法案行動

資安修法與議題關注

資安修法不只是技術議題，而是數位韌性、供應鏈安全與數位人權的共同防線。葛如鈞委員主張，政府應補足中小企業資安預算，避免打詐措施誤傷人民的數位權利，並徹底解決政府網站憑證接連出事的單點故障問題。

網路空間的無聲戰爭

21 世紀的戰爭已經改變。國與國之間的衝突，不再只發生在傳統戰場，更多時候是在網路空間進行的「無聲戰爭」。一次成功的網路攻擊，可以癱瘓關鍵基礎設施、竊取國家機密、癱瘓金融體系，甚至透過散布假訊息動搖社會信任。

全球資安威脅加劇

根據 Check Point Research 2024 年的報告，台灣是亞太地區遭受網路攻擊最頻繁的國家，平均每週遭受近 4,000 次攻擊。這不是巧合，而是地緣政治的直接反映——台灣位處民主陣營第一線，是境外敵對勢力認知作戰與網路滲透的首要目標。

近年來，攻擊手法更趨複雜化。從傳統的釣魚郵件、DDoS 攻擊，演變為供應鏈攻擊（透過攻擊一家軟體供應商影響數千家客戶）、勒索軟體（加密重要資料要求贖金）、以及AI 深偽技術（生成幾可亂真的假影片與假訊息）。

國際標準：GDPR 與數位主權

歐盟的《一般資料保護規則》（GDPR）已成為全球隱私保護的黃金標準，賦予人民「被遺忘權」、「資料可攜權」與「自動化決策拒絕權」。同時，面對中國製 AI 軟體可能潛藏的後門與個資外洩風險，各國紛紛建立嚴格的檢測與審查機制，將資安視為數位主權的核心防線。

台灣的脆弱性：三大破口

台灣雖喊出「資安即國安」的口號，但實際防護體系卻存在致命缺陷。

破口一：中小企業資安荒漠

資安界有句名言：「木桶能裝多少水，取決於最短的那塊木板。」台灣有 168 萬家中小企業，是全球供應鏈的重要環節，卻也是駭客眼中的「最短木板」。

駭客的攻擊策略往往是：先攻破防護薄弱的中小企業，再以此為跳板入侵大型企業或政府機關。 2025 年 11 月，台灣某數位行銷公司遭中國駭客組織 APT24 長期入侵，波及超過 1,000 個客戶網域，就是典型案例。

然而，政府對中小企業資安的實際投入卻少得可憐。目前「中小企業資安聯防計畫」的預算，攤提下來每家企業每年僅分得約 59 元——連一個便當都買不起的金額，如何期待建構有效防護？

破口二：預算結構失衡

台灣的資安預算，長期存在「頭重腳輕」的問題：政府機關與大型國營事業有充足預算建置防火牆與資安監控中心，但佔企業總數 98% 的中小企業，卻只能自求多福。

更嚴重的是，現行預算採「單年期」編列，導致資安計畫難以長期規劃。資安防護不是一次性的軟體採購，而是需要持續監控、定期演練、不斷更新的長期工程，單年期預算根本無法支撐。

破口三：打詐誤殺數位人權

為了打擊詐騙，政府要求社群平台大規模下架可疑帳號。立意雖好，執行卻問題重重。由於缺乏嚴謹的審查機制與演算法透明度，許多無辜民眾的帳號被誤判為詐騙而遭停權，申訴無門，形同「數位性死亡」。

這不僅侵害人民的言論自由與財產權，更凸顯政府在數位治理上的粗暴與不專業。當演算法成為執法工具，卻無人能解釋其決策邏輯、無人為錯誤負責，數位極權的陰影就已浮現。

葛如鈞委員的改革訴求

面對這些結構性缺陷，葛如鈞委員在立法院提出一系列具體的修法與預算訴求，要求政府必須「補破網、建高牆、保人權」。

爭取跨年期專案預算

葛委員在 2025 年 11 月 25 日的施政總質詢中，明確要求行政院編列跨年期的資安專案預算，大幅提高對中小企業的補助額度。他主張:

「中小企業不是在單打獨鬥，而是在為整個國家守住供應鏈的防線。政府必須提供足夠的資源，不能讓他們獨自面對國家級的駭客攻擊。」

具體訴求包括:

• 將中小企業資安聯防預算提升至「每家每年至少萬元」等級
• 採取跨年期(3-5 年)預算編列，支持長期防護計畫
• 建立「資安保險」機制，分散企業風險

捍衛數位人權：四大訴求

針對政府打詐措施侵害人權的問題，葛委員提出四大訴求:

