严查资安漏洞 台湾中科院人员下载敏感资料被判刑

Rosanna

资料图片：雄风二型的反舰飞弹是中山科学研究院以美国鱼叉反舰飞弹的功能为目标发展的反舰飞弹。

近日，台湾的中山科学研究院(中科院)一名技术人员因涉嫌复制无人登月机、反潜火箭等机密资料遭调查后，被法院判刑。有评论认为，相关人员广泛接触敏感资料，且能够复制后进行删除，凸显存在资安漏洞。

根据台媒中央社报道，检调调查发现，彭姓技师在中科院系统发展中心担任定期契约人员，2016年转任技术师，持有伺服器管理者权限。系发中心在2019年清查发现，被告在2018、2019年间多次于上班前、下班后前往机房，未经授权下载包括列为营业秘密及机密资料到伺服器个人资料夹。

被告辩称，“是执行业务上所需，非业务内资料则是帮同仁备份或汰换电脑时暂存，以防电脑重灌后资料不见。”桃园地方法院认为，彭男明知未经授权却下载、搜集机密档案，遭停权后却利用他人帐密删除，且犯后一再饰词否认，毫无悔意，依无故删除公务机关电脑之电磁纪录罪处有期徒刑8个月，可上诉。

曾经担任中科院雄三飞弹专案总工程师的张诚接受本台访问指出，中科院分密、机密、及极机密等级，指的是员工可以碰触(access)资料等级；按规定，中科院员工不能碰触与业务无关的资料。以他是雄三飞弹总工程师身份为例，就不能碰雄二飞弹相关资料。

张诚：“这位技师不但能接触雄三资料，还能接触垂直发射反潜火箭、无人登月机资料等，资料很广泛。我猜测，他应是资安管理人员。中科院过去在资安管理人员权限设定上，只能管权限，不能碰触资料。”

资料图片：天弓三型武器系统为陆基型地对空防御系统，系由中科院自行研制。（中科院提供）

张诚解释，中科院规定，机敏作业一定要实体隔离。彭姓技术师能删除、复制资料，同时个人电脑还能有机敏资料，都是不正常的行为，资安存在漏洞。所幸，中科院内部的监视系统定期扫描个人电脑档案名称，事情才被揭穿。

中科院遭下载资料 首见台湾做反潜火箭先期研究

据《联合报》报道，调查发现，被告复制下载资料包括“无人登月机概念设计结案报告”、“垂直发射反潜火箭关键技术研发案结案报告”、“雄三飞弹性能提升与构型精改案结案报告”、“从事涉及国家机密事务人员名册”、“海剑二型飞弹垂直发射评估报告”，及包含“雄风”、“天剑”、“天弓”等多笔档案，均属机密文件，牵动国家安全。

张诚特别指出，彭姓技术师下载的其中一个很敏感的资料是“反潜火箭”。已经退役超过10年的张诚说，在此之前他完全不知道中科院在做“反潜火箭”先期研究：“这名技师的行为除非完全没有外泄，纯粹是个人情绪问题做删除与复制，否则刑期怎么会只有8个月？8个月刑期有吓阻作用？对国安的影响，8个月处罚不够重。”

今年7月，台湾的元智大学有两名中科院出身学者被传出赴中国任教的案例，当时遭质疑恐涉泄露国家机密的担忧。当时中科院回应表示，“遭指控的两名学者已离开中科院30年，当年均依规定要求，恪遵保密义务及完成切结。”

台湾的立法院在去年5月，三读通过《国家中山科学研究院设置条例》部分条文修正案：中科院人员不论涉密层级与否，都须经中科院核准才能出国；相关人员的出国申请、核准条件等，由国防部订定。

RFA