跳至主要內容

從「Privacy 是人權議題,由政府來立法保護,Security是 Nice to have」所引發的聯想



昨天下午參加了iThome所舉辦的2017台灣資安大會,其中一場講座的講者講了這麼一句話:
Privacy 是人權議題,由政府來立法保護,Security是 Nice to have
雖然在各個領域裡不斷強調要教育廠商、工程師、使用者(消費者)在產品與服務開發過程、使用過程中都要有資訊安全的概念,但說真的很不容易,以目前台灣的使用情境而言不是每個人都有保護自己、他人的隱私的觀念。

  • 案例一:有次在超商購物,聽到在咖啡座上,有個客人的電話應答:「XXX小姐您好,…您的出生年月日是XX年X月X日,身份證字號是0000000000,地址是…」我訝異的轉頭望向他,這位先生知道他已經在公共場合洩露他人的個資了嗎?
  • 案例二:中國的通訊軟體微信,一直以來都有使用者訊息被監控的情形出現。當我建議周遭的朋友們不要使用這款軟體時,他們會回應我:「我又不是什麼大人物,有什麼好擔心的。」
  • 案例三:總是會有因為使用者不當的操作或安裝了有安全疑慮的程式讓自己手機被入侵,使私密影片、照片,被公開社群網站上。更不用說四處打卡,連在家中也要打卡、拍攝自家內部裝潢給人看、讓人知道你的作息的人,只要有心人都能知道你家中什麼時間有沒有人在家。
在這樣的氛圍裡,我不禁有種:「私領域的不關心造就了危險的公共使用環境」的想法。由於民眾不願意對自己的行為負責,把保護自己與家人個資的責任交給政府,反而可能造成政府不當擴張權力的情況,例如不當的監控行為,甚至因為採購案,而讓不肖的廠商有機可趁。

由於隱私與人權有關,在理想的情況下,排除了利益團體為了盈收、政客為了選票…等情況下所預設的理想狀況,政府立法保護人民隱私,避免人民因為隱私外洩而造成的損失、人身安全、遭受歧視與不人道的對待,規範的對象是服務提供者與產品生產者,提醒他們有保護使用者隱私的責任。

政府所謂的「資訊安全」應該是環境面,著眼點應該是關鍵基礎建設,如水、電、能源運用等,如何讓人民維持日常生活、經濟事務活動運作,而不會因為資安危機導致服務中斷、破壞日常作息。在這樣的方向下,台灣出現了個人資訊保護法(簡稱個資法)及目前尚在草案狀態的資通安全管理法(簡稱資安法)。政府立法保護人民的隱私權、個資,廠商在法律規範下將資訊安全保護設計至生產流程中,這樣才能事半功倍,也才能避免政府或是有心人士過度擴張權力。

文章標題中的「Nice to have」是指廠商在生產、提供產品及服務時,能夠有安全措施及保護,對使用者來說,可以增加對產品與廠商的信心,也能提高品牌價值。但站在服務提供者、產品生產者的角度來說,安全問題是成本與風險的概念,利潤更是企業經營的重大考量。廠商把資安作法設計至生產流程中,可能會增加生產成本(例如資安強度增加時如何有順暢的使用者流程?這都要再請人設計,很多產品因為強調資安,使用者流程反而不順暢),成本增加,又想提升利潤,就必須提高產品售價;市場中的消費者想要便宜又好用的產品,對於資安、隱私保護觀念強度不夠,就算強調資安保護,消費者還是會以「價格高低」為優先考量。

以上所提的是理想的狀況。事實上台灣的個資法、資安法,雖然立意良善,但仍因為政治因素的干擾,呈現尚需改進的狀況。

在Facebok的台灣網路治理論壇社團討論時,有人提到了政府的監控與言論管制是與資訊安全有所抵觸的。

我的看法是,「監控」是政府站在國家安全的角度去行使他的權力,為了避免濫用權力,也有明確的法律限制政府該怎麼做,台灣目前有通訊保障及監察法通訊保障及監察法施行細則,其中通訊保障及監察法第五條來規範在什麼情形下可以進行監控。言論控制、監控是手段不是目的,要看政府這麼做的目的是什麼。以資訊安全或國家安全之名行言論監控之實,是政府明顯濫用權力的行為,對應的解決作法是人民的反監控,明確立法或修法規定國家在行使這樣權力時的行為,並時時監督政府有無濫用不該進行的監控。

另外一種談論「言論監控」、「言論審查」的情境可能也是與網路使用者人身安全相關,例如言語霸凌、假新聞、謠言,這些可能導致社會不安、危害社會秩序。在亞太區網路治理論壇上聽到的案例是,當網路發言者的IP、真實姓名被公布時,他可能就會喪失性命。在這樣的情況下,就要再另外討論,例如政府、網站維護者對於使用者的保護程度。

台灣的資安法與相關的執行細則是處於草案的狀態,但部份的條文總讓讓人不安、讓人無法信任。原因在於:

