2024.08.06. 公正經濟 — 「雖然法規規定家庭網路設備（如壁掛式面板）必須符合相關法令所訂定的安全需求，但目前完全沒有可以確認是否滿足這些需求的具體標準。結果，政府等於是在強迫只能使用獲得『物聯網 (IoT) 安全認證』的產品。」這是住宅建設工程中，負責招標的單位人員表示，目前僅能提案具備『IoT 安全認證』的產品。
在許多新建公寓社區中，都會同步安裝家庭網路設備，但目前對於家庭網路設備是否符合相關法令要求的安全需求，仍缺乏具體的確認標準。由於這種情況，資訊通信技術 (ICT) 業界甚至有意見認為，政府為了推廣『IoT 安全認證』而採取了消極的行政手段。若要取得該項認證，家庭網路設備必須支付高達 2000 萬韓元的認證費用。對此，也有批評指出政府存在過度規管，且忽視了設備製造商的負擔。
公寓入住戶集體遭駭客入侵，強化安全性相關法令之必要性
科學技術情報通信部、產業通商資源部、國土交通部等三個部門於2021年12月修訂了旨在加強公寓、辦公式公寓等安裝的家庭網絡安全性的聯合公告《智能家庭網路設備安裝及技術基準》，並於次年即2022年7月起實施。
這被評估是為了防止類似事件再次發生，因 2021 年 10 月曾發生公寓社區入住戶內部的攝影影像遭到非法流傳的事件。
當時許多公寓入住戶的家庭網路連接裝置同時遭到駭客入侵，透過這些裝置的攝影機，在未經同意的情況下拍攝並散布了室內的居住空間。
隨著市民對於「網絡威脅已不再是別人的事，而是自己的事」這一事實感到日益不安，政府加快了修訂告示的步伐，以強化家庭網路的安全性。
在駭客事故發生 3 個月後制定的修訂告示，其主要內容包括：▲向公寓管理主體提供家庭網路設備維護與管理手冊 ▲透過物理或邏輯方式實現各戶家庭網路分離 ▲安裝符合機密性、認證、存取控制等安全需求的家庭網路設備 ▲根據資訊通信網法建議安裝獲得資訊保護認證的設備等。
其中，家庭網路設備的安全需求在告示的「附表 1」中有了具體規定。安全需求由數據機密性、數據完整性、認證、存取控制、傳輸數據安全等 5 個領域組成。
「數據機密性」是指針對使用者識別資訊、認證資訊、個人資訊等，應用加密演算法、加密金鑰生成與管理等加密技術，以及敏感數據的存取控制管理技術，使惡意駭客等無權限者無法窺視數據內容。不過，負責簡單傳輸而非數據處理（生成、讀取、寫入、變更、刪除、儲存等）的組播交換器（Workgroup Switch）等則不適用機密性要求。
「數據完整性」是指針對使用者識別資訊、認證資訊、個人資訊等，必須能應用雜湊函數（Hash Function）、數位簽章等技術來防止偽造與變更。同樣地，負責簡單傳輸的組播交換器等不適用此項。
「認證」是指為了確認使用者身分，必須透過電子簽章、帳號 (ID) 與密碼 (Password)、一次性密碼 (OTP) 等方式實現身分確認與認證功能。
「存取控制」是指透過資產與使用者識別、IP 管理、終端機認證等技術，實現使用者類型分類、賦予或限制存取權限等功能，從而達到僅允許經授權的使用者進行存取的控制。
「傳輸數據安全」是指確保在經核准的家庭網路設備之間傳輸的數據不會發生外洩、被奪取或流量轉換等情況。
政府要求壁掛式面板等家庭網路設備為了確保安全性必須符合告示的安全需求，並將獲得根據「促進資訊通信網利用及資訊保護等法律」第 48 條之 6 的資訊保護認證——即「IoT 安全認證」的壁掛式面板，視為已符合告示的安全需求。
政府規定，自 2022 年 7 月 1 日（修訂告示施行日）之後申請住宅建設事業計畫核准的情況開始適用此項規定。
缺乏確認安全需求是否達標的具體標準
