從推動體系及法制架構思考我國文化創意產業發展之整合以南韓推動組織與法制架構為例
英國資訊專員辦公室（Information Commissioner’s Office, ICO）於2018年10月24日公告針對臉書公司（Facebook Ireland Ltd. & Facebook Inc.）之劍橋分析（Cambridge Analytica）個資外洩事件，依據英國資料保護法（Data Protection Act 1998）第55A條之規範，裁罰臉書公司50萬英鎊之罰鍰。 自2018年3月劍橋分析違法取得與使用臉書個資事件爆發以來，估計約有8700萬筆臉書上的個人資料遭到違法使用，引起全球對於網路個資保護的重視。在遭到違法取得與使用的個資當中，也包含了歐盟以及英國臉書使用者的個資，因此英國ICO有權對此事件展開調查並對臉書公司進行裁罰。 根據英國ICO的調查，自2007年至2014年間，臉書公司對於其平台上的個資處理（processed）有所不當，違反資料保護法之資料保護原則（Data Protection Principle，DPP），包含未適當處理個人資料（DPP1），以及未採取足夠的技術與作為防止未經授權或違法使用個資（DPP7），致使劍橋分析得以透過臉書公司提供之API違法取用臉書使用者個資。 由於劍橋分析事件發生時，歐盟GDPR（General Data Protection Regulation）尚未正式上路，因此英國ICO依據事件發生時之法律，亦即基於歐盟資料保護指令（Directive 95/46/EC）所訂定之英國資料保護法，裁處臉書公司50萬英鎊的罰款；若依據基於GDPR之新版英國資料保護法（Data Protection Act 2018），臉書公司將可被裁處最高1700萬英鎊或年度全球營業額4%之罰款。
新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
美國FCC針對飛機上使用無線通訊服務之規則展開諮詢美國聯邦通信委員會（Federal Communications Commission，FCC）於2013年12月發佈法規命令制訂通知（Notice of proposed rulemaking，NPRM），將制訂規則以允許航空公司在飛機上安全地提供無線通訊服務，FCC並將諮詢公眾建議，考量消費者權益與相關產業影響。目前公布的規則，在公眾諮詢期間後，將放寬航空公司於飛行中提供通訊服務的管制，也包括以前受管制的無線頻段。 該規則的基本原則是，航空公司必須選擇裝設經過認證的服務設備，以防止飛機與地面通訊的有害干擾，在干擾得以適當控制之下，航空公司將能提供乘客的無線寬頻網路，包括網際網路、電子郵件、文字通訊以及各種類型的語音服務。新管制規則也將提升航空公司機艙內通訊的品質。根據建議，個別航空公司以自律為原則，遵守FCC、美國聯邦航空管理局（FAA）和運輸部（DOT）的規定，決定是否要在飛機上提供行動通訊無線服務，並且決定提供哪些服務。 如果一家航空公司選擇安裝新的通訊設備，便能提供消費者使用他們的行動裝置的完整通訊功能，航空公司必須公布哪些航班有提供服務、有什麼類型的服務，例如是否允許網路瀏覽、電子郵件、即時通訊等，但不包含語音通話。 以下簡介FCC本次發佈的規則方向： 1. 開放更多無線頻譜的使用，移除既有的對於飛機上使用無線頻譜的嚴格限制。協調所有商用航空器相關的頻譜與設備的管制規範。 2. 暫不開放語音通訊服務（含傳統語音服務以及網路電話VOIP）。3. 為航空公司使用商用無線頻譜在飛機上提供無線通訊服務，提供新的執照授權。 4. 限制飛行器上裝設之無線通訊設備，必須通過美國運輸不或美國航空管制局（FAA）所認證之設備，以管制機上裝置的發射功率及電力需求。 5. 限制飛機在超過海拔3048公尺（約10,000英尺）以上高度飛行時，提供無線通訊服務的能力。 6. 其他有關法律管制架構、公眾及國家安全，以及潛在的語音服務影響之事項。
吸引優秀外籍人才，澳洲祭出租稅優惠全球化競爭之趨勢下，各國紛紛寄出各式誘因以搶奪優秀人才，澳洲政府在今（ 2006 ）年 2 月中向國會提出所得稅法修正案（ Tax Laws Amendment (2006 Measures No. 1) Bill 2006 ）， 期能將優秀高級技術人才延攬至澳洲，使澳洲成為國際企業之營運重鎮（ as a business location ）。 目前根據澳洲稅法規定，因工作而在澳洲暫時居留者，從課稅角度均被視為澳洲居住者（ treated as Australian residents for tax purposes ），由於澳洲對居住者採取全球課稅（ taxed on worldwide income ）之原則，故除來源於澳洲之所得外，在澳洲工作之外籍人才申報澳洲所得稅時，也需將其在澳洲以外之所得一併申報。雖然目前這些外籍工作者的境外投資所得或可主張租稅減免（ foreign tax credits ）， 但仍須進行年度所得申報，並可能被重複課稅。 新修正規定 引進暫時性居住者（ temporary residents ）之概念，所謂暫時性居住者係指暫時性簽證之持有者，此一簽證乃根據 1958 年移民法（ Migration Act 1958 ）核發。凡持有暫時性簽證者，其澳洲來源所得仍依法課稅，但其國外來源所得則免徵所得稅。另 暫時性居住者之資本利得（ capital gains ）依非居住者身份（ non-residents ）課稅；其對外國債務人提供之貸款利息所得，得免予扣繳（ relief from interest withholding tax obligations ），由於企業乃扣繳之義務人，此等規定可降低企業在管理外籍員工所需付出之法規成本。 新規定無適用年限之限制，亦未規定欲適用新規定者，是否在修正通過前即應具有暫時性居住者之身分， 一般認為，修正之新規定將因租稅部分之誘因，有助於澳洲延攬優秀之外派人才。