紐西蘭IT專家組織2012年5月發布雲端運算實務準則
紐西蘭最為歷史悠久的IT專家組織（Institute of IT Professionals NZ）於2012年5月發布雲端運算實務準則（Cloud Computing Code of Practice），藉此彌補實務上缺乏雲端運算標準與實務指針的問題；本準則為自願性遵循規範，以紐西蘭為市場的外國雲端業者、及紐西蘭的業者皆可適用之，並可向公眾宣示其已遵行此準則，然倘若未遵行而為遵行之宣示，則屬誤導或詐欺行為而觸犯公平交易法（Fair Trading Act 1986）。本準則有四個主要目標：1. 促進紐西蘭雲端產業的服務標準；2. 確立應揭露（disclosure）的標準；3. 促進雲端服務提供者與用戶間就資料保護、隱私與主權等事項的揭示；4.強化紐西蘭雲端運算產業的整合性。
依據此準則，雲端業者的資訊揭露範圍至少應包含業者基本資料、資訊所有權、管理及保護、與服務提供之適當管理措施等。在資訊所有權層面，業者應表明是否對所上載的資料或資訊主張所有權；而當用戶透過雲端服務利用或傳輸的資料而儲存於其他上游業者的網路或系統時，業者應確認其資料所有權之歸屬。
在資料管理與保障層面，業者應表明遵從何種資訊安全標準或實務，其已向美國雲端產業聯盟（Cloud Security Alliance）進行STAR登記，或者已通過其他標準的驗證；此外應表明儲存資料伺服器之一處或多處所在地。再者，業者亦須表明服務關係繼續中或終止後，業者或客戶對於客戶所擁有資料之存取權限。
在服務提供的適當管理措施上，包含業者的備份（Backup）程序及維護措施，皆應為揭露，使用戶得據以評估是否採取進一步的資料保護措施；此外包括服務的繼續性要求，如備援措施…等，亦應為揭露；又鑒於雲端服務有地理多樣性（Geographic Diversity）的特質，業者應使用戶知悉其提供服務、或營業活動的地點，以判斷此等服務可能適用的法權（Legal Jurisdiction）。
依據此準則，雲端業者亦可例如透過服務水準協議（Service Level Agreement）對個別用戶承諾特別的服務支援方案，以提供更好的服務品質。
本文為「經濟部產業技術司科技專案成果」
張乃文
主任 編譯整理
New Zealand Computing Society，New Zealand Cloud Computing Code of Practice May 2012,http://www.nzcloudcode.org.nz/wp-content/uploads/2012/05/NZCloudCode.pdf（last visited June 29, 2012）
美國環保署(Environmental Protection Agency of the United States，以下簡稱EPA)於2011年3月16日首度對於國內發電廠有毒氣體的排放提出國家管制標準草案，並預定於2011年11月完成立法，此項立法措施被譽為近20年來美國空氣污染防治史上的重要里程碑。 美國對於發電廠所排放的有害氣體管制，最早源於美國清淨空氣法案(The Clean Air Act)在1990年要求EPA加強對於發電廠排放之汞（mercury）等有毒氣體之管制，而國會亦要求其須於2004年底以前提出國家管制標準。然而EPA於2005年正式公告「清靜空氣除汞管制規則（the Clean Air Mercury Rule，以下簡稱CAMR規則）」時，卻將燃煤電廠排放汞排除於管制名單外，引發紐澤西等14個州政府與相關環保團體的抗議，並對EPA提起聯邦訴訟。2008年2月8日聯邦上訴法院作出判決，除指出EPA對於發電廠空污之認定前後矛盾外，更認定其在未發現有新事證下擅自將發電廠所排放之空氣污染自CAMR管制名單中移除(delist)，已違背反清靜空氣法案之程序要求，故推翻CAMR規則之有效性。 此後，經過密集的聽證會與討論，EPA最終於2011年3月16日正式提出「限制發電廠有毒氣體排放」的國家管制標準，對於發電廠所排放的汞、砷（arsenic）、鉻（chromium）、鎳（nickel）及其他酸性或有毒氣體加以管制，並要求電廠必須採用污染控制技術以減少製造量。 後京都議定書時代中，各國無不致力於新興能源替代方案之提出，惟於新興能源研發應用前的過渡期間仍需仰賴傳統發電技術，美國為解決傳統火力發電對於環境及人體健康所造成的傷害，提出首部國家管制標準草案，其後續對於該國能源結構可能產生何種影響，值得注意。
