歐盟執委會公布「行動健康醫療(mHealth)綠皮書徵詢意見書」
為強化推動歐盟行動健康醫療之發展，歐盟執委會於2014年4月10日以綠皮書之形式，向大眾（包括產業、國家與地方機關、專業醫療機構、研究機構、非政府組織、病患協會等）提出mHealth行動健康醫療徵詢意見，在2015年1月12日時公布「行動健康醫療(mHealth)綠皮書徵詢意見書」（摘要版）（Summary report on the public consultation on the green paper on mobile health）。
此份徵詢意見書有十個主題，包含：資料保護、法制架構、病人安全與資訊透明、行動健康在醫療體系中之定位及平等接取、互操作性（interoperability）、給付模式（reimbursement models）責任、研發與創新 、國際合作和網路業者參與市場。從報告顯示，大多數的人認為資料保護是最重要的，特別是建立用戶信任的保護隱私與安全之工具（例如資料加密（data encryption）與認證機制（authentication mechanisms）），並且認為強化資料保護法制。
再者，有將近一半的被徵詢人要求透過認證方案或資格標籤等方法做更進一步的病人保護與資料透明。第三，行動醫療主要是透過網路進行，然而有網路業者表示，因為目前仍缺少明確的管制架構、互操作性以及共通品質標準，所以對業者而言是難以進入市場的。第四，也有許多被徵詢人認為行動醫療的性能和安全要求，應透過立法、指導原則或自我管制（self-regulation）管理。另外也有提出應確保行動醫療與電子健康病歷（Electronic Health Records , EHRs）之互操作性，以便於照護延續性與用於研究目的上。
經過此次徵詢，歐盟執委會對於推動行動健康醫療發展，規劃將在2015年間將會與相關業者討論政策措施，包括立法、自我或共同管制（self- or co-regulation）、政策指導原則等。
中國大陸近年來積極布局智慧城市建設，並逐步將智慧城市的概念發展為具體的地理空間，2014年2月14日智能系統國家測繪地理信息局測繪發展研究中心--社會科學文獻出版社，發布2013年測繪地理信息藍皮書—《智慧中國地理空間智能體系研究報告（2013）》(以下簡稱「藍皮書」)，揭示提出打造2030年智慧中國地理空間智能體系的具體目標。係以巨量地理資訊資源為基礎，透過新一代網際網路，以智慧聯網(Internet of Things, IoT)、雲端計算(Cloud Computing)和巨量資料(Big Data)，實現地理資訊的智慧化應用，並透過相關政策形成以地理資訊獲取、處理及應用為主的雲端產業鏈。 自2013年起，中國大陸國家測繪地理信息局每年選擇10個城市作為智慧城市建設試點，目前已有太原、廣州、徐州、臨沂、鄭州等試點城市完成初步項目，正進行設計論證及完善基礎設施等工作。該局副局長李維森並指出，大陸將在2015年全面完成數字城市地理空間框架建設，並於此基礎升級為智慧城市。 中國大陸國土資源部亦從2013年底配合「十二五規劃」逐步推動以雲端運算、巨量資料以及智慧聯網等新一代資通訊技術所建構之「國土雲」，以滿足國土資源資訊利用、查詢、監管的需求，並透過資訊數位化，為其他領域重大工作提供基礎資訊。 從中國大陸近年來對於國家地理資源之蒐集、調查與管理手段觀察，可探知其對於國土資訊產業發展的高度重視，並欲在維護國土安全的前提下，加強推動有助於促進資訊流通效率以及資源廣泛利用的公共服務平台建設；對於此等具有國家安全戰略意義之新興科技領域，目前仍以國家投資為主要推動手段，後續相關法規發展殊值注意。
