春節前在 Clubhouse 辦了一場談「數據被看光光」的事，來了不少有趣的人。這幾天 Stanford 那邊由 Alex Stamos 領軍很快出了一份報告，初步把資料如何跑的嘗試說明。這樣的報告並不是難到在台灣沒有團隊會做，難的是即時而且給予比較在科學上站的住腳的說明。
Clubhouse 的安全威脅型態
Category: internet
台灣政府骨幹網路被攻擊十萬次很嚴重嗎
本篇關鍵字：態勢感知、骨幹網路、安全、大官、小民、政策
前幾天 (1/27) 的自由時報頭版。沒看到還好，看到嚇了一跳。感覺這條揭露行政院〈資通安全網路月報〉的新聞，要搭配幾件事一起看。
[試想] 如果接到訊息說三十分鐘內要原地隔離
希望部桃疫情的發展能獲得控制，但在這之前我想到了一個無傷大雅但卻現在必須真實面對的 “thought experiment”。
晶片身分證發行暫緩是國安系統失能導致的序曲
真是鬧劇啊
本日 (1/21) 行政院院會後的記者會正式宣布「晶片身分證全面換發」計畫暫緩 [a]。對很多人來說，這是鬧劇一齣，而且上檯面「鬧了」還不止三年。不過總是要等到選舉年的前一年，才是被迫宣布「暫緩」的時機。這結局對從頭開始就關心的利益攸關者而言，不只是「鬧劇」，幾乎可以說是某種國家安全決策「悲劇」的序曲。
「eID 雙寶」直播雙簧談晶片身分證資安
前幾天看到訊息時差點沒從椅上摔下來，想必是最近關切「晶片身分證」的力道不見衰減，蘇貞昌（行政院院長）有交代，務必要對公眾說明。於是「eID 雙寶」（編按：徐國勇、唐鳳）將於今日 (12/21) 中午採用 Facebook 直播，述說資訊安全保障云云之情事。
不懂戰災應變為什麼需要大數據？
聽起來既驚悚又陌生，不是嗎？但這是歐吉桑沈榮津（行政院副院長）在日前行政院動員會報後所發的新聞稿。副院長也是行政院的當然兼任資訊長，這一點先在這說明。這篇新聞稿的標題是這麼寫的。
內文第一段是：
請有關部會隨時關注全球災害情形與兩岸關係，以調整動員演習方向與重點。此外，也請善用大數據資料與科技技術，強化災害及戰災時應變合作機制。
這個會議的場合是「動員會報」。動員是什麼不需要多作解釋吧？現行者有〈全民防衛動員準備法〉可考，過去者，也有記憶中不怎麼光采「動員戡亂時期」。但這個會報劈頭就把科技和大數據拿出來作為命題，而要戮力解決的動員任務有兩個情境，第一個是「災害」，第二個是「戰災」。要用大數據和科技技術來強化的，則是「應變合作機制」。
蔡委員易餘的數位發展部公聽會 (12/07)
前情提要
- 數位發展部會之籌備 不該如情報機關之如此隱密 (2020/09/28)
- 寫在劉世芳召開的數位發展部公聽會之前 (2020/11/16)
- 數位發展部之上上下下左右左右BA (2020/11/24)
- 數位發展部之組改畫畫看 (2020/11/30)
自從上一集之後，我們又看到了驚人的發展。一是劉世芳版的〈數位發展部組織法〉在立法院一讀通過（宣讀聲音檔），二是蔡易餘委員在今日召開公聽會。組織法還來不及公開討論見光就過了，雖不能堪稱一絕，但可見立法院對此事的關注，已到了不得已「卯起來」的速度。此事本該高興才對，但和11/17公聽會後的「結論」，顯然有著不同的節奏和內容。
駐外人員染疫問題的另外隱憂
駐美代表處可能是在外交部的編制內，規模最大，戰略地位最重要，人手也多，再加上業務龐雜。短短時間內十數人染疫，雖不全然是工作之間互有交集的職員眷，但新聞報導出來確實是令人擔憂。而且美國政權正在紛擾交接，對美國政府的核心外交人員必需居家隔離，等於是暫時不能出訪。這不啻是在政權交接之際的雪上加霜。
電商巨象入台 響起亞馬遜進行曲
數位發展部之上上下下左右左右BA
前情提要：
- 數位發展部會之籌備 不該如情報機關之如此隱密 (2020/09/28)
