中華民國內政部建築研究所中華民國內政部建築研究所

BIM為建築產業帶來嶄新的工作流程，而且也必需透過新的工作流程才能獲得BIM的帶來的所有效益。然而，新技術的導入就如雙面刃，不免帶來利弊兩面的影響。先進國家在推動建築產業應用BIM來分享重要的建築資訊，藉以提升工作效率、精度、品質的同時，也開始意識到若無法有效應對因為應用資訊技術所帶來的資訊安全風險，其影響的層面可能不只是降低建築產業技術數位升級的效益，更有可能成為產業升級的絆腳石，甚至危害到整體人居環境（Built Environment）的安全。
為此，BSI英國國家標準協會（以下簡稱為BSI）發布基於BIM的資安作業標準，PAS 1192-5，ISO 19650-5關於建築資訊安全的國際標準也於去年（2020年）發布，可見國際間已開始認知到建築產業資訊安全管理的重要性。
本研究希望藉簡單回顧PAS 1192-5，ISO 19650-5、ISO 27000系列等資安標準，以及國內CNS、資安政策沿革，資安規範內容，提出國外對於建築資訊安全管理有哪些要求是國內尚未被重視的，以作為國內正在運用BIM等新一代資訊格式內容的相關人員在思考資安管理策略之參考，同時也為未來研擬相關資訊安全管理規範，提供一些參考。
研究發現資訊安全應該是一個管理過程，而不是一項資安技術導入過程。PAS 1192-5已有完整的構架可供參考，從業主的角度出發，定義建築資產資訊安全與威脅，提供辨識敏感性建築與評估資安風險的方法，針對風險所需制定的組織內部資安管理政策，以及計畫要點與所需的人力資源。並進一步說明，如何將前述的資安政策嵌入建築工程專案全生命週期各階段作業中，透過合約將資安的需求延伸至顧問、設計單位、承包商、營運使用者，以及所應用相關資訊系統的管理。PAS 1192-5也清楚的指出，建築產業資訊安全管理是虛實互相影響的管理系統。因此，建築資安管理系統，需要包含人員、流程、實體與技術等四大層面，才能稱為具整體性的資訊安全管理系統。
依照我國資安法的規定，建築資訊也會是其管理的範圍，納入受管制機關的資通安全維護計畫。為了國家資安政策的發展，避免造成建築資訊未受管理而產生資安風險，提供受管制機關以及建築產業一個符合國內法規、建築實務條件的建築資訊安全管理指引文件，成為推動建築產業資訊化升級的重要工作之一。國際現有的建築資訊安全管理標準，正好為國內訂定相關國家標準或行產業標準，提供一個將國際標準與國內規範接軌的可靠的參考文件。
本研究提出兩點建議：
建議一
正視建築產業資訊人員的需求，建立建築資訊安全人員的角色與價值
建議本部可與行政院資通安全處合作，建立建築實務結合資訊安全性、全面性管理能力的人才職務需求。行政院資通安全處在推動資安人才培訓時，除了資安技術人才外，也可與各事業主管機關合作，建立結合資訊安全性、全面性管理能力的人才職務需求，並納入業務委託需求形成誘因，吸引人力投入，始能將資安管理深入各國內各建築產業等主要事業的實務之中，再與先端的資安技術互相搭配，形成堅固安全的智慧國家。
建議二
政府應先為建立不同的建築類別進行敏感性辨別與風險評估
建議本部可以與行政院資通安全處以及採購主管機關合作，除了資安法規定的關鍵基礎設施外，也可針對未來智慧城市發展所需的主要建築物，如社會住宅等較不具敏感性的建築物等，分別訂立初步的等級與風險評估結果，並訂立相對的資安政策、管理計畫以及合約範本等文件供建築工程興辦與營運管理機關參考應用，以加速落實建築資訊安全管理，成為資安政策的堅實基礎之一。