中華民國內政部建築研究所中華民國內政部建築研究所

一、研究緣起
進入21世紀後，人工智慧及資通訊技術取得突破性發展，帶動物聯網相關應用崛起。由於智慧家庭是建構智慧化社會的一環，產業界紛紛聚焦研發智慧家庭解決方案。資訊及隱私安全為智慧建築導入物聯網相關應用的重要課題，不僅民眾對於資安抱持疑慮，亦有半數以上企業認為聯網設備潛在的隱私風險將對業務和投資造成影響，阻礙業者投入相關市場之腳步。為解決上述問題，世界各國陸續推動相關政策、制定法律或指引、標準等。
我國於2017年通過《資通安全管理法》，並陸續針對不同領域制定資安標準和驗證制度，惟《資通安全管理法》規範對象為公務機關和關鍵基礎設施提供者，不及於一般建築物或住宅所有權人，且目前尚欠缺針對智慧建築領域之資安標準或指引。基於上述理由，應有調查分析國外相關法制規定，以及國內集合住宅類智慧建築導入資通訊應用時可能面臨之安全風險，研擬我國集合住宅類智慧建築導入資通訊安全應用注意事項草案，供主管機關參考之必要。
二、研究方法與過程
在研究方法上，本研究將透過訪談了解國內集合住宅類智慧建築導入資通訊安全應用時可能產生之風險，以及國內相關法規及標準制定狀況，並收集國外集合住宅導入資通訊安全應用法法制規定和標準，作為研提我國於集合住宅內導入智慧建築資通訊安全應用注意事項草案之參考。
三、重要發現
本研究經蒐集並整理我國、日本、美國、歐盟及英國等地區或國家，有關智慧建築或資通訊安全應用之法制規定，發現由於資通訊或聯網設備種類及態樣廣泛，故相關文件首先都會釐清適用對象和範圍，以利後續設想可能發生之意外事件，作為分析潛在威脅和風險之基礎。其次，各國在研擬相關規範時，日本從功能面和管理面出發，依序針對各利害關係人分別提出建議；歐盟則將建議分為「政策」、「組織、人員和流程措施」、「技術措施」3類，而本報告進行訪談時，亦有專家認為可軟硬體面和程序面（包含人員管理在內）著手研擬注意事項。
本研究依據上述研究成果，並參酌臺灣資通產業標準協會所制定之「消費性物聯網產品資安標準」及「物聯網場域資安防護評估指引」，根據本研究對於集合住宅類智慧建築之定義、發展狀況及國外法制調查整理等，提出我國集合住宅類智慧建築資訊安全應用情境，整理我國集合住宅類智慧建築架構及主要智慧化項目，以及各項智慧化服務可能涉及之利害關係人，並從功能面及管理面出發，分析我國集合住宅類智慧建築之可能發生之意外事件、資安威脅及弱點。最後，本報告針對我國集合住宅類智慧建築可能存在之弱點，比對各國針對智慧住宅或聯網設備提出之規範，研提我國集合住宅類智慧建築導入資通訊安全應用注意事項。
四、主要建議事項
經過研究發現，本研究針對智慧建築之資訊安全，研提立即可行建議及長期建議如下︰
建議一
加強我國智慧建築資訊安全之規範︰立即可行建議
主辦機關︰內政部建築研究所
協辦機關︰財團法人資訊工業策進會
智慧建築為未來5G網路和物聯網之主要應用場域之一，內政部建築研究所自2004年建立候選智慧建築證書及智慧建築標章制度，目前智慧建築標章評估之八項指標︰綜合佈線、資訊通信、系統整合、設施管理、安全防災、節能管理、健康舒適、智慧創新，並未將資訊安全列為指標之一，雖具體評估內容中部份已納入資訊安全概念，如資訊通信指標之基本項目「2.3區域網域」，其評估內容包括「適當的資訊安全保障設備」等，但仍應進一步檢視及精進，且有關資訊安全之評估內容散落在各項指標當中，故應有討論是否將資訊安全列為獨立評估指標，以及指標應包含之評估項目及具體評估內容等事項之必要。
本計畫已於110年度調查國外有關智慧建築和物聯網相關之規定，未來可以上述法制調查結果和國內現況為基礎，檢視我國智慧建築標章內有關資訊安全之規定，並提出評估指標、評估項目及內容之調整建議。
建議二
強化公寓大廈管理服務人員資安意識與能力︰中長期建議
主辦機關︰內政部營建署
協辦機關︰內政部建築研究所
集合住宅類智慧建築之資訊安全有賴於管理面執行與落實，管理單位必須選用合適之IoT設備，並建立資訊安全政策或標準作業流程，遵照一定程序選購、使用、管理、維護和更新、廢棄相關設備或系統，且管理人員亦須具備一定之資訊安全意識與能力，針對意外事件能即時應對處理，方能有效確保集合住宅類智慧建築之資訊安全。基於上述理由，建議未來主管機關可研擬是否加強公寓大廈管理服務人員之訓練，將資訊安全科目納入《公寓大廈管理服務人員管理辦法》第20條之管理服務人員訓練課程。

Internet of Things (IoT) devices are being deployed in a wide variety of consumer applications at homes, offices, buildings, cities, and so on. Through IoT device, Smart building can gather information from the environment inside and outside to optimize temperature, lighting, and other elements. Because of this, Smart building can provide comprehensive, convenient, intelligent, and interactive services for both individuals and their surroundings. While IoT bringing numerous benefits, it also causes severe threats to privacy and security. Improper device updates, lack of security protocols, user unawareness, and active device monitoring are among the challenges that IoT is facing.
For above reason, California made laws requiring “reasonable security features” to be added to IoT devices. In addition, the United Kingdom asked IoT device manufacturers to meet security standards. For avoiding risk of IoT, this article research IoT cybersecurity legal issue, and focus on Congregate housing that using IoT technology. First of all, this article will interview related operator to understand actual situation, then analyze IoT cybersecurity regulation of the USA, EU, the United Kingdom and Japan. At last, this article will according the above research, and draft notice of Congregate housing use IoT device.
Research methods:
1.in-depth interview
This research intends to learn about the problems that may be encountered in practice through interviews with industry experts, and to ask experts for their opinions and suggestions.
2.Document Analysis
This research collects and analyzes relevant foreign standards as a reference.
Major outcomes:
1.Sort out and analyze the cybersecurity regulations related to the Internet of Things, connected devices, and smart buildings in the United States, the European Union, the United Kingdom, Japan and our country.
2.Develop a draft of precautions for the security application of smart buildings in our country's Congregate housing.