- 寫在劉世芳召開的數位發展部公聽會之前 (2020/11/16)
劉世芳的公聽會出席人數眾多，會前、會中、會後也各有大量訊息在席間交換。撇開公聽會會後之「十大法」結論，在思量之餘，卻發現另有新聞報導追擊探討此事。
- 郭耀煌赴綠營黨團報告 數位發展部仍是空泛之言 (2020/11/22)
以及一場本日下午的活動：
- 台灣數位經濟大會 (2020/11/24)
這場由「中華金融科技產業促進會」舉辦的活動，是郭耀煌首度公開現身。預料他會針對規劃中的數位發展部進行演講。此場應該具有指標意義，而且場地選在奇特的中經院。這讓我就想到了幾件過去的事：
- 新政府【五大創新產業】簡報 (2016/06/03)（編按：來自已作廢之政府科技計畫資訊網）
- 郭耀煌／跨出一專責部會設計思維 全面賦能國家數位治理生態 (2020/06/08)
我貼的這五個連結應該還挺關鍵的，一是2016年政府交接之際由他的名義發出，第二是郭耀煌被任命為科技政委之前還是「自由身」的投書。郭兄歷練豐富優秀，此時被委以重任，是符合台灣政府挑選科技產發代表人的邏輯。
特使張忠謀在APEC2020領袖會議發言有明顯訛誤
APEC 2020 領袖會議對台灣來說當然很重要，但有幾點須先理解。
全球最大最知名 .tw 網站一指被封
是小事，也是大事。我們把幾件事串起來看，我把事件的時間點標在後頭。標題寫的驚悚，但在「數位發展部」遲遲不見下文的當時，這些細膩的事，聰明的你我應該都要多多了解。
- sci-hub.tw 被封鎖然後揭露 (2020/11)
- 楓林網被查扣 (2020/11)
- TWNIC 談 DNS RPZ 政策 (2020/09)
- 31t.tw 復活 (2020/4)
- 31t.tw 被封鎖 (2019/3)
另外也要看去年修法偷過的國安法第2-2條，我們再複習一下內容。
國家安全之維護，應及於中華民國領域內網際空間及其實體空間。
以上五件事情都牽涉到 .tw 域名。但這五件事情（其實是四件）性質不太一樣。我們從最早的來看。
寫在劉世芳召開的數位發展部公聽會之前
比情報組織更隱密，比國防機關更難窺其堂奧。堂堂一個數位發展部在籌備階段就能搞到如此匿蹤，對於不少人來說簡直是不可思議。不知者遠遠觀之，還以為回到清帝國末期，圖法願自強，但終究是自己玩自己。
[心得] TWIGF 2020
幾點心得：
- 今年能在疫情期間，能舉辦到這樣已是高標。秘書長、秘書處的貢獻，可說是成功的關鍵因素。
- 通常這種規模的會議不可能吸引外商聯手贊助，但在科技冷戰氛圍之下，反倒促成 AIT、陳耀祥、劉世芳、羅秉成和謝繼茂等蒞臨致詞。科技冷戰是外在助力，但會議本身籌備，顯然在跨過不穩定的承辦結構之後，浮現新的隱憂。明年是否有「科技冷戰」此風可乘，目前不得而知。
- 在東亞社會，「治理」一向是有權力者才能奢談的古典潮詞。絕大多數僅是各言爾志的治理研討大會，或是年輕學子模擬開會的場域。對已在水深火熱的利益攸關者而言，若非秉持心裡有愛，大概甚難長期持續參與。台灣網路治理論壇有其發展的依賴路徑，在 (a)「開放」的部分有所堅持，但在 (b) 實然政策流程影響的部分，不見進展。而在 (c) 跨域專業交流部分，起了極佳的示範，但在 (d) 會議本身的靈活和吸引度，則是越來越不樂觀。
