政府採購雲端服務新興模式暨資安一體考量之研析
本文為「經濟部產業技術司科技專案成果」
新加坡政府科技局（Government Technology Agency of Singapore, 下稱 GovTech）在2017年8月21號提出智慧國家的5個策略性國家計畫，指出為了建立數位國家，政府將會更加注重基礎建設的整合途徑，未來將聚焦5項計畫： 國家數位身分（National Digital Identity）系統，使市民和工商業可以更加安全與便利的方式進行交易。未來的六個月，在現有的SingPass交易系統上， GovTech將會進行關於行動軟體代碼（software-token）試驗，並在五年後大量適用此種服務。 增進數位支付（e-Payments）功能。新加坡金融管理局（Monetary Authority of Singapore, MAS）將會與銀行和私部門合作，建立各種數位支付管道。例如簡化數位支付並布建統一銷售終端（Unified-Point-of-Sales, UPOS），預計將於18個月內設置25000個終端，使多種銷售方式可透過單一終端進行。 智慧國家感測器平台（Smart Nation Sensor Platform），加速感應器與其他物聯網的布建，使城市更加易居住與安全。GovTech將會建立智慧國家感測器平台，並增進基礎建設與分析能力，並與LTA合作目在未來18個月測試智慧聯網路燈站於選定的區域進行布建，五年內讓蒐集之數據提供工商業發展產品與服務供公眾使用。 建立智慧城市移動（Smart Urban Mobility）交通系統，包含已在2017年中建立的共通車隊管理系統（Common Fleet Management System），將使用數據和數位科技，包含AI和自駕車來增進公眾運輸系統。 生活的時刻（Moments of Life）服務，透過政府間數據共享，跨部門和各種政府相關的數位服務結合，提供市民個人化的數位服務。
德國提出｢對外貿易條例｣修正草案德國聯邦經濟與能源部(Bundesministerium für Wirtschaft und Energie，BMWi)在2017年7月提出｢對外貿易條例｣(Außenwirtschaftsverordnung)修正草案，以規定基於德國的公共政策安全或基本安全利益，對於外國人(或企業)收購國內公司，在必要時得予以禁止或增加強制條件。 如果交易完成後（一）歐盟之外的收購方將直接或間接持有目標公司25％以上的表決權以及（二）出於公共秩序或安全原因有必要採取上述措施，聯邦經濟與能源部可禁止對德國公司的收購交易。 該法修正草案亦進一步規定，聯邦經濟能源部將在本法律框架下對於涉及以下（技術）領域相關企業併購案之合約談判的各方進行審查程序，以確保國家實質安全利益： 部分能源電力領域，例如：電廠控制技術、電網工程技術、電廠系統或系統操作的控制技術(供電、供氣、燃油或集中供熱等)。 部分用水領域，例如：用水控制、調配或自動化技術(飲用水供應或污水處理設施)。 訊息技術和電信軟體領域，例如：語音和數據傳輸、數據儲存系統及處理系統)。 金融和保險部門、其運營的軟體或現金系統。 涉及醫療保健軟體部門或醫院管理訊息系統、處方藥和實驗室訊息系統的運行等領域部分。 涉及運輸和交通領域內的控制系統、工廠或設施的運行、航空運輸、乘客和貨物系統、鐵路運輸、海運和內河運輸、公路運輸、公共交通或後勤物流等領域。
歐盟執委會提出確保其境內數位內容跨境攜帶性之法律案隨著行動載具普及和網路寬頻發展，利用行動電話收看線上訂閱數位內容，如電影、音樂或運動比賽直播等已成風氣。消費者更希望無論身在何地都能觀賞線上數位內容。在此背景下，歐執會於2015/12/09正式公布〈線上數位內容之跨境攜帶性法律案（Regulation on ensuring the cross-border portability of on line content services in the internal market）〉。其目的是為使居住歐盟境內之消費者能自由攜帶其所訂閱之數位內容進行移動。另一方面在打破國界限制之障礙後，為了確保數位內容之跨境攜帶性不至於侵害視聽產業之著作權，同時兼顧基於特殊目的（教育、研究等）而使用跨境線上內容之行為，在網路數位內容之可接近性與創作人權利保障間取得平衡。 網路數位內容服務提供業者之行為規則，涉及歐盟著作權如何因應數位時代之挑戰。在歐執會之〈歐盟單一數位內容市場策略〉報告中指出，為提高數位內容之可接近性，歐盟需提高其著作權法制之現代化程度，而令數位內容有跨境攜帶性將是歐盟邁向單一數位內容市場先跨出的第一步。歐執會今後除將於2016年陸續提出多項有關著作權之現代化法案化，並且希望網路數位內容之跨境攜帶性法律案能於2017年正式實施。
美國NIST發布更新《網路安全資源指南》提升醫療領域的網路安全及隱私風險管理美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）於2022年7月21日發布更新《網路安全資源指南》（A Cybersecurity Resource Guide, NIST SP 800-66r2 ipd）。本指南源自於1996年美國《健康保險流通與責任法》（Health Insurance Portability and Accountability Act, HIPAA）旨在避免未經患者同意或不知情下揭露患者之敏感健康資料，並側重於保護由健康照護組織所建立、接收、維護或傳輸之受保護電子健康資訊（electronic protected health information, ePHI），包括就診紀錄、疫苗接種紀錄、處方箋、實驗室結果等患者資料之機密性、完整性及可用性。其適用對象包含健康照護提供者（Covered Healthcare Providers）、使用電子方式傳送任何健康資料的醫療計畫（Health Plans）、健康照護資料交換機構（Healthcare Clearinghouses）及為協助上述對象提供健康照護服務之業務夥伴（Business Associate）均應遵守。 本指南最初於2005年發布並經2008年修訂（NIST SP 800-66r1 ipd），而本次更新主要為整合其他網路安全相關指南，使本指南與《網路安全框架》（Cybersecurity Framework, NIST SP 800-53）之控制措施等規範保持一致性。具體更新重點包括：（1）簡要概述HIPAA安全規則；（2）為受監管實體在ePHI風險評估與管理上提供指導；（3）確定受監管實體可能考慮作為資訊安全計畫的一部分所實施的典型活動；（4）列出受監管實體在實施HIPAA安全規則之注意事項及其他可用資源，如操作模板、工具等。特別在本指南第三章風險評估與第四章風險管理提供組織處理之流程及控制措施，包括安全管理流程、指定安全責任、員工安全、資訊近用管理、安全意識與培訓、應變計畫、評估及業務夥伴契約等。而在管理方面包括設施權限控管、工作站使用及安全、設備媒體控制；技術方面則包含近用與審計控管、完整性、個人或實體身分驗證及傳輸安全。上述組織要求得由政策、程序規範、業務夥伴契約、團體健康計畫所組成，以助於改善醫療領域的網路安全及隱私保護風險管理。預計本指南更新將徵求公眾意見至2022年9月21日止。