數位證據之刑事證據能力相關議題研究
由於近年來勒索軟體對國際金融帶來重大影響，七大工業國組織G7成立網路專家小組CEG（Cyber Expert Group），並於2022年10月13日訂定了「金融機關因應勒索軟體危脅之基礎要點」（Fundamental Elements of Ransomware Resilience for the Financial Sector），本份要點是為因應勒索軟體所帶來之危脅，提供金融機關高標準之因應對策，並期望結合G7全體成員國已施行之政策辦法、業界指南以及最佳之實踐成果，建立處置應變之基礎，加強國際金融的韌性。該份要點內容著重於民營之金融機關（private sector financial entities），或關鍵之第三方提供商（critical third party providers），因其本身有遵守反洗錢和反恐怖主義之融資義務，但也可依要點訂定之原意，在減少自身受到勒索軟體之損害上，或在處置與應變上有更多的彈性。而日本金融廳於2022年10月21日公布該份要點之官方翻譯版本，要點所提列之重點如下： 1.網路安全策略與框架（Cybersecurity Strategy and Framework）： 將因應勒索軟體威脅之措施，列入金融機關整體的網路安全策略與框架之中。 2.治理（Governance）： 支付贖金本身可能於法不容許，也可能違背國家政策或業界基準，金融機關須在事件發生前，檢視相關法規，並針對潛在的被制裁風險進行評估。 3.風險及控制評估（Risk and Control Assessment）： 針對勒索軟體之風險，應建立控制評估機制並實踐之。因此可要求金融機關簽訂保險契約，填補勒索軟體造成的損害。 4.監控（Monitoring）： 針對潛在的勒索軟體，金融機關有監控其活動進而發現隱藏風險之義務，並向執法與資通安全機關提供該惡意行為之相關資訊。 5.因應處置、回覆（Response）： 遭遇勒索軟體攻擊之事件，就其處置措施，須依原訂定之計劃落實。 6.復原（Recovery）： 遭遇勒索軟體攻擊之事件，將受損之機能復原，須有明確的程序並加以落實。 7.資訊共享（Information Sharing）： 須與組織內外之利害關係人共享勒索軟體之事件內容、資訊以及知識。 8.持續精進（Continuous Learning）： 藉由過往之攻擊事件獲取知識，以提高應變勒索軟體之能力，建立完善的交易環境。 此要點並非強制規範，因此不具拘束力，且整合了2016年G7所公布的「G7網路安全文件之要素」（G7 Fundamental Elements of Cybersecurity document）之內容。綜上述CEG所提列重點，針對我國金融機關在抵禦網路攻擊之議題上，應如何完善資安體制，與日本後續因應勒索軟體之政策，皆值得作為借鏡與觀察。
新加坡個人資料保護委員會發布資料保護專員之職能與培訓準則新加坡個人資料保護委員會（Personal Data Protection Commission, PDPC）於2019年7月17日發布資料保護專員之職能與培訓準則。基於新加坡個人資料保護法（Personal Data Protection Act 2012, PDPA）明文規範非公務機關必須設立至少一名資料保護長（Data Protection Officer, DPO），負責個資保護政策之制定落實、風險評鑑及個資事故處理等工作。為了使資料保護專業人員增強能力並於企業組織有效履行其職責，新加坡個人資料保護委員會就此特別發布此準則，將資料保護專員分為三種工作職能，九項專業能力，進而規劃相關培訓課程。 此準則使企業組織能就工作職能聘僱合適之資料保護專員，亦使相關專業人員能掌握清晰之職業生涯，確定自我能力與培訓課程之落差，進而調整有效實施組織之個人資料保護管理政策與流程。其分為資料保護專員、資料保護長、區域資料保護長，依據工作職能與職責區分如下： 一、 資料保護專員 需監視與評估組織之個人資料保護管理政策與程序，並確保其遵循新加坡個人資料保護法。 識別個人資料之風險，並提出風險管控之措施。 