解析雲端運算有關認驗證機制與資安標準發展
解析雲端運算有關認驗證機制與資安標準發展
科技法律研究所
2013年12月04日
壹、前言
2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。
資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。
貳、雲端運算資訊安全之控制依循
雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。
在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。
一、ENISA「資訊安全確保架構」[3]
歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。
值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。
雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。
在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。
在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。
在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。
二、CSA「雲端資訊安全控制架構」[6]
CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。
舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。
三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9]
日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。
舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。
参、針對雲端運算之認證與登錄機制
一、CSA雲端安全知識認證
CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。
二、CSA雲端安全登錄機制
由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。
(一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。
(二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。
資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。
另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。
三、日本-安全・信頼性資訊開示認定制度
由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。
此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。
肆、雲端運算資訊安全國際標準之形成
現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。
[1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20)
[2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009).
[3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework .
[4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009).
[5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009).
[6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013).
[7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013).
[8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013).
[9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。
[11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。
[12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。
[13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。
[14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013).
[15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
本文為「經濟部產業技術司科技專案成果」
今(2018)年2月，一家成立於2013年、位於美國維吉尼亞州的雲端策略服務公司REAN Cloud Llc.以其他交易(Other Transaction, OT)模式獲得了美國國防部(Department of Defense)5年合計9.5億美金的合約，讓OT自2016年10 U.S. Code §2371b正式生效進一步確認美國國防部針對原型(Prototype)及其後續之產品開發適用OT以來[1]，再次引起討論。 OT源於冷戰時期的美國，主要用於讓聯邦政府部門取得尖端國防技術的研究與發展(Research and Development, R & D)成果和原型。OT並非傳統之契約(contract)、授權書(grant)或合作協議(cooperative agreement)，且法並無明確定義OT究竟實質內容為何。OT不受聯邦併購規則(Federal Acquisition Regulation, FAR)所規範，更接近一般私人商業契約，因此具備極大的合作彈性，可大幅度縮短私部門與政府合作常碰到的冗長時程。由於OT快速、彈性的這兩項特質，近年來應用於國防以外之新創或尖端科技之公私合作亦逐漸普遍。 然OT雖然簡化了政府採購的時程與限制，但同時也減少了問責可能性和透明度，因此目前只限具備美國國會授予其他交易授權(Other Transaction Authority, OTA)的聯邦政府機構得以使用OT。在美國計有太空總署(NASA)、美國國防部、美國聯邦航空總署(Federal Aviation Administration)、美國運輸部(Department of Transportation)、國土安全部(Department of Homeland Security)、運輸安全管理局(Transportation Security Administration)、衛生與公共服務部(Department of Health and Human Services)、美國能源部(Department of Energy)獲得國會授予OTA，其餘未獲OTA之政府部門僅得以在聯邦預算管理局(Office of Management and Budget)主任授權下有條件地使用OT。 尖端技術的R&D在不同領域皆有其特殊性，難以一體適用FAR，是以OT在實務運作上為兼顧持有尖端技術的公司重視速度和營業秘密之特質與採購之公平性，其運作模式通常為：聯邦政府成立某種技術領域的OT聯盟(consortium)，私部門的潛在締約者可以申請加入，繳交會費並同意該聯盟的約定條款。聯盟之約定條款通常較政府採購契約來的有彈性，例如智慧財產權的歸屬是以個案個別約定。擁有OTA之政府機關嗣後可向聯盟成員徵求產品或服務白皮書，之後再從中挑選優秀者進一步繳交更詳細的產品或服務計畫書，最終經由聯盟管理機構(consortium management organization)挑選出最適者。 OT與OT聯盟的運作模式，為公私合作提供極大的法律彈性，且非常迅速。平均而言，從政府徵求白皮書到成功找到最適者，不過兩個月時間。時間與彈性乃是新創企業或尖端技術持有者與政府合作時最有疑慮之處，OT可以解決此一問題。然需注意OT在適用上仍存在諸多挑戰，例如成效難以評估、較不透明導致監督困難、智慧財產權歸屬爭議等，有待克服。 [1] 美國國防部在此前乃是遵循Section 845 of the National Defense Authorization Act(NDAA) for Fiscal Year(FY) 1994, Public Law 103-160適用OT。
日本修正《氫能基本戰略》以實現氫能社會日本於2023年6月6日召開有關「再生能源、氫能等相關」內閣會議，時隔6年修正《氫能基本戰略》（水素基本戦略），其主要以「水電解裝置」、「燃料電池」等9種技術作為戰略領域，預計15年間透過官民投資15兆日元支援氫能相關企業，希冀盡速實現氫能社會。 日本早於2017年即提出氫能基本戰略，由於氫氣在使用過程中不會產生溫室氣體或其他污染物質，被認為是可以取代傳統化石燃料的潔淨能源，欲以官民共同合作，無論在日常生活、生產製造等活動下，都能透過氫能發電方式，達成氫能社會，故推出降低氫能成本、導入氫能用量的政策，並以2030年為目標，將氫能的用量設定為30萬噸、同時將氫能成本降為30日元/Nm3（以往價格為100日元/Nm3），使其成本與汽油和液化天然氣成本相當。為配合2021年《綠色成長戰略》，日本再次擴充目標，透過活用綠色創新基金，集中支援日本企業之水電解裝置和其他科技裝置，預計在2030年的氫能最大供給量達每年300萬噸、2050年可達2000萬噸。 然而隨著各國紛紛提出脫碳政策和投資計畫，再加上俄烏戰爭之影響，全球能源供需結構發生巨大變化，例如：德國成立氫氣專案（H2 Global Foundation）投入9億歐元，以市場拍賣及政府補貼成本的方式推動氫能、美國則以《降低通膨法》（The Inflation Reduction Act），針對氫能給予稅率上優惠措施等，在氫能領域進行大量投資，故為因應國際競爭，日本重新再審視國內氫能發展，並修正《氫能基本戰略》，除提出「氫能產業戰略」及「氫能安全保障戰略」外，本次主要修正之重要措施摘要如下： 1.維持2030年、2050年氫能最大供給量之設定，但新增2040年時提出氫能的最大供給量目標為1200萬噸。 2.由於水電解裝置在製造綠氫時不可缺，爰設定相關企業於2030年前導入15GW左右的水電解裝置，同時確立日本將以氫能製造為基礎之政策。 3.鑒於氫能科技尚不純熟、氫能價格前景不確定性高，在氫能供應鏈的建構上有較大風險，故透過保險制度分擔風險，以提高經營者、金融機構投資氫能之意願。 4.藉由氫能結合渦輪、運輸（汽車、船舶）、煉鐵化學等其他領域，期以氫氣發電渦輪、FC卡車（使用氫氣燃料電池Fuel Cell之卡車）、氫還原製鐵為中心，强化國際競爭力，創造氫能需求。 5.預計10年間，以產業規模需要在都市圈建設3處「大規模」氫能供給基礎設施；另依產業特性預計於具相當需求之地區，建設5處「中等規模」基礎設施。
