美國指控中國兩大電信通訊商威脅國家安全，呼籲各機關及私人企業拒絕向其購買設備及技術
美國眾議院情報委員會終於發佈了對中國兩大電信通訊商「中興」(ZTE)和「華為」（Huwei）的調查報告，報告結論指出，「中興」和「華為」確實危及美國的國家安全。
情報委員會呼籲美國政府機關和企業，尤其是政府機關，不應該讓「中興」、「華為」成為資訊系統相關設備或零組件的供應商，因為他們會安裝「後門程式」（backdoor）為中國政府和軍方進行間諜活動和網路攻擊，並敦促美國企業的經營者，應該阻絕未來收購、購併「中興」、「華為」的可能性。情報委員會亦呼籲美國國民不要購買任何由「中興」、「華為」製造的任何電子設備，包括手機、平板電腦、數據機等，否則個人資料將在不知不覺中全數洩漏給中國。
「華為」的建立者任正非（Ren Zengfe），同時也是「華為」執行長，1987年離開中國軍方創立「華為」，情報委員會認為他始終與中國政府和軍方保持密切聯繫，而「華為」拒絕配合情報委員會的調查，「中興」也不願提供完整的內部資料，報告指出：「中興」和「華為」應該讓公司內部架構、組織和財務管理及經營運作更加透明化，盡到美國法制要求的應盡義務」。
但英國政府表明支持「華為」，只是會採取必要的保護措施維護國家安全。「華為」在英國具有相當龐大的影響力，2001年在英國正式營運，投資了一億五千萬英鎊，並創造了650個工作機會，主要提供英國電信業者於寬頻服務的相關硬/軟體設備。另外英國手機營運商EE（Everything Everywhere）所發行英國首套的4G商用網，當中的行動作業系統便是使用「華為」的技術，EE的發言人表示：「我們有一套嚴格的安全檢查程序，確保合作伙伴和合作內容都符合EE的要求和標準，而「華為」是值得信賴和尊敬的伙伴」。
其他國家如加拿大和澳洲，則採取保守態度，評估這兩家電信通訊商的可信度和可用性。
新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
日本P2P軟體Winny開發者再遭起訴，並具體求刑一年日本東京地檢署以助長著作權侵害為由，於 7 月 3 日 向東京地方法院對日本知名檔案交換軟體（ P2P ） Winny 的開發者金子 勇提起訴訟，並具體求處有期徒刑一年。這是繼 2004 年 5 月京都地檢署起訴金子 勇後，對同一 P2P 軟體開發者另為起訴的案件。 2002 年，東京大學資訊理工學系研究助理金子 勇開發出可供他人使用的分散式 P2P 軟體 Winny ，旋即受到廣大網友的歡迎。使用者透過 Winny ，不僅交換著未經授權的音樂、影片檔案，甚至包括了部份的警方或自衛隊官方文件。而日本各大企業，如日本雅虎、富士通及 NEC 等，也陸續傳出因公司職員使用 Winny 而導致員工及客戶個人資料外洩的事件。 針對 Winny 開發者起訴案件，目前京都地方法院尚未作出判決，而日本東京地方法院已預定於 9 月 4 日 進行公開審判。此外，因應 Winny 所肇致的資安問題，各相關企業也順勢推出可過濾 Winny 的軟硬體設備，如日本京瓷公司（ KCCS ）即於 7 月 10 推出企業網路管理軟體，除可偵測內部電腦是否安裝 Winny 外，亦可阻絕已安裝 Winny 的電腦連接至企業網路。
德國針對企業資訊安全及資料保護相關法律提出建議文件德國經濟及能源部於2018年3月8日為企業資訊安全保護措施建議及資料保護、資料所有權相關法規提出建議文件，協助中小企業提升對於組織及特別領域中的資安風險之意識，並進一步採取有效防護檢測，包括基本安全防護措施、組織資安維護、及法規，並同時宣導德國資料保護法中對於資安保護的法定要求。 資通訊安全及其法規係為企業進行數位化時，涉及確保法的安定性（Rechtssicherheit）之議題。加強資安保護，除可增進銷售及生產力，並使商業貿易間有更大的透明度和靈活性，和創造新的合作信賴關係。因此相關網路內容服務提供商應符合法律要求，提供相關服務，並使共享資料得到完善的保護。例如：應如何保護處理後的資料？如何執行刪除個人資料權利？各方如何保護營業秘密？如果資料遺失，誰應承擔責任？唯有釐清上述相關等問題時，方能建立必要的信任。而在德國聯邦資料保護法，歐盟一般個人資料保護法、歐盟網路與資訊安全指令等規範及相關法律原則，係為數位創新企業執行資安基礎工作重要法律框架。但是，由於數位化的發展，新的法律問題不斷出現，目前的法律框架尚未全面解決。