本文為「經濟部產業技術司科技專案成果」
日本國家網路安全辦公室(国家サイバー統括室)於2026年3月5日,代表日本連署了「AI、機器學習供應鏈風險與緩和措施」(Artificial intelligence and machine learning Supply chain risks and mitigations)之國際文書(下稱本文書),並公布本文書內容。本文書是由隸屬於澳洲訊號局(Australian Signals Directorate,簡稱ASD)之澳洲網路安全中心(Australian Cyber Security Centre,簡稱ACSC)主導訂定,主要針對有導入或開發 AI、機器學習系統與元件等需求的組織,揭示其可能存在供應鏈風險與提升整體網路安全之重要性,並就AI開發或採購階段,組織應留意相關風險與可採行之緩和措施。有關連署國家,除了日本與澳洲以外,也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時,應將 AI 供應鏈視為整體網路安全戰略的一環,同時評估產品或服務之整體生命週期風險,不應著重於單一技術,而是組織需要掌握整體供應鏈的全貌,包括特定關係事業者、活用AIBOM(AI物料清單,主要用來記錄AI模型相關資產與資訊,提供快速定位與管控AI問題模型功能)或SBOM(軟體物料清單,主要記錄軟體相依元件,用於漏洞管理與供應鏈透明度)、意識到是否已針對AI、機器學習系統可能帶來的風險,進行漏洞管理,以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類:AI 數據、機器學習模型、AI 軟體、AI 基礎設施(含硬體),以及第三方服務,本文書指出AI、機器學習應用於供應鏈時可能產生之風險,其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面,以及導入第三方服務致使供應鏈產生弱點等。 此外,本文書也針對各類風險提出可行的因應方法,例如: 1.數據面:需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面:需從可信來源取得透明模型,實施性能驗證與惡意程式偵測。 3.軟體面:需做完整性驗證、元件審核,並透過 SBOM 掌握已知弱點。 4.硬體面:需確認設備無惡意內容,並在網路中適當分區。 5.第三方服務面:需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說,日本已意識到國家網路安全治理下,針對AI、機器學習的安全,不單是模型安全,而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書,不僅強化國際合作,同時建立供應鏈網路安全共識,因應AI對於國家供應鏈之網路安全挑戰,從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法,作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作,提升國家網路安全治理之作法,值得我國未來借鏡參考。
美國民權辦公室發布遠距醫療隱私和資訊安全保護相關建議美國衛生及公共服務部(U.S. Department of Health and Human Services, HHS)民權辦公室(Office for Civil Rights, OCR)於2023年10月18日發布了兩份文件,針對遠距醫療情境下的隱私和資訊安全保護,分別給予病人及健康照護服務提供者(下稱提供者)實務運作之建議。本文主要將發布文件中針對提供者的部分綜合整理如下: 1.於開始進行遠距醫療前,提供者應向病人解釋什麼是遠距醫療及過程中所使用的通訊技術。讓病人可瞭解遠距醫療服務實際運作方式,若使用遠距醫療服務,其無須親自前往醫療院所就診(如可以透過語音通話或視訊會議預約看診、以遠端監測儀器追蹤生命徵象等)。 2.提供者應向病人說明遠距醫療隱私和安全保護受到重視的原因。