台南市低碳自治條例與國際促進能源效率立法趨勢
台南市低碳自治條例與國際促進能源效率立法趨勢
科技法律研究所
2013年3月26日
壹、事件摘要
根據自由時報3月5日報導，台南市為將該市打造為國際指標性之低碳城市，在去年制訂了「台南市低碳城市自治條例」，並在未來規劃對大建築面積、及用量超過800千瓦之用戶，要求必須裝置一定比例太陽光電系統的強制規定。該條例同時要求公有、及供公眾使用的建築物，須為銀級以上綠建築之規定，亦在近日吸引了媒體的關注。
貳、重點說明
一、臺南市政府低碳城市自治條例
台南市政府於2012年12月22日以府法規字第1011084760A號令公布了「台南市低碳城市自治條例」，共六章、三十八條，並於第四章「低碳城市推動與管理」，做了前述對耗電大的用戶為一定比例太陽能光電系統設置要求之規範。
在綠建築的部分，依據該條例第21條第1款之規定，台南市公有或經該市公告指定地區之新建建築物於申請建造執照時，若非供公眾使用之建築物，須為合格級以上之綠建築。而公有及供公眾使用之建築物，則須進一步符合為銀級以上之綠建築。此策略採取賦予公部門較高的法規遵循義務，與國外立法例趨勢相當吻合。詳述如下。
參、事件評析
一、國外立法例
(一)從一定面積以上面積建築著手
根據自由時報的報導，台南市政府在未來將針對大建築面積用戶，強制其裝設用電量一定比例的太陽光電系統。關於面積的細部規範雖然未見於該市低碳自治條例，但此一規劃無疑符合國際間為提高節能效率所採取的規範趨勢。
例如美國在2007年能源獨立及安全法架構下，由總統在2009年所發佈的行政命令第13514號的第2條第g項第3款，即要求確保既有聯邦建築或聯邦機構(agency)所承租之建築，面積超過5000平方英呎者，應在財政年度2015年前，使其面積的15%完全符合「聯邦永續建築指導原則」(Federal Leadership in High Performance and Sustainable Building, 在該行政命令中簡稱 Guiding Principle)。
而新加坡也有類似的規範。根據該國「2008年建築管制(環境永續)規定」(Building Control《Environmental Sustainability》2008)第3條與第4條之規定，所有總樓板面積(gross floor area) 超過2,000平方公尺的建築之建設或有關總樓板面積超過2,000平方公尺既有建築之面積增建(increasing the gross floor area)，或關於建築外殼或建築服務的提供、擴大或實質的改變，皆應至少達到依據建築環境永續規範(Code for Environmental Sustainability of Buildings)的綠色標誌積分(Green Mark scores) 50分。
(二)對公部門採取較民間更高標準
由前述關於南市低碳自治條例中關綠建築之規範可知，該市在為相關管制的規劃時，所採取的政策是讓公部門先承擔較高的法規遵循義務(在該條例第21條的規定中，公有建築物在申請建照時須符合銀級綠建築之標準，而不若一般非供眾使用之建築物，僅要求其須合格)。此種作法亦為國際間為引領民間部門推動節能減碳常見的法制政策規劃。
除了上述美國的規定也是先對公部門作要求外，歐盟能源指令第5條第1項也有類似之規範。該條款要求歐盟各會員國自2014年1月1日起，就其中央政府所擁有或佔有之面積超過500平方公尺之建築，每年應翻修總樓板面積的3%，使其至少符合建築效率指令(2010/31/EU, Directive on Energy Performance of Buildings)第4條關於最低建築能源效率(minimum energy performance requirements for buildings)之要求。
二、短評與小結
由上述介紹可知，台南市低碳自治條例，為促進節能減碳而採行諸如由一定面積以上建築物著手，並對公部門此取更高標準之規定皆與國際趨勢相符。無獨有偶，高雄市於去年通過的綠建築自治條例，也有類似規定。我國在各級地方政府皆能與國際接軌的共同努力下，能否在促進能源效率方面達成較歐美等先進國家更耀眼的成積，著實令人期待。
