國衛院生物製劑先導工廠 三年內投產
慶祝國家衛生研究院成立十周年，國衛院表示將規劃成立生物製劑先導工廠，今年可發包動工，預計三年內完成，未來除了生產台灣本土性傳染病所需疫苗外，也協助衛生署流感疫苗自製計劃提供技術來源。行政院核准通過十二億元的生物製劑先導工廠，目前已進入招標階段，預計六、七月份可正式動工，預計三年後完工投產，未來將成為符合聯合國國際疫苗中心 (The International Vaccine Institute, IVI) 的規格的 GMP 生產線。
此外，配合衛生署的公共衛生計劃，國衛院疫苗研發中心也將建立本土性傳染病如腸病毒、 SARS 、白喉、百日咳、破傷風及日本腦炎的資料庫，部份疫苗市場潛力發展有限，但是透過國衛院的保存，讓我國具備完整的疫苗量產能力。政府計劃投資五十億元興建大型流行感冒疫苗工廠，國衛院將扮演技術提供的角色，包括參考實驗室，人員訓練，及微生物量產疫苗的開發，都將由生物製劑先導工廠負責。
本文為「經濟部產業技術司科技專案成果」
陳怡玫
副主任兼規章法制組組長 編譯整理
日本經濟產業省於2021年10月20日公布第3屆「J-Startup」新創企業獲選名單。本次共選出50間企業，產業所涉及領域包含醫療、數位轉型、能源、太空等。獲選的企業將獲得政府及合作的民間組織所提供之支援，例如協助國內外活動展出、援助研究開發、增加投標機會、商談與其他企業合作等，預期創造出新創企業的成功範例。 「J-Startup」新創企業之選拔分為二階段，第一階段是由具備創業經驗之推薦委員(推薦委員由頂級風險投資人、大企業中與創新有相關之人才、學術單位專家等人員組成)基於新創企業的經營理念、國際性、成長發展性、對於社會議題的應對措施等考量，推薦在全球市場快速發展、具備有領導日本創新潛力之新創企業。第二階段由第三方外部審查委員(律師、學術專家等組成)審查選拔程序後，確定「J-Startup」新創企業名單。 「J-Startup」於2018年6月是由日本經濟產業省、日本貿易振興機構（JETRO）、新能源產業技術綜合開發機構（NEDO）共同創立營運，目的為培養出活躍於全球之新創企業。第1屆「J-Startup」（2018年6月）選拔出92間企業，第2屆（2019年6月）選拔出49間企業，再加上今年度所選拔出之50間企業，目前為止共計有188間新創企業獲選為「J-Startup」(第1屆、第2屆獲選企業中，有3間企業已解散或被併購)。
歐盟執委會啟動《關於標示與標籤AI生成內容之行為準則》之相關工作，以協助生成式AI之提供者與部署者履行其透明度義務2025年11月5日，歐盟執委會啟動《標示與標籤人工智慧生成內容之行為準則》（a code of practice on marking and labelling AI-generated content，下稱行為準則）之相關工作，預計將於2026年5月至6月間發布行為準則。此行為準則與《歐盟人工智慧法案》（EU AI Act）之透明度義務規定相關。這些規定旨於透過促進對資訊生態系的信任，降低虛假訊息、詐欺等風險。 《歐盟人工智慧法案》第50條第2項及第4項之透明度義務，分別規定 1. 「『提供』生成音檔、圖像、影片或文本內容的AI系統（包括通用AI系統）」的提供者（Providers），應確保其輸出係以機器可讀的形式標示（marked），且可被識別屬於AI所生成或竄改（manipulated）的內容。 2. 「『使用』AI系統生成或竄改以構成深度偽造之影像、音訊或影片內容」的部署者（Deployers），應揭露該內容係AI所生成或竄改。 前述透明度義務預計於2026年8月生效。 後續由歐盟AI辦公室之獨立專家透過公眾資訊與徵選利害關係人意見等方式，推動起草行為準則。此行為準則不具強制性，旨於協助AI系統提供者更有效地履行其透明度義務，且可協助使用深偽技術或AI生成內容的使用者清楚地揭露其內容涉及AI參與，尤其是當向公眾通報公共利益相關事項時。 AI應用蓬勃發展，同時AI也可能生成錯誤、虛構的內容，實務上難以憑藉個人的學識經驗區分AI幻覺。前文提及透過標示AI生成的內容，以避免假訊息孳生。倘企業在資料源頭以標示等手段控管其所使用之AI的訓練資料，確保資料來源真實可信，將有助於AI句句有理、正向影響企業決策。企業可以參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範（EDGS）》，從資料源頭強化數位資料生命週期之管理。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
