美國通訊委員會拍賣位於700MHz頻段之頻譜
美國聯邦通訊委員會(Federal Communications Commission, FCC)預計於2008年1月24日開始Action 73之頻譜拍賣程序，以釋出位於700MHz頻段之頻譜，此一頻譜拍賣程序預計將為期數週甚或數月。
根據規劃，美國政府將在2009年年初完成無線廣播電視數位化，屆時廣播電視業者將繳回目前使用之700MHz頻段。又由於此一頻段之電波具有傳輸距離遠與穿透力強之特質，此次之頻譜拍賣活動廣受各方業者矚目，符合競標資格之業者包括電信業者、網路服務提供業者、有線電視業者及衛星電視業者，如AT&T、Verizon Wireless、Google、EchoStar Communications及Cablevision Systems等。據估計，此一頻譜拍賣所得之競標價格可能將會突破百億美元。
此次拍賣之頻譜包括5個頻段，每一個頻段的拍賣規則與用途均有所不同。其中D頻段必須與公共安全機構共用，未來得標者必須與公共安全機構溝通並達成協議，其所建立之全國性網路在緊急狀況發生時，亦必須優先提供公共安全相關機構使用。職是之故，D頻段之競標價格目前仍遠低於聯邦通訊委員會所開出之底價，未來若無業者出價達競標底價，則聯邦通訊委員會將更改底價與競標規則後，重新開放競標。
納菲爾德生物倫理學理事會（Nuffield Council on Bioethics）成立於1991年，是一家英國的獨立慈善機構，致力於考察在生物與醫學領域新近研究發展中所可能牽涉的各項倫理議題。由該理事會所發表的報告極具影響力，往往成為官方在政策決策時之依據。 有鑑於近年big data與個人生物和健康資料的分析使用，在生物醫學研究中引起廣泛的爭議討論，此間雖然不乏學者論理著述，但對社會層面的實質影響卻較少實證調查研究。Nuffield Council on Bioethics於日前發布一項為期三個月（2013/10/17～2014/01/10）的生物暨健康資料之連結使用公眾諮詢調查計畫（The linking and use of biological and health data – Open consultation）。此項計畫之目的在於，瞭解更多有關資料連結與使用時所可能導致之傷害或可能的有利發展。並研析適當的治理模式和法律措施，使得民眾隱私權保護與相關研究之合法性得以兼顧，俾使更多人受益。 為執行此項計畫，Nuffield Council on Bioethics延攬健康照護資訊技術、資訊治理、健康研究、臨床診療、倫理和法律等領域專家組成計畫工作小組，由工作小組廣泛地蒐集來自民眾與各類型組織的觀點，探詢當民眾在面對個人的生物與健康資訊相互連結、分析時，民眾對當中所牽涉倫理議題之看法。該項公眾諮詢調查將針對以下重點進行： 1.生物醫學資料之特殊意義 2.新的隱私權議題 3.資料科學和資訊技術發展所造成之影響 4.在研究中使用已連結的生物醫學資料所可能帶來的影響 5.在醫學臨床上使用已連結的資料所可能帶來的影響 6.使用生物醫學研究和健康照護以外的生物醫學資料所可能帶來的影響 7.探討能夠在倫理上支持連結生物醫學資料的法律和治理機制 由於Nuffield Council on Bioethics被視為英國科學界的倫理監察員、政府智囊團，因此未來調查報告發布後對相關政府政策所可能產生的影響，當值得我們持續關注。
美國聯邦交通部公布自駕車4.0政策文件美國交通部（Department of Transportation）於2020年1月8日公布「確保美國於自動駕駛技術之領導地位：自駕車4.0」（Ensuring American Leadership in Automated Vehicle Technologies : Automated Vehicles 4.0）政策文件，提出三個核心原則及相對應的策略規劃： 一、 使用者與社會的保護： 整合自動駕駛技術之安全性，包括防堵對自駕車性能之詐欺或誤導行為，以強化民眾對此新興技術的信心。 與自駕車技術開發商、製造商及服務商合作，預防與降低惡意使用自動駕駛技術所造成的公共安全威脅及犯罪，如制定網路安全標準、於運輸系統之資料傳輸媒介及資料庫設計能夠防止、反應、偵測潛在或已知危險之可行作法。 要求製造商於設計和結合相關自動駕駛技術時，採取具整體風險考量之方式，以確保資料安全性與公眾隱私保護，特別是針對駕駛者與乘客，以及第三人資料存取、分享及使用。 支援與協助自動駕駛技術研發，並透過提供多樣化商品和服務，滿足消費者需求並增加自駕車的普及性，使國人能使用安全且能負擔的移動載具。 二、 保障市場效率： 採取靈活及技術中立政策，由大眾選擇具經濟及有效率的運輸方案。 透過相關智慧財產法規，保護相關技術，並持續推動經濟增長之政策及提升國內技術創新競爭力。 收集與研擬國內外法規資料，並使自動駕駛技術產品及服務能夠與國際標準接軌。 三、 促進與協調各方合作： 積極協調全國自動駕駛技術研究、法規和政策，以利有效運用各機構資源。 參考國際間自動駕駛技術標準及監理法規，並與各州政府及業界共同研擬與整合自動駕駛技術至現行運輸系統標準與相關法規。
