CRTC以違反加拿大「反垃圾郵件法」對波特航空開罰
加拿大之地區航空公司-波特航空（Porter Airlines），因違反當地「反垃圾郵件法」（Anti-Spam Law），於2015年6月29日被加拿大廣播電視及通訊委員會(Canadian Radio-television and Telecommunications Commission，簡稱CRTC）裁罰150,000美元。
2014年7月1日施行之反垃圾郵件法，係為杜絕因濫發郵件而對資料當事人造成困擾所制定。在該法中，針對寄送商業電子訊息要求需符合「獲得當事人同意」、「識別發送人之資訊」、「取消訂閱功能設計」等三項條件。然而，波特航空所寄出之商業電子訊息，卻：(1)未設計退訂機制供資料當事人選擇退訂;(2)未提供法規要求之發送人完整聯絡訊息;(3)資料當事人提出取消商業電子郵件訂閱之請求，未於法定之10個工作日內執行；(4)自2014年7月至2015年2月寄出之每一封商業電子郵件，波特航空無法證明其已獲當事人之同意而為之。
CRTC法遵暨執行部門主席Manon Bombardier認為，在過去，企業都習慣依照一般商業慣例或內部政策執行相關工作，透過此一個案，希望能對其他企業產生警示作用。企業應針對發送電子商業訊息之部分，重新檢視並審查其內部相關程序及步驟，是否確實符合當地法規要求及條件，以免類似觸法事件再度發生。
新加坡代理AI治理示範框架對我國人工智慧基本法落地的啟示 資訊工業策進會科技法律研究所 2026年07月08日 新加坡資訊通信媒體發展局（Infocomm Media Development Authority，下稱IMDA）於2026年5月20日發布《代理式人工智慧治理示範框架》（Model AI Governance Framework for Agentic AI，下稱示範框架）第1.5版，以事前評估並框限風險、使人類負起有意義的當責、落實技術控制與流程、促成終端使用者盡責四大面向，同時提供真實部署案例，將代理式人工智慧(以下簡稱代理AI)治理的實務具體化[1]。 壹、事件摘要 相較於僅生成內容之生成式人工智慧，代理AI能自主規劃、跨多步驟採取行動，並與其他代理及外部系統互動，代替使用者完成任務。由於其可存取敏感資料並以行動變更所處環境，例如更新客戶資料庫或執行付款，風險型態明顯不同於僅可能產生錯誤輸出者。我國《人工智慧基本法》已於民國114年經立法院三讀通過，以風險為基礎、原則導向、由各主管機關落實之路徑[2]。惟我國現行治理之重心，仍落在AI應用與輸出風險，對於代理採取行動所生之系統性風險存在空缺。新加坡已關注此新興的AI工具發展，更新其代理AI治理框架，新增風險評估因素、代理AI價值鏈、防範自動化偏誤之作法與各類控制之概覽及其選用方式，為組織提供代理AI風險及其管理新興最佳實務的結構化概覽。 貳、重點說明 一、以行動空間與自主性為風險座標 示範框架提出各代理AI雖可能具備相同元件，但每一元件之設計皆可能顯著影響代理能力，故思考代理能做什麼時，應區分兩個概念：一為行動空間（action-space），指代理可採取之行動範圍，取決於其獲准使用之工具及該等工具上之權限；二為自主性（autonomy），指代理朝目標行動時可自行決定如何行動之程度，取決於其指令與人為介入之程度。此兩個要素是後續一切風險評估與控制設計之重要因素，不同的權限與自主程度，將會使性質同為代理AI，歸屬於截然不同之風險程度[3]。 二、風險會因代理功能出現系統性擴大效應 由於代理之風險本質上並非全新，真正變化在於這些風險因代理AI會在真實世界採取行動，速度與複雜度會進一步加劇。示範框架提醒決策的快速會使監督難以在造成危害前即時阻止，而要求人類持續監督又可能導致自動化偏誤與警示疲勞，致某一步驟之錯誤可能於後續步驟間傳播並放大。因此，當系統由多個代理構成，敏感資料被無意記錄、傳遞給安全性較低代理或遭提示注入揭露之可能，會產生無法透過個別測試去預測並防止之行為[4]。 三、代理AI的四大關鍵面向 示範框架就代理AI於下列四大面向，提供組織做為梳理治理重點的關鍵考量。這些面向同時構成一個循環，透過監測發現異常時，即應循環重新評估先前各面向[5]。 (一)事前評估並框限風險：組織可於規劃階段設計適當邊界，以限縮代理之影響範圍，例如限制其對工具與外部系統之存取。組織亦可透過代理身分管理與存取控制等措施，確保代理之行動可追溯、可控制。 (二)使人類負起有意義的當責：「人在迴路」（human-in-the-loop）須加以調整，以因應自動化偏誤，一旦代理AI之部署獲得放行，組織即應採取措施確保人為當責，並應迅速掌握新發展，隨技術演進更新其作法。 (三)落實技術控制與流程：組織應於代理生命週期全程實施技術措施，且由於代理與其環境動態互動、且非所有風險均能事前預見，爰建議逐步推出代理，並於部署後持續監測。 (四)促成終端使用者盡責：應告知使用者代理之行動範圍、資料存取情形，以及使用者自身之責任。組織並應考量另行提供教育訓練，使員工具備管理人機互動、行使有效監督所需之知識，同時維持其專業技藝與基礎技能。 