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
韓國科學及資通訊部（Ministry of Science and ICT, MSIT）於2024年8月26日發布第一次國家戰略技術發展計畫「韓國科學技術主權藍圖」（Blueprint for National S&T Sovereignty）（下稱科技主權藍圖），以促進國家戰略技術（national strategic technology）之發展。 韓國於2022年10月發表〈國家戰略技術培育計畫〉（National Strategic Technology Nurture Plan），選定12個國家戰略技術。本次發布之科技主權藍圖，旨在為國家戰略技術提供中長期之支援政策，主要政策與預期效果如下： 1. 支持國家戰略技術商業化：MSIT將在5年內投資30兆韓元（約7200億台幣）於國家戰略技術之研發，並推出「顛覆性差距特殊上市程序」（super-gap special listing procedure），為具顛覆性之新技術提供融資、租稅優惠等支援，加速其商業化。 2. 增強韌性：韓國將加強與戰略夥伴之合作，觀察國際趨勢，定期更新國家戰略技術清單，以利其對國家戰略技術保持良好的應變能力。另一方面，韓國希望保持半導體記憶體（semiconductor memory）、蓄電池與顯示器技術之領先，並積極發展人工智慧半導體、尖端生物技術與量子技術等三大顛覆性領域，以期在國際上建立韓國主導之戰略技術標準化體系。 3. 建立任務導向的研發體系：MSIT將建立任務和目標績效管理體系，並搭建創新平台，鼓勵戰略技術之研發，目標為創造15家以上的戰略技術獨角獸公司（unicorn start-up），以引領韓國未來戰略技術之發展。
何謂電子菸?由於電子煙係利用電流通過霧化器，加熱煙彈（液）內之液體，因該液體混有尼古丁、丙二醇（分子式為C3H8O2，可作為食品添加物）及其他香料，可模擬吸菸時產生類似煙霧的蒸氣及味道。惟縱使電子煙不含焦油，仍可能混有尼古丁和其他化學物質，對於身體健康仍有一定的影響。因此，許多國家基於國民健康等因素，且電子煙之煙彈（液）因可能混合薄荷、水果香味等，造成未成年人誤以為非一般菸品而進行吸食，故多採取必要之管制，例如：禁止電子煙廣告、促銷或贊助。 依我國菸害防制法第14條規定，任何人不得製造、輸入或販賣菸品形狀之糖果、點心、玩具或其他任何物品。違反者，依同法第30條規定，對製造、輸入業者，處新臺幣1萬元以上5萬元以下罰鍰，並令限期回收；屆期未回收者，按次連續處罰；對販賣業者，處新臺幣1千元以上3千元以下罰鍰。此外，違反藥事法第69條規定，非藥物不得為醫療效能之標示或宣傳之規定，故電子煙如宣稱具有「幫助戒菸」、「減少菸癮」或「減輕戒斷症狀效果」等有醫療效能的詞句，即在禁止之列。
國家技術標準之制定政策-由英國BSI觀國家技術標準制定政策國家技術標準之制定政策 -由英國BSI觀國家技術標準制定政策 科技法律研究所 法律研究員 徐維佑 2014年12月03日 壹、前言 所謂技術標準（standards），指透過法規、私人企業、或者產業慣例形成的統一技術或特定規格，包括重量、大小、品質、材料或技術特徵（technical specifications），以使商品、服務、製造或製造程序方法能有共通的設計或相容性[1]；由特定標準制定組織要求市場上商品或服務應符合一定品質者，亦為技術標準，例如確保農產品符合人體食用的健康安全標準。 制定技術標準不但具有降低生產成本、促進創新、加強消費者選擇性、增進公共健康及安全等優點，更是國際貿易的基礎。以技術日新月異的ICT資訊通信產業而言，標準更是搶佔市場的利器。 貳、英國國家標準制定政策 成立於西元1901年之英國標準協會（British Standards Institution，以下簡稱BSI）為英國標準制定組織，亦是全球第一個國家標準機構，專門提供企業解決方案，將最佳實務模式（best practice）轉換成日常表現標準。