美國職業安全及健康研究院﹙NIOSH﹚在奈米風險控管上的突破性進展
美國職業安全及健康研究院﹙NIOSH﹚是美國發展奈米科技的重要政府單位之一。近來，其頻頻透過國際組織的運作來處理與奈米科技有關之職業安全與健康影響問題。NIOSH首長John Howard表示，在國際層次上，科學家及決策者皆明瞭處理與奈米材料製造及產業使用所引致之職業病或職災，是當下最重要的工作之一。而由於NIOSH在促進世界性科學對話上，始終扮演者厥功甚偉的角色，因而在奈米科技發展初期，其亦積極協助此一科技能夠充分考慮安全及健康問題，發展出具全球協調性的技術方法，並有助於美國在國際市場的領先地位。而其近期主要成就在於以下三個部分：
1.今﹙2007﹚11月29日，經濟合作暨發展組織﹙OECD﹚人造奈米材料工作小組通過NIOSH-Led計畫，負責執行奈米材料暴露控制與測量等相關資訊之交換，同時透過領導小組，與會員國共同聚焦商討一些足以引起公眾意識的議題，例如在職業環境中之暴露測量與減輕。
2.其次，在今年12月4日至同月7日的國際組織會議中，ISO TC229表決通過有關奈米科技在職業環境之安全與健康規範的報告初稿，此報告係以NIOSH所發表一份名為“Approaches to Safe Nanotechnology”的報告作為基礎，而繼續由其發展與修正。本報告初稿送至ISO技術委員會審查，委員會認為報告內容涵蓋完整的技術性工作，且其未來影響將遍及全球，而為全球組織所關切。
3.此外，在今年12月2日，NIOSH另參與世界衛生組織﹙WHO﹚之職業健康合作中心全球聯網會議，當次會議之焦點在於奈米科技，會中NIOSH代表負責報告工程奈米粒子在職業安全及衛生上所遭遇之挑戰現況。本次會議中將決定WHO合作機制如何發展運作，以避免暴露於可能有害的工程奈米粒子。
整體而言，關於奈米科技之安全與健康影響及其相關應用的研究，NIOSH統整建置了一套策略性工作計畫，透過這些研究專門處理一些重要問題，包括某些對於評估風險及控制暴露極為有效的科學資訊。除了研究之外，NIOSH亦積極參與國際組織活動，可以預見其對奈米科技未來發展之影響將無遠弗界。
本文為「經濟部產業技術司科技專案成果」
日本建立物聯網產品資安符合性評鑑及標籤制度（JC-STAR），助消費者提升產品資安識別 資訊工業策進會科技法律研究所 2025年10月30日 壹、事件摘要 為因應物聯網（Internet of Things，簡稱IoT）產品日趨嚴重的資安威脅，日本陸續訂定針對物聯網產品資安之國內法規與政策方針，除了為強化物聯網產品之資安要求以外，藉由具體的資安評級要求，適用不同類型的物聯網產品，再透過資安標籤制度以區別產品，提升產品之資安識別，以供消費者選購時參考。據此，本文觀測日本近期建立的JC-STAR制度與其所適用國內法規，供我國未來參考與借鏡。 貳、重點說明 一、日本JC-STAR制度背景與目的 日本資訊處理推動機構（独立行政法人情報処理推進機構，Information-Technology Promotion Agency, Japan，簡稱IPA），依日本經濟產業省於2024年8月23日所公布之《IoT產品資安符合性評鑑制度建構方針》政策架構下[1]，建立了《物聯網產品資安符合性評鑑及標籤制度》（セキュリティ要件適合評価及びラベリング制度，Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements，簡稱JC-STAR），並於2025年7月29日完成《物聯網產品資安符合性評鑑與標籤制度之基本規章》[2]（セキュリティ要件適合評価及びラベリング制度の基本規程，簡稱本規章）之最終修訂，建立了JC-STAR制度的框架。本規章將物聯網產品的定義、產品所需的附隨服務（含數位服務等）、可提供驗證服務之單位、第三方監督、廠商自我宣告機制、資安符合性基準、評鑑與評鑑報告書、資安符合性標籤及分級機制等多種要件、適用對象與要求事項明確化，確立了以星等為評級的JC-STAR資安標籤制度框架。此外，JC-STAR制度針對物聯網產品採購方、使用方等不同的資安需求，透過附有資安標籤的產品以供各自選購時為考量，因此JC-STAR制度有以下二點優勢： （一） 較易滿足政府或企業的採購標準 針對政府機關或企業等所需採購的物聯網產品，事前已透過共通性的適用標準，將物聯網產品資安進行評鑑分級，並將評鑑流程可視化管理，不僅使產品符合各組織或單位的資安防護需求，同時使產品選購更加便利。 （二） 確保特定領域事業或行業等符合資安法規要求 基於特定領域事業或行業可能有特殊的資安需求，通過符合性評鑑的物聯網產品，因經第三方驗證後以最高等級的標籤呈現，故可確保符合特定領域事業團體之特殊資安需求，或配合指定使用，以確保其採購之物聯網產品均具備合規性。 二、日本JC-STAR框架與資安要求 日本JC-STAR制度是結合歐洲電信標準協會（ETSI）網路安全技術委員會於2022年6月所公布的《網路安全暨隱私保護標準》（ETSI EN 303 645），以及美國國家標準與技術研究所（NIST）於2022年9月公布的《消費者物聯網產品之核心基準》（NISTIR 8425）等適用標準，並經日本官方改定調整成為適用於日本國內之獨特制度。