四、風險控制的因應策略 示範框架以行動空間與自主性各對應嚴重程度與發生機率，嚴重程度考量部署領域、對敏感資料與外部系統之存取、行動範圍（讀取相對於寫入）及可回復性；發生機率則考量自主程度、任務複雜度、是否由外部方提供及系統複雜度，並主張以「威脅建模」(threat modeling)即系統化的預設可能的如記憶投毒、工具濫用、權限破壞、間接提示注入等威脅情境，推導出更有針對性的控制與分層防禦方式來強化評估[6]。 在風險控制策略上，示範框架主張系統層確定性控制優於提示層防護，亦即與其提示代理AI不得存取特定工具，不如施加存取控制使該工具根本無法被呼叫。除靜態防護外，框架另強調在設計之初就要納入控制措施，在執行過程中監測並介入，例如如限制防止工具使用過度，或以輸入驗證的方式，在有害動作執行前予以攔截[7]。 五、風險控制的實作技巧 對於風險控制實際方法，示範框架建議可於協定層就善用模型上下文協定（Model Context Protocol，MCP）過濾敏感資料、記錄所有互動或將受信任伺服器列入白名單。同時，該框架以事例建議組織可採取這些控制的技術手段，如：於提示代理AI反思計畫是否遵循指令、記錄計畫與推理供驗證；於執行時要求嚴格輸入格式、以最小權限限制可用工具、對敏感資料庫預設不給寫入權、於鍵入密碼時交還使用者控制；於連結時，將受信任伺服器列入白名單、將程式碼執行沙箱隔離[8]。 六、人為監督之具體化、代理身分治理 針對人為監督方式，該示範框架建議應先界定須經人為核准之查核點或行動界線，尤其在高風險、不可回復或離群行為之前。其次，設計核准之形式，使請求切合脈絡且易於理解、清楚呈現風險，並依情形選擇所需之人為輸入。但最關鍵的是，須將監督的有效性本身納入稽核，包括追蹤人為否定率偏低，或審查回應時間有過短情況時，即意味監督可能已流於形式。須注意自動化偏誤或審查疲勞，並辨識決策明顯偏離常態之「離群」人員，同時訓練監督者辨識代理AI可能出狀況的情況[9]。 而就多代理與跨組織互動帶來之系統性風險，示範框架建議的因應是將身分管理延伸至代理，但其亦指出現行授權系統多為預先定義之靜態範圍，難以因應代理依情境動態變化之細粒度權限；於過渡期間，建議代理AI身分應具備唯一、有所歸屬、依其行事身分加以區別、並建檔集中管理[10]。 七、部署前全流程測試、逐步部署並設計風險示警 框架認為可能透過工具採取不安全或非預期之動作，故應測試整體任務執行、政策遵循度與工具使用正確性，非僅測最終輸出；且應個別測試與合併測試，以掌握多代理協作時之湧現風險。就部署後，框架主張逐步推行，可依使用者、工具與協定、所暴露系統三個面向控制推行範圍並持續監測。在監測面，應決定記錄之內容、優先監測更新資料庫或金融交易等高風險活動、建立警示定義與設計與風險相稱之介入、確保日誌不可竄改以維持稽核軌跡，並建立將監測洞察回饋至訓練與評估之迴路[11]。 參、事件評析 新加坡的代理AI治理框架初版於二〇二六年一月發布，此次更新納入多個組織導入代理AI的實例回饋，擴充多代理系統之系統性風險，補強代理蔓生、協作失敗、串謀與湧現行為之情境。其核心價值在於指出傳統風險止於「內容」，而代理式治理之對象，則係能呼叫工具、寫入系統、執行交易之能行動系統，風險延伸至「行動」及其真實後果。因此，其建議應由單一之模型輸出品質，轉為行動空間與自主性之風險控制。由內容防護轉為系統確定性控制、執行期介入與協定治理；由事後審查轉為將推翻率、回應時間等監督的有效性予以指標與持續改善化。 我國AI基本法於第4條提及問責、人類自主及資料治理原則，適對應示範框架的人為當責、系統層控制與監督指標化建議。同時，依基本法第16條規定數位發展部應參考國際標準或規範，推動與國際介接之人工智慧風險分類框架，並應協助各目的事業主管機關訂定以風險為基礎之管理規範。各目的事業主管機關應視人工智慧應用風險管理之需要,循前項風險分類框架,訂定以風險為基礎之管理規範，並應協助相關產業自行訂定產業指引及行為規範。在代理AI已在生成式AI基礎上，跨入多任務自主執行的功能層次，風險的質與量已因代理功能出現系統性擴大效應的情況下，單純以生成式AI為標的治理規範或指引，顯然其可產生的規範管理或指引提醒的效果，已不足以因應AI的快速發展。 新加坡適時更新的代理AI治理框架，雖然亦表明代理AI的風險並非其所獨有，亦是來自於生成式AI的既有影響，但該框架進一步提醒代理AI將使風險控制更加困難，「人在迴路」（human-in-the-loop）須加以調整，一旦代理AI之部署獲得放行，組織即應採取明確課責、認知建立、訓練技能等措施確保人為當責的「有效性」，並應迅速掌握新發展，運用技術手段強化風險監測。其中喻意深遠的是，該框架就終端使用者所提基礎技藝維持之警示，即代理AI接手任務恐致技能退化與業務永續風險，或許將成為AI基本法下一個階段必須面臨的課題。 本文著作權屬財團法人資訊工業策進會科技法律研究所所有，如需引用或轉載，請註明出處。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]新加坡資訊通信媒體發展局（Infocomm Media Development Authority, IMDA），《代理式人工智慧治理示範框架》（Model AI Governance Framework for Agentic AI）第一‧五版，二〇二六年五月二十日發布、同年六月五日更新，https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/mgf-for-agentic-ai.pdf（最後瀏覽日：二〇二六年七月六日）。 [2]《人工智慧基本法》，民國一百十四年十二月二十三日經立法院三讀通過，全文二十條，二〇二六年一月公布施行，中央主管機關為國家科學及技術委員會。 [3] 前揭註1，頁8、15（分見「代理設計如何影響各代理之限制與能力」與「判定適合部署代理之使用案例」）。 [4] 同前註，頁11。 [5] 詳前註1，頁3~4。 [6] 同前註，頁15至18。 [7] 同前註，頁33至34。 [8] 同前註，頁30。 [9] 同前註，頁29至32。 [10] 同前註，頁23至24。 [11] 同前註，頁42至45。
