淺談中國網絡文化內容自審制於手機遊戲管理之影響
科技法律研究所
2013年12月31日
壹、前言
中國大陸文化部日前依據互聯網文化管理暫行規定第19條規定,頒布施行「網絡文化經營單位內容自審管理辦法」(簡稱自審管理辦法)。要求以營利爲目的提供「網絡文化產品及服務」之單位(即所謂的「網絡文化經營單位」),應進行自我審核,以確保內容之合法性。所謂「網絡文化產品及服務」依據互聯網文化管理暫行規定,包括網絡音樂、動漫、遊戲等文化產品及以此所為之製作、複製、進口、發行、播放等活動。據中國大陸文化部表示,制定本辦法是為了落實其國務院轉變政府職能、簡政放權的政策方向,特別是網絡遊戲中的手機遊戲部分,期待能透過企業自律機制,達到市場的有效管理。
貳、自審管理辦法重點說明
在具體做法上,自審管理辦法規範「網絡文化經營單位」必須符合四項具體要求,包括:(1)內容管理制度與部門:企業須建立內容管理制度與審核部門,明定內容審核之工作劃分、標準、流程及責任追究辦法;(2)內容審核人員:企業內部設置之內容審核部門須配置至少3名以上領有「內容審核人員證書」之審核人員,並指定其中1名審核人員為內容管理負責人,負責簽核其餘審核人員之審查意見;(3)踐行備案程序:企業內部於建立上述之審核程序後,應向所在地省級文化行政部門申報備案;(4)持續參與審核訓練:針對內容審核人員,省級文化行政部門將負責相關培訓考核及檢查監督工作,其中對於經考核合格者發給證書者,每年至少應參加1次後續培訓,以持續掌握內容審核的政策法規和相關知識。
針對未依該辦法實施自審制度之「網絡文化經營單位」,依據自審管理辦法第14條規定,則得由縣級以上文化行政部門或者文化市場綜合執法機構依照「互聯網文化管理暫行規定」第29條規定責令改正,並可根據情節輕重處20000元以下罰款。此外,依據自審管理辦法第13條規定,倘若內容審核人員出現重大審核失誤時,發證部門得注銷其「內容審核人員證書」。
最後,依照自審管理辦法第15條規定,相關「網絡文化產品及服務」在自審管理辦法施行前,如應踐行備案或批准程序,在施行後仍須按相關規定辦理,不會因企業自審制度建立而得以免除。
參、規範簡評
依照自審管理辦法規定,自審制度適用範圍涵蓋了所有應依法取得「網絡文化經營許可證」的網絡文化經營單位。據中國大陸文化部新聞稿指出,此舉將有助於端正手機遊戲市場亂象。其具體理由,本文簡要歸納如下,並附帶說明此措施對於台灣手機遊戲業者進入中國大陸市場將帶來之影響。
過去中國大陸文化部管理「網絡遊戲」,主要是透過「網絡遊戲管理暫行辦法」(簡稱暫行辦法)。當中針對「國產網絡遊戲」採取備案制,要求於營運日起30日內向其文化行政部門進行備案(暫行辦法第13條參照);「進口網絡遊戲」則採審查制,須事前獲得其文化行政部門審查批准,方可上線營運(暫行辦法第11條參照)。且解釋上所謂「網絡遊戲」並未排除「手機遊戲」,故外國業者在提供手機遊戲服務予中國大陸時,皆應授權當地具備「網絡文化經營許可證」之「網絡遊戲運營企業」進口並履行相關申報作業。
但現實上,基於手機遊戲開發成本低、週期短之特性,手機遊戲業者存在為數不少小規模企業,所開發遊戲數量自2011年以來呈現爆炸性成長。因而暫行辦法之相關管理要求,實際執行通常難以落實,便常見有手機遊戲規避上述申報作業,使得整體手機遊戲管理呈現真空狀態。
但此一管理困境,在施行自審管理辦法後,預期將有所改善。根據中國大陸文化部新聞稿指出,目前中國大陸手機遊戲市場主導權,已逐漸由遊戲開發商轉移至平台商。因此透過自審管理辦法下放內容審查權於大型平台上,再強化對大型平台的監管,可集中政府資源、擺脫過去針對個別遊戲業者的查緝困難。
同時,由於自審管理辦法要求企業應賦予內容審核人員獨立審核職權,官方新聞稿亦進一步指出內容管理負責人層級應提升至副總經理以上。一旦內容審核人員發生重大失職時,最重得注銷其審核權限。因而運作上將可間接影響企業人事權限分配,對於企業高層業務執行帶來一定程度箝制,進而達到有效管理之目的。
對於台灣業者而言,由於按照暫行辦法第12條規定,申報進口網絡遊戲內容審查者,必須為取得獨占授權之「網絡遊戲運營企業」。因此,台灣遊戲業者未來在授權遊戲於大陸業者營運時,應留意其合作之大陸「網絡文化經營單位」,是否有建立上述自審制度,以避免對其產品拓展產生不利影響。同時,應留意其是否有踐行相關進口網絡遊戲內容審查申報,以避免觸法。
資料來源:
《文化部關于實施〈網絡文化經營單位內容自審管理辦法〉的通知》(文市發〔2013〕39號),http://big5.gov.cn/gate/big5/www.gov.cn/zwgk/2013-08/22/content_2471896.htm (最後瀏覽日:2013/12/25)。
新华网,〈文化部放权网络文化企业内容自审 网游网络音乐先行试点〉,2013/08/20,http://news.xinhuanet.com/politics/2013-08/20/c_117021657.htm(最後瀏覽日:2013/12/25)。