- 「數位發展部」顯然是本次關切重點，但可惜的是，承襲良好的「傳統」，雖然現場講者和觀眾都是老手和一流之選，但對於提出影響政策規劃之人，卻是不敢公開「點明」。我們當然可以依法不依人談公共行政、組織改造、監理業務和諸多過去難以解決之事，但此事本就有人有政務官、事務官負責。在台灣談政策發展，尤其不能脫離「政策依據」和「人」等兩回事，否則就是鬼打牆。我在第二天「短講」時刻，根據所談的議題維度，提出幾位應該對此事（案：數位發展部籌備）公開有所說明的人名，包含科技政委郭耀煌（任務為數位發展部規劃）、談判代表鄧振中（如數發部職能控幅牽扯到 RCEP 相關章節）和國發會主委龔明鑫（綜規）等。台下學生不敢不知提人名，情有可緣。但現場諸多網路耆老，有身份，有經驗，有話語權。（否則如何借到中華電信總部大樓頂樓超高級會議室？）諸君應撇除心魔，要多多精準的針對人事物提出建議。你們不提，難道要手無寸鐵的書生提？
- 應注重世代傳承，台灣傳產早已面臨二代不接手無以為繼的現象級困境。網路一日三變，三年一大變，應注重傳承，該放就放。否則壓抑幼苗成長，最後輸的是台灣網路環境和本就應該有的自己的舞台。耆老應有自我認識，不要成為「永遠領袖」，在歷史洪流享受備受保護的溫存。今年議程內容極度精彩，但來客特別短少。明年若不改，將會落入殭屍之淵。「領導」的結構若是經歷太單一，整個結構就很 vulnerable。這不是網路組織該有的現象。三十年一直都在前線，就是時代的悲劇。有傳有承，互有輝映，榮榮向生，生生不息。
以上，今年僅以路人身份，貢獻一場主持和一場短講以及兩個整天，也邀請了美國智庫的朋友（應該是現場唯一的外國人）還有不在網路此行的某董事朋友。貢獻度當然還不若其他勞苦功高的 MSG 成員，因此由衷感謝秘書處的付出。超高興利用這機會見到很多老友，謝謝。
台灣網路治理論壇2020
TWIGF2020又來了
時間為11月11日和12日兩天，地點是台北中華電信總公司。
- 議程：https://www.igf.org.tw/twigf2020/2020_agenda/
- 報名（有門禁管制）：https://www.igf.org.tw/twigf2020/2020_signup/
應朋友之邀，主持第一天上午的一場，題目是：網路主權：政治、經濟至安全，內容請詳說明。摘要……
自中國於烏鎮舉辦世界互聯網大會，至今已第六屆，其網路主權之論述從擴大掌握資通訊關鍵設施，到提 倡建立「網絡空間人類命運共同體」，其網路主權論述不斷演進，且持續於國際空間推動、落實。主權概念在國際關係理論已有許多討論，並有政治、經濟與安全等不同面向，然而台灣對於延伸至網路空間之 「數位國土」，以及與單一網路（one Internet）概念之競合，暫未見較深入之探討。本次研討希望能由主權概念始，就既有案例討論其於網路空間的政治、經濟與安全意涵。
精彩可期，歡迎闔家來現場交流。現場有很多不同領域的高手。除了老生面孔之外，這更是少數能有機會認識在不同地方貢獻己力的生力軍場合。
數位發展部會之籌備 不該如情報機關之如此隱密
網站都「活不下去」了，還談數位轉型？
[初探] 美國商務部針對微信和 TikTok 禁令對於台灣的影響
這件事很大條，而且對台灣有影響。你會好奇說，不就是兩個 app 從兩個主要的 app 市集「下架」而已，怎麼會影響到台灣？這時候就要訴諸原文和經驗，很快的針對商務部的禁令原文來研析。
9月20日生效的有兩點，第一點是 WeChat 和 TikTok 的 mobile app 要從 app 市集的美國區域下架，這一點很好理解，影響的會是誰？例如：
- 主要當然就是美國境內的用戶不能再從兩個主要市集下載和更新 app。
- 這兩個 app 在美國境內應該已經屬於飽和的狀態，大概對「市占率」成長的影響不大。但騰訊和 ByteDance 在後續任何針對安全或是軟體服務的更新，都也在禁止之列。
- 連帶的，任何透過 WeChat 和 TikTok 提供「美國境內使用者」服務的所有第三方合作商和軟體開發者，也要在兩天之內做出反應。這部分對台灣整體社會的影響比較難用一篇短文說明，但透過 WeChat 經營顧客關係管理和提供服務，如透過「小程序」的任何商家，如果有客戶在美國境內，都在影響之列。
