數發部推委外資服廠商聯合稽核　建立一致標準強化資安把關

（中央社記者 趙敏雅 台北30日電）數發部推動政府委外資服廠商資安聯合稽核計畫，由資安署籌組政府聯合稽核團隊，將今年對資服廠商121場稽核，整合為16場聯合稽核。數發部表示，透過共同稽核機制，可建立一致標準、提升政府委外資安，也降低政府稽核人員與受稽核業者的行政負擔。

數發部資安署今天舉行記者會，說明政府委外資服廠商資安聯合稽核推動成果。數發部長林宜敬表示，避免多次稽核讓廠商產生「資安疲勞」，聯合稽核的重要意義之一，就是將過去分散、多次的稽核整合，一年集中辦理，讓稽核更有效率、更確實，進一步提升整體資安防護。

資安署說明，依據資通安全管理法，各機關皆須定期對委外資服廠商進行資安稽核。過往資服業者若同時承接多個政府機關系統開發或維運服務，須分別配合不同機關稽核。為減少重複稽核、行政作業成本，資安署今年啟動資安聯合稽核，整合各機關稽核需求及查核標準，由聯合稽核團隊一次檢視資服業者的資安管理措施。

資安署分享案例，資拓宏宇原須接受19場稽核，整合後為1場聯合稽核；凌群電腦則由13場整合為1場。政府機關方面，教育部授權由資安署辦理聯合稽核，涵蓋67份契約。整體而言，今年對資服廠商121場稽核，整合為16場聯合稽核。

資安署表示，透過聯合稽核，可彙整各機關稽核需求，建立一致且共通的稽核標準，同時發現共通風險，協助受稽核廠商精進資安管理。資安署指出，這次發現共通風險包括未落實漏洞及弱點掃描、防火牆等設備規則未定期更新、未落實帳號清查及最小權限原則等。

資安署說明，聯合稽核115年適用範圍以行政院所屬機關為主，受稽核廠商16家，稽核項目涵蓋6大類；116年則將適用範圍擴大至中央及地方各級政府機關，受稽核廠商由16家增加至30家，同時增加稽核深度與廣度。

資安署署長蔡福隆表示，聯合稽核只是起步，未來將從廠商稽核延伸至資安要求、產品資安合規，推動政府委外廠商的供應鏈安全。他強調，稽核次數減少不代表降低資安要求，若廠商不必投入大量人力應付重複稽核，反而能將資源用於強化資安或推動業務，對廠商的幫助更大。

媒體關注國際間人工智慧代理（AI agent）的資安議題，林宜敬表示，目前最核心的應對策略就是以AI對抗AI，數發部、資安署及資安院積極與Anthropic、OpenAI、Google、Microsoft等大廠合作，會儘快取得先進AI模型，運用於掃描政府系統與關鍵基礎設施，搶先找出漏洞並及時修補。（編輯：楊凱翔）1150930

選擇與事實站在一起，您的每一份贊助，都是守護新聞自由的力量

下載中央社「一手新聞」APP，即時掌握最新消息

本網站之文字、圖片及影音，非經授權，不得轉載、公開播送或公開傳輸及利用。