述 就連車禍照片與當事人的就醫紀錄 全都一覽無 疑 還有民眾的身分證就這樣被顯示在網站上 某市市議員質 疑 主管消費者保護的法規會 竟然成了洩漏個人資料的兇手 法規會則表示是外包資訊廠商 忘記把資料加密 才導致民眾的 個資全都露 已經請廠商趕工補救 重點摘要 1. 個人資料的保護還不夠落實 連政府機關也常發生洩漏民眾 個人資料的情形 2. 對於個人資料的保護 雖然有 電腦處理個人資料保護法 以下簡稱 個資法 作為規範 但是徒法不足以自行 仍然需要政府機關與企業及民眾等的支持 法律觀點 最近常常發生個人資料外洩的新聞 除有購物頻道的消費者因 業者外洩個人資料 而遭到詐騙集團鎖定行騙外 政府機關處理 14 民眾的個人資料 也有疏忽的時候 除上面案例所提到的某市政府

21 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A CNS A

22 資訊保護 一 電腦處理個人資料保護法 3. 應建立資訊的處置及儲存程序 以保護此資訊免於未經授權的 揭露或誤用 CNS 附錄 A 應依據法令 法規 契約及營運要求 保護重要紀錄 免於遺 失 毀損或偽造 CNS 附錄 A 應如同相關法令 法規及若適用的契約條文所要求的 確保資 料的保護與隱私 CNS 附錄 A 註釋 1 電腦處理個人資料保護法第 3 條第 6 款 本法用詞定義如左 2 電腦處理個人資料保護法第 17 條 公務機關保有個人資料檔案者 應 六 公務機關 指依法行使公權力之中央或地方機關 指定專人依相關法令辦理安全維護事項 防止個人資料被竊取 竄改 毀損 滅失或洩漏 3 電腦處理個人資料保護法第 27 條 公務機關違反本法規定 致當事人 權益受損害者 應負損害賠償責任 但損害因天災 事變或其他不可抗 力所致者 不在此限 被害人雖非財產上之損害 亦得請求賠償相當之金額 其名譽被侵害 者 並得請求為回復名譽之適當處分 前二項損害賠償總額 以每人每一事件新臺幣二萬元以上十萬元以下計 算 但能證明其所受之損害額高於該金額者 不在此限 基於同一原因事實應對當事人負損害賠償責任者 其合計最高總額以新 臺幣二千萬元為限 第二項請求權 不得讓與或繼承 但以金額賠償之請求權已依契約承諾 或已起訴者 不在此限 4 電腦處理個人資料保護法第 3 條第 3 款 本法用詞定義如左 三 電腦處理 指使用電腦或自動化機器為資料之輸入 儲存 編輯 更正 檢索 刪除 輸出 傳遞或其他處理 16

23 案號 S 資料來源 華視 97/11/25 焦點話題 資通安全法律案例宣導彙編 遏止垃圾郵件 擬修法求償 全台每個月有上百億封垃圾郵件 每人平均一天 100 封 怎 麼刪都刪不完 行政院國家通訊傳播委員會 NCC 日前通過 垃圾郵件取締的管理辦法 只要立法院通過 未來濫發電子郵件 者 每一封可以求償新台幣 500 元至 2, 000 元 一打開電子郵件 相信很多民眾都很困擾 每天面對著上百 封垃圾郵件 一封封地刪 即使刪到手軟 還是擋不了垃圾信件 不斷湧入信箱 根據統計 全台灣平均每位民眾至少有 3 個電子 信箱 初步估計至少每天就會收到 100 封垃圾郵件 行政院國家通訊傳播委員會 NCC 討論通過 濫發商業電 子郵件管理條例草案 未來對濫發電子郵件者將開罰新台幣 500 元至 2,000 元 如果民眾收到 100 封垃圾郵件 以最低罰金 500 元計算 可向寄件者求償 5 萬元 目前台灣垃圾郵件至少有上 百億封 以刪除一封信花 3 秒來計算 每年就浪費 30 小時在處理 垃圾郵件 重點摘要 1. 垃圾郵件內容以色情或暴力居多 對於電腦使用者已經造成 困擾 2. 外國已經有不少國家立有專法 1 可對於發送垃圾郵件之業 者求償 我國法律草案的提出 已追上先進國家的腳步 法律觀點 網際網路的發達除帶來便利 也有一些後遺症 根據台灣網際 17

24 資 訊 保 護 一 電 腦 處 理 個 人 資 料 保 護 法 NCC NCC , 管 理 Tips CNS A

25 應被納入網路服務協議中 不論是此等服務是由內部或委外 所提供 CNS 附錄 A 資通安全法律案例宣導彙編 2. 應識別所有網路服務的安全特徵 服務水準及管理要求 並 註釋 1 根據 濫發商業電子郵件管理條例草案 之立法說明 目前已有美國 日本 澳洲 韓國 新加坡及中國大陸等國家訂定專法規範此類行為 歐洲則要求會員國必須於隱私與電子通訊之相關規定 納入商業電子郵 件之規範 目前已有德國與法國及義大利等國透過相關法令管制 2 濫發商業電子郵件管理條例草案第 7 條第 1 至 4 項 發信人違反第四 條或第五條規定 至收信人受有損害者 負損害賠償責任 收信人雖非財產上之損害 亦得請求賠償相當之金額 前二項損害賠償總額 以每人每封商業電子郵件新台幣五百元以上二千 元以下計算 但能證明其所受損害高於該金額者 不在此限 基於同一原因事實致多數收信人受有損害 其合計最高損害賠償總額以 新台幣二千萬元為限 但因該原因事實所得利益逾新台幣二千萬元者 以該所得利益為限 3 濫發商業電子郵件管理條例草案第 9 條第 1 項前段 公益社團法人或 財團法人對於違反第四條或第五條規定造成損害之事件 得由二十人以 上因同一原因事實受有損害之當事人授與其訴訟實施權後 以自己名 義 提起損害賠償訴訟 4 濫發商業電子郵件管理條例草案第 9 條第 4 項本文 第 5 項 公益社 團法人或財團法人經受害當事人授與其訴訟實施權者 為確認被告身 分 得向電子郵件服務提供者或網際網路接取服務提供者 請求提供發 信人下列資料 被請求之服務提供者無正當理由不得拒絕 前項規定於公益社團法人或財團法人向廣告主或廣告代理商請求提供發 信人資料時 準用之 19

26 資訊保護 一 電腦處理個人資料保護法 冒稱反詐專員 趁機套個資 案號 S 資料來源 聯合報 97/12/25 焦點話題 台東市有民眾接獲自稱刑事局 165 反詐騙專線 的宣導員 企圖誘騙民眾說出自己的個人資料 有人如實說出 有人懷疑求 證 警方證實是詐騙新招 籲請民眾留意 以免受騙 警方表示 台東市有一名黃姓民眾報案 指稱他接獲自稱刑 事局警官 張志宏 的電話 佯稱要宣導新式詐騙手法 對方先 向他宣導一些普遍的詐騙手法 然後開始套問他的個人資料 聲 稱 我們需要有業務資料 證明我確實做過宣導 黃姓民眾覺 得很奇怪 怎麼可能找得到我 卻不知道我的姓名電話 所 以向警方報案 警方表示這是詐騙電話 籲請民眾勿上當 重點摘要 1. 詐騙手段日新月異 警方宣導的 165 反詐騙專線 反而成 為歹徒的行騙藉口 因此民眾應該時時警覺 避免受騙 2. 個人資料的保護 目前有 電腦處理個人資料保護法 以 下簡稱 個資法 作為規範 而可以對非法蒐集個人資料 者 為刑事之追訴與處罰 法律觀點 目前社會上各種詐騙手段日新月異 以往常常可以見到 歹徒 假冒法院人員或檢察官 以民眾帳戶涉及洗錢或詐欺等刑事案件為 由 要求民眾提供帳戶密碼或甚至要求民眾轉帳至指定帳戶 而詐 騙民眾金錢的案例 然而在警方大力宣導之下 這樣的詐騙手段漸 20

27 資 通 安 全 法 律 案 例 宣 導 彙 編

28 資訊保護 一 電腦處理個人資料保護法 管理 Tips 1. 應如同相關法令 法規及若適用的契約條文所要求的 確保 資料保護與隱私 CNS 附錄 A 註釋 1 電腦處理個人資料保護法第 3 條第 7 款 本法用詞定義如左 七 非公務機關 指前款以外之左列事業 團體或個人 一 徵信業及以蒐集或電腦處理個人資料為主要業務之團體或個人 二 醫院 學校 電信業 金融業 證券業 保險業及大眾傳播業 三 其他經法務部會同中央目的事業主管機關指定之事業 團體或個 人 2 電腦處理個人資料保護法第 3 條第 4 款 本法用詞定義如左 四 蒐集 指為建立個人資料檔案而取得個人資料 3 電腦處理個人資料保護法第 28 條第 1 項 非公務機關違反本法規定 致當事人權益受損害者 應負損害賠償責任 但能證明其無故意或過失 者 不在此限 4 電腦處理個人資料保護法第 33 條 意圖營利違反第七條 第八條 第 十八條 第十九條第一項 第二項 第二十三條之規定或依第二十四條 所發布之限制命令 致生損害於他人者 處二年以下有期徒刑 拘役或 科或併科新臺幣四萬元以下罰金 5 6 台北地方法院 95 年度簡字第 620 號判決參照 電腦處理個人資料保護法第 19 條第 1 項 非公務機關未經目的事業主 管機關依本法登記並發給執照者 不得為個人資料之蒐集 電腦處理或 國際傳遞及利用 22

