美國新創企業啟動法（JOBS Act）聽證進展
2014年7月24日美國眾議院金融服務資本市場附屬委員會（House of Representatives Committee on Financial Services’ Capital Markets Subcommittee）針對新創企業啟動法（Jumpstart Our Business Startups Act，簡稱JOBS法）舉行聽證，由證券交易委員會（United States Securities and Exchange Commission，簡稱SEC）企業融資處基思‧希金斯（Keith Higgins）處長（Director of the Division of Corporation Finance）向委員會說明。
各界對於JOBS法相當重視，委員們於聽證會中提出相關疑慮，處長回應包括：
- 期望今年底提出JOBS法所漏未規定之「存款與貸款」（savings and loans）部分之補救計畫（proposal）。
- 關於2013年SEC舉行之小型企業資本形成之企業論壇（Business Forum on Small Business Capital Formation）」之建議，例如創業者仰賴朋友與家人資助，仍應發行群眾募資證券（crowd-funding securities）給予此類非合格投資者（non-accredited investor）等，將部分建議納入考慮。
- SEC正考慮將JOBS法原設定50萬美元的籌資門檻提高，以因應門檻（過低）對於群眾募資可能之負面影響。
- 本法提供股票初次上市的快速入口程序（onramp process），及快速成長公司（emerging growth companies）發行報告給潛在投資人，其執行緩慢原因在於投資人之顧慮，但相信此程序將經常被運用。
希金斯處長雖就部分疑慮進行解答，然後續仍須觀察SEC將如何完成JOBS法相關規範之制定與執行狀況。
哈佛大學的醫學研究人員最近公開表示，他們已經展開複製人類胚胎、創造幹細胞的工作，由於布希政府在數年前即已頒布禁令，禁止聯邦政府資助新的幹細胞系，故哈佛幹細胞研究所的這項計劃將以私人募集的基金進行。 人類胚胎幹細胞的研究一直具爭議性，因為抽取細胞需要破壞人類胚胎。哈佛幹細胞研究計劃以創造特定疾病的幹細胞系為目標，希望研發出多種不治之症的療法。哈佛大學認為這項計劃的潛在好處，大於人類生命神聖遭挑戰的關切，蓋其長期目標是，創造從病患細胞組織取得的胚胎幹細胞，修正基因缺陷，將修復細胞植回病患體內。校長薩默斯在聲明中說：「雖然我們了解且尊重反對此項研究者所持的信念，我們同樣誠摯地面對我們的信仰，相信攸關無數受苦孩童與成人生死的醫學需要，賦予這項研究繼續前進的正當性。」
韓國人工智慧風險管理趨勢研析韓國人工智慧風險管理趨勢研析 資訊工業策進會科技法律研究所 2020年6月25日 人工智慧技術正不斷地突飛猛進，後更因深度學習應用帶來令人難以置信的進步，迅速成為眾多產業轉型的重要推手。然而，當眾人專注於追求人工智慧的逐利時，也隱然意識到人工智慧與現實世界的互動，似已超越人類認知能力，或依當下技術知識經驗仍難加以掌握。以自駕車為例，其利用感測器感知外界進行影像辨識、理解預測進而做出決策的整體流程上，不論是在路人、車輛等圖像辨識、現場就路人及車輛行動之預測，乃至後端根據前階段路人、車輛行動預測與現在位置判斷最佳路徑的過程，處處是不可測的風險。申言之，從辨識正確率、現場狀況理解度至演算法決策來說，吾人所得掌控者有限。主因在於人工智慧的複雜與靈活性特色，實難通過統一概念加以界定。次者是人工智慧的自動化決策本身，事實上難以被確實地預見。甚至，就人工智慧可控性上，亦充斥各類不確定要素，特別是訓練資料偏差、又或設計者主觀意識之偏頗都可能造成預想之外的結果。 