|
00:00:03,823 |
00:00:07,145 |
魯委員明哲 |
謝謝主席，有請數位部林部長。 |
|
00:00:07,145 ≈
|
00:00:08,145 |
主席 |
請數位部林部長。 |
|
00:00:08,145 ≈
|
00:00:09,145 |
魯委員明哲 |
資安院林院長。 |
|
00:00:07,486 |
00:00:10,167 |
主席 |
請資安院林院長。 |
|
00:00:10,167 |
00:00:12,068 |
魯委員明哲 |
資安署蔡署長。 |
|
00:00:12,328 |
00:00:12,628 |
主席 |
請蔡署長。 |
|
00:00:12,628 |
00:00:14,709 |
林部長宜敬 |
委員早安。好。 |
|
00:00:21,249 |
00:00:26,813 |
魯委員明哲 |
上次4月8號質詢你，特別談到資安院發生內鬼的問題。 |
|
00:00:26,813 ≈
|
00:00:53,838 |
魯委員明哲 |
（播放影片） |
|
00:00:53,838 |
00:01:17,085 |
魯委員明哲 |
現在回來看4月8號你對於我詢答給的答案，當時林院長也站在旁邊，院長可以上來一點，我看你支支吾吾的，我回看這個影片，我自己都快笑出來了，我真的很佩服你們。 |
|
00:01:17,085 |
00:01:23,628 |
魯委員明哲 |
請問一下，部長，你先答一下好了，我4月8日問你，在1個月之前，大概3月，你知道嘛。是。 |
|
00:01:24,688 |
00:01:38,721 |
魯委員明哲 |
到現在為止，檢調5月12日又衝進去，我覺得這真的丟人丟到世界去，搜索第二次，那請問一下，你現在查的狀況是怎麼樣？ |
|
00:01:38,721 |
00:01:39,903 |
魯委員明哲 |
查到哪個層級？ |
|
00:01:39,903 |
00:01:42,045 |
魯委員明哲 |
還要檢調進去抓人，還是你自己知道？ |
|
00:01:43,165 |
00:02:01,559 |
林部長宜敬 |
跟委員報告一下，並不是因為我們沒有辦法，所以才找調查局，本來調查這種事情，自己內部調查以後，我們是希望由調查局來調查，這是比較客觀的，這樣有些事情才查得出來。 |
|
00:02:01,559 |
00:02:03,401 |
魯委員明哲 |
那你行政的部分到底做了什麼？ |
|
00:02:03,401 |
00:02:21,608 |
魯委員明哲 |
來，我們來看一下，明明就有很多線報，然後有很多吹哨者很努力地在人群中一直舉手，今天你的署長上來，你是董事，你代表董事會，我待會會問你，你不是署長，你們董事到底幹了什麼事？ |
|
00:02:21,928 |
00:02:22,549 |
魯委員明哲 |
到底懂不懂事？ |
|
00:02:22,729 |
00:02:23,428 |
魯委員明哲 |
待會你要說明一下。 |
|
00:02:24,128 |
00:02:33,892 |
魯委員明哲 |
1月20日吹哨者就向卓院長舉報林院長觸法，這件事情是真的假的，不知道，我每次都說，如果是假的，要馬上還人家清白，對不對？ |
|
00:02:33,892 |
00:02:37,374 |
魯委員明哲 |
如果是真的，我們還在那邊質詢什麼？ |
|
00:02:37,374 |
00:02:37,854 |
魯委員明哲 |
什麼東西啊！ |
|
00:02:38,473 |
00:02:46,788 |
魯委員明哲 |
然後1月23日院長轉給你們，由你們數位部回復當事人，這個案子正在調查中。 |
|
00:02:47,948 |
00:02:48,609 |
魯委員明哲 |
你知不知道這個檢舉案？ |
|
00:02:49,611 |