在最近由民間與公共部門推動的住宅建設工程中，招標單位出現了僅限提案並供應獲得「IoT 安全認證」之壁掛式面板產品的情況。這使得原本屬於任意性的認證，變得像是必須具備的強制性認證。
綜合公平經濟的採訪，最近許多推動住宅建設的機構與企業在 RFP（需求說明書）中要求，壁掛式面板等家庭網路設備僅能提案獲得「IoT 安全認證」的產品。
以 A 地方自治團體為例，在「公共租賃住宅青年村建立」工程中，規定了壁掛式面板產品必須是「符合相關法規之器械認證產品」。
以 A 地方自治團體為例，在「公共租賃住宅青年村建設」項目中，規定壁掛式面板產品必須是「符合相關法律之設備認證產品」。
在首都圈進行公共住宅建設的 C 機構，也在「都市開發事業區域內公寓資訊通信工程」工程中，要求必須附上證明壁掛式面板等已獲得「IoT 安全認證」的認證書。
韓國主要建築商 D 也制定了僅使用獲得「IoT 安全認證」之家庭網路設備的方針，並正將此應用於其公寓建設現場。
這些企業與機構的負責人表示：「雖然告示規定壁掛式面板等家庭網路設備必須符合安全需求，但政府實際上並沒有制定出可以確認是否達標的具體標準。因此，我們不得不限制只能提案並供應獲得『IoT 安全認證』的產品。」
對此，科學技術情報通信部相關人士回答：「告示並非強制要求只能使用獲得『IoT 安全認證』的家庭網路設備。在現場若想導入未經認證的產品，只要確認其是否符合告示的安全需求即可。」具體來說，就是由各現場的通訊監理員在撰寫施工狀態評估報告書時，進行「智能家庭網路設備檢查」，並據此確認家庭網路設備是否符合告示的安全需求。
要求義務化的政府，在落實確認方案上卻顯得消極
但是，現場的聲音與科技部的立場大相徑庭。
推動住宅內家庭網路設備安裝工程的地方自治團體負責人在通話中表示：「在住宅建設工程中，要求通訊監理員來判斷家庭網路設備是否符合安全需求並不妥當。這意味著在產品提案階段無法確認安全需求是否達標，卻要到現場進行事後確認；如果發現預定安裝的設備不符合安全需求，施工期（工期）就會延長。」
另一位機構相關人士也指出：「政府在尚未制定出能確認告示安全需求是否達標的具體標準之前，就要求第一線機構與企業來承擔確認責任，這實際上是將『IoT 安全認證』強制化的措施。」他接著推測：「政府或許是因為擔心被批評為過度規管，所以才設置了要求確認安全需求是否達標的規定，藉此創造出一種『迴避用的後門』吧？」
對於壁掛式面板等家庭網路設備製造商而言，據說「IoT 安全認證」也是一種負擔。
一位要求匿名的家庭網路設備製造商員工表示：「政府一直強調『IoT 安全認證』雖然是法定認證，但本質上是任意認證，但實際上在公寓建設現場等第一線工作的人並不相信政府的這番話。告示中的安全需求僅羅列了抽象的概念，對於各個產品必須透過何種技術、功能或措施來滿足安全需求，完全沒有提及。」
他具體說明了企業面臨的情況：「為了讓家庭網路設備獲得『IoT 安全認證』，每個型號必須支付 600 萬至 2000 萬韓元的認證費用。政府雖然說會減輕設備製造業的負擔，對於僅在基本型號上進行微小變更的『衍生型號』，將認證費用降低到了 70 萬至 140 萬韓元左右。然而，在政府要求積極進行韌體更新（如修補安全漏洞）的情況下，一旦發生因軟體變更導致的『形狀不一致』，就必須重新進行認證。結果就是，負擔不但沒有減少，反而可能增加。」
業界預測，除非政府制定出與「IoT 安全認證」評估項目相當的檢查表式（Checklist）安全需求確認標準，否則現場將不得不僅使用獲得該項認證的產品。此外，據擔心招標單位為了導入安全的產品，會逐漸要求具備更高等級安全認證的產品，最終導致家庭網路設備製造商的負擔不斷增加。
非資訊保護專家難以確認安全需求
也有批評指出，讓缺乏信息保護領域專業性的通信監理員確認現場安裝的家庭網絡設備是否滿足公告的安全要求事項是不當的。