29 案號 S 資料來源 台灣高等法院 94 年訴字第 1 號 96 年 9 月 21 日宣判 焦點話題 資通安全法律案例宣導彙編 媒體已經報導過的國家機密 還是國家機密嗎 乙 於國家情報單位退役後 對於其在任職時所知悉的國 家機密 例如總統緊急脫離動線 對總統陸空脫離的直昇機與裝 甲運兵車待命位置 地點 脫離方式 路線及避難等處所 運用 優勢兵力採取特攻 突 伏 擊等作為 分別於不同的時間點於 接受平面或電子媒體訪問時 洩漏予媒體刊載或播出 而被高等 法院檢察署檢察官提起公訴並經判決有罪處 2 年有期徒刑 緩刑 4 年 重點摘要 1. 已經核定為 國家機密 即必須依據保密等級維護 國家 機密 2. 即使已經經過媒體報導的 國家機密 在還沒完成解密條 件時 還是機密 不可以主動洩漏 法律觀點 政府資訊的公開 雖然對於民主政治之發展相當重要 但是某 些應機密事項之維護對於國家安全亦有其必要性 因此資訊公開與 機密保護兩者間必須取得平衡點 以 政府資訊公開法 第 18 條 第 1 項第 1 款 1 規定來說 即將依法核定為 國家機密 者 排除 於資訊公開之外 而所謂 國家機密 其法制規範於我國即為 國 家機密保護法 對於 國家機密 之認定 2 與維護等均有所規定 按政府機關持有或保有的資訊 是否屬於機密 其等級為何 23

30 資 訊 保 護 二 國 家 機 密 保 護 法 管 理 Tips 1. CNS A CNS A

31 註 釋 : 資 通 安 全 法 律 案 例 宣 導 彙 編 25

32 資 訊 保 護 二 國 家 機 密 保 護 法

33 案號 S 資料來源 桃園地方法院 95 年易字第 227 號判決 96 年 1 月 16 日宣判 焦點話題 資通安全法律案例宣導彙編 國防以外機密與國家機密之區別 被告甲 原係海軍上校 任職行政院國防部某研究院 於 民國 90 年 8 月間因屆最大年限以現役退伍 轉任該院文職科技 聘僱人員 職司國防科技研發工作 為依法令服務於國家所屬機 關而具有法定職務權限之公務員 1 甲 明知其於 91 年間於公務上撰寫完成之 以國家安全 戰略考量國家軍事戰略基礎國防科技產業化之經濟政策行動綱 領 內容有引用經權責單位核定為密等之國防以外應秘密之文 書 或另有內容影印摘錄到某院及其人員於公務上應保守秘密之 資訊 而均屬國防以外應秘密之文書 其竟先於 91 年 4 月初某 日 在 A 立法委員辦公室內 交予 A 立法委員 其後 於同年 4 月底某日 將上開文章 與其於 89 年 9 月間撰寫完成 內有影 印如上所示公務上應保守秘密文書之國防部 精實兵電飛彈武器 系統壽期工程研發 備料更新促進現代化政策構想與研析及推動 建議乙文 影印集結成一本後 於 91 年 6 月間某日 將上開國 防科技產業化報告交予 A 立法委員 嗣經桃園地方法院以被告甲 連續犯公務員洩漏國防以外 之秘密文書罪 處有期徒刑 6 月 如易科罰金 以銀元 300 元即 新臺幣 900 元折算 1 日 2 緩刑 2 年 重點摘要 1. 以往法律上所稱機密大致可區分為 軍事機密 與 國防秘 密 及 國防以外秘密 而於 國家機密保護法 則明文 規定 國家機密 之分類 27

34 資 訊 保 護 二 國 家 機 密 保 護 法 2. 法 律 觀 點 管 理 Tips CNS A

35 註釋 1 刑法第 10 條第 2 項 稱公務員者 謂下列人員 資通安全法律案例宣導彙編 分類 CNS 附錄 A 一 依法令服務於國家 地方自治團體所屬機關而具有法定職務權限 以及其他依法令從事於公共事務 而具有法定職務權限者 二 受國家 地方自治團體所屬機關依法委託 從事與委託機關權限有 關之公共事務者 2 此為刑法 95 年 7 月 1 日修正前之第 41 條規定 現行規定為 犯最重 本刑為五年以下有期徒刑以下之刑之罪 而受六個月以下有期徒刑或拘 役之宣告者 得以新臺幣一千元 二千元或三千元折算一日 易科罰 金 3 陸海空軍刑法第 20 條 洩漏或交付關於中華民國軍事上應秘密之文 書 圖畫 消息 電磁紀錄或物品者 處三年以上十年以下有期徒刑 戰時犯之者 處無期徒刑或七年以上有期徒刑 洩漏或交付前項之軍事 機密於敵人者 處死刑或無期徒刑 前二項之未遂犯 罰之 因過失犯 第一項前段之罪者 處三年以下有期徒刑 拘役或新臺幣三十萬元以下 罰金 戰時犯之者 處一年以上七年以下有期徒刑 預備或陰謀犯第一 項或第二項之罪者 處五年以下有期徒刑 4 刑法第 109 條 洩漏或交付關於中華民國國防應秘密之文書 圖畫 消息或物品者 處一年以上七年以下有期徒刑 洩漏或交付前項之文 書 圖畫 消息或物品於外國或其他派遣之人者 處三年以上十年以下 有期徒刑 前二項之未遂犯罰之 預備或陰謀犯第一項或第二項之罪者 處二年以下有期徒刑 刑法第 110 條 公務員對於職務上知悉或持有前條第一項之文書 圖 畫 消息或物品 因過失而洩漏或交付者 處二年以下有期徒刑 拘役 或一千元以下罰金 5 刑法第 132 條 公務員洩漏或交付關於中華民國國防以外應秘密之文 書 圖畫 消息或物品者 處三年以下有期徒刑 因過失犯前項之罪 者 處一年以下有期徒刑 拘役或三百元以下罰金 非公務員因職務或 業務知悉或持有第一項之文書 圖畫 消息或物品 而洩漏或交付之 29

36 資 訊 保 護 二 國 家 機 密 保 護 法

37 案號 S 資料來源 中廣新聞網 97/07/30 資通安全法律案例宣導彙編 臥底 某大房仲集團指控另一房仲集團老總弟 弟涉嫌洩密 焦點話題 AA 房屋指控 BB 房屋總經理的弟弟 涉嫌竊取 AA 房屋 公司內部的營業機密資料 AA 房屋法務表示 明知公司 人事規定 卻對有關家庭成員任職情況的詢問事項故意作不實填 寫 多次資料校正也沒有如實說明 AA 房屋接獲檢舉 加上透過 資訊部門調查 認為 涉及刑責 因此依法將他免職 並移 送法辦 至於究竟是什麼樣的資料被洩漏 AA 房屋則出示三份電子 郵件影本 包括公司內部仲介買方經營作業標準書與仲介賣方經 營作業標準書及一件房仲物件資料 認為這些都是被 以電 子郵件轉寄出去的 重點摘要 1. 商業競爭激烈 為了搶奪 營業秘密 或資訊 業者之間的 諜戰與跟蹤及破壞等手段層出不窮 2. 營業秘密法 是為了維持產業倫理與競爭秩序 以保障合 法業者 3. 營業秘密法 是屬於民事法規 對於竊取 營業秘密 的 商業間諜 其刑事責任主要是由 刑法 背信罪或妨害工商 秘密罪規範 31