1. 建立單一申訴窗口：受冤屈的民眾必須有明確的申訴管道，政府不能各部會互踢皮球
2. 定期公布數據：每月公開停權帳號數、申訴案件數、恢復帳號數，接受國會與全民監督
3. 檢討演算法邏輯：打詐演算法必須定期檢討，公開錯誤率，並持續優化
4. 禁用真實個資訓練：政府不得未經同意，使用民眾的真實社群帳號資料訓練 AI 模型

這些訴求的核心精神是：科技執法必須有人權底線，演算法不能成為侵害自由的黑箱。

推動個資法接軌國際

葛委員也積極推動《個人資料保護法》修法，參考 GDPR 的核心精神，納入：

• 資料可攜權：人民有權要求平台匯出自己的完整資料
• 被遺忘權：在特定條件下，可要求業者刪除個人資料
• 自動化決策拒絕權：當 AI 做出影響個人權益的決策（如貸款、保險），當事人有權要求人工審查

讓台灣的法規與國際接軌，真正落實對個人隱私的保障。

政府憑證信任危機：從中華電信到 TWCA

去年：中華電信憑證不再受 Chrome 預設信任

2025 年 5 月 30 日，Google 宣布 Chrome 自 8 月起，不再預設信任中華電信在特定根憑證體系下新簽發的網站憑證。當時數發部信誓旦旦，說已經「超前部署」雙憑證機制，請民眾「無須擔憂」。

2025 年 7 月，葛如鈞委員召開記者會，實際測試政府網站，指出部分機關的雙憑證自動切換根本沒有落實。中華電信董事長親上火線，稱這是「不實訊息」，並承諾力拚 2026 年 3 月底前重新取得 Google Chrome 預設信任。2026 年 4 月，監察院調查報告也指出數發部風險覺察不足、中華電信合規失靈。

如今已經 11 月，中華電信雖在去年底重新提出申請，卻仍未看到 Google 正式確認恢復信任的公開消息。

今年：TWCA 中繼憑證序號不合規，限期撤銷

去年憑證事件後，數發部改委託臺灣網路認證（TWCA）提供政府機關網站的 TLS 憑證服務。TWCA 2026 年 4 月公告，自 5 月 4 日起將憑證鏈更新至 CYBER Root 體系。

結果，10 月 30 日，國外研究人員在 Mozilla 公開通報系統揭露：TWCA 有 10 張仍受信任、尚未撤銷的 CA 憑證，其中 6 張是可以簽發 TLS 網站憑證的中繼 CA 憑證，4 張更是由 CYBER Root 簽發，序號疑似最多只有 24 位元的隨機值，未符合國際規範至少 64 位元的要求。而這項國際規範，早在 2016 年 9 月就已生效。

10 月 31 日，TWCA 緊急公告，要求客戶更換相關 SSL 憑證及完整憑證鏈，原有中繼憑證須在 11 月 6 日 00:00 前撤銷。但公告對外只說是「因應國際規範要求」，沒有完整交代問題根源與影響範圍。

這次事件暴露的四個問題

1. 期限迫在眉睫，政府服務可能中斷：受影響的網站、App、跨機關 API 若沒有及時換證、更新完整信任鏈，就可能出現 HTTPS 驗證失敗。哪些政府網站受影響？多少已完成換證？數發部應立即公布，不能讓民眾到最後一刻才發現網站連不上。
2. 過度集中依賴，牽一髮而動全身：去年是中華電信，今年換成 TWCA。重要服務若集中依賴相同的中繼 CA，卻缺乏不同 CA 的有效備援，一旦供應商出問題，大量政府系統就會同時承擔風險。去年才經歷一次信任危機，為什麼今年還要擔心同樣的服務中斷？
3. 違規多年未被發現，稽核形同虛設？：研究人員發現，TWCA 的 CA 憑證序號生成模式至少可追溯至 2011 年，2016 年規範生效後仍持續使用。這次不是 TWCA 主動揭露，而是外部研究人員發現；部分年度 WebTrust 稽核報告甚至已列出這些憑證序號，相關缺失卻未及時糾正。審計部 2026 年 8 月才指出，數發部與 TWCA 的新合約已納入國際合規要求、罰則及機關主動稽核權利。合約寫了，究竟有沒有查？查了，又為什麼沒發現？
4. 密碼學安全防線不能打折扣：國際規範要求憑證序號具備足夠的安全隨機性，目的之一就是防範特定雜湊碰撞攻擊導致的憑證偽造。目前沒有證據顯示 TWCA 私鑰外洩、憑證遭偽造或 HTTPS 加密遭破解，但安全不能等到真的被攻破才亡羊補牢。十年前就訂下的基本要求，不該到今天才由外部研究人員揭露。

