美國職業安全及健康研究院﹙NIOSH﹚在奈米風險控管上的突破性進展

  美國職業安全及健康研究院﹙NIOSH﹚是美國發展奈米科技的重要政府單位之一。近來,其頻頻透過國際組織的運作來處理與奈米科技有關之職業安全與健康影響問題。NIOSH首長John Howard表示,在國際層次上,科學家及決策者皆明瞭處理與奈米材料製造及產業使用所引致之職業病或職災,是當下最重要的工作之一。而由於NIOSH在促進世界性科學對話上,始終扮演者厥功甚偉的角色,因而在奈米科技發展初期,其亦積極協助此一科技能夠充分考慮安全及健康問題,發展出具全球協調性的技術方法,並有助於美國在國際市場的領先地位。而其近期主要成就在於以下三個部分:

 

1.今﹙2007﹚11月29日,經濟合作暨發展組織﹙OECD﹚人造奈米材料工作小組通過NIOSH-Led計畫,負責執行奈米材料暴露控制與測量等相關資訊之交換,同時透過領導小組,與會員國共同聚焦商討一些足以引起公眾意識的議題,例如在職業環境中之暴露測量與減輕。

 

2.其次,在今年12月4日至同月7日的國際組織會議中,ISO TC229表決通過有關奈米科技在職業環境之安全與健康規範的報告初稿,此報告係以NIOSH所發表一份名為“Approaches to Safe Nanotechnology”的報告作為基礎,而繼續由其發展與修正。本報告初稿送至ISO技術委員會審查,委員會認為報告內容涵蓋完整的技術性工作,且其未來影響將遍及全球,而為全球組織所關切。

 

3.此外,在今年12月2日,NIOSH另參與世界衛生組織﹙WHO﹚之職業健康合作中心全球聯網會議,當次會議之焦點在於奈米科技,會中NIOSH代表負責報告工程奈米粒子在職業安全及衛生上所遭遇之挑戰現況。本次會議中將決定WHO合作機制如何發展運作,以避免暴露於可能有害的工程奈米粒子。

 

  整體而言,關於奈米科技之安全與健康影響及其相關應用的研究,NIOSH統整建置了一套策略性工作計畫,透過這些研究專門處理一些重要問題,包括某些對於評估風險及控制暴露極為有效的科學資訊。除了研究之外,NIOSH亦積極參與國際組織活動,可以預見其對奈米科技未來發展之影響將無遠弗界。

本文為「經濟部產業技術司科技專案成果」

相關連結
※ 美國職業安全及健康研究院﹙NIOSH﹚在奈米風險控管上的突破性進展, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=2609&no=67&tp=1 (最後瀏覽日:2026/03/10)
引註此篇文章
你可能還會想看
外掛程式開發公司Bossland GmbH指控暴雪娛樂竊取外掛程式的原始碼

  曾開發「暴雪英霸」、「暗黑破壞神」、「魔獸世界」等多款人氣電玩遊戲的暴雪娛樂公司(Blizzard Entertainment, Inc.)素來對遊戲中的作弊外掛程式採取嚴厲的打擊手段。暴雪娛樂日前對於「暴雪英霸」遊戲中的外掛全自動機器人程式(cheating bot)採取行動,對外掛程式開發公司德商Bossland GmbH的開發者James Enright及數名匿名工程師提出著作權侵權訴訟,並指控其外掛程式讓玩家在遊戲中作弊,影響遊戲的公平性及其他玩家的娛樂,而且損及暴雪娛樂公司的獲益。James Enright最後與暴雪娛樂達成協議,交出外掛程式的原始碼。   隨後,Bossland GmbH公司控訴暴雪娛樂公司偷走他們的原始碼。Bossland GmbH的執行長Zwetan Leschew表示,James Enright所交出外掛程式原始碼的智慧財產權屬於Bossland GmbH公司,James Enright是Bossland GmbH公司的自由程式開發者,暴雪娛樂公司已經於德國參與了數個對自動機器人程式開發者的訴訟,對於James Enright與Bossland GmbH之間的關係應有所了解。從暴雪娛樂公司和James Enright的協議可以看出,暴雪娛樂公司要求James Enright將程式原始碼交出,以換取訴訟的停止。   暴雪娛樂公司發布聲明表示,暴雪娛樂已在德國贏得了多起與Bossland GmbH公司的訴訟,儘管他們利用策略手段來拖延正在進行的訴訟程序,仍堅信法院制度會繼續證實我們的主張,而且最終會阻止作弊全自動機器人程式的散布。