- 在美國境內透過 WeChat 和其他國家保持社交關係和聯繫的使用者。這點也很好理解，對台灣的影響是，不少台灣在美就業的朋友，要重新思考 P2P (peer to peer) 的社交訊息流要如何快速重新建立。
對商業領域來說，你只要想想公司內部只剩兩天要判斷、處理、開發、轉移和度過此等商業風險，規模越大的會越頭痛，尤其是下週一開始辦公的時間。
台灣某研究型大學被駭取六萬筆影像個資一案
台灣的調查局 #MJIB 和美國 @FBI 號稱「聯手」破大案是沒錯，不過六萬名「受害者」含冤未雪也不知道是誰。
是美國司法部聯邦調查局所公開起訴報告說的：
- Remarks by Deputy Attorney General Jeffrey A. Rosen at an Announcement of Charges and Arrests in Computer Intrusion Campaigns Related to China
- Seven International Cyber Defendants, Including “Apt41” Actors, Charged In Connection With Computer Intrusion Campaigns Against More Than 100 Victims Globally
- APT 41 GROUP
受害者來自不少國家，當然也包含了台灣的能源公司（應該是中油）。但起訴書提到一所台灣的研究型大學也是受害者之列，這點倒是沒有什麼進一步的討論。
研究型的大學在台灣並不多，能有「六萬多名」更是屈指可數。這件事可以給我們一些對於台灣「非傳統安全」現況有著比較貼近事實的討論：
- 教育機構應該是最軟最好攻擊的目標之一，因為大學在資訊安全防護的投資和落實，在全校的重要資訊系統（如人事、薪酬等）部分，可能一直是低度安全投資的狀態。
- 研究型大學更是具有高價值的目標，尤其是在科研人力背景的長期搜集部分。
- 起訴書內說有個人影像，在台灣而言，這些可能是教職員和學生去相館照相後，所取得的高解析影像，再透過線上和線下途徑，繳回相關管理單位。由於這些照片是人事檔所必備的資料，正面高解析的影像，對於情資搜集的「助益」極大，可補足從社交媒體不容易蒐集到的「正規」、「乾淨」影像的「不足」。
- 台灣政務體系特有的學界和政界直接相通的人事管道：很多政務官退下來就去教書，教書教到一半又去當官。要透過公部門資料庫搜集這些人事資料，或許風險比較大。但從學校系統來搜集，就減少了這項「疑慮」。
- 學校各系所的電子郵件系統大概是最常被駭侵之標的，但如果要建立完整的「人名錄」，還是要從這種全校的人事系統去拿資料比較「方便」。而且針對年輕人的資料，長期蒐集，以後會派的上「用場」。
當然，相較於台灣，美國司法部這種跨國網路駭侵犯罪的起訴內文，細節清楚很多，但更細緻的受害細節從公開管道還是看不到，因此以上只是推估。台灣政府沒有專責的個資機關，網路緊急應變中心和司法單位針對此案公開發言希望可以期待。破案歸破案，但大學的「受害者」是？
我們目前可以確定的是：
- 在台灣網路犯罪的追查，如果是集團跨境所為，常常還是需要美國政府「協助」揭露。
- 對台灣的民眾而言（此案有很多，這裡只講大專院校教職員和學生），這種駭侵不會有救濟管道，連是不是受害者也不會有機會知道，更別說學校在個人資料的保護政策了。這點體認最好提早持有，對於了解台灣非傳統安全防護的現況（如資訊安全、資料安全等），會有「量子式」的躍進。
以上簡述。
台美5G共同宣言
主要是這件事，今天在松菸有場發佈活動。幾點看法：