38 資 訊 保 護 三 營 業 秘 密 法 法 律 觀 點 管 理 Tips CNS A

39 2. 管 理 階 層 應 要 求 員 工 承 包 者 及 第 三 方 使 用 者 依 照 組 織 已 制 定 的 政 策 與 程 序 施 行 安 全 事 宜 CNS 附 錄 A 對於違反安全的員工 應有正式的懲處過程 CNS 附 資通安全法律案例宣導彙編 安全的責任 CNS 附錄 A 錄 A 註釋 1 營業秘密法第 1 條 為保障營業秘密 維護產業倫理與競爭秩序 調 和社會公共利益 特制定本法 本法未規定者 適用其他法律之規定 2 營業秘密法第 2 條 本法所稱營業秘密 係指方法 技術 製程 配 方 程式 設計或其他可用於生產 銷售或經營之資訊 而符合左列要 件者 一 非一般涉及該類資訊之人所知者 二 因其秘密性而具有實際或潛在之經濟價值者 三 所有人已採取合理之保密措施者 3 營業秘密法第 10 條 有左列情形之一者 為侵害營業秘密 一 以不正當方法取得營業秘密者 二 知悉或因重大過失而不知其為前款之營業秘密 而取得 使用或洩 漏者 三 取得營業秘密後 知悉或因重大過失而不知其為第一款之營業秘 密 而使用或洩漏者 四 因法律行為取得營業秘密 而以不正當方法使用或洩漏者 五 依法令有守營業秘密之義務 而使用或無故洩漏者 前項所稱之不正當方法 係指竊盜 詐欺 脅迫 賄賂 擅自重製 違 反保密義務 引誘他人違反其保密義務或其他類似方法 4 營業秘密法第 13 條 依前條請求損害賠償時 被害人得依左列各款規 定擇一請求 一 依民法第二百十六條之規定請求 但被害人不能證明其損害時 得 以其使用時依通常情形可得預期之利益 減除被侵害後使用同一營 33

40 資 訊 保 護 三 營 業 秘 密 法

41 案號 S 資料來源 Pchome 新聞 97/10/08 焦點話題 資通安全法律案例宣導彙編 科技經理離職帶走資料因背信被起訴 據載新竹科學園區某一家科技公司的研發經理 跳槽前將公 司研發的商業秘密資料帶走 日前新竹地檢署依照刑法背信罪嫌 將他起訴 檢方表示 該研發經理明知對公司負有保密責任 未 經公司同意或授權不得複製應秘密之資料 若資料外洩而由同業 取得 將可能對於公司造成嚴重損失 任職於某一家科技公司研發部的研發經理 於 7 年前曾率領 公司研發團隊負責設計核心商業機密業務 並研發出兩項高科技 先進技術 對於公司之營業貢獻極大 光是民國 93 年的營業收 入即高達了新台幣 13 億元 之後因為另一家半導體公司看準這 項機密資料商機無限 重金挖角該經理 延攬擔任研發部副處 長 該經理離職前則利用職務之便 將包括上述兩項電腦程式等 7 個檔案 複製在電腦磁片中存放 之後被原公司發現 而向地 檢署提出告訴 重點摘要 1. 受雇人於職務上研究或開發之 營業秘密 原則上應歸雇 用人所有 受雇人應負有保密義務 2. 受雇人離職時 攜走屬於公司之 營業秘密 已構成 營 業秘密 之侵害 應依 營業秘密法 之規定 負損害賠償 責任 法律觀點 台灣有許多高科技產業 每年研發出不少專利與著作權等 智 35

42 資 訊 保 護 三 營 業 秘 密 法 管 理 Tips CNS A CNS A CNS A.8.2.1

43 註 釋 : 資 通 安 全 法 律 案 例 宣 導 彙 編 37

44 資 訊 保 護 三 營 業 秘 密 法

45 案號 S 資料來源 自由時報 97/11/17 焦點話題 資通安全法律案例宣導彙編 營業秘密保護 競業禁止與保密約款 高等法院台南分院的合議庭法官指出 行政院勞委會頒佈有 簽訂競業禁止參考手冊 對於雇主與勞工是否有簽訂競業禁 止約定的必要 應審酌下列等因素 雇主的固有知識與營業秘密 是否有保護必要 離職勞工的競業行為應有顯著背信或違反誠實 信用原則的事實 雇主與勞方應本於契約自由與誠信原則為約 定 及違約金應合理等 法官特別說明 憲法固然保障人民的工作權 但工作權 並 非不得限制的絕對權利 最高法院著有的多件裁判要旨均指出 勞工對雇主有忠於職責的義務 所以雙方得約定競業禁止約款 亦即勞工離職後在特定期間內不得從事與雇主相同或類似的行 業 以免產生不公平競爭 這與憲法工作權的保障 並不牴觸 重點摘要 1. 對於雇主 營業秘密 的保護 常見以簽訂 競業禁止條款 或 保密契約 的方式為之 而此種約款涉及員工權益 應 做合理的約定 方為適法 2. 實務上對於 競業禁止條款 的內容 提出如上開所述的判 斷標準 在擬定契約之際應注意是否符合 以避免遭法院認 定該條款無效 法律觀點 公司僱用員工為公司服勞務 因為工作關係 員工常常得以知 39

46 資 訊 保 護 三 營 業 秘 密 法 管 理 Tips CNS A CNS A.8.2.1

47 存取權限 在其聘僱 合約或協議終止時 或因變更而調整 時 均應予以移除 CNS 附錄 A 資通安全法律案例宣導彙編 3. 所有員工 承包者及第三方使用者對資訊及資訊處理設施的 註釋 1 2 憲法第 15 條 人民之生存權 工作權及財產權 應予保障 刑法第 317 條 依法令或契約有守因業務知悉或持有工商秘密之義 務 而無故洩漏之者 處一年以下有期徒刑 拘役或一千元以下罰 金 3 刑法第 342 條 為他人處理事務 意圖為自己或第三人不法之利益 或損害本人之利益 而為違背其任務之行為 致生損害於本人之財產或 其他利益者 處五年以下有期徒刑 拘役或科或併科一千元以下罰金 前項之未遂犯罰之 4 營業秘密法第 13 條 依前條請求損害賠償時 被害人得依左列各款規 定擇一請求 一 依民法第二百十六條之規定請求 但被害人不能證明其損害時 得 以其使用時依通常情形可得預期之利益 減除被侵害後使用同一營 業秘密所得利益之差額 為其所受損害 二 請求侵害人因侵害行為所得之利益 但侵害人不能證明其成本或必 要費用時 以其侵害行為所得之全部收入 為其所得利益 依前項規定 侵害行為如屬故意 法院得因被害人之請求 依侵害情 節 酌定損害額以上之賠償 但不得超過已證明損害額之三倍 41

48 資訊保護 四 刑法 十一名台鐵訂票系統駭客 檢方緩起訴 案號 S 資料來源 中央社 96/01/14 焦點話題 民國 94 年春節 中秋節間 台鐵訂票系統屢次遭到電腦駭 客入侵 導致系統當機 調查局與警方當時一共查獲 11 名入侵 系統的駭客 台北地檢署偵辦後 檢察官參酌這些駭客並無任何 前科 且犯後深知悔意 全部給予緩起訴處分 這 11 名駭客 還包括提供給網友付費下載自行設計撰寫的 火車票自動訂票系統 程式設計師 另有 7 名軍人是為了幫長 官訂購火車票 而誤觸法網 重點摘要 1. 這個案例是屬於以電腦程式 干擾 台鐵訂票電腦系統運作 進而認定構成犯罪行為之典型犯罪型態 2. 將自己撰寫的程式放在網路上讓網友下載 從事犯罪行為 即使自己未參與該犯罪行為 也構成犯罪 3. 檢察官給予緩起訴的內容 相當具有教育意義 法律觀點 本案是因為這 11 名電腦駭客利用自行撰寫或網路下載的電腦程 式 連結到台鐵訂票系統自動且連續訂票 造成台鐵訂票系統伺服器 及主機代管的中華電信網路伺服器的損害 這個案件 檢察官認定 駭客 所觸犯的罪是 刑法 第 條 的妨害電腦使用罪 原因是這些 駭客 因為私利 而使用電 42 腦程式 干擾 台鐵的訂票系統運作以致當機 造成其他旅客無法

49 / 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A A. CNS A

50 資訊保護 四 刑法 B. 應使用適當的鑑別方法 以控制遠端使用者的存取 CNS 附錄 A 應識別所有網路服務的安全特徵 服務水準及管理要求 並 應被納入網路服務協議中 不論是此等服務是由內部或委外 所提供 CNS 附錄 A 應保護在公眾網路上傳輸而涉及電子商務的資訊 使其不受 詐欺行為 契約爭議及未經授權的揭露與修改 CNS 附錄 A 應保護涉及線上交易的資訊 以防止不完整的傳輸 誤選路 (mis-routing) 未經授權的訊息修改 未經授權的揭露 未經 授權的訊息複製或重演 CNS 附錄 A 註釋 1 刑法第 360 條 無故以電腦程式或其他電磁方式干擾他人電腦或其相 關設備 致生損害於公眾或他人者 處三年以下有期徒刑 拘役或科或 併科十萬元以下罰金 2 刑法第 362 條 製作專供犯本章之罪之電腦程式 而供自己或他人犯 本章之罪 致生損害於 公眾或他人者 處五年以下有期徒刑 拘役或 科或併科二十萬元以下罰金 3 刑法第 361 條 對於公務機關之電腦或其相關設備犯第三百五十八條 至第三百六十條之罪者 加重其刑至二分之一 44