我國電子遊戲場業管理條例修法研析-參考美國佛州Family Amusement Games Act我國電子遊戲場業管理條例修法研析 -參考美國佛州Family Amusement Games Act 資策會科技法律研究所 法律研究員 王凱嵐 105年04月06日 去年七月，美國佛州政府簽屬一份Family Amusement Games Act 法案，條文部份針對電子遊戲機做完整的定義解釋，及遊戲機所擺放的場域做限制。特別的是此法案排除博弈遊戲，僅針對非博弈遊戲做獨立規範。 新修法案之目的在於解決相關遊戲業者面對舊法時的疑惑。修法後將博弈性遊戲與技術性遊戲做出區分，另關於遊戲擺放的場域以及遊戲獎賞都有明確的立法條文。法案做出明確規範後，大幅度的降低遊戲機業者對於政府法規的不確定感，在遊戲產業上能夠有更多的空間去發展及調整。 在我國，長久以來電子遊戲場所給大眾多為不良的印象，政府雖然早已制定「電子遊戲場業管理條例」作為規範，但自民國八十九年二月三日公布施行至今已超過十五年，立法時之管制目的及作法與現今社會風氣、產業趨勢已不盡相符，本文擬藉由參考美國佛州對於遊戲機的定義及限制規定，就未來可能之修法方向提出建議。首先論我國現行條例之問題，再論美國佛州立法可採之處，最後將針對現行條例未來修正提供建議。 壹、美國佛州Family Amusement Games Act: 美國佛州Family Amusement Games Act (以下簡稱「親子遊戲機法」)對於遊戲機台做以下的文字解釋：「可供一般民眾單純娛樂之遊戲，得使用鈔票、硬幣、卡片、彩券、代幣、籌碼或相似的替代物進入遊戲，並能以遊戲技術控制遊戲結果。排除任何其它具有博弈性質的遊戲。」從佛州法條上的解釋可以看出，此立法上將遊戲區分技術性與博弈性兩種類型，遊戲者必須是以自身遊戲技巧控制遊戲並能影響其結果，且非只靠運氣或投機心態遊戲。與佛州舊法相比，新法之遊戲機不僅以使用硬幣為限，允許使用其它相類似的替代物遊戲。提高了彩券獎品的金額限制，並新增遊戲機得放置的場域(保齡球館、旅館、餐廳)。 為了使定義更加完善，美國佛州新法僅針對博弈性遊戲做解釋:「1.遊戲以機械式或影像上具有吃角子老虎機的捲軸或符號，或以視頻模擬任何其他賭場遊戲，包括撲克、賓果、拉霸機、樂透、輪盤賭、擲骰子，但不僅限於上述之遊戲。2.遊戲中玩家無法以自身技巧控制結果或其遊戲結果為不可目測、不可知悉、不可預見。3.視頻撲克遊戲或任何遊戲或機器可被本州法律解釋為賭博設備。4.任何遊戲或設備被規定在15 U.S.C. s. 1171，除非排除在15 U.S.C. s. 1178。」從以上的條文可以看出，佛州在博奕性遊戲上，完整的做出定義，使遊戲業者能清楚的知道遊戲機的類別區分，對於機台發展和市場推廣上有相當大的助益。 美國佛州將非博奕性遊戲機區分為A、B、C三類。首先A類為得重複遊戲獎勵遊戲機，其遊戲結果不得以現金、彩券、籌碼、點數、折價卷或任何有兌換價值之電子點數當作獎勵。此類遊戲機，因其遊戲性質僅以單純地重複性遊戲，在擺放區域上並無限制。B類為得以彩券做為遊戲獎勵之遊戲機。C類為得以直接獲取獎勵物品之遊戲機，但其商品價值不得超過一定之金額限定。B、C兩類遊戲機，其擺放場域相似度高，僅有部分場域另做規定。區分此三類之目的，在於規範不同遊戲結果之遊戲機台。又關於彩券及獎勵物品在佛州新法中，也有詳盡的規範，具體的勾勒出三種遊戲機三種不同的遊戲態樣。 貳、我國電子遊戲場業管理條例 我國電子遊戲場業管理條例第4條所稱之電子遊戲機「指利用電、電子、電腦、機械或其它類似方式操縱，以產生或顯示聲光影像、圖案、動作、之遊樂機具，或利用上述方式操縱鋼珠或鋼片發射之遊樂機具。但未具影像、圖案，僅供兒童騎乘者，不包括在內。」關於電子遊戲機的認定，判斷上以是否利用電、電子、電腦、機械或其它類似方式操縱，若是符合以上要件，應屬於本條例所稱之電子遊戲機。 我國「電子遊戲場業管理條例」採營業分級、機具分類之制度，依據遊戲之內容之暴露、暴力、血腥、恐怖程度及操作結果區分將電子遊戲機分為三類:益智類、鋼珠類、娛樂類。