中华人民共和国文化部文化市场司,〈庹祖海同志在贯彻落实《网络文化经营单位内容自审管理办法》视频会议上的讲话〉,2013/11/29,http://www.ccnt.gov.cn/sjzz/whscs_sjzz/whscs_zhxw/201312/t20131202_424345.htm(最後瀏覽日:2013/12/25)。
美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院(National Institute of Standards and Technology, NIST)所管轄的國家網路安全卓越中心(National Cybersecurity Center of Excellence, NCCoE),於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」(NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture)系列文件初稿共四份[1] ,並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中,要求聯邦政府採用現代化網路安全措施(Modernizing Federal Government Cybersecurity),邁向零信任架構(advance toward Zero Trust Architecture)的安全防護機制,以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展,生活型態因疫情推動遠距工作、遠距醫療等趨勢,透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業,皆使得傳統的網路安全邊界逐漸模糊,難以進行邊界防護,導致駭客可透過身分權限存取之監控缺失,對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」(Zero Trust Architecture, ZTA)標準文件[3] ,協助企業基於風險評估建立和維護近用權限,如請求者的身分和角色、請求近用資源的設備狀況和憑證,以及所近用資源之敏感性等,避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰,包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構;擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響;整個組織對ZTA 缺乏共識,無法衡量組織的ZTA成熟度,難確定哪種ZTA方法最適合業務,並制定實施計畫等,NCCoE與合作者共同提出解決方案,以「NIST SP 800-207零信任架構」中的概念與原則,於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份,包含: 一、NIST SP 1800-35A:執行摘要(初稿)(NIST SP 1800-35A: Executive Summary (Preliminary Draft)) 主要針對資安技術長(chief information security and technology officers)等業務決策者所編寫,可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案,實施ZTA所能帶來優點等。 二、NIST SP 1800-35B:方法、架構和安全特性(初稿)(NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)) 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫,闡述風險分析、安全/隱私控制對應業務流程方法(mappings)的設計理念與評估內容。 三、NIST SP 1800-35C:如何操作指引(初稿)(NIST SP 1800-35C: How-To Guides (Preliminary Draft)) 主要針對於現場部署安全工具的IT 專業人員所編寫,指導和說明特定資安產品的安裝、配置和整合,提供具體的技術實施細節,可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D:功能演示(初稿)(NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)) 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構,展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令,要求聯邦機構以導入ZTA為主要目標,並發布系列指引文件,透過常見的實施零信任架構案例說明,消除零信任設計的複雜性,協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構,未來可預見數位身分將成為安全新核心。 