英國Ofcom提出「促進智慧聯網之投資與創新」報告並對英國智慧聯網管制應補強之方向提出建議
英國電信主管機關Ofcom於2015年1月提出「促進智慧聯網之投資與創新」報告（Promoting investment and innovation in the Internet of Things），對英國智慧聯網（Internet of things, IOT）之管制發表意見。Ofcom認為就英國發展智慧聯網之現況而言，在商業上確實已經進行智慧聯網發展並投資之，然，並未對複雜的發展做好準備；Ofcom亦承認英國在基礎設施和政府管制架構上，尚未具備適當的發展。於此報告中，Ofcom提出四方向的建議，分別為資料隱私與消費者認識、網路安全與防護、智慧聯網可用之頻譜和電話號碼與網址管理等四項。
首先在資料隱私與消費者認識部分，Ofcom認為以現有管制保護智慧聯網下之隱私的效果有限，因此建議英國「資訊專員辦公室」（Information Commissioner's Office , ICO）需要發展未來隱私保護議題之解決方法，並且與政府及其他管制機關就資料隱私之法制議題共同進行，包括將現有之資料保護管制之範圍進行評估，考量是否需涵蓋到所有智慧聯網設施，和訂定智慧聯網資料共享之原則。
第二，在網路安全與防護管理上，Ofcom指出英國2003年通訊法（Communication Act 2003）已就服務提供者所提供之公眾可使用的網路與服務，課與特定安全與防護責任；例如網路與服務提供者必須採取適當的手段管理安全風險，尤其需將對終端使用者之影響降至最低、網路提供者必須採取所有適當的程序，盡可能的保護網路安全。然，Ofcom認為智慧聯網並未直接規定於現有的管制中，例如智慧電網設施之高度安全與防護範圍應涵括私人網路；故，應評估必須規定於法律中的智慧聯網網路與服務種類，以達完善防護。
再者，關於智慧聯網可用之頻譜議題，著重於用於智慧聯網之技術須改進。目前使用之頻譜在2.4和5GHz（此頻譜亦用於Wi-Fi服務）；而未來的設施也可能使用到1GHz以下的頻譜，同時Ofcom也說明其將來僅會監視頻譜的利用，而不會開放新的可用頻譜。
最後，在電話號碼與網址管理方面，就智慧聯網設施之網際網路協定，未來可能會從IPv4發展成為IPv6也是相當重要的。Ofcom認為未來智慧聯網可能會發展成一個「相當大數量且顯著的設施」，故採用IPv6將顯得更為重要；然，就目前而言，英國採用IPv6之情況系落後於其他國家的。
Ofcom現正致力於發展新的頻譜管制、數據隱私、網路安全與網址等管制，殊值得繼續觀察以俾利我國智慧聯網管制與發展。
英國氣候變遷委員會（Climate Change Committee）於2024年7月18日依據《氣候變遷法》（Climate Change Act）向議會提交「2024年減排進度報告」（Progress in Reducing Emissions 2024 Report）。該報告提出多項政府為達成溫室氣體減量目標應優先執行之政策建議，重點內容如下： 1.調整政策以排除尚未成熟的低碳發電部署相關措施及其社會成本，以降低電價。 2.針對上屆政府推遲化石燃料車輛銷售禁令、決定20%家戶毋須淘汰化石燃料鍋爐，及免除房東提升租屋能效之義務等政策，應迅速恢復推動。 3.移除阻礙熱泵、電動車充電樁及陸域風電等關鍵技術部署的行政障礙。 4.提出公部門建築去碳之完整多年期戰略計畫。 5.改善再生能源差價合約（contracts for difference）競標機制的設計與執行。 6.提供政策支持以加速產業電氣化，促進多數產業轉向使用電熱技術。 7.加強植樹造林及泥炭地復育。 8.確立大規模部署人為工程碳移除技術（engineered removals）的商業模式，以實現2030年，每年移除至少500萬噸二氧化碳目標。 9.就全國推動淨零轉型所需之勞工技能進行全面評估與規劃。 10.強化國家氣候變遷調適政策，設定明確且可衡量之目標，以作為其他重大政策之制定基礎。 總體而論，英國的溫室氣體減量目標正面臨難以達成的重大風險，政府應迅速採取行動，並優先執行氣候變遷委員會所提出之政策建議。
科技計劃研發成果之讓與及終止維護-科技部審查程序所生疑義-科技計劃研發成果之讓與及終止維護 -科技部審查程序所生疑義- 資策會科技法律研究所 法律研究員 林思妤 105年04月28日 壹、前言 科技部目前提供產學合作計劃補助類型相當多元，有為產業發展前瞻技術的先導型計劃、為產業開發核心應用創新技術的開發型計劃，以及培育人才的應用型計劃[1]，但補助的目的均係期待產學合作的研發成果以授權方式，廣泛為社會大眾使用，發揮其最大之效益。 惟部分研發成果或有可能經執行單位評估後，認為將該研發成果讓與給廠商或是企業可達更大運用效益而進行的讓與，抑或是在運用效益不高的情況下擬終止繳納該研發成果的維護費用。當研發成果有讓與或終止維護需求的情況下，其程序如何進行、實質要件如何審查，在法規適用上非無疑義。本文將以現行「科技部研究成果歸屬及運用辦法」（下稱科技部成果歸屬辦法）中「讓與」、「終止維護」的程序及審查流程為主要對象，就其規定內容與所面臨之適用問題，進行研析並提出調修之建議。 貳、各部會成果歸屬辦法讓與、終止維護規定有差異 根據科學技術基本法第6條第3項[2]，行政院於2000年訂定「政府科學技術研究發展成果歸屬及運用辦法」，以供所屬各部會遵循。在主管機關階層，目前經濟部、農委會、國防部、原能會等也都有各自的成果歸屬辦法[3]，而科技部亦於2011年制定了「科技部科學技術研究發展成果歸屬及運用辦法[4]」。各部會之所以針對研發成果的運用方式給予規範，乃是由國家給予該研發成果補助的立場出發，希望能夠以授權的方式，尤其是非專屬授權的方式作為研發成果的運用，讓社會大眾有廣泛使用、享受該研發成果的機會[5]。因此，在政府的立場上，由各部會給予補助的研發成果要進行讓與或是走向終止維護，須根據其規範實行之。 科技部成果歸屬及運用辦法第9條至第11條為其科技計畫研發成果讓與、終止維護的程序進行方式以及審查項目之規範，其要求包括研發成果專利權在經過一定合理期間推廣之後若無授權使用，始得公告讓與該研發成果予第三人[6]，公告三個月後，無人請求受讓時，始得終止繳納該研發成果的維護費用[7]。 