00:02:49,891 |
魯委員明哲 |
調查如何？ |
|
00:02:50,512 |
00:02:52,773 |
魯委員明哲 |
請說一下。是。 |
|
00:02:53,375 |
00:02:55,357 |
魯委員明哲 |
你數位部回的嘛。是。 |
|
00:02:58,140 |
00:02:58,680 |
林部長宜敬 |
舉發觸法，你指的是這一條嗎？ |
|
00:03:03,220 |
00:03:05,362 |
林部長宜敬 |
還是那個…… |
|
00:03:06,403 |
00:03:15,188 |
魯委員明哲 |
舉發這件事情不是到副主任，有可能是院長的一個指示，林院長，這個部分，你有沒有看到這個訊息？ |
|
00:03:16,750 |
00:03:19,832 |
林部長宜敬 |
如果是照這個訊息來講，因為是向卓院長舉發，通常這種舉發算是…… |
|
00:03:20,072 |
00:03:31,384 |
魯委員明哲 |
他檢舉資安院的林院長，你們回復立案調查中，有結果就回復，這個回復了沒有？ |
|
00:03:32,043 |
00:03:33,426 |
魯委員明哲 |
你們調查結果出來了沒有？ |
|
00:03:33,506 |
00:03:33,766 |
魯委員明哲 |
還是誰知道？ |
|
00:03:34,207 |
00:03:34,627 |
魯委員明哲 |
你們誰在調查？ |
|
00:03:35,187 |
00:03:36,890 |
林部長宜敬 |
我們請資安署署長來說明，好不好？ |
|
00:03:36,970 |
00:03:39,572 |
魯委員明哲 |
你們有收到這個案子，調查結束了沒有？ |
|
00:03:40,493 |
00:03:48,943 |
蔡署長福隆 |
跟委員報告，有關於檢舉院長這個部分，因為院長是一個管理者，所以是交由董事長來處理。 |
|
00:03:49,884 |
00:03:50,924 |
魯委員明哲 |
由董事長嘛？ |
|
00:03:50,924 |
00:03:52,286 |
蔡署長福隆 |
對，因為院長的事情…… |
|
00:03:52,427 |
00:03:58,973 |
魯委員明哲 |
你們董事會3個月開一次會，在事發之後你們開過幾次董事會？ |
|
00:03:58,973 |
00:03:59,414 |
蔡署長福隆 |
開過三次，其中…… |
|
00:04:00,516 |
00:04:00,976 |
魯委員明哲 |
董事會有沒有處理？ |
|
00:04:02,538 |
00:04:03,098 |
蔡署長福隆 |
這個部分是由…… |
|
00:04:03,378 |
00:04:04,999 |
魯委員明哲 |
不是，如果是冤枉的，你就幫他伸冤嘛。 |
|
00:04:05,539 |
00:04:09,723 |
魯委員明哲 |
如果有事實，人家拿這麼多事實在裡面的話，到底這個事實是不是真的？ |
|
00:04:10,042 |
00:04:11,743 |
魯委員明哲 |
有沒有討論這個事情？ |
|
00:04:12,065 |
00:04:30,256 |
蔡署長福隆 |
有，跟委員報告，因為是院長的事情，所以我們特別在董事會裡面，請監察人組一個專案的調查小組調查，也找外面的法律專家跟學者一起參與這個調查小組調查，調查結果之後有送給董事長來…… |
|
00:04:30,256 |
00:04:33,058 |
魯委員明哲 |
所以你們那個李董事長是不是在護航？ |
|
00:04:33,497 |
00:04:34,078 |
魯委員明哲 |
我也不清楚啊。 |
|
00:04:34,558 |
00:04:48,062 |
魯委員明哲 |