此外,NIST於2022年5月發布資安白皮書-規劃零信任架構:聯邦管理員指引[4] ,描繪NIST風險管理框架(Risk Management Framework, RMF)逐步融合零信任架構的過程,幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者,或欲降低遠端應用的安全風險者,宜參考以上標準文件與實務指引,以建立、推動和落實零信任架構,降低攻擊者在環境中橫向移動和提升權限的能力,與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
現有法制對公立大學教授技術作價之現況與困難 歐洲議會初步通過化妝品新法案,奈米化妝品成為規範之列奈米科技在化妝品領域之應用實例日益增多,對於此類產品之管理趨向也成各界關注的重點,可惜國際間遲遲未有突破性進展。 今(2009)年3月24日,歐洲議會初步通過化妝品規則之新法提案(提案編號:COM(2008)0049-c6-0053/2008-2008/0035(COD)),未來若獲正式通過,將可直接適用於歐盟各國。 就實質內容而言,歐盟在該規範中首次納入奈米科技之考量。其所界定之奈米材料為:「一種具有非溶解、抗生物性之材料,係經由人為單一或多次外部切割或內部建構,尺寸範圍在1至100奈米之間」。為確保奈米化妝品之安全性,該規範透過強制通報、安全評估,以及禁止使用有害人體健康之物質等機制進行管理。此外,化妝品倘若含有或使用奈米材料,製造人必須在產品包裝上之內容物清單中加以標明。 歐洲議會是以633位之多數票一讀通過了該法案,不過也有29位投票反對、11位放棄表示意見。 此外,各界對此立法之反應不一,消費者團體認為應儘早實施該法案;歐洲議會綠黨議員則對法案中的奈米材料之定義不予認同。 根據歐盟執委會評估,目前約有5%的化妝品使用奈米材料,主要是市面上銷售之防曬油、口紅以及抗老化乳霜。隨著此項運用趨勢的發展,很多消費者團體抱怨立法過於緩慢而無法趕上市售產品之發展腳步,而本次立法可望為奈米化妝品之管理開展新的契機與方向。
歐盟資通安全局(ENISA)提出資通安全驗證標準化建議歐盟資通安全局(European Union Agency for Cybersecurity, ENISA)(舊稱歐盟網路與資訊安全局European Union Agency for Network and Information Security)於2020年2月4日發布資通安全驗證標準化建議(Standardisation in support of the Cybersecurity Certification: Recommendations for European Standardisation in relation to the Cybersecurity Act),以因應2019/881歐盟資通安全局與資通安全驗證規則(簡稱資通安全法)(Regulation 2019/881 on ENISA and on Information and Communications Technology Cybersecurity Certification, Cybersecurity Act)所建立之資通安全驗證框架(Cybersecurity Certification Framework)。 受到全球化之影響,數位產品和服務供應鏈關係複雜,前端元件製造商難以預見其技術對終端產品的衝擊;而原廠委託製造代工(OEM)亦難知悉所有零件的製造來源。資通安全要求與驗證方案(certification scheme)的標準化,能增進供應鏈中利害關係人間之信賴,降低貿易障礙,促進單一市場下產品和服務之流通。需經標準化的範圍包括:資訊安全管理程序、產品、解決方案與服務設計、資通安全與驗證、檢測實驗室之評估、資通安全維護與運作、安全採購與轉分包程序等。 ENISA認為標準化發展組織或業界標準化機構,在歐盟資通安全之協調整合上扮演重要角色,彼此間應加強合作以避免重複訂定標準。目前有三組主要國際標準可構成資通安全評估之基礎: ISO/IEC 15408/18045–共通準則與評估方法:由ISO/IEC第1共同技術委員會(JTC1)及第27小組委員會(SC27)進行重要修訂。 IEC 62443-4-2–工業自動化與控制系統之安全第4-2部分:作為工業自動化與控制系統元件的技術安全要求。 EN 303-645–消費性物聯網之資通安全:由歐洲電信標準協會(ETSI)所建立,並與歐洲標準委員會(CEN)、歐洲電工標準化委員會(CENELEC)協議共同管理。 然而,資通訊產品、流程與服務種類繁多,實際需通過哪些標準檢驗才足以證明符合一定程度的安全性,則有賴驗證方案的規劃。為此,ENISA亦提出資通安全驗證方案之核心構成要件(core components)及建構方法論,以幫助創建歐盟境內有效的驗證方案。