51 案號 S 資料來源 蘋果日報 97/08/08 焦點話題 資通安全法律案例宣導彙編 假 CNN 電子報 最新電腦病毒 近來發現有電腦駭客以知名新聞頻道 CNN 電子報的方式 大量散布 十大新聞影片 CNN.com Daily Top 10 的電子郵 件 民眾若不警覺而點選其中網址下載後 就會讓電腦中了木馬 病毒 不但個人資料可能被竊取 還會成為駭客攻擊的跳板 防毒軟體業者表示 除熱門網站外 熱門事件也是駭客最 愛 例如目前最熱的奧運話題也常被駭客所利用 而民眾則表示 由於曾因電腦中毒造成極大的不便 現在都盡量不開不明電子郵 件 以免中毒 重點摘要 1. 新型態的電腦犯罪 我國 刑法 已經有所規範 木馬程式 涉及入侵他人電腦 設備與取得他人資料及干擾系統運作的 穩定性等犯罪行為 應受相關規定處罰 2. 新型態的散佈病毒方式越來越難以防範 應該隨時有所警 覺 不隨意開啟不明郵件或登入不明網站 以免遭電腦病毒 入侵 3. 定期更新作業系統與定期掃毒 及對重要的資料另做備份 這樣即使電腦中毒了 也可以事後亡羊補牢 以免造成更大 的損害 法律觀點 近年來由於網路溝通便利 許多軟體與程式透過網路快速交換 45

52 資 訊 保 護 四 刑 法

53 1. 組織所有員工和相關的承包者及第三方使用者 均應接受與 其工作職務相關 以及定期更新的組織政策與程序內容之適 切認知訓練 CNS 附錄 A 應實做防範惡意碼的監測 預防及復原控制措施以及適切的 資通安全法律案例宣導彙編 管理 Tips 使用者認知程序 CNS 附錄 A 網路應適切地加以管理與控制 使其不受威脅 並且維護使 用網路的系統與 應用程式的安全 包括輸送中資訊 CNS 附錄 A 註釋 1 名詞解釋 2 刑法第 358 條 無故輸入他人帳號密碼 破解使用電腦之保護措施或 遠端控制程式 即可藉由綱路於遠端操控電腦之程式 利用電腦系統之漏洞 而入侵他人之電腦或其相關設備者 處三年以下 有期徒刑 拘役或科或併科十萬元以下罰金 3 刑法第 359 條 無故取得 刪除或變更他人電腦或其相關設備之電磁 紀錄 致生損害於公眾或他人者 處五年以下有期徒刑 拘役或科或併 科二十萬元以下罰金 4 刑法第 360 條 無故以電腦程式或其他電磁方式干擾他人電腦或其相 關設備 致生損害於公眾或他人者 處三年以下有期徒刑 拘役或科或 併科十萬元以下罰金 5 刑法第 362 條 製作專供犯本章之罪之電腦程式 而供自己或他人犯 本章之罪 致生損害於公眾或他人者 處五年以下有期徒刑 拘役或科 或併科二十萬元以下罰金 47

54 資訊保護 四 刑法 設計假網頁牟利 小駭客才十七歲 案號 S 資料來源 中國時報 97/08/20 焦點話題 就讀某高中的 小可 扮網路駭客 受人委託製作假網頁 即 釣魚網站 程式牟利 刑事局偵九隊到住處查緝時 他稱不知道 遭人利用 警方依妨害電腦罪將 小可 等人函辦 17 歲的 小可 2 年多前迷上設計駭客程式 加上主修資訊 專研電腦程式設計 很快的就在駭客界小有名聲 今年 2 月間 因販售木馬程式與開設 網路徵信社 盜取他人帳號與密碼被判 刑的嫌犯許 以 4,000 元的代價請 小可 幫忙設計 奇摩 與 無名小站 假網頁程式 讓 小可 成為警方查緝的目標 許 利用該網站騙取 236 個帳號與密碼 已由奇摩通知被害人 修改 減輕損害 重點摘要 1. 小可設計駭客程式 製作假網頁牟利 已經觸犯 刑法 妨害 電腦使用罪章的第 362 條製作犯罪電腦程式罪 2. 未滿 18 歲之人刑事犯罪 應依 少年事件處理法 之規定 辦理 3. 使用電腦網路雖便利 但仍要提高警覺 以免被人竊取資 料 造成嚴重損失 法律觀點 台灣號稱科技之島 有著蓬勃的資訊產業與技術人才 由於電 腦網路之使用便利 截至民國 97 年 1 月 31 日為止 台灣地區上網 48 人口已突破 1,500 萬人 個人上網部分 (12 歲以上民眾 ) 上網率達

55 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A CNS A

56 資 訊 保 護 四 刑 法 註 釋 :

57 案號 S 資料來源 聯合報 97/09/20 焦點話題 資通安全法律案例宣導彙編 駭客套密碼 裸照看光光 台北縣民 與網友聊天 套出網友的生日或電話等資料 後 逐一破解網友的相簿密碼 下載網友自拍私密照 還威脅須 繼續放裸照 被板橋地院依妨害電腦使用等罪判刑 還得服 200 小時義務勞務 判決書指出 經常在家裡利用 即時通 軟體與網友 聊天 與網友熟識後還會互留個人生日 電話或身分證字號等基 本資料 作為聯繫用 利用網友懶得設定特殊密碼的特 性 開始以網友的生日等數字來猜測對方的即時通或無名小站相 簿密碼 結果有八名網友的相簿密碼遭破解 侵入相簿 後 下載網友上傳到相簿的精彩私密照存入電腦觀賞 這些照片 大多為裸露胸部或下體的自拍照片 食髓知味 還將網友的密碼變更 導致網友無法登入 自己的相簿帳號 進一步威脅女網友繼續拍攝私密照後上傳 否 則將公開已下載的裸照 法官認為 觸犯包括妨害電腦使用 罪與強制罪 且嚴重危害他人生活安全判刑 2 年 但因 犯 後態度良好 還主動寫悔過書道歉 法官因而予緩刑 5 年 重點摘要 1. 網路使用雖然方便 但是安全性還是要注意 設定密碼時不 要使用懶人密碼 否則很容易被人猜中 造成資料與隱私外 洩的結果 2. 除設定密碼時要多用心 避免被人猜中外 更重要的是不要 51

58 資 訊 保 護 四 刑 法 法 律 觀 點

59 1. 組織所有員工和相關的承包者及第三方使用者 均應接受與 其工作職務相關 以及定期更新的組織政策與程序內容之適 切認知訓練 CNS 附錄 A 網路應適切地加以管理與控制 使其不受威脅 並且維護使 資通安全法律案例宣導彙編 管理 Tips 用網路的系統與 應用程式的安全 包括輸送中資訊 CNS 附錄 A 管理通行碼的系統應為互動式 並應確保通行碼嚴謹 CNS 附錄 A 應如同相關法令 法規及若適用的契約條文所要求的 確保 資料保護與隱私 CNS 附錄 A 註釋 1 刑法第 358 條 無故輸入他人帳號密碼 破解使用電腦之保護措施或 利用電腦系統之漏洞 而入侵他人之電腦或其相關設備者 處三年以下 有期徒刑 拘役或科或併科十萬元以下罰金 2 刑法第 359 條 無故取得 刪除或變更他人電腦或其相關設備之電磁 紀錄 致生損害於公眾或他人者 處五年以下有期徒刑 拘役或科或併 科二十萬元以下罰金 53

60 資訊保護 四 刑法 中華郵政 網路郵局個資未遭駭客入侵 案號 S 資料來源 中央社 97/08/27 焦點話題 對於媒體報導網路郵局疑遭駭客入侵案 中華郵政公司說 明 由於郵局客戶資料都存放在後端大型主機 屬於嚴密封閉系 統 沒有被破解導致資料洩漏的可能 目前研判網路郵局發生異常 的交易可能是客戶端的電腦遭入侵 客戶個人資料外洩所造成 中華郵政公司於民國 96 年 4 月 27 日處理網路電子商場交易 帳務時 發現電子商務合作廠商 公司的帳戶交易異常 經 追查都是網路郵局交易 立即關閉網站 並向刑事警察局報案 中華郵政公司指出 由於被盜用的帳戶都是輸入帳號與密碼進入 交易 在郵局來看都是循正常途徑登入 因此研判駭客是利用客 戶端電腦軟體漏洞 從客戶端入侵 取得帳號與密碼 不過 因 郵局無法舉證責任在客戶 因此這次駭客事件客戶損失的 100 多 萬元仍由郵局負責賠償 重點摘要 1. 目前電子商務 1 盛行 但是其中隱藏個人資料外洩的風險 可能是被駭客入侵電腦盜取資料 也可能是因為商家控管不 當而外洩個人資料 2. 為防範電腦駭客 最好經常更換網路交易密碼 一旦防毒軟體 公司通知更新軟體時 應立即下載 以免電腦產生漏洞 3. 至於個人資料部分 不要隨便提供給別人 多一份的小心 多一點的保障 54 法律觀點