綜觀各部會成果歸屬辦法，科技部的規定和其他部會規範讓與、終止維護的目的相同，但在法條文字或是審查項目上則有所差異[8]： 一、在讓與、終止維護標的部分的比較，科技部是唯一一個將標的範圍限縮於研發成果專利權的單位。經濟部、國防部、衛福部、原能會以及農委會僅廣泛明文研發成果，而勞動部則是強調為研發成果智慧財產權。可見現行科技部成果歸屬辦法適用範圍之狹隘。 二、各部會在讓與、終止維護的審查規定上，大方向是一致的，皆規定了該研發成果必須是公開的，例如經過推廣（科技部）、公告（經濟部、衛服部、原能會），或是取得智慧財產權逾五年（國防部、農委會、勞動部）；以及須以授權為優先原則，諸如該研發成果無授權使用（科技部）、無運用價值（經濟部、國防部、原能會）、未商品化（衛福部）、未有實際應用（農委會、勞動部）。但究竟應如何推廣並未說明，公告時間則有三年、五年，差異甚大。 三、研發成果經過了一定時間的公開推廣並符合授權優先原則之後，其讓與評估的進行方式並未說明。在認定可否為讓與的部分，經濟部交由研發執行單位自行認定，其它部會並未明文；在公告讓與執行部分，有由研發執行單位自行公告，有由部會公告，亦有未明文者。 四、每個部會皆一致的將讓與、終止維護兩個不同的研發成果運用方式使其在同一個程序上進行，規定該研發成果公告讓與三個月之後，若無受讓對象，即可停止繳交該研發成果的維護費用[9]，是一個讓與、終止維護的連續性程序。 就上述各部會之間針對讓與、終止維護在規範上的比較，可觀察出，或許是各部會之間因研發成果性質相異而有不同考量所致，在類似的規範上仍存有前提條件上的差異；在審查項目上，要求也不一致。但各部會皆是讓與、終止維護的連續性程序，且審查項目亦皆有規範不明確的地方，例如推廣的方式。接下來，本文將就科技部讓與、終止維護的規範在適用上所產生的疑義作一分析，也期待此分析可提供其他部會在類似問題上作參考。 參、科技部研發成果讓與及終止之審查作業芻議 一、研認研發成果讓與之範圍 雖現行條文僅將研發成果限於「研發成果專利權[10]」，惟本文建議可放寬至所有研發成果，讓產學合作的研發成果能有更大的運用空間，類型能夠更加多元化，尤其是專利申請權的部分。建議納入專利申請權成為讓與標的，因為在實務上研發執行單位有礙於經費問題，無法在其研發成果的特定市場（例如國外）進行專利佈局。故建議可納入專利申請權讓與企業申請，使研發成果發揮其更大效益。 二、讓與、終止維護程序疑義 (一) 讓與、終止維護無法各自依其目的審查 目前科技部成果歸屬辦法規定是由研發執行單位就其欲讓與的研發成果先行評估是否適合讓與，再進行公告尋求受讓對象，也就是在尚未確定受讓對象時，先行評估讓與條件。這樣的程序規定並無法讓研發執行單位針對受讓對象作具體評估，也使得科技部無法就雙方條件進行有效實質審查。再者，研發成果公告讓與三個月後，若無受讓對象，即終止維護。這樣的連續性程序將有可能使尚有運用價值的研發成果走向終止維護，甚是可惜。 (二) 建議讓與、終止維護程序分軌 針對上述在程序上的兩個問題，本文建議無論是在讓與或是終止維護方面，都應在確定推廣一定合理期間、確無授權使用情形後，就先行公告讓與，待有受讓對象時，再就該讓與研發成果及受讓對象之間作具體評估。相信在確有受讓對象之後作的讓與條件評估，會比現行在沒有受讓對象時作的一般性讓與條件評估更有實質效益。 另外，欲終止維護的研發成果也應該在公告讓與一定時間之後，設有專屬的審查程序，就其運用效益、價值進行評估，而非如現行規範接續著讓與評估程序，在公告三個月後無受讓人時，即終止繳納維護費用。簡而言之，讓與或是終止維護均應該先行公告，再就其公告結果（有無受讓對象）作讓與、終止維護的評估，以避免有運用價值的研發成果落入終止維護的風險。 三、讓與、終止維護審查重點 就實質審查部分，不管是讓與或是終止維護，研發執行單位都應該先就該研發成果標的範圍進行說明，並針對經過一定合理期間推廣、確無授權使用情形提出自評結果及其相關佐證文件，再交由科技部審查。基於讓與、終止維護程序分軌的建議，兩者在部分審查項目上亦應有不同的判斷標準，例如讓與之前提即不宜以無技術服務之效益及運用價值為條件[11]。因此，本文認為其審查重點應有如下調整： (一) 一定合理期間推廣該研發成果至全國周知平台 就一定合理期間部分，現行法並未明文規定具體期間，慮及科技發展日新月異，研發成果之市場競爭力究竟可以維持多久，抑或是在多少時間之內可能被其他技術取代，不同的研發成果都不盡相同，實難具體規定所謂一定合理期間，故維持現行法之文字應無不妥。 惟就推廣方式或是宣傳平台，本文擬對現行規範以及實務上的作法提供建議。在規範部分，比較各部會之間針對讓與、終止維護的規範後，發現僅國防部有具體訂定公告方式：「前項公告，執行單位應以刊登網際網路、全國性報紙、函告業界相關公會 或辦理說明會等方式為之[12]」。另外，行政程序法第一五四條第二項「行政機關除為前項之公告外，並得以適當之方法，將公告內容廣泛周知。」強調了全國性能見度。在實務上，部分大學技轉中心也提供了推廣平台（例如交大專利推廣平台[13]）。又如英國牛津大學技轉中心Isis，目前在國際專利申請（PCT[14]）的數量排名全球第16名，截至2015年3月為止，已完成75件專利授權案件[15]。由國內外的例子看來，不管是規範上，或是實務運作上，皆可看出推廣平台的重要性。故本文建議推廣平台應有必要限於全國周知的平台[16]。 (二) 市場價值的判斷 科技部成果歸屬辦法第9條第1項提及「技術服務之效益及運用價值者」，在此，本文以市場價值稱之。而即將讓與或是終止維護的研發成果的市場價值在審查上自有其不同的判斷標準。就讓與部分，本文建議在讓與、終止維護程序分軌、先行公告讓與、確有受讓對象後，研發執行單位在自行評估讓與條件時，可請受讓對象提出針對該研發成果的預期發展效益，例如：產品研發進度、預計銷售量、讓與條件，作為讓與標的市場價值的說明。至於終止維護的部分，除了研發執行單位必須說明沒有運用價值以外，尚有一種情況是因為該研發成果維護費用過高，以至於與運用價值不合比例，因此走向終止維護。 