提供組織個人資料保護政策之實施與實踐證據。 定期檢視審核，分析現況並矯正改善。 識別並規劃利害關係人之需求與利益。 二、 資料保護長 制定並審查個人資料管理計劃。 根據組織職能，視需求與流程，執行個人資料保護與風險評鑑，並解決相關業務風險。 制定培訓計劃，舉辦個人資料保護政策與流程之教育訓練。 確保組織內部個人資料保護之意識。 根據業務營運與個資法遵要求之落差評估，並建立合規性流程。 透過客戶對隱私與個人資料保護之要求，做為日後促進資料創新之實施。 三、 區域資料保護長 監督資料傳輸活動，並提供個人資料保護法之領導指南。 建立區域創新之資料保護策略。 減少區域內之個資事故。 於資料創新之運用提供戰略性，為組織創造業務價值。 評估新興趨勢與科技，如隱私增強技術、雲端運算、區塊鏈、網絡安全之風險與可行性。 針對上述工作職能與職責，結合所需之專業能力，包括個人資料管理、風險評鑑管理、個資事故緊急應變、利害關係人管理、個人資料稽核認證、個人資料治理、個人資料保護之倫理、資料共享與創新思維，規劃基礎個人資料保護相關課程與進階資料創新課程，使其個人資料保護制度更專業具有規模。目前我國對於資料保護專員並無相關立法規範，若未來修法新加坡個人資料保護委員會之做法亦值參酌。
歐盟執委會提出《歐洲晶片法案》應對半導體短缺並加強歐洲技術領先地位歐盟執委會於2022年2月8日提出《歐洲晶片法案》（European Chips Act），以確保歐盟在半導體技術和應用的供應鏈安全、彈性和技術領先地位。近來全球半導體短缺，迫使汽車及醫療保健設備等眾多領域工廠關閉，部分歐盟成員國的汽車產量於2021年下降三分之一，顯示在複雜的全球地緣政治背景下，半導體價值鏈極度依賴數量有限的參與者。《歐洲晶片法案》將動員公共及私人投資歐洲半導體產業，金額超過430億歐元；並制定政策措施以預防、準備、預測和迅速應對未來任何供應鏈中斷情形，幫助歐盟實現2030年將現行晶片市場占比提升至20%的願景。《歐洲晶片法案》共分成八大章節，涵蓋歐洲晶片倡議、供應安全、監測和危機應對、治理模式、保密處罰及程序等議題。其中《歐洲晶片法案》主要由三大支柱組成，規範內容如下： 支柱一：歐洲晶片倡議（法案第3條至第9條）。歐洲晶片倡議將對現有關鍵數位技術重新進行戰略定位，以強化歐盟成員國和相關第三國及私營部門的「晶片聯合資源承諾」。歐盟預計將投入110億歐元用於加強研究、開發和創新，以確保部署先進半導體工具、原型設計實驗產線、測試和用於創新生活應用的新設備，培訓員工深入了解半導體生態系統和價值鏈。 支柱二：供應安全（法案第10條至第14條）。建立半導體「集成生產設施（Integrated Production Facility, IPF）」和「開放歐盟代工廠（Open EU Foundry, OEF）」，透過吸引投資與提高生產能力來建立供應安全的新框架，用以發展先進節點創新及節能晶片。此外，晶片基金將為新創企業提供融資管道，協助技術成熟並吸引投資者；投資歐洲基金（Invest EU）將設置專屬半導體股權投資的選項，以擴大歐洲半導體研發規模。 支柱三：監測和危機應對（法案第15條至第22條）。建立歐盟成員國和執委會間的協調機制，用以監測半導體供應、估計需求和預測短缺。透過蒐集企業的關鍵情報能發現歐洲主要弱點和瓶頸，從而監控半導體價值鏈穩定。歐盟將彙整危機評估報告並協調各成員國採取歐盟建議的應對方案，以便共同做出迅速正確的決定。
韓國2013年智財施行計畫檢討評估作法介紹韓國2013年智財施行計畫檢討評估作法介紹 科技法律研究所 法律研究員 陳聖薇 2014年12月23日 壹、事件摘要 依據韓國智慧財產基本法第10條，韓國針對國家智慧財產施行計畫之執行成果，應定期進行整體檢討評估，以作為往後計畫之參考指標。為此，韓國於2014年8月11日公布「2013年度國家智財施行計畫之檢討評估結果」[1](以下簡稱2013檢討評估結果)。本文以下將簡要說明之。 