（一）此場合是一系列美方拉抬台灣（或是台灣拉著美方）的動作之一，有所上手之繼承和下手之鋪陳。一來是《布拉格提案》已在美方、歐盟、北大西洋公約組織等國之間起了個頭，但類似的「倡議」「宣言」「準則」等一向為台灣政府束之高閣偶爾遇其事才拿來膜拜祭旗，絲毫沒有進入國內政策討論的空間。根據過去經驗，若不是有非營利組織多方長期遊說，國際發生什麼事到台灣一概都不會有什麼事發生。但在「科技冷戰」領域如5G，戰在火上已燒屁股，台灣非營利組織顯然是沒有角色的，所以能說上嘴的全部是政府概念股蜂擁而上。這由本次出席人士名單即可得知。
（二）美方在兩週前才由國務卿 Pompeo 再度前往捷克遊說，加強排除以中國為首之不安全的科技生態圈和供應鏈。對台灣而言，美方作業形式和節奏，還是有可學之處，這點我們從AIT發布的訊息和文字即可得知。反倒是台灣政府代表說得很多，但訴諸正式文字可考著實在太少。完整文字不知如何取得，還要利益相關者東找西找從媒體節錄吉光片羽，政策說帖沒有官方文字落定，多偏新聞花絮，只能說台灣的文官訓練在數位時代還有很多基本功夫應該加強。
（三）通傳會在此場合的態度也很強勢，通傳會對於資訊安全政策的指導地位顯然被拉得很高。未來所謂的5G「安全」「信任」確保是否都將由通傳會統一協調，這點可多做了解。政策各機關自身安全範疇出包的案例不少，而在資訊安全領域出嚴重大包得更多。由政府來主導政策統合和資源分配甚至是到下游的資訊安全確保，台灣的電信業者想必已有深切體認，屆時可能要「送檢」不少東西。此等台美之間合作經驗對於其他簽署《布拉格提案》的各國各方是否有學習價值，也要列入觀察目標。
（四）在宣言內提到了：「為推動5G生態系統的健全和蓬勃發展，在審慎評估時應將法治、安全環境、供應商道德規範、供應商是否遵守安全標準與業界最佳實務等納入考量」。「供應商道德規範」在台灣的電信和網路業界，可能絕大多數還不知道要如何上手評估進入實務、工作準則和管理技術範疇，這部分實屬有趣的範疇。
其他觀察，就待有機會再聊了。小結以上。
Cybersec 2020 台灣資安大會
一點觀察：
大概主要政府機構都派員參加，我想這也和國安單位的推動有關。五月以來堪稱「動搖國本」和「國人信任」的資訊安全事件層出不窮，至今仍無堪讀堪用的公開檢討報告。實質 CyberSec 2020 延後舉辦，此會議恰是鼓勵公部門面對產業和利益相關者的極佳場合。這可由多人的出席和蔡英文總統的致詞得見一番。
有些政府單位也準備了比較豐富的題材上台報告，若安排得宜，則有公開交流，例如針對《資通安全管理法》施行細則和未來修法方向之交流。但有些單位因為業務屬性屬於機敏範圍，雖說聽眾興趣爆棚，但演說品質猶如清水。調查局即是其中之一。落差過大，有點可惜。
無論如何，走一趟 Cybersec 2020 台灣資安大會都能學習到不少。iThome 有不少精彩報導。
川普行政命令禁止微信，還提到台灣韓國澳洲
一天半前才說要注意微信，今天一早起來就發現在華府的記者傳出訊息：川普已經簽署了禁止微信的行政命令。對台灣社會來說，目前媒體報的都算快，也有人專門盯川普在講什麼，所以新聞報導的一點都不欠缺，欠缺的可能是其他的部分。
比如說我們看行政命令的內文，就會發現相當「不妙」。這不妙是什麼意思？行政命令提到除了美國之外的三個國家，分別是韓國、台灣和澳洲。美國要「禁止」微信就禁，為什麼要提到其他國家？內文提到這三個地方的目的是什麼？
For example, in March 2019, a researcher reportedly discovered a Chinese database containing billions of WeChat messages sent from users in not only China but also the United States, Taiwan, South Korea, and Australia.
