美國生技學名藥法案不利廉價藥品供應
近來國際藥商逐漸將研發眼光放在市面上既存的蛋白質生技學名藥（follow-on biologics, Biosimilar, Biogenerics）上，顧名思義，生技學名藥乃是仿製市面上的生技藥品，而在臨床效用上與所仿製的藥品完全一樣或只是做些微調整改良。
目前生技學名藥並無法適用Hatch-Waxman Act下之「簡易新藥申請」（Abbreviated New Drug Application，ANDA）程序，原因在於生技製藥通常為複雜的大分子，難以確認其與上市產品100％相同，故美國FDA採取另立新法管理的態度，但迄今仍未通過任何法律。在歐盟，由歐洲藥品管理局（European Medicines Agency）所發布的生技學名藥核准準則只要求藥商提出其分子具有與上市藥品相同之物理特性及毒性安全數據即可上市，故現行已有少部分生技學名藥在歐洲上市。
因而藥商在無簡易上市的程序下，只能循完整的臨床有效性試驗程序。事實上這與現行美國擬對生技學名藥上市管理所提出的法律草案內容一致，目前提出於國會山莊的三個法律草案版本（Sen. Ted Kennedy’s S.1695, Sen. Judd Gregg’s S.1505 & Rep. Anna Eshoo’s H.R.5629）皆強制大部分生技學名藥上市前必須經過完整的臨床有效性試驗。
相反的，傳統學名藥在自1984年的Hatch-Waxman Act以來，並無需進行最昂貴的第二及第三階段之臨床試驗，也因此對於病患、消費者等而言，生技學名藥價格並不友善，通常只比其所仿製的上市藥品便宜一至二成，在有市場利基的功用調整下則有可能更貴；這比起競爭激烈的學名藥價格動輒較其原始藥品便宜五成以上相去甚多。並且所費不貲的臨床實驗亦將使生技學名藥只有擁有龐大資源的少數大藥廠能取得入場門票，因此專家預估生技學名藥的立法並不會像Hatch-Waxman Act一樣，進而形成生技學名藥業（generic biotech industry），而是形成所謂的生技仿製業（me-too industry）。
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。
日本製鐵收購美國鋼鐵案簡介日本製鐵收購美國鋼鐵案簡介 資訊工業策進會科技法律研究所 2024年09月30日 日本製鐵（日本製鉄，以下簡稱日鐵）於2023年12月宣布對美國鋼鐵（United States Steel Corporation, U.S. Steel）之收購計畫，此舉引發美國鋼鐵工人公會（United Steelworkers Union, USW）強烈反對。美國總統拜登及副總統賀錦麗（民主黨總統候選人），以及共和黨總統候選人川普亦陸續發表聲明，反對此項收購計畫。 上述收購計畫為今（2024）年美國總統大選備受關注的議題之一，本文將簡單介紹事件摘要、本案可能涉及之經濟安全問題及各方意見，以及目前最新進展。 壹、事件摘要 U.S. Steel為美國指標性鋼鐵企業，近年受到產業結構改變影響持續虧損，最終於2023年8月宣布出售。日鐵為進軍美國電動車鋼品市場，於2023年12月18日發表將收購U.S. Steel，消息曝光後引發美國各界嘩然，白宮更於同年12月21日表示此項收購可能影響國家安全和供應鏈可靠性，應嚴格進行審查。 日鐵收購之U.S. Steel計畫將同時由美國司法部審查是否違反反托拉斯法，以及由美國外資投資委員會（Committee on Foreign Investment in the United States, CFIUS）根據《外國投資風險審查現代化法》（Foreign InvestmentRisk Review Modernization Act of 2017, FIRRMA）審查是否影響經濟安全，導致美國技術經由投資或併購不當流出。 CFIUS原訂於今（2024）9月23日完成審查，惟CFIUS於8月31日向日鐵表示，此項收購計畫可能降低美國國內鋼鐵產能，影響交通、建築和農業等領域之鋼鐵供應，存在經濟安全上之隱憂。根據歐美媒體報導，美國總統拜登可能發布中止收購之行政命令，故日鐵重新向CFIUS申請審查，將審查期間延長為90天，讓本案可以在美國總統大選結束後做出決定，以降低政治影響。 貳、 重點說明 一、收購計畫涉及之經安問題及日鐵回應： CFIUS係依據《1950年國防生產法》第721條（section 721 of the Defense Production Act of 1950）、第11858號行政命令（Executive Order 11858）以及《聯邦法規》第31編第8篇（chapter VIII of title 31 of the Code of Federal Regulations.）組成之跨部門委員會，其任務為審查外資收購美國公司是否構成國家安全威脅，避免外國人透過併購或投資等方式控制美國企業。 針對日鐵收購US Steel一事，CFIUS於8月31日致函日鐵和US Steel，指出可能存在兩大經濟安全上之問題： （一）降低美國鋼鐵產能：因日鐵擴大對印度市場投資並收購當地鋼鐵廠，CFIUS擔心其可能將美國鋼鐵產線轉移至印度，進而影響美國產能。針對上述疑慮，日鐵承諾將額外投資27億美元，用於更新US Steel的老舊設備及生產據點，並優先在美國國內生產。 （二）關稅問題：CFIUS指出US Steel過去曾要求美國提高對中國廉價鋼材產品之關稅，惟日鐵表示反對，擔心其可能會影響US Steel之決策。