資通安全法律案例宣導彙編 第1輯
2010年，美國聯邦政府展開「聯邦政府風險與授權管理計畫」（Federal Risk and Authorization Management Program，FedRAMP），在經過2年的研究與整備後，聯邦政府總務管理局於2012年06月06日宣佈FedRAMP正式運作。 FedRAMP是由國土安全部、聯邦政府總務管理局、國防部、國家安全局以及國家科技研究所共同撰寫及建置。該計畫的目的是建立一套全國政府機關可遵循依據，針對雲端服務的風險評估、授權管理的標準作業規範。 根據FedRAMP，雲端服務業者欲通過該計畫的評估，其評估程序可分為提出申請、檔案安全控管、進行安全測試、完成安全評估等四個階段。未來所有雲端產品與服務業者，都必須達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 對於雲端服務業者的評估，必須經由FedRAMP認證的第三方機構來進行審查，第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020以及ISO/IEC17011之規定，來驗證檢驗機構的品質與技術能力。目前為止，聯邦政府總務管理局已經公佈十個獲得授權的機構。 聯邦政府總務管理局同時並期待在2012年的年底之前，能夠有三個雲端服務提供者通過審查，然而，由於制度才剛上路不久，是否能夠跟上產業變遷的腳步並順利達成目標，仍有待進一步觀察。
歐盟發布《營業秘密訴訟趨勢報告》指出，企業應明確界定營業秘密範圍與強化保密措施之落實歐盟智慧財產局（EUIPO）於2023年6月底發布了《歐盟營業秘密訴訟趨勢報告》（Trade Secrets Litigation Trends in the EU），本報告包含三大部分，分別為判決之量化分析、法律要件之質化分析、各會員國之重要判決摘要，內容涵蓋了2017年1月1日至2022年10月31日間，27個會員國的695個訴訟案件。其重點摘要如下： 一、案件涉及之類型分析 1、約41%的案件與離職員工有關。 2、約17%的案件與商業合作對象有關。 3、約30%的案件雙方無明確的契約關係（但報告中指出此項統計包含員工離職後自行創業，原告以該離職員工及該公司為被告的情況）。 二、案件涉及之營業秘密標的分析（同一訴訟案件可能包含多個標的） 1、約62%的標的為「商業性營業秘密」。其中配銷通路（distribution methods）、廣告策略、行銷資料、客戶名單等供應鏈「下游資訊」（downstream information）占31%最多；定價模式及會計資料等「財務資訊」占13%次之。 2、約33%的標的為「技術性營業秘密」，其中有19%與「製程」（manufacturing process）有關。 3、僅3%的標的為原型（prototypes）或尚未公開的產品設計。 三、案件涉及之產業別分析（根據「歐盟標準行業分類第二修正版NACE Rev. 2」分類） 整體來說，歐盟營業秘密訴訟案件所涉及的產業別相當多元，簡要說明如下： 1、排名第一的產業別為「製造業」（manufacturing），占32%。其中最常涉訟的子產業別為「機械設備製造業」（manufacture of machinery and equipment）及「化學製品製造業」（manufacture of chemicals and chemical products）。 2、排名第二的產業別為「批發及零售業；汽機車維修業」（wholesale and retail trade；repair of motor vehicles and motorcycles）占11%。 3、排名第三的產業別為「金融及保險業」（financial and insurance activities）及「專業、科學及技術服務業」（professional, scientific and technical activities），分別占7%。 四、被告提出之抗辯分析 報告中指出，原告提出之營業秘密主張被法院採認的比例僅27%，有約73%的案件法院最終是做出有利於被告的認定。