歐洲政府網路安全現狀：來自 SecurityBaseline.eu 的警示

現代治理的數位基礎設施通常被視為穩定與安全的堡壘。然而，Internet Cleanup Foundation 最近的一項倡議揭示了截然不同的現實。隨著 SecurityBaseline.eu 的推出，該基金會揭露了歐洲政府在基本網路安全衛生方面的系統性失敗，監測範圍涵蓋 32 個國家、超過 67,000 個政府機構及 200,000 個網站。

這項透明度專案是荷蘭 "Basisbeveiliging" 倡議的分支，旨在從靜態審計轉向持續監測。透過「紅綠燈」地圖系統將風險視覺化——其中紅色表示安全問題，橘色表示警告——該專案提供了一個政府數位健康狀況的公開帳本。研究結果令人警醒：從對公民的非法監控到關鍵資料庫介面的暴露，所謂「可接受」的安全基準經常無法達成。

三大關鍵失敗

雖然 SecurityBaseline 監測了 21 種不同的指標，但由於其非法性或所帶來的風險嚴重性，有三個特定領域顯得特別令人擔憂。

1. 非法追蹤與 GDPR 違規

儘管有《一般資料保護規範》（GDPR）的嚴格要求，仍發現有 3,081 個歐洲政府網站正在未經知情同意的情況下放置追蹤 Cookie。這不僅僅是技術疏忽，更是法律違規，因為 GDPR 要求同意必須是「自由給予、特定、知情且明確的」。

有趣的是，數據顯示這種追蹤通常是整合「現代」技術時產生的副作用，這些技術往往伴隨著隱藏的廣告成本。主要的元兇是大型平台：

• YouTube: 最大來源，擁有 2,077 個追蹤 Cookie。
• Google Ads: 842 個追蹤 Cookie。
• Facebook: 293 個追蹤 Cookie。
• TikTok: 20 個追蹤 Cookie。

各國之間存在顯著差異；例如，斯洛伐克、希臘和葡萄牙顯示出高頻率的非法追蹤，而賽普勒斯和列支敦斯登則未報告任何情況。這表明問題不在於缺乏技術，而是在於這些政府聘僱的網頁開發人員缺乏政策執行力與技術素養。

2. 暴露的資料庫管理介面

最危險的發現之一是管理面板暴露於公共網際網路中。具體而言，研究識別出在 3,529 個不同網域中，有 1,070 個可從公網存取的 phpMyAdmin 入口網站。

暴露像 phpMyAdmin 這樣的資料庫管理工具是一項關鍵風險。如果該軟體被發現漏洞——如 cPanel 等類似工具所示——攻擊者可以直接存取政府實體的後端資料庫。報告特別強調了一個極其惡劣的細節：其中兩個面板被發現位於電腦安全事件響應小組（CSIRTs）的地址上，而這些組織正是負責捍衛國家基礎設施的單位。

此外，該基金會指出，歐洲政府對其所依賴的開源專案缺乏資金貢獻，這顯示出對政府不願投資或保障其數位基礎設施所依賴之軟體的危險依賴性。

3. 政府電子郵件的加密危機

或許最令人震驚的指標是電子郵件加密的現狀。根據數據，99% 的政府電子郵件加密程度極差，未能遵循最新的安全實踐。

以荷蘭政府最新的 TLS (Transport Layer Security) 指南作為基準，結果非常慘淡。只有荷蘭 (58%) 和丹麥 (44%) 展現出令人期待的數字。對於絕大多數其他歐洲國家，加密正確的電子郵件百分比僅在 0% 到 8% 之間徘徊。

這種差距存在的部分原因是因為目前缺乏統一的歐洲 TLS 標準。雖然德國和法國等國家有自己的指南，但它們通常互不相容，且缺乏廣泛實施所需的簡單、易用的測試工具。

分析與反論

這項數據的發布引發了關於政府網站性質的技術辯論。一些觀察家認為，「紅地圖」可能具有煽情色彩，因為許多被標記的網站純粹是資訊性的「專案」網站——例如地方節慶或觀光網站——而非處理敏感公民資料的入口網站。

然而，這種說法忽略了「橫向移動」的風險。低重要性的專案網站上的漏洞可以作為攻擊者轉向至更敏感政府網路的切入點。如一位評論者所言，數據揭示了「政治領域中的技術素養」現況，即那些電子政府實踐正在發展中的國家，往往對這些實踐的安全影響理解最少。

邁向數位韌性

Internet Cleanup Foundation 強調，修復這些問題不能是一次性的努力。目標不是透過短暫的活動來「讓地圖變綠」，而是建立持續改進的過程。

為了實現真正的韌性，政府必須：

• 採用統一標準： 朝向全歐洲範圍的 TLS 和加密基準邁進，以消除目前的碎片化現象。
• 審核第三方整合： 確保使用嵌入式影片或分析工具時，不會在無意中引入非法追蹤。
• 防火牆保護管理工具： 將資料庫管理介面移至 VPN 或內部網路後方，移除其於公網上的可見性。
• 投資開源軟體： 為支撐其數位基礎設施的開源工具提供資金與技術支持。

透過將這些漏洞透明化，SecurityBaseline.eu 將安全從一項隱藏的行政任務轉化為公眾的問責機制。