肆、結語 科技部以及各部會基於期待其所補助的研發成果能夠廣泛被社會大眾使用，而以授權為研發成果的優先運用方式，並對讓與、終止維護部分加以規範。然後現行程序規範中，未將讓與、終止維護兩個不同的研發成果處理程序分別處理，造成兩者無法各自依其目的審查，甚至使尚有運用價值的研發成果走向終止維護，故本文建議應對讓與、終止維護程序進行分軌。又為了讓產學合作的運用更有彈性，建議放寬現行條文讓與標的的範圍由「研發成果專利權」擴大至「所有研發成果」。 本文就推廣該研發成果至全國周知平台以及市場價值在讓與、終止維護之間不同的判斷標準提供淺見，目的在於是讓研發執行單位在研發成果的運用上有更明確具體的法規遵循，使我國產學合作發展能夠日趨順利。但如何在希望達到社會大眾廣泛使用與適合該研發成果的運用方式之間，像是廠商或是企業往往偏向實質獲得研發成果所有權，取得一個平衡點，值得思考。 [1] 科技部產學及園區業務司產學合作計劃，http://web1.most.gov.tw/spu/ch/list?menu_id=03dbe285-8784-4be5-a5c9-1520f63676f5&view_mode=listView（最後瀏覽日，2016/4/14）。 [2]科學技術基本法第6條第3項：「前二項智慧財產權及成果之歸屬及運用，應依公平及效益原則，參酌資本 與勞務之比例及貢獻，科學技術研究發展成果之性質、運用潛力、社會公 益、國家安全及對市場之影響，就其目的、要件、期限、範圍、全部或一 部之比例、登記、管理、收益分配、迴避及其相關資訊之揭露、資助機關 介入授權第三人實施或收歸國有及相關程序等事項之辦法，由行政院統籌 規劃訂定；各主管機關並得訂定相關法規命令施行之。」。 [3] 王立達，「我國學術機構技術移轉法制現況、問題與探討」，全國律師13卷1期，2009年1月，47-59頁。 [4] 「科技部科學技術研究發展成果歸屬及運用辦法」，2011年7月1日，https://tw.news.yahoo.com/%E6%98%8E%E5%B9%B4%E9%80%A3%E7%BA%8C4%E5%A4%A9%E5%81%87%E6%9C%894%E5%80%8B-215005744.html（最後瀏覽日，2016/4/8）。 [5] 現行研發成果的運用、商品化的方式主要有授權、讓與或是以該技術成立新創公司等方式，若從商業化、市場競爭力的角度考量，一個研發成果的運用方式自是依其性質判斷。一般來說，廠商或是企業並不願意以授權，尤其是非專屬授權的方式，運用該研發持果，因為非專屬授權的方式通常商業價值不高。 [6]「科技部科學技術研究發展成果歸屬及運用辦法」第9條第1項：「研發成果專利權經執行研究發展之單位推廣一定合理期間後，評估無授權使用或技術服務之效益及運用價值者，基於符合公益之目的或為促進整體產業發展、提升研發成果運用效益等原則，執行研究發展之單位循內部行政程序辦理研發成果讓與相關評估後，得備函檢具相關文件向本部申請讓與第三人；文件不全或不符規定者，不予受理。」 [7]] 「科技部科學技術研究發展成果歸屬及運用辦法」第10條：「執行研究發展之單位依前條評估原則及處理程序申請讓與，並經本部同意讓與後，始得公告讓與之，三個月內無人請求受讓時，得終止繳納研發成果維護費用」。 [8] 各部會成果歸屬及運用辦法在讓與、終止維護的條號： 科技部科學技術研究發展成果歸屬辦法，100年7月1日發布，104年6月11日修正：第9、10、11條 經濟部科學技術研究發展成果歸屬辦法，89年5月19日發布，103年8月13日修正：第22條 國防部科學技術研究發展成果歸屬辦法，96年4月19日發布，103年5月7日修正：第24條 衛福部科學技術研究發展成果歸屬辦法，99年1月20日發布，105年2月25日修正：第24條 勞動部科學技術研究發展成果歸屬辦法，100年7月12日發布，104年6月16日修正：第2條第1項 行政院原子能委員會科學技術研究發展成果歸屬辦法，93年7月7日發布，103年2月18日修正：第26條 行政院農業委員會科學技術研究發展成果歸屬辦法，90年9月14日發布，102年2月6日修正：第20、27條 [9] 「科技部科學技術研究發展成果歸屬及運用辦法」第10條：「執行研究發展之單位依前條評估原則及處理程序申請讓與，並經本部同意讓與後，始得公告讓與之，三個月內無人請求受讓時，得終止繳納研發成果維護費用」。 [10] 「科技部科學技術研究發展成果歸屬及運用辦法」第9條第1項：「研發成果專利權經執行研究發展之單位推廣一定合理期間後， ⋯⋯。」 [11] 「科技部科學技術研究發展成果歸屬及運用辦法」第9條第1項：「研發成果⋯，評估無授權使用或技術服務之效益及運用價值者，⋯。」 [12] 國防部成果歸屬辦法第24條：「執行單位取得一般研發成果已逾五年而經其評估認定不具運用價值者，除法令另有規定外，得發布讓與之公告。自公告之日起，三個月內無人請求受讓者，得經本部核准後，終止繳納維護智慧財產權相關之費用。前項公告，執行單位應以刊登網際網路、全國性報紙、函告業界相關公會 或辦理說明會等方式為之。」 [13] 交大專利授權暨拍賣平台，http://patent.nctu.edu.tw/bid（最後瀏覽日：2016/04/22）。 [14] PCT-the International Patent System，http://www.wipo.int/pct/en/（最後瀏覽日：2015/04/22） [15] Isis Innovation Limited, http://isis-innovation.com/（最後瀏覽日：2016/04/22）。 [16] 像是I-ACE鏈結產學媒合平台，https://iace.stpi.narl.org.tw/search;jsessionid=9992E4BD21C8959EAF83F1F6D8AD47F3，政府研究資訊系統GRB，https://www.grb.gov.tw/，（最後瀏覽日：2016/04/25）。
