美國微軟、Yahoo和Google違反網路賭博規定遭處鉅額罰款
美國司法部（Department of Justice）指控微軟、Yahoo和Google三家入口及搜尋網站業者，於1997到2007年間，違反禁止網路賭博之規定，接受非法賭博業者委託刊登線上廣告。
美國司法部認為此三家公司除違反聯邦線上博奕法（Federal Wire Wager Act）禁止賭博之規定以外，另違反聯邦博奕課稅條例，以及各州與地方有關禁止賭博之規定。為此，美國國稅局（Internal Revenue Service）和聯邦調查局亦介入此一案件之調查，並與司法部共同認為微軟、Yahoo和Google等著名入口網站對於社會具有重大影響力，刊登線上賭博廣告之行為不僅違反法規事實明確，對於間接促進相關線上賭博產業之興盛與賭博行為之猖獗亦應負社會責任。
在法院進行實質審理前，三家公司已於2007年12月與司法部達成和解協議，同意支付3150萬美元之罰金（折合台幣約10億元），並配合線上公益及宣導賭博違法等義務。
本文為「經濟部產業技術司科技專案成果」
美國產學合作利益衝突管理機制 資策會科技法律研究所 法律研究員 朱啟文 104年11月27日 自從1980年美國拜度法案（Bayh-Dole Act[1]）通過後，智慧財產權下放至大學與研究機構，大學有權自主把智慧財產授權予廠商甚至成立新創公司[2]，從而衍生出拜度法案潛藏副作用之ㄧ：「鼓勵學術機構與私人企業將研發成果商品化，將使學術機構產生利益衝突[3]」。因此「利益衝突」問題逐漸引起各界關注，特別是大學如何兼顧好教學、研究及公共服務[4]；以及研究人員、大學教授在技術移轉或研發成果商品化過程中，應該扮演的角色及獲取何種利益，常因為法律或大學政策規定的不周全、認知的不一致，而造成教研人員的困惑[5]。 產學合作的利益衝突，容易發生於顧問服務、技術移轉、贊助研究、臨床試驗、科研採購、師生指導關係、機構關係與特定贈禮等活動中，因此利益衝突管理為產學合作中不可忽視的重要措施。以往「揭露利益衝突」被視為是管理利益衝突之主要方法[6]，但此種管理利益衝突措施應該加以改進，且須建立處理學研機構內利益衝突之新思維，為了健全國內產學合作發展，政府有必要率先提出更新、更有效率之利益衝突管理方式，才能達到預防、監督、控管效果。本文擬藉由美國產學合作利益衝突法制規範，及美國大學因應解決產學合作利益衝突方式，提出對於本國法制調整之建議。 壹、美國利益衝突管制類型 美國利益衝突管制規範分成兩大類型[7]，一是針對政府所屬的研究機構，像美國國家衛生院NIH；另一是一般研究機構或大學(包含公、私立)，當它們申請聯邦政府經費的時候所受規範。如果是對於政府所屬的研究機構，它的利益衝突規範是比後者更為嚴格，因為研究人員直接領取國家薪水和使用國家經費，負有更多「公」的任務。舉例而言：一名美國國家衛生院研究員，亦是研究阿茲海默症的知名科學家，因其研究與藥廠間的利益衝突，於2006年12月被聯邦法院判決有罪，隨後被迫從NIH 離職。三名哈佛大學醫學院教授，2009年3月由檢察官、聯邦衛生福利部進行調查，他們擔任某藥廠顧問，但同時發表研究論文，支持醫界增加使用該藥廠生產之特定藥物，被質疑有利益衝突問題[8]。 貳、美國利益衝突管制規範 美國聯邦法律規定（18 US Code §208－Acts affecting a personal financial interest[9]），凡是向聯邦政府申請研究經費的各個學術機構，無論公立或是私立，其研究人員都必須向所屬機構「申報揭露」自己及家人與產業界的的財務上利益，並接受機構的審查監督，以避免科學研究的誠實正確性被個人利益影響，確保病人或受試者的安全與權益，並且維護社會大眾對於科學研究的信賴[10]。 1995年10月公布的美國國家科學基金會（以下簡稱「NSF」）《研究員財務揭露政策[11]》，與食品藥物管理局（以下簡稱「FDA[12]」）《研究規範中的客觀性[13]》規範中，提出了相當近似的概念，均要求學研機構須訂有「書面記載利益衝突的政策，並對利益衝突的政策應落實執行」；利益衝突政策內容至少要包含（1）限定且具指標性的財務報告，（2）任命特定人檢閱此等報告，（3）管理機制實施，且當發現無法解決的問題時，應向出資機構報告等[14]。 其中NSF的《研究員財務揭露政策》規定：「當能合理地認為有顯著的利益，能直接或顯著的影響此項研究或教育活動的報告、行為、設計時，即認可在此存在利益衝突。