美國發表網路安全框架

  2014年2月12日,美國發表「網路安全框架(Cybersecurity Framework)」,該框架係由美國政府、企業及民間機構花費一年的時間共同發展而成,其蒐集了全球現有的標準、指引與最佳實務作法,最後由國家標準技術局(National Institute of Standard and Technology, NIST)彙整後所提出。

  本框架主要可分成三大部份:
1.框架核心(Framework Core)
框架核心包括辨識(Identify)、保護( Protect)、偵測( Detect)、應變( Respond)、與復原( Recover)等五項功能。這五項功能組成網路安全管理的生命週期,藉由這五項功能的要求項目與參考資訊的搭配運用,可使組織順利進行網路安全管理。
2. 框架實作等級(Framework Implementation Tiers)
共分成局部(Partial)、風險知悉(Risk Informed)、可重複實施(Repeatable)、合適(Adaptive)四個等級。組織可以透過對風險管理流程、整合風險管理計畫以及外部參與等三個面向的觀察,瞭解組織目前的安全防護等級。
3. 框架側寫(Framework Profile)
框架側寫係組織依照本框架實際操作後所產出的結果,可以協助組織依據其企業需求、風險容忍度,決定資源配置的優先順序,進一步調整其網路安全活動。

  此一安全框架旨在提供整體規劃藍圖予尚未建立網路安全架構的組織參考,而針對已有建立網路安全架構者,該框架並未意圖取代組織原先的風險管理程序和網路安全計畫,而係希望協助公、私部門改善資通訊科技和工業控制系統風險管理的能力。

相關連結
相關附件
※ 美國發表網路安全框架, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6513&no=57&tp=1 (最後瀏覽日:2026/08/04)
引註此篇文章
你可能還會想看
日本經濟產業省公布獲選2021年數位轉型品牌之企業名單

  日本經濟產業省(下稱經產省)與東京證券交易所共同選出「數位轉型品牌(下稱DX品牌)」,並於2021年6月7日公布獲選「DX品牌2021」、「DX關注企業2021」的企業名單。獲選的企業不僅導入優良的資訊系統、活用數據,並以數位技術為基礎的創新商業模式及管理方法勇於挑戰變革,預期能將數位技術發揮到最大的作用。   DX品牌評價的項目包含企業的願景、商業模式、經營策略、數位技術策略實施成果與重要成果指標的公開共享、公司治理。為了加強鼓勵企業推動數位轉型,經產省與東京證券交易所從獲選「DX品牌2021」的企業名單中,再選出「DX大賞企業」,作為數位時代的領導企業。另外,今年度針對因應新冠肺炎採取優良數位技術對策的企業,又特別選出「數位×新冠肺炎對策企業」。   DX品牌即為舊有的「進攻IT管理品牌」。「進攻IT管理品牌」是經產省於2015年至2019年,為了促進日本企業在IT上的運用,與東京證券交易所共同選出積極運用IT的企業為「進攻IT管理品牌」。直到2020年後,因應數位技術產生新興的商業模式,經產省推動企業從IT運用轉向數位轉型技術,並將「進攻IT管理品牌」改為「數位轉型品牌(DX品牌)」。

Google公司為強化專利組合,再下一步棋

  谷歌公司(下簡稱Google)已經證實收購來自IBM公司共217篇專利;其中188篇專利為IBM已取得之專利,29篇專利為IBM公司申請中的專利。但Google拒絕透露收購金額。   這些專利涵蓋了許多不同的技術,主要的專利是與資料處理有關,例如電子郵件處理、線上日曆,以及在不同裝置間轉換web apps等功能。其中一篇專利預期用以提升Google的社群網路(Google+)之搜尋功能。   其實從去年開始,Google已經收購了來自IBM公司總共約2000篇的專利,這些專利內容與手機軟體、電腦的硬體設備,以及處理器有關。此外,Google去年也以鉅額收購Motorola公司,背後一個很大的原因可能是跟Motorola所擁有的2萬多篇專利有關。   目前許多科技龍頭公司,已有例行性地藉由採取專利訴訟以取得市場地位的趨勢。例如Apple已指控包括HTC等智慧型手機供應商,因使用Google所擁有的Android手機操作系統,而涉嫌侵害Apple的諸篇專利;在與Apple的爭訟過程中,HTC獲得來自Google收購Motorola後所獲得之專利。   Google的執行長佩吉(Larry Page)在宣布收購Motorola時曾經表示,藉由收購Motorola可強化Google的專利組合(patent portfolio),協助Google公司對抗來自Apple或其他公司的競爭威脅。   Google公司透過持續不斷地強化專利組合,拓展專利領域,企圖在這些因專利涉訟的智慧型手機市場中,穩固其市場霸主地位。

