立法院司法及法制委員會日前開始審查6個版本的「資通安全管理法草案」。此草案是行政部門首次以國家安全需求訂定的法案，對未來網路發展影響甚鉅。草案涵蓋了公務機關、民間關鍵基礎設施業者，均應落實資安通報及應變機制。

國內2016年曾發生一銀ATM遭盜領、2017年股票券商遭受攻擊，加上國際駭客也頻頻入侵台灣網路，政府除了要確保資訊科技安全，也要維護人民使用網路的自由。該草案除規範公務機關外，對於非公務機關如關鍵基礎設施提供者、公營事業及政府捐助達一定比例的財團法人等民間機構也不例外，甚至還有罰則。

該草案第5條規範「行政院得委任或委託其他公務機關、法人或團體，辦理資通安全整體防護」，然而委任或委託時，政府是否有足夠的人力進行稽核，令人擔憂。行政院理應鼓勵建構民間高效資安與整合近10種相關法律，但草案中未限定日期，將來可能導致不明確或相互衝突的法規，造成行政作業的浪費。

此外，草案第15條規定「主管機關應指定關鍵基礎設施提供者，並將其清單報請行政院核定之」，等於管制了私人設施與資產，是否有其必要？美、日對此都採高密度管制措施，特定構面必須維持一定程度的機密性，所以並未揭露相關清單。亦即要避免過度的戒嚴法制，製造政府與人民衝突，故僅規範政府機關、公營事業及政府捐助之財團法人即可，毋須擴及民間業者。

令人憂心的還有草案第18條「當主管機關在稽核民間機構時，如果認為有重大缺失、有必要予以調查時，得派員進行檢查，並得命民間機構提供資料，且不得規避、妨礙或拒絕檢查。」此類行政檢查的不確定法律概念，如「重大缺失」、「必要性」，並未有其詳盡的定義，主管機關裁量權亦未經過審核許可程序，對民間機構的基本權利、通訊隱私、營業祕密顯然保障不足！

換言之，行政機關不需法院核發搜索令，即得逕自派員扣查設備和罰款，甚至據此監控非公營機構的伺服器或資料。法條已然賦予「先斬後奏」的強制性質，如何拿捏令人疑慮！

加上草案第18條，也未說明資通安全的評估與標準，藉以防範侵害人民基本權利，以此空白授權存有模糊地帶，極有可能為了國家的資通安全，造成人民的資通不安全。所以，理應遵守司法院大法官釋字394號規範，行政處罰要件必須具體明確。勿以擴張解釋或擴充規範的行政命令，侵害人民通訊自由的憲法權利。

這部法令國內確實需要，但如何建立預防性、及時性、反擊性的國家資安防護體系更是重要。我們必須嚴肅面對全球的挑戰，也要嚴肅防止「白色恐怖」復辟，一方面避免政府藉故打壓或侵犯民間業者，一方面也應積極整合、充實資安資源，才是國家與人民之福！

（本文已刊登於106.11.7 中時電子報）