美國發表網路安全框架

  2014年2月12日,美國發表「網路安全框架(Cybersecurity Framework)」,該框架係由美國政府、企業及民間機構花費一年的時間共同發展而成,其蒐集了全球現有的標準、指引與最佳實務作法,最後由國家標準技術局(National Institute of Standard and Technology, NIST)彙整後所提出。

  本框架主要可分成三大部份:
1.框架核心(Framework Core)
框架核心包括辨識(Identify)、保護( Protect)、偵測( Detect)、應變( Respond)、與復原( Recover)等五項功能。這五項功能組成網路安全管理的生命週期,藉由這五項功能的要求項目與參考資訊的搭配運用,可使組織順利進行網路安全管理。
2. 框架實作等級(Framework Implementation Tiers)
共分成局部(Partial)、風險知悉(Risk Informed)、可重複實施(Repeatable)、合適(Adaptive)四個等級。組織可以透過對風險管理流程、整合風險管理計畫以及外部參與等三個面向的觀察,瞭解組織目前的安全防護等級。
3. 框架側寫(Framework Profile)
框架側寫係組織依照本框架實際操作後所產出的結果,可以協助組織依據其企業需求、風險容忍度,決定資源配置的優先順序,進一步調整其網路安全活動。

  此一安全框架旨在提供整體規劃藍圖予尚未建立網路安全架構的組織參考,而針對已有建立網路安全架構者,該框架並未意圖取代組織原先的風險管理程序和網路安全計畫,而係希望協助公、私部門改善資通訊科技和工業控制系統風險管理的能力。

相關連結
相關附件
※ 美國發表網路安全框架, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6513&no=57&tp=1 (最後瀏覽日:2026/02/11)
引註此篇文章
你可能還會想看
基因改造作物種植與否,未來將由各會員國自行決定

  為期望能打破歐盟長久以來因是否種植基因改造作物所陷入的政治僵局,近來根據一份歐盟內部策略報告文件(internal strategy paper)指出,歐盟執委會針對未來的基因科技政策首次建議表示,未來將授權由各會員國自行決定將批准或禁止基因改造作物於境內種植,並且透過調整相關基因科技法管理規範的方式予以落實推動。   以目前歐盟各會員國觀之,境內支持基因改造科技(gene-technology-friendly)與反對基因改造科技(gene-technology-unfriendly)的國家彼此呈現封鎖阻隔的局面,欠缺透明的決策程序,同時降低民眾對於政策決定了解程度。因此,歐盟執委會建議,關於基因改造作物的批准與種植,在此次建議中,擬朝向將歐盟權限與各會員國權限進行切割的做法,表示此一規劃對於後續選擇栽種與利用基因改造作物的國家將更為簡便,相對於無意栽種基因改造作物的國家則可核發禁令。   為執行上述建議做法,歐盟執委會進一步表示,修改相關法令規範必須取得歐盟議會之同意,如可行將嘗試於現行立法架構下採取政策調整的方式,同時應確保未來新修正的基因科技管理規範和WTO之規定相容,並且不會和其他國家政策立場造成衝突,尤其是向來支持發展基因改造作物的美國。   整體而言,歐盟執委會對於未來調整方向抱持樂觀態度,認為有鑑於目前的情況,此舉將為植物生物科技與相關種子產業帶來正面提升的力量。