你們覺得丟人還丟得不夠，很多事情，你們自己如果發覺是事實，你們還要說大家來查我，然後會不會真的查好了……我相信早晚事實會露出來嘛。 |
|
00:04:48,542 |
00:04:57,088 |
魯委員明哲 |
部長，再請教你，我上次請教你的時候，你不知道事情的範圍，現在看起來你還是沒有很清楚，當時林院長好像也答…… |
|
00:04:58,410 |
00:05:16,345 |
林部長宜敬 |
並不是說我不清楚，因為在調查的過程中，當然有正反兩方的意見，我現在如果公開講這些事情的話，在檢調調查的過程中，我們通常都講偵查不公開，我事實狀況都有掌握到，可以說的部分就是可以說，不能說的部分我當然不能說，否則我本身會違法。 |
|
00:05:16,905 |
00:05:23,273 |
魯委員明哲 |
是，如果真的違法的人還站在這邊，我們來質詢，還在跟他聊這個案情，會不會有一天會變得很無聊？ |
|
00:05:23,573 |
00:05:24,555 |
魯委員明哲 |
我真的很擔心這個事情。 |
|
00:05:25,457 |
00:05:32,325 |
魯委員明哲 |
5月12日第二次搜索，向上發展，已經有三個人涉案，現在第四個人是許副主任，案情會不會向上延伸呢？ |
|
00:05:32,706 |
00:05:34,407 |
魯委員明哲 |
那我請問一下林盈達院長。 |
|
00:05:36,017 |
00:05:50,773 |
魯委員明哲 |
院長，我請問一下，這個事情只有兩種發展的可能性，第一個是這三、四個人自己偷偷做，莫名其妙這三、四個人就串在一起了，一起一心一德去做一件事情，這也是一種可能性，他們是自發性的。 |
|
00:05:52,174 |
00:05:59,059 |
魯委員明哲 |
第二種是這根本是一個行政的指示，行政指示用社交工程去攻擊我們自己的這個部分。 |
|
00:06:00,520 |
00:06:13,430 |
魯委員明哲 |
就你所知，許副主任上面，不管是院長、副院長，有沒有人指示透過郵件主機的漏洞，去做社交工程的練習？ |
|
00:06:13,430 |
00:06:16,673 |
魯委員明哲 |
你知道這是一個行政指示，還是他們幾個共謀？ |
|
00:06:21,319 |
00:06:32,345 |
林院長盈達 |
到目前為止，這是許副主任的指示，這是目前我們行政調查所看到的。 |
|
00:06:34,385 |
00:06:46,892 |
林院長盈達 |
檢調有兩波約談，第一波約談主要是根據我們院內掌握在伺服器上的數位足跡，有鎖定幾個對象進行約談。 |
|
00:06:47,493 |
00:06:59,259 |
林院長盈達 |
這一波約談之後，我們有做出解聘的動作，因為他們違反勞動契約裡面不得試探非己業務的機密…… |
|
00:06:59,259 ≈
|
00:07:00,259 |
魯委員明哲 |
林院長…… |
|
00:06:59,459 |
00:07:14,266 |
林院長盈達 |
第二波約談是根據檢調所掌握的個人電腦跟手機上面的數位足跡，我們會找檢調介入調查。 |
|
00:07:14,726 |
00:07:24,792 |
林院長盈達 |
主要的原因也是在這裡，因為我們沒有公權力介入，去調查同仁的個人電腦跟手機。 |
|
00:07:24,792 |
00:07:33,256 |
魯委員明哲 |
林院長，請問一下，你跟第一次涉案的彭敏君組長，你們本身之前熟不熟？ |
|
00:07:33,576 |
00:07:35,638 |
魯委員明哲 |
在你來資安院的時候，之前熟不熟？ |
|
00:07:37,805 |
00:07:40,269 |
林院長盈達 |
我們在資安院裡面才變熟的。 |
|
00:07:40,450 |
00:07:49,578 |
魯委員明哲 |
那是你在資安院的前身──資安作業中心的同事，對不對？對。好。 |
