監察委員：賴鼎銘、葉宜津
114年5月傳出中華電信所營運之政府伺服器數位憑證管理中心（GTLSCA）憑證，將遭Google Chrome撤銷信任，影響範圍涵蓋政府網站、公共服務入口及相關數位應用，恐導致民眾連線受阻或誤判為不安全網站，衝擊政府數位服務之信任基礎，引起監察委員賴鼎銘、葉宜津高度重視。監察院於115年4月14日交通及採購委員會通過調查報告指出，數發部雖於事發後推動政府網站雙憑證機制、完成全面換證作業，並透過契約裁罰及調整人力等方式進行補救；惟在風險覺察、監理強度及制度設計等面向，仍有檢討精進之必要。
調查委員指出，本案肇因於中華電信GTLSCA於113年間接連發生多起違反國際憑證規範（Baseline Requirements,BR）情形，包括憑證格式錯誤及未於規定時限內撤銷等重大缺失，且涉及數千至上萬張憑證，顯示其內控及合規機制仍有不足。
調查委員強調，數發部作為政府公開金鑰基礎建設(GPKI)之主管機關，並肩負我國資訊產業推動及資通安全政策之統籌角色，雖已透過外部稽核、營運報告及契約機制進行管理，惟於113年上半年即已出現違規徵兆時，未能及時強化監督或要求建立有效檢核及應變機制，對於違反憑證撤銷時效之嚴重性亦未充分認知，致風險逐步累積；此外，該部事後對外說明時，將相關責任定位於委外契約關係，與其作為資訊產業推動及資通安全主管機關之角色，尚有明顯落差，允宜檢討改進。
調查委員進一步指出，現行憑證檢核及外部稽核多屬定期或事後查核，未能因應國際憑證體系即時自動化檢核之趨勢，亦未事先建立大規模憑證撤銷之授權及應變機制；另政府憑證及數位信任體系已具跨機關關鍵基礎設施特性，卻尚未納入關鍵資訊基礎建設相關安全防護架構管理，於風險辨識、系統相依性及持續營運等面向，仍有檢討強化之必要。
調查委員表示，中華電信於憑證管理及合規作業上確有待改進之處，數發部於風險治理及覺察上亦有精進空間，均應確實檢討改進，並以本案為契機，強化我國數位信任基礎設施之治理能力，以維護政府數位服務之穩定與公信力。