從中華電信高層反應看什麼是資安？

中華電信新聞稿

最近中華電信憑證管理中心根憑證被Chrome從預設信任名單移除事件，我作出了以下結論：中華電信由原本的技術失誤演變成憑證管理中心的管理問題，最後變成中華電信高層的資安治理問題，進而造成社會大眾對於資安觀念的誤解、數位信任的喪失、當責文化的扭曲及提高了國家安全的風險。

人難免會作錯事或失誤，但只要能及時矯正就能回歸常態，進入一個持續改善的正循環。最可怕的是對於事件的無知或無感，甚至是為了推缷責任所導致的一連串避重就輕的說法或謊言。從中華電信高層的反應，我看到了上述二點：

• 中華電信的新聞稿中宣稱【中華電信簽發的憑證完全合法合規】、【不受任何影響】，客氣的說法叫作與事實不符，但其實就是說謊。本次中華電信被除名就是因為不合規，社會大眾的信心已受到衝擊，但新聞稿中竟然還敢用【完全】、【任何】這種犯大忌的用語！
• 中華電信宣稱憑證遭Google撤銷【不涉及資安】。這種陳述代表了觀念跟態度都出問題。什麼是資安？在中華電信眼中，只有資通系統的軟體及硬體的安全漏洞才叫作資安問題，制度流程出問題、人員舞弊或能力不足，民眾信心流失都不是資安問題，這很顯然是資安觀念出問題！會有這樣的說法也有可能因為資通安全法通過後，資安問題成為社會大眾注目的焦點，為了轉移焦點才把宣稱本次事件與資安無關。從我的觀點，這就是態度出問題。
• 中華電信高層說【中華電的工程師也要檢討】。本次事件起源於技術問題，當然工程師的專業度、警覺性與敏感度都值得檢討。但從我個人的角度來看，中華電信高層對資安的認識、當責思維及危機處理對全台灣才是影響更廣、更深遠的因素，更值得深刻檢討！

資訊安全不只涉及資料保護，舉凡跟資料處理相關的人、事、物都要納入考量。換句話說，資通安全不是只看資訊或通訊系統相關的電腦或IT相關的軟、硬體。只要涉及資料處理的人、事(流程、制度)、物(軟硬體等資源)的相關資源或資產都是資安應考量的範疇。只有採用這種把與資料處理相關的人、事、物都要納入考量的【系統式思考】，我們才比較能達成資安的目標與實現資安的願景。

那什麼是資安呢？資安主要在保護資料，以及保護跟處理資料有關的資源（以上通稱資產），讓組織有安全的流程以持續交付產品及服務，並持續為組織創造價值、實現組織的使命與願景。

最後，資安即國安！作好資安讓我們對資通系統有信心，生活放心又安心，未來更美好、更幸福！

上報新聞報導

來源：上報

歡迎轉發，本人為文章負責。