美國政府設立Apps.gov網站推動雲端科技運用
美國政府在9月15日宣布，為了減少基礎建設的相關費用以及降低政府運算系統的環境衝擊，因此設立Apps.gov網站，展示並提供經政府認可的雲端科技運用。
據美國聯邦政府CIO Vivek Kundra表示，Apps.gov網站是美國政府首度對外發表，針對減少IT花費政策的成果。目前美國政府IT預算幾乎都花費在設立資料中心，單在國家安全部下就設有23個資料中心，而這也造成了聯邦政府的資源消耗在2000年到2006年間增加了兩倍，為了落實減少基礎建設花費的政策，並基於安全性的考量，希望能夠盡量利用現有的系統。
美國政府目前推動的雲端運算倡議計劃有三個主要內容，第一個主要內容即為全新的Apps.gov網站，提供企業一個情報交換平台、社交媒介與雲端IT服務。雖然目前網站尚未完全運作，甚至還曾造成一連串的錯誤訊息，但美國政府當局仍希望該網站最終能成為一次即可滿足的服務商店(one-stop shop)，可在一個平台上提供多種類的雲端運算服務。Kundra表示，美國能源部已經開始使用該網站執行部分相關業務。
該計畫的第二個重點則是預算，美國政府在2010年將會致力推動雲端運算領航計畫，並為此編列年度預算，希望能投入更多輕量的工作流程(lightweight workflows)至雲端科技的發展。而在2011年，美國政府則預計會發布相關指導準則至各機關部門。
最後，該計劃亦會配合安全性、隱私及採購等相關政策。Kundra表示，將會確保所有資料都受到完善保護。
Google創辦人之一Sergey Brin也宣佈Google將會投入部份雲端運算系統專供聯邦政府使用，此系統與Google提供給一般企業的系統相似，但會針對政府需求稍做修改。除了Google之外，Microsoft、Facebook、Salesforce.com及Vimeo等公司亦提供雲端運算服務予政府機關使用。
本文為「經濟部產業技術司科技專案成果」
機關實體安全維護現行法制與實務運作之研析（下） 科技法律研究所 2013年08月25日 貳、澳洲防護性安全政策架構：機關實體安全維護政策暨相關規範 一、「防護性安全政策架構」概說 防護性安全政策架構（Protective Security Policy Framework）[1]由澳洲司法部（Attorney-General’s Department）發布，最新版本修訂於101年12月，其宗旨在協助機關有效鑑別安全風險容忍度的等級、達成安全維護之要求並因應各機關業務目標發展適合的安全文化，同時也能達到預期的行政效能、獲得人民及國際間的信任。其架構設計成四個層次。 最上層為「政府業務安全性指令（Directive on the security of government business）」，屬於防護性安全政策架構的基石，訂明機關及委外廠商的安全性要求。第二層進一步訂定「核心政策/法定強制要求（Core Policies/Mandatory Requirements）」，核心政策從三大面向出發：人員安全、資訊安全及實體安全。第三層則分別就三大核心政策制訂細節性的實施指引、安全保護措施和風險管理文件的範本，包含應用標準，使所有機關作法具一致性，使跨部門的業務執行更加順暢。最末層則為「機關特定防護安全政策與程序（Agency-Specific Protective Security Policies& Procedures）」，協助機關發展出合乎自身特性和業務需求的專屬政策和程序，同時補充和支援其他機關的的營運程序。 二、機關實體安全管理指引：管制區及風險減輕控制[2] 本指引的規範客體為政府機關內所有人員及接受政府機關委外安全維護服務的承包商（contractor）及個人。保護範圍涵蓋所有政府設備設施、實體資產及機關人員駐點場所，但若澳洲法律有比本指引更嚴格的要求，應優先遵守。規範內容可分成四大項：降低風險與確保措施（risk mitigation and assurance measure）、管制區方法論及要求（the security zones methodology and requirements）、個別控制要素（detail of individual control measures）、行政管理上的實體安全要素（Physical security elements in administrative security）。 （一） 降低風險與確保措施 機關應依指定之標準和要求進行風險評估[3]及風險管理[4]。風險評估是設計安全維護措施的基礎，且至少每兩年便應重新評估。又機關可能因為某些特別的原因易生潛在的特定威脅，需要額外的加強實體安全性，機關可以透過檢視自己業務是否具爭議性、辦公場所地區犯罪發生率、出入訪客數量及以往發生衝突的機率、是否因持有特定資訊或資產而易於成為攻擊目標、設施是否與民間企業共構及其他誘因等進行風險評估。 接著，機關應依風險程度差異區分不同安全等級的工作區，或區分上下班時間，評估可能遇到不同的風險。例如，上班時間會有洽公民眾或訪客，需特別注意內部威脅；下班後則要特別注意外部入侵問題。又辦公室動線的設計與有效的安全控制攸關，故可以考慮進行「關鍵路徑規劃（Critical path）」，亦即在動線設計上，讓可能的外來危險入侵到辦公場所核心領域的成功時間盡可能延長，使應變小組有時間偵測、延遲並能及時回應跟阻止入侵。最後，機關若能擁有獨立建物時，於設計時需考量「透過環境設計預防犯罪（Crime prevention through environmental design/CPTED ）」，避免建物有太多死角而易於進行不法或犯罪行為[5]。 （二）管制區方法論及要求 管制區（Security Zone）共分為五個安全等級，也就是依風險評估劃分工作區，並賦予相應的控管措施[6]。機關得按自身需求決定要設置幾個等級的管制區。例如，一級管制區指公眾可出入的場所、車輛會不斷進出的作業區，故得使用、儲存的資訊及資產敏感性不得超過一定等級；二級管制區是所有員工及委外廠商的自由出入的區域，公眾在一定條件下得出入，通常是指標準辦公場所、機場工作區或具一定隔離、出入管制措施的訪客區或展示區；三級以上管制區則對於能進出的內部人員的資格益加限縮，且外部人士或委外廠商可能需由專人全程護送，同時也能使用或儲存高重要性的資產和資訊，如情報機構本身即屬五級管制區。 （三）個別控制要素 此部分在提供機關判斷、選擇控制措施的準則，機關可以根據風險評估的結果選擇相應的安全控制措施，共分為15項，主要包括了澳洲安全建設及設備委員會（The Security Construction Equipment Committee/SCEC）認可的產品目錄清單及產品選擇標準的指導手冊、建築物安全配備的標準、警報系統與相關設備、門禁管制、訪客管控、警衛與保全人員的聘用、安全置物箱或保險庫及周遭環境的安全管制（Perimeter access control）等。 又警衛與保全人員之聘用，必須擇用有證照者。澳洲依行政區有不同的保全證照制度與規定[7]，以澳洲首都區（ACT）為例，主要係依2003年保全業法（Security Industry Act 2003）[8]、2011年保全業修正法（Security Industry Amendment Act 2011）[9]及2003保全業規則（Security Industry Regulation 2003）[10]，證照共分五種：保全公司證照、保全人員證照、保全教官證照、見習保全證照及臨時保全證照。保全證照每三年需換發一次。另外，若在販賣酒精的場所工作或需使用槍枝，則需另外取得許可。 澳洲保全業的主管機關為法制服務辦公室（Office of Regulatory Service），職掌教育訓練、監督與查核、自我規範、資訊分享及強制執行。主要查核項目為定期檢查及工時外的抽查（afterhours inspection），前者著重於申訴案，證照的暫時中止或撤銷懲處；後者著重於高風險事件，例如非法經營的保全公司、不適當行為及保全業非法雇用未成年人員等[11]。 （四）行政管理上的實體安全要素 在行政作業程序上，機關得運用一些實體設備設施達成安全管理的需求，例如在傳遞小量的實體資產或資訊（如公文紙本）至其他機關，應使用保險箱、集裝箱；又銷毀機密紙本時使用碎紙機或水銷方式等。 三、防護性安全管理指引：委外服務與職能安全性 [12] 本指引在協助機關將業務委外時，如何建立完善的委外政策和擬定契約，詳述防護性安全政策架構4.12節以及機關要如何遵守政策架構下第12條規定：「機關必須確定委外服務廠商遵守本政策架構及所有的防護性安全規則書（protective security protocols）的要求」。由於委外服務的執行人員能夠進入機關內部辦公場所、接近機關資訊資產，故機關有責任建立人員安全控管程序（necessary personnel security procedures），管理委外服務的安全性風險。本指引提供一個持續性、結構性的方法幫助機關決定：委外廠商經營場所應有的安全維護措施、委外廠商使用人員的安全調查程序（security clearance requirements）及契約中安全管理措施的約定（protective security management arrangements）[13]。 契約中必須明訂委外廠商應遵守的相關法律規定、機關所需的必要安全維護要求與遵守期間、規律和持續性的監督辦法（例如機關代表可進入委外廠商的經營場所進行查核，檢視各項紀錄或設備設施）及危安事件發生時廠商的通報義務。機關依防護性安全政策架構所擬訂獨有的政策與程序，其內容必須於契約中明確的約定，不允許概括約定委外廠商必須遵守防護性安全政策架構。又機關的安全性要求可能會隨時間而變化，所以該部分的約定宜與本約分開，以利日後修正與變更。 若委外廠商的執行人員因業務得接近機密或敏感性資訊資產，必須通過安全查核程序（Security Clearance）[14]；若不需接受安全查核，則需簽署保密條款（Non-Disclosure Agreement），機關應諮詢法律專業意見制訂屬於機關本身特定的保密條款[15]，有複委外情形時亦同。機關可以從澳洲政府安全調查局（Australian Government Security Vetting Agency /AGSVA）調出相關人員的安全調查資料，如果該人員擁有尚未逾期且屬機關需求等級的安全資格，機關就不需要再做一次調查。 參、建議與結語 藉由對澳洲立法例之研析，可發現澳洲對於機關的辦公場所、設備設施及出入之內外部人員的控管，有嚴謹縝密的管理機制與具體標準供機關依循。相較於此，我國相關法制框架尚有強化空間，建置更明確性、細節性之規範及標準作業流程。例如我國法制上僅有「責任區」的概念，可考慮引進「管制區」及「關鍵路徑規劃」等項目。其次，機關宜將自訂的安全維護機制確實內化至與委外保全業者的契約內，訂明權利義務關係、落實監督管理辦法、監控畫面資料儲存、備份和刪除方式及保密義務範圍（如機關監視系統配置、巡邏時間）等，另考量當機關日後對於安全性要求之修正與變更可能，委外契約與安全性要求的細部文件宜分開訂立。至人員管控部分，應重視預防勝於治療之概念，於適當時（例如對負責監控機關內部監視系統或夜間巡邏等對機關生態、人員活動及弱點相當清楚者）採取如澳洲的安全查核程序，對人員擔任保全工作的適性程度進行評價，而不僅以保全業法所訂之資格條件作為唯一判準。 