ICT 領域正日益細分化為各種專業領域，因此有人指出，要求不具備資訊保護專業知識的通訊監理員來確認告示的安全需求是否達標，是否真的合理。
一位從事 ICT 諮詢事業的企業代表在通話中表示：「以前的通訊僅限於語音通話或利用摩斯密碼進行電報等服務。但隨著技術發展，如今出現了移動通信網、Wi-Fi、藍牙、光纖通信、衛星通信等多樣化的無線/有線通信手段，且根據用途，通信協定、基礎設施與系統也區分為許多類型。因此，目前的 ICT 領域國家技術與專業資格已細分到多達數十種的程度。」
他接著提出疑問：「現在已經不是一名資訊通信技術者就能在所有 ICT 領域發揮專業能力的時代了。然而，政府對通訊技術者的培育與運營政策仍停留在幾十年前的水準。讓非資訊保護專業人士來處理智能家庭網路設備中專業的資訊保護相關業務，這種現狀難道不奇怪嗎？」
此外，還有爆料稱，一線現場的通信監理員甚至要求建設事業者取得ICT相關認證。
最近正在進行公寓建築的建設公司員工表示：「通訊監理員說，如果能取得韓國資訊通信振興協會 (KAIT) 的超高速資訊通信建築認證中的預備認證，就會讓監理通過。在家庭網路議題引發關注的當下，甚至還有人要求取得 KAIT 的家庭網路建築預備認證。」
然而，由 KAIT 運行的超高速資訊通信建築認證或家庭網路建築認證僅是民間任意認證。由於這些認證並非法定認證，並不具備任何法律效力，但監理員們為了規避責任，正進行著這樣的工作。
一位位於首都圈的大學 ICT 相關系教授表示：「現在已經進入了通訊領域技術者也必須按專業領域區分的時代。在醫學界，醫生在取得一般醫師資格後，不也會進一步取得各專科的專科醫師資格嗎？在 ICT 產業中，資訊保護也應該由資訊保護專家來負責。」
建議制定檢查表並建立公認試驗成績單發行制度
業界提出了意見，認為政府必須制定出能確認家庭網路設備是否符合安全需求的具體方案。
首先是建立一種可以確認安全需求是否達標的檢查表式標準。業界普遍認為，目前告示中規定的 5 項安全需求僅為抽象概念，現場很難以此作為基準來確認家庭網路設備的安全性。
由於目前已具備「IoT 安全認證」各認證領域的資訊保護認證基準，因此有人建議將其製成檢查表，讓現場可以據此確認安全需求是否達標。
就像「IoT 安全認證」也會根據等級區分認證基準範圍一樣，也有意見認為，在現場根據家庭網路設備的種類與用途來差異化安全需求的確認程度會更為理想。
除此之外，還有意見建議建立一套制度，由公認試驗機構確認家庭網路設備是否符合安全需求，並發行試驗成績單。
這與 2020 年政府公共 Wi-Fi 事業或學校無線網建置事業中曾引起討論的「Wi-Fi Alliance 認證」要求事件非常相似。當時，受政府與各市道教育廳委託執行事業的韓國智能情報社會振興院 (NIA)，對無線區域網路存取點 (WAP) 製造商提出了規格限制，要求只能提案獲得該項認證的 WAP。
對此，業界反應激烈，表示為了取得該項認證，每個型號會產生高達數千萬韓元的昂貴費用，隨後政府撤回了要求該認證的方針。
取而代之的是，「公認試驗成績單」成為了證明 WAP 性能與功能穩定性的重要手段。韓國情報通信技術協會 (TTA) 以 IEEE 802.11 無線區域網路產品為對象，透過與客戶協商制定試驗項目與程序，並在進行試驗後發行 TTA 公認試驗成績單。
家庭網路設備製造商表示，如果政府能透過公認試驗機構來測試家庭網路設備是否符合安全需求，並建立發行公認成績單的制度，將有助於減輕業界的負擔。
科學技術情報通信部相關人士回答：「我們會在確認事實後，研議如何減輕家庭網路設備製造商的負擔，並確保告示能充實地施行。」
0 條評論
暫無評論。