司法院及所屬各機關資訊安全管理要點 第 24 條

白話解讀

司法院及所屬各機關資訊安全管理要點第24條規定，針對司法院開放外界連線作業之資訊系統，應根據資料及系統的重要性及價值，採取不同的安全等級技術或措施，包括資料加密、身分鑑別、電子簽章、防火牆及安全漏洞偵測等，以防止資料及系統遭到侵入、破壞、竄改、刪除或未經授權的存取。必要時，應以代理伺服器等方式提供外界存取資料，避免外界直接進入資訊系統或資料庫存取資料。 根據最高法院102年度台上字第235號判決，關於資訊保護的合理保密措施，應指所有人按其人力、財力，依社會通常所可能之方法或技術，將不被公眾知悉之情報資訊，依業務需要分類、分級而由不同之授權職務等級者知悉而言。在電腦資訊的保護中，通常會使用者每設有授權帳號、密碼等管制措施。例如，康來士公司已依員工職務、負責區域設定登入帳號及密碼，以管制相關人員讀取系爭檔案之權限。此外，該公司的伺服器也已設定員工讀取資料的權限，每當讀取資料時，伺服器會檢查使用者對所讀取之資料的權限，如無權限就會拒絕讀取。 根據最高法院判決，針對康來士公司的資訊管理情形，公司約聘的資訊管理人員會根據員工職務、工作負責區域為不同的員工設定權限。例如，一般員工只能看到負責區域的檔案，而主管則具有跨區域的權限。此外，根據康來士公司國際認證專員的證詞，每一個區域都有一個人負責管理相關檔案。因此，根據上述證詞，康來士公司已採行了防止第三人獲悉檔案內容的保密措施。 根據最高行政法院100年度判字第427號判決，個人資訊的公開須符合政府資訊公開法第18條第1項第6款所定之要件，即個人資訊的公開應符合公益之必要、為保護人民生命、身體、健康之必要、或經當事人同意。因此，請求公開個人資訊的人必須證明其請求公開的個人資訊符合上述法條但書之要件，否則應不予公開。 綜合以上資料和判決，根據司法院及所屬各機關資訊安全管理要點第24條，司法院及其所屬機關在開放外界連線作業之資訊系統時，應採取相應的資安措施，包括使用資料加密、身分鑑別、電子簽章等技術，以防止資料及系統被侵入、破壞、竄改、刪除或未經授權的存取。此外，根據政府資訊公開法第18條第1項第6款，對於有侵害個人隱私、職業上秘密或著作權人之公開發表權的資訊，應限制公開或不予提供，除非符合公益之必要、為保護人民生命、身體、健康之必要，或經當事人同意。另外，檔案法第18條第2款和第7款則規定在維護公共利益或第三人之正當權益的情況下，檔案也可被拒絕提供。 因此，針對被告要求提供原告的現場勘查報告照片，應適用政府資訊公開法第18條第1項第6款和檔案法第18條第2款、第7款的規定，必須考慮涉及個人隱私的情況，除非符合公益之必要或經當事人同意，否則不應提供。