61 B2B B2C 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A CNS A

62 資訊保護 四 刑法 3. 應保護涉及線上交易的資訊 以防止不完整的傳輸 誤選路 (mis-routing) 未經授權的訊息修改 未經授權的揭露 未經 授權的訊息複製或重演 CNS 附錄 A 應如同相關法令 法規及若適用的契約條文所要求的 確保 資料保護與隱私 CNS 附錄 A 註釋 1 名詞解釋 電子商務 EC Electronic Commerce 是藉由電腦網路將購買與銷售 產品與服務等商業活動結合在一起 進而調整交易的基礎與型態 目前 就交易的方式劃分 一般而言 有企業對企業的商務 B2B 與企業對 消費者的商業 B2C 二種模式 2 刑法第 358 條 無故輸入他人帳號密碼 破解使用電腦之保護措施或 利用電腦系統之漏洞 而入侵他人之電腦或其相關設備者 處三年以下 有期徒刑 拘役或科或併科十萬元以下罰金 3 刑法第 359 條 無故取得 刪除或變更他人電腦或其相關設備之電磁 紀錄 致生損害於公眾或他人者 處五年以下有期徒刑 拘役或科或併 科二十萬元以下罰金 4 刑法第 360 條 無故以電腦程式或其他電磁方式干擾他人電腦或其相 關設備 致生損害於公眾或他人者 處三年以下有期徒刑 拘役或科或 併科十萬元以下罰金 5 我國較常見的電子商務 如電視購物 網路購物等 目前尚未經主管機 關法務部公告為適用 個資法 的行業 惟個資法的修法方向 是將所 有行業均納入 之後即可對於電子商務的商家有所規範 6 電腦處理個人資料保護法第 34 條 意圖為自己或第三人不法之利益或 損害他人之利益 而對於個人資料檔案為非法輸出 干擾 變更 刪除 或以其他非法方法妨害個人資料檔案之正確 致生損害於他人者 處三 年以下有期徒刑 拘役或科新臺幣五萬元以下罰金 7 電腦處理個人資料保護法第 27 條第 1 項 公務機關違反本法規定 致 當事人權益受損害者 應負損害賠償責任 但損害因天災 事變或其他 不可抗力所致者 不在此限 56 電腦處理個人資料保護法第 28 條第 1 項 非公務機關違反本法規定 致當事人權益受損害者 應負損害賠償責任

63 案號 S 資料來源 民視新聞網 97/12/02 焦點話題 資通安全法律案例宣導彙編 彩虹橋程式 窺女子房內舉止 許多人的電腦裝設有視訊裝置 不過現在要小心 因為有一 種木馬程式 彩虹橋 除可使電腦自動開機與恢復及傳輸 連 同視訊功能也會啟動 屏東縣有一名陳姓女子的電腦 就是中了 這個木馬程式 私生活全都被拍下 陳姓女子的電腦被一名曾姓大學生侵入 利用木馬程式遠端 操控 等於是複製陳姓女子的電腦 而且還盜用了陳姓女子的帳號 與密碼 將錄下的畫面全 PO 在網路上 房間內的一舉一動全被拍 下 當事人完全沒發現 警方表示 網路世界四通八達 還是要提醒民眾 不要隨便 下載來路不明的檔案 重點摘要 1. 網路世界四通八達 但是也潛伏危機 需要做好資訊保護 2. 不要隨便下載來路不明的檔案或登入不明網站 避免中了電 腦病毒或是木馬程式 3. 定期掃毒與更新防毒軟體 及對重要的資料另做備份 以避 免電腦病毒造成的損害 法律觀點 電腦與網路的使用帶來生活的便利 很多人不論食 衣 住 行 育 樂各方面都離不開電腦與網路 然而 電腦與網路發達也 會帶來一些副作用 例如資訊的外洩等 也成為人類在享受科技進 57

64 資 訊 保 護 四 刑 法 管 理 Tips CNS A CNS A

65 註釋 1 刑法第 358 條 無故輸入他人帳號密碼 破解使用電腦之保護措施或 資通安全法律案例宣導彙編 資料保護與隱私 CNS 附錄 A 利用電腦系統之漏洞 而入侵他人之電腦或其相關設備者 處三年以下 有期徒刑 拘役或科或併科十萬元以下罰金 2 刑法第 359 條 無故取得 刪除或變更他人電腦或其相關設備之電磁 紀錄 致生損害於公眾或他人者 處五年以下有期徒刑 拘役或科或併 科二十萬元以下罰金 3 刑法第 360 條 無故以電腦程式或其他電磁方式干擾他人電腦或其相 關設備 致生損害於公眾或他人者 處三年以下有期徒刑 拘役或科或 併科十萬元以下罰金 4 刑法第 315 之 1 條 有下列行為之一者 處三年以下有期徒刑 拘役 或三萬元以下罰金 一 無故利用工具或設備窺視 竊聽他人非公開之活動 言論 談話或 身體隱私部位者 二 無故以錄音 照相 錄影或電磁紀錄竊錄他人非公開之活動 言 論 談話或身體隱私部位者 5 刑法第 235 條第 1 2 項 散布 播送或販賣猥褻之文字 圖畫 聲 音 影像或其他物品 或公然陳列 或以他法供人觀覽 聽聞者 處二 年以下有期徒刑 拘役或科或併科三萬元以下罰金 意圖散布 播送 販賣而製造 持有前項文字 圖畫 聲音 影像及其 附著物或其他物品者 亦同 59

66 資訊保護 四 刑法 金融網路詐騙多 關鍵字廣告也遭駭 案號 S 資料來源 卡優新聞網 97/12/02 焦點話題 隨著網際網路蓬勃發展 越來越多的金融產品與服務 都可 以透過網路銀行來完成 但以 網路釣魚 手法詐騙民眾個人資 料的案例 卻也層出不窮 為使消費者在享受網路便利的同時 也能重視交易安全 金管會特別提供各式常見的 網路釣魚 手 法 與使用網路銀行的安全小祕訣 希望藉此降低個人資料被盜 用的風險 保障自我權益 許多 網路釣魚 詐騙事件 常常會註冊與銀行相似度極高 的網站名稱 只要民眾稍有不慎 就很有可能落入陷阱 而被盜 取帳號與密碼等相關個人資料 進而造成財產上的損失 此外 近年來大行其道的網路 關鍵字廣告 有些駭客會精心設計 當民眾在搜尋時不經意點選 同樣達到誘拐與上鉤的目的 金管會表示 現在不論是筆記型電腦或無線上網 都已經十 分普遍 但民眾最好還是不要在這樣的環境下 使用網路銀行服 務 在安全性不足的情況下 很容易讓駭客有機可趁 同時使用 網路銀行時 目光盡量不要離開電腦 完成操作後 也應該立即 登出 只要接獲網路銀行交易結果通知 馬上就檢核資料是否正 確 一經發覺或懷疑網路銀行帳戶與密碼未經授權而被他人使 用 須儘速通知銀行 重點摘要 1. 網路銀行交易便利 不用出門就能辦理金融交易 但是若不 注意網路安全 反而會給自己帶來損失 層出不窮的駭客手段 令人防不勝防 所以要隨時提高警

67 3. 法 律 觀 點 97 1, 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. 61

68 資訊保護 四 刑法 用網路的系統與 應用程式的安全 包括輸送中資訊 CNS 附錄 A 應保護在公眾網路上傳輸而涉及電子商務的資訊 使不受詐 欺行為 契約爭議及未經授權的揭露與修改 CNS 附 錄 A 應保護涉及線上交易的資訊 以防止不完整的傳輸 誤選路 (mis-routing) 未經授權的訊息修改 未經授權的揭露 未經 授權的訊息複製或重演 CNS 附錄 A 應保護公眾可用系統上可取得資訊的完整性 以防止未經授 權的修改 CNS 附錄 A 管理通行碼的系統應為互動式 並應確保通行碼嚴謹 CNS 附錄 A 註釋 1 刑法第 358 條 無故輸入他人帳號密碼 破解使用電腦之保護措施或 利用電腦系統之漏洞 而入侵他人之電腦或其相關設備者 處三年以下 有期徒刑 拘役或科或併科十萬元以下罰金 2 刑法第 359 條 無故取得 刪除或變更他人電腦或其相關設備之電磁 紀錄 致生損害於公眾或他人者 處五年以下有期徒刑 拘役或科或併 科二十萬元以下罰金 3 刑法第 360 條 無故以電腦程式或其他電磁方式干擾他人電腦或其相 關設備 致生損害於公眾或他人者 處三年以下有期徒刑 拘役或科或 併科十萬元以下罰金 62

69 貳 資 訊 公 開 (Disclosure)

