德國聯邦內政部提出「資訊科技安全法」(草案),保障關鍵基礎設施及資訊安全

  德國聯邦內政部繼與德國聯邦經濟暨能源部與交通暨數位基礎設施部共同擬定之「數位議程2014 - 2017」(Digitale Agenda 2014 – 2017)政策裏,於本年8月19日提出資訊科技安全法(草案)(IT-Sicherheitsgesetz)。該草案的提出目的為保障德國公民與企業使用的資訊系統安全,特別是在全國數位化進程中,攸關國家發展的關鍵基礎設施。德國內政部長de Maizière在新聞發表會上,宣稱要讓德國成為全球資訊科技系統及數位基礎設施安全的先驅與各國的模範。除外,亦欲藉此強化德國資訊科技安全企業的競爭力,提升外銷實力。

  該草案的主要對象係關鍵基礎設施營運者(Kritische Infrastrukturbetreiber),例如在能源、資訊科技、電信、運輸和交通、醫療、水利、食品、金融與保險等領域的企業。「關鍵基礎設施」的定義並未涵蓋德國聯邦政府部門之間使用的數據通信系統。不過,究竟係在這些基礎設施領域的哪些企業該受到資訊科技法的約束,德國內政部將陸續與各相關部會研討後再以行政法規的方式明確表列出來。

  關鍵基礎設施企業必須採取適當的保護措施以保障關鍵基礎設施的正常運行。所採取的保護措施可符合同業或同業公會裡所認可的最新資訊安全標準,且得符合一定的付出成本比例。不過衡量標準,最後還是得由德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)〉做認定。上述之企業需兩年內完成安全防護措施的設置。為防止電信系統非法入侵,該草案也修增德國電信法(Telekommunikationsgesetz)為施予電信業者更高的資訊安全防護標準。針對網際網路服務提供者(Internet Service Providers, ISP)也特別施加設置防範駭客攻擊的尖端防護措施義務。

  關鍵基礎設施業者的資訊安全系統均須透過德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)每兩年定期審核,若沒通過則會被要求依德國聯邦資訊安全局的標準去處裡該安全漏洞。

  若是上述業者的資訊安全系統有受損,並且可導致關鍵基礎設施的故障或損毀,該企業需通報德國聯邦資訊安全局,且該記錄可匿名化。但是,若是因駭客攻擊直接導致關鍵基礎設施的故障或損毀,該企業則需立即通報德國聯邦資訊安全局,不可匿名。

相關連結
※ 德國聯邦內政部提出「資訊科技安全法」(草案),保障關鍵基礎設施及資訊安全, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=6675&no=55&tp=1 (最後瀏覽日:2026/07/30)
引註此篇文章
你可能還會想看
智慧聯網之發展與個人資訊隱私保護課題:以歐盟之因應為例

澳洲隱私保護辦公室檢討實施「選擇退出機制」後對「我的健康紀錄系統」之影響

  澳洲隱私保護辦公室(Office of the Australian Information Commissioner,OAIC)在2019年11月發布的「2018-2019年度健康數位資料報告」(Annual Report of the Australian Information Commissioner’s activities in relation to digital health 2018–19),主要說明澳洲政府實施「選擇退出機制」(opt-out)後,對「我的健康紀錄系統」(My Health Record System)(下稱系統)發生的影響,以及有將近1成的國民大量選擇退出系統,造成系統的醫療健康資料統計困難之檢討。   OAIC認為會發生國民大量選擇退出系統的原因,主要是不信任政府對系統資料保護及不清楚系統使用功能有關,因此提出年度報告,內容如下: 一、改善民眾對醫療資料保護的不信任,例如對醫療業者,開發保護病患隱私的指導教材,防止、外洩即時處理的能力。 二、加強宣傳,例如開發線上資源、影音等,讓民眾在使用系統時能有更清楚認識,且對選擇退出有更明確的認知。 三、改進系統設計,讓民眾能更清楚的看見使用說明,也能隨時掌握在系統上的資訊、設置警報提醒來防止他人侵入、也增加取消功能使資料達到永久刪除的效果。   建置該系統之目的,是因為國家有蒐集與使用國民的醫療健康資料需求,國民也能使用系統查看醫療紀錄、藥物過敏紀錄、曾使用與正在使用的藥物、血液檢查等;醫療人員也能透過醫療資料之電子化,減少重複及不必要的醫療檢查、對症下藥、避免因過敏引起的反應等,將醫療資源做有效的運用。   系統建置是依據「我的健康紀錄法」(My Health Records Act 2012)第三章第一節註冊規定,要將國民的醫療健康資料納入系統,但不願意加入者,得選擇退出系統。而澳洲政府依據此法訂定選擇退出機制,2018年7月正式實施,要求全民強制加入系統,同時開放選擇退出機制,讓不願意加入系統的國民能選擇退出系統;選擇退出機制截止日期原先在2018年10月中旬,但在國民大量反應下,澳洲政府決定延至2019年1月底;在選擇退出機制的實施截止後,OAIC在2019年11月對選擇退出機制做出檢討報告,期望能透過檢討報告提出的建議來增強民眾對系統的信任與促進系統使用率。

美國白宮對具危險性的生物研究提出新規範

  美國白宮為避免由聯邦補助的生物科技研究案,因研究涉及具危險性生物,而不經意製造出生化武器,繼此於2014年9月24日由國家衛生研究院(National Institutes of Health,NIH)和白宮科技政策辦公室(White House Office of Science and Technology)共同提出新規範,即「美國政府對生物科學雙重用途研究與考量的機構監督政策」(United States Government Policy for Institutional Oversight of Life Sciences Dual Use Research of Concern),旨在加強由聯邦預算補助的生物雙重用途研究(Dual Use of Research)安全性。   前述生物科技研究中的生物雙重用途研究,意指以增進公共衛生、國家安全、農業、環境等為主旨的生命科學研究之外,尚有其他具殺傷力或致命性的合法研究,例如合成病毒、除草劑等。早於2013年,美國白宮即已開始實施「美國政府對生物科學雙重用途研究與考量的監督政策」(United States Government Policy for Oversight of Life Sciences Dual Use Research of Concern),惟本次另以機構為主要規範對象。而作成新規範之重點分述為三如下: 1.原先以補助單位(通常為國家衛生研究院),為具危險性生物研究案為監督、責成單位,現將該監督責任歸屬移轉至取得相關補助的科學家、大學或研究機構。 2.從事相關具危險性生物研究之科學家,必須通報其所屬機構,並且須召開審查委員會評估相關風險,亦須通知聯邦層級的補助單位。此外,該科學家與其機構必須提交一份風險防範之計畫書,例如建立生物安全等級(biosafety rating)較高的實驗室等。 3.違反相關規範之受補助對象,將面臨中止、限制或終止補助之處分,甚至失去申請未來聯邦補助單位所補助一切與生命科學相關研究補助的機會。

電信產業號碼資料庫之應用與法制議題-以個人隱私保護為中心

TOP