針對上述問題，日鐵表示不會干涉相關決策，並會在公司內設立由美國籍委員組成之「通商委員會」，以打消美方顧慮。 二、美國總統發布行政命令中止收購之影響及產業看法 在CFIUS提出對日鐵收購US Steel一事之疑慮後，據傳美國總統拜登擬發布行政命令中止此項收購計畫。由於行政命令發布後，日鐵將無法再以同一案件進行申請，即便想以CFIUS審查過程中存在問題為由，向聯邦法院提起訴訟，惟訴訟曠日費時且勝訴機率不高，收購計畫恐就此破裂。 由於美國以往多是禁止中國企業收購美國企業，如美國前總統川普於2018年3月12日發布行政命令禁止博通（Broadcom）併購高通（Qualcomm），若拜登就本案發布行政命令，將是首次禁止日本企業收購美國企業。 日本丸紅經濟研究所今村卓社長表示，若美國對作為同盟國的日本企業發布行政命令，未來須對併購鋼鐵等基礎產業抱持謹慎態度。日本經濟團體聯合會（日本経済団体連合会）、美國國際工商理事（United States Council for International Business）、全球商業聯盟（Global Business Alliance）等多個經濟團體亦致函美國財政部長，表達對政治壓力影響CIFUS審查結果之擔憂，並指出此行為可能會損害美國投資環境，並將美國經濟和勞工置於危險之中。 參、事件評析 根據美國商務部經濟分析局資料，去（2023）年美國獲外國直接投資5.4兆美元，其中日本為投資最多國家，投資金額高達7,833億美元，已連續5年居冠，顯示出在中美對抗情勢下，日美持續擴大合作之趨勢。 有輿論認為，拜登政府擬中止日鐵收購計畫一事，暴露出美國推動產業發展政策的矛盾之處。一方面，美國透過制定《降低通貨膨脹法》（Inflation Reduction Act; IRA）及《晶片與科學法》（CHIPS and Science Act）吸引外資；另一方面，則以經濟安全及供應鏈穩定為由，加強審查外國直接投資。 在中美對抗持續升溫下，美國勢必需要吸引包括日本在內之盟友國家之投資，以推動電動車、半導體等關鍵產業發展。惟若美國中止日鐵對US Steel之收購計畫，導致雙方破局，未來可能影響外國直接投資意願，進而影響美國產業轉型腳步。
良好的隱私權實踐工作有助於強化企業競爭力當含有大量個人敏感性特質個資之郵件不小心發送到陌生人的電子信箱時，將可能對當事人帶來無法預估的損害。加拿大隱私委員Daniel Therrien在國際隱私日時（1/28）提醒各企業，不要忽略隱私控管工作對企業競爭力帶來之影響。然這樣的理念不僅僅只適用在大型的企業，加拿大有98%的企業員工少於100人，對於這些成千上萬的小規模企業而言更是重要。 Daniel Therrien說：「我能理解資源有限的小規模企業每天面臨高壓的業務需求，但就相關反饋資料顯示，加拿大當地居民較傾向與具有良好隱私實踐工作之企業進行交易。」因此，良好的隱私實踐工作不僅是有助於消費者，更可協助企業符合加拿大個人資料保護與電子文件法（Personal Information Protection and Electronic Documents Act）之規定。 為協助小規模企業採取積極措施，以保障消費者資料及隱私不被外洩，提高競爭力，加拿大提供相關關鍵步驟供企業參考：(1)不逾越產品或服務目的之資料蒐集；(2)提供顧客清晰易懂之隱私權政策，以便顧客了解資料為何被蒐集，及如何處理、利用；(3)了解蒐集哪些資料、資料儲存期間及方式、有權限接觸之人及刪除方式； (4)對員工進行隱私保護教育訓練；(5)除非必要，否則請避免蒐集如健康狀況、財務資訊等具敏感性之資料；(6)企業應設置窗口或指定專人，針對顧客權利主張或提出與隱私有關之疑問時進行回應。
美國於2020年12月4日正式施行聯邦《物聯網網路安全法》美國現任總統川普（Donald J. Trump）於美國時間2020年12月4日簽署物聯網網路安全法（IoT Cybersecurity Improvement Act of 2020），針對美國聯邦政府未來採購物聯網設備（IoT Devices）制定了標準與架構。 該法要求美國國家標準技術研究院（National Institute of Standards and Technology, NIST）應依據NIST先前的物聯網指引中關於辨識、管理物聯網設備安全弱點（Security Vulnerabilities）、物聯網科技發展、身分管理（Identity Management）、遠端軟體修補（Remote Software Patching）、型態管理（Configuration Management）等項目，為聯邦政府建立最低安全標準及相關指引。如果使用政府機關所採購或獲取之物聯網設備無法遵守NIST制定的標準或指引，則不得續簽採購、獲取或使用該設備之契約。 安全標準和指引發布後，美國行政管理和預算局（the Office of Management and Budget）應就各政府機關的資訊安全政策對NIST標準的遵守情況進行審查，NIST每五年亦應對其標準進行必要的更新或修訂。此外，為促進第三方辨識並通報政府資安環境弱點，該法要求NIST針對聯邦政府擁有或使用資訊設備的安全性弱點制定通報、整合、發布與接收的聯邦指引。 雖然該法適用範圍限於聯邦政府機關，惟因該法限制聯邦政府機關採購、獲取或使用不符合NIST標準或指引的物聯網設備，將促使民間業者為獲取美國政府訂單而選擇遵循NIST標準，未來該標準可能成為美國物聯網安全的統一標準。