|
00:07:49,658 |
00:07:53,802 |
魯委員明哲 |
有人說他是你的愛將，但我沒有證明，是怎麼回事？ |
|
00:07:54,444 |
00:08:02,732 |
魯委員明哲 |
因為這個事情很奇怪嘛，在你們資安院，一般這種用駭客去練習，這是誰的工作？ |
|
00:08:02,872 |
00:08:08,918 |
魯委員明哲 |
是檢測中心的工作啊，一個不同的單位，怎麼會交代前瞻中心組長？ |
|
00:08:13,292 |
00:08:16,413 |
魯委員明哲 |
去年3月19日，你有沒有開過一個會？ |
|
00:08:16,413 |
00:08:23,375 |
林院長盈達 |
委員可能把社交工程演練的部分跟漏洞的部分搞在一起。 |
|
00:08:23,434 |
00:08:35,457 |
魯委員明哲 |
你去年3月19日開主管會議，內部在業務討論中間，有沒有討論到資安社交工程、郵件攻擊跟線上報告？ |
|
00:08:37,338 |
00:08:37,459 |
魯委員明哲 |
你還記得這個會議嗎？ |
|
00:08:40,990 |
00:08:48,013 |
林院長盈達 |
他有跟我提要做比較高強度的社交工程演練，我當時有同意。 |
|
00:08:48,834 |
00:08:49,174 |
魯委員明哲 |
你有同意嘛？ |
|
00:08:49,614 |
00:08:49,854 |
林院長盈達 |
我同意他進行。 |
|
00:08:50,875 |
00:09:00,479 |
魯委員明哲 |
當時彭敏君主管跟你的報告的題目叫做「資安院社交工程、郵件攻擊分析」，報告完之後，到底是誰准的？ |
|
00:09:00,918 |
00:09:07,522 |
魯委員明哲 |
你剛剛講你有同意，所以你同意了這件事情，你同意這件事情，這樣事情是不是後續就發生了？ |
|
00:09:07,982 |
00:09:08,661 |
魯委員明哲 |
到底是怎麼回事？ |
|
00:09:09,242 |
00:09:18,265 |
林院長盈達 |
這跟後續他們所開發的系統，透過各種伺服器軟體…… |
|
00:09:18,265 |
00:09:19,305 |
魯委員明哲 |
所以你同意的是什麼？ |
|
00:09:19,986 |
00:09:20,806 |
魯委員明哲 |
同意社交工程？ |
|
00:09:21,367 |
00:09:40,437 |
魯委員明哲 |
其實原本很多人搞不清楚什麼叫社交工程，跟駭客有什麼關係，駭客覺得寫程式去攻擊太麻煩了，而且這種陌生的東西大家現在都很警戒，社交工程就用你的朋友來寄送郵件，例如用我上司的身分寄一封信給我，用你熟悉的人事物去騙比較快，所以用這種社交工程做郵電攻擊。 |
|
00:09:40,437 |
00:09:57,335 |
魯委員明哲 |
你確認，你也承認了3月19日你有同意這件事情，只是你不知道這個事情他們是這樣去做，他們就是攻擊你報告中說的郵件主機，我把資料拿出來。 |
|
00:09:57,335 |
00:10:15,150 |
林院長盈達 |
委員，我只有同意社交工程演練，沒有同意去利用漏洞，這兩件事是獨立的，他們後續有利用漏洞去抓院內的資料，那是另外一件事情，但是我沒有同意，我也不支持。 |
|
00:10:15,410 |
00:10:19,572 |
魯委員明哲 |
社交工程裡面，某種程度不是就在找哪裡有漏洞可以去攻擊嗎？ |
|
00:10:21,573 |
00:10:49,066 |
魯委員明哲 |
其實我講真的，開會又不是只有你一個人，一堆訊息都傳出來，也寄到卓院長的辦公室，也給數位部了，董事會也知道了，因為在去年這件事情之後，6月份稽核室調查報告，這兩個人都離職了，一個姓柳，一個姓劉，寫一個報告，很詳細，一清二楚，3月19日發生什麼事，結果向上報董事會，董事會你們在幹什麼？ |