而被告最常提出的抗辯，第一為抗辯原告所主張之系爭資訊是普遍共知（generally known），不具備秘密性；第二為抗辯原告未採取合理保密措施。 最後，報告結論分析歐盟營業秘密判決的三大趨勢，其中一項趨勢指出，營業秘密所有人若要強化契約措施（如保密協議）於訴訟中的證明力，應明確識別與界定系爭營業秘密的範圍。因此，企業應建立營業秘密管理的整體政策（譬如與員工簽訂之勞動契約中，應明確界定其保密義務範圍；員工離職時應落實離職面談，再次提醒員工應遵守的保密義務範圍等），以便於發生爭議時有效主張權利。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
何謂「專利蟑螂」( Patent Troll)呢?其之主要特徵及對專利制度以及專利市場之影響為何?「專利蟑螂」( Patent Troll)由個人或是中小型組織/團體以購買專利的方式來獲得專利權，並藉由專利權排他性特徵，以訴訟方式來控告侵害其專利權的成功商品製造者。 「專利蟑螂」主要特徵有三；(1)主要係藉由專利取得的方式，向潛在或可能的專利侵權者收取費用；(2)此類NPE並不進行任何研發活動，其亦不就其所擁有的專利來從事商品化活動或發展新型技術；(30此類NPE投機性地等待商品製造者在投入不可回復之鉅額投資後，始對該商品製造者行使專利侵權主張。 然而，一般對於NPE對專利制度以及專利市場之影響，會以Patent Troll之行為模式作為觀察起點，例如，有論者認為專利蟑螂所從事購買與再行出售專利的行為，可以增進專利交易市場的效率化。同時，該行為不僅讓弱勢的專利創作者享有因其創作所產生的財務收益外，其亦發揮了同於仲介者（dealers）或是市場創造者（market-makers）功能的專利金融性市場 。亦有論者認為，專利蟑螂的行為已經帶來經濟上的危害（economic harm），因其慣於同時向不同公司索取適度的（moderate）專利授權費用。而為了避免陷入風險極高且耗費甚鉅的專利侵權訴訟，被索取專利授權費用之公司皆傾向給付專利蟑螂一定額度的專利授權金，以免除陷入不確定專利訴訟的泥皁。同時，專利蟑螂亦傾向選擇目標公司（target companies）最脆弱的時點，例如：新產品的發表、宣傳費用的投入等，再對其提出專利侵權訴訟，使其被迫必須遵循專利蟑螂的要求來擺脫可能陷入專利侵權訴訟的羈絆。
歐盟推出《網路韌性法案》補充歐盟網路安全框架歐盟為提升網路數位化產品之安全性，解決現有網路安全監管框架差距，歐盟執委會於2022年9月提出《網路韌性法案》（EU Cyber Resilience Act）草案，對網路供應鏈提供強制性網路安全標準，並課予數位化產品製造商在網絡安全方面之義務。該法案亦提出以下四個具體目標： 1.確保製造商對於提升產品之網路安全涵蓋整個生產週期； 2.為歐盟網路安全之合法性創建單一且明確之監管架構； 3.提高網路安全實踐之透明度，以及製造商與其產品之屬性； 4.為消費者和企業提供隨時可用之安全產品。 《網路韌性法案》要求製造商設計、開發和生產各種硬體、有形及軟體、無形之數位化產品時，須滿足法規要求之網路安全標準，始得於市場上銷售，並應提供清晰易懂之使用說明予消費者，使其充分知悉網路安全相關資訊，且至少應於五年內提供安全維護與軟體更新。 《網路韌性法案》將所涵蓋之數位化產品分為三種類別（產品示例可參考法案附件三）：I類別、II類別，以及預設類別。I類別產品之網路安全風險級別低於II類別產品、高於預設類別，須遵守法規要求之安全標準或經由第三方評估；II類別為與網路安全漏洞具密切關連之高風險產品，須完成第三方合格評估始符合網路安全標準；預設類別則為無嚴重網路安全漏洞之產品，公司得透過自我評估進行之。法案另豁免已受其他法律明文規範之數位化產品，惟並未豁免歐洲數位身份錢包、電子健康記錄系統或具有高風險人工智慧系統產品。 若製造商未能遵守《網路韌性法案》之基本要求和義務，將面臨高達1500萬歐元或前一年度全球總營業額2.5%之行政罰鍰。各歐盟成員國亦得自行制定有效且合於比例之處罰規則。