BSI非政府機構，但透過與英國政府商業、創新與技術部門（Department for Business, Innovation and Skills, BIS）簽訂備忘錄，BSI成為英國國家標準制定組織，而其特色與任務大致如下： 一、以整體產業為考量之標準制定機構 BSI標準制定業務範圍[2]，除國家、區域、國際標準外，亦為私人企業、企業聯盟制定企業內部或企業聯盟間私人標準。標準制定之作法，係由產業界提名各領域之專業人員，及少數之政府部會官員成立標準制定委員會，各委員並非代表公司立場，而係以整體產業最有利立場參與會議；而BIS政府官員功能僅為傳達目前政府部會投入發展方向；標準制定委員會下，則設有技術委員會，委員各為特定技術領域之專家。BSI的原則為取得各界意見的平衡，在技術委員會成員組成上會避免單一勢力獨大，並盡力避免標準中包含特定權利人之智慧財產。 二、協助技術發展之階段式標準制定工作 BSI對於英國國內之技術研究、發展活動，採階段式引導標準化制定工作： 1、基礎研究階段：即早整合各利害關係人共識，建立共同發展對話基礎； 2、驗證技術可行性階段：藉由建立專家小組，發展初期測試方法與安全管理之共同觀點； 3、技術整合階段：即早為市場作準備，統一規格與測試方法，以及日後之技術升級方法； 4、原型製作階段：建立產業間行為準則，同時廣納消費者觀點，提昇該技術於市場之接受度； 5、應用測試、系統驗證階段：連結該技術與市場上產品、或其他服務、亦或其他標準組織制定之標準。 值得強調的是，BSI於研究發展活動各階段制定之標準提案草案皆會公佈於網站上，提供平台予大眾針對草案表示意見。 三、快速形成產業標準之PAS共通規範 BSI設有「可公開獲得的規範（publicly available specification, PAS）[3]」，相較於一般國家標準、國際標準，開發PAS時程較短，其目的為在英國國家標準或國際標準形成前，作為提早提供市場參考、使用之共通規範，國際標準如ISO亦有此制度。當技術共通規範成為PAS後，每3年接受技術委員會確認是否延續，或轉將其提案為國際標準。 私人企業可向BSI付費委託發展PAS共通規範。BSI會派專業人員指導企業如何撰寫PAS共通規範提案相關文件，集合內部專家團隊協助完成PAS共通規範提案。完成後對外召集內外部專家檢視PAS提案，包括標準制定委員會成員、政府官員、相關產業人員與消費者團體，並將檢視結果建議回饋給BSI內部專家團隊決定最終版本，公佈予給各界參考使用，公佈後之成果亦作為日後發展國家標準、國際標準之基礎。 參、結論 英國國家標準制定組織BSI，不遺餘力的協助產業自願性形成共識作為國家標準主軸，由產業推舉之專業人員與政府各領域官員作為技術委員會成員，平衡各界意見以整體產業發展為考量。藉由研究發展各階段性標準化工作，公開標準草案廣納各界意見，並盡力避免標準包含特定人之智慧財產權。並且，BSI協助國內企業發展PAS共通規範，除加速國內產業共識的形成外，更建立發展國際標準之良好基礎，摃動英國產業發展，並保障社會、環境、消費者之權益，值得我國學習。 [1]Mark A. Lemley, Intellectual Property Rights and Standard-Setting Organizations, 90 Calif. L. Rev. 1889, 1910-1911 (2002), available at http://scholarship.law.berkeley.edu/cgi/viewcontent.cgi?article=1392&context=californialawreview (last visited Aug. 28, 2014) [2]筆者親自訪談Daniel Mansfield政策主任，BSI Group總部，英國倫敦（2014/10/15）。 [3]ISO, ISO/PAS Publicly Available Specification (2014), http://www.iso.org/iso/home/standards_development/deliverables-all.htm?type=pas (last visited: 2014/10/01)
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。