【資安宣導】危害國家資通安全產品限制使用原則

危害國家資通安全產品限制使用原則

一、依據行政院112年6月20日院授數資安字第1121000202號函說明，重申各公務機關使用資通訊產品原則：

（一）依行政院秘書長109年12月18日院臺護長字第1090201804A號函規定，禁止使用及採購大陸廠牌資通訊產品（含軟體、硬體及服務）。

（二）若因業務需求且無其他替代方案，仍需使用危害國家資通安全產品時，應具體敘明理由，並經機關資通安全長及其上級機關資通安全長逐級核可，函報資通安全管理法主管機關(數位發展部)核定，產品未汰換前，應加強下列資安強化措施：

  1. 強化資安管理措施，例如：設定高強度密碼、禁止遠端維護等。
  2. 產品遇資安攻擊導致顯示畫面遭置換，應立即置換靜態畫面，或立即關機。
  3. 產品若為硬體，應確認其不具WiFi等持續連網功能(非僅以軟體關閉)。若需以外接裝置方式進行更新，須有專人在旁全程監督，於傳輸完成後立即移除外接裝置。
  4. 產品使用屆期後不得再購買危害國家資通安全產品。

（三）各機關辦理採購案時，應注意以下事項：

  1. 參考行政院公共工程委員會採購範本投標須知範本第16點，廠商所供應標的(含工程、財物及勞務)之原產地不允許大陸地區，以及資訊服務採購契約範本第8條第24款，如採購案內涉資通訊軟體、硬體或服務等相關事務，機關可要求廠商執行本案之團隊成員不得為陸籍人士，並不得提供及使用大陸廠牌資通訊產品。
  2. 各機關自行或委外營運，提供公眾活動或使用之場地，不得使用危害國家資通安全產品，且應將相關限制事項納入委外契約或場地使用規定中。

二、請各單位於辦理採購時，務必依「大陸廠牌資通訊產品及委外經營公眾場域盤點原則」查證，勿採購大陸廠牌資通訊產品。

三、建議多利用共同供應契約採購相關設備，避免採購大陸廠牌資通訊產品。

 

常見大陸廠牌與認定方式

行政院未提供相關設備清單，以下廠牌僅供參考，包括但不限於：

杭州海康威視（Hikvision） 華為（Huawei） 深圳大疆創新科技公司（DJI）
普聯技術公司（TP-Link） 廣東歐加控股公司／廣東行動通訊公司（OPPO） 小米集團（MI）
浙江大華技術公司（Dahua） 中興通訊 海信(Hisense)
魅族(MEIZU) 努比亞(Nubia) 真我(REALME)
騰達(Tenda) 海能達(Hytera) vivo
TOTOLINK Foscam SUGAR
聯想(lenovo)    

註1:若無法認定時，建議請廠商提供說明或文件證明其非大陸廠牌。
註2:在經濟部投資審議委員會 可查詢 陸資資訊產業 、 陸資來台投資事業 ，這些業者在台灣生產銷售的資通訊產品是否被認定屬大陸廠牌而限制使用仍未明確，原則上建議盡量避免購置。

 

[陸資廠商]是否禁止使用?

依據行政院秘書長110年8月11日院臺護長字第1100181360A號函說明，

第三地區含陸資成分廠商及在臺陸資廠商，原則不列入盤點及汰換範圍；惟請各機關於辦理採購案時，如屬經濟部投資審議委員會公告之「具敏感性或國安(含資安)疑慮之業務範疇」，應確實於招標文件中載明不允許經濟部投資審議委員會公告之陸資資訊服務業者參與。

例如：聯想集團（Lenovo）

 

大陸廠牌資通訊產品盤點原則

一、盤點範圍：全機關，非僅機關內部資訊單位或特定單位。

二、「大陸廠牌認定方式」及「資通訊產品定義」：

  1. 大陸廠牌認定方式：由填報機關「從嚴認定」，所有屬大陸廠牌者，無論其原產地於我國、大陸地區或第三地區等，渠等產品均須納入。
  2. 資通訊產品定義：參考資通安全管理法第3條用詞定義，包含軟體、硬體及服務等，另具連網能力、資料處理或控制功能者皆屬廣義之資通訊產品，如無人機、網路攝影機、印表機等。
  3. 各機關若無法於期限內完成汰換或有窒礙難行之處，須填報正當理由，後續由資通安全署協助評估其妥適性或其他可行作法。

三、盤點標的參考原則：

盤點對象

盤點範圍

盤點標的

判斷是否納入盤點及汰換作業

公務機關、委外廠商
(含分包廠商)

硬體

  • 無論是否具有連網能力、資料處理或控制功能之資通訊設備皆屬盤點及汰換範圍。

  • 如：個人電腦、伺服器、無人機、印表機、網路通訊設備、可攜式設備及物聯網設備等。
  1. 如硬體設備係透過共同供應契約採購者，原則不列入盤點及汰換範圍。
  2. 辦理採購：
    1. 請原廠/代理商提供廠牌證明文件。
    2. 透過網路或相關可行管道查證其是否為大陸廠牌。

軟體及服務
  • 非客製化軟體/系統：如原廠(官方)提供之套裝軟體、開發工具或作業系統等。
  • 客製化軟體/系統：如自行或委外開發之應用軟體、系統軟體或APP等。
  • 人力資源
  • 網站及APP所提供的服務
  • 雲端服務
  • 電話諮詢
  • 其他類型服務
  1. 自行下載：
    應確保軟體或元件確實由原廠(官方)網站下載，如原廠(官方)為大陸廠牌者，應納入盤點及汰換。
  2. 自行開發：
    應確保開發環境、工具及套件等係由原廠(官方)網站下載，或是透過採購取得，並分別依第一項及第三項辦理盤點及汰換作業。
  3. 辦理採購：
    1. 透過共同供應契約採購者，原則無須盤點及汰換。
    2. 機關自行辦理採購非客製化軟體/系統者，請原廠/代理商提供廠牌證明文件。
  4. 委外開發：
    1. 如使用原廠(官方)網站下載之軟體或元件，請委外廠商辦理前揭第一項作業，並提供說明及切結文件。
    2. 如使用非客製化軟體/系統者，委外廠商應提供原廠/代理商之廠牌證明文件。
 

限制對外出租場域使用大陸廠牌資通訊產品

一、於學校 委外契約 或 場地租借使用規定，應明訂不得使用大陸廠牌資通訊產品。

二、針對現有委外契約，應協調廠商配合辦理或修正契約規定。

 

學生上課有時也會自備電腦，還有老師教學過程中的私人用品，會不會也受到限制？

教育部回應公務之資通訊產品，避免購買大陸廠牌，但私人的資通訊產品，就不在此範圍內。(目前尚無規範)