歐盟《新循環經濟行動計畫》法制趨勢與啟示歐盟《新循環經濟行動計畫》法制趨勢與啟示 資訊工業策進會科技法律研究所 2024年05月21日 因應技術進步導致資訊的存取與分享更加容易，營業秘密侵權爭議也隨之增長，綜觀國際政策推動或許多跨國智財專家均逐漸重視營業秘密爭議相關議題，並論及營業秘密相關法規趨勢、訴訟經驗、建議企業可執行的營業秘密管理做法等，以下將綜整相關趨勢與專家觀點並提出我國企業建議。 壹、背景 永續發展是當下重要課題，國際間也積極回應。聯合國大會早在2015年9月25日決議推動《2030永續發展議程》（2030 Agenda for Sustainable Development），並宣布17項永續發展目標（Sustainable Development Goals, SDGs）和169個具體落實事項。[1]後續，此議程所框定的目標事項，也成為全球研議永續發展政策依循方向。 在SDGs中，除了強調社會包容、數位平權外，也著重於環境韌性與循環永續議題，內容包含採取永續性的消費與生產模式、採取行動應對氣候變遷影響等。而線性經濟模式（Linear economy model）被認為會榨取全球資源並帶來氣候變遷和大量溫室氣體，如可改採循環經濟模式（Circular economy model）將可有效緩解此問題，實踐永續發展目標。[2] 呼應此一倡議，建構循環經濟模式成為國際趨勢。我國為呼應聯合國SDGs倡議，亦致力將「循環經濟」作為我國創造經濟與環保雙贏的重要政策。[3]又，有感於我國廢棄物產量日益增多，為落實聯合國永續目標，我國環境部積極推進與優化循環經濟相關法制與政策，期透過廢棄物再利用、再生資源再利用等作法，實現廢棄物減量與發展循環經濟產業願景。 惟現階段，我國就再利用相關規範主要透過《廢棄物清理法》、《資源回收再利用法》進行管理，相關法規另又授權各目的事業主管機關得自行訂定再利用相關辦法。研究指出，主管機關對於再利用種類之訂定較為保守，多傾向優先認定為廢棄物，導致物質或物品需要耗費較高時間及經濟成本資源化[4]。另方面，兩法彼此間亦有法律競合情形[5]，形成事權重疊，且難追求廢棄物有效資源化。又，近期國際倡議產品生態設計、數位產品護照等有利循環經濟發展措施，我國亦開始響應，但法制基礎仍待完善，故我國環境部資源循環署刻正研議《資源循環促進法》訂定作業，計劃整併《廢棄物清理法》及《資源回收再利用法》，並將依循減少廢棄物產生、再使用（不改變型態）、再利用（改變型態）、能源回收（如固體再生燃料）、妥善處理等5個階段，搭配綠色設計源頭減量、能資源化再利用、暢通循環網絡、創新技術與制度、加值化處理廢棄物等5大推動策略，減少資源耗損，逐步達成零廢棄目標[6]。環境部現階段尚未公告相關內容，爰本文以下擬先簡要敘明我國現行循環經濟相關法制、政策現況，並以歐盟循環經濟相關法規與《新循環經濟行動計畫》關注重點為觀測對象進行爬梳，進而提出觀察與建議。 貳、重點說明 一、我國循環經濟相關政策與法制現況 （一）《廢棄物清理法》 我國與循環經濟推動相關之廢棄物處理、再利用規範，以《廢棄物清理法》為核心開展。《廢棄物清理法》旨在清除、處理廢棄物。就廢棄物的管理模式又進一步區分為一般廢棄物、事業廢棄物二類。一般廢棄物主要由中央主管機關（環境部）作為權責機關，並設有《一般廢棄物回收清除處理辦法》，同時，尚要求販賣業者應負責回收、清除《廢棄物清理法》第15條規範之物品、包裝或容器；而事業廢棄物之再利用則由不同中央目的事業主管機關各自主責。 目前，我國已有10餘個部會訂定相關管理辦法，包含《交通事業廢棄物再利用管理辦法》、《科學園區事業廢棄物再利用管理辦法》、《教育部事業廢棄物再利用管理辦法》、《通訊傳播事業廢棄物再利用管理辦法》、《菸酒事業廢棄物再利用管理辦法》、《經濟部事業廢棄物再利用管理辦法》、《農業事業廢棄物再利用管理辦法》、《餐館業事業廢棄物再利用管理辦法》、《營建事業廢棄物再利用管理辦法》、《醫療事業廢棄物再利用管理辦法》、《行政院環境保護署事業廢棄物再利用管理辦法》、《共通性事業廢棄物再利用管理辦法》、《公共下水道污水處理廠事業廢棄物再利用管理辦法》。而針對共通性之事業廢棄物，為免其管理權責爭議，環境部另訂有《共通性事業廢棄物再利用管理辦法》因應。 （二）《資源回收再利用法》 有鑑於《廢棄物清理法》立法意旨並非促進回收再利用，並建立資源永續利用社會，爰在2022年7月公布《資源回收再利用法》，並提出「為達成資源永續利用，在可行之技術及經濟為基礎下，對於物質之使用，應優先考量減少產生廢棄物，失去原效用後應依序考量再使用，其次物質再生利用，能源回收及妥善處理。