如同「2012年度國家智財施行計畫之檢討評估結果」(以下簡稱：2012檢討評估結果)，2013檢討評估結果針對2013年度國家智財施行計畫(以下簡稱2013年施行計畫)之5大政策面向：創造、保護、運用、基礎環境、新智慧財產，以及地方自治團體等六個面向挑選出重點推動之35課題，由民間專家組成「政策評估團」，以確保評估之專業性及客觀性。而具體評估方式與指標以下分別說明之。 貳、評估方式與指標 一、評估方式 韓國考量到智財施行計畫之特殊性，再者，評估國家層級智財政策之成效，不僅需要評估政策成果，同時也要對政策形成、執行等政策基礎環境之確保等相關要素進行評估，以作為下一年度計畫政策之參考。 為確保評估之專業性及客觀性，由韓國智財委員會之民間委員、及下設之創造、保護、運用、基礎環境、新智慧財產等專門委員會之專門委員，以及地方自治團體代表等30位成員組成政策評估團。每位評估委員就各機關提出之實績報告書內容為判斷依據，再依照不同指標之特性，進行定量和定性評估。政策評估團第1次評估完畢後，就會召開調整會議，決定各推動課題之評估等級(分成優秀、普通、需要改善3個等級)為何。最後，本智財施行計畫之最終評估結果會告知相關機關，供其制定、執行政策之參考，並且運用於智慧財產財政分配方向及下年度施行計畫之制定上。 二、評估指標 在評估指標設計上，韓國一大特色在於其不以行政機關別為政策評估，而是以創造、保護、運用、基礎環境、新智慧財產等五大政策領域以及加上地方自治團體面向作為評估框架[2]。進一步之細部評估指標則運用國務總理室之政府業務評估(特定評估[3])基本架構，針對「政策形成–執行–成果」整個過程，分階段進行評估。此外，2013檢討評估結果是以2012檢討評估結果為基礎，將既有之指標統合、刪減後，再依據地方政策特殊性，增加地方自治團體之評估指標。指標變更事項有：依據各地方特殊性需要有針對地方量身訂作之「地方自治團體政策差別性」指標；針對識別性較弱之「推動日程之適當性」與「監督與情況變化之對應性」之指標整合。配分變更事項有：因應政策是否實際有感於民的比重日亦加重，「政策效果」之指標也加重配分；就新的指標針對中央與地方分別進行評估。詳細指標內容如下表所示 : 表1：2013年智財施行計畫之中央(地方)機關政策評估指標 區分 評估項目 評估基準 政策形成(30%/35%) 1.計畫確立之適切性(15%) 1-1.事前分析、意見蒐集之充實性(5%) 1-2.成果指標及目標值之適當性(10%) 2.政策基礎環境之確保水準(15%/20%) 2-1.推動體系之充實性(5%/10%) 2-2.資源分配之適當性(10%) 政策執行(30%) 3.推動過程之效率性(20%) 3-1. 與有關機關、政策之連結性(10%) 3-2.監督與情況變化之對應性(10%) 4.政策擴散之努力水準(10%) 4-1.政策溝通、宣傳、教育之充實性(10%) 政策成果(40%/35%) 5.政策成果及效果(40%/35%) 5-1.成果目標達成度(20%/15%) 5-2.政策效果(20%) 資料來源：韓國國家智財委員會，http://www.ipkorea.go.kr/index.do。 參、代結論 在前述評估機制運作下，2013檢討評估結果共列出8個優秀課題與4個待改善之課題。後續針對待改進課題，該主管機關在接受評估委員之改善意見後，會提出補充之改善計畫，表示其要如何解決政策推動之障礙因素，而國家智財委員會則會隨時檢視其執行狀況，並且適時給予政策支援。至於優秀課題部分，韓國將會提供細節資訊與相關機關共享，讓機關之間互相學習，樹立一個學習標準(benchmarking)。 從施行計畫、檢討評估到提供量身訂做之改善建議，顯示韓國對於建構智慧財產強國的企圖。而2012、2013檢討評估結果之經驗，也將持續提供為2014年檢討評估之參考，使智慧財產施行計畫之檢討評估能更具效率。 [1]韓國國家智慧財產委員會，2014年8月11日公布之第11回國家智財委員會決議〈13년 시행계획 점검평가결과〉。 [2]依據政策領域評估的課題計有 :創造(2)、保護(4)、活用(5)、基礎(3)、新智慧財產(4)以及地方自治課題(17)。 [3]韓國政府業務評估基本法第2條第4款，所謂特定評估，指國務總理以中央行政機關為對象，為統合管理國政，對必要之政策進行評估。