美國法院於 8 月 9 日判決「隱私權合理期待不及於網際網路用戶資訊」在 Freedman v. America Online 一案中，原告 Freedman 使用 AOL(ISP 業者 ) 的電子郵件帳號匿名寄送一封載有「末日近了 (The end is near) 」之郵件給另外兩個康乃迪克州之居民，該郵件之收文者將其視為對於安全威脅之信件並立即報警處理。警員 Young 和警官 Bensey 雖製作了筆錄與提出搜索令 ( 授權令 ) 之申請，然而在將該等文件送交州檢察官辦公室並經同意前， Young 即將該等文件傳真給 AOL 法務部門，一周後 AOL 即提供 Freedman 之姓名、地址、電話號碼與其他許多與原告之 AOL 電子郵件帳號有關之訊息，原告因而提起訴訟，主張提供其帳戶資料之行為侵犯其隱私權，已違反美國憲法修正條文第四條。 法院認為在美國憲法修正條文第四條之意旨下，網路使用者不能合理期待其用戶資訊為其隱私權所及範圍，主要理由為當網路使用者申請使用服務前，用戶本身已在其本身知悉之情況下將其資訊提供給 ISP 業者，使該 ISP 業者得以提供相關服務，且 AOL 已在其使用合約中註明，倘於其用戶或他人受有人身威脅 (physical threat) 之個別案例之情況下 ( 如同本案例事實 ) ， AOL 將提供用戶資訊，而「電子通訊隱私權法案 (The Electronic Communications Privacy Act) 」第 2510 條以下條文亦規定，於有人身損害之虞 (the risk of physical injury) 之情況下，用戶資料之揭露即具正當性。
我國法制對於AR/VR發展之影響評估我國法制對於AR/VR發展之影響評估 資策會科技法律研究所 法律研究員 王凱嵐 105年06月14日 隨著科技的進步，同時在大數據、物聯網及可穿戴式裝置發展下，未來AR/VR技術可運用之層面相當廣泛，諸如遊戲、視訊娛樂、醫療保建、教育、醫療保建等，具有成為繼智慧型手持裝置後另一重要軟硬體平台之潛力。 所謂AR即擴增實境，指將虛擬資訊擴增到現實空間中的技術。這並不是完全取代現實之空間，而是在現實生活中融合虛擬資訊，藉由攝影機的辨識技術與電腦程式的結合，使虛擬資訊得以正確的疊加或輔助式出現於現實空間中。另一方面，所謂VR即虛擬實境，指利用電腦技術模擬出一個立體、高擬真的3D空間。當使用者穿戴特殊顯示裝置，會產生身處不同於當下環境之空間，而在此虛擬的空間中，使用者得透過控制器(如搖桿)或鍵盤移動或互動。 根據Digi-Captial的預估，到2020年AR加上VR總市場規模可達1,500億美元[1]。由此可知此產業具有非常大的市場規模，未來無論在各個領域中，AR、VR技術將突破過往的模式，將所想像的事物或空間呈現於使用者/消費者眼前。除了提供新型態技術的服務體驗，同時業者也能在成本或資源有限的情況下，突破原有限制，提高產能。以下配合未來假設技術運用上之情境，進行我國法規範之盤點，標示可能涉及或衝突的現行規範，評估其影響並給予建議。 壹、應用領域 根據跨國投資銀行高盛集團針對AR、VR之發展趨勢、潛在應用領域進行分析和預測[2]，其中包含遊戲、視訊娛樂、教育及醫療保健四項。 一、 遊戲:遊戲產業為當前在VR發展上最為成功的消費者市場。該技術運用在遊戲上，將給予遊戲玩家沉浸式的虛擬世界，提高遊戲體驗。而在未來VR結合網咖，提供不同的遊戲體驗。此種傳統的連線功能電腦遊戲附上VR虛擬實境的裝置，是否會出現全新的產業或遊戲類別，值得日後持續觀察。 二、 視訊娛樂:除遊戲產業外，視訊娛樂是另一個發展核心。使用者得穿戴VR眼鏡或頭盔，結合影音聲效觀看電影。未來若使用在電影院中，不同於傳統的3D眼鏡，VR給予使用者一全封閉式之虛擬環境，可不再被場地所侷限。惟拍攝此類電影或視訊畫面，須使用全景攝影機設備，造成製作成本較難以預測。 三、 教育:未來學校可運用此技術加強師生間之互動或提升學生學習意願。在遠距教學之運用，突破過去因距離或傳統教學的環境限制，提高整體教育品質。另一方面，在考證照(例如汽車駕訓)時也可透過虛擬實境完成，可不再被場地侷限(例如汽車教練場)。 四、 醫療保健:在醫療運用上，AR、VR的技術能幫助恐懼症或輔助醫學治療。而在遠距治療、診斷或照護行為上，得根據不同之情況提供不同的技術服務。在病患的身體狀況或居住環境，VR技術將給予相關醫護人員更好的判斷依據，增加正確及準確的治療、診斷及照護行為。 貳、涉及法規 一、 遊戲:當VR眼鏡運用在具連線功能之電腦遊戲上，則可能涉及「資訊休閒業管理自治條例」[3]提供場所及設備以連線或非連線方式結合資料儲存裝置，供不特定人從事遊戲娛樂之營利事業(例:網咖使用VR設備)，在場所設置範圍上，將受到相關地方自治條例之限制規範。 