好的，我們看到原來是在談2019年3月某位研究者的報告。這位研究者的「報告」其實應該不少人都看過，但行政命令內只有提到這份研究，想必這份研究相當重要。美國不是沒有情報機關，也不是沒科技能力做微信的「市場研究」，會提到這份就表示對台灣社會來說也挺重要的，關心此事的人應該也要看過才是。
所以如果沒有看過這份報告，那顯然有些環節出了問題，這是在看台灣媒體報導時第一個要問的：是誰該看過？例如號稱跟美國關係密切的台灣政府外交團隊（之一）嗎？
第二點是，到底這份行政命令會如何在45天後具體影響台灣的政治、政策和產業發展？會被影響到的這些利益攸關者，已經接收到台灣政府的通知或告知了嗎？可以期待台灣政府給些「指示」嗎？美國是透過什麼管道和程序，讓台灣政府和產業知道美國商務部要「動手」了？台灣是真的只有45天反應？還是已經有什麼政府單位提前知道？
第三點是，如果我的公司有騰訊集團的投資，而且我有美國籍，現在人在台灣，那我該怎麼辦？這是用私人公司角度來看的，事情這麼急，也不算風險管理，根本可以說是馬上就要有緊急應變的「逃命計畫」了。那行政命令要找誰來解讀？美國商務部通常是如何執行行政命令的？過去有發生過這等力道嗎？有經驗的人在哪？公司的內部法務能應付嗎？商務部是怎麼界定 “transaction” 的？此行政命令只適用於「微信」，還是整個騰訊控股集團？
第四點是，美國年底選舉之後，這份行政命令會不會翻盤？還是我可以緩兵之計，等選舉結果之後再說？或是鞭長莫及，反正化外之地，不會被「燒到」？
Sec. 4. For the purposes of this order:
(a) the term “person” means an individual or entity;
(b) the term “entity” means a government or instrumentality of such government, partnership, association, trust, joint venture, corporation, group, subgroup, or other organization, including an international organization; and
還有很多可以討論的點，但對台灣來說，既然被「點名」了，就不要看看台灣媒體的報導就算了。認真一點會比較安全。台灣有多少微信用戶，想必也不在少數。
TikTok 看門道
事件：Pompeo says US may take action against TikTok and other Chinese tech companies ‘shortly’
Ben 的文章基本上都講完了，我提供些「台灣觀點」作為思考的出發。
（一）此事台灣政府不要置身事外：這意思並非說川普政府透過媒體所表達的意圖陰晴不定，所以我們要多追蹤關注，而是川普政府認知 TikTok 所構成的威脅（Ben 的文章提到不少），有些說法是長久以來為不少人所關注的，有些則是這一週突然冒出來。這些明示和暗示的威脅型態，有些有所本，有些找不到本（如：拆 app 分析數據流）。有本的要研究，無本的要觀察。更重要的是
臺灣也面臨類似的「威脅」，而且台灣浸泡在這些威脅樣態的時間，大概比不少國家來得更為歷史悠久
例如長期在台灣政府資訊系統之間流竄的 “Taidoor” 在2013年已經為人所知，但美方到昨天才由 FBI 發表聲明。
在網路攻擊 (cyber attack) 部分，台灣可說是地緣脈絡下的事件中心。執持著「安全、自由、可信任的網路空間」大旗，還能催生出《台美5G共同宣言》這樣的動作。雖然 TikTok 在台灣的影響不若其在美國的吹枯拉朽，不過眼下想處理的 iQiyi, Huawei 等層出不窮的動作所隱含的意識卻是類似的。可是台灣並非網路大國，也沒有如此直接的行政指導，指導出來還封不了反而會變成笑話，封了也會變成笑話，可能還會把美國服務商拖下水。台灣在網路空間要處理的多邊問題的構面和美國、中國是不一樣的。這個意思是說，台灣如何精準、細膩、有效、基於法治精神的處理模式，反而對很多國家是更有實際參考價值的。如果台灣搞不太定，在特定的圈子也會成為國際的教材。