科技產業申請租稅減免 國稅局:申報浮濫

  高科技企業申請促產條例相關租稅減免浮濫,尤其是在可享高額抵減的研發項目上,爭議最多。實務上,人才培育的投資抵減減稅空間較少,頂多幾十萬元或幾百萬元,但研發投資抵減最高可達幾十億元,因此常見的爭議也最多。由於研發費用可提列為費用、又可抵稅,對企業來說效益很高,因此很多公司都先申報為研發費用,等被國稅局查到再說;另將製造、銷售費用列為研發費用的情形不勝枚舉。   依照公司研究與發展及人才培訓支出適用投資抵減辦法審查要點第1點附表,研發支出只有包括全職研發人員薪資等九種支出才能抵減,而且業者須附薪資表及證明文件證明,才能減稅。但因為研發誘因優渥,企業總是先報再說,因此行政法院投資抵減的相關訴訟,十之八九都是國稅局勝訴。根據公司研究與發展及人才培訓支出適用投資抵減辦法第5條規定,公司的研發支出,在同一課稅年度內得按百分之三十抵減當年度應納營所稅額;支出總金額超過前二年度研發經費平均數者,超過部份得按百分之五十抵減當年度應納營所稅,當年度營所稅額不足抵減者,得在以後四年度營所稅額抵減。   國稅局提醒,申請研發減免企業必須提供研究計畫等證明,否則舉證不足反將被國稅局要求補稅,恐衝擊公司當年獲利。一般來說,適用投抵減稅金額愈高的公司,也愈常被選案查核,確保公司沒有僥倖逃稅心理。如果投抵項目涉及大陸地區,像是人才培訓支出,則應依臺灣地區與大陸地區人民關係條例第24、25、25條之1條等法令規定,經主管機關核准,否則也將遭國稅局剔除補稅。

