美國及其他參與國際反勒索軟體倡議(International Counter Ransomware Initiative, CRI)之50個成員(含國家及國際組織),於2023年10月31日至11月1日召開第三次大會,並且發布聲明表示:應積極建立對抗勒索軟體之集體韌性(collective resilience)、共同合作降低勒索軟體之散布能力、追究相關行為人之法律責任、制裁非法資助勒索軟體之組織、與私部門合力防止勒索軟體攻擊。 CRI於2023年之關鍵成果主要可分以下三個面向: 一、加強資安管理能力 對CRI新成員提供指導及戰術培訓,例如由以色列督導約旦,以確保新成員之資通安全。此外,亦發起利用人工智慧打擊勒索軟體之計畫。 二、促進資訊共享 設立可即時更新之資訊共享平台,使CRI成員得以迅速分享資安威脅指標。如立陶宛之惡意軟體資訊共享計畫(Malware Information Sharing Project, MISP)、以色列及阿拉伯聯合大公國之水晶球平台(Crystal Ball platforms)。 三、反制勒索軟體使用人 CRI發布前所未有之共同政策聲明,闡明成員不應支付贖金,且創設成員間共享之加密貨幣錢包黑名單(blacklist of wallets),以便揭露勒索軟體使用人之非法帳戶,並公開與犯罪組織之金流紀錄。另,CRI於2024年起將持續致力發展前述聲明提及之目標,並優先向潛在成員進行宣導,透過提供量身訂做之資安應變能力培訓,滿足潛在成員之需求。
秘魯提出基因護照提案簡化基因資源跨境交換之程序在今(2007)年1月底召開的生物多樣性公約技術專家小組會議(Technical Expert Group of the Convention on Biological Diversity),秘魯提出透過核發一種類似來源地證明的“基因護照”(genetic passports; passport for genetic resources),簡化基因資源的跨境交換(cross-border exchanges)手續,以便協助更多國家得以靈活利用各國基因資訊。由於透過基因護照的核發,一國對其基因資源的掌控得以超出其國境之外,因此秘魯此項提案受到許多專家背書支持。 根據1992簽署的生物安全議定書(Convention on Biological Diversity, CBD),各國對源自於其國境內之基因資源擁有主權。基因資源為生技研究所仰賴的重要研究資源,基因資源的豐富與否取決於生物多樣性。由於具備豐富生物多樣性的國家多集中在開發中的「南方」國家,長久以來,這些國家境內的基因資源被來自於已開發國家的機構以「研究」、「學術交流」等各種名目帶出,卻無法享受其研究成果,導致目前對基因資源已立法管理的國家(多為開發中國家),法令內容主要偏向阻擋不法利用,而非鼓勵多元利用,無形中使國際間基因資源之使用逐漸形成壁壘。 秘魯最近所提出的提案即是為了解決上述問題,根據秘魯的提案,每一種資源的“基因護照”將發給CBD會員國負責主管基因資源管理事務的政府主管機關。“基因護照”將涵蓋所有的基因資源,包括動物、植物及微生物;護照中將會註明此等物質之來源地、特性及負責單位。透過基因護照的核發,國與國之間得以建構基因資源流動及運送的國際共識。由於此項提案受到生物多樣性公約技術專家小組會議二十五國代表的全體同意,CBD秘書處希望該提案能在今(民國96)年10月將在加拿大召開的第九屆大會中通過。
美國國家安全局發布「軟體記憶體安全須知」美國國家安全局(National Security Agency, NSA)於2022年11月10日發布「軟體記憶體安全須知」(“Software Memory Safety” Cybersecurity Information Sheet),說明目前近70%之漏洞係因記憶體安全問題所致,為協助開發者預防記憶體安全問題與提升安全性,NSA提出具體建議如下: 1.使用可保障記憶體安全之程式語言(Memory safe languages):建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言,以取代C與C++等無法保障記憶體安全之程式語言。 2.進行安全測試強化應用程式安全:建議使用靜態(Static Application Security Testing, SAST)與動態(Dynamic Application Security Testing, DAST)安全測試等多種工具,增加發現記憶體使用與記憶體流失等問題的機會。 3.強化弱點攻擊防護措施(Anti-exploitation features):重視編譯(Compilation)與執行(Execution)之環境,以及利用控制流程防護(Control Flow Guard, CFG)、位址空間組態隨機載入(Address space layout randomization, ASLR)與資料執行防護(Data Execution Prevention, DEP)等措施均有助於降低漏洞被利用的機率。 搭配多種積極措施增加安全性:縱使使用可保障記憶體安全之程式語言,亦無法完全避免風險,因此建議再搭配編譯器選項(Compiler option)、工具分析及作業系統配置等措施增加安全性。
英國衛生部提出健康照護科技行為準則,以增進資訊安全以及新技術操作品質英國近來透過電子醫療紀錄的應用,以智慧演算法(intelligent algorithms)開發結合數位技術的創新醫療科技,這些成果多是以國民健保署(National Health Service, NHS)的資料做為基礎,因此關於資訊保障等議題也開始受到政府之重視。 2018年9月5日,英國衛生部(Department of Health and Social Care)在NHS健康與護理創新博覽會(NHS Health and Care Innovation Expo Conference 2018)中公布「以資料導向的健康照護科技之行為準則」(Code of Conduct for Data-driven Health and Care Technology)。此準則主要鼓勵研發公司在設計產品時,將患者的資訊安全以及新技術的操作品質列入考量。 此行為準則的目的主要在於改善整體研發環境,內容包含十項原則,分別為:界定使用者、界定價值(value proposition)、對使用的資料保持合理(fair)、透明(transparent)以及當責(accountable)的立場、符合一般資料保護規則(General Data Protection Regulation, GDPR)的資料最小化原則(data minimisation principle)、利用公開之標準、公開被使用的資料以及演算法的極限、在設計中內建合適的安全性設定、界定商業策略、展示技術使用上的有效性、以及公開演算法的類型、開發原因、與操作過程的監控方式。 官方期望接下來能廣納相關人員的建議,以增進此指引在產業運作上的適用性,並預期於2018年12月公布更新的版本。