印度藥廠、非政府組織對未來將簽屬之歐盟-印度FTA表示反對今(2011)年3月中旬，印度製藥業者代表及相關非政府組織團體共同對外表示，就印度與歐盟即將簽署之自由貿易協議(Free Trade Agreement；簡稱FTA)，將正式採取反對之立場。 關於上述印度製藥業者代表及非政府組織團體之所以表示反對歐-印兩國簽署FTA之理由，其主要，乃係因歐盟方面為保障歐盟自身製藥業者本身之利益而擬於日後雙方將所簽署之FTA文件中，設置「資料專屬」條款而生；對此，代表印度境內多家藥廠之印度製藥協會(Indian Pharmaceutical Alliance)秘書長Dilip Shah表示：「目前歐盟方面正利用各種高壓與不正之手段，來迫使印度政府同意其擬置入之資料專屬保護條款」；但歐盟官員John Clancy卻解釋：「歐盟政府之所以擬於將簽訂之FTA中設置資料專屬條款，所寄望者，無非是要為歐盟境內製藥業者，尋求一個平等互惠之立基點而已；換言之，歐盟政府所為之一切，乃是基於要為印度與歐盟兩國業者打造一個公平合理之貿易商業環境」，另外，其還強調：「針對資料專屬條款之簽訂，原則上應在雙方達成共識之前提下進行」。 雖然歐盟方面目前已嘗試作出如上解釋，但印度國內各界似仍普遍認為，一旦同意將資料專屬條款納入，未來除將嚴重影響廣大用藥病患近用低價救命藥品之權益外，亦將大幅限制新興國家產製學名藥品之能力；故包括HIV病患及其他印度民間團體共計超過2000名抗議者，於今年3月2日時，皆紛紛走上新德里市中心街頭，對歐-印即將簽署FTA表達其強烈之抗議與不滿；足見，該項條款將造成之實質影響，絕非歐盟單方三言兩語即可輕描淡寫地帶過；而最終之談判結果，是歐盟方面將作出合理之讓步？還是印度方面為挽最大貿易夥伴之心，而終以犧牲廣大病患及國內製藥業者權益來作為可能之對價？是破局？還是完滿結局？則皆有待後續觀察，方見分曉。
初探物聯網的資通安全與法制政策趨勢初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下，物聯網（Internet of Things, IoT）的智慧應用正逐步滲入各場域，如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展，需要擴大供應鏈安全，以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」（Prague Proposal）提出後，美國、歐盟皆有相關法制政策，試圖建立各類資通訊設備、系統與服務之安全要求，以強化物聯網及相關供應鏈之資安防護。是以，本文觀測近年來美國及歐盟主要的物聯網安全法制政策，以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 （一）核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量，美國政府於2020年4月提出「5G潔淨路徑倡議[3]」（5G Clean Path initiative），並區分成五大構面，包括：潔淨電信（Clean Carrier）、潔淨商店（Clean Store）、潔淨APPs（Clean Apps）、潔淨雲（Clean Cloud）及潔淨電纜（Clean Cable）；上述構面涵蓋之業者只可與受信賴的供應鏈合作，其可信賴的標準包括：設備供應商設籍國的政治與治理、設備供應商之商業行為、（高）風險供應商網路安全風險緩和標準，以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》（IoT Cybersecurity Improvement Act of 2020），旨在提升聯邦政府購買和使用物聯網設備的安全性要求，進而鼓勵供應商從設計上導入安全防範意識。本法施行後，美國聯邦政府機關僅能採購和使用符合最低安全標準的設備，將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外，美國國防部亦推行「網路安全成熟度模型認證[7]」（Cybersecurity Maturity Model Certification, CMMC），用以確保國防工程之承包商具備適當的資訊安全水平，確保政府敏感文件（未達機密性標準）受到妥適保護。透過強制性認證，以查核民間承包商是否擁有適當的網路安全控制措施，消除供應鏈中的網路漏洞，保護承包商所持有的敏感資訊。 （二）物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考，美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）提出「物聯網網路安全計畫」，並提出各項標準指南，如IR 8228：管理物聯網資安及隱私風險、IR 8259（草案）：確保物聯網裝置之核心資安基準等。 