美國國家安全局(National Security Agency, NSA)於2022年11月10日發布「軟體記憶體安全須知」(“Software Memory Safety” Cybersecurity Information Sheet),說明目前近70%之漏洞係因記憶體安全問題所致,為協助開發者預防記憶體安全問題與提升安全性,NSA提出具體建議如下: 1.使用可保障記憶體安全之程式語言(Memory safe languages):建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言,以取代C與C++等無法保障記憶體安全之程式語言。 2.進行安全測試強化應用程式安全:建議使用靜態(Static Application Security Testing, SAST)與動態(Dynamic Application Security Testing, DAST)安全測試等多種工具,增加發現記憶體使用與記憶體流失等問題的機會。 3.強化弱點攻擊防護措施(Anti-exploitation features):重視編譯(Compilation)與執行(Execution)之環境,以及利用控制流程防護(Control Flow Guard, CFG)、位址空間組態隨機載入(Address space layout randomization, ASLR)與資料執行防護(Data Execution Prevention, DEP)等措施均有助於降低漏洞被利用的機率。 搭配多種積極措施增加安全性:縱使使用可保障記憶體安全之程式語言,亦無法完全避免風險,因此建議再搭配編譯器選項(Compiler option)、工具分析及作業系統配置等措施增加安全性。
英國資訊委員辦公室提出人工智慧(AI)稽核框架人工智慧(Artificial Intelligence, AI)的應用,已逐漸滲透到日常生活各領域中。為提升AI運用之效益,減少AI對個人與社會帶來之負面衝擊,英國資訊委員辦公室(Information Commissioner’s Office, ICO)於2019年3月提出「AI稽核框架」(Auditing Framework for Artificial Intelligence),作為確保AI應用合乎規範要求的方法論,並藉機引導公務機關和企業組織,評估與管理AI應用對資料保護之風險,進而建構一個可信賴的AI應用環境。 AI稽核框架主要由二大面向所構成—「治理與可歸責性」(governance and accountability)以及「AI特定風險領域」(AI-specific risk areas)。「治理與可歸責性」面向,係就公務機關和企業組織,應採取措施以遵循資料保護規範要求的角度切入,提出八項稽核重點,包括:風險偏好(risk appetite)、設計階段納入資料保護及透過預設保護資料(data protection by design and by default)、領導管理與監督(leadership management and oversight)、政策與程序(policies and procedures)、管理與通報架構(management and reporting structures)、文書作業與稽核紀錄(documentation and audit trails)、遵循與確保能力(compliance and assurance capabilities)、教育訓練與意識(training and awareness)。 「AI特定風險領域」面向,則是ICO特別針對AI,盤點下列八項潛在的資料保護風險,作為風險管理之關注重點: 一、 資料側寫之公平性與透明性(fairness and transparency in profiling); 二、 準確性(accuracy):包含AI開發過程中資料使用之準確性,以及應用AI所衍生資料之準確性; 三、 完全自動化決策模型(fully automated decision making models):涉及人類介入AI決策之程度,歐盟一般資料保護規則(General Data Protection Regulation, GDPR)原則上禁止無人為介入的單純自動化決策; 四、 安全性與網路(security and cyber):包括AI測試、委外處理資料、資料重新識別等風險; 五、 權衡(trade-offs):不同規範原則之間的取捨,如隱私保護與資料準確性; 六、 資料最少化與目的限制(data minimization and purpose limitation); 七、 資料當事人之權利行使(exercise of rights); 八、 對廣泛公共利益和權利之衝擊(impact on broader public interests and rights)。 ICO將持續就前述AI特定風險領域,進行更深入的分析,並開放公眾討論,未來亦將提供相關技術和組織上之控制措施,供公務機關及企業組織進行稽核實務時之參考。
