資通安全法律案例宣導彙編 第3輯
隨著網路技術的進步，資安事件亦日益加增，為了因應日趨頻繁的網路攻擊，美國總統歐巴馬於2016年7月26日發布了對於美國資安事件發生時聯邦部門間協調之指令（PRESIDENTIAL POLICY DIRECTIVE/PPD-41），該指令不僅提出聯邦政府對於資安事件回應的處理原則，並建立了聯邦政府各部門間對於發生重大資安事件時之協調指引。 指令中就資安事件及重大資安事件進行了定義：資安事件包含資訊系統漏洞、系統安全程序、內部控制、利用電腦漏洞的執行；而重大資安事件則指可能對國家安全利益、外交關係、美國經濟、人民信心、民眾自由或大眾健康與安全發生明顯危害的有關攻擊。 此外，就遭遇資安事件時，列舉出下列幾點作為聯邦政府因應資安事件時之原則：（A）責任分擔；（B）基於風險的回應；（C）尊重受影響者；（D）政府力量之聯合；（E）促進重建及恢復。 聯邦政府機關於因應資安事件時，需同時在威脅、資產及情報支援三方面上做相關之因應。其中司法部透過轄下聯邦調查局(Federal Bureau of Investigation, FBI)、國家網路調查聯合行動小組(National Cyber Investigative Joint Task Force, NCIJTF)負責威脅之回應；國土安全部(Department of Homeland Security, DHS)則透過轄下的國家網路安全與通訊整合中心(National Cybersecurity and Communications Integration Center, NCCIC)負責保護資產之部分，而情報支援部分，則由國家情報總監辦公室(Office of the Director of National Intelligence)下之網路威脅情報整合中心(Cyber Threat Intelligence Integration Center)負責相關事宜。如係政府機關本身遭受影響，則機關應處理該資安事件對其業務運作、客戶及員工之影響。另在遭遇重大資安事件時，為使聯邦政府能有效率因應，指令指出聯邦政府應就國家政策、全國業務及機關間為協調。此外，指令中亦指示國土安全部及司法部應建立當個人或組織遭遇資安事件時得以聯繫相關聯邦機關之管道。 該指令加強了現有政策的執行，並就美國機構組織上於資安事件與現行政策之互動做了進一步之解釋。
歐盟執委會通過關於《人工智慧責任指令》之立法提案歐盟執委會（European Commission）於2022年9月28日通過《人工智慧責任指令》（AI Liability Directive）之立法提案，以補充2021年4月通過之《人工智慧法》草案（Artificial Intelligence Act）。鑑於人工智慧產品之不透明性、複雜性且具自主行為等多項特徵，受損害者往往難以舉證並獲得因人工智慧所造成之損害賠償，《人工智慧責任指令》立法提案即為促使因人工智慧而受有損害者，得以更容易獲得賠償，並減輕受損害者請求損害賠償之舉證責任。 《人工智慧責任指令》透過引入兩個主要方式：（一）可推翻之推定（rebuttable presumptions）：人工智慧責任指令透過「因果關係推定（presumption of causality）」來減輕受損害者之舉證責任（burden of proof）。受損害者（不論是個人、企業或組織）若能證明人工智慧系統因過失或不遵守法規要求之義務，致其受有損害（包括基本權利在內之生命、健康、財產或隱私等），並且該損害與人工智慧系統之表現具有因果關係，法院即可推定該過失或不遵守義務之行為造成受損害者之損害。相對的，人工智慧之供應商或開發商等也可提供相關證據證明其過失不可能造成損害，或該損害係由其他原因所致，以推翻該損害之推定。（二）證據揭露機制（disclosure of evidence mechanism）：若受害者之損害涉及高風險人工智慧時，得要求自該供應商或開發商等處獲取證據之權利。受害者透過證據揭露機制能夠較容易地尋求法律賠償，並得以找出究責的對象。 歐盟執委會認為以安全為導向的《人工智慧法》，為人工智慧訂定橫向規則，旨在降低風險和防止損害，但仍需要《人工智慧責任指令》之責任規定，以確保損害風險出現時，相關賠償得以被實現。但歐盟執委會仍選擇了較小的干預手段，《人工智慧責任指令》針對過失之責任制度進行改革，並未採取舉證責任倒置（a reversal of the burden of proof）之作法，而是透過「可推翻之推定」，一方面減輕受損害者之舉證責任，使受損害者得對影響人工智慧系統並產生過失或侵害行為之人提出損害賠償；另一方面賦予人工智慧之供應商或開發商等有機會推翻前揭造成損害之推定，以避免人工智慧系統之供應商或開發商面臨更高的責任風險，可能阻礙人工智慧產品和服務創新。
