關鍵基礎設施判斷因子

一、國內CI篩選指標之探討

       各國關鍵基礎設施都有大同小異的定義，即一般係指單一公共服務系統、設施、或相關聯公共服務系統、設施喪失功能，對於社會、經濟、環境或社群安全，會產生嚴重的負面影響，而且關鍵性的認定重點(衝擊因素)亦不外乎針對公共衛生安全、經濟、環境、政治/政府/運作、心理/社會/民眾信心、相依性、複雜性、市場環境、民眾與資產關聯性、程度/範圍、提供服務/復原時間、國家/領土安全等範疇進行考量。

       這些複雜的標準、繁複的思維，對於擁有長期經驗且行之多年的國家，或許有實質的幫助，但對於初起步的我國，是否一開始就採用複雜的工具，並納入繁複的標準，是值得深思的。因此考慮未來各部門落實執行的可行性，對於初步發展關鍵基礎設施防護的我國，提出簡易可操作的認定方法是需要優先被考量的。

       前節中提及，進行CI認定時，可根據所審視重要基礎關鍵設施的防護方式，製作出一套判定標準，並且使用一般的風險理論使防護方式更加充實。判定標準可從影響範圍、嚴重程度和時間等維度來考量。關鍵性影響評估可經由許多方法或工具來協助，或透過專家訪談獲取評量結果。這些訪談結果亦可使用像李克特四項心理量測尺度方式表達出專家對於影響評估的同意程度。

       參酌前述說明，針對我國CI的認定，本研究提出下列認定指標，作為認定參考標準。由於國外所採的認定指標多針對人為恐怖攻擊做為主要風險情境，所選用之項目與判定標準不一定適用面對較多天然災害的風險評估，因此，在預擬國內判定準則與做法的同時，除將主要依據重要影響因子之性質、嚴重程度、可控性和影響範圍，進行4個等級分類，包括：直接或間接造成大規模人口影響、直接或間接造成經濟損失、直接或間接損害重要公私部門營運的能力、直接或間接削弱公眾的士氣和信心；另外針對各指標的判定標準亦依專家學者建議研擬，茲說明如下：

(一).直接或間接造成大規模人口影響    

此一標準以受到衝擊的人口數作為判定依據，並將之分為四個等級，分別是影響非常高（等級4）、高(等級3)、中(等級2)、低(等級1)。其中，判定人口影響的依據，若影響超過10,000人時，定義為「非常高」影響；影響超過1,000 -10,000人時，定義為「高」影響；影響100 -1,000人時，定義為「中」影響；影響人口少於100 人時，定義為「低」影響。（參見下表）

表6-6:直接或間接造成大規模人口影響

資料來源:本研究整理

(二).直接或間接造成經濟損失

       此一標準以受到衝擊的損失作為判定依據，並將之分為四個等級，分別是影響非常高（等級4）、高(等級3)、中(等級2)、低(等級1)。其中，判定經濟損失影響的依據，若影響超過300億台幣時，定義為「非常高」影響；影響介於30 –300億台幣時，定義為「高」影響；影響介於3 –30億台幣時，定義為「中」影響；影響少於3 億台幣時，定義為「低」影響。（參見下表）

表6-7:直接或間接造成經濟損失

資料來源:本專案整理

(三).直接或間接損害重要公私部門營運的能力

       此一標準以受到重要公私部門營運的能力受到損害影響的時間長短作為判定依據，並將之分為四個等級，分別是影響非常高（等級4）、高(等級3)、中(等級2)、低(等級1)。其中，判定影響時間長短的依據，若影響超過幾年時，定義為「非常高」影響；影響幾個月時，定義為「高」影響；影響幾天時，定義為「中」影響；影響只有幾小時情況下定義為「低」影響。（參見下表）

表6-8:直接或間接損害重要公私部門營運的能力

資料來源:本專案整理

(四).直接或間接削弱公眾的士氣和信心

       此一標準以受到影響的公眾士氣和信心作為判定依據，並將之分為四個等級，分別是影響非常高（等級4）、高(等級3)、中(等級2)、低(等級1)。其中，判定公眾士氣和信心受到影響的依據，以接受民心士氣調查的樣本為判斷基礎。若80%以上受調查群眾認定會受到影響時，定義為「非常高」影響；若50%-80%受調查群眾受到影響時，定義為「高」影響；若30%-50%受調查群眾受到影響時，定義為「中」影響；若少於30%受調查群眾受到影響時，定義為「低」影響。（參見下表）