此外，美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8]（Cyber Shield Act of 2019），欲建立美國物聯網設備驗證標章（又稱網路盾標章），作為物聯網產品之自願性驗證標章，表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 （一）核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」，認為各會員國應評鑑5G網路資通安全之潛在風險，並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及，5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞，並非5G網路所特有，但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深，必須特別關注。同時，對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商風險評估變得特別重要，包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故，各會員國應加強對電信營運商及其供應鏈的安全要求，包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性（多元化分散風險）等。其次，機敏性基礎設施禁止高風險供應商的參與。 （二）資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》（Cybersecurity Act），責成歐盟網路與資訊安全局（European Union Agency for Cybersecurity, ENISA）協助建立資通訊產品、服務或流程之資通安全驗證制度，確保資通訊產品、服務或流程，符合對應的安全要求事項，包含：具備一定的安全功能，且經評估能減少資通安全事件及網路攻擊風險。原則上，取得資安驗證之產品、服務及流程可通用於歐盟各會員國，將有助於供應商跨境營運，同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性，即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下，行政院資通安全處於2020年底提出之國家資通安全發展方案（110年至113年）草案[12]，除了持續強化國家資安防禦外，對於物聯網應用安全亦多有關注，其間，策略四針對物聯網應用之安全，將輔導企業強化數位轉型之資安防護能量，並強化供應鏈安全管理，包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法，我國後續法制政策，或可區分兩大性質主體，採取不同管制密度，一主體為受資安法規管等高度資安需求對象，包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈，其必須遵守既有資安法課予之高規格的安全標準，未來宜完善資通設備使用規範，包括：明確設備禁用之法規（黑名單）、高風險設備緩解與准用機制（白名單）。 另一主體則為非資安法管制對象，亦即一般性產品及服務，目前可採軟性方式督促業者及消費者對於資通設備安全的重視，是以法制政策推行重點包括：發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度，以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局，〈物聯網資安三部曲：資安團隊+設備安全+供應鏈安全〉，2020/08/31，https://www.acw.org.tw/News/Detail.aspx?id=1149 （最後瀏覽日：2020/12/06）。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 （North Atlantic Treaty Organization, NATO）的代表，出席由捷克主辦的布拉格5G 安全會議 （Prague 5G Security Conference），商討對5G通訊供應安全問題。本會議結論，即「布拉格提案」，建構出網路安全框架，強調5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，為確保5G基礎建設的供應鏈安全。是以，具體施行應從政策、技術、經濟、安全性、隱私及韌性（Security, Privacy, and Resilience）之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021)；The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超，〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉，2020/12，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 （最後瀏覽日：2021/02/19）。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處，〈國家資通安全發展方案（110年至113年）草案〉，2020/12，https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf （最後瀏覽日：2021/04/09）。