美國參議員提案規範物聯網設備之資安漏洞美國參議員2017年08月01日提案立法，要求提供給美國政府的物聯網網路連結設備，須符合產業資訊安全標準，同時規範設備供應商，提供之設備必須可持續更新，不得含有無法更改參數的設定與不得具有任何已知安全漏洞。兩黨皆有參與提案參議員，共和黨為Cory Gardner和Steve Daines，以及民主黨的Mark Warner和Ron Wyden。 由於物聯網連結數持續成長，與物聯網相連的裝置與感應器，預計在2020年會超過200億台裝置，相關裝置的資料蒐集與傳輸，同時影響消費者與產業。當這些裝置在出廠時若預設無法更改的參數，即預設固定程式無法更新，則該裝置連接物聯網時，會因裝置無法更新程式，而可能產生資安漏洞，進而影響物聯網上其它連結設備之安全性。 2016至今，物聯網相關設備已被惡意阻斷服務攻擊(DDOS)影響相關網站、伺服器以及網路基礎設施提供者。 Warner等4位參議員提出的〈2017年物聯網資安改進法〉(Internet of Things (IoT) Cybersecurity Improvement Act of 2017)草案，主要關注： 聯邦政府採購的物聯網相關設備，須可持續更新、符合產業標準、不含無法更改內建參數的設定、以及不含已知安全漏洞。 行政管理和預算局(Direct the Office of Management and Budget ,OMB)，須發展可供替代網路級(network-level)資安設備以供限制性資料處理。 國土安全部的國家保護和計畫局(National Protection and Programs Directorate)須向提供連線設備予聯邦政府的承包商，發布整合性的資安漏洞揭露指導原則。 免除資安研究人員基於誠實信用研究時，所揭露與資安漏洞有關之法規責任。 要求所有執行機構清點所有連結物聯網的設備。
因應2020年社會實現自動駕駛，日本訂定自動駕駛制度整備大綱日本IT綜合戰略本部及官民資料活用推進本部於4月17日公佈「自動駕駛制度整備大綱」。大綱設定2020年至2025年間，日本社會實現自動駕駛下，所需檢討修正之關連法制度。 本大綱中，係以2020年實現自動駕駛至等級4為前提（限定場所、速度、時間等一定條件下為前提，系統獨自自動駕駛之情形），以在高速公路及部分地區之道路實現為條件設定。社會實現自動駕駛有以下課題需克服： 道路交通環境的整備：以自駕系統為行駛，一般道路因為環境複雜，常有無法預期狀況發生，導致自駕車的電腦系統無法對應。 確保整體的安全性：依據技術程度，設定一般車也能適用之行駛環境、設定車輛、自動駕駛之行駛環境條件以及人之互相配合，以達成與一般車相同之安全程度為方針下，由關係省廳間為合作，擬定客觀之指標。此一指標，並非全國一致，應就地方之特性，設定符合安全基準及自動駕駛行駛環境條件，建構整體確保安全之體制。 防止過度信賴自駕系統：訂定安全基準，使日本事件最先端自動車技術擴及於世界，訂定包含自駕系統安全性、網路安全等自動駕駛安全性要件指針。 事故發生時之法律責任：自動駕駛其相關人為駕駛人、系統製造商、道路管理者等多方面，其法律責任相對複雜化。現在係以被害人救濟觀點，至等級4為止之自動駕駛，適用自動車損害賠償責任險（強制責任險）方式，但是民法、刑法及行政法等法律全體之對應，仍為今後之課題，必須為早期快速處理。為了強化民事責任求償權行使、明確刑事責任之因果關係、並實現車輛安全性確保、避免所有人過度負擔等，車輛行駛紀錄器之裝置義務化、事故原因究明機制等，關係機關應合作為制度檢討。 本大綱最後並提出，在自動駕駛技術快速發展下，就其發展實際狀況應為持續半年1次召開會議檢討檢討。