美國衛生及公共服務部提出策略草案，以緩解健康資訊科技對醫護人員所造成的負擔美國衛生及公共服務部（U.S. Department of Health and Human Services, HHS）依21世紀醫療法（21st Century Cures Act）於2018年11月28日公布由國家健康資訊技術協調辦公室（Office of the National Coordinator for Health Information Technology, ONC）與美國聯邦醫療保險和補助服務中心（Centers for Medicare & Medicaid Services, CMS）共同起草的「減輕使用健康資訊科技及電子健康紀錄所造成的管制與行政負擔之策略（Strategy on Reducing Regulatory and Administrative Burden Relating to the Use of Health IT and EHRs）」草案，以緩解健康資訊科技（Health Information Technology）於臨床使用的負擔。 雖然資通訊科技的進步促進許多產業的發展，卻在醫療產業造成應用上的問題，如臨床醫師會花費更多的時間、人力成本於登載電子健康紀錄，而壓縮與患者溝通的時間。為改善這些問題，此草案針對臨床紀錄建檔（Clinical Documentation）、健康資訊科技的可用性與使用者經驗（Health IT Usability and the User Experience）、電子健康紀錄報告（EHR Reporting）、及公共衛生報告（Public Health Reporting）四大議題提出相對應的策略及建議採用的措施。並以三個主要方向為討論主軸：降低臨床醫師紀錄患者健康資訊所耗費的人力時間成本、降低臨床醫師、醫院與健康照護機構（health care organizations）為達到報告規範標準而耗費的人力時間成本、及促進電子健康紀錄在使用上的功能性與直覺性（functionality and intuitiveness），以期能促進醫病溝通，並進一步完善健康照護環境。此草案在2019年1月28日前開放公眾提出建議，並預計於2019年年底公布最終版本。
美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介 科技法律研究所 102年04月01日 壹、事件摘要 根據一項網路入侵案件的統計分析，約有80%的案件事來自於機關或企業內部人員，或是至少與內部人員有關。[1]然而，對於資通訊安全與機密資訊的維護，機關單位與人員把大部分的重心放在防範外來的入侵者，也就是外部威脅，反而忽略了內部員工對於資訊可能產生的潛在危害。[2]這些入侵案件的行為人大部分擁有合法存取控制資訊系統的權限，也就是因為這樣，內部威脅不易被發現。這就好比擁有大門鑰匙一般，正當合法從大門出入，以及從事本來就可以做的事，而不易被發覺。美國由於維基解密（WikiLeaks）事件的爆發，使政府對於機密維護的焦點，從外在攻擊的防止，轉聚焦於內部威脅的防範。 在美國，內部威脅並不是一個新的概念，公務機關本具備一定的管理措施；惟在維基解密案爆發後，帶給美國政府極大的衝擊，美國也全面檢討與創制新的因應作法，並於政策面、制度面與技術面等不同面向，進行積極的研究與合作。以下將引介美國之制度設計，藉此提供公務機關因應內部威脅議題之政策之參考。 貳、重點說明 一、內部威脅的定義與事件 有關資訊的價值，近來因內部威脅所帶來的損害類型已經隨著對於財產的定義與價值觀而產生變化。以產業為例，智慧財產權與企業機密，儼然成為內部人員所竊取的主要類型。企業可能因為智慧財產權或企業機密的外洩，導致企業喪失競爭力或甚至破產而關閉。如果把企業模型放大至國家或公務機關，「機密」對內部人員即成為最有價值的財產與籌碼，而公務機關可能因為內部威脅將機密外洩，造成對於國家、機關或人民產生公共安全，甚至是國家安全的危機。 （一）內部威脅的定義 外部威脅（External threat）」[3]係與內部威脅相對應之概念；外部威脅係指該威脅非由組織內部發生，而是由組織外部之人員或其他組織，透過一般的網際網路、互聯網系統，以未經授權之方式，對該組織之資訊設備，以植入惡意程式、或以駭客入侵等方式，進行侵入式的資訊系統攻擊，其目的係在於由外部取得該組織「有價值」的資訊。 為因應威脅，「威脅識別（Threat Identification）」成為威脅防禦之首要任務，按形成威脅的原因加以區分，大抵可分為「外部威脅（External Threat）」與「內部威脅（Insider Threat 或Internal Threat）」兩類。內部威脅係指例內部竊盜、系統失敗、惡意破壞、不遵守安全準則或是使用非法軟體等；相對外部威脅，係指自然災害，例如火災與地震，以及來自外部的惡意攻擊，例如盜賊、駭客、惡意程式，以及網路病毒等。[4] 「內部威脅」雖然被認知為威脅的一個種類，但是我國目前尚無對於「內部威脅」一致的定義。檢視外國對於「內部威脅」的定義，通常係指員工(含約聘僱人員)、或委外廠商為了個人利益、間諜活動或報復之意圖（「惡意（Malicious）」），對於資訊進行不正當之存取控制。「美國電腦緊急應變團隊（Computer Emergency Readiness Team, CERT）」認為內部威脅係指一位或多位具備存取控制（Access）的個人，意圖利用弱點侵入公司、組織，或企業的系統、服務、產品或設施，對於內部造成傷害。[5]「美國國防部減緩內部威脅計畫結案報告（Final Report of the Insider Threat Integrated Process Team, US Department of Defense, DoD Insider Threat Mitigation）」，內部威脅係指未經授權存取控制國防部資訊系統的人員，可能為軍事人員員工（Military Member）、國防部一般僱員（Civilian Employee ）、其他聯邦機構員工，以及私部門等。[6] 由上述定義可得知，內部威脅係來自於組織單位的「內部」，如以行為人之意圖區分，又可細分為「惡意（Malicious）」與「過失」。