但經生命週期考量，可得最佳整體環境效益之廢棄物利用方式者，不在此限」[7]，引導事業導向循環經濟轉型。其中，特別針對物品、容器製造販賣業者，《資源回收再利用法》引入生產者延伸責任，要求其應提升產品耐用年限及提供修繕服務，並應以有利產品回收再利用方向研發、設計及標示材質種類，進而預防廢棄物產生[8]。另一方面，《資源回收再利用法》也以產品生命週期概念，提出中央目的事業主管機關得視產業發展狀況公告指定產品、營建工程、或事業別及其規模於研發、設計、製造、生產、銷售或工程施工等階段，應遵行事項，包含像是使用易於分解或回收再利用之材質、使用一定比例或數量之再生資源等。 只是，《資源回收再利用法》適用對象為再生資源，得再生利用之再生資源項目，需要由再生資源產生事業所屬業別或屬性認定之[9]中央目的事業主管機關公告之。如未經公告，則必須由事業檢具再生利用計畫，向中央目的事業主管機關申請核准為再生資源項目[10]。經盤點，目前我國公告或經核准為再利用之再生資源項目者僅有《經濟部再生利用之再生資源項目及規範》公告之水淬高爐爐碴、鈦鐵礦氯化爐渣、鈷錳化合沉澱物、石材下腳料，及《行政院環境保護署再生利用之再生資源項目及管理方式》公告之鐵、銅、鋁、玻璃、塑膠，以及《營建事業再生利用之再生資源項目及規範》公告之瀝青混凝土挖（刨）除料。 一經公告為再生資源，廢棄物即被視為再生資源並應依《資源回收再利用法》規範處理。現階段，我國已有部分中央目的事業主管機關訂定相關規範，包含《行政院衛生署再生資源再生利用管理辦法》、《交通部再生資源再生利用管理辦法》、《行政院環境保護署再生資源再生利用管理辦法》、《科學園區再生資源再生利用管理辦法》、《農業再生資源再生利用管理辦法》、《營建事業再生資源再生利用管理辦法》。 （三）我國推進循環經濟生態趨勢 1.軟性措施先行，引導產業朝循環經濟轉型 依循《廢棄物清理法》及《資源回收再利用法》脈絡，我國政府自2004年起持續進行資源回收再利用推動計畫，並配合國際發展循環經濟趨勢，在2018年國發會之「五加二產業創新計畫」中，提出循環經濟推動方案，以循環產業化、產業循環化為主軸發展循環經濟模式；2021年行政院第11次全國科學技術會議中，更將「循環經濟」列為關注重點，推動創新發展綠色經濟、精進資源循環技術以及推動循環材料創新研發三大策略；同年7月，環境部成立資源循環辦公室，並在2022年3月發布「循環新世代-110年至113年資源循環行動計畫」，考量塑膠、電子零組件製品、資通視聽產品、基本金屬及其製品等資源密集型產業為出口大宗，且我國農林漁牧、食品工業等發展活絡，所產出之廢棄物亦不容小覷，遂擬定以生物質、有機化學物質、金屬及化學品、無機再生粒料四大物料角度推動之資源循環政策。 除了透過政策面的宣示、計畫的試行外，我國環境部亦積極採取軟性的方式，透過業者自願參與的形式，在2023年5月提出「電子產品維修度指數指引」試行[11]，引導廠商設計有利於維修之產品、服務，延長產品使用壽命；同年，12月推動「連鎖品牌服飾業及百貨零售業紡織品循環指引」[12]等協助業者落實生產者延伸責任，從紡織品的產品生命週期導入永續循環行動措施，並建立數位產品履歷。 2.倡議從源頭減量，並致力促進廢棄物/資源再利用 我國循環經濟相關政策主軸大致有二方向，一是從廢棄物減量著手。舉例來說，我國占出口大宗的塑膠有機化學工業[13]，其產出之塑膠廢棄物不容小覷。面對國際開始倡議減塑、閉環型經濟趨勢，我國環境部已採取源頭減量，依《廢棄物清理法》第21條授權，採取分階段、範圍方式，限制塑膠袋、免洗餐具過度使用[14] ；二是逐步導向資源循環再利用。譬如：無機再生粒料資源循環再利用被視為我國再生料市場的重要推動項目，環境部致力推動焚化再生粒料應用於公共工程，並基於保護環境與管制精神，設有焚化再生粒料流向管理系統[15]與訂定「再生粒料環境用途溶出程序（NIEA R222）」標準[16] ；或者，針對不易進行再利用、回收價值低之塑膠廢棄物，投入再生脂料應用，帶動塑膠製品的二次原料[17] ，或固體再生燃料（Solid recovered fuel，SRF）之原料[18] 之開發。 （四）我國推進循環經濟面臨課題 1. 再利用法制事權分散，各機關判斷標準不一 我國廢棄物、再生資源分別由《廢棄物清理法》、《資源回收再生法》管理，並採取依據產業性質劃分主管機關作法。雖然此模式可有效讓中央目的事業主管機關充分了解執掌事務，可動態依據現況與需求進行調整，但也容易因事權重疊，形成多頭馬車併進。以生物質資源為例，生物質資源包含各行各業所管生物質，如農業部主管之農漁禽畜業、衛生福利部主管之食品加工業、環境部及內政部管理民生生活之廚餘、下水汙泥等皆屬之。目前，我國生物質資源循環整合利用以材料、飼料、肥料及生質能源方向推動[19] ，也因此面臨涉及多目的事業主管機關問題，包含主管機關管理認知的不同、法令規範的限制[20] 等。譬如畜牧場產出之雞蛋殼，由畜牧場之目的事業主管機關—農業部主責；食品加工業所產出之雞蛋殼，則由食品加工業之目的事業主管機關—衛生福利部管理。[21] 2.