（二）關於年輕人政治觀的培養場域：出身於2000年後的世代，如果居住國是類似美國、西歐和亞太等這些上網滲透率高的國家，那麼這個世代的所有政治觀，可能都是透過網路所培養起來的。這個世代受到大型技術平台 (big tech) 的演算法影響是最為強烈的。我們把前總統李登輝近日的逝世拿來作為一個對照，也能提醒 “big tech” 在地緣政治對於年輕世代影響力——這點的重要。90歲的和60歲的台灣民眾對於李登輝的回憶是不一樣的，40歲和20歲的也完全不一樣。20來歲對於李登輝的認識，幾乎來自於網路媒體，更精確地來說是社群媒體。什麼樣的勢力在社群媒體能投放影響力，就能塑造和掌握歷史人物（或事件）的重新詮釋。
TikTok「厲害」之處在於（Ben 的文章也講了很多）能夠「掃蕩」已開發和開發中國家龐大的上網年輕人口（想想印度），這個人口層是美國四大平台所難以企及的，而這和 “K-Pop” 或是 “BTS” 等打破亞洲娛樂界天花板的狀況顯然又完全的不一樣。
真封了誰受益，下一個被封的是？：TikTok 似乎沒有現成的取代品，但包山包海的 WeChat/Weixin 可不一樣。微信如果成為下一個目標，那麼以台灣觀點來看，不妨現在開始推定想像想像。誰受益？誰受害？這個受益和受害的規模如何？會不會造成網路使用者的「大流竄」？
GARMIN 網路服務全球故障一案
台灣已有媒體接到據稱來自相關 IT 部門的內部訊息，率先揭露。但 GARMIN 全球服務已故障兩日，從各種資訊初判，此案有其特別之處。台灣不可不注意。有幾點國內 IT 媒體沒提到的：
- GARMIN 是少數在製造、銷售、網路服務和數據服務都能自行一手包辦的跨國公司。因此若是因為勒索病毒攻擊導致企業業務停擺，這和其它上半年在台灣被揭露以及未揭露所發生的類似事件，其意義是完全不同的。以目前服務停擺的狀況來研判，等於是一次在 (a) 製造 (b) 對外服務 (c) 數據都停止了企業運作。企業內部系統是否連帶受到影響，我們目前不得而知。
- GARMIN 不是只是「穿戴式」「大廠」，GARMIN 成立不到數年即為美國軍方前線部署兵力在導航設備的合作業者。長年是美國軍方的設備供應商之一，而且GARMIN 設備的主要製造地是台灣。
- GARMIN 的產品線極廣而且罕有競爭對手，例如台灣這十年來消費者所比較熟知的耐力運動（長跑）、自行車、登山和體適能監測等。再加上輕量的航海、航空和汽車導航等產品線，在全球消費者端的市場滲透率，可能是有「台灣元素」之中堪稱最廣且最為歷史悠久的品牌。
- GARMIN 在十多年前開始提供以網路為基礎的數據儲存和分析服務，全球消費者所熟知的 GARMIN Connect 為其主要的線上服務。這線上服務長期下來搜集了非常詳盡的個人運動資訊，尤其是在心率、運動功率和完整的定位軌跡資訊，所累積的全球個人運動數據，可說是地球上最完整的倉儲。我本身用了此服務超過十年，就算中間使用其服務有中斷期，但十多年的完整運動定位軌跡，加起來數千個小時是有的。由於在消費端的專業 GPS 產品就屬 GARMIN 做得最早最積極，無論在什麼時刻，都有運動員和運動愛好者使用它的產品和網路數據服務。這次各種面對消費者的服務一次在全球中斷，影響人數可能不低於五千萬之譜。
- 還有專業級的 flyGarmin 服務也一併故障。
- GARMIN 的共同創辦人是高民環，高民環目前仍然是 GARMIN 的董事長。兩位創辦人都曾經為美國陸軍的計畫服務。
這個時間點很妙，但要把事件發生的時間巧合歸因於「新科技冷戰」，大概在證據端還相當不夠周全。但有幾點令人疑惑的是：
- 我們完全不知道 GARMIN 到底發生了什麼事。
- 這家公司可說是美國和台灣在全球供應鏈「合作」的典範之一（雖然媒體和輿論很少討論）。
- GARMIN 在 GPS 定位領域所累積的長久知識，是美國軍方在解除 GPS 訊號干擾給民間使用的成功典範。衛星導航系統 (GNSS) 雖然不是只有美國的全球定位系統 (GPS)，但是這套是最完整，也是美國的戰略對手處心積慮擺脫和 “de-coupling” 美國生態的主要環節。