初探物聯網的資通安全與法制政策趨勢初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下，物聯網（Internet of Things, IoT）的智慧應用正逐步滲入各場域，如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展，需要擴大供應鏈安全，以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」（Prague Proposal）提出後，美國、歐盟皆有相關法制政策，試圖建立各類資通訊設備、系統與服務之安全要求，以強化物聯網及相關供應鏈之資安防護。是以，本文觀測近年來美國及歐盟主要的物聯網安全法制政策，以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 （一）核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量，美國政府於2020年4月提出「5G潔淨路徑倡議[3]」（5G Clean Path initiative），並區分成五大構面，包括：潔淨電信（Clean Carrier）、潔淨商店（Clean Store）、潔淨APPs（Clean Apps）、潔淨雲（Clean Cloud）及潔淨電纜（Clean Cable）；上述構面涵蓋之業者只可與受信賴的供應鏈合作，其可信賴的標準包括：設備供應商設籍國的政治與治理、設備供應商之商業行為、（高）風險供應商網路安全風險緩和標準，以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》（IoT Cybersecurity Improvement Act of 2020），旨在提升聯邦政府購買和使用物聯網設備的安全性要求，進而鼓勵供應商從設計上導入安全防範意識。本法施行後，美國聯邦政府機關僅能採購和使用符合最低安全標準的設備，將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外，美國國防部亦推行「網路安全成熟度模型認證[7]」（Cybersecurity Maturity Model Certification, CMMC），用以確保國防工程之承包商具備適當的資訊安全水平，確保政府敏感文件（未達機密性標準）受到妥適保護。透過強制性認證，以查核民間承包商是否擁有適當的網路安全控制措施，消除供應鏈中的網路漏洞，保護承包商所持有的敏感資訊。 （二）物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）提出「物聯網網路安全計畫」，並提出各項標準指南，如IR 8228：管理物聯網資安及隱私風險、IR 8259（草案）：確保物聯網裝置之核心資安基準等。 此外，美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8]（Cyber Shield Act of 2019），欲建立美國物聯網設備驗證標章（又稱網路盾標章），作為物聯網產品之自願性驗證標章，表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 （一）核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」，認為各會員國應評鑑5G網路資通安全之潛在風險，並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及，5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞，並非5G網路所特有，但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深，必須特別關注。同時，對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商風險評估變得特別重要，包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故，各會員國應加強對電信營運商及其供應鏈的安全要求，包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性（多元化分散風險）等。其次，機敏性基礎設施禁止高風險供應商的參與。 （二）資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》（Cybersecurity Act），責成歐盟網路與資訊安全局（European Union Agency for Cybersecurity, ENISA）協助建立資通訊產品、服務或流程之資通安全驗證制度，確保資通訊產品、服務或流程，符合對應的安全要求事項，包含：具備一定的安全功能，且經評估能減少資通安全事件及網路攻擊風險。