表6-9:直接或間接削弱公眾的士氣和信心

資料來源:本專案整理

       上列各表呈現出在關鍵性評估上必須審視的重要影響因子，使用這些尺度做為範例，主要目的是為了顯示每項影響因子的特徵和這些尺度表示法，與較複雜傳統風險分析來作區隔。正如前所述，我國關鍵基礎設施防護尚在啟動階段，宜採較簡易可操作的方法，因此選擇人口影響、經濟損失、重要公私部門營運、公眾的士氣和信心等四項因子，作為判定CI的標準，其應可符合現階段我國對於CI判定標準的初步要求。

       雖然各國都有採取類似的方法，但針對國情的不同，認定的級距範圍亦會有所不同。例如，評估事件對經濟的直接衝擊，它可包含CI本身由於服務質量下降的損失或是資產、訊息、回收成本的損失，以及由於瀑布效應(cascading effects)的估計損失等，而這些損失可採用GDP作為評估經濟衝擊的依據。至於可能的尺度分類，美國可能區分為>10億美元, 1億到10億美元, 1千萬到1億美元, 或小於1千萬美元;^[1]而英國則可能採<5千萬英鎊, <五億英鎊, <50億英鎊, <5百億英鎊，或>5百億英鎊。^[2]顯見因國情的不同，認定尺度也會有不同，而美、英的尺度又明顯高於其他開發中國家傳統風險分析方法，因此本節所提尺度也應隨著分析範圍和重要性資產的價值而變化，也就是說，上述尺度是可被討論或依專家意見進行修正的，並應隨著所使用風險方法的改變而進行調整。

       由於部分國家將關鍵基礎設施相依性列為判定的權重，但多缺乏整體大規模的調查，多仍流於理論，無法時際運用，今年來許多學者利用社會網絡分析(Social Network Analysis)模型，希望過系統工具的運用，能了解各關鍵基礎設施彼此間的關係強度，因此我國現階段在缺乏基礎研究的情況下，亦無需急於將相依性列為判定因子；根據以上的評估標準，本研究設計了下圖的CI認定矩陣，作為國內進行CI認定時的簡易分析工具。未來我國相關部門對於CI的初步認定，可依上述四項影響因子範圍等級劃分為4~16，當矩陣內數值累積達到10等級以上者，即可考慮列為防護對象量體。另外，由於我國是高度仰賴經濟穩定且對國內政治環境極為敏感的國家，考量直接或間接造成經濟損失削弱以及公眾的士氣和信心等兩項指標，只要其中一項達到”非常高”之影響(4)，不論其他指標影響等級，皆應考慮列為防護對象量體。

       以我國雪山隧道為例，如開放貨車通行，若發生類似法國白朗峰隧道(Mont Blanc Tunnel)大貨車火災事件，將造成嚴重的影響(39人死亡，坍塌封閉兩年，每年數十萬人次往返法國及義大利的民眾受到影響)。因此，大貨車火災若在雪山隧道發生，可見的衝擊事項將包括:會有非常多的民眾受到影響(4級)、直接或間接的經濟損失或許僅十餘億(2級)、兩年的中斷對於營運的影響非常高(4級)、對於民眾的抱怨無奈及信心的影響頗高(3級)，在加總後得13等級分數的條件下，即可突顯雪隧在CI中的重要性，可考慮列為關鍵基礎設施。

圖6-2:CI認定矩陣

資料來源：本專案彙整

第一節小結

        建立CI篩選標準時，除了CI基本認定指標的彙整以外，若國內採取「由上而下」透過上級政府或主管機關直接指定各項CI的方式時，尚須面臨CI部門分類的問題，但由於國內重要關鍵基礎設施防護的議題大多處於起步階段，因此CI部門的劃分也多散見於一些研究報告或政府計畫之中。

