林俊憲揭差勤機竟用「中國貼牌」廠商 警政署：已全面停用
〔記者林哲遠／台北報導〕民進黨立委林俊憲今日召開記者會揭露，內政部警政署、財政部關務署等機關，採購作為差勤管理的人臉、指紋等生物辨識設備，疑似使用中國熵基科技公司產品，恐使大量公務員的人臉、指紋等生物特徵資料暴露於資安風險，形成國安漏洞。他呼籲，政府應從源頭嚴格把關設備來源，以免政府採購成為資安及國安風險的破口。
警政署代表則強調，警政署已全面停止使用相關設備，並要求廠商提出完整說明，未來也會通盤檢討。
林俊憲指出，他日前接獲檢舉，某台灣廠商疑似將中國熵基(ZKTeco)的生物辨識機貼牌為自有品牌，十年來取得16件政府標案，包括人臉辨識機、指紋辨識機等設備，使用於政府機關差勤管理。令人憂心的是，採購機關包含警政署、海巡署、關務署及中油公司等涉及國家安全的重要機關，一旦生物特徵資料遭濫用，後果不堪設想。
以警政署112年的「差勤生物辨識機採購案」為例，林俊憲說明，比對設備外觀、台灣廠商及中國熵基官方產品介紹，不僅外觀照片一致，說明書甚至保留「U盤」、「固件」等中國用語，產品來源令人高度懷疑。此外，查詢國家通訊傳播委員會(NCC)型式認證資料，根據該台灣廠商產品的審驗報告，足認疑屬同產品換牌。
林俊憲續指，型式認證資料顯示，設備製造商登載為「ARMATURA TECH CO., Ltd.」(下稱ARMATURA)。然而，查閱公開資料發現，ARMATURA即中國熵基的99.98%控股子公司，包括中國熵基首次公開募股說明書(IPO)、商標登記及國際產業研究報導，都顯示ARMATURA為旗下品牌，令人質疑「非中國製」是否是規避採購規範的手法。
此外，林俊憲也發現，各機關對於生物辨識設備是否屬於「具敏感性或國安(含資安)疑慮」採購，認定標準竟然不一致。警政署認定為敏感性採購，中油公司認定涉及國安疑慮，但海巡署、關務署及警政署保一總隊卻認定非屬敏感性採購。
他說，依據原先行政院公告「具敏感性或國安(含資安)疑慮之業務範疇」，包含人事業務相關系統、行政輔助重要系統，生物辨識機自然屬於範疇內，行政機關卻未依此認定，代表敏感性採購的把關出現落差。
林俊憲再指出，警政署該案採最低標決標，決標金額僅為底價75%，廠商恐有低價搶標的情形，但警政署卻未依採購相關規定要求廠商說明，確保得以如期如質履約，令人質疑因此錯失查核產品來源的機會。
針對相關問題，林俊憲提出三項要求，一、所有曾採購相關設備的政府機關，應立即全面清查設備來源及確保資料無外洩；二、數位發展部資通安全署應明確規定，凡涉及個資蒐集的設備，一律列為敏感性採購，不得由各機關自行認定；三、行政院公共工程委員會也應檢討採購制度，要求涉及敏感性採購案應參考最有利標精神，避免機關一味追求最低標，讓低價貼牌產品流入政府機關。
對此，數發部資安署綜合規劃組長李東宜說明，數發部有訂定一個「具敏感性或國安含資安疑慮」的業務範疇，若屬於敏感性或國安疑慮的資通系統，是不可以採購的；未來數發部會研議把個人資料的蒐集及利用，特別是今天所提及的生物特徵、特種個資納入業務範疇。