70 資訊公開 政府資訊公開法 國務機要費公開審理 旁聽可知機密 案號 D 資料來源 蘋果日報 97/08/07 焦點話題 總統府於民國 97 年 8 月 5 日宣布將註銷前總統任內核定五 大項被列為 絕對機密 的物件與檔案 被註銷列為機密的物件 與檔案 包括 90 至 94 年君悅飯店開出的發票明細表與 90 年 1 月 1 日至 95 年 6 月 30 日總統府支領國務機要費檢具的單據及領 款人簽收的支出傳票影本等 總統府也已發函最高法院檢察署與 台北地方法院 以利司法偵查 不過 台北地方法院表示 既使這些卷證不屬於機密 依刑 事訴訟法的相關規定 民眾還是可能無法看到這些卷證 惟亦有 數名法官認為 全案將恢復公開審理 民眾有機會藉由旁聽得知 曾被列為機密的文件內容 目前這些卷證資料是在法院的保管 中 雖然已無國家機密保護法的適用 但是其公開仍將涉及到政 府資訊公開法之相關規定 重點摘要 1. 絕對機密 核定與註銷的程序 國家機密保護法 有詳盡 的規定 2. 註銷 絕對機密 後的文件 屬於自始不構成機密的性質 應 屬於公開文書 而得由一般民眾依 政府資訊公開法 規定申 請閱覽 3. 法院保管的刑事卷證 原則上只有相關當事人 不包括被 告 或律師可以申請閱覽 64

71 法 律 觀 點 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A

72 資訊公開 政府資訊公開法 2. 資訊應依其對組織的價值 法律要求 敏感性及重要性加以 分類 CNS 附錄 A 應依照組織所採用的分類法 發展與實作一套適當的資訊標 示與處置程序 CNS 附錄 A 註釋 1 國家機密保護法第 25 條第 1 項 法院 檢察機關受理之案件涉及國家 機密時 其程序不公開之 2 政府資訊公開法第 18 條第 1 項第 1 款 政府資訊屬於下列各款情形之 一者 應限制公開或不予提供之 一 經依法核定為國家機密或其他法 律 法規命令規定應秘密事項或限制 禁止公開者 3 政府資訊公開法第 19 條 前條所定應限制公開或不予提供之政府資 訊 因情事變更已無限制公開或拒絕提供之必要者 政府機關應受理申 請提供 4 政府資訊公開法第 18 條第 1 項第 2 款 政府資訊屬於下列各款情形之 一者 應限制公開或不予提供之 二 公開或提供有礙犯罪之偵查 追 訴 執行或足以妨害刑事被告受公正之裁判或有危害他人生命 身體 自由 財產者 刑事訴訟法第 33 條 辯護人於審判中得檢閱卷宗及證物並得抄錄或攝 影 無辯護人之被告於審判中得預納費用請求付與卷內筆錄之影本 66

73 案號 D 資料來源 中央通訊社 97/09/03 焦點話題 資通安全法律案例宣導彙編 會議記錄不公開 健保監理會 合於法令 全民監督健保聯盟指衛生署全民健保監理委員會 未公開委 員會議過程紀錄摘要 有違全民付託與政府資訊公開法 監理委 員會今天表示 目前已依政府資訊公開法規定 上網公告監理委 員會議案由與決議內容及出席人員名單 完全合乎法令規定 監理委員會今天表示 有關委員會議紀錄摘要是否上網公開 一事 歷經多次會議討論無法達成共識 在 8 月 29 日召開委員 會議時 與會委員以不記名方式表決 決議維持現行公告項目 監理委員會指出 現行作法合於政府資訊公開法第 7 條第 3 項規 定 並無不妥 重點摘要 1. 政府資訊公開法 有關政府資訊主動公開的主要規定在於 第 7 條 規定應由政府主動公開之資訊內容 2. 現行有關合議制機關之會議記錄 依法需主動公開者有審議案 之案由 議程 決議內容及出席會議成員名單 法律觀點 政府施政之公開與透明 乃國家邁向民主化與現代化的指標之 一 為保障人民知的權利 本於 資訊共享 及 施政公開 之理念 我國乃於民國 94 年 12 月制定公佈 政府資訊公開法 以便利人 民公平利用政府依職權所作成或取得之資訊 除增進一般民眾對公 共事務之瞭解與信賴及監督外 更能促進民主之參與 1 67

74 資 訊 公 開 政 府 資 訊 公 開 法 管 理 Tips CNS A CNS A.7.2.2

75 註 釋 : 資 通 安 全 法 律 案 例 宣 導 彙 編 69

76 資訊公開 政府資訊公開法 政府資訊主動公開與因具體個案申請閱覽之不同 案號 D 資料來源 台北高等行政法院 95 年訴字第 3986 號判決 96 年 5 月 29 日宣判 焦點話題 原告申請閱覽二份函文與相關資訊 目的在於了解被告機關 作成將原告調職處分之依據 經被告認有保密之必要 不同意原 告的請求 原告其後 向被告申請閱覽與複製上開二函文作成意 思前 內部單位之擬稿與作業準備等資訊 又經被告以違反行政 程序法第 46 條第 2 項第 1 款與政府資訊公開法第 18 條第 1 項第 3 款規定為由 拒絕所請 原告不服 提起訴願 亦遭決定駁回 遂提起行政訴訟 法院審理後認為原告之請求不屬於 政府資訊公開法 第 6 條及第 7 條所訂應主動公開之資訊範圍 且原告因不服該調職處 分 已提起行政訴訟 依法自應於該行政訴訟程序中 一併對於 被告不同意其申請閱覽之處分聲明不服 這是因為行政機關應主 動公開之資訊範圍 與具體事件中當事人向行政機關申請閱覽與 複印有關卷宗資料者 兩者有所不同 重點摘要 1. 政府資訊公開法 有關政府資訊主動公開的主要規定在第 6 條與第 7 條 規定政府應主動公開之資訊內容 2. 至於具體事件之當事人於行政程序或行政救濟中因主張或維 護其法律上之利益 得向行政機關申請閱覽與複印有關卷宗 資料者 則應適用 行政程序法 之規定 法律觀點 70 基於民主憲政體制的運作之要求 希望可以讓民眾在享有充分

77 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A CNS A

78 資 訊 公 開 政 府 資 訊 公 開 法 註 釋 :

79 案號 D 資料來源 台北高等行政法院 95 年訴字第 4311 號判決 96 年 9 月 13 日宣判 資通安全法律案例宣導彙編 查看與影印考試答案卡 非屬政府資訊公開的 範圍 焦點話題 本案原告為某國民中學國三學生 參加國民中學學生基本學 力測驗 ( 下稱國中基測 ) 因不服測驗成績之評定 向國中基測 試務委員會的業務承辦學校申請複查國文與自然科目之分數 經 複查結果無異動 原告仍不服 再以口頭申請閱覽其原始答案 卡 仍經否准 原告猶未甘服 提起訴願 遭決定不受理後 遂 向台北高等行政法院 以下簡稱 行政法院 提起行政訴訟 行政法院受理後認為 主管考試機關於適用職權範圍內 本 於法律授權發布行政命命原非法所不許 本件原告雖指稱限制考 生查看或影印答案卡應屬違法 惟本案被告否准原告閱覽原始答 案卡 是否適法 應以原告申請時的法規有無賦予應考人此項請 求權為準 重點摘要 1. 有關考試成績評定 向來被認為司法審查應予尊重 除非有 明顯的瑕疵 法院不得任意予以更動 2. 對於考試事項的資訊公開 除 政府資訊公開法 有所限制 外 其他相關法規也有規範 故具體而言 仍須視其他法規 有無賦予應考人請求閱覽之權利 法律觀點 我國重視考試制度 每年都有許多考試進行 像是各種國家考 73

80 資 訊 公 開 政 府 資 訊 公 開 法 管 理 Tips 1. CNS A CNS A

81 註 釋 : 資 通 安 全 法 律 案 例 宣 導 彙 編 75

82

83 參 資 訊 監 察 (Monitors)

84 資訊監察 通訊保障及監察法 通訊保障及監察法 保障人民的秘密通訊自由 案號 M 資料來源 台中地方法院 96 年訴字第 3687 號判決 96 年 12 月 20 日宣判 焦點話題 甲 與丙 均為從事徵信業務者 為圖便利各項徵信調 查業務需要 竟依距離之遠近與委託業務是否包括更換錄音帶等 不同之工作內容訂價 以每件新臺幣 2,000 元至 1 萬元不等之費 用 以按件計酬 月結收費之方式 連續委託他人著電信公司員 工服帽 偽裝成該公司員工身分後 至所欲竊聽電話對象住所附 近的電信公司電話電信箱 安裝竊聽錄音設備 違法進行竊聽 其違法竊聽的方式是 先開啟被竊聽者住家附近的電信公司 電話交接箱 且不破壞電信箱鎖頭與外觀設備 再找出被竊聽對 象的電話線路 並以跳線方式 將電話線路跳線至電信箱外隱密 位置 裝設竊聽錄音設備 藉此違法竊聽他人非公開談話內容 而侵害他人的通信秘密 重點摘要 1. 通訊保障及監察法 其立法目的在保障人民秘密自由 任 何人違法監察他人之通訊 都將依該法第 24 條第 1 項 1 違法 監察他人通訊罪論處 2. 通訊保障及監察法 第 24 條關於違法監察他人通訊的處罰 規定 係以行為人無合法權源而從事他人通訊之監察行為為 處罰之對象 至於是否取得監聽資料並非犯罪構成要件 法律觀點 78 由於通訊科技日漸發達 需要有完整的法制規劃 來保障 憲