|
00:10:51,130 |
00:10:53,230 |
魯委員明哲 |
李董事長帶這些董事在做什麼？ |
|
00:10:53,230 |
00:10:59,151 |
魯委員明哲 |
向上報告了，向院長報告，向部裡面檢舉，檢舉人舉手舉到這種地步。 |
|
00:11:00,871 |
00:11:33,091 |
魯委員明哲 |
請問一下，當時這麼多人知道郵件主機有漏洞，有漏洞你不修復，然後這個前瞻中心的彭姓主任根本不是你們檢測中心的人，他被交辦這件事情，來做一個演練，這件事情稽核室兩位人員的報告裡面都描述得很清楚，所以我來問你這件事情，因為你們的稽核報告也寫得很清楚，我不知道要怎麼說。 |
|
00:11:33,891 |
00:11:47,671 |
魯委員明哲 |
我們再來看，在第二次搜索的前一天，我不知道你們是不是得到線報，你們馬上開了一個緊急會議，你們緊急會議都這樣講，裡面的內容是什麼？ |
|
00:11:47,671 |
00:12:14,349 |
魯委員明哲 |
緊急會議管理稽核報告說，114年3月19日，特殊社交工程演練專案起源，本來是要確認院內的email server有沒有存在漏洞而辦理，不符合演練目的，你們自己都去檢討，說很抱歉，當時你同意叫他們去演練，卻不符合演練的目的，這是你們內部的一個稽核表和文件。 |
|
00:12:15,091 |
00:12:17,072 |
魯委員明哲 |
6月25日，你們自己要答案嘛。 |
|
00:12:17,933 |
00:12:23,556 |
魯委員明哲 |
第二，執行當時為了符合既有標準流程權責分工。 |
|
00:12:25,757 |
00:12:38,967 |
魯委員明哲 |
第三，114年3月都在講這個，特殊社交工程演練專案，冒用主管同仁的名義使用電子郵件，違反員工資訊安全的責任。 |
|
00:12:39,469 |
00:12:54,437 |
魯委員明哲 |
其實你們在這個檢討報告裡就說你們幹了違法的事情，不管是資訊管理還是個資法，就說去年3月的這一場會議，你主導的會議，居然會允許這個事情持續發生，你有沒有責任？ |
|
00:12:56,451 |
00:13:16,931 |
林院長盈達 |
跟委員報告，這個部分，我有部分責任，這兩件事，一個是社交工程演練的發動必須要有一定的程序，當時我沒有完全照那個程序，所以在稽核室的檢討裡面有說，這個演練必須要有一定的程序。 |
|
00:13:18,013 |
00:13:36,700 |
林院長盈達 |
第二個是，剛剛委員講的這個漏洞是另外一件事，也就是說，他們利用這個漏洞去做後續各種抓取院內的資料，這個是另外一件事，剛剛委員把這兩件事結合起來，一起講就會變成混淆，這是兩件不一樣的事。 |
|
00:13:36,940 |
00:13:43,601 |
魯委員明哲 |
你准許他用社交工程去做一些類似駭客的東西，所以都不用監督？ |
|
00:13:44,861 |
00:13:52,184 |
魯委員明哲 |
交代一件事情讓他去做，但是他怎麼樣去做、他怎麼打這麼用力，你就說：「我沒有叫他打這麼用力。 |
|
00:13:52,664 |
00:13:53,125 |
魯委員明哲 |
」我的天啊！ |
|
00:13:54,164 |
00:13:57,645 |
魯委員明哲 |
後面他持續在做，你們交代下去，不用監督啊？ |
|
00:13:58,246 |
00:14:02,588 |
魯委員明哲 |
你們不用持續監督，他不用回報，這個主管會議是不是一個月開一次？ |
|
00:14:03,769 |
00:14:05,611 |
魯委員明哲 |
進度誰來監督？ |
|
00:14:06,411 |