尚待完善產品生態設計及數位產品履歷法制基礎 為建構有利循環經濟生態發展環境，除了透過延伸生產者責任的訂定，促使業者能擔負一定責任（如回收、揭露義務）外，產品本身在設計製造過程，亦需要預先考量未來廢棄物產出及其再利用可行性，是以，參考「連鎖品牌服飾業及百貨零售業紡織品循環指引」，可發現我國已隱然具有從產品生命各個週期導入產品生態設計的精神，並開始推展數位產品履歷之建置。然而，現階段適用範圍僅限連鎖品牌服飾業及百貨零售業紡織品，並且，是透過指引形式引導業者自願性參與，並無法律拘束力。未來，如欲進一步擴大產品生態設計及數位產品履歷適用範圍，並使業者能擔負相應法律義務，有必要思考完善產品生態設計及數位產品履歷法制基礎手段。 二、歐盟循環經濟法制政策 （一）《廢棄物框架指令》 歐盟將廢棄物減量以及循環利用視作推進循環經濟的重要手段。有關管理廢棄物減量及循環利用的相關規範，歐盟以《廢棄物框架指令》（Waste Framework Directive）為基礎，建立廢棄物預防與管理立法、政策，並依據預防（prevention）→再利用（preparing for re-use）→回收（recycling）→其他回收（other recovery）→處置（disposal）[22] 順序建構循環經濟策略。 根據《廢棄物框架指令》，廢棄物是指持有人丟棄、打算或被要求丟棄的任何物質或物體。為了依循前述順序，歐盟明定成員國應採取能促進永續性的生產和消費模式，減少廢棄物產出[23] ，並且，鼓勵廢棄物可透過再利用（re-use）、回收制度延續生命。譬如，引入生產者延伸責任（extended producer responsibility），敘明成員國得採取立法或非立法措施，要求在產品設計、生產過程中，充分地將資源在產品生命週期（修理、再利用等）有效利用納入考量。 此外，針對特定類別的廢棄物管理，則會依據需求另行訂定規則或指令，用以補充《廢棄物框架指令》[24] ，例如針對特定類別廢金屬[25] 、廢玻璃[26] 、廢銅[27] 不再被視為廢棄物的標準，提出補充規則以確保相關回收物品質；又或《包裝與包裝廢棄物指令》（the Packaging and Packaging Waste Directive），將用於容納、搬運、交付或展示商品的所有產品視為包裝，並要求成員國應建立包裝廢棄物回收系統。[28] （二）《生態設計指令》 另一方面，歐盟也透過《生態設計指令》（Ecodesign Directive）[29] 將生態設計概念納入產品設計中，也就是，在設計過程考量環境因素提出生態設計要求，進而提升產品整體生命週期的環境績效（Environmental performance），促進產品永續發展。 有關生態設計要求的建立，需要以產品生命週期各階段涉及之重要環境因素為基礎，區分為原料選擇與使用、製造、包裝運銷、安裝維護、使用、產品壽命終止。並且，進一步依據不同階段評估材料與能源消耗、預期汙染及產出廢料、材料或能源之可再利用可能性等[30] ，確保符合生態設計要求產品能夠在歐盟市場自由流動與改善其對環境的整體影響。 目前，《生態設計指令》僅適用於能源相關產品（指使用過程會產生耗能之產品及其零組件[31] ）。具體作法是針對能源相關產品建立生態設計要求，並規定應滿足框架所列相關要件，才能投放市場或使用，藉以改善能源效率並提升產品永續性。 （三）《新循環經濟行動計畫》趨勢 承前，歐盟持續以產品生命週期為基礎，發展整體價值鏈系統性方法[32] ，朝向產品生態設計與發展廢棄物資源化方向發展。[33] 惟，歐盟仍認為現階段規範尚有不足。首先是，資源密集型產業對於環境所帶來的負面外部性日益嚴峻，不利循環經濟發展。其次，從宏觀角度觀察，對環境產生影響之產品並非僅有能源相關產品，尚涵蓋其他非能源相關產品，應建立讓多數產品能夠將生態設計納入考量的機制。爰透過《新循環經濟行動計畫》[34] ，就資源密集型產業所生影響，倡議修訂《廢棄物框架指令》、新立《永續產品生態設計規則》（Ecodesign for Sustainable Products Regulation）（草案）等相關規範，重點臚列如下： 1. 持續建構有利廢棄物減量與再利用基礎 廢棄物資源化之循環商業模式的建立，可有效減量廢棄物並促進資源永續。歐盟將優先以資源用量大且具有高循環價值潛力之產品價值鏈（譬如電子及資通訊技術、電池和汽車、包裝、塑膠、紡織品、建築、食品、水及營養品[35] ）為對象推動，並在2023年7月擬議修訂《廢棄物框架指令》，針對紡織品資源密集型產業引入強制性的延伸生產者責任（extended producer responsibility），規範生產者營運與財務活動義務，包含像是針對紡織品製造業者收取廢棄物管理相關費用，或建立紡織品製造業者註冊清單以加強對相關業者監督力度等[36] 。 此外，現階段已有相關規範之特定產品，歐盟也積極提出相應精進措施。如：2022年11月30日歐盟擬議修訂《包裝與包裝廢棄物指令》[37] ，倡議以回收為目標的包裝設計，致力降低包裝廢棄物的產出，針對包裝的「再利用」（re-use）及「再填充」（Refill）比例設置具體目標，要求符合一定要件之業者遵守。此外，針對包裝設計的回收標準的一致性，將透過協調溝通，建立包裝可回收性的強制要求，降低包裝廢棄物產量以及數量，並促進包裝採用再生塑膠，實現有利循環經濟發展的模式。[38] 2. 