例如，機器是否可以處理第三方資料並刪除或保存？或是誰可擁有機器協作所產生的資料？因此，未來勢必應針對相關問題進行討論及規範。鑑於日益網路化和自動運作的生產設備，工業4.0的IT法律問題變得複雜。一方面，需要解決中、大型企業的營業祕密，資料所有權和責任主題之實際問題，以促進相關數位化創新。另一方面，為了能夠推導出現實的法律規範，需要更多具體實施案例討論。 據研究顯示，企業家對產品責任問題，人工智慧使用，外包IT解決方案，及雲端計算等核心問題的新法規以顯示出極大的興趣，並進一步列入既有或規劃中研究項目。未來，政府將協助為所有公司在安全框架下展開數位計畫合作的機會，並充分利用網路的潛力，而中小企業4.0能力中心也將為中小型公司在數位化目標上提供IT法問題方面的支持。
專利連結/專利扣合機制：國際新藥研發成果保護法制之新興討論議題我國藥廠普遍以產製學名藥為主，而新藥研發風險高且非一蹴可及，故當前藥品科專的研發重點以發展類新藥（redesign drugs）主軸，希冀透過類新藥研發的「成功經驗」，引導業界走出學名藥，投入更高層次藥品領域，推動產業發展。鑑於製藥產業乃是高度規管的產業，除了技術研發以外，也必須切實掌握相關的法規議題，避免因不諳法規致使研發投資錯置或浪費。 觀察國際新藥研發成果保護法制之發展趨勢，藥品查驗登記程序與專利有效性相互扣合的機制（patent-registration linkage），極可能在可預見的未來成為國際間討論的重要議題，鑑於藥品科專之研發補助方向已由學名藥延伸至新藥技術能量，實有必要瞭解政府投入資源鼓勵研發的類新藥，未來由業界承接後是否可能受到此一機制的影響。 藥品查驗登記程序與專利有效性相互扣合機制一般被簡稱為「專利連結」（patent linkage），「專利連結」亦有稱為「專利扣合」，概念上係指將學名藥（generic drug）的上市審查程序，與原開發藥廠之參考藥品（the originator reference product）的專利權利狀態連結在一起；進一步而言，一旦新藥通過主管機關的審查上市後，只要在該新藥相關的專利有效期間，主管機關即不應核准該新藥之仿製藥品上市。 專利連結乃是美國藥品法規與專利法交錯下特有之產物，然美國透過不斷地對其貿易伙伴訴求專利連結的重要性，在美國以外，已有多個國家於其藥品審查程序中建立與專利之連結關係，例如：加拿大、新加坡、澳洲等國。在藥品上市審查之過程中予以專利連結之目的，係為透過機制設計，確保主管機關不得在原開發藥廠之專利到期前核准學名藥上市。在美國法制下，專利連結的運作植基於四大核心概念：（一）新藥相關之專利資訊應於上市後系統化公開；（二）新藥專利有效期間內，主管機關不應核可後續申請者之上市申請；（三）盡可能於許可學名藥上市前解決專利有效性爭議；（四）鼓勵未涉及專利侵權之學名藥及早上市。 值得注意的是，美國專利連結法制所講的學名藥，包括狹義及廣義的學名藥，前者是指具有相同的活性成分、相同的劑型、治療相同適應症的藥品；後者則是指對已上市新藥的改良藥品，可見其概念上涵蓋我國當前鼓勵研發的類新藥。專利連結對於類新藥之影響，需視其如何上市而定，若類新藥是以NDA方式申請上市，雖然上市成本高，但其研發成果卻可以因為實施專利連結制度，享有更進一步的保護；另一方面，若廠商基於成本考量不願自行或委託他人進行臨床試驗，因而無法提出完整之NDA申請資料者，則專利連結將會對其產生衝擊。 綜上所述，雖然專利連結制度具有鼓勵新藥研發的作用，但由於我國當前製藥產業結構仍以中小型規模的學名藥為主，加上我國藥品專利之申請及取得者，90％以上為外國藥廠，故若實施專利連結，短期內勢將衝擊我國製藥產業，且美國、加拿大的實務運作經驗顯示，專利連結制度容易被藥廠濫用，因此我國在考慮是否建立此一制度之前，必須先就我國製藥產業的競爭情勢有所瞭解，並充分掌握我國產業結構與先進國家製藥產業之根本性差異，始能根據我國國情制訂權衡原開發藥廠與學名藥廠雙方利益，並保障公眾健康權益之法制。 當前最重要者仍是要提醒廠商尊重智慧財產之重要性，既然學名藥是要在專利到期後上市，則學名藥廠商在進行其新藥開發時，自應有完整規劃與佈局。開發狹義學名藥，其幾乎等同原開發藥廠的品牌藥，對於我國廠商技術能力之提升有限，故應鼓勵廠商投入廣義之學名藥（類新藥）之研發，如此不但有迴避專利之可能，亦可逐步累積我國產業之研發能量，則專利連結將不會成為其研發與競爭之阻力。