解析雲端運算有關認驗證機制與資安標準發展

解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言   2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1],新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構,獲頒「2013雲端安全耀星獎」(2013 Cloud Security STAR Award),該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業,今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外,首度將獎項頒發給政府組織。究竟何謂雲端認證,其背景、精神與機制運作為何?本文以雲端運算相關資訊安全標準的推動為主題,並介紹幾個具有指標性的驗證機制,以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。   資訊安全向來是雲端運算服務中最重要的議題之一,各國推展雲端運算產業之際,會以提出指引或指導原則方式作為參考基準,讓產業有相關的資訊安全依循標準。另一方面,相關的產業團體也會進行促成資訊安全標準形成的活動,直至資訊安全相關作法或基準的討論成熟之後,則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循   雲端運算的資訊安全風險,可從政策與組織、技術與法律層面來觀察[2],涉及層面相當廣泛,包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應(Lock-in)、以及雲端服務提供者內部控管不善…等,都是可能發生的實質資安問題 。   在雲端運算產業甫推動之初,各先進國以提出指引的方式,作為產業輔導的基礎,並強化使用者對雲端運算的基本認知,並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3]   歐盟網路與資訊安全機關(European Network and Information Security Agency, ENISA)於2009年提出「資訊安全確保架構」,以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準,參考之依據主要是與雲端運算服務提供者及受委託第三方(Third party outsourcers)有關之控制項。其後也會再參考其他的標準如SP800-53,試圖提出更完善的資訊安全確保架構。   值得注意的是,其對於雲端服務提供者與使用者之間的法律上的責任分配(Division of Liability)有詳細說明:在資訊內容合法性部分,尤其是在資訊內容有無取得合法授權,應由載入或輸入資訊的使用者全權負責;而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時,例如個人資料保護相關規範,基本上應由使用者與服務提供者分別對其可得控制部分,進行適當的謹慎性調查(Due Diligence, DD)[4]。   雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層,則決定了各自應負責的範圍與界限。   在IaaS(Infrastructure as a Service)模式中,就雲端環境中服務提供者與使用者雙方應負責之項目,服務提供者無從知悉在使用者虛擬實體(Virtual Instance)中運作的應用程式(Application)。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器,概由使用者所完全主控,因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。   在PaaS(Platform as a Service)模式中,通常由雲端服務提供者負責平台軟體層(Platform Software Stack)的資訊安全,相對而言,便使得使用者難以知悉其所採行的資訊安全措施。   在SaaS(Software as a Service)模式中,雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式(Entire Suite of Application),因此該等應用程式之資訊安全通常由服務提供者所負責。此時,使用者應瞭解服務提供者提供哪些管理控制功能、存取權限,且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6]   CSA於2010年提出「雲端資訊安全控制架構」(Cloud Controls Matrix, CCM),目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」,係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域(Domain)而來,著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照,例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前,CSA提出的CCM,十分完整而具備豐富的參考價值。   舉例而言,資訊治理(Data Governance)控制目標中,就資訊之委託關係(Stewardship),即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力(Resiliency)控制目標中,要求服務提供者與使用者雙方皆應備置管理計畫(Management Program),應有與業務繼續性與災害復原相關的政策、方法與流程,以將損害發生所造成的危害控制在可接受的範圍內,且回復力管理計畫亦應使相關的組織知悉,以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9]   日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」,此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督,來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍,主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形,其資訊安全的管理議題;其指導原則之依據是以JISQ27002(日本的國家標準)作為基礎,再就雲端運算的特性設想出最理想的資訊環境、責任配置等。   舉例而言,在JISQ27002中關於資訊備份(Backup)之規定,為資訊以及軟體(Software)應遵循ㄧ定的備份方針,並能定期取得與進行演練;意即備份之目的在於讓重要的資料與軟體,能在災害或設備故障發生之後確實復原,因此應有適當可資備份之設施,並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境,使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性;而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證   CSA所推出的「雲端安全知識認證」(Certificate of Cloud Security Knowledge, CCSK),是全球第一張雲端安全知識認證,用以表示通過測驗的人員對於雲端運算具備特定領域的知識,並不代表該人員通過專業資格驗證(Accreditation);此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展,因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版(英文版)」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式,供讀者得以認知如何評估雲端運算可能產生的資訊安全風險,並採取可能的因應措施。 二、CSA雲端安全登錄機制   由CSA所推出的「雲端安全登錄」機制(CSA Security, Trust & Assurance Registry, STAR),設置一開放網站平台,採取鼓勵雲端服務提供者自主自願登錄的方式,就其提供雲端服務之資訊安全措施進行自我評估(Self Assessment),並宣示已遵循CSA的最佳實務(Best Practices);登錄的雲端服務提供者可透過下述兩種方式提出報告,以表示其遵循狀態。   (一)認知評價計畫(Consensus Assessments Initiative)[12]:此計畫以產業實務可接受的方式模擬使用者可能之提問,再由服務提供者針對這些模擬提問來回答(提問內容在IaaS、PaaS與SaaS服務模式中有所不同),藉此,由服務提供者完整揭示使用者所關心的資訊安全議題。   (二)雲端資訊安全控制架構(CCM):由服務提供者依循CCM的資訊安全控制項目及其指導,實踐相關的政策、措施或程序,再揭示其遵循報告。   資安事故的確實可能使政府機關蒙受莫大損失,美國南卡羅萊納州稅務局(South Carolina Department of Revenue)2012年發生駭客攻擊事件,州政府花費約2000萬美元收拾殘局,其中1200萬美元用來作為市民身份被竊後的信用活動監控,其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。   另一方面,使用者也可以到此平台審閱服務提供者的資訊安全措施,促進使用者實施謹慎性調查(Due Diligence)的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度   由日本一般財團法人多媒體振興協會(一般財団法人マルチメディア振興センター)所建置的資訊公開驗證制度[13](安全・信頼性に係る情報開示認定制度),提出一套有關服務提供者從事雲端服務應公開之資訊的標準,要求有意申請驗證的業者需依標準揭示特定項目資訊,並由認證機關審查其揭示資訊真偽與否,若審查結果通過,將發予「證書」與「驗證標章」。   此機制始於2008年,主要針對ASP與SaaS業者,至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成   現國際標準化組織(International Organization for Standardization, ISO)目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017(草案)[14]係針對雲端運算之資訊安全要素的指導規範,而ISO/IEC 27018(草案)[15]則特別針對雲端運算的隱私議題,尤其是個人資料保護;兩者皆根基於ISO/IEC 27002的標準之上,再依據雲端運算的特色加入相應的控制目標(Control Objectives)。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省,クラウドサービスの利用のための情報セキュリティマネジメントガイドライン(2011),http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html,(最後瀏覽日:2013/11/20)。 [10]日本経済産業省,〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉,頁36(2011)年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/(最後瀏覽日:2013/11/20)。 [12]https://cloudsecurityalliance.org/research/cai/ (最後瀏覽日:2013/11/20)。 [13]http://www.fmmc.or.jp/asp-nintei/index.html (最後瀏覽日:2013/11/20)。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).

