京都議定書效應 核電乾淨能源鹹魚翻身
京都議定書實施後，號稱最乾淨能源的核電，反而有利於環境；而台灣燃煤電廠密度列世界前茅，是否有必要再檢討「非核家園」政策，值得觀察。
調查顯示，美國除了將要提前除役的核電廠延役外，芬蘭、韓國、日本都有建新核電廠的計畫，中國大陸更將以一年一座核電的速度，持續到 2020 年，美國奇異公司、法國、甚至韓國都有意分食這塊大餅，就連台灣反核的師法對象德國，都有改弦易轍的打算。
另外，根據國際原子能委員會推估， 2020 年前全球將有超過 60 座的核電廠上線運作，將全球核電廠的數量推升到 500 座，這些核電廠大多分布在亞洲。
目前台灣燃煤發電廠密度名列世界前茅，不論是二氧化碳及汞汙染都十分嚴重，面對京都議定書，燃煤電廠勢必不能再增加，不必將核能發電排除在未來選項中。面對京都議定書所造成的新論點，及國際能源不斷上漲的新趨勢，台灣在六月份全國能源會議中該訂定新的能源比例，不必特別排除核能發電，並發展再生能源，另外，在鼓勵汽電共生政策中，該特別鼓勵天然氣電廠，以減少燃煤電廠比例不斷上升。
本文為「經濟部產業技術司科技專案成果」
陳怡玫
副主任兼規章法制組組長 編譯整理
歐盟資料保護監督機關（European Data Protection Supervisor, EDPS）於2019年12月19日發布「評估限制隱私權和個人資料保護基本權利措施之比例指引」（EDPS Guidelines on assessing the proportionality of measures that limit the fundamental rights to privacy and to the protection of personal data），旨在協助決策者更易於進行隱私友善（privacy-friendly）之決策，評估其所擬議之措施是否符合「歐盟基本權利憲章」（Charter of Fundamental Rights of the European Union）關於隱私權和個人資料之保護。 該指引分為三大部分，首先說明指引的目的與如何使用；第二部分為法律說明，依據歐盟基本權利憲章第8條所保護個人資料的基本權利，並非絕對之權利，得於符合憲章第52條（1）之規定下加以限制，因此涉及處理個人資料的任何擬議措施，應進行比例檢驗；指引的第三部份則具體說明決策者應如何評估擬議措施之必要性和比例性之兩階段檢驗： 必要性檢驗（necessity test） （1） 步驟1：初步對於擬議措施與目的為詳細的事實描述（detailed factual description）。 （2） 步驟2：確定擬議措施是否限制隱私保護或其他權利。 （3） 步驟3：定義擬議措施之目的（objective of the measure），評估其必要性。 （4） 步驟4：特定領域的必要性測試，尤其是該措施應有效（effective）且侵害最小（the least intrusive）。 若前述評估認為符合必要性，則接續比例性檢驗，透過以下4步驟評估： 比例性檢驗（proportionality test） （1） 步驟1：評估目的正當性（legitimacy），擬議措施是否滿足並達到該目的。 （2） 步驟2：擬議措施對隱私和資料保護基本權的範圍、程度與強度（scope, extent and intensity）之影響評估。 （3） 步驟3：繼續進行擬議措施之公平對等評估（fair balance evaluation）。 （4） 步驟4：分析有關擬議措施比例之結果。 科技時代的決策者在立法和政策擬定時，面臨的問題愈趨複雜，需要全面性評估，擬議措施限制應符合歐盟法規，且具必要性並合於比例，隱私保護更是關鍵，參酌該指引搭配EDPS於2017年發布之「必要性工具包」（Necessity Toolkit），將使決策者所做出的決策充分保護基本權利。
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。
Tommy Gun商標侵權之爭—槍械製造商v.s.伏特加酒商一間紐約州槍械製造公司Saeilo Enterprises Inc.(以下簡稱S公司)於今年(2013)3月向紐約聯邦法院提起商標侵權訴訟，請求一家伊利諾州酒類製造公司Alphonse Capone Enterprises Inc.(以下簡稱AC公司)停止製造及販售新品「Tommy Gun」伏特加。 S公司從1981年開始營運機械金屬零件製造生意，1994年成立了Kahr Arms部門，於1999年Kahr Arms部門買下一家製造Tommy Gun(輕型衝鋒槍)的公司Auto-Ordance後，持續製造相關槍械。S公司並取得了Tommy Gun商標權，此商標從1920年就開始持續被使用。 