截至目前為止，人工智慧應用已然帶來已引發諸多風險議題，包含於開發、設計及製造端所論及之風險議題涵蓋歧視與偏見，如資料偏差、樣本資料結構性不平等[1]致使機器學習或有偏誤，進而影響判斷，產出具有歧視或偏見之結果[2]；個人資料及隱私保護上，則係因人工智慧訓練對資料具有大量需求，涉及個人資料部分，將面臨蒐集（踐行告知程序）、處理和利用（於當事人同意之範圍內處理、利用）是否善盡保護義務與合乎法規要求；演算法黑箱帶來不透明的決策，難以預測與檢驗決策流程、判準是否有誤[3]。就此，考慮到人工智慧之重要性與風險，或有必要立基於風險預防理念進行相關風險控管，甚或以風險責任分擔角度，討論相關權責分配，以應對未來可能衍生的危害或重大風險。 人工智慧風險控管之法律基礎無法悖於倫理道德基礎。觀諸國際間討論，韓國早在2007年即已倡議機器人道德理念，並在2008年起接連有相關立法舉措。本文將以之為中心，探究其人工智慧在風險控管之相關立法政策措施，盼可從韓國做法中反思我國推行人工智慧風險管理之方向。 壹、事件摘要 一、韓國智慧機器人相關法制措施 （一）《智慧機器人發展和促進法》風險管控介紹 2008年9月韓國《智慧機器人發展和促進法》（지능형 로봇 개발 및 보급 촉진법）正式生效。該法旨在鋪設智慧機器人產業發展之法律基礎，包含在法律中嘗試引入智慧機器人定義（指通過識別外部環境並判斷狀況後自動運行之機器設備，包含機器設備運行所必要軟體），以此作為後續促進產業發展、規劃機器人責任歸屬或保險等討論之開展基礎；另外也以促進產業發展觀點，訂定產品安全開發與布建之支持法源依據；挹注國家科研能量確保技術穩定；建置智慧機器人產業分類系統，依此做為機器人產業統計基礎，為國家在機器人管理及政策提供相關數據。 其中，特別的是除了促進性規範外，亦首度於法律提出機器人倫理道德的概念，賦予主管機關訂定與「機器人倫理道德憲章」（로봇윤리헌장）相關內容之義務。 所謂「機器人倫理道德憲章」，係指針對智慧機器人功能及其智慧化發展，規範製造和使用人員之指導方針，以防杜危險發生並避免機器人不利於人類生活品質。換言之，機器人倫理道德憲章可認為是針對智慧機器人開發、製造、使用上的準則，盼可用以防止因智慧機器人功能而衍生之社會損害。就此，韓國工商部曾擬定《機器人倫理道德憲章草案》，可參考如下： 第一條（目標）機器人倫理道德憲章目標係為人類和機器人共存共榮，並確認以人類爲中心的倫理規範。 第二條（人與機器人的共同原則）人類和機器人應當維護相互之間生命的尊嚴、資訊和工程倫理。 第三條（人類倫理）人類在製造和使用機器人時，必須使用良好的方法判斷和決定。 第四條（機器人倫理）機器人是順從人類命令的朋友或是協助者、夥伴，不得傷害人類。 第五條（製造商倫理規範）機器人製造商有義務製造維護人類尊嚴之機器人，同時，必須承擔回收機器人、資訊保護義務。 第六條（使用者倫理）機器人使用者應當尊重機器人爲人類的朋友，禁止非法改造和濫用機器人。 第七條（實施的承諾）政府和地方政府應實施有效措施，以體現《憲章》的精神[4]。 觀察《智慧機器人發展和促進法》內涵，富有藉重法律效果與效能引領智慧機器人產業發展之精神，企圖形成政府政策借助立法促成經濟層面活動向上發展。然而，隨智慧機器人技術逐漸深入社會，韓國旋即意識到人工智慧在權益維護、風險管控上仍有進一步補強之必要，進而提出《機器人基本法草案》，並開展韓國在機器人倫理道德、歸責原則之相關討論，以順應社會整體的變革。 （二）《機器人基本法草案》 如前所述，意識到人工智慧發展已然滲入日常生活，有必要在機器人普及化的社會接受過程中，應對各類問題預先防範。韓國國會議員遂於2017年7月19日提出《機器人基本法草案》（로봇기본법）以反映機器人發展趨勢與問題。 《機器人基本法草案》主要目的是為機器人融入社會過程中的政策方向、原則進行引導，以有助於機器人產業健全發展。