並且向病人告知為避免遭遇個資事故,提供者對於通訊技術採取了哪些隱私和安全保護措施,加以保護其健康資訊(如診療記錄、預約期間所共享資訊等)。 3.提供者應向病人解釋使用通訊技術對健康資訊帶來的風險,以及可以採取哪些方法降低風險。使病人考慮安裝防毒軟體等相關方案,以防範病毒和其他惡意軟體入侵;另網路犯罪者常利用有漏洞之軟體入侵病人裝置,竊取健康資訊,因此可於軟體有最新版本時,盡快更新補強漏洞降低風險;若非於私人場所預約看診,病人則可透過調整裝置或使用即時聊天功能,避免預約資訊洩漏。 4.提供者應協助病人保護健康資訊。確保病人知悉提供者或通訊技術供應商聯絡資訊(如何時聯絡、以什麼方式聯絡等),使病人遭網路釣魚信件或其他方式詐騙時可以加以確認;也應鼓勵病人有疑慮時都可洽詢協助,包括如何使用通訊技術及已採取之隱私和安全保護措施等。 5.提供者應使病人了解通訊技術供應商所採取之隱私和安全保護措施。告知病人通訊技術供應商名稱、採取之隱私和安全保護措施,及如何得知前開措施內容;使病人了解進行遠距醫療時是否使用線上追蹤技術。 6.提供者應告知病人擁有提出隱私投訴的權益。若病人認為自身健康隱私權受到侵犯,得透過OCR網站進行投訴。
世界智財組織尋求保護來自傳統知識與遺傳資源的產品長久以來國際藥廠從大量販售的藥物中獲取上億元的營收,例如抗癌藥物與抗瘧藥物,均是萃取自中國的草本植物,但是這些擁有藥物傳統知識與遺傳資源的族群部落(the community),卻只得到相對微薄的報酬。為此,世界智慧財產組織(The World Intellectual Property Organization)已經在過去五年中力圖達成將利益擴及到提供傳統知識與遺傳資源的族群部落。 許多先進國家到非洲、亞洲等地方蒐尋具有療效的植物後,回實驗室進行研發萃取其物質後做成藥物,但卻從來沒有主動的揭露其來源,也不曾主動的回饋其獲利給那些藥廠從中獲得藥物植物的族群部落。開發中國家已試著要去制止這非法的竊用傳統知識的行為。 但由於傳統知識是累積的,因此傳統知識的保護也面臨到如何認定其於何時已存在的困難。因此傳統的智慧財產保護體系對於不能確認個別權利人與權利標的範圍的傳統知識無法提供保護。 不過,世界智慧財產組織表示藥廠已開始關心並參與傳統知識利用的協議,因為這些投資億元於研發而已有成功結果的藥廠,並不希望他們處於一個法律上不確定的狀態。
歐洲法院裁定銷售二手電子書侵害著作權Tom Kabinet為荷蘭之公司,其從個人及零售商處購得電子書後,再於網路轉售,遭為保護荷蘭出版商利益而成立之Nederlands Uitgeversverbond(NUV)及Groep Algemene Uitgevers(GAU)二協會提起侵害著作權訴訟。 Tom Kabinet公司主張,當書籍以有形體的形式出售時,該作品之著作權業已耗盡(exhausted),換言之,購買者可自由出售,而不會侵害作者或出版者的智慧財產權,此原則亦應適用於數位重製(digital copies)。NUV及GAU則認為Tom Kabinet公司轉售電子書的行為,構成著作權指令(Directive 2001/29/EC)所指在未經授權的情形下,向大眾傳播受著作權保護的標的。 歐洲法院近日針對雙方的爭議做出了裁決,法院援引世界智慧財產權組織(World Intellectual Property Organization)的著作權條約(Copyright Treaty),認為著作權的耗盡原則僅適用在著作權指令第4條的散布權(Distribution right),且是散布實體物,例如有形的書籍。而著作權指令第3條所指「向大眾公開(作者的)作品權利」(Right of communication to the public of works),係賦予作者有授權向大眾公開其作品的專屬權,此權利無耗盡的問題。本案所爭執向大眾轉售經下載且得永久使用的電子書之行為,並非散布權,而是向大眾傳播的概念,即符合著作權指令第3條所規範之範疇,因此,Tom Kabinet公司在轉售電子書前,須先取得作者的同意。 針對歐盟法院此一裁定,GAU發表聲明表示,法院的決定讓電子書的著作權議題有了結果,且此決定亦會影響音樂和電影產業,讓音樂和電影的下載拷貝版本同樣也無法再轉售。