而在個人或家用透過VR眼鏡與軟體遊結合，針對該遊戲內容，我國「遊戲軟體分級管理辦法」 之規定，對所有數位遊戲軟體發行上市皆須送審核並登錄分級等規範。除遊戲軟體業者須自律分級進行分級登錄，產品包裝與展示露出皆須標示分級。 二、 視訊娛樂:若未來將VR技術結合電影產業，在以營業為目的之電影播放場所使用VR眼鏡觀看電影。目前我國「電影法」[5]對於電影內容及相關行業有作出規範，惟透過穿戴式眼鏡或頭盔僅可視為電影放映之平台或載具。本法目前對於此技術之運用尚無限制。在非電影院之場地運用VR穿戴眼鏡播放電影，若符合電影法第三條電影片映演業定義，應遵守本法之規定。若僅附屬服務(例如民宿、飯店提供婦放映電影免費服務)，若符合相關著作權[6]之規範，應無適用問題，仍得視為電影放映之平台或載具。 三、 教育:運用在遠距教學按現行法規之規定，應可視為符合互動方式之擴充服務，在取得學分問題上，並無疑慮。另一方面，若運用在汽車駕訓考試，目前我國「道路交通安全規則」第65條[7]，駕駛執照考試應考科目為筆試及路考，單以駕駛訓練為目的則不會有影響。惟在取得駕駛執照的考試，並無法透過VR取得駕駛執照。 四、 醫療保健:在遠距醫療運用上，「醫師法」第十一條[8]中關於遠距診斷僅限於特定情況下方可行之，透過VR技術模擬實地效果之遠距治療或診斷，將受到法規上之限制。 參、結論建議 根據以上法規之彙整，首先在遊戲上與AR、VR技術的導入最具關聯性，不僅在內容上具備多元性且可獨立存取於顯示裝置外，與一般大型機台之儲存設備不同。其營業模式，可藉由出租顯示裝置及其周邊設備，供使用者連接各種平台上之各種內容或應用程式，類似資訊休閒業。 然而目前資訊休閒業者所提供或使用之遊戲軟體，必須依遊戲分級管理辦法規定，其內容須符合分級級別、登錄分級。未來建議可針對遊戲機類別可參考「遊戲軟體分級管理辦法」做出區分標準，將呈現內容由內容分級法令規範。同時藉此修法契機得釐清與「資訊休閒業」(目前無中央法規，僅各地方以自治條例形式進行規範)之認定關係(例如由中央增訂資訊休閒業專法)。 另在遠距治療、診斷、照護法規上，「醫師法」僅開放符合特定條件下(如偏遠地區或特殊急迫情形)以通訊方式詢問病情或診察。為避免日後認定上可能產生違法疑慮，得建議中央主管機宜用行政函釋之方式，釐清模糊空間利於相關產業之發展。未來AR/VR的技術運用層面上，是否排除在法規之特定條件下方可適用之規定?此點仍須考量該技術上發展能進展到何地步。 最後，在技術驗證上運用VR(例如汽機車駕駛訓練或考試)，根據我國「道路交通安全規則」駕駛執照考試應考科目為筆試及路考。建議可透過行政函釋釐清路考得否透過虛擬實境為之，並可在訓練時加進虛擬實境項目，提升學員在考照前、通過後更好的準備。利用行政函釋得消除法規適用上之疑義。 透過分析未來新科技運用所產生出的法制障礙，預先設想可能對該產業造成之影響。AR/VR技術未來勢必會帶給人們新的社會生活型態，相關的技術廠商也不斷推層出新。而台灣不可在這個領域錯失先機，故在法規與運用上須取得平衡點，用以增進未來我國在虛擬實境產業上發展之實力。 [1] 鉅亨網，＜VR產品迎密集上線潮 虛擬現實產業全球盛宴開啟＞，2016/03/01，http://news.cnyes.com/Content/20160301/20160301160032997491410.shtml (最後瀏覽日期:2016/05/27) [2] VREYES，＜vr來了，行業標準今年形成?＞，2016/03/18，http://www.vreyes.cn/observation/topics/4341.html(最後瀏覽日期:2016/05/30) [3] 目前僅部分地方政府針對資訊休閒業制定專法。 [4] 遊戲軟體分級管理辦法第十條「發行或代理遊戲軟體之人於其遊戲軟體上市前，應依本辦法之規定標示分級資訊。但非由前述之人所供應之遊戲軟體，應由實際供應者依本辦法之規定負分級義務。前項之人應將遊戲軟體分級級別及情節登錄於中央目的事業主管機關之資料庫，供分級查詢。遊戲軟體產品包裝及遊戲軟體說明、下載或起始網頁之內容，不得逾越該遊戲軟體之分級級別。」 [5] 電影法第九條「申請電影片、電影片之廣告片審議分級者，應填具申請書，並檢附相關文件、資料，報中央主管機關核准。電影片、電影片之廣告片非經中央主管機關審議分級並核准者，不得映演。但教育行政機關主管之教學電影片，不在此限。電影審議分級不得逾越比例原則。為辦理電影片之審議分級業務，中央主管機關應組成電影片分級審議會，其成員應包括政府機關代表、各相關領域具有學術或實務經驗之學者、專家。前項電影片之審議分級業務，中央主管機關得委託民間專業團體辦理。電影片分級審議會之審議結論應予公開，並逐項具體敘明理由。」 [6] 著作權法第25條「著作人專有公開上映其視聽著作之權利。」 [7]道路交通安全規則第六十五條「申請汽車駕駛執照考驗者，其應考科目為筆試及路考。筆試不及格者，不得參加路考，但依第六十九條核准在原訓練機構辦理考驗者，其結業學員得先參加路考，及格後再行筆試。」(節錄) [8]醫師法第十一條「醫師非親自診察，不得施行治療、開給方劑或交付診斷書。但於山地、離島、偏僻地區或有特殊、急迫情形，為應醫療需要，得由直轄市、縣 (市) 主管機關指定之醫師，以通訊方式詢問病情，為之診察，開給方劑，並囑由衛生醫療機構護理人員、助產人員執行治療。前項但書所定之通訊診察、治療，其醫療項目、醫師之指定及通訊方式等，由中央主管機關定之。」