立法責令ISP業者留存紀錄之呼聲日益高漲
立法強制 ISP 業者記錄客戶使用狀況以供日後調查之用，此等呼聲近來日形高漲。部分行政部門官員業已表態支持此一作為；另有數位國會議員亦主張，應儘速推動聯邦層級之立法，以協助執法部門對付兒童色情（ child pornography ）問題；甚至在科羅拉多州，目前已有相關法案進入該州參議會接受審理。
立法強制業者留存資料或記錄的作法，固然對於揭發犯罪繩之以法甚有裨益，但由於可能會讓警方得以取得電郵往來、網頁瀏覽、聊天記錄等向來可能經過幾個月之後就會刪除的資料，以致隱私保障人士以及 ISP 業者普遍對此甚感憂慮。歸納而言，其理由主為以下三點：第一，何人始有權限近用相關資料，探查他人上網行為之紀錄，仍待釐清；第二，存留該等資料所需空間勢必可觀，費用究竟由誰支應，亦屬未定；最後，現行法制是否對於警方辦案確實造成障礙，同樣有待探討。
美國司法部（ the U.S. Department of Justice ）去年即已逐步開始推動相關立法，而歐洲議會（ the European Parliament ）去年 12 月審議相關條文增修，要求 ISP 業者以及電信業者就其經手傳輸之所有電子訊息以及通話，均須保存相關紀錄 6 個月至 2 年之譜，更是引發諸多關注及討論。美國眾議院（ the U.S. House of Representatives ）能源商務委員會（ the Committee on Energy and Commerce ）監控調查組（ the Subcommittee on Oversight and Investigations ）預計本月 27 日將召開另一次聽證會，持續就此議題詳加探討。
「聯合國永續發展會議」（United Nations Conference on Sustainable Development, UNCSD）於今（2012）年6月20日至22日在巴西里約舉行，為紀念1992年里約熱內盧「聯合國環境發展會議」（United Nations Conference on Environment and Development, UNCED）20週年及2002年約翰尼斯堡「世界永續發展高峰會」（World Summit on Sustainable Development, WSSD）10週年，而稱為「里約+20」（Rio+20）。 會議中探討主題包括永續發展與消除貧困的綠色經濟，以及永續發展的制度框架兩大議題；並且優先關注包括就業、能源、城市、糧食安全及農業、水、海洋及災害等七大領域。其中在能源方面指出，能源議題幾乎是現今世界遭遇的挑戰，無論在就業、安全、氣候變遷、糧食生產、或收入，皆與能源息息相關。依據國際能源署（International Energy Agency, IEA）的估計，目前全球仍有五分之一的人缺乏現代電力，30億人口仍倚賴木材、煤、炭來烹煮或取暖；能源是氣候變遷的主要影響因素，大約佔全球溫室氣體排放的60%，減少能源的碳密集度（carbon intensity），則是長期氣候的關鍵目標。 永續能源的發展，能加強經濟、保護生態系統，透過聯合國秘書長於2011年9月提出的「全面永續能源（Sustainable Energy for All, SE4ALL）」倡議計畫，整合政府、企業與社會團體，投入空前的努力，已進行了超過一百項的承諾與行動。在政府參與的部分，例如迦納（Ghana），主動參與首批國家能源行動計畫，以支持能源發展及創新的融資機制。而在私人企業例如微軟（Microsoft）致力於碳中和（carbon neutral）並推出企業內部的碳費（carbon fee）制度；雷諾日產聯盟（Renault-Nissan Alliance）承諾投入約50億元於零排放車輛的商業化。另外如美國銀行（Bank of America）設置10年500億美元用於環保業務；以及一些非政府組織或個人，例如電氣電子工程師協會（Institute of Electrical and Electronics Engineers）等多個專業協會，均承諾投入持續性能源的倡議計畫。希望藉由相關行動，支持聯合國全球永續能源的發展，達到2030年確保全球現代能源服務的普及、提高兩倍能源使用效率、並提升兩倍再生能源的利用。
芬蘭財政部通過《虛擬貨幣供應商法》，以防制洗錢及資恐行為近來虛擬貨幣已成為國際洗錢犯罪工具，為有效防制洗錢及打擊資助恐怖主義行為，芬蘭財政部（Ministry of Finance）宣布通過虛擬貨幣供應商法（The Act on virtual currency providers），於2019年5月1日生效，立法目的係為了將虛擬貨幣供應商納入洗錢防制監管範圍，並由芬蘭金融監管局（Financial Supervisory Authority, FIN-FSA）擔任虛擬貨幣供應商之註冊機構及監管機構。 根據該法案，虛擬貨幣交易所、託管錢包供應商及虛擬貨幣發行者皆須向芬蘭金融監管局進行註冊，以確保遵守相關法規要求，包括：（1）供應商應具可靠性；（2）保存和保護客戶資金；（3）須將客戶資金與自有資金隔離；（4）服務行銷規則；（5）遵守防制洗錢與打擊資助恐怖主義（AML / CFT）規定。虛擬貨幣供應商須符合法規要求才能在芬蘭營運，若未符合法規，將被禁止其業務活動，並依規定科以罰金。 另外，該法案之基本框架，是以2018年5月歐盟宣布通過之「第五號洗錢防制指令」（the Fifth Anti-Money Laundering Directive）為基礎，該指令要求所有歐盟成員國必須於2020年1月10日前，將虛擬貨幣相關服務納入國內AML / CFT監管框架中，以降低洗錢和恐怖主義融資風險。然而，芬蘭金融監管局表示，虛擬貨幣交易風險高，儘管制訂新法案，投資者保護問題仍無法完全解決，呼籲投資者仍須注意虛擬貨幣相關服務所涉及之風險，應謹慎為之。
奈米產業民間導引規範先行－以美國推動奈米保險機制及自願性計畫法制為例 新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。