[3]JC-STAR是基於日本官方所定義之物聯網產品符合性標準（涉及資安技術要求事項等），確認物聯網產品是否符合資安要求以及進行可視化的管理。JC-STAR將物聯網產品區分成四種星級，詳述如下： （一） 一星級（★1） 物聯網產品須符合產品共通性之要求，並適用最低限度之資安要求事項，倘若產品已滿足相關要求事項，由產品供應商自我宣告即可。 （二） 二星級（★2） 視物聯網產品的類型、功能特徵等因素，於一星級以上增訂基礎的資安要求事項，倘若產品已滿足相關要求，仍由產品供應商自我宣告即可。 （三） 三星級（★3） 視物聯網產品的使用對象，包含政府機關、關鍵基礎設施或相關業者、地方政府或人民團體、大型企業之關鍵系統等，依產品類型、功能特徵等因素，訂定共通性之資安要件，並須由獨立第三方進行驗證，並須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。 （四） 四星級（★4） 適用程序上雖與三星級相同，依產品類型、功能特徵等因素，訂定共通性之資安要件，並由獨立第三方進行驗證，須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。惟物聯網產品中，諸如通信設備等所適用的資安要求及相關風險層級較高，因此為最高防護等級。 值得注意的是，日本正積極與新加坡、英國、美國、歐盟等各國專責機關等交涉中[4]，預計將JC-STAR制度與各國物聯網產品制度相互承認並使其與國際接軌。 參、事件評析 日本透過國內政策方針及訂定規章，結合其他先進國家的資安標準，建立了屬於日本自己的物聯網產品資安標籤JC-STAR制度。主要將各種不同類型的物聯網產品，賦予不同星等評級，供一般消費者或政府、企業法人等選購時參考，具體提升針對物聯網產品的資安識別。此外，依產品適用對象或風險層級不同，適用不同程度的資安要求事項。倘若涉及政府或企業法人等採購需求，則可能適用三星或四星等級，且產品均須經獨立第三方進行評鑑後，才能取得符合性評鑑報告書，並添附資安標籤。 因此，JC-STAR並非僅針對政府或公部門單位採購適用，而是擴及日本國內產業或是一般消費者，因此日常中物聯網產品的使用，均受到全面性的資安保障。另一方面，倘若未來日本JC-STAR制度受到其他各國承認，即代表物聯網產品可在已簽署承認的國家間受到信任而流通產品，故可望大幅降低日本國內物聯網產品供應鏈符合國際法規或契約要求的成本，有助於提升產業競爭力。據此，日本以資安標籤提升消費者識別，並有物聯網產品資安驗證機制之整體性規劃，均可供我國推動物聯網產品資安治理政策之未來借鏡與參考。 [1]〈IoT製品に対するセキュリティ適合性評価制度構築方針〉，経済産業省，https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/pdf/20240823_1.pdf （最後瀏覽日：2025/10/13）。 [2]〈セキュリティ要件適合評価及びラベリング制度の基本規程〉，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj90000003563-att/JSS-01.pdf （最後瀏覽日：2025/10/13）。 [3]〈IoT製品のセキュリティ確保に向けて ～セキュリティ要件適合評価及びラベリング制度（JC-STAR*）の紹介～〉，頁25，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf （最後瀏覽日：2025/10/13）。 [4]〈ファクトシート：岸田総理大臣の国賓待遇での米国公式訪問〉，日本外務省，https://www.mofa.go.jp/files/100652150.pdf （最後瀏覽日：2025/10/13）。
美國「潔淨能源製造推動方案」美國的「潔淨能源製造推動方案」(Clean Energy Manufacturing Initiative, CEMI) 係由能源部自2014年起推動，目標是在強化美國製造業之競爭力的同時，促進經濟成長與能源目標及能源安全的達成。潔淨能源製造推動方案係以創新及排除市場障礙為核心目標，相關行動包括：(一)技術研發：能源部在推動方案下針對製造業的研發提高補助金額；(二)新型創新模式：推動方案旨在透過公私夥伴計畫與製造創新量能的提生，促進美國境內潔淨能源製造創新基礎設施之共享；(三)競爭力分析：經由競爭力分析挹注研發投資與確認對於潔淨能源製造而言至關重要之助力與阻力；(四)溝通與意見徵詢：推動方案特別強化與利害關係人間的廣泛對話，以修正其推動策略，並確認政府與民間部門能經由哪些途徑以共同合作來提升美國在潔淨能源製造上之競爭力；(五)能源生產力之技術支援：能源部向製造商進行能源生產力資源上的投資，這當中包括技術支援與市場領銜計畫。在我國之相關發展上，2015年11月26日於北京舉辦之「兩岸工業發展和合作論壇」，經濟部工業局表示，論壇聚焦於智慧製造與綠色製造，兩岸可針對工業發展過程中，例如材料、監控、生產流程等方面，整合雙方技術特點共同解決。