建立永續產品政策框架，促進產品生態設計 鑒於多數產品環境影響是在設計階段產生，需要在設計階段將產品永續性、可循環性要素納入考量，讓線性型經濟模式可朝向閉環型經濟模式轉型。 歐盟現行《生態設計指令》僅就能源相關產品設定相關要求，但除了能源相關產品，非能源相關產品對於環境所生影響亦不容小覷。是以，在既有的生態設計基礎上，歐盟進一步提出《永續產品生態設計規則》（Ecodesign for Sustainable Products Regulation）（草案），企求將生態設計要求拓展適用至歐盟大部分實體商品。 《永續產品生態設計規則》（草案）共有二部分重點，一是針對產品建立績效要求（Performance Requirements）。為強化產品永續性，草案羅列生態設計要求相關事項，包含產品耐用性、可靠性；產品可重複使用性；產品可升級性、可修復、維護及更新性；產品中存有關切物質(substances of concern)；產品能源和資源效率；產品的回收成分；產品再製造和回收；產品碳足跡和環境足跡；產品預期產生廢棄物。[39]期望透過前列事項，為產品增加可循環性、永續性，進而為循環經濟體系奠定堅強基石；二是資訊充分揭露要求（Information Requirements）。除從產品設計製造階段引入生態設計要求外，歐盟為能提供價值鏈參與者充分且透明資訊，計畫導入數位產品護照（Digital Product Passport）作為重要工具，讓消費者可藉由數位產品護照做出有利循環經濟的消費選擇，且可做為其他價值鏈參與者（像主管機關、修理、或回收業者）獲取資訊之手段。[40] 另方面，就資源密集型的紡織品產業，歐盟也提出《歐盟永續循環紡織品戰略》（EU strategy for sustainable and circular textiles）[41]，考量針對紡織品引入強制性的生態設計要求，評估如何制定具有約束力的特定產品生態設計要求，透過提升紡織品耐用性、可重複利用性、可修復性、可回收性的性能以及最大限度減少關切物質，降低對環境不利影響，引動業者參與循環經濟環境的建構，並發展循環商業模式。 參、結論建議 觀察歐盟體制，其就廢棄物及資源再利用係以《廢棄物框架指令》為基礎，統一管理廢棄物的預防、在利用、回收等事宜，並搭配補充規範方式，針對特定類別產品建立在歐盟境內一致適用的廢棄物資源化標準。其次，歐盟研議透過硬法形式，在《廢棄物框架指令》增訂針對紡織品業者的延伸生產者責任，以提升相關產品的環境績效。再次，歐盟研議在既有《生態設計指令》基礎，提出《永續產品生態設計規則》（草案）以擴大既有的生態設計要求範疇，讓適用範圍從能源相關產品擴展至多數歐盟產品，促使產品在設計階段即將環境因素納入考量，進而形成有利循環經濟永續發展的基礎。 回顧我國，近期環境部已積極研議整併《廢棄物清理法》、《資源回收再利用法》，並推動《資源循環促進法》，以建立廢棄物減量、再利用框架，計畫將依循減少廢棄物產生、再使用（不改變型態）、再利用（改變型態）、能源回收（如固體再生燃料）、妥善處理等5個階段推行，讓廢棄物優先被認定為資源，配合零廢棄政策推行，翻轉原本透過《廢棄物清理法》、《資源回收再利用法》分別管理的模式。另方面，我國也開始關注如何建立友善循環經濟發展環境，初步先以軟性的計畫、指引形式推動，引導業者自願性參與。但是，未來或可能逐步走向強制業者引入生態設計要求，並透過延伸生產者責任的形式規範，是以，仍有必要逐步完善相關法制基礎。基此，建議可參考歐盟做法，先行以資源密集型產業為對象建立強制性的延伸生產者責任，並借鑒歐盟產品生態設計及數位產品護照框架，設計合宜我國需求的制度。 [1] G.A. Res. A/RES/70/1, U.N. Doc. A/70/L.1 (Sep. 25, 2015) [2]European Parliament, Achieving the UN Agenda 2030: Overall actions for the successful implementation of the Sustainable Development Goals before and after the 2030 deadline23 (2023), available athttps://www.europarl.europa.eu/RegData/etudes/IDAN/2022/702576/EXPO_IDA(2022)702576_EN.pdf (last visited Jan. 4, 2024). [3]〈推動循環經濟—創造經濟與環保雙贏〉，行政院，https://www.ey.gov.tw/Page/5A8A0CB5B41DA11E/12c0a2b8-485d-49d7-ba9e-a9a10b82828e （最後瀏覽日：2024/1/2）。 [4]蔡維馨、陳雅馨、胡菡容，《事業廢棄物資源再生產業現況及推動策略》，工業防治污染，2019年，第147期，頁102，https://proj.ftis.org.tw/eta/WebPhotos/2019/4_5.pdf （最後瀏覽日:2024/5/20）。 [5]環境資訊中心，「資源循環利用法」卡關10年 魏國彥與環團會面求解，2014/5/27，https://e-info.org.tw/node/99604 （最後瀏覽日:2024/5/20） [6]環境部，112年6月環保重要政策，112/6，https://www.moenv.gov.tw/DisplayFile.aspx?FileID=10386A46C7ACB6C5&P=91664083-0d23-4159-9b45-a5fdb376090a，最後瀏覽日：2023/11/23。 [7]資源回收再利用法第6條。 [8]資源回收再利用法第9條第4款。 [9]資源回收再利用法第4條第1項。 [10]資源回收再利用法第15條。 [11]環境部，環保署推「電子產品維修度指數指引」 輔導筆記型電腦及手機業者試行，2023/5/26，https://enews.moenv.gov.tw/page/3b3c62c78849f32f/1618ceb4-fe6e-45dc-8ceb-fa298f6a1b50，最後瀏覽日：2024/1/3。 [12]環境部，112年12月18日函頒「連鎖品牌服飾業及百貨零售業紡織品循環指引」，歡迎業者踴躍參與成為永續時尚聯盟成員，2023/12/18，https://www.reca.gov.tw/views/86a29969-82ea-4a4c-b488-64c0994c1f9f，最後瀏覽日：2024/1/3。 [13]環境部，110年至113年資源循環行動計畫，頁15。 [14]環境部，推動購物用塑膠袋及塑膠類（含保麗龍）免洗餐具限制使用政策，2022/3/19，https://enews.moenv.gov.tw/Page/3B3C62C78849F32F/de180704-2d17-4a2d-a9ef-335e54096395，最後瀏覽日：2024/1/3。 [15]焚化再生粒料流向管理系統，https://rams.moenv.gov.tw/RAMS/Default.aspx，最後瀏覽日：2023/11/23。 [16]經濟部，關於媒體報導質疑工業局黑箱作業 與業者閉門會議討論填海造陸議題之澄清說明-工業局將持續收集公會及業界意見，秉持公開公平公正法定作業程序進行，並無黑箱及內定情事，https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=9&menu_id=22333&news_id=105738，最後瀏覽日：2023/11/23。 [17]環境部，廢塑膠容器回收變黃金 再製成品用途廣，https://enews.moenv.gov.tw/Page/3B3C62C78849F32F/76c35f7d-77b4-42f3-a8a6-b7f8e9d9a19b，最後瀏覽日：2023/11/23。 [18]參考固體再生燃料製造技術指引與品質規範附表二。 [19]環境部，110年至113年資源循環行動計畫，頁12。 [20]環境部，110年至113年資源循環行動計畫，頁12。 [21]環境部，110年至113年資源循環行動計畫，頁12。 [22]Directive 2008/98/EC, of the European Parliament and of the Council of 19 November 2008 on waste and repealing certain Directives, 2008 O.J.(L312)3, 10. [23]Directive 2008/98/EC, of the European Parliament and of the Council of 19 November 2008 on waste and repealing certain Directives, 2008 O.J.(L312)3, 12. [24]Directive 2008/98/EC, of the European Parliament and of the Council of 19 November 2008 on waste and repealing certain Directives, 2008 O.J.(L312)3,9. [25]COUNCIL REGULATION (EU) No 333/2011 of 31 March 2011, establishing criteria determining when certain types of scrap metal cease to be waste under Directive 2008/98/EC of the European Parliament and of the Council, 2011 O.J. (L94)2. [26]COMMISSION REGULATION (EU) No 1179/2012 of 10 December 2012, establishing criteria determining when glass cullet ceases to be waste under Directive 2008/98/EC of the European Parliament and of the Council, 2012 O.J. (L337)31. [27]COMMISSION REGULATION (EU) No 