85 資 通 安 全 法 律 案 例 宣 導 彙 編 79

86 資訊監察 通訊保障及監察法 管理 Tips 1. 應保護傳送資料或支援資訊服務之電源與電信佈纜 以防止 竊聽或損害 CNS 附錄 A 電子傳訊涉及的資訊應適當地加以保護 CNS 附錄 A 應建立資訊處理設施使用的監視程序 並定期審查監視活動 的結果 CNS 附錄 A 註釋 1 通訊保障及監察法第 24 條 違法監察他人通訊者 處五年以下有期徒 刑 執行或協助執行通訊監察之公務員或從業人員 假借職務或業務上之權 力 機會或方法 犯前項之罪者 處六月以上五年以下有期徒刑 意圖營利而犯前二項之罪者 處一年以上七年以下有期徒刑 2 通訊保障及監察法第 1 條 為保障人民秘密通訊自由不受非法侵害 並確保國家安全 維護社會秩序 特制定本法 最高法院 94 年台上字第 5802 號判決參照 高等法院花蓮分院 89 年上易字第 91 號判決參照 刑法第 315 條之 1 有下列行為之一者 處三年以下有期徒刑 拘役 或三萬元以下罰金 一 無故利用工具或設備窺視 竊聽他人非公開之活動 言論 談話或 身體隱私部位者 二 無故以錄音 照相 錄影或電磁紀錄竊錄他人非公開之活動 言 論 談話或身體隱私部位者 6 電信法第 56 條之 1 第 1 項 違反第六條第一項規定侵犯他人通信秘密 者 處五年以下有期徒刑 得併科新台幣一百五十萬元以下罰金 電信法第 6 條第 1 項 電信事業及專用電信處理之通信 他人不得盜 接 盜錄或以其他非法之方法侵犯其秘密 7 80 基隆地方法院 93 年訴字第 473 號判決參照

87 資 通 安 全 法 律 案 例 宣 導 彙 編 81

88 資訊監察 通訊保障及監察法 MP3 密錄不能當證據 法官 因侵犯隱私 案號 M 資料來源 台中地方法院 97 年選訴字第 1 號判決 97 年 4 月 30 日宣判 焦點話題 本案檢察官起訴事實是以被告甲係參選民國 97 年第 7 屆立 法委員選舉之候選人 因該次選舉尚有案外人乙表態參選 選情 甚為緊繃 被告甲為求在該次選舉中能順利當選連任 竟以買票 之方式爭取有選舉權人之支持 而檢察官所憑以起訴之證據則有扣案 MP3 播放器與錄音拷 貝光碟片及錄音譯文 扣案錄影拷貝光碟片與翻拍照片 及以上 開錄音光碟與錄影光碟片所製作之同步影 音光碟片等 其中扣案 MP3 播放器與錄音拷貝光碟片及錄音譯文 即證 人 C 就被告甲到場後與證人 D 之對話內容部分所為之錄音 法 院以該錄音純屬他人非公開之談話 而非證人 C 自己與他人之非 公開談話 復因證人 C 錄音當時並未經談話人二人之同意 且證 人 C 亦非基於舉發被告甲涉嫌賄選之犯行 而自行錄音搜證 故 證人 C 所為上開錄音行為 顯非適法 足以侵害被告甲依憲法第 12 條所應受保障秘密通訊自由 而否定上開錄音之證據能力 重點摘要 1. 通訊保障及監察法 其立法目的在保障人民秘密通訊自由 監察他人之通訊 除非有法令之依據 否則都會構成違法 而有刑事責任 2. 在判決中亦肯定如果是談話中或通訊之當事人一方 是可以 進行錄音的 3. 違法通訊監察而得到的證據 在刑事訴訟程序上有被法院認 82 定為不具證據能力 1 之風險

89 法 律 觀 點 資 通 安 全 法 律 案 例 宣 導 彙 編 83

90 資訊監察 通訊保障及監察法 有該營業場所或私人場所之所有人或使用人所設立之攝影機 對該 營業場所或私人場所內之不特定人 物為常態性與概括性 非特定 性 攝影存證 從而認為該等常態性與概括性 非特定性 攝影存 證行為 與 憲法 第 12 條所保障之人民秘密通訊自由並無違背 惟此種見解是否會形成法院實務之一致見解 仍有待時間觀察 管理 Tips 1. 電子傳訊涉及的資訊應適當地加以保護 CNS 附錄 A 應建立資訊處理設施使用的監視程序 並定期審查監視活動 的結果 CNS 附錄 A 註釋 1 名詞解釋 證據能力 能作為證據使用的資格 2 通訊保障及監察法第 1 條 為保障人民秘密通訊自由不受非法侵害 並確保國家安全 維護社會秩序 特制定本法 3 通訊保障及監察法第 24 條 違法監察他人通訊者 處五年以下有期徒 刑 執行或協助執行通訊監察之公務員或從業人員 假借職務或業務上之權 力 機會或方法 犯前項之罪者 處六月以上五年以下有期徒刑 意圖營利而犯前二項之罪者 處一年以上七年以下有期徒刑 刑法第 315 條之 1 有下列行為之一者 處三年以下有期徒刑 拘役 或三萬元以下罰金 一 無故利用工具或設備窺視 竊聽他人非公開之活動 言論 談話或 身體隱私部位者 二 無故以錄音 照相 錄影或電磁紀錄竊錄他人非公開之活動 言 論 談話或身體隱私部位者 84

91 案號 M 資料來源 雅虎奇摩新聞 97/10/14 焦點話題 資通安全法律案例宣導彙編 調查局千萬採購監聽設備 立委擔憂台灣變警 察國家 據載法務部調查局將耗資新台幣 6,000 萬元招標採購 行動偵 蒐系統 要求規格須具備 偵蒐範圍達 1 萬平方米以上 可讓 歸向設備尋找到手機位置 系統置於車輛上 連接天線即可操 作 及 每分鐘處理用戶數不得低於 300 個 將來調查局依靠這 項設備 不需要在私人住宅裝置其他器材 就能進行大量監聽 立委召開記者會指出 依通訊保障及監察法的規定 監聽須經 法院核發 通訊監察書 調查局採購高規格的監聽設備 是遊走 在法律邊緣 有侵犯人民隱私之嫌 依照此項監聽系統規格 偵蒐 範圍達 1 萬平方米以上 以後調查局只要在立法院旁停一輛偵蒐 車 包括立法院院區與立委辦公大樓及監察院 都涵括在監聽範圍 內 甚至連鄰近的喜來登飯店內消費的客人都難逃監聽 另外有立委表示 依照通訊保障及監察法規定 監聽需要經 過法官同意與核發 通訊監察書 才可以進行 如有緊急狀況 也要事後補申請 但調查局這項監聽設備卻可以同時監聽 300 人 難保不會對非核准監聽對象的隱私造成侵害 所以應該立即 停止採購程序 調查局對立委質疑則回應表示 所有監聽案件都 經過合法申請通訊監察書 目前沒有停止該項招標案的理由 重點摘要 1. 依 通訊保障及監察法 規定 監聽發起需要經由法院核發 通訊監察書 2. 依 通訊保障及監察法 規定 1 執行監聽機關不得於私人 85

92 資 訊 監 察 通 訊 保 障 及 監 察 法 3. 法 律 觀 點 ,

93 幣 1,000 元以上至 5,000 元以下計算 但能證明其所受之損害額高 於該金額者 不在此限 6 管理 Tips 資通安全法律案例宣導彙編 賠償 責任 5 最高按其監察通訊日數 以每一受監察人每日新台 應建立資訊處理設施使用的監視程序 並定期審查監視活動的 結果 CNS 附錄 A 註釋 1 通訊保障及監察法第 13 條第 1 項 通訊監察以截收 監聽 錄音 錄 影 攝影 開拆 檢查 影印或其他類似之必要方法為之 但不得於私 人住宅裝置竊聽器 錄影設備或其他監察器材 2 通訊保障及監察法第 2 條 通訊監察 除為確保國家安全 維持社會 秩序所必要者外 不得為之 前項監察 不得逾越所欲達成目的之必要 限度 且應以侵害最少之適當方法為之 3 通訊保障及監察法第 5 條第 2 項前段 前項通訊監察書 偵查中由檢 察官依司法警察機關聲請或依職權以書面記載第十一條之事項 並敘明 理由 檢附相關文件 聲請該管法院核發 另外同法第 6 條第 1 項後 段 第 7 條第 2 3 項亦有相類規定 4 通訊保障及監察法第 24 條 違法監察他人通訊者 處五年以下有期徒 刑 執行或協助執行通訊監察之公務員或從業人員 假借職務或業務上 之權力 機會或方法 犯前項之罪者 處六月以上五年以下有期徒刑 意圖營利而犯前二項之罪者 處一年以上七年以下有期徒刑 5 通訊保障及監察法第 22 條 公務員或受委託行使公權力之人 執行職 務時違反本法或其他法律之規定監察他人通訊或洩漏 提供 使用監察 通訊所得之資料者 國家應負損害賠償責任 依前項規定請求國家賠償 者 適用第十九條第二項 第三項及第二十條之規定 6 通訊保障及監察法第 21 條第 1 項 前條之損害賠償總額 按其監察通 訊日數 以每一受監察人每日新台幣一千元以上五千元以下計算 但能 證明其所受之損害額高於該金額者 不在此限 87

