美國通過最新的電子醫療紀錄之隱私與安全標準
美國衛生部隸屬之醫療資訊科技標準委員會（Health IT Standards Committee）為了因應「2009年經濟復甦暨再投資法」（America Recovery and Reinvestment Act, “ARRA”）的通過，制定了新的電子醫療紀錄的隱私、安全標準，以擴大保護電子醫療紀錄的使用安全。
這次制定的電子醫療紀錄的隱私、安全標準，將透過具有足夠防護能力的醫療資訊科技系統標準，來保護電子醫療紀錄的交換，並且擴大適用範圍到醫療照護廠商與提供者，要求其必須在2011年前達到幾項資訊的使用控制標準，包括「醫療保險可攜與責任法」（Health Insurance Portability and Accountability Act, “HIPAA”）與「加密促進標準」（Advanced Encryption Standard）之相關規定，以完備個人電子醫療資訊的保護網。
在此次訂立的標準之下，任何人員或是應用程式欲使用與接近電子醫療紀錄，應符合法律所授予的接近與使用之要件。同時，處理個人醫療資訊的系統，也必須具備對個人醫療資訊加密與解密的能力，以保障個人醫療資訊的安全與完整。除了以上的要求，這些標準也要求相關的適用機構，必須在2013年以前完成符合病歷交換格式（HL7）的使用接近控制、安全宣示標記語言（Security Assertion Mark-up Language, “SAML”）、網路服務認證（Web Service Trust, “WS-Trust”）以及促進資訊標準建置組織（Organization for the Advancement of Structured Information Standards, “OASIS”）的機制，以保障醫療資訊的安全。
本文為「經濟部產業技術司科技專案成果」
宋佩珊
資深管理師 編譯整理
Healthcare IT News，2009年09月16日，http://www.healthcareitnews.com/news/federal-panel-approves-ehr-security-privacy-standards，最後瀏覽日：2009年09月28日
英國數位文化媒體暨體育部（Department for Digital, Culture, Media and Sport, DCMS）2020年9月1日發布「數位身分：政府諮詢回應」（Digital Identity: Call for Evidence Response）文件，以回應過去英國政府曾於2019年7月向各界蒐集如何為成長中的數位經濟社會建立數位身分系統之意見。依據諮詢意見之成果，英國政府計畫調修現行法規，使相關身分識別流程以最大化容許數位身分之使用，並發展有關數位身分之消費者保護立法；立法中將特別規範個人之權利、如何賠償可能產生的侵害，以及設定監督者等相關內容。數位身分策略委員會（Digital Identity Strategy Board）並提出六項原則，以加強英國之數位身分布建與政策： 隱私：當個人資料被使用時，應確保具備相關措施以保障其保密性與隱私； 透明性：當個人身分資訊於使用數位身分產品而被利用時，必須確保使用者可了解其個資被誰、因何原因，以及在何時被利用； 包容性：當人們希望或需要數位身分時即可取得。例如不備有護照或駕照等紙本文件時，對於其取得數位身分不應產生障礙； 互通性（interoperability）：應設定英國之技術與運作標準，使國際與國內之使用上可互通； 比例性：使用者需求與其他因素（如隱私與安全）之考量應可平衡，使數位身分之使用可被信賴； 良好監理：數位身分標準將與政府政策與法令連結，未來之相關規範將更加明確、一致並可配合政府對於數位管制之整體策略。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
新加坡交易所（SGX）正式推出SPAC上市框架由新加坡政府基金淡馬錫（Temasek）支持的「特殊目的收購公司」（Special Purpose Acquisition Company, SPAC）「Vertex Technology Acquisition Corp.」已於2022年1月20日在新交所掛牌上市，為首家在新加坡上市之SPAC。後續還有由國際發起人發起的「 Pegasus Asia」已於2022年1月21日上市，以及由新加坡基金 Novo Tellus Capital Partners 設立之「Novo Tellus Alpha Acquisition」於2022年1月27日上市。 由於美國2020年、2021年已有許多欲上市之公司採用SPAC制度上市，同時在美國紐約證券交易所（NYSE）及那斯達克（Nasdaq）均獲得巨大的成功，因此各國交易所開始摩拳擦掌，紛紛著手修正上市規則允許SPAC制度以吸引優良企業。 新加坡交易所（SGX）最初於2021年3月底時發布SPAC上市框架諮詢文件，並於同年9月2日公布該諮詢文件之回覆意見及結論，並同時修正主板上市規則，允許SPAC於同年9月3日在新加坡主板上市。 SGX說明超過80名受訪者（包含金融機構、投資銀行、私募股權和風險投資基金、企業、一般投資人、律師、會計師和其他利益相關者）回覆SPAC上市框架諮詢文件，該回覆率為近年來之最高，可見SPAC制度之熱潮。 新加坡SPAC上市框架規定SPAC公司須符合以下條件： SPAC公司須至少擁有1.5億新加坡幣市值； SPAC公司須於IPO後24個月內完成收購未上市公司，僅於符合特定條件下最多再延長12個月； SPAC公司收購未上市公司時，需經過50%以上獨立董事同意及50%以上獨立股東同意； 所有獨立股東均享有異議股東股份收買請求權； 贊助人需至少認購IPO發行股份／認股權證總額之2.5%-3.5%（具體比例將依據SPAC公司市值判斷） 於IPO後至SPAC公司收購未上市公司前，禁止贊助人讓售所持有之股份 後續新加坡SPAC發展及併購值得繼續觀察。
Ofcom於年度報告提出促進頻譜技術發展及創新建議英國通訊局（The Office of Communications, Ofcom）下設之頻譜諮詢委員會（Ofcom Spectrum Advisory Board, OSAB）於2024年10月10日發布「2023年度報告」（Annual Report 2023），為Ofcom提供頻譜管理重要議題及發展趨勢建議。 本報告具體討論內容如下： 1. 行動網路與Wi-Fi混合共享：OSAB支持探索混合共享選項，建議Ofcom於確認國內網路使用需求時，將資料傳輸巔峰時段及區域間使用差異列入考量，同時優先關注網路韌性，確保混合許可模式之可行性。 2. 頻譜管理永續性：使用高效能之無線基礎設施及技術，將有助英國達成淨零排放目標。以現有設施中使用之銅線技術為例，其運作過程耗能較高，若可改用光纖等更高效能設備，將有助降低能源消耗，故OSAB建議Ofcom制定獎勵措施，促進低效能設備汰換。 3. 6G標準制定：OSAB認為國際電信聯盟（International Telecommunication Union, ITU）6G發展願景與「第三代合作夥伴計畫」（3rd Generation Partnership Project, 3GPP）規劃之路線圖具一致性，故鼓勵Ofcom積極參與3GPP相關標準制定工作。 4. 共享近用執照（Shared Access Licences, SAL）框架發展：OSAB肯定SAL對創新監管之貢獻，並表示「擴增實境」（Augmented Reality, AR）和「虛擬實境」（Virtual reality, VR）等新技術之應用將增加SAL使用需求，建議Ofcom可推動SAL自動申請流程，提高工作效率。 綜上所述，OSAB建議Ofcom探索創新頻譜共享機制、加強國際影響力、提升國內使用者滿意度，以促進6G發展與產業創新。