因人員之過失所造成之內部威脅，大部分原因為人員對於資訊系統與之使用與管理不當所造成，例如，人員使用Email或即時通訊軟體，受到社交工程之攻擊，導致電腦被植入惡意程式或間諜軟體。另一則為本文所要研究的「惡意的內部威脅（Malicious Insider）」，係指內部人員利用合法存取權限，為超出於其授權使用之對象、時間、範圍、目的，與用途等之行為，並意圖對於單位組織或是特定人、事、物等造成傷害，或是謀取不當利益。 依據惡意內部威脅事件，大約可分為以下各類型：[7] 1.IT破壞（IT Sabotage） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，意圖損害一個具體的個人或組織，或該組織的數據、系統或日常業務之運作。 2.為經濟利益而進行盜竊或修改（Theft or Modification for Financial Gain） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，為經濟利益意圖竊取或修改機密或專有資訊。 3.為取得業務優勢而進行竊盜或修改（Theft or Modification for Business Advantage） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，為取得業務優勢而進行竊盜或修改機密或專有資訊。 4.其他（Miscellaneous） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，為非基於經濟利益或業務優勢，而進行竊盜或修改機密或專有資訊。 或通常會涵蓋二種以上的類型，例如：員工先行對於IT系統進行破壞，然後再試圖敲詐僱主，以協助他們恢復系統為條件換取金錢。另曾有案例為，一名前副總裁於結束工作前，複製客戶數據庫與銷售手冊，再向其他外單位組織兜售。[8] （二）內部威脅事件的發生與所造成的損失 依據CERT於2011年4月對於內部威脅控制的報告指出，以報告中123件資訊科技破壞（IT Sabotage）事件進行統計，內部威脅發生的時間為26%件事件發生於上班時間，35%發生於下班時間，另外39%件事件發生於不確定的時間。另外一項以內部威脅受到攻擊的地點來看，54%事件發生於進行遠端連線時，27%發生於公司所在地，另外19%發生於不特定之地點或場所。[9] 有關內部威脅對於公務機關機密維護所造成的危害嚴重程度很難估計，可能是因為內部威脅事件提報執法單位或是司法機關得比例較低。內部威脅事件通常因為證據不足、損害程度與花費於司法程序之時間、人力與費用無法平衡，或是因為提報對於公務機關的形象與信譽可能產生極大的負面影響，所以通常對於事件大抵只有表面上概略之描述。[10] 二、美國歐巴馬政府面對內部威脅之政策規範 美國傳統對於機密資訊由軍事單位依照軍事規定處理，不過，自從羅斯福總統於1940年發布第8381號行政命令，改變了這個機制。第8381號行政令，授權政府官員保護軍事與海軍基地。爾後，歷任總統以發布行政命令的方式，建置聯邦政府的機密分級標準。不過，羅斯福總統以經特定法規授權為由，後續總統則是以基於一般法律與憲法授權。[11]國會則不停的以其他立法，[12]設法平衡總統權利。 歐巴馬總統上任前歷經2001年911事件的壓力，[13]以及2010年維基解密等機密外洩事件，致使歐巴馬團隊對於資訊安全以及機密維護非常重視，除了推動開放政府（Open Government），促進政府政策更公開透明的民主治理外，對於資通訊安全（Cyber Security）、機密資訊外洩的通報機制，以及內部人員（Insider）所帶來的威脅，更是採取積極的作法。[14] 針對內部人員對於國家安全與機密外洩的問題，歐巴馬政權立即採取相對應的措施，於2011年發布第13587號行政命令：「增進機密網路安全與機密資訊有責分享及安全維護的結構性改革（Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information）」，與因應第13587號行政命令所規範之「內部威脅」議題，於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準（National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs）」的總統備忘錄。 部會或機關紛紛對於內部威脅採取相關防範措施，例如國務院（Department of State）對於涉及機密的網路，採用新的審查與監控的工具，而在國防部（Department of Defense）也開始開發自動偵測內部威脅的辨識系統。在情報系統方面，商務部（Department of Commerce）國家標準與技術中心（National Institute of Standards and Technology, NIST）與司法部（Department of Justice）聯邦調查局（Federal Bureau of Investigation, FBI）也訂立內部威脅指引，提供企業與機關單位遵循。情報系統委託Carnegie Mellon University的電腦緊急應變團隊（Computer Emergency Readiness Team，以下簡稱CERT）內部威脅中心（CERT Insider Threat Center）進行多項內部威脅的研究。 至今為止，歐巴馬政權對於內部威脅的防範，於法制政策提出下列各項規範： （一）總統第13587號行政命令：「增進機密網路安全與機密資訊有則分享及安全維護的結構性改革」 由於維基解密事件的爆發，使美國將機密的維護，從對於防止外在的攻擊，轉聚焦於機密資訊的內部威脅。事件發生後，國家安全人員馬上成立跨機關小組，檢視處理機密資訊的政策與實務作法，希望可以提出解決行政部門可共用的機制，以減少類似的事件再度發生。 跨機關小組歷時七個多月的檢討後，對於機密資訊的保護，與涉及機密資訊人員或機關間合理使用與分享資訊提出下列原則：加強跨機關資訊有責共享的重要性；確保政策、流程與技術的安全解決方案，與監督和組織文化的發展；強調聯邦政府對於資訊必須實施一致的作法；與確保隱私、公民權和自由的保護。