所謂益智類遊戲其內容無任何暴露、暴力、血腥或恐怖，亦無任何渲染妨害風化之元素在內，且其操作結果所得之分數僅得作為兌換獎品之憑證，不得作為轉押住使用，判斷標準相當嚴格。 關於遊戲營業場再區分成兩類，我國電子遊戲場業管理條例第5條:「普通級：指僅設置益智類電子遊戲機，供兒童、少年及一般大眾遊藝者。限制級：指設置鋼珠類、娛樂類或附設益智類遊戲電子遊戲機，僅供十八歲以上之人遊藝者」而又同條例第9條之規定:「電子遊戲場業之營業場所，應距離國民中、小學、高中、職校、醫院五十公尺以上。」，由此可知我國雖將電子遊戲機依內容區分為三類，但其遊戲場所只區分兩類，且在設置地區之限制是相同的。 參、小結 數位休閒產業現階段發展所遇到的問題，除了先前提到的負面形象外，還包含法制規範已不符合潮流，此現象造成產業被法律嚴格管理、地方政府限制發照、人才投入意願低落。因此，修改現行管理條例以及匡正產業形象已有其必要性與重要性。 前述美國佛州的立法例，在遊戲機的定義上即與我國有明顯不同。佛州以進入遊戲的方式定義新法所規範的遊戲機類別。我國可考慮參考此分類方式，將遊戲類別的區分單純技術性與射倖性遊戲(博弈目前在我國不合法)，並在益智類遊戲分類項下針對暴露、暴力、血腥或恐怖等要素，參考遊戲軟體分級之作法再作進一步的區分，同時搭配擺放遊戲機台場域的限制規定，不再用原則限制的角度去立法，而是回歸到遊戲場業管理制度上做規範，使遊戲機台開發商或製造業者能按其公司營運方向進行內容種類的規劃，以追求產業發展與安全監管上的平衡。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
美國資訊安全分析新挑戰：巨量資料（Big Data）之應用在2013年的國際資訊安全會議（RSA Conference）上，資安專家紛紛表示，將Big Data技術應用於資訊安全分析的項目上，確實可以幫助企業建立更佳的情勢判斷能力，但在實際執行過程中是一大挑戰。 資安廠商如RSA和賽門鐵克公司，在會議上表示目前的策略是透過新的數據匯集、比對和分析協助企業篩選、過濾結構化和未結構化資料的威脅指標，這是傳統的特徵偵測（signature-based）安全工具無法做到的。 不像傳統的安全手段著重於阻斷攻擊，新的技術強調偵測並立即回應違犯行為，也就是提前遏止任何違犯行為，協助企業作全面性的偵測而不擔心有所遺漏。 由於越來越多的美國政府機關和民間企業遭受到針對性和持續性的攻擊，巨量資料技術的應用需求激增。企業內部都累積著大量的數據和多元的數據種類，而需要動新技術來保護這些數據資料免於惡意人士或對手的竊取或其他侵害行為。企業應該要因應實際面臨的威脅和所獲悉的威脅情報來建立安全模型，取代部署特定產品和外圍系統的防禦。 美國無論是政府機關或民間企業都被捲入了不對稱戰爭-對手是武器精良、準備充分並有嚴密組織的網路敵人。 「駭客只需要攻擊成功一次，但我們必須每次都是成功的」賽門鐵克的總裁deSouza表示。「因此與其專注的在阻擋所有威脅，更好的辦法是使用巨量資料技術偵測侵入行為並消解之」。而在會議中資安專家都肯認至少從理論上來說，以巨量資料技術強化資訊安全是很好的想法。 不過另有其他的說法，金融服務企業LSQ的首席安全及法務主管皮爾遜認為，許多人的電腦紀錄檔和所有的電子裝置都早就被侵入滲透了，這才是問題所在。他表示，目前現存的SIEM（安全性資訊及事件管理）工具可以讓企業聚集來自許多個安全設備的巨量登錄數據整合在同一系統內，但真正的問題是，SIEM工具必須要有能力分析數據並找出關聯性，如此才能偵測到駭客入侵的前兆證據和真實的入侵行為，這和彙整數據是不同的兩件事。許多企業所面臨的問題不是缺乏數據資料，而是要如何為資訊安全的目的建立關聯規則和應用方式，以有效率的方式找出有用的巨量數據並進行分析，和留下可供進行訴訟使用的證據。