  1. 政府內部的資訊安全人才不足,儘管有培訓計畫,一個是緩不濟急,另一個是這些培訓出來的人要如何因應未知的資安危機?如果是外部聘入,當任期結束時,後續的處置要怎麼延續?
  2. 以政府的角度是希望公務機關依循行政院的通報機制,地方政府也要成立通報機制與資安單位,以大都市帶周邊城鄉的觀念來建立地區型的資安通報機制。現實面是,如果是駭客要攻擊,他一定先攻擊這些目標:大城市、金融業、交通、重要的民生設施、資訊中心,鄉下地方可能還會因為台灣網路基礎建設落差的關係,成為攻擊目標的機會反而較低,但有可能會成為攻擊的起點或跳板。從另一個角度看,也許還需要鼓勵產業間自己成立所謂的資安通報機制及應變手段,也許會更有效率,更能促進產業之間的人才交流,對於公務機關的負擔可能較沒有那麼重。
  3. 所謂的關鍵基礎設施其實不止水、電、能源等基礎設備,比如跨境電商,只要有影響到民眾日常生活與經濟活動的服務,就算是「關鍵基礎設施」。這樣的定義又更模糊了,雖然規定委託檢查的單位若是觸及敏感的公司資訊是不能外洩,但看到就是看到了啊!
  4. 諸多限制的目的是為了什麼?似乎已經到限制網路使用者自由使用網路的極限,這些限制也限縮了網路創業者的發展空間。
  5. 更糟糕的是,這些法令對於國外的廠商似乎發揮不了作用,國外業者可能選擇撤離台灣,卻緊緊限制了國內的業者。

先前曾經想過,由於政府積極的發展智慧城市,但智慧城市裡首要考量的就是安全的資料傳輸環境,屬於高度資訊安全需求的使用情境,若是由政府打造所謂安全的資料傳輸環境,會不會變成如中國一樣除非翻牆不然就是與世隔絕的網路環境?或是政府時時都在監控的通訊環境?

但能確定的是,如果人民、使用者不注意自己、家人、朋友的隱私,把自己該負的責任都交給政府時,就會讓政府、居心叵測的投機者對法規進行不當的設置,再來爭取所謂的「自由的網路使用環境」也就無任何意義了。

文章圖片取用自Pixabay

留言

此網誌的熱門文章

[抄書]無有歌

忘了是大二還是大三,我修了一門課叫「世界宗教及其對話」,一般學生除非對宗教有興趣,不然是不會修這門課,畢竟這門課的老師是傳說中的大刀,而這代的年輕人對於宗教信仰的觀念也愈來愈薄弱。我雖然沒有特別的信仰,總之,還是修了。 這門課讓我印象最深的是講到印度的宗教,因為時間有限,所以講師只能簡單的把重點講過,學生自己再看講義。整學期的課我只保留三本講義,分別是印度宗教、基督教和伊斯蘭教,當老師在上印度的宗教時,講到了吠陀(Veda)的思想,其中的無有歌(nasada-asiya sukta)讓我印象深刻。 先解釋一些字詞: 吠陀(Veda) 是梵文,是印度最古老的聖典,是古印度波羅門教根本聖典的總稱,原意為知識,也就是婆羅門教基本文獻的神聖知識寶庫,是與祭祀儀式有密切關聯的宗教文獻。原有三種:梨俱吠陀(Rg-veda)、沙摩吠陀(Sama-veda)、夜柔吠陀(Yajur-veda),此三者稱為三明、三吠陀、三韋陀論、三部舊典,再加上阿闥婆吠陀(Atharva-veda)就是四吠陀。 梨俱吠陀(Rg-veda) :譯為讚通明論、作明實說。是有關讚歌(rc)之吠陀,是世界最古老的聖典,約完成於西元前1,400年至西元前1,000年,共有10卷,讚歌1,017篇(加補遺歌11篇則為1,028篇),10,580首頌。太古時期,雅利安人移居印度五河地方,崇拜自然神,集結這些讚歌,就是梨俱吠陀(Rg-veda),也是四吠陀的根本,之後變成勸請僧(hotr,請神官)的祭典書。 在梨俱吠陀卷十中的哲學讚歌有六篇,無有歌(nasada-asiya sukta)是其中之一,它的意思是宇宙之初只是一片無差別的混沌,只有虛空所包的「太一」(Ekam),它由自身的「熱力」(tapas)產「生意」(manas)的種子,因而展現生機和「欲愛」(kama)。從胎兒受孕的過程來觀察宇宙生成,「由欲愛而發展出宇宙萬有」也就是後世佛教所說的十二因緣,十二種因緣生起之意即構成有情生存的十二個條件:無明(avidya)、行(samskara)、識(vijnana)、名色(nama-rupa)、六處(sad-ayatana)、觸(sparsa)、受(vedana)、愛(trsna)、取(upadana)、有(bhava)、生(jati)、老死(jara-marana)。 這都不好懂,但如果有在讀...