Uber竊取Waymo無人車技術機密一案，法院裁定返還1.4萬筆機密資料Waymo是Google旗下發展無人車技術的公司，其員工Anthony Levandowski（以下簡稱Levandowski）於2016年2月離職並成立自動駕駛卡車公司Otto，而Uber於同年8月以6.8億美元併購該公司，Levandowski則任職於Uber的自動駕駛車部門。 Waymo在收到供應商誤發的電子郵件發現內含Uber的光學雷達（以下簡稱LIDAR）電路板工程圖，據Waymo表示，LIDAR是一種發展自動駕駛不可或缺的雷射感測器，該工程圖與Waymo設計的工程圖非常相似，此為工程師投入上千小時並投入數百萬美元研發而成。Waymo因而於今（2017）年2月對Uber提出告訴，主張Uber竊取其營業秘密與智慧財產，並表示Levandowski離開Waymo前曾使用私人硬碟下載公司上千筆機密資料，尚包括數名離職員工亦曾下載機密資料，且目前都任職於Uber。 今（2017）年5月美國加州北區聯邦地方法院依Waymo提出的有利證據，包含Uber明知或應知Levandowski握有1.4萬筆與Waymo智財相關的機密資料仍聘僱其為員工；且有完整紀錄顯示Levandowski離職前曾下載Waymo機密文件。因此裁定要求Uber限制Levandowski與相關員工使用與本案相關的LIDAR技術，且須於今年5月31日前返還Waymo，其中包含會議紀錄和Levandowski與相關員工電話紀錄。惟Uber仍可持續發展其自動駕駛技術，但賦予Waymo的律師及技術專家有權監視Uber未來的商業發展，並要求Uber必須在同年6月前調查Levandowski完整的LIDAR技術書面與口頭溝通紀錄，並提交給Waymo。 另方面，Waymo在此同時也宣布與Uber在美國的主要競爭對手Lyft建立自動車駕駛員的合作夥伴關係，挑戰Uber乘車服務的市場地位。本案將於今年6月7日進行審判程序，後續值得持續關注。
美國聯邦商務部修訂出口管制規則，對可用於惡意網路活動之項目出口、再出口與移轉進行管制美國聯邦商務部（Department of Commerce, DOC）下之工業及安全局（Bureau of Industry and Security, BIS）於2021年10月20日公布一暫行最終規則（interim final rule），對出口管制規則（Export Administration Regulation, EAR）進行修訂，其於商品管制清單（Commerce Control List）中增訂「可用於監視、間諜活動或其他破壞、拒絕、降低網路及其設備性能之工具」相關之出口管制分類編碼（Export Control Classification Number, ECCN）項目及說明文字，並增訂「授權網路安全出口（Authorized Cybersecurity Exports, ACE）」的例外許可規定（15 CFR §740.22），該暫行最終規則將於2022年1月19日生效。 被列入商品管制清單內的項目，原則上即不允許出口（或再出口、於國內移轉，以下同），惟透過ACE之例外許可，使前述項目可出口至大多數國家，僅在下列「再例外」情況需申請出口許可： 出口地為反恐目的地：出口目的地為15 CFR §740補充文件一所列類別E:1和E:2之國家時，須申請出口許可。 出口對象為國家類別D之政府終端使用者（Government end user）：政府終端使用者係指能提供政府功能或服務之國家、區域或地方之部門、機關或實體，當政府終端使用者歸屬於國家類別D時，須申請出口許可。惟若類別D之國家同時被歸類於類別A:6（如賽普勒斯、以色列及台灣），在特定情況下，如為弱點揭露、犯罪調查等目的，出口予該國之電腦安全事件回應小組；為犯罪調查、訴訟等目的，出口可展現資訊系統上與使用者相關、對系統造成危害或其他影響活動之數位製品（digital artifacts）予警察或司法機關；或出口數位製品予前述政府，而該數位製品涉及由美國公司之子公司、金融服務者、民間健康和醫療機構等優惠待遇網路安全終端使用者（favorable treatment cybersecurity end user）擁有或操作資訊系統相關之網路安全事件時，不適用ACE之再例外規定，而不須申請出口許可。 終端使用者為國家類別D:1、D:5之非政府單位：結合上述第二點之說明，不論出口至國家類別D:1、D:5之政府或非政府單位，皆受ACE之「再例外」拘束，而須申請出口許可。僅當出口特定之ECCN網路安全項目予優惠待遇網路安全終端使用者、基於弱點揭露或網路事件回應之目的出口予非政府單位，或對非政府單位的視同出口（deemed export）行為，方不適用再例外規定，而不須申請出口許可。 終端使用者限制：已知或可得而知該物品將在未獲授權之情況下，被用於影響資訊系統或資訊之機密性、完整性或可用性時，須申請出口許可。