94 資 訊 監 察 通 訊 保 障 及 監 察 法 案 號 :M 資 料 來 源 : 最 高 法 院 97 年 台 上 字 第 4546 號 判 決,97 年 9 月 18 日 宣 判 焦 點 話 題

95 重 點 摘 要 資 通 安 全 法 律 案 例 宣 導 彙 編 法 律 觀 點 管 理 Tips 1. 89

96 資訊監察 通訊保障及監察法 的結果 CNS 附錄 A 註釋 1 刑法第 239 條 有配偶而與人通姦者 處一年以下有期徒刑 其相姦 者亦同 2 民法第 1001 條 夫妻互負同居之義務 但有不能同居之正當理由者 不在此限 民法第 1052 條第 1 項第 1 2 款 夫妻之一方 有下列情形之一者 他方得向法院請求離婚 一 重婚 二 與配偶以外之人合意性交 3 刑法第 315 條之 1 有下列行為之一者 處三年以下有期徒刑 拘役 或三萬元以下罰金 一 無故利用工具或設備窺視 竊聽他人非公開之活動 言論 談話或 身體隱私部位者 二 無故以錄音 照相 錄影或電磁紀錄竊錄他人非公開之活動 言 論 談話或身體隱私部位者 4 通訊保障及監察法第 24 條 違法監察他人通訊者 處五年以下有期徒 刑 執行或協助執行通訊監察之公務員或從業人員 假借職務或業務上之權 力 機會或方法 犯前項之罪者 處六月以上五年以下有期徒刑 意圖營利而犯前二項之罪者 處一年以上七年以下有期徒刑 5 通訊保障及監察法第 29 條 監察他人之通訊 而有下列情形之一者 不罰 一 依法律規定而為者 二 電信事業或郵政機關 構 人員基於提供公共電信或郵政服務之目 的 而依有關法令執行者 三 監察者為通訊之一方或已得通訊之一方事先同意 而非出於不法目 的者 90

97 肆 資 訊 應 用 (Application)

98 資訊應用 電子簽章法 雅虎奇摩拍賣採用自然人憑證與動態密碼 案號 A 資料來源 ZDNet 97/07/15 焦點話題 為提升拍賣服務的帳號安全認證等級 雅虎奇摩宣佈採用自 然人憑證與中華電信動態密碼鎖 OTP OTP OTP 1 將帳號登入認證由傳 統的單因素 2 提高為雙因素 3 認證 雅虎奇摩所推出 帳號安 心鎖 新服務 是透過採用內政部自然人憑證的認證令牌的其中 一種 在既有的帳號與密碼之外 再加上一道關卡 並藉此提高 登入安全性 該服務將首先應用在拍賣 未來並將進一步推展到 其他對身分認證較敏感的服務上 如電子郵件等 重點摘要 1. 使用 自然人憑證 作為身分認證用途 其帳戶安全性大幅 度提高 2. 自然人憑證 在法律定位上是與簽名或印章具有相同效力 3. 登入帳號僅使用文字或符號的帳號 ID 與密碼 PASSWORD 其安全性是有疑慮的 法律觀點 自然人憑證 是由內政部簽發予個人使用的身分認證工具 在運作機制上 內政部是屬於 電子簽章法 第 2 條所稱的 憑證 機構 用以簽發確認簽署人身分資格的電子形式證明 4 其依據 電子簽章法 第 11 條第 1 項的規定 5 提供民眾簽發憑證服務 在屬性定位上 自然人憑證 相當於戶政事務所核發的 印鑑證 92 明書 只是以往到戶政事務所去申請核發 印鑑證明 是帶自己

99 IC IC I C 資 通 安 全 法 律 案 例 宣 導 彙 編 管 理 Tips 1. CNS A (mis-routing) CNS A CNS 93

100 資訊應用 電子簽章法 附錄 A 應讓所有使用者應有僅限其個人使用的唯一識別符號 使用 者 ID 並應選擇適切的鑑別技術 以證實使用者宣稱的身 分 CNS 附錄 A 對每一個資訊系統與組織 所有相關法定 法規與契約要求及 組織用以符合此等要求之作法 宜加以明確界定 文件化及維 持最新 CNS 附錄 A 註釋 1 名詞解釋 動態密碼鎖 全文為 One Time Password OPT 簡單的說 就是每次 都要輸入不同的密碼 而這個密碼是由系統指定的隨機密碼 藉此防止 密碼被不當竊取 至於取得系統指定的隨機密碼方式 有需要另外搭配 其他裝置或以其他媒介取得的方法 2 名詞解釋 3 名詞解釋 單因素認證是指以使用者一般常用之登入密碼執行登入認證之機制 雙因素認證 Two-factor authentication 是指除使用者一般常用之登入 是指除使用者一般常用之登入 是指除使用者一般常用之登入 密碼外 再新增第二層認證機制 例如加入晶片卡 以執行第二道登入 認證之機制 4 電子簽章法第 2 條第 1 項第 5 款與第 6 款 五 憑證機構 指簽發憑 證之機關 法人 六 憑證 指載有簽章驗證資料 用以確認簽署人身 分 資格之電子形式證明 5 電子簽章法第 11 條第 1 項 憑證機構應製作憑證實務作業基準 載明 憑證機構經營或提供認證服務之相關作業程序 送經主管機關核定後 並將其公布在憑證機構設立之公開網站供公眾查詢 始得對外提供簽發 憑證服務 其憑證實務作業基準變更時 亦同 94

101 案號 A 資料來源 工商時報 96/08/08 焦點話題 資通安全法律案例宣導彙編 捷元積極轉型 網路交易破億元 捷元自民國 94 年起積極與經濟部商業司共同合作推動運用 工商憑證 PKI1 技術機制 進行安全網路下單系統開發 短短 2 年內超過半數經銷商申請 PKI 工商憑證 在捷元 B2B 企業對企 業 經銷商專區上進行交易 第二季 B2B 經銷商專區每日流量最 高達 15,000 人次以上 B2B 網路下單訂單占捷元每日訂單總數 4 成以上 7 月份網路下單金額更已超過 1 億元 占整體營收近 2 成 捷元積極轉型的成效顯現 未來將持續以網路機制支援實體作 業 可減少接單作業人力成本 並減少人力運用於產品與通路的開 發 服務更多的經銷商與供應商 大幅提升公司整體競爭力 重點摘要 1. 工商憑證 是企業在網路上的 大小章 2. 應用數位簽章機制讓電子文件有 推定為真正 的證據力 法律觀點 透過網際網路建構 B2B 電子商務交易平台 已經不是什麼新鮮 事 但是使用經濟部工商憑證管理中心簽發的 工商憑證 在 B2B 電子商務交易平台 以下簡稱 交易平台 則是還在起步與發展 中的應用 以企業觀點來看 工商憑證 它是企業在網路上的 大小章 或 印鑑章 為什麼會具有這樣的重要性 是因為 工商憑證 係由經濟部依據企業申請經比對公司資料正確後 始發予企業使用 95

102 資 訊 應 用 電 子 簽 章 法 管 理 Tips 1. CNS A (mis-routing) CNS A ID CNS A CNS A

103 註 釋 : 1 PKI Public Key Infrastructure 資 通 安 全 法 律 案 例 宣 導 彙 編 97

104 資 訊 應 用 電 子 簽 章 法 案 號 :A 資 料 來 源 :ZDNet 96/02/26 焦 點 話 題 PKI, Public Key Infrastructure PKI PKI B2B B2C B2B B2B PKI IC 98

105 重 點 摘 要 PKI 3. 1 資 通 安 全 法 律 案 例 宣 導 彙 編 法 律 觀 點 B2C B2B 2 3 PKI, Public Key Infrastructure 4 B2B

106 資 訊 應 用 電 子 簽 章 法 管 理 Tips 1. CNS A (mis-routing) CNS A ID CNS A CNS A CNS A CNS A

107 註 釋 : 資 通 安 全 法 律 案 例 宣 導 彙 編 101

108

109 附 錄 CNS A

110 附 錄 CNS A CNS A.6 A.6.1 A CNS A.7 A.7.2 A A CNS A.8 A.8.1 A A A.8.2 A A A A.8.3 A

111 CNS A.9 A.9.2 A 資 通 安 全 法 律 案 例 宣 導 彙 編 CNS A.10 A.10.4 A A.10.6 A A A.10.7 A A.10.8 A A.10.9 A A (mis-routing) A A A

112 附 錄 CNS A CNS A.11 A.11.4 A A.11.5 A ID A CNS A.12 A.12.3 A A CNS A.15 A.15.1 A A A A.15.2 A