在勒索軟體攻擊快速進化、供應鏈弱點成為主要攻擊途徑的背景下,英國於10月24日發布「全球性供應鏈勒索軟體防護指引」(Guidance for Organisations to Build Supply Chain Resilience Against Ransomware),該指引係由英國與新加坡共同領導的「反勒索軟體倡議」(Counter Ransomware Initiative, CRI)框架下推動,旨在協助各國企業降低勒索軟體事件的發生率與衝擊。該指引獲得CRI 67個成員國與國際組織的支持,標誌國際社群在供應鏈資安治理上的最新進展。 英國內政部(UK Home Office)指出,勒索軟體已成全球關鍵基礎設施與企業最主要的威脅之一。根據IBM發布之2025年資料外洩報告(Cost of a Data Breach Report 2025)估計,單一勒索攻擊的全球平均成本高達444萬美元。隨著攻擊手法演進,勒索攻擊已由單點入侵擴大為透過供應鏈滲透,攻擊者常以第三方服務供應商為跳板,一旦供應商遭入侵,即可能向上或向下影響整體產業鏈。英國2024年醫療檢驗服務供應商Synnovis遭勒索軟體攻擊事件,即造成數千次門診與手術延誤,凸顯供應鏈風險的實質衝擊。 該指引從供應鏈角度提出四大防護方向,英國政府與CRI強調,企業應在營運治理、採購流程與供應商管理中系統性導入相關措施,包括: 一、理解供應鏈風險的重要性 在高度互聯的數位環境中,供應鏈已成為勒索軟體攻擊的主要目標,企業應將供應鏈資安視為營運韌性與組織治理的核心要素。 二、辨識關鍵供應商與其資安成熟度 企業應建立完整的供應商清冊,評估其資安控管措施、過往資安事件紀錄、營運與備援能力、保險安排,以及其可存取之系統與資料範圍。 三、在採購與合約中落實資安要求 企業應要求供應商具備基本資安控制措施,包括多因素驗證、系統更新與修補管理、網路分段、安全設定及惡意程式防護等。 同時,合約中應納入資安事件通報義務、稽核權限、營運復原計畫及違規處置機制,並鼓勵供應商採用國際資安標準,例如Cyber Essentials與ISO/IEC27001。 四、持續檢討並更新防護措施 企業應與供應商共同檢討已發生事件及未實際造成損害但已暴露潛在風險之情形(Near Miss,即近乎事故),不論是否構成正式資安事件,均應納入檢討範圍;並定期進行資安演練、共享威脅情資,依攻擊趨勢滾動修正合約與內部規範。 指引同時指出,供應鏈常見弱點包括過度依賴少數供應商、缺乏供應鏈可視性,以及資安稽核與驗證機制不足。英國政府與CRI亦強調,雖然網路保險可作為風險管理工具之一,但無法取代基本且持續的資安防護措施。 該指引適用範圍涵蓋科技、資訊服務、能源、公用事業、媒體與電信等多個產業,顯示供應鏈資安已成全球營運安全的共同課題。英國與新加坡呼籲企業及早建立制度化的供應鏈資安治理架構,以強化全球數位經濟的整體韌性,降低勒索軟體攻擊帶來的系統性風險。
新加坡智慧財產局發布2023年智財調查,分析企業無形資產運用現況新加坡智慧財產局(Intellectual Property Office of Singapore, IPOS)於2023年9月4日發布《2023年智慧財產調查》(Singapore IP Survey 2023),調查結果顯示,企業最重視的智慧財產為品牌、技術/製程、機密資訊。 為瞭解企業對無形資產(Intangible Assets, 以下簡稱IA)和智慧財產權(Intellectual Property, 以下簡稱IP)的看法和運用現況,以制定強化企業競爭力之智財政策,新加坡政府自2021年發布《2030年智慧財產戰略》(Singapore IP Strategy 2030, SIPS 2030)起,每2年發布一次智財調查。本次調查於2023年2月至3月間進行,對象為新加坡500多家企業,調查結果顯示,企業最重視的前三種IP類型依序為: 1. 有35%的企業表示擁有強大品牌(strong brand)相當重要。 2. 有32%的企業認為擁有新技術及/或新製程(new technology and/or process)相當重要。 3. 有31%的企業認為擁有機密資訊(confidential information)相當重要。 此外,有15%的企業表示,其商業價值的主要收益來自於其IA/IP;且所有受訪企業中有不少企業表示IA/IP有助於提升公司績效,包含: 1. 有17%的企業認為有助於「吸引更多商業合作夥伴」; 2. 有17%的企業認為有助於「提升商業競爭力」; 3. 有15%的企業認為有助於「拓展國際市場」; 4. 有14%的企業認為有助於「增加獲利」。 再者,有80%的企業期待有更多機會運用IA/IP獲得融資。