葛如鈞委員的五項要求

1. 立即盤點，公開進度：數發部應盤點受影響的政府機關、重要公共服務、官股企業與跨機關 API，在 11 月 6 日撤銷期限前，每日公布換證進度、完整憑證鏈驗證結果及尚未排除的風險。
2. 建立跨 CA 備援，避免單點故障：重要政府服務應具備不同憑證機構核發的備援憑證，並定期進行切換演練。不能只說有「雙憑證」，卻沒有實際可用的自動切換能力。
3. 推動短效憑證與自動化管理：CA/Browser Forum 規範已於 2026 年 3 月起將新簽發公開 TLS 網站憑證的最長效期縮短至 200 天，2029 年還要縮短至 47 天。政府早就有 ACME 自動換證技術，應公布各機關實際導入比例，建立自動申請、更新、部署、私鑰輪替、異常監控與緊急更換中繼 CA 憑證鏈的能力；自動化與故障演練成熟後，逐步試行 10 天以下的短效憑證，縮短私鑰外洩或錯誤簽發的影響時間。
4. 強化技術稽核，追究履約責任：要求 TWCA 說明根本原因、受影響範圍及改善措施；要求數發部公布是否行使新合約的主動稽核權、是否啟動履約調查，以及第三方稽核為何未及時發現問題。未來應導入自動化合規檢測與獨立技術審查，不能只看紙本報告就認定萬無一失。
5. 善用先進 AI，建立主動資安防禦：臺灣作為 AI 之島，應積極評估加入國際先進模型資安防禦計畫，例如 Anthropic 的 Cyber Verification Program（CVP，整合原 Project Glasswing；Glasswing 合作夥伴半年找出 12.9 萬個漏洞），在確保資料安全的前提下，運用 AI 協助弱點檢測、程式碼分析與修補驗證。

去年因為中華電信，政府大規模換證；今年 TWCA 又發生合規問題。如果每次供應商出事，政府都只能緊急通知各機關換證，那就是治標不治本。政府與立法院應放下口水攻防，用具體進度、公開數據與實際演練證明改善成果。

近期重大資安事件警示

2026.10：兩週內接連爆發的資安事件

• PHP 重大漏洞：日本首相高市早苗親自示警；數發部指出，臺灣近 300 個政府機關、約 800 個網站及系統受影響。
• 中選會個資外洩：候選人財產申報系統在背景資料中外洩 1,573 名候選人的身分證字號。
• 幣安遭竊：超過 60 億美元虛擬資產遭竊，FBI 指向北韓駭客。
• Cursor 擴充套件市集：出現遭惡意竄改的 Claude Code 擴充套件，試圖植入 SSH 後門。

這些事件原因各不相同，但都在提醒我們：資安不能只靠事後補救，必須未雨綢繆、主動防禦。

2025.03：CrazyHunter 勒索軟體攻擊

專門鎖定台灣的勒索軟體 CrazyHunter 攻擊馬偕醫院等多家醫學中心，加密醫療系統資料並要求贖金。衛福部將此定調為「系統性攻擊」，顯示台灣醫療體系的資安防護存在重大漏洞。病人個資外洩、手術延遲、醫療紀錄遺失，都直接威脅生命安全。

2025.05：Chrome 不再信任中華電信憑證

Google 宣布 Chrome 瀏覽器自 8 月起不再預設信任中華電信特定根憑證體系下新簽發的網站憑證，原因是其憑證管理未符合國際標準。這重創了國家級電信業者的資安信譽，也凸顯台灣在國際資安標準接軌上的不足。

2024.03：AI 深偽影片警示

葛如鈞委員在立法院播放兩段 AI 生成的深偽影片，連行政院長都無法分辨真假。這場質詢震撼社會，凸顯「眼見不一定為憑」的 AI 詐騙新時代已經來臨。

未來願景：韌性台灣，數位安居

資安不只是工程師的事，而是每一個台灣人的事。

韌性供應鏈

透過強化中小企業資安防護，鞏固台灣在全球供應鏈的關鍵地位。當「台灣製造」成為「安全」的代名詞，我們的競爭力就會大幅提升。

數位安居

建立完善的申訴與救濟機制，讓人民在享受數位便利的同時，不必擔心隨時會被政府或平台「數位消失」。數位人權不容妥協。

國家安全

面對境外勢力的認知作戰與網路攻擊，唯有建構滴水不漏的資安防護網，才能確保台灣的民主自由不受侵犯。

資安即國安，數位人權不容妥協。

支持葛如鈞委員的修法倡議，為台灣穿上最強的數位防彈衣，在網路空間的無聲戰爭中，守護我們的自由與安全！

核心資源區 (Resource Hub)

推動時間軸 (Timeline)