00:14:09,334 |
魯委員明哲 |
你們資安院這樣搞的話，我們就很沒有信心，你知道嗎？ |
|
00:14:09,334 |
00:14:09,813 |
魯委員明哲 |
很沒有信心。 |
|
00:14:10,355 |
00:14:14,338 |
魯委員明哲 |
你代表董事會，我最後問一下，算了，其他也不要講了，你們這個董事會到底在幹什麼？ |
|
00:14:14,358 |
00:14:17,400 |
魯委員明哲 |
現在這個資料是去年年中的稽核報告，去年就給你們董事會了，你們董事會、董事長在包庇是不是？ |
|
00:14:29,582 |
00:14:43,108 |
魯委員明哲 |
這整個事情搞成這樣，然後在去年3月份的一場會議，剛剛院長說的，我也同意了，但是社交工程你問駭客是什麼嘛？ |
|
00:14:43,690 |
00:14:47,190 |
魯委員明哲 |
就是透過人脈去攻擊，那攻擊什麼？ |
|
00:14:47,190 |
00:14:50,653 |
魯委員明哲 |
你現在怪他攻擊得太大力，或者方式不對，莫名其妙。 |
|
00:14:51,352 |
00:14:52,352 |
魯委員明哲 |
請問一下，你們在董事會有沒有討論過這個問題？ |
|
00:14:54,404 |
00:14:55,045 |
林院長盈達 |
跟委員報告…… |
|
00:14:55,404 |
00:14:59,908 |
魯委員明哲 |
這是5月11日的報告，是不久前的報告。是。 |
|
00:15:01,109 |
00:15:08,615 |
蔡署長福隆 |
董事會裡面會針對稽核室的這個稽核計畫跟稽核結果，來做一些相關的討論，這個是會有的。 |
|
00:15:09,115 |
00:15:12,378 |
蔡署長福隆 |
至於細節的部分，我想在董事會裡面不會談到這麼細。 |
|
00:15:12,638 |
00:15:32,036 |
蔡署長福隆 |
剛剛院長也特別提到電子社交工程這件事情，整個過程中或許有一些瑕疵，不過院長的用心還是希望能更仿真，更符合真實的狀況，才會用院內同仁的名義送社交工程郵件，出發點還是希望提高同仁在使用資料上的警覺…… |
|
00:15:32,036 |
00:15:36,279 |
魯委員明哲 |
這個業務應該是檢測中心來做，為什麼跳過他們給其他單位，由彭組長來做？ |
|
00:15:36,460 |
00:15:37,960 |
魯委員明哲 |
你們都沒有去瞭解嗎？ |
|
00:15:38,842 |
00:15:42,805 |
蔡署長福隆 |
剛剛院長也說明了，那個程序上的確是有一點點瑕疵。 |
|
00:15:42,946 |
00:15:47,029 |
魯委員明哲 |
好啦，就是一點點的誤會發生一件大事。 |
|
00:15:47,509 |
00:15:58,217 |
魯委員明哲 |
部長，最後我還是拜託你，因為內部的行政調查有其急迫性，司法去調查，最終結果可能要等一年、兩年，如果要靠這個，這樣是不行的，好不好？ |
|
00:15:58,898 |
00:16:01,700 |
魯委員明哲 |
我們希望你們內部有一些努力，謝謝。是。OK。 |
|
00:16:01,921 |
00:16:01,940 |
林部長宜敬 |
謝謝委員。 |
|
00:16:02,440 ≈
|
00:16:07,012 |
主席 |
好，謝謝魯明哲委員，謝謝部長，謝謝院長。 |
|
00:16:07,312 ≈
|
00:16:10,169 |
主席 |
接著請鍾佳濱委員發言。 |
|
00:16:10,469 ≈
|
00:16:12,755 |
主席 |
鍾佳濱、鍾佳濱不在。 |
|
00:16:13,055 ≈
|
00:16:16,198 |
主席 |
接下來請王鴻薇委員發言。 |