北美證券管理協會發佈新興金融科技對投資者之威脅之相關報告

  北美證券管理協會(North American Securities Administrators Association,簡稱:NASAA)與會成員,針對使用新興科技之不當行為人,於2018年10月10日發佈正式報告(NASAA 2018 Enforcement Report),報告指出不當行為人試圖使用新興金融商品刺激市場,使市場呈現活絡狀態。例如:炒作比特幣,該產品從2017年7月約2,364塊美元至同年12月大幅提高至2萬美元,同一時間於市場中加密貨幣市值飆漲超過5千億美元。因各種數據指標不正常的起伏,相關執法單位開始進行實際執法行動,並且特別針對加密貨幣部分進行調查。   該報告指出,部分合法企業也會透過加密貨幣和區塊鏈等,衍生性金融商品募集資本,亦即以首次代幣發行(Initial Coin Offering,簡稱ICO)之方式籌措資金。而NASAA也於監管時發現未經登記之企業,也利用此種方式進行籌資。惟,監管機構無法針對未經登記之公司進行有效之監管行為,以致,投資市場中詐欺事件層出不窮。因此,就涉嫌以ICO和加密貨幣等衍生性金融商品,進行群眾募資的未經合法登記之公司,NASAA也開始採取必要法律措施,以保護投資大眾免於受害。 一、 德州證券委員會與國家執法單位合作,於2017年12月20日對Usi-Tech Limited採取了緊急行動,此執法行動主要係因該公司以詐欺之方式欺騙投資消費者,此為國家執法單位,首次針對市場詐欺行為所進行之強制手段。 二、 北卡羅來納州證券部門以及德州證券委員會,調查BitConnect’s對加密貨幣貸款計畫之投資。該機構向投資者承諾,購買加密貨幣貸款計劃的投資將使他們有權在指定期限內獲取每月超過40%的利息,並且額外每日計算利率給予投資者。 調查後,監管機構發現,該公司未依證券交易法,以及證券經銷商相關註冊之規定,進行募資行為。以致北卡羅來納州證券部門以及德州證券委員會,隨即發佈停止運作之命令。   報告顯示,合法企業以及未經登記之企業,都得以使用ICO方式進行籌資。惟監督機構僅能就合法企業進行監管,無法有效監督未經登記之企業,為避免投資大眾因資訊不透明或資訊不對等之情況發生,導致投資人因此遭受到詐欺行為而受害。有關當局也已展開實際執法行動,仍請投資大眾多加注意。

法國出版商起訴GOOGLE侵權

  法國3大出版商5月11日宣稱將起訴Google,因Google未獲出版社允許,掃瞄了成千的書籍上傳到其網路圖書館。法國3大出版社為Gallimard、Flammarion和Albin Michel,在巴黎法院要求98億歐元(美金114億元)的損害賠償。   出版商宣稱Google未經同意而用數位掃描將近1萬本書籍內容於網站上,使大眾可以在線上獲得。出版商的法律團隊代表表示每掃描一本出版社書籍就要付1000歐元損害賠償。   對此,Google回應,他們堅信書籍掃描計畫是合法的,並且說明,我們非常驚訝收到此種指控,我們確信Google Book計畫符合法國法律和國際著作權法。   Google對出版商表示:「Google肩負著繼續與出版商一同工作,並且幫助出版商發展數位服務和讓出版的著作得以讓法國與海外的網路使用者接觸。」   另一位法國的出版商La Martiniere,在2009年用同樣的爭議成功的起訴了Google,在美國法院也推翻了Google掃描美國出版書籍內容的經營模式。

新加坡將推動國家電子醫療紀錄

  新加坡自今年(2018年)1月5日起推動「醫療服務法案(Healthcare Services Bill)」之制定,該法案預計取代現有「私人醫院和醫療診所法(Private Hospitals and Medical Clinics Act)」。其中「國家電子醫療紀錄(National Electronic Health Record),下稱NEHR」將整合並改善國營醫療機構及非國營醫療機構兩種醫療紀錄無法互通之情形,而行動醫療及遠端醫療亦納入之。   根據目前之諮詢狀況(已於今年2月15日結束),提案單位衛生部(Ministry of Health)表示,由於現代醫療技術已趨近複雜,若能整合各醫療單位之就診紀錄,將可大幅提升醫療效率,特別是在急診的狀況下,整合過的單一病歷將可降低評估所需的時間。   而對於病患之個資方面保護,該部表示,首先,NEHR並不會蒐集全部患者的醫療參數,只有患者之核心醫療參數才會上傳至NEHR之資料庫內,此外亦不提供非醫療目的外之使用(例如就業及保險評估)。而為降低非法使用之機率,非法使用亦將處罰之。   另外為尊重病患個人之資訊自決權,NEHR亦提供了病患選擇退出機制(opt-out)以作為個資保護的最後屏障。然而該退出機制仍不同於一般的退出機制(即退出後不得蒐集、處理及利用),該機制僅禁止各醫療機構讀取該病患之醫療紀錄,但是各該機構依NHER之架構仍應將每次就診紀錄上傳之,此一設計係避免緊急情況下或病患同意讀取電子病歷時,卻無醫療紀錄可供查詢之窘境。

TOP