末者，機關之實體安全維護，是否適合全權委外保全業者，尤以本身屬高重要性的機敏機關而言，值得再斟酌，在保全人員素質頗受爭議與警政機關因業務繁重而無法有效輔導管理保全業的困境下，或可考慮是否有必要在組織內編列專職維安人員。 [1]Australian Government: Attorney-General’s Department （2012, December）. Protective Security Policy Framework-securing Government business. Version1.5. Retrieved from http://www.protectivesecurity.gov.au/pspf/Documents/Protective%20Security%20Policy%20Framework%20amended%20December%202012.pdf （last accessed May.29,2013） [2]Australian Government: Attorney-General’s Department （2011, June）, Physical security management guidelines: Security zones and risk mitigation control measures, Retrieved from http://www.protectivesecurity.gov.au/physicalsecurity/Documents/Security-zones-and-risk-mitigation-control-measures.pdf ,下稱「本指引」. [3]Australian Standard AS/NZS ISO 31000:2009 Risk Management–Principles and guidelines, Australian Standards HB 167:2006 Security risk management. [4]Australian Standards HB 167:2006 Security risk management . [5]相關建議可參考以下連結：Designing Out Crime: crime prevention through environmental design,Crime Prevention through Environmental Design Guidelines for Queensland. [6]詳細規定由機關安全顧問（Agency security advisers /ASAs）發布，請參本指引第15至20頁 [7]Australian Security Industry Association Limited （n.d.）. Information about security licensing requirements and regulators in each state or territory. Retrieved from http://www.asial.com.au/Whoshouldholdasecuritylicence.（last accessed June.4,2013）. [8]ACT Government（n.d.）. Security Industry Act 2003..Retrieved from http://www.legislation.act.gov.au/a/2003-4/default.asp（last accessed June.4,2013） . [9]ACT Government（n.d.）. Security Industry Amendment Act 2011. Retrieved from http://www.legislation.act.gov.au/a/2011-37/ （last accessed June.4,2013）.其他相關規範請參http://www.ors.act.gov.au/industry/security_industry/legislation （last accessed June.4,2013）. [10]ACT Government（n.d.）. Security Industry Regulation 2003. Retrieved from http://www.legislation.act.gov.au/sl/2003-30/default.asp （last accessed June.4,2013）. [11]ACT Government（n.d.）.Security Industry Licensing Practice Manual. Retrieved from http://www.ors.act.gov.au/publication/view/1689/title/security-industry-licensing-practice-manual （last accessed June.4,2013）. [12]Australian Government: Attorney-General’s Department （2011, September）. Protective security governance guidelines-security of outsources services and functions. Version1.0. Retrieved from http://www.protectivesecurity.gov.au/governance/contracting/Pages/Supporting-guidelines-for-contracting.aspx （last accessed June.7, 2013）. [13]「防護性安全措施」Protective security依澳洲政府所發佈的「專門術語詞彙表」（glossary of security terms）的定義，指一套包括程序、實體、人員及資訊四大方向的安全維護措施，保護資訊、機關機能運作、內部人員和外部訪客。