        例如，在行政院所提出的第二期「建立我國通資訊基礎設施安全機制計畫」(2005~2008年)報告中指出：安全的通資訊防護機制必須能夠保護國家的利益，並能維持政府與民間生活的正常運作，在政府體系方面，舉凡金融體系、商務運作、政府服務、水、電、油、瓦斯等供給、緊急救援體系、交通及電信等關鍵基礎設施都要能正常運作。在民間方面，則要能確保民眾的日常生活與權益不受影響。因此，國家重要基礎設施在性質上可分為政府、安全、金融服務、能源設施、供水、電信郵政、交通運輸、及醫療保健8大類（參見下圖）。並明確規範至少必須能維持下面六項體系的正常運作：（一）政府的正常運作。（二）軍事力量的維持。（三）救援體系的正常運作。（四）人民日常生活必需品(電信、水、電、油、瓦斯、食物)的正常供給。（五）金融體系的正常運作。（六）商業的繼續進行。^[3]另外，參酌行政院資通安全會報所提二十個核心資訊系統，重新定義關鍵基礎設施資通安全保護範圍，又可概分為兩大面向－「工業自動控制系統」與「商業資料處理／傳輸系統」兩項。^[4]

        問題是，前述的CI部門分類仍存在某些問題，且與各國普遍被接受的CI部門也有些許差距，這些差距顯示，國內CI部門的劃分或許仍有討論的空間。以下參考目前各國的CI部門劃分，將現行普遍被各國接受且列為優先防護等級的部門列出，作為我國未來CI部門分類的參考，這些部門包括：（1）財務金融（2）中央政府/政府服務（3）通訊/資訊和通訊科技；（4）緊急/救援服務（5）能源/電力（6）健康服務（7）糧食（8）交通/物流/配送（9）水(供給)。^[5]

        比較結果發現，差異在於安全體系與政府施政部門。其中「安全體系」在各國CI部門出現的次數不多，且是否列入也存在爭議，因為大部分國家是以「緊急/救援體系」部門列入。倒是「政府施政部門」在各國經驗中也有國家列入，且列入的國家不少。再者，糧食/食品並非過去國內的CI部門，但隨著全球暖化日益嚴重，糧食問題有日益受到重視的趨勢。

        綜合以上分析可見，在CI部門的認定上，未來國內除了須考量前述資通訊環境與防護要求、政府與民間需要等因素外，國際間的實踐經驗或許也是不可忽略的一環。

我國關鍵基礎設施防護政策之推行僅研究或起步階段，相關規範應屬不備。據此，未來認定準則之法律定位，考量防護政策之具體執行，均會涉及人民權利之干預或義務之課予，依法治國家原則，自以制定基本法（例如關鍵基礎設施防護基本法）明確授權訂定認定準則，為最佳之選擇方案。換言之，認定準則之法律定位，於基本法制定後，係屬基本法授權訂定之法規命令。同時因為此為新的立法，立法型態採統一標準統一立法，立法方式採個別立法，綜上說明，尚無窒礙難行之處。

        在完成立法前之過渡期間，關鍵基礎設施防護政策，如有即時推行並具體執行之必要，如果設施係由國家掌控，且其具體執行未涉及人民權利之干預或義務之課予者，經由行政一體之指揮監督關係及預算的充分配合，當能順利遂行。若設施屬於私企業或私人所有時，或具體執行涉及人民權利之干預或義務之課予者，可先以行政規則方式訂定，輔以行政指導措施，或可解決部分問題。但此須人民自願配合，人民明確拒絕指導時，依行政程序法第166條第2項規定，行政機關應即停止，並不得據此對相對人為不利之處置。此時僅能儘速完成立法補救，自不待言。

參考文獻

行政院國家關鍵基礎設施安全防護專業服務委外研究案（計畫編號98-3101-01-06-67-E1）國家關鍵基礎設施防護計畫報告書－期末報告

行政院國家關鍵基礎設施安全防護專業服務委外研究案（第二階段）（計畫編號99-3101-06-01-01-E1）我國關鍵基礎設施安全防護總計畫書(NIPP)期末報告