[15] 歐巴馬團隊將上述原則落實至第13587行政命令，[16]成立監督的架構，發展與落實涉及機密的網路與資訊共享的政策與標準。指示各機關必須負起安全與機密維護的責任，並加強跨機關資訊的流通與保護，包括電腦網路的安全，與內部威脅的機制，以減低未來國家安全機密外洩的風險。 第13587號行政命令大抵分為下列各大項，除此之外，聯邦政府同時已經採行增進機密資訊網路與人員的控管，例如拆卸式媒體、網路身分管理、內部威脅方案（Insider Threat Program）、存取控制的管控（Access Control）、機密網路的審核，[17]項目分為： 1.機密資訊電腦網路系統之安全維護各機關單位負擔重要的責任； 2.設置「資深資訊分享與安全維護推動小組（Senior Information Sharing and Safeguarding Steering Office）」； 3.成立「機密資訊流通與保護局（Classified Information Sharing and Safeguarding Office, CISSO）」； 4.設置「維護網路機密資訊執行秘書」(Executive Agent for Safeguarding Classified Information on Computer Networks)；與 5.設置「內部威脅專責小組（Insider Threat Task Force）」。 其中有關「內部威脅專責小組」的部分，跨機關的內部威脅專責小組將負責制定一個廣泛適用於公務機關內部威脅的方案。該方案的目標係為防止、檢測和減輕，包括利用、損害，或其他未經授權揭露機密資訊的內部威脅，並同時考量各機關單位所涉及的風險層級、業務與系統需求。解決方案亦應包含因應內部威脅的政策目標，建立和整合機關內部的安全與反間諜，用戶審查和監控等優先事項，以及其它機關的實作發展和保護能力。[18]除此之外，內部威脅專責小組還必須與相關單位合作，以促成政策的草擬與可行。[19] 專責小組的職責應包括下列： 1.制定並與行政機關協調，阻止、檢測和減輕內部威脅的政策，並提交至督導委員會檢閱； 2.與適當的機關合作，制定行政機關內部威脅方案的政策指引和最低標準，並於一年內發布，該相關指引和最低標準對於行政部門具拘束力； 3.如果有足夠的經費或經授權，繼續與適當單位合作，於一年之後，增修相關指引與最低標準； 4.如果沒有獲得足夠的經費或授權，建議由預算辦公室（Office of Management and Budget）或國家檔案與記錄管理局（National Archives and Records Administration）的資訊安全監督辦公室（Information Security Oversight Office, ISSO）於一年之後頒布相關指引與最低標準的增修版本； 5.如仍有任何未解決的問題，以致於延宕最低標準的公布，應將問題提交給督導委員會（Steering Committee）； 6.按照專責小組所制定之方案，獨立評估相關機關單位是否適當的落實既定的政策和最低標準，並將評估結果向督導委員會提報； 7.提供機關單位援助，包括提供最佳實作案例以供參考；與 8.提供美國政府所分析的內部威脅新的困難與挑戰。 由上可見，第18537號行政命令勾勒出美國政府對於增進涉及機密網路與機密資訊網路的結構性改革。不但成立跨機關的內部威脅專責小組負責草擬內部威脅的政策，機關亦必須依照指示時程，落實內部威脅政策的偵測方案，以及監控其運作是否符合政策的目標。 （二）「國家內部威脅政策和機關內部威脅方案的最低標準」總統備忘錄[20] 雖然第13587號行政命令規定機關針對內部威脅將組成跨機關內部威脅小組，負責偵測與避免內部威脅，以增進對於機密資訊的保護，以及減低機密資訊被未經授權的存取控制或揭露的潛在弱點。然而，機關應該如何施行的細項尚未有細緻規範，仍需等待歐巴馬團隊進一步制定，以落實於聯邦政府所屬的公務機關。 緣此，美國總統歐巴馬於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準的備忘錄（National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs）」，主要提供行政部門於防止、偵測與減低內部人員可能造成國家安全的威脅相關遵循方向與指引。因應內部威脅的能力將增進行政部門對於機密資訊的保護，並加強危及國家安全的敵對勢力或內部威脅的防禦。 這些威脅包括潛在的間諜活動，對國家或機關單位的暴力行為，以及未經授權揭露機密資訊，包括透過的美國政府互聯的電腦網路和系統處理的大量機密資料。該標準將提供機關單位建立有效的內部威脅所必要的要素。 目前標準的詳細內容尚未發布，不過，依據備忘錄大約可分為下列各項： 1.蒐集、整合、集中分析和應變主要威脅相關的資訊； 2.監控人員對於機密網路的使用； 3.提供人員對於內部威脅意識的培訓； 4.保護人員的公民、自由和隱私權。 參、事件評析 觀察美國一連串的改革，顯見維基解密事件對於美國政府產生非常大的衝擊，更加凸顯監控內部威脅對於國家與公務機關及其機密維護之重要性。歐巴馬團隊不但全面檢視其機密資訊管理與保護政策與法制，對機密資訊的管理與「內部威脅」的防範進行全面檢討，並對於配套標準及措施進行增修。 除對於傳統以人員監督威脅的存在外，應利用科技技術監控或查核人員的「異常」行為(如短期內大流量下載檔案/進入系統的紀錄、大流量轉出有附件的信件、近日來消費能力顯著高於所得或情緒異常低落或起伏極大等)或預定特定的現象作為潛在威脅的表徵證據，再進一步因應與確認內部威脅的存在。 最重要的是，該制度與措施要求全國公務機關一起合作落實，以及分享潛在內部威脅的異常警訊，才能真正達成減低公務機關對於內部威脅的防範。 [1]行政院退除役官兵輔導委員會，張維平，日晷第4期認識公務機關資訊安全問題，取自http://www.vac.gov.tw/files/Sundial-4Th_17.pdf（最後瀏覽日：2012年11月30日）。