請參http://www.protectivesecurity.gov.au/pspf/Pages/PSPF-Glossary-of-terms.aspx [14]請參PSPF Australian Government personnel security core policy – PERSEC 1.。 [15]請參本指引第11頁的附件A：NDA範本。
歐盟考慮設立中央網路犯罪防制機構歐盟部長理事會（Council of Ministers）已於今（2010）年4月27日要求執委會檢視其網路犯罪防制目標，並調查是否有需要設立一中央機構，以儘速達成下列幾項目標，包括：提高調查人員、檢察官、法官及法院相關人員的專業標準、鼓勵各國警方資訊分享以及協調歐盟27個會員國間打擊網路犯罪所採取之方式。 部長理事會提議由執委會進行設立專責機構之可行性調查研究，擬由該專責機構負責前述目標之達成，亦須評估並監督預防性與調查性措施之實行。該調查研究中應特別考量欲設立專責機構之目的、範圍及可能的經費來源，另外亦需考慮是否將其設置於位於海牙的歐盟刑警組織（European Police Office, Europol）中。考量網路犯罪跨國界之特性，為使打擊網路犯罪之相關措施更有效，必須有良好的國際合作及司法執行互助配合。部長理事會認為藉由專責機構之設立，不僅能夠協助培訓法官、警方及檢察官，亦能做為聯繫網路使用者、受害者組織及其他私部門的常設機構。 本部長理事會將歐盟現有之網路犯罪防制相關計畫分成短、中、長期計畫，要求執委會定期追蹤各項相關計畫之執行情況，亦將設立網路犯罪防制專責機構列入執委會後續四年所持續執行有關犯罪與安全治理的斯德哥爾摩計畫（Stockholm Programme）中。 此外，部長理事會也呼籲歐盟各國追蹤用於網路犯罪之IP位置及網域名稱，同時要求執委會協助建立共通的廢止機制，以進行網路犯罪防制。 位於希臘的歐盟網路與資訊安全機構（European Network and Information Security Agency, ENISA），是現階段歐盟網路犯罪防治的研究機構，其進行資訊安全威脅行為之調查，並提供相關建議，但僅是資訊服務單位，未實際投入打擊犯罪行動。
日本計劃於今年秋天提出中小企業智財保護指針，防止大企業不當取得智財近年日本中小企業與大型企業合作研發、進行交易合作的商業型態日益增加，故日本中小企業廳自2017年1月至2020年3月為止（約三年間），針對日本的中小企業進行了訪談，調查了中小企業與大型企業間約12,000筆合作研發等商業行為，從中發現了許多問題，如大型企業常藉由合作研發，參觀中小企業工廠的名義，實際上是竊取中小企業技術、know how；其他還有以共同研發為名，擅自將研發成果使用在其他領域的案例等。 由於中小企業常在商業合作上處與弱勢，故日本政府為促使中小企業與大型企業的合作能符合公平交易原則、以及保護中小企業的智慧財產、技術，防止中小企業的智慧財產、技術、Know how等無形資產被商業合作夥伴（大型企業）不當使用或以非法的方式取得、使用，故日本政府計劃於今年秋天發布「中小企業智慧財產、技術保護指針」。 為改善中小企業與大型企業合作時，可能遭遇的智財、技術歸屬等問題，除透過「中小企業智慧財產、技術保護指針」提供具體的對策與措施，日本中小企業廳將於2021年編列相關預算，以智慧財產權的角度協助中小企業解決智財相關問題，並強化中小企業保護智慧財產權之意識，另外還會提供中小企業智財諮詢等相關支援。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
布拉格提案（The Prague Proposals）2019年5月3日，來自全球30多國的政府官員與來自歐盟、北大西洋公約組織的代表於捷克布拉格所舉辦的5G資安會議（Prague 5G Security Conference）中，強調各國建構與管理5G基礎建設時應考慮國家安全、經濟與商業發展等因素，特別是供應鏈的安全性，例如易受第三國影響之供應商所帶來的潛在風險，本會議結論經主辦國捷克政府彙整為布拉格提案（The Prague Proposals），作為提供世界各國建構5G基礎建設之資安建議。 在這份文件中首先肯認通訊網路在數位化與全球化時代的重要性，而5G網路將是打造未來數位世界的重要基礎，5G資安將與國家安全、經濟安全或其他國家利益，甚至與全球穩定等議題高度相關；因此應理解5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，則為強調確保5G基礎建設的供應鏈安全。 因此在布拉格提案中強調各國建構通訊網路基礎建設，應採用國際資安標準評估其資安風險，特別是受第三國影響之供應商背後所潛藏之風險，並應重視5G技術變革例如邊緣運算所產生的新風險態樣；此外對於接受國家補貼之5G供應商，其補貼應符合公平競爭原則等。布拉格提案對於各國並無法律上拘束力，但甫提出即獲得美國的大力肯定與支持。