是以，該法在風險控管部分，通過二類做法予以調控，一是建立倫理道德準則之原則、二是嘗試提出歸責原則以釐清相關應用所生之爭議。 一者，藉道德倫理界線之提出使產業更為允當運用人工智慧。借用產品生命週期之概念，分就設計、製造以及使用者責任三階段規範。在設計階段，著重於產品內部構造、軟體介面設計的安全性，另就不侵犯人權及社會利益上，強調預先從設計確保產品永續性、倫理性及使用上的安全性；在製造階段，則從遵法性、說明義務及產品維護修繕責任等，揭示製造商在產品製造、銷售應行之事項；最後，則從使用者角度，以應用階段各項自律、他律規範，明示遵法義務與道德倫理原則，並特別指明宜避免過度成癮。 次者，在責任分配與歸屬上，於現行法令無以適用情況下，允許受損害者得向機器人之銷售者或提供者求償。然而，為免製造商或銷售者過度承擔賠償責任之風險，亦設置免責條款，規定當產品因缺陷致使損害發生，而該缺陷係以當時技術水準所無法發現之情況，或是該缺陷是製造商遵守當時機器人法令所規定標準所肇致，則將免除製造商之損害賠償責任。 綜合前述，《機器人基本法草案》在倫理道德及責任分配歸屬的風險管控上，提出諸多可資參考之方式，然而在基本法審議過程中，韓國政府認為雖有必要管制風險，卻不宜過早以立法手段介入遏止創新，而未能通過韓國國民議會。 （三）韓國人工智慧國家戰略 雖然《機器人基本法草案》未能立法通過，然而韓國相關立法脈絡已展現除關注於促進智慧機器人產業發展外，在倫理道德、責任上的風險調控亦不可偏廢態勢，且從智慧機器人進一步聚焦於人工智慧。 2019年12月第53屆總理會議（국무회의）[5]，韓國擬定涵蓋科學資通訊技術部在內所有部會共同推動之「人工智慧國家戰略」（AI 국가전략）作為橫跨經濟和社會的創新專案[6]，以攻守兼備方式發展人工智慧。分從技術、產業、社會三方面著手，為韓國發展人工智慧半導體產業取得先機，進而拔得在相關領域的頭籌；次者，完備先進資通訊技術基礎設施，借力人工智慧積極轉型為新世代數位政府；其三，從教育扎根，建設人工智慧教育體系以培植相關領域專業人才；第四，秉持「以人為本」精神發展人工智慧，建立人工智慧倫理原則、擴張就業安全網保障勞工，使人工智慧所產生之效益可散發至社會各個角落。預計通過該戰略，將可在2030年壯大韓國之數位競爭力，使人工智慧經濟產值增長至4550000億韓圜（約3800億美元），提升國民生活品質[7]。 整體而言，該戰略建立基於技術的立法、以人為本的道德以及改善整體社會法律體系三者為核心。基於技術的立法，如《信用資訊法》修訂，允許假名化資料利用，以鬆綁人工智慧資料應用需求，並平衡隱私保障；以人為本的道德，像是參考國際間道德倫理之標準，推行「人工智慧道德標準行動計畫」（AI 윤리기준 및 실천방안 마련），加速研擬建立在安全、責任或是擔保上的規範[8]；改善整體社會法律體系，包含修正《國民就業援助法》擴大就業安全網，透過保險、教育、就業支援等方式協助受人工智慧衝擊影響之勞工、《就業政策基本法》中研擬為人工智慧業務建立相應人才教育。三者之推動，除帶動人工智慧產業蓬勃發展外，也兼顧社會層面道德、權益保障。 貳、重點說明 一、以剛性立法手段推進產業發展 觀察韓國，其人工智慧發展態度係以鼓勵為重。主因在於對企業來說，採用新興科技應用或可能囿於法遵成本、研發投資耗費過鉅、相關領域人才稀缺等多重因素而有所疑慮。有鑑於前開問題，韓國以正面態度，在風險控管措施上，嘗試藉由法規手段解消人工智慧發展所面臨之問題，即在賦予政府確實制訂與推進人工智慧發展政策責任，使業者可預期政府態度；次者，設置法律作為行政機關提供產品安全開發與布建支援依據，確保科研能量技術的穩定；再者，藉由智慧機器人分類系統建立產業管理與統計基礎，俾利後續依統計數據進行決策。 