日本研創「指靜脈」之個人生物身分辨識技術
日本長崎的「十八銀行」率先在提款機試用「靜紋J200」中指靜脈認證技術，該辨識裝置乃是以紅外線掃描取得中指血管影像，和金融卡資料及銀行生物身分資料庫比對。而為防止歹徒截斷受害人手指企圖通過辨識盜用身分提款，日立公司特別加上額外的防偽技術，只有血管內有溫暖血液流動的手指才能通過認證，斷指無法過關。
隨著越來越多學校使用線上教育技術產品發展教學課程，並透過第三方服務提供者之技術蒐集學生的學習進度等相關資訊，資訊洩漏、駭客入侵、敏感資訊誤用或濫用等問題也因應而生。於2014年9月30日，加州州長Jerry Brown宣布幾項對加州居民隱私保護具有重要突破的法案，其中最引人關注的便是編號SB1177號法案，又稱學生線上個人資料保護法案（the Student Online Personal Information Protection Act，簡稱SOPIPA）。 SOPIPA禁止K-12學生線上教育服務經營者(operator)為下列行為，包括：(一)禁止線上教育服務經營者利用因提供服務所得之個人資料為目標行為(targeted marketing)、(二)禁止線上教育服務經營者基於非教育目的，運用因提供服務所得之個人資料為學生資料之串檔、(三)販賣學生之資訊、以及(四)除另有規定，禁止披露涵蓋資訊（covered information）。所稱之涵蓋資訊係指由K-12教育機構之雇員或學生所提供或製作之個人化可識別資訊(personally identifiable information)，或是線上教育服務經營者因提供服務所得之描述性或可識別之資訊(descriptive or identifiable information)。 此外，SOPIPA線上教育服務經營者應採取適當安全的維護措施，以確保持有之涵蓋資訊的安全。同時，線上教育服務經營者應在有關教育機構的要求下，刪除學生之涵蓋資訊。 SOPIPA預計於2016年1月1日生效，將適用於與K-12學校簽有契約之大型教育技術與雲端服務提供者，同時也將適用於未與K-12學校簽署契約，但為該學校所使用之小型K-12技術網站、服務或APP等等。
日本《科技創新成果活用法》為推動研發制度的改革並強化研發能力及效率，日本於2018年12月14日通過法律修正案，將原《研發力強化法》（研究開発システムの改革の推進等による研究開発能力の強化及び研究開発等の効率的推進等に関する法律）更名為《科技創新成果活用法》（科学技術・イノベーション創出の活性化に関する法律），透過調整大學、國立研究開發法人（以下簡稱研發法人）的研究人員僱用制度、國家或人民安全相關研發預算的確保，以及研發法人投資科技研發成果之運用等相關制度的調整，以支持未來日本在科技創新研發能力的提升，以及研發成果的有效運用。 本次修法最大的重點，為研發法人投資研發成果運用的明文化，過去在《研發力強化法》中，僅規定研發法人得進行有助於成果運用的出資或技術協助等業務（第43條之2），但對於是否能保有因出資或技術協助所取得之收入（例如股票），則由各研發法人以其設置法另為規範；本次修正之《科技創新成果活用法》，則於第34條之5明文規定研發法人不受獨立行政法人不得持有股票的限制，可持有其運用研發成果進行技術作價投資或成立新創，所取得之股票或新股認股權，確立研發法人在支持研發成果運用上的功能與角色。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
美國眾議院一致通過電子郵件保護法案美國眾議院於2016年4月27日一致同意通過支持電子郵件保護及雲端隱私法案（Email Privacy Act, EPA），本法案之後將會要求執法部門於搜查電子郵件或儲存於雲端設備的資料時，必須向法院取得搜查令，才能取得超過180天以上的資料。 本法案係針對1986年推出的《電子通信隱私法（Electronic Communication Privacy Act, ECPA》進行補強，因為目前科技的進步，早已遠超過ECPA是在網路興起前所得規制的範圍，在當初ECPA法案訂定之初，人民仍有定期刪除E-mail以保持硬碟空間的習慣，但相較於現在多數人都已使用雲端信箱的習慣下，如仍能讓警方等恣意調查任何人的信箱，往往可取得巨量的消息，因此本次的修正可預期將更能使相關規範符合時宜需求。 本次修正重點如下： 1.過往之ECPA規定要求聯邦機構在調查超過180天的電子郵件時只需要取得傳票即可，現在則是需要取得搜查令。 2.要求政府機構必須先取得法院的搜查令，才可以要求供應者揭露其保有之資訊。 3.要求執法部門應於取得資料的10天內向資料被揭露者提供相關證明，如涉及政府單位者則縮短至3天。 雖然EPA在眾議院內獲得美國兩黨的一致通過，但仍須經參議院下一波的投票表決，才能決定本案是否得順利通過。