同時,有92%企業在進行相關智財活動(IP activities)時未申請任何政府補助,如新加坡企業發展局(Enterprise Singapore, ESG)的企業發展補助(Enterprise Development Grant, EDG),其中有50%以上的企業表示是因為不清楚相關補助資訊。 最後,僅有15%的企業對其IA/IP進行單獨評價(standalone valuation),而未與其他資產合併評價,但其中僅不到一半是委託評價分析師(Certified Valuation Analyst, CVA)進行。 根據調查結果,新加坡政府認為企業雖擁有大量的IA/IP,但尚未瞭解其價值,導致無法有效地將其IA/IP商業化。因此,新加坡政府於2023年9月4日同時發布《無形資產揭露框架》(Intangibles Disclosure Framework, IDF),鼓勵企業以系統化方式主動對外揭露所持有之IA/IP,藉此協助企業創造更高的價值。我國資策會科法所亦從2013年開始,每2年針對國內上市上櫃公司調查智財管理需求及現況;2021年調查報告顯示,86%的企業已進行智財布局、84%企業有配置智財人員、94%企業有編列智財經費等,顯示我國企業對於智財管理及策略愈來愈重視。 本文同步刊登於TIPS網站(https://www.tips.org.tw)
歐盟個人資料保護委員會提出關於資料主體接近使用其個人資料權利之指引歐盟《一般資料保護規則》(General Data Protection Regulation, GDPR)第15條為「資料主體之接近使用權(Right of access)」,其第1項規定「資料主體有權向控管者確認其個人資料是否正被處理」,資料主體並得知悉其個資處理之目的、所涉及之類型等事項。該條係為使資料主體在獲得充分、透明且容易接近之資訊,使其得更輕易的行使如資料刪除或更正等權利。 因條文在文字上具抽象性,就具體內涵仍須有一定基準,故歐盟個人資料保護委員會(European Data Protection Board, EDPB)於2022年1月18日,針對GDPR中之接近使用權提出指引(Guidelines 01/2022 on data subject rights - Right of access),闡明在不同的情況中,資料主體應如何向資料控管者(Data Controller)主張接近使用權,並且說明資料控管者針對此項權利之義務內涵。 就具體內容,該指引包含:接近使用權之範圍、資料控管者應向資料主體提供之資訊內容、資料主體請求資訊之格式、資料控管者應如何提供資訊、GDPR第12條第5項所稱「資料主體之請求明顯無理由或過度者」之概念為何。指引並製作流程圖,以便利資料主體輕易的了解向資料控管者主張權利之步驟。 而對於資料控管者,指引亦說明其應如何解釋與評估資料主體之請求、應如何回覆特定請求、限制接近使用權之例子。該指引旨在從各方面分析接近使用權,經由舉例與設想特殊情形,以求為該權利提供更精確之指導。
因應韓美自由貿易協定,韓國實施新修正之專利及商標制度韓國特許廳於2011年11月22日送交韓國國會批准之韓美自由貿易協定(Free Trade Agreement,簡稱FTA),於2012年3月15日正式生效。為因應韓美FTA的簽定,韓國專利及商標制度均須進行一定幅度的修正,例如專利權存續期間延長、聲音及氣味得註冊為商標等新制度。 首先,專利法修正重點如下: 專利權存續期間延長:指針對因審查過程緩慢,導致專利登記遲延者,遲延期間得視為專利權之存續期間。 專利申請優惠期延長:專利申請人將其發明公開發表在學術期刊時,將申請之優惠期從公開後6個月延長至12個月,亦即12個月內提出申請仍可取得專利。 廢止專利權撤銷制度:將發明專利在韓國國內一定期間(最少5年)不實施之撤銷專利權事由,予以廢止。 其次,商標法修正重點如下: 增訂新型態商標及證明標章制度:聲音、氣味得註冊為商標;新增證明標章之保護態樣,以證明「品質」、「原產地」、「生產方法」等特性。 廢止商標之專用使用權登記制度:修法前之韓國商標法第56條第1項第2款規定,商標專用使用權之設定、移轉(一般繼承之情形除外)、變更、消滅(權利混同之情形除外)或處分之限制等事項,非經登記,不生效力。 新增法定損害賠償制度:商標權人除可依照實際侵害情況請求損害賠償,商標法亦新增權利人得請求法定5千萬韓圜範圍內的損害賠償金額,且須經法院判決同意該損害賠償額度。 此外,針對專利法、新型專利法、設計保護法、商標法、不正競爭防止及營業秘密保護法等法規,也一併新增「保密命令制度」,亦即透過訴訟程序,對於營業秘密有被公開之虞之情形時,法院可對雙方當事人作出不得公開之保密命令。韓國期透過此次專利法及商標法等相關法規之修正,讓專利權人於權利行使期間得以獲得實質保障,同時亦擴大企業商標選擇之範圍。