綠色管制風潮與挑戰 經濟部中小企業處推動輔導計畫歐盟於2003年通過WEEE及RoHS兩項環保指令，分別為有關「廢電子電機產品回收」（Waste from Electronic and Electrical Equipment, WEEE）及「禁用物質防制」（Restriction on the Use of Hazardous Substances, RoHS）兩項指令，明確規定行銷歐洲市場之電機電子產品，自去（2005）年8月及今年7月起，必須符合WEEE及RoHS禁用六項有害物質(鉛、鎘、汞、六價鉻、PBB及PBDE) 兩指令之規定，才能進入歐洲市場。簡單來說，WEEE係為確保在產品到達壽命終結時，其廢棄的零組件不致污染環境，同時部分材料還要能回收再利用；RoHS旨在規範產品的上游設計及中游製造段必須符合嚴格的環保規範，此兩項環保指令勢必對台灣每年輸往歐洲的電機電子產品，產生相當程度的衝擊，若是產品不符合相關規定，最嚴重將遭受到產品下架的處分。 對此，經濟部擬訂了「我國產業因應歐盟環保指令行動方案」，以今年6月底前輔導輸歐產值80%廠商符合RoHS指令要求為目標，而為了協助台灣中小企業因應新規定，中小企業處將輔導320家中小企業進入綠色材料與供應鏈體系，並與國際綠色供應鏈接軌，提高中小企業綠色競爭力。
美國商務部產業安全局公布「確保聯網車輛資通訊技術及服務供應鏈安全」法規預告美國商務部產業安全局（Bureau of Industry and Security, BIS）於2024年9月23日公布「確保聯網車輛資通訊技術及服務供應鏈安全」（Securing the Information and Communications Technology and Services Supply Chain: Connected Vehicles）法規預告（Notice of Proposed Rulemaking, NPRM），旨在透過進口管制措施，保護美國聯網車供應鏈及使用安全，避免國家受到境外敵對勢力的威脅。 相較於BIS於2024年3月1日公告之法規制定預告（Advanced Notice of Proposed Rulemaking, ANPRM）意見徵詢中的討論，本次法規預告明確指出受進口管制的國家為中國及俄國，並將聯網車輛資通訊技術及服務之定義，限縮於車載資通訊系統、自動駕駛系統及衛星或蜂巢式通訊系統，排除資訊洩漏風險較小的車載操作系統、駕駛輔助系統及電池管理系統。法規預告中定義三種禁止交易型態：（1）禁止進口商將任何由中國或俄國擁有、控制或指揮的組織（下稱「中俄組織」）設計、開發、生產或供應（下稱「提供」）的車輛互聯系統（vehicle connectivity system, VCS）硬體進口至美國；（2）禁止聯網車製造商於美國進口或銷售含有中俄組織所提供的軟體之聯網整車；（3）禁止受中俄擁有、控制或指揮的製造商於美國銷售此類整車。 本次法規預告中亦提出兩種例外授權的制度：在特定條件下，例如年產量少於1000輛車、每年行駛公共道路少於30天等，廠商無須事前通知BIS，即可進行交易，然而須保存相關合規證明文件；不符前述一般授權資格者，可申請特殊授權，根據國安風險進行個案審查。其審查重點包含外國干預、資料洩漏、遠端控制潛力等風險。此外，為提升供應鏈透明度並檢查合規性，BIS預計要求VCS硬體進口商及聯網車製造商，每年針對涉及外國利益的交易，提交符合性聲明，並附軟硬體物料清單（Bill of Materials, BOM）證明。BIS針對此規範是否有效且必要進行意見徵詢，值得我國持續關注。
英國資訊委員辦公室（Information Commissioner’s Office，ICO）認定英國電子零售業者Carphone Warehouse違反《Data Protection Act 1998》資料保護法英國電子零售業者Carphone Warehouse在2015年遭到網路攻擊，造成逾300萬客戶及1000名員工的資料外洩，外洩的資料包括客戶的姓名、地址、電話號碼、出生日期、婚姻狀況及1.8萬名客戶的金融卡資訊。 英國資訊委員辦公室（Information Commissioner’s Office，ICO）認為涉及之個人資料嚴重影響個人隱私，使得個人資料有被誤用的風險。ICO進一步調查後並發現，駭客僅是透過有效的登入憑證，就能藉由WordPress軟體存取系統，此事件亦暴露該組織技術安全措施之不足，因受影響系統中使用的軟件的重要元素已過時，且公司未能執行例行的安全測試。ICO認為，像Carphone Warehouse此類規模龐大的公司，應積極評估其資料安全系統，確保系統穩健而避免類似的攻擊。 據此，ICO判定該公司缺乏妥善的安全措施保障使用者資訊，已嚴重違反《Data Protection Act 1998》資料保護法，判罰40萬英鎊。 從今年5月25日起，隨著GDPR的生效，法律將更加嚴格。對此，ICO亦發布了有用的指導，包括GDPR指南，現在採取的12個步驟和工具包。國家網絡安全中心（NCSC）也為組織為保護自己所採取的步驟提供了有用的指導。