歐盟對於「被遺忘權」公布指導方針與實施準則

  歐盟資料保護主管機關(European Union Data Protection Authorities, EU DPAs,以下簡稱DPAs)所組成的第二十九條資料保護工作小組(The Article 29 Working Party,以下簡稱WP29) ,於2014年11月26日宣布將適用5月13日Google西班牙案(C-131/12)判決結果之指導方針(guideline)。該項宣示確立了被遺忘權效力所及之範圍,以及各國DPAs受理資料主體(data subject)所提出訴訟之標準。   WP29表示,一如該判決所示,將連結於搜尋結果清單中移除,必須以全球網域為範圍,才能使資料主體權利受到完整、有效之保護,並且所依據歐盟資料保護指令95/46/EC才不至於受到規避。因此,儘管搜尋引擎營運者如Google認為,該項指令效力僅限制於歐洲,以及全球網域中低於5%歐洲網路使用戶,所以他們只需要將具爭議的連結,從歐盟網域的用戶搜尋結果中移除即可。但WP29則強調,倘若判決僅以歐盟網域為限制範圍,對於欲為歐盟公民隱私保護的立意來說,可能將無法全面保護。鑑此,歐洲隱私監管機構(Europe’s privacy regulators)亦於2014年11月26日表示,搜尋引擎營運者如Google公司,將連結於搜尋結果清單中移除,必須以全球網域為範圍,而非只是僅以歐盟境內網域為資料主體得要求實行被遺忘權(right to be forgotten)的範圍,以符合歐洲法院判決的要求結果。   自該判決所確立之資料保護權利主張,以資料主體發現某一搜尋係以其姓名為基礎,而搜尋結果的清單顯示通往含有該個人資訊網頁之連結,則資料主體得直接與搜尋引擎營運者聯絡(approach);次之,若搜尋引擎營運者不允其要求,資料主體則得轉向各國DPAs,在特定情形下,要求將該連結從搜尋結果清單之移除 。係該判決以歐盟資料保護指令95/46/EC為法規依據,經由釐清相關爭點、樹立指導方針及準則(criteria),謹分別列出如下: (一)搜尋結果是否連結至個人資訊,並且包含資料主體之姓名、筆名或暱稱; (二)是否資料主體在公領域居有重要角色或具公眾形象,以及是否公眾應具有取得前述資料之法益; (三)是否資料主體為少數例子,(意即顯見DPAs可能要求移除該搜尋結果) (四)是否資料具正確性; (五)是否資料具關聯性且不過份,並(a)連結至資料主體之工作生活;(b)搜尋結果(the search result)連結至據稱對訴訟者為憎恨、評論、毀謗、汙辱或具侵犯性資訊;(c)資料清楚反映為個人意見,或顯然受過驗證為事實。 (六)是否根據資料保護指令第8條,該資料具敏感性如個人健康狀況、性向或宗教信仰; (七)是否該資料已經過時,或是對於資料處理目的來說,其存在已為冗贅; (八)是否該資料處理已足生對資料主體之偏見,並且對其隱私已具有不對等的負面影響; (九)是否搜尋結果與資料連結,已造成資料主體暴露於危險威脅,例如竊取身分或受到跟蹤; (十)是否資料主體(a)自願使公眾知悉其資訊內容,或(b)可合理據知其所資訊內容將使公眾所知悉,或(c)意圖使公眾知悉其資訊內容; (十一)原有資訊是否以新聞目的為出版,而該項標準不得單獨為拒絕請求移除之基礎; (十二)資訊之出版者是否具有法律依據或義務,使該個人資料得公諸於世; (十三)是否該資料涉及刑事犯罪,而應由DPAs以公權力使犯罪者資訊公諸於世,原則上DPAs可能考慮對犯罪發生年代相對久遠、犯行較輕者,為搜尋結果之移除;而較不可能對近期發生、犯行嚴重者,為搜尋結果之移除。   以上13項準則皆立基於大眾取得資料權之法益為衡量,供各國依個案判斷是否受理資料主體所提出訴訟,以俾利未來各國DPAs處理相關爭訟之遵循依據。

英國資訊委員辦公室推出資料分析工具箱協助組織檢視資料保護情形

  英國資訊委員辦公室(Information Commissioner's Office, ICO)於今(2021)年2月17日推出資料分析工具箱(data analytics toolkit)供所有考慮對個人資料進行資料分析的組織使用,旨在幫助組織駕馭人工智慧(Artificial Intelligence, AI)系統對個人權利所可能帶來的挑戰。   ICO表示,越來越多的組織使用AI來完成特定任務,例如使用軟體自動發現資料集(data sets)的模式,並藉此進行預測(predictions)、分類(classifications)或風險評分(risk scores),組織在使用個人資料進行資料分析時,納入資料保護的概念是至關重要的,除符合法律要求外,也能增強民眾對技術的信任與信心。   使用ICO的資料分析工具箱時,首先會詢問組織所適用的法律,並引導至相對應的頁面,並透過合法性(lawfulness)、問責與治理(accountability and governance)、資料保護原則(data protection principles)以及資料主體權利(data subject rights)等一系列的問題瞭解組織的資料保護情形,在回答所有問題之後,工具箱將產生一份報告,提供組織關於資料保護的建議,提高組織資料保護的法令遵循程度。   ICO強調,組織應該要在個人資料處理的過程中考量報告中所提及的建議,並向組織的資料保護長(Data Protection Officer, DPO)徵詢其意見,在組織委託、設計與實施資料分析時落實個人權利與自由的保障。

TOP