但以台灣為製造基地的 GARMIN 遭致此等程度的攻擊，這點卻是不能假裝沒看到的。台灣在四月之後陸續遭至各種勒索病毒的攻擊，不堪卒睹的五月份發生了一連串極為嚴重的資訊安全事件。我們在此同時可以看到有些國家慢慢揭露如何遭受到網路攻擊的經驗，選擇以比較透明的方式，讓所有可能遭受網路攻擊的國家和研究者，能有學習的教案和經驗。但在台灣，我們還是只能循線媒體報導，聽聽飯後的流言流語。這些在資訊安全整體觀和防衛力的提升，並不能讓人學到什麼。
這件事目前已經引起了不少安全領域媒體和專家的疑惑，而「台灣因素」尚未被帶入討論。希望未來不是以台灣為製造基地的國際業者都要面臨類似型態的威脅，否則台灣政府和美國政府之間要如何合作，在情資、通報、調查、鑑識、司法互助、聯防、公眾溝通和外交等層面，都會面臨新一波的混亂。另外，GPS 可說是現代空間資訊的基礎建設，從這個觀點來看就知道事情可以如何看待。
如過這只是一件單純的商業犯罪，那有得煩惱的也不少。身為一個超過20年的使用者，希望事情單純點好。
客委會旅遊券 遇急變則大亂
這幾天客委會提供旅遊券登記和發送一事，網路服務時好時壞，網路服務的使用者旅程 (user journey) 也再三更佚（站點一、站點二、站點三），堪為台灣政府在疫情後數位發展的經典案例之一。
此案有幾個特徵，造成在服務規劃、系統分析、程式開發、專案執行、客服除錯、公眾溝通等面向非常難以「順全緩平」：
- 急：準備時間少，可能低於一般作業時程，前後起心動念，我估算差不多一個月到一個半月（更正：接近三個月）。這時間期程對客委會而言已是急如星火。
- 變：在三天之內，服務的提供型態一再變更，國民也必須從「紛亂」的各種媒體管道得知不完整的服務訊息。
- 大：客委會的服務對象並不是一般國民，主要所服務的客家族群也不若本次對所有國民開放登記。為這個數量級國民提供網路即時服務，本來就是客委會沒有經驗的領域。從選擇 LINE 平台竟然由單位自陳沒有想到峰值人潮的估算背景知識，更證實了很多在數位時代不堪的決策品質。
- 亂：這是此案的上述條件因素在執行後三天給國民的體驗。
縱整一句就是：遇急變則大亂。
為什麼客委會所提供的網路服務會淪落至此？我想還是有兩個長期未解的難題：
- 政務官體系缺乏基本的相關背景知識：期待政務官在各領域都有專業專才是不切實際的期許，但有些屬於基線 (baseline) 的背景知識是有必要知道的。例如服務在短時間內會湧入多少人，所以我們要如何估算、預留多少的運算資源等。這些運算資源是否符合採購程序？如果採購程序不允許，如何控制在可負擔的成本之內？如果服務藉由它方的資訊系統來支持必要的服務流程（本案為 LINE），那麼在對公眾宣傳大量發放旅遊券之前，是否在系統介接和責任歸屬等合作條件上已經談妥，甚至有基本服務限制的認識？網路服務「人潮」湧入的估算方式和實體服務據點的差異頗大。我們這次看到客委會單方表示由於 LINE 基於系統安全，在短時間內若有「超過1700個帳戶加入」，則會自動啟動防護的措施。這在任何超大型資訊系統都是屬於正規的做法，客委會難道在討論階段沒有這樣的警覺？峰值同時湧入「20萬人」和「1700人」的差距是超過一百倍。一個數值的估算如果超過一百倍，那已經不是單純的錯誤，而是根本不知道該怎麼估算的後果。
- 單位本身缺乏能判斷風險的幕僚和作業文化：在數位時代，自己的單位不用甚麼都做，但至少要有足夠的幕僚人力在決策過程扮演關鍵的角色。目前台灣政府各部會的主官（如部長、主委等）和副主官（如政次），多半和數位世界離的很遠，因此主官本身必然要有培養相關幕僚的決心和體悟。但「網路資訊服務」的提供又不是「善用社群媒體」等時下興盛的潮流族群能有所貢獻，傳統單位內的 IT 幕僚在處理 “web scale” 的經驗也多半不足（原因不一而足）。客委會推出「旅遊券」的服務流程若內部會議有幕僚，很多問題並不是這麼難遇見和預留解決的路徑（技術、合作、採購等）。總不能每次都要外部派「消防隊」來支援，這畢竟是自己單位的事。
時間都2020年了，很多人最不樂意見到的就是每次「網站卡卡」，問題的根源就歸咎於「駭客入侵」「流量太大」，解決的手法就是「加大頻寬」「增加機器」。 從規劃、分析端就預留了各種出包的風險，更遑論更精細的指揮調度 (command & control) 檢討與優化。這些疫後的案例，很誠實的暴露出台灣政府在提供數位服務大致是什麼樣的光景，而這些「遇急變則大亂」的癥結點又是在哪裡。
