淺析企業如何善用無形資產獲取商業利基
劉岳哲
專案經理 編譯整理
美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，以下簡稱CISA）於2021年8月宣布成立聯合網路防禦協作機制（Joint Cyber Defense Collaborative，以下簡稱JCDC），依據《國防授權法》（National Defense Authorization Act of 2021, NDAA）所賦予的權限，匯集公私部門協力合作，以共同抵禦關鍵基礎設施的網路威脅，從而引領國家網路防禦計畫的制定。 聯合網路防禦協作辦公室（JCDC's office）將由具代表性的聯邦政府單位所組成，包括國土安全部（Department of Homeland Security, DHS）、司法部（Department of Justice, DOJ）、美國網路司令部（United States Cyber Command, USCYBERCOM）、國家安全局（National Security Agency, NSA）、聯邦調查局（Federal Bureau of Investigation, FBI）和國家情報總監辦公室（Office of the Director of National Intelligence, ODNI）。此外，JCDC將與自願參與的夥伴合作、協商，包括州、地方、部落和地區政府、資訊共享與分析組織和中心（ISAOs/ISACs），以及關鍵資訊系統的擁有者和營運商，以及其他私人企業實體等（例如：Microsoft、Amazon、google等服務提供商）。 目的在藉由這項新的合作機制，協調跨聯邦部門、各州地方政府、民間或組織等合作夥伴，來識別、防禦、檢測和應對涉及國家利益或關鍵基礎設施的惡意網路攻擊，尤其是勒索軟體，同時建立事件應變框架，進而提升國家整體資安防護和應變能力。 是以，JCDC此一新單位有以下特點： 具獨特的公私部門規劃要求和能力。 落實有效協調機制。 建立一套共同風險優先項目，並提供共享資訊。 制定、協調網路防禦計畫。 進行聯合演練和評估，以妥適衡量網路防禦行動的有效性。 而JCDC主要功能，整理如下： 全面、全國性的計畫，以處理穩定操作和事件期間的風險。 對情資進行分析，使公私合作夥伴間能採取應對風險的協調行動。 整合網路防禦能力，以保護國家的關鍵基礎設施。 確保網路防禦行動計畫具有適當性，以抵禦對方針對美國發動的網路攻擊。 計畫和合作的機動性，以滿足公私部門的網路防禦需求。 制度化的演練和評估，以持續衡量網路防禦計畫和能力的有效性。 與特定風險管理部門（Sector Risk Management Agencies, SRMAs）密切合作（例如：國土安全部-通訊部門、關鍵製造部門、資訊技術等），將其獨特專業知識用於量身定制計畫，以應對風險。
因應禁止「競業禁止條款」，企業得透過「資料存證」，證明營業秘密存在及擁有近年來，關於「競業禁止條款」之合法性及有效性等，一直是被廣泛討論的議題，在2023年1月5日，美國聯邦貿易委員會（Federal Trade Commission, FTC）發布禁止「競業禁止條款」之提案，並指出依調查結果顯示，其造成勞工薪資降低及壓抑流動性等負面影響，故企業未來可能須透過主張《統一營業秘密法》(Uniform Trade Secrets Act)或《防衛營業秘密法》(Defend Trade Secrets Act)等，以保護營業秘密。同時應值注意者為，有論者提出未來解決方案為企業應推動自動化營業秘密管理系統，而其中一個必要元素是應採取「資料存證」措施，以證明營業秘密存在及擁有。 所謂自動化營業秘密管理系統，即透過工具，對於營業秘密進行「識別」與「評估」，並應對於不具有經濟價值的資訊進行解密。惟為避免增加營業秘密外洩風險，故相關系統應僅留存後設資料。與此同時，為取得盜用營業秘密相關的勝訴裁判，除應留存及保護任何時點的後設資料外，更應採取能夠證明營業秘密存在及擁有之措施，如透過雜湊值或區塊鏈等技術進行「資料存證」，以確保能夠在訴訟上提供必要證據。 最後，近期司法院、法務部、臺灣高等檢察署、內政部警政署及法務部調查局共同規劃與建置「司法聯盟鏈」機制，藉由區塊鏈技術，並結合已通過經濟部智慧財產局審查核准之b-JADE證明標章，明定嚴謹之數位資料管理要求，以期強化數位證據同一性及建立簡便驗真程序。因此，未來企業若落實b-JADE證明標章所定之管理要求，將幫助營業秘密數位資料通過驗真程序。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
美國資訊安全分析新挑戰：巨量資料（Big Data）之應用在2013年的國際資訊安全會議（RSA Conference）上，資安專家紛紛表示，將Big Data技術應用於資訊安全分析的項目上，確實可以幫助企業建立更佳的情勢判斷能力，但在實際執行過程中是一大挑戰。 資安廠商如RSA和賽門鐵克公司，在會議上表示目前的策略是透過新的數據匯集、比對和分析協助企業篩選、過濾結構化和未結構化資料的威脅指標，這是傳統的特徵偵測（signature-based）安全工具無法做到的。 不像傳統的安全手段著重於阻斷攻擊，新的技術強調偵測並立即回應違犯行為，也就是提前遏止任何違犯行為，協助企業作全面性的偵測而不擔心有所遺漏。 由於越來越多的美國政府機關和民間企業遭受到針對性和持續性的攻擊，巨量資料技術的應用需求激增。企業內部都累積著大量的數據和多元的數據種類，而需要動新技術來保護這些數據資料免於惡意人士或對手的竊取或其他侵害行為。企業應該要因應實際面臨的威脅和所獲悉的威脅情報來建立安全模型，取代部署特定產品和外圍系統的防禦。 美國無論是政府機關或民間企業都被捲入了不對稱戰爭-對手是武器精良、準備充分並有嚴密組織的網路敵人。 「駭客只需要攻擊成功一次，但我們必須每次都是成功的」賽門鐵克的總裁deSouza表示。「因此與其專注的在阻擋所有威脅，更好的辦法是使用巨量資料技術偵測侵入行為並消解之」。而在會議中資安專家都肯認至少從理論上來說，以巨量資料技術強化資訊安全是很好的想法。 不過另有其他的說法，金融服務企業LSQ的首席安全及法務主管皮爾遜認為，許多人的電腦紀錄檔和所有的電子裝置都早就被侵入滲透了，這才是問題所在。他表示，目前現存的SIEM（安全性資訊及事件管理）工具可以讓企業聚集來自許多個安全設備的巨量登錄數據整合在同一系統內，但真正的問題是，SIEM工具必須要有能力分析數據並找出關聯性，如此才能偵測到駭客入侵的前兆證據和真實的入侵行為，這和彙整數據是不同的兩件事。許多企業所面臨的問題不是缺乏數據資料，而是要如何為資訊安全的目的建立關聯規則和應用方式，以有效率的方式找出有用的巨量數據並進行分析，和留下可供進行訴訟使用的證據。