與公務機密維護宣導 --【從資安看如何防止公務機密資料外洩】近年來，隨著間諜軟體、木馬程式、釣魚網站等惡意攻擊日漸猖獗，世界各地傳出多起嚴重的資料外洩事件，當然台灣也不能倖免。外洩的資料包羅萬象，而其中最主要的內容是個人資料。資料外洩的起因不僅止於駭客所發動的各種資安攻擊，另外還有最令機關防不勝防的內賊。只要有心，要在機關內部竊取資料很容易，從辦公桌上亂放的機密文件、電子郵件、即時通軟體、網路硬碟、隨身碟，都可當作工具，如果機關（各單位）沒有危機意識，採取防範措施，資料外洩在所難免。鑑此，籲請各單位安全連絡員，加強單位自主管理，協助單位主管加強責任區安全檢查，共同維護機關公務機密與安全。 [2]中廣新聞網．海軍共諜案，國防部：才在發展階段，影響有限，（2012年10月29日），取自http://tw.news.yahoo.com/%E6%B5%B7%E8%BB%8D%E5%85%B1%E8%AB%9C%E6%A1%88-%E5%9C%8B%E9%98%B2%E9%83%A8-%E6%89%8D%E5%9C%A8%E7%99%BC%E5%B1%95%E9%9A%8E%E6%AE%B5-%E5%BD%B1%E9%9F%BF%E6%9C%89%E9%99%90-023752078.html（最後瀏覽日：2012年11月30日）。 國防部軍事發言人羅紹和表示，涉案的海軍大氣海洋局前政戰處長張祉鑫，在退役後透過友人介紹，認識中共官方人員，然後再透過軍中舊識，「謀取不法利益」，保防安全部門在今年三月間接獲檢舉，依法由反情報單位展開調查行動，並移請檢調單位協助調查，順利破獲本案。 [3]IT Law Wiki , External Threat , available at http://itlaw.wikia.com/wiki/External_threat (last accessed Jan. 12, 2013). [4]碁峰資訊，資訊安全概論與實務，取自http://epaper.gotop.com.tw/pdf/AEE030900.pdf（最後瀏覽日：2012年11月30日）。 [5]NIAC, The National Infrastructure Advisory Council's Final Report and Recommendations on The Insider Threat to Critical Infrastructure , (April 8, 2008), last available http://www.dhs.gov/xlibrary/assets/niac/niac_insider_threat_to_critical_infrastructures_study.pdf (last accessed Jan. 12, 2013). [6]US Department of Defense, DoD Insider Threat Mitigation-Final Report of the Insider Threat Integrated Process Team , available at http://www.dtic.mil/cgi-bin/GetTRDoc?AD=ADA391380 (last accessed Jan. 12, 2013). [7]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1, at 11, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [8]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1 , at 12, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [9]The Cyber Adviser, Invensys Critical Infrastructure & Security Practice, at 1, (Dec. 2011), available at http://iom.invensys.com/EN/pdfLibrary/CISP_Dec2011_vol3_Newsletter.pdf (last visited Jan. 10, 2013). [10]U.S. Secret Service and CERT/SEI, (Jan. 2008), Insider Threat Study: Illicit Cyber Activity in the Government Sector , at 5, available at www.cert.org/archive/pdf/ insiderthreat _gov2008.pdf (last visited Nov. 30, 2012) [11]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework, CONGRESSIONAL RESEARCH SERVICES, at 1, Jan. 10, 2011, available at www.fas.org/sgp/crs/secrecy/RS21900.pdf(last visited Nov. 30, 2012). [12]Id., at 2, 例如「1966年政府資訊公開法 (Freedom of Information, FOIA)」，「1995年情報授權法 (Intelligence Authorization Act)」、「2000年公共利益解密法 (Public Interest Declassification Act)」，與「2012年減少過度加密法 (Reducing Over-Classification Act)」。 [13]Paul Kenyon, The Enemy Within: Obama's Insider Task Force, Forbes, (Apr. 13, 2012), available at http://www.forbes.com/sites/ciocentral/2012/04/13/the-enemy-within-obamas-insider-threat-task-force/ (last visited Nov. 30, 2012). [14]FEDERATION OF AMERICAN SCIENTISTS, Obama Administration Documents on Secrecy Policy , available at http://www.fas.org/sgp/obama/index.html (last visited Nov. 30, 2012). 歐巴馬政權針對機密資訊發布多項正式文件，以年度區分，截至2012年11月30日止，包括下列：1.2009年：「機密資訊和受管控的非機密資訊的總統備忘錄 (Presidential Memorandum on Classified Information and Controlled Unclassified Information, May. 27, 2009)」、「第13526號行政命令-國家安全機密資訊 (Executive Order 13526: Classified National Security Information, Dec. 29, 2012)」，與「國家安全機密資訊施行令的總統備忘錄 (Presidential Memorandum on Implementation of the Executive Order on Classified National Security Information, Dec. 29, 2009)」；2.2010年：「第13549號行政命令-國家、地方、部落，和私部門實體的國家機密方案 (Executive Order 13549: Classified National Security Information Program for State, Local, Tribal, and Private Sector Entities, Aug. 18, 2010)」與「第13556號行政命令-受管控的非機密資訊 (Executive Order 13556: Controlled Unclassified Information, Nov. 4, 2010)」；3.2011年：「第13587號行政命令-增進機密網路安全與機密資訊有責分享及安全維護的結構性改革 (Executive Order 13587: Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information, Oct. 7, 2011)」；4.2012年：「國家內部威脅政策和機關內部威脅方案的最低標準備忘錄 (National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs, Nov. 21, 2012)」。 [15]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, (Nov.2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ (last visited Nov. 30, 2012). [16]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks- (last visited Nov. 30, 2012). [17]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ(last visited Nov. 30, 2012). [18]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks-(last visited Nov. 30, 2012). [19]Id. 專責小組應該與總檢察長（Attorney General）與國家情報局主任（Director of National Intelligence）或指定人共同擔任主席。內部威脅專責小組成員應該由國務院（Department of State）、國防部（Department of Defense）、司法部（Department of Justice）、能源部（Department of Energy）、國土安全部（Department of Homeland Security）部長所指定的人員，以及國家情報局主任（Director of National Intelligence）、中央情報局（Central Intelligence Agency），和國家檔案與記錄管理局（National Archives and Records Administration）的資訊安全監督辦公室（Information Security Oversight Office, ISOO）等所組成。工作人員必須由聯邦調查局和國家反情報辦公室長官（Office of the National Counterintelligence Executive, ONCIX）和其他機構，於法律所允許的範圍內配置。這些人員必須是官員，或是兼職或終身全職的美國員工。國家反情報辦公室必須提供內部威脅專責小組適當的工作場所，以及行政支援。 [20]美國總統依美國憲章擁有直接發布據法律效力的文件（Document），文件的種類根據事務類型之不同分為三大類：Executive orders（有連續編碼的行政命令）、Proclamation（公告）、Administration orders（無編號的行政命令），其下尚有不同的子分類，備忘錄則屬Administration orders下的子分類之一，總統所發布的文件效力相同，並無位階之分，http://www.archives.gov/presidential-libraries/research/guide.html（最後瀏覽日：2013年1月12日）。