IEA報告對合乎能源效率的建築外殼提供政策建議
本文為「經濟部產業技術司科技專案成果」
徐彪豪
法律研究員 編譯整理
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。 該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。 OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
普利司通公司就安裝在美國汽車中之零組件價格壟斷乙案認罪，並同意支付4億2仟5佰萬美元刑事罰金美國司法部宣布日商普利司通（Bridgestone Corp.）股份有限公司，就其共謀操縱安裝於汽車中並銷售至美國及其他國家之汽車防震橡膠零組件價格乙案認罪，並同意支付4億2仟5佰萬美元之刑事罰金。 根據俄亥俄州（Ohio）地方法院所提起的一項重罪控訴，該公司於美國及其他國家共謀參與分配銷售、操縱報價及壟斷、提高並維持其出售予豐田（Toyota）、日產（Nissan）汽車公司、富士重工業（Fuji Heavy Industries）公司、鈴木（Suzuki Motor）公司、五十鈴（Isuzu Motors）汽車公司及其某些子公司、加盟和供應商之汽車防震橡膠零組件價格。除了刑事罰金外，普利司通公司並同意配合司法部進行後續之汽車零組件案調查。本認罪協議（plea agreement），業經法院批准。 在2011年10月，普利司通公司即因「海洋軟管」（marine hose）乙案涉嫌壟斷價格及違反「海外貪污防治法」（Foreign Corrupt Practices Act）而遭控訴，經認罪協議並支付2仟8佰萬美元罰金。但於是案答辯中，該公司並未就其同時涉及防震橡膠零組件共謀操縱價格乙情，主動為揭露。該公司未主動揭露上情，乃是本次罰金高達4億2仟5佰萬美元原因之一。 美國司法部副助理部長Brent Snyder表示：「美國司法部反托拉斯署將針對屢犯卻未主動揭露其他反競爭行為者，採取強硬態度。本案之鉅額罰金，即重申該署致力於令企業就其傷害美國消費者之行為，負起責任。」普利司通公司遭指控因價格壟斷違反謝爾曼法案，依法最重可處1億美元之刑事罰金。如企業因犯罪所獲利益之兩倍數額，或犯罪被害人所受損失之兩倍數額，其一逾前開法定最高罰金時，得加重至該數額。
愛爾蘭資料保護委員會發布《控制者資料安全指引》，提供資料控制者關於個人資料安全措施之依循指引愛爾蘭資料保護委員會（Ireland's Data Protection Commission）於今（2020）年2月公布控制者資料安全指引（Guidance for Controllers on Data Security），愛爾蘭資料保護委員會表示本指引亦適用於資料處理者。指引內針對17個面向說明控制者於資料處理時應考量之安全措施，分別為：（1）資料蒐集與留存政策（Data Collection and Retention Policies）；（2）存取控制（Access Controls）；（3）螢幕保護程式（Automatic Screen Savers）；（4）加密（Encryption）；（5）防毒軟體（Anti-Virus Software）；（6）防火牆（Firewalls）（7）程式修補更新（Software Patching）；（8）遠端存取（Remote Access）；（9）無線網路（Wireless Networks）；（10）可攜式設備（Portable Devices）；（11）檔案日誌及軌跡紀錄（Logs and Audit Trails）；（12）備份系統（Back-Up Systems）；（13）事故應變計畫（Incident Response Plans）；（14）設備汰除（Disposal of Equipment）；（15）實體安全（Physical Security）；（16）人為因素（The Human Factor）；（17）認證（Certification）。 此外，愛爾蘭資料保護委員會還強調，歐盟一般資料保護規則（General Data Protection Regulation, GDPR）第25條與第32條有關資料控制者之義務，可透過「從設計與預設機制著手資料保護（Data protection by design and by default）」，與適當的技術及組織措施等方式，並考量現有技術、執行成本、處理之本質、範圍、脈絡及目的與對當事人權利及自由之風險可能性與嚴重性等因素，以確保其安全措施符合相應資料風險之安全等級。 最後，愛爾蘭資料保護委員會表示資料控制者更應確保其組織內員工瞭解該等安全措施並確實遵守，資料控制者應於制定其資料安全政策時考量到本指引所列各項目，以履行其保護資料安全之義務。
歐盟延攬人才 推動新措施有鑒於現今歐洲投資於研發的經費遠落後於美國，因此使得近幾年仍無法有效縮減歐盟與美國間的創新發展落差。日前執委會提出一項針對研發環境的整合性計畫，希望藉以提升歐洲創新與研究的相關條件 。 這項計劃其來有自，早在2000年里斯本高峰會議宣示致力達成「歐洲研究領域（ European Research Area） 」；2002年巴賽隆納高峰會更作出重要決議：要求所有會員國需在2010年前完成科研投資達GDP3%的目標，並且期望其中三分之二的投資將來自工商界。 該項計劃特別將焦點集中在改善私部門研發與創新之投資條件上，透過「研究人員流通行動方案」 提倡科研人才前往私人研究部門、鼓勵大學和企業之間的合作，並透過租稅補貼來鼓勵企業的投入、重新配置研究基金、改善提升大學與企業間夥伴關係等獎勵措施，以提升經濟成長與創造就業機會。