新加坡智財融資計畫介紹

新加坡智財融資計畫介紹 科技法律研究所 法律研究員 羅育如 2014年12月23日 壹、前言   新加坡政府於2013年3月份提出IP (Intellectual Property) Hub Master Plan 10年期計畫[1],目標是成為亞洲智慧產權匯流中心。本文針對其中的智財融資計畫(IP Financing Scheme;IPFS)進行觀察,目的在於了解新加坡政府如何運用政府資源,協助建構智財交易市場。 貳、重點說明   新加坡政府2014年4月18日公布總值為1億新元(約24億新台幣)的智財權融資計畫,以協助新加坡本地的企業通過所持有的智財權獲得銀行的融資。   根據這項計畫,新加坡智財局將委託新加坡三家智財鑑價機構,為那些擁有智財權的企業進行鑑價,而相關企業則可以智財權為抵押,向參與本計畫的三家當地銀行—星展銀行(DBS Bank Ltd)、華僑銀行(Oversea-Chinese Banking Corporation (OCBC) Ltd)和大華銀行(United Overseas Bank (UOB) Ltd)申請企業貸款,用以擴展企業業務。   而新加坡智財局將依據不同企業貸款的申請情況,以計畫經費承擔部分違約風險,對於企業的智財資產融資負擔連帶責任(the Government partially underwrites the value of IP used as collateral)。須強調的是,該項計畫的申請資格需符合兩個標準:1.必須是新加坡企業;2.擔保品必須包含已獲證的專利。其餘具體推動作法,介紹如下: 一、申請流程   智財權融資計畫的申請流程分為三個步驟[2],首先必須向任選三家融資銀行的其中一家提出初步評估申請。接著則從三家合格之專門鑑價服務公司中,挑選適合的IP鑑價師,針對要作為擔保品的已獲證專利,進行價值評估。最後,該申請企業再將專業鑑價報告以及融資申請書,提交給融資銀行作審查。 二、合格之專業鑑價機構   如欲成為融資銀行可接受之合格智財權鑑價服務公司,必須通過新加坡智財局的評選機制,參加評選的公司必須符合以下四個條件: 1.在專利鑑價領域至少五年經驗。 2.過去曾替營業額500萬新元(約一億兩千萬台幣)的企業進行過智財鑑價。 3.曾經評鑑過至少100萬新元(約2400萬台幣)智財價值的案件。 4.每年的營業額最少為100萬新元(約2400萬台幣)。   目前通過評選之合格鑑價服務公司包括American Appraisal Singapore Pte Ltd(地點在新加坡)、Consor Intellectual Asset Management(地點在美國)以及Deloitte & Touche Financial Advisory Services Pte Ltd(地點在新加坡)。換言之,除上述三家公司外,融資銀行將不接受其他公司提供之智財權鑑價報告。 三、智財鑑價費用補助   新加坡智財局會補助欲申請智財權融資計畫之企業智財鑑價費用,但前提條件是,申請企業必須獲得通過融資審查,並提取100%獲准貸款之後,政府才會補助智財鑑價費用,而補助費用計算方式有三種選擇,政府從中選擇較低金額作為補助費用,包括: 1.50%智財鑑價費用。 2.該項智財價值2%。 3.新幣2.5萬(約60萬台幣)。 參、事件評析   一般而言,銀行不接受智財資產作為企業融資的擔保品,因為智財資產無明確的交易以及流通市場,當企業無法依約償還貸款時,銀行無法買賣智財擔保品,取回資金。   為了解決這個根本性的問題,新加坡政府透過智財融資計畫,直接提供資金挹注,協助銀行承擔智財融資風險,使企業可透過智財資產實質的取得資金,一方面讓企業更加願意投注智財相關費用,因為智財產出除了可用於內部製造與創新之外,還可以成為融資擔保品,協助企業取得資金。另一方面則可活絡智財交易市場,因為雖然政府承擔部份銀行風險,但智財交易市場還是會因為有需求而慢慢浮現。 [1] IP STEERING COMMITTEE, Intellectual Property (IP) Hub Master Plan─Developing Singapore as a Global IP Hub in Asia (2013) http://www.ipos.gov.sg/Portals/0/Press%20Release/IP%20HUB%20MASTER%20PLAN%20REPORT%202%20APR%202013.pdf(最後瀏覽日2014/10/15) [2] Intellectual Property Financing Scheme, ipos.gov, http://www.ipos.gov.sg/IPforYou/IPforBusinesses/IPFinancingScheme.aspx(last visited Oct. 15, 2014).

TOP