美國交通部公布車輛與基礎設施間聯網指引,強化車聯網時代行車安全美國交通部(U.S. Department of Transportation)部長(時任)Anthony Foxx於2017年1月19日公布「車輛與基礎設施間聯網指引」(Vehicle-to-Infrastructure (V2I) Guidance),旨在透過加速車輛與基礎設施間通訊系統之布建,增進車聯網時代的行車安全與機動性。同時,本指引也將補充交通部於2016年12月所公布之車輛間通訊規則草案,後者最重要的目的是透過車輛間通訊技術的管理,提升駕駛人對於碰撞與潛在危險的認知以預為因應。透過車輛與基礎設施間聯網指引,交通部聯邦公路管理局(Federal Highway Administration, FHWA)將協助運輸系統的所有人與操作人進行相關技術的布建,並讓各運輸事業主管機關與收費道路管理機關,了解布建相關技術之決策所可能造成的影響,並為相關技術的未來發展與聯邦挹注資金的利用(因為多數的V2I能夠整合於既有之ITS設備或道路周邊基礎設施,因此符合聯邦對ITS的補助條件),做好準備。 車輛與基礎設施間之通訊,是車聯網環境的重要構成部分,透過硬體、軟體、韌體、以及無線通訊系統,相關資料不但能在車輛間進行動態傳輸,亦得在車輛與道路基礎設施間進行傳輸。聯邦公路管理局局長(時任)Gregory Nadeau表示:「除了增進行車安全,車輛與基礎設施間之通訊技術能提供相當大的機動性,並為整體環境帶來益處。車輛與基礎設施間之通訊與聯網,以及諸如隱私與互通性等更大的挑戰,都將由本指引作為展開全國性對話的起點。」車輛與基礎設施間聯網(V2I)可謂智慧運輸系統(Intelligent Transportation Systems, ITS)的次世代技術,其能捕捉車輛所產生的交通資料,並向車輛無線傳輸例如行車建議等的資訊,讓駕駛人能夠掌握與安全性、機動性、甚或是與整體環境相關的所有情況。 車輛與基礎設施間聯網指引的內容,目前包括聯網車輛運輸衝擊規劃初階報告(Connected Vehicle Impacts on Transportation Planning Primer)、聯網車輛運輸衝擊規劃桌上參考手冊(Connected Vehicle Impacts on Transportation Planning Desk Reference)、技術備忘錄第2號:聯網車輛規畫流程與產品及利害關係人角色與責任(Connected Vehicle Planning Processes and Products and Stakeholder Roles and Responsibilities)、技術備忘錄第3號:新型與強化型分析工具、技術、與資料之需求分析(Analysis of the Need for New and Enhanced Analysis Tools, Techniques, and Data)、技術備忘錄第6號:運輸規劃導入互聯車輛所需之技能與專業知識(Skills and Expertise Required to Incorporate Connected Vehicles into Transportation Planning)、新型與強化型分析工具、技術、與資料之需求分析:公路容量手冊簡介(Highway Capacity Manual Briefing)、新型與強化型分析工具、技術、與資料之需求分析:交通系統模擬模式簡介(Briefing for Traffic Simulation Models)、以及聯網車輛運輸衝擊規劃:社區關懷案例研究(Outreach to Planning Community)。 另外,為了讓執照核發條件透明化,相關的典範實務(best practices)也能為各政府與民間組織機關近用,以布建聯網車輛專用短程通訊(Dedicated Short Range Communications, DSRC)路邊基地台(Roadside Units, RSU)與相關服務,用以支援車輛與基礎設施間之聯網應用,亦針對執照持有人訂有指引(Guide to Licensing Dedicated Short Range Communications for Roadside Units)。
英國政府將設立網路兒童保護中心英國內閣辦公室指出,英國政府將設立網路兒童保護中心以協助警方與孩童保護機構,該中心主要偵查目標為利用網際網路散佈違法之兒童影像或「打扮」兒童的戀童癖人士。其宗旨在減少利用網路協助虐童的行為,而對孩童、家庭與社會產生傷害的情況。 該中心未來將隸屬於 2006 年 4 月 1 日成立之「嚴重組織犯罪局」( Serious Organized Agency = SOCA )管轄,並於該局成立之同時開始運作,由專責的警察人員協同孩童保護,並由網路工業專家負責業務之執行。