AC公司則為一家酒類製造商，其推出兩款伏特加，一款為酒瓶上貼有Tommy Gun字樣，一款為酒瓶本身形狀即為Tommy Gun樣式。雖然尚未確定AC公司製造的Tommy Gun兩款伏特加是否已經對外販售或是否目前仍持續販售，但仍可於其官網搜尋到商品相關資訊。 AC公司製造販售Tommy Gun伏特加的行為引來S公司強力捍衛商標地盤的積極維權行動。根據S公司的起訴書，其共提起10項訴因(cause of action)，包含商標侵權、商標淡化、錯誤指示商品來源、商業表徵(trade dress)侵權、詐欺商業交易、不公平競爭等。S公司主張AC公司的行為對其造成無法弭補的損害(irreparable harm)，請求法院發出永久禁制令(permanent injunction)禁止AC公司製造及販售Tommy Gun伏特加，並支付損害賠償額及律師費用。此外，S公司更進一步要求法院判決AC公司應將所有庫存的Tommy Gun伏特加交由S公司進行銷毀。 而事實上，S公司主動捍衛Tommy Gun商標權的行為已非頭一遭，其於今年初對一家販售Tommy Gun複刻品玩具槍的公司提告，並於2011年對一家類似玩具槍製造公司提起相關商標侵權訴訟。甚至早於2008年，對一家販售Tommy Gun復刻品的公司提起訴訟維護商標權。 在S公司大動作保護Tommy Gun商標權的持續攻勢下，相信對於之後欲以Tommy Gun為名販售相關產品的公司將產生警示作用。
美國聯邦第七巡迴上訴法院宣告電業以設置智慧電表手段蒐集用電戶即時用電資訊合法美國聯邦第七巡迴上訴法院於2018年08月16日宣告，美國伊利諾伊州杜佩奇縣內珀維爾市（Naperville）所經營之「獨占性」公用售電業，以裝設智慧電表手段蒐集用電戶即時（Real Time）用電資料，並保存長達三年之行為，並無違反美國憲法第四條修正案以及伊利諾州憲法第一條第六項所宣示之不得以不合理手段對於民眾居住隱私資料進行搜索之限制。 美國聯邦第七巡迴上訴法院闡明，本案爭點有二：第一，內珀維爾市（Naperville）所經營之獨占性公用售電業以裝設智慧電表手段蒐集用電戶即時用電資料，並保存長達三年之行為，是否構成美國憲法第四條修正案以及伊利諾州憲法第一條第六項所謂之「對於民眾居住隱私資料之搜索」？第二，如內珀維爾市（Naperville）所經營之獨占性公用售電業以裝設智慧電表手段蒐集用電戶即時用電資料係構成「對於民眾居住隱私資料之搜索」，則內珀維爾市（Naperville）所經營之獨占性公用售電業是否有更高之公益，可合理化此一對於「對於民眾居住隱私資料之搜索」之行為？ 美國聯邦第七巡迴上訴法院認定內珀維爾市電業以智慧電表手段蒐集民眾用電資訊，確實是構成美國憲法第四條修正案以及伊利諾州憲法第一條第六項所謂之「對於民眾居住隱私資料之搜索」。但是由於珀維爾市電業蒐集這些用電資訊，是基於更高之公益目的，因此仍屬以合理手段對於民眾居住隱私資料進行搜索。因此判決本案珀維爾市電業勝訴。 於第一爭點，美國聯邦第七巡迴上訴法院認定智慧電表之紀錄內容包含「電器負載特徵（load signature）」以及「用電戶電力消耗慣性」，對比Kyllo v. United States, 533 U.S. 27, 31-32（2001）乙案下警方以熱感應器方式偵測住宅整體熱能有無之行為，更高度細緻化、具有侵入性，且智慧電表之設置，於現今尚非普及（not in general public use），因此構成對於民眾居住隱私資料之搜索。又內珀維爾市（Naperville）所經營之獨占性公用售電業雖辯稱用電戶於裝設智慧電表時，皆已經同意電業蒐集其個人用電資訊，然美國聯邦第七巡迴上訴法院認定，內珀維爾市（Naperville）所經營之公用售電業具有高度獨占性，故用電戶裝設智慧電表之同意難謂有效，且用電戶同意用電，不代表用電戶即同意分享其用電資訊。 惟於第二爭點，美國聯邦第七巡迴上訴法院認定，由於內珀維爾市（Naperville）所經營之獨占性公用售電業已經聲明不會將此類用電資訊分享予有關政府機關，且本案對於用電戶用電資訊之蒐集，其目的亦與刑事追訴無關，是以應以低密度審查標準看待本案即可，又本案內珀維爾市（Naperville）所經營之獨占性公用售電業裝設智慧電表之目的在於促使電網現代化，並且可使發電業供應更加穩定之電力，並且也可以透過時間電價（Time-Based Pricing）之方式促使用電戶節電，並且減少電網負載，同時也可以使發電業節省查表之人事成本，因此雖然內珀維爾市（Naperville）所經營之公用售電業透過裝設智慧電表之手段蒐集用電戶即時用電資訊係構成對於用電戶之民眾居住隱私資料之搜索，然由於其具有更高之公益性，因此仍可合理化此一對於「對於民眾居住隱私資料之搜索」之行為。 綜上，本案美國聯邦第七巡迴上訴法院判定內珀維爾市（Naperville）所經營之獨占性公用售電業勝訴。