原則上，取得資安驗證之產品、服務及流程可通用於歐盟各會員國，將有助於供應商跨境營運，同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性，即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下，行政院資通安全處於2020年底提出之國家資通安全發展方案（110年至113年）草案[12]，除了持續強化國家資安防禦外，對於物聯網應用安全亦多有關注，其間，策略四針對物聯網應用之安全，將輔導企業強化數位轉型之資安防護能量，並強化供應鏈安全管理，包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法，我國後續法制政策，或可區分兩大性質主體，採取不同管制密度，一主體為受資安法規管等高度資安需求對象，包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈，其必須遵守既有資安法課予之高規格的安全標準，未來宜完善資通設備使用規範，包括：明確設備禁用之法規（黑名單）、高風險設備緩解與准用機制（白名單）。 另一主體則為非資安法管制對象，亦即一般性產品及服務，目前可採軟性方式督促業者及消費者對於資通設備安全的重視，是以法制政策推行重點包括：發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度，以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局，〈物聯網資安三部曲：資安團隊+設備安全+供應鏈安全〉，2020/08/31，https://www.acw.org.tw/News/Detail.aspx?id=1149 （最後瀏覽日：2020/12/06）。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 （North Atlantic Treaty Organization, NATO）的代表，出席由捷克主辦的布拉格5G 安全會議 （Prague 5G Security Conference），商討對5G通訊供應安全問題。本會議結論，即「布拉格提案」，建構出網路安全框架，強調5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，為確保5G基礎建設的供應鏈安全。是以，具體施行應從政策、技術、經濟、安全性、隱私及韌性（Security, Privacy, and Resilience）之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021)；The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超，〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉，2020/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 （最後瀏覽日：2021/02/19）。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處，〈國家資通安全發展方案（110年至113年）草案〉，2020/12，https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf （最後瀏覽日：2021/04/09）。
日本政府擬修法擴大個人編號卡（My Number Card）資料使用及調取範圍日本政府於2022年11月29日公布「個人編號法」（平成二十五年法律第二十七号，行政手続における特定の個人を識別するための番号の利用等に関する法律）之預計修正內容。 目前個人編號法第9條第2項主要限定於社會保障、稅收、災害防治三個領域，該法對哪一些行政機關能調取，以及可調取個人資料的種類均有詳細規定。本次修正案目的為將個人編號的用途擴大，除了前揭所提三個領域外，將再包括國家資格管理、汽車登記以及外籍居民行政程序、國家急難救助金及其他津貼發放等。其次，為擴大個人編號用途與增加運用彈性，此次修法重點之一在於擴大該法第4章第19條特定個人編號（My Number）提供限制中，第17款關於其他依據「個人資料保護委員會」所訂規則準用事項範圍。未來日本政府可透過「政省令」的修改（基於國會立法授權，而由行政部門所頒訂，具有對外法拘束力，類似我國法規命令位階），讓政府及相關機關能在有需要時即可蒐集特定個人編號，以迅速、彈性地對應外在情況。 本案若經國會審議通過後，細節部分還需約時二年修改作業系統，最快預定令和7年（2025年度）施行。其他修正重點如：1.將公家機關掌握民眾銀行帳戶資訊和個人編號自動連結，此舉係為改善疫情期間之問題，未來將可使政府發放補助金及急難救助金時更為順暢；2.尚未取得個人編號卡仍可申請「資格確認書」參加社會保險或診療；3.嬰幼兒五歲前「個人編號卡」都不須附上照片等。 唯輿論有批評，在尚未經過國會及有識者充分討論前，貿然大幅擴大資料調取、使用範圍，尤其日本政府計畫將個人所有銀行帳戶都強制連結個人編號，可能讓政府更容易掌握民眾資訊，像是追蹤稅務狀況、打擊逃漏稅等。日本「個人編號法」主管機關總務省則再三保證個人編號卡晶片不會儲存稅金、年金等個人資料，即使作為醫療或健康用途時，也不會紀錄健檢結果和服用藥物等訊息。雖然仍有部分待改進處，惟日本以專法規定個人編號卡儲存資料之種類與範圍，並於該法中說明相關管理措施，仍值得我國未來密切關注。