『顯著的財產上利益』，指任何有價的物品，不限於薪水或其他服務提供對價（如諮詢費或報酬）、股本利益（如股票、股票選擇權，或其他財產利益），和智慧財產權（如專利、著作權，和其他權利的授權利潤）[15]」。 參、學研機構自主管理機制 美國對於產學利益衝突的管制，主要是透過政府、學術組織、大學等方面加以控管。就大學而言，以麻省理工學院為例，教職員雖可擔任企業顧問，但不可擔任企業的正式職員，對於個人的企業持股，必須受到各系所委員會的監督審查，在校內的研究方向亦須和其所持股公司之職責有所區別[16]。另外，哈佛大學在1993年即制訂利益衝突的行為規範，其中包括授權對象係由技轉辦公室整體評估，當教研人員與授權相關的研究成果發表時，必須公開財務利益關係及其內容[17]。而史丹佛大學關於技術授權，則有完整的標準作業流程（Research Policy Handbook）及利益衝突政策[18]，可供校內教研人員依循參考。 許多美國學研機構都列有利益衝突的規範，甚至是管理利益衝突的專屬委員會，當研究人員就其研究結果牽涉個人或家人的商業利益時，原則上就不得參與該研究計畫。這也正是「美國全國醫學院聯盟[19]」(American Association of Medical Colleges，簡稱「AAMC」) 及「美國全國大學協會[20]」(Association of American Universities，簡稱「AAU」) 所建議的利益衝突規範標準；「美國大學技術經理人協會[21]」（The Association of University Technology Managers，簡稱「AUTM」）的技術移轉實務指南，對利益衝突部份也著墨甚多[22]。當學研機構明確管理標準，就能避免掉許多爭議，而能在產學合作與維持科學信任間取得平衡。 肆、結論與建議 一、美國利益衝突規範越趨嚴格 美國自1995年起便將利益衝突規範入法，早期政策比較寬鬆但隨著法令修改後逐漸趨於嚴格。2011年8月美國國家衛生主管機關[23]（HHS），亦修正公布有關「公共衛生經費贊助之研究案，申請人有義務促進科學研究之客觀性」（42 C.F.R. Part 94）及「應負責的潛在契約主體」（45 C.F.R. Part 94）此二部分相關規定[24]，要求接受國家衛生主管機關贊助款項或與國家衛生主管機關合作機構，必須符合上開二部分監管規定[25]。首先，除申報門檻降低外，凡與研究者在所屬機關內之工作義務或責任有關的所有利益，均須申報，不再限於1995年規定的財務上利益方須申報。其次，新規定也從原僅須向研究計劃主持人所屬機關申報的「內部揭露」，改成須向大眾公開的「外部揭露[26]」，並強制要求所有執行聯邦政府資金補助計劃之研究者，定期接受包括利益衝突相關規範在內的研究倫理訓練[27]。另外自2013年起，美國的醫材與藥品製造者，每年須定期透過電子申報方式，提供所資助學研機構與金額資料，低至10美元以上都得通報；美國聯邦衛生福利部與國民健康有關的政府資助計畫（PHS funding），針對財務利益衝突也詳加規範認定、申報及處理之措施[28]。 二、我國利益衝突政府規範不足 我國針對「科研機構及其人員利益衝突」問題，於民國100年通過修正的《科學技術基本法》第6條第3項規定，凡由政府出資的科技研究其所獲得之智慧財產及成果，關於其歸屬及運用，針對「迴避及其相關資訊之揭露事項」，授權行政院統籌及各主管機關訂定相關子法，即修訂《政府科學技術研究發展成果歸屬及運用辦法》第5條；《科學技術基本法》第17條針對「技術作價投資比例及兼任職務與數額」事項，授權行政院會同考試院訂定相關辦法，即增訂《從事研究人員兼職與技術作價投資事業管理辦法》第4至8條。目前各主管機關已陸續完成相關子法修正，要求學研機構制定內部管理機制及利益衝突規範。 雖然在《科學技術基本法》修訂後，對於產學合作利益衝突問題已有初步規範，但由我國產學合作利益衝突子法可得知，目前政府主管機關並未有ㄧ套完整、具體之產學合作利益衝突監管政策，且各主管機關標準寬鬆不ㄧ，欠缺實質完整監管機制，無法切實維持政府所資助研究計畫之客觀性。其中針對政府補助計畫所涉利益衝突的申報揭露範圍事項和具體數額，及申報揭露後之審核與糾正等，相關子法條款並未如同美國主管機關建立具體管制措施，及「向社會大眾公開揭露」之管制模式，以有效達到預防、監督、控管效果。 