严查资安漏洞 台湾中科院人员下载敏感资料被判刑

严查资安漏洞 台湾中科院人员下载敏感资料被判刑

　　近日，台湾的中山科学研究院(中科院)一名技术人员因涉嫌复制无人登月机、反潜火箭等机密资料遭调查后，被法院判刑。有评论认为，相关人员广泛接触敏感资料，且能够复制后进行删除，凸显存在资安漏洞。

　　根据台媒中央社报道，检调调查发现，彭姓技师在中科院系统发展中心担任定期契约人员，2016年转任技术师，持有伺服器管理者权限。系发中心在2019年清查发现，被告在2018、2019年间多次于上班前、下班后前往机房，未经授权下载包括列为营业秘密及机密资料到伺服器个人资料夹。

　　被告辩称，“是执行业务上所需，非业务内资料则是帮同仁备份或汰换电脑时暂存，以防电脑重灌后资料不见。”桃园地方法院认为，彭男明知未经授权却下载、搜集机密档案，遭停权后却利用他人帐密删除，且犯后一再饰词否认，毫无悔意，依无故删除公务机关电脑之电磁纪录罪处有期徒刑8个月，可上诉。

　　曾经担任中科院雄三飞弹专案总工程师的张诚接受本台访问指出，中科院分密、机密、及极机密等级，指的是员工可以碰触(access)资料等级；按规定，中科院员工不能碰触与业务无关的资料。以他是雄三飞弹总工程师身份为例，就不能碰雄二飞弹相关资料。

　　张诚：“这位技师不但能接触雄三资料，还能接触垂直发射反潜火箭、无人登月机资料等，资料很广泛。我猜测，他应是资安管理人员。中科院过去在资安管理人员权限设定上，只能管权限，不能碰触资料。”

　　张诚解释，中科院规定，机敏作业一定要实体隔离。彭姓技术师能删除、复制资料，同时个人电脑还能有机敏资料，都是不正常的行为，资安存在漏洞。所幸，中科院内部的监视系统定期扫描个人电脑档案名称，事情才被揭穿。

　　中科院遭下载资料 首见台湾做反潜火箭先期研究

　　据《联合报》报道，调查发现，被告复制下载资料包括“无人登月机概念设计结案报告”、“垂直发射反潜火箭关键技术研发案结案报告”、“雄三飞弹性能提升与构型精改案结案报告”、“从事涉及国家机密事务人员名册”、“海剑二型飞弹垂直发射评估报告”，及包含“雄风”、“天剑”、“天弓”等多笔档案，均属机密文件，牵动国家安全。

　　张诚特别指出，彭姓技术师下载的其中一个很敏感的资料是“反潜火箭”。已经退役超过10年的张诚说，在此之前他完全不知道中科院在做“反潜火箭”先期研究：“这名技师的行为除非完全没有外泄，纯粹是个人情绪问题做删除与复制，否则刑期怎么会只有8个月？8个月刑期有吓阻作用？对国安的影响，8个月处罚不够重。”

　　今年7月，台湾的元智大学有两名中科院出身学者被传出赴中国任教的案例，当时遭质疑恐涉泄露国家机密的担忧。当时中科院回应表示，“遭指控的两名学者已离开中科院30年，当年均依规定要求，恪遵保密义务及完成切结。”

　　台湾的立法院在去年5月，三读通过《国家中山科学研究院设置条例》部分条文修正案：中科院人员不论涉密层级与否，都须经中科院核准才能出国；相关人员的出国申请、核准条件等，由国防部订定。