至於權益保障、風險如何評價及規範，雖有論者倡議另制定《機器人基本法草案》彌補《智慧機器人發展和促進法》於法律內部體系權利價值詮釋上的缺陷，然經立法成本與當時技術成熟度之衡量，並未過早規範技術之發展。 二、借軟性規範措施型塑兼容並顧之環境 另方面，觀察韓國在面對人工智慧機器人時的應對方式，發現在促進發展上，韓國無不餘力地大力採用剛性立法手段，以鋪設技術、投資所需之基礎建設及支援。而就尚難定論之技術風險管控，像是倫理道德、歸責原則調控等，考量技術尚未臻成熟，實難以剛性立法方式加之管理，而有以政策方式先試先行之傾向，形塑具有包容彈性之環境，鼓勵人工智慧機器人產業之投入，並依此作為後續法規調適之基礎。 鑒於人工智慧機器人所涉領域之多元，誠然有必要以宏觀角度全盤檢視與調適相應之規範及措施。故而，韓國2019年底提出富含權益保障與經濟逐利精神之「人工智慧國家戰略」，並鏈結不同部會共司建立彈性包容人工智慧機器人產業之環境。 參、事件評析 綜觀上述，韓國面對人工智慧及機器人，對內，以剛性立法手段，先行鋪設智慧機器人產業發展之基礎，包含界定智慧機器人範圍、賦予行政機關訂定倫理規範等一定義務、設置行政支持法源依據、以分類系統規劃作為數據統計基礎進行決策等，以拉抬、激勵企業投入研發，促成經濟層面活動之擴散與發酵；對外，以軟性規範宣示韓國政府發展智慧機器人產業態度、吸引國際間產學研能量挹注，並同步促成內部社會法體制之調整，不難看出韓國政府的企圖與決心，且整體上已約略有鼓勵、促進逐漸轉變為管理層面意味。 在我國方面，亦已意識到人工智慧風險管理之重要性，立法委員並在2019年5月倡議《人工智慧發展基本法草案》希望以制定基本法之方式，從研究、開發乃至整合等，厚植我國人工智慧實力，並嘗試建立人工智慧開發準則與倫理原則。韓國前述有關人工智慧之規範作法，或許可茲我國借鏡，就促進人工智慧技術經濟層面效益之面向，可由政府擬定具實質效力之法規範推動之；就現尚難明確定位之倫理準則及風險控管，採用軟性規範方式，先行以具包容性之政策、指引等作法試行，以待日後技術臻至成熟穩定，再行考量轉化為立法管理之必要。 [1] Crawford, K. et al. The AI Now Report: The Social and Economic Implications of Artificial Intelligence Technologies in the Near-Term, AI Now, 2016, https://ainowinstitute.org/AI_Now_2016_Report.pdf （last visited May. 22, 2019） [2] Cassie Kozyrkov, What is AI bias?, https://towardsdatascience.com/what-is-ai-bias-6606a3bcb814 （last visited May. 22, 2019） [3] BBC, The real risks of Artificial Intelligence, http://www.bbc.com/future/story/20161110-the-real-risks-of-artificial-intelligence（last visited May. 22, 2019）. [4] 김성원 선임,지능정보사회의 도래와 법·윤리적 과제- 인공지능기술의 발달을 중심으로 -, National Industry Promotion Agency（2017/11/15）, p10. [5] 總理會議係韓國特有的系統，主要由總統、總理以及15位至30位不等之國務院成員共同組成，成員包含各部會之首長。主要職能是做為國家決策的機構，並協調政策或行政事務。詳細資料可參見：http://theme.archives.go.kr/next/cabinet/viewIntro.do。 [6] 〈정부, AI 국가전략 발표…”AI 반도체 세계 1위 목표”〉，Bloter，2019/12/17，http://www.bloter.net/archives/364678 （最後瀏覽日：2020/2/1）。 [7] 〈인공지능（AI） 국가전략 발표〉，과학기술정보통신부，2019/12/17，https://www.msit.go.kr/web/msipContents/contentsView.do?cateId=_policycom2&artId=2405727 （最後瀏覽日：2020/2/1）。 [8]〈인공지능 국가전략〉，관계부처 합동，2019/12，頁36-38。
美國聯邦民航局發布《先進空中移動執行計畫》，以利全面整合並促進產業安全擴展美國聯邦民航局（Federal Aviation Administration, FAA）於2023年7月18日發布《先進空中移動執行計畫》（Advanced Air Mobility (AAM) Implementation Plan），詳述FAA與利害關係人於短期內實現AAM運作需採取之步驟。 AAM是一個新興航空生態系統，透過創新先進技術與新型航空器，包括電動航空器或電動垂直起降航空器（electric vertical takeoff and landing, eVTOL），提供交通運輸更具效率、永續與公平的選擇機會。不過，本執行計畫所稱之AAM僅適用於有人駕駛之客貨運輸類型。為促進日常相關服務，該計畫以現行飛航程序與基礎設施為利用基礎，並就航空器與飛行員認證、空域進出管理、飛行員培訓、基礎設施開發、安全維護、公眾參與等事項進行處理，以引領產業安全擴展。此外，本計畫還包含可應用於任何場域之計畫指南（planning guide），並臚列關鍵整合目標與順序。本次計畫著重之處簡述如下： （1）運作：飛行員將能按預定飛行計畫駕駛新先進移動航空器往返多地；AAM航空器將盡可能使用機場周圍等級B與C空域範圍內之既有或修正的低空目視飛行規則（Visual Flight Rules, VFR）路線，飛行於城市與大都市地區上空4000英尺（約1219.2公尺）。 （2）基礎設施：營運商、製造商、州與地方政府，以及其他利害關係人將負責計劃、發展與利用直升機場（heliport）或垂直機場（vertiport）基礎設施；起初AAM將運作於既有的直升機場、商業服務機場與通用航空（general aviation, GA）機場，故需針對充電站、停機坪與滑行空間等進行改造與安裝。 （3）電網（Power Grid）：電網可能需要升級以供AAM操作；FAA與美國國家再生能源實驗室（National Renewable Energy Laboratory, NREL）簽署機構間的協議，以確定航空器電氣化（electrification）對垂直機場、直升機場或機場電網的影響。 （4）安全：美國國土安全部（Department of Homeland Security, DHS）將確定必要的AAM安全類型；美國運輸安全管理局（Transportation Security Administration, TSA）與FAA亦評估基於先進技術的使用與操作協定（operational protocols）而提高資安要求之需求。 （5）環境：FAA將斟酌AAM運作的環境影響，包括噪音、空氣品質、視覺干擾及對野生生物的破壞等因素。 （6）公眾參與：為更了解公眾對AAM運作的擔憂（包括噪音與緩解措施），FAA將與機場、地方、州及社區進行合作；許多利害關係人（如AAM營運商、機場與垂直機場營運商）將於公眾參與中扮演重要角色。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).