三、配套法令機制具體修正建議 為有效達到預防、監督、控管效果，本文建議政府參考美國衛生主管機構HHS所制定之利益衝突監管規定，制定資助機構利益衝突基本原則並提供指引協助、將研究人員含配偶及未成年子女於特定定期間內獲得超過一定金額以上報酬或股權利益、智慧財產權等重大財務利益收益列為揭露事項、要求研究人員應定期接受教育訓練、由學研機構於申請補助時及發現利益衝突時向資助機關提出報告、要求學研機構明訂解決利益衝突方式例如請該研究人員退出計畫、修改計畫、減少或消除持股等，並對未被即時查覺或管理的利益衝突事件於限期內回顧審查並向資助機關報告。透過上述內部/外部監控，蒐集學研機構之利益衝突政策及相關資訊（透明化機制），助益資助機關進行調查評估違反利益衝突情形並酌量是否必須暫停補助款之發放，如此將可進一步建立更完整、具體之產學合作利益衝突監管法令制度。 [1] Bayh-Dole Act，Landmark Law Helped Universities Lead the Way http://www.autm.net/advocacy-topics/government-issues/advocacy-public-policy/legislative-issues/bayh-dole-act/ (最後瀏覽日：2015/11/26)。 [2] 南佐民，＜《拜杜法案》與美國高校的科技商業化＞，《比較教育研究》，第25卷第8期，頁75-78（2004）。 [3] 王偉霖，＜產學合作引發利益衝突及知識近用限制之研究＞，第二屆科技發展與法律規範學術研討會，頁1-2（2008）。 [4] 新台灣國策智庫網站，＜由陳垣崇事件省思台灣的國家創新系統＞，http://www.braintrust.tw/article_detail/251（最後瀏覽日：2015/11/26）。 [5] 2011年6月22日檢調懷疑中研院生醫所所長陳垣崇，將兩種人體專利試劑轉移給與其親屬相關的世基公司，再轉賣回中研院，因此約談陳垣崇夫婦及其助理，以及搜索陳垣崇辦公室。陳垣崇最後以六十萬元交保。這是台灣最高學術桂冠的中研院，第一次遭檢調搜索，若遭起訴，也將是第一位院士遭到起訴。陳垣崇案，引發最大的爭議就是技轉後，科學家能否與這家公司繼續合作以及合作模式為何，此為檢調偵辦的重點。 [6] 王偉霖，＜產學合作引發利益衝突及知識近用限制之研究＞，第二屆科技發展與法律規範學術研討會，頁2-3（2008）。 [7] 王偉霖，＜美國產學合作制度利弊之檢討－台灣科學技術基本法之借鏡＞，《世新法學》，第3期，頁1-41（2006）。 [8]陳志剛，＜論生物醫學產學合作中利益衝突之規範＞，中原大學財經法律系碩士論文，頁23-24（2013） [9] 刑法利益衝突及除外規定：嚴格禁止國家機關行政人員(含官員與受雇主)之決定涉及其知識上、本身、配偶、未成年子女、合夥人、或其服務組織之財務利益；事先向指派其任務的長官諮詢過，完全揭露此利益；服務之需要性遠超過其潛在利益衝突；原則公開揭露，不公開為例外。https://www.law.cornell.edu/uscode/text/18/208（最後瀏覽日：2015/11/26） [10]5 C.F.R. Part 2640: Interpretation, Exemptions, Waiver Guidance Concerning 18 U.S.C. 208 (Acts Affecting a Personal Financial Interest)。http://www.oge.gov/Laws-and-Regulations/OGE-Regulations/5-C-F-R--Part-2640--Interpretation,-Exemptions,-Waiver-Guidance-Concerning-18-U-S-C--208-(Acts-Affecting-a-Personal-Financial-Interest)/（最後瀏覽日：2015/11/26）。 [11] NSF 510 CONFLICT OF INTEREST POLICIES（July 2005），http://www.nsf.gov/pubs/manuals/gpm05_131/gpm5.jsp#510（最後瀏覽日：2015/11/26）。 [12] 對於美國生技產業而言舉足輕重的管制機關食品藥物管理局（FDA），自1999年起也要求申請產品上市的藥廠和醫材公司於提出申請時，必須揭露其當做申請基礎的臨床試驗研究者，和該公司之間的財物給付和財務利益關係，以便FDA進行審查時評估上述關係是否影響研究設計及數據可信度。 [13] FDA CONFLICT OF INTEREST POLICIES，http://www.fda.gov/iceci/compliancemanuals/regulatoryproceduresmanual/ucm176718.htm#SUB3-5-1（最後瀏覽日：2015/11/26）。 [14] 劉江彬，＜借鏡美國利益衝突管理＞，高教技職簡訊：高教論壇，2012年10月12日，http://tekezgo.com/index.php?do=news&act=detail&id=103（最後瀏覽日：2015/11/20）。 [15] 曾瑞鈴，＜院資本主義下的美國生技醫藥產業：兼論台灣現況＞，《社會科學論叢》，第3卷第2期，頁119-154（2009）。 [16] 麻省理工學院：MIT Policies and Procedures－4.4 Conflict of Interest，http://web.mit.edu/policies/4/4.4.html（最後瀏覽日：2015/11/26）。 [17] 哈佛大學：Policy on Conflicts of Interest and Commitment，http://hms.harvard.edu/about-hms/integrity-academic-medicine/hms-policy/faculty-policies-integrity-science/interim-policy-statement-conflicts-interest-and-commitment（最後瀏覽日：2015/11/26）。 [18] 史丹福大學：Research Policy Handbook https://doresearch.stanford.edu/policies/research-policy-handbook，Faculty Policy on Conflict of Commitment and Interest (RPH 4.1)，https://doresearch.stanford.edu/policies/research-policy-handbook/conflicts-commitment-and-interest/faculty-policy-conflict-commitment-and-interest（最後瀏覽日：2015/11/26）。 [19] American Association of Medical Colleges (AAMC), Task Force on Financial Conflicts of Interest in Clinical Research, 78 ACADEMIC MEDICINE 225 (2003), https://www.aamc.org/download/75302/data/firstreport.pdf (last visited Nov. 26, 2015) [20] Association of American Universities (AAU), Framework Document on Managing Financial Conflicts of Interest, Elements of a Conflict-of-Interest Policy 1-13 (1993), http://www.aau.edu/WorkArea/DownloadAsset.aspx?id=2690 (last visited Nov. 26, 2015) [21] The Association of University Technology Managers (AUTM), Conflicts of Interest Policies, http://www.autm.net/resources-surveys/technology-transfer-practice-manual/ttp-manual-2nd-edition/volume-1-pr-test/1/pertinent-policies/strong-conflict-of-interest-policies-strong/ (last visited Nov. 26, 2015) [22] 李素華，＜美國技術移轉相關立法與機制之簡介＞，《技術尖兵》，第55期，頁17（1999）。 [23]5 CFR Part 5501 - Supplemental Standards Of Ethical Conduct For Employees Of The Department Of Health And Human Services美國衛生主管機構補充標準。1995放寬取消院外活動的時間數、報酬與持股等限制，一年最高總酬勞可超過5萬美元，但是必須填寫利益衝突揭露表，目的留住高水準科學家。2005年趨嚴禁止所有的科學家從事院外的諮詢、演講等活動，賣掉所持有的生技藥物公司股份，非生技的股票必須低於1.5萬美元。https://www.law.cornell.edu/cfr/text/5/part-5501（最後瀏覽日：2015/11/26） [24] 2011 Public Health Service (PHS) Regulations: Responsibility of Applicants for Promoting Objectivity in Research for which PHS Funding is Sought (42 C.F.R. Part 50, Subpart F); Responsible Prospective Contractors (45 C.F.R. Part 94)，http://grants.nih.gov/grants/policy/coi/（最後瀏覽日：2015/11/26） [25] 李毓華，＜從美國生醫研究利益衝突新規範檢視我國相關法制＞，《醫事法學》第19卷第2期，頁22-24（2012）。 [26] 財務揭露報告義務：填寫實質受影響組織財務利益表格－HHS Form 716 (共14頁；公開)，https://ethics.od.nih.gov/forms/hhs-716f.pdf；HHS From 717-1 (共14頁；不公開)，https://ethics.od.nih.gov/procedures/HHS-717-1-Employee-Instructions.pdf（最後瀏覽日：2015/11/26）；美國國會2010年通過的健康保險改革立法裡，規定生醫廠商必須定期向政府申報其給付醫師及教學醫院的顧問費、研究經費、差旅費、餐費等酬勞和補助，以及其在各該公司的投資及股份，並必須對外公開揭露，一般大眾均可查詢。 [27] 劉靜怡，＜透明治理與公共課責＞，蘋果日報即時新聞，2014年07月11日，http://www.appledaily.com.tw/realtimenews/article/new/20140711/431221/（最後瀏覽日：2015/11/26）。 [28] 陳志剛，＜論生物醫學產學合作中利益衝突之規範＞，中原大學財經法律系碩士論文，頁78-84（2013）
日本通過法案 明確列出無人機禁止飛行範圍有鑑於今年4月底，一架攜帶具有放射性物質的小型無人機墜毀在日本首相官邸的屋頂上，對元首維安構成威脅，日本政府為此決定加強無人機管控。日本國會並於9月通過民用航空法（Civil Aeronautics Law）修正案，明確列出無人機禁止飛行範圍，違反者最高將可處以50萬日圓（約4,200美元）以下罰鍰，但因災害或自然事故發生而利用無人機進行救援、搜索行動不在規範範圍。 法案主要修正內容為，特定空域未經申請不可飛行，例如禁止無人機飛越人口密集的住宅區及機場周邊區域，人口密集地區，以每平方公里人口4,000人為界，因此東京都23區和主要區域城市，將會列為無人機禁航區。另外，在舉行慶祝活動及展覽等會吸引大批群眾暫時聚集的地區上空，無人機亦不可飛行。 然而，通過申請後的飛行區域，仍須遵守幾項要求，如無人機須於日間目視範圍內飛行、無人機與人員及建築物必需保持一定距離，以及未經政府許可，夜間不可使用無人機，並禁止無人機裝載爆炸裝置等會造成人員傷害或財物損失的危險物品。除此之外，並定義「無人機是透過遠程遙控或自動駕駛儀器飛行，且無人機作為機器不能搭載乘客」，但輕量型玩具飛機不包含在內。修訂後的法案將於今年年底前開始施行。 此外，下議院目前仍審議有關禁止無人機靠近重要設施，包含首相官邸、國會、皇宮、核電廠之草案。
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。
中國大陸國家新聞出版廣電總局重新建構網路服務管理規範