為什麼我支持《數位中介服務法》草案

在經歷許多次反抗台灣政府所立的網路相關法案後,我其實沒想過除了《數位通傳法》草案外,我還會再支持另一部法律草案,雖然 《數位通傳法》草案還壓在某處,但如果有人讀過《數位通傳法》的草案,再讀這部《數位中介服務法》草案,就會知道這部草案的重要性,而且也可以顯示台灣網路使用者的成熟度,更重要的,這是我第一次看到引入國際網路治理多方利害關係人機制的法律草案,而且是用在正確的地方。 有興趣想知道我在讀法條時的筆記和當下的感想,可以看我這則  Tweet 。這篇不使用逐條讀法條的方式來寫,因為那會讓人昏昏欲睡,我也不去比對歐盟《數位服務法》,因為我在讀《數位服務法》草案時,該草案特別強調是加強歐盟 E-Commerce Directive  ,而不是取代它,而且更多著重在預防盜版、仿冒,保護消費者的法案。所以當有輿論提到參考自《數位服務法》的《數位中介服務法》草案限縮言論自由時,我其實是一頭問號的,但一直到今天我才有時間讀《數位中介服務法》草案,這篇文章出自於我的個人經驗和閱讀法案的心得,與擔任的職務無關。 如果最近注意一下網路的資訊,有幾件事該注意一下: 有許多人在社群平台,如Facebook或是其他網路看到一些廣告,而這些廣告可能是要你支持台灣農產品、台灣製的產品,結果你收到時,上面還寫著簡體字,通常這是所謂的一頁式廣告詐騙,而行政院的消費者保護會在 2019 年時就有新聞稿在警告「 一頁式廣告詐騙多 小心查證保障多 」,之後像公視或是其他單位都有相關的活動在提醒大家小心這類廣告。但目前這些廣告其實多數不易處理,因為不容易取證、保留證據,等到追查到時已經找不到對方了。 有不少親密照片與影片在情侶分手後,被報復性的上傳到情色網站或透過即時通訊傳到親友的帳號裡,或是被洩露個資,遭到公開的霸凌。 之前有一個專題:「 青春煉獄:網路獵騙性私密影像事件簿 」,光是讀完這個專題報導我就覺得受傷。 有人使用 Deep Fake 把台灣名人的臉部照片合成至色情影片再上傳至色情影片平台,今年 7 月才被判刑。 還有許多創作者藉由網路分享作品時,被人盜用,甚至有國外的使用者修改台灣人的作品去參與比賽還獲獎。 有一次打電話問某個部會,如果消費者在國外電子商務平台買東西,但資料被外洩怎麼辦?雖然政府願意協助,但衡量至國外打官司的時間和成本,就會讓人卻步。 有些行為在現實世界裡有法...

生成式AI使用記錄-翻譯

翻譯是一門專業工作,它不只是把另一種語言轉化為日常生活的語言,而是轉化為人人看得懂、聽得懂的語言。在學習的過程裡,老師說過翻譯重視「信、達、雅」,這是一門學問,不是任何一個人、哪種工具可以取代的。這篇不是在談「翻譯」的學問或是翻譯會不會被人工智慧取代,我也不是專業翻譯,沒有能力談這門學問,我只能分享AI在工作上的協助。 因為工作需要閱讀大量的國外文獻,或是參與會議中有大量的英文文獻需要閱讀,Google Translate提供許多協助,同時利用使用者協助修正翻譯的正確度,甚至減少大量閱讀的時間。 隨時間的增加,坊間也愈來愈多更好的翻譯軟體,但遇到會議的錄影與錄音轉譯,還是需要由專業的翻譯公司協助,以節省時間成本,人員可以把時間專注在自己的事業上,遇到需要節省金錢成本時,就會折衷由一般人員來譯出可以接受的成果。 直到 ChatGPT 出現,我拿它來翻譯會譯的逐字稿,它協助節省金錢成本與時間成本,雖然增加編輯成本,但隨著模型逐漸進步,訓練的人愈來愈多,它也會提高準確度,並藉由一次又一次的對話往來,產出比用 Google Translate更能讓人容易接受的版本。相對的,它還是增加使用人員需要編輯、審核的時間成本。但有沒有比人類編輯好?我想現階段,中文可能還有沒比人類編輯好的程度,但已經可以是能接受、初步可以讀懂文字要表達的粗略意思的程度,離「信、達、雅」的標準還很遠。 以往的少見文字,如藏文、閃語、印度語,甚至連死海古卷裡的文字都已經可以藉由AI技術辨識出來,已經是非常大的進步。有天我使用AI翻譯藏文時,突然想到,誰可以幫我核對翻譯出來的正確性?我個人是不懂藏文的,當我想把中、英文用AI翻譯為藏文時,又能請誰幫我確認文法與用字的正確性呢? 所以,使用者本身也是需要一定程度,才能辨識AI結果的正確性,有無過度編撰或錯誤的引用,例如在法規上的引用、宗教信仰經典裡的人物及故事,會不會在一來一往中給AI產生幻覺(Hallucination)的機會。又如同專業的翻譯人員並不是完全了解各行各!業中的知識,工作過程中還要再與委託者討論。又如有次我聽到一場會議的講者,他提到他是專業的執法人員,但是否判定對方有無違法,還需要了解該行業的專業知識,例如建築業、畜牧業,甚至要去了解飼料的投餵方式與成份。所以現階段,AI還是無法取代人類,也無法代替法官做出判決,大概也是短期內的一件好事吧! I...