715/2013 of 25 July 2013, establishing criteria determining when copper scrap ceases to be waste under Directive 2008/98/EC of the European Parliament and of the Council, 2013 O.J. (L201)14. [28]European Commission, European Green Deal: Putting an end to wasteful packaging, boosting reuse and recycling, https://ec.europa.eu/commission/presscorner/detail/en/ip_22_7155 (last visited 7, Dec. 2023). [29]Council Directive 2009/125/EC, 2009 O.J. (L 285/10). [30]Council Directive 2009/125/EC, ANNEX I, 2009 O.J. (L 285/10). [31]Council Directive 2009/125/EC, art. 2(1), 2009 O.J. (L 285/10). [32]Communication from the commission to the European Parliament, the council, the European economic and social committee and the committee of the regions. Closing the loop - An EU action plan for the Circular Economy COM(2015) 614 final(Dec. 2, 2015), available at https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52015DC0614 (last visited Dec. 06, 2023). [33]Commission Report from the Commission to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions, on the implementation of the Circular Economy Action Plan COM(2019)190 final(Mar. 4, 2019), , available at https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1551871195772&uri=CELEX:52019DC0190 (last visited Dec. 6, 2023). [34]Communication from the commission to the European Parliament, the council, the European economic and social committee and the committee of the regions. A new Circular Economy Action Plan. For a cleaner and more competitive Europe, COM(2020) 98 final(Mar. 11, 2020). [35]European Commission, Circular economy action plan, https://environment.ec.europa.eu/strategy/circular-economy-action-plan_en (last visited Jul. 18, 2023). [36]Commission Proposal for a Directive of the European Parliament and of the Councilamending Directive 2008/98/EC on waste, COM(2023) 420 final (Jul. 5, 2023), available at https://environment.ec.europa.eu/document/download/ca53d82e-a4d3-40b9-a713-93585058f47f_en?filename=Proposal%20for%20a%20DIRECTIVE%20OF%20THE%20EUROPEAN%20PARLIAMENT%20AND%20OF%20THE%20COUNCIL%20amending%20Directive%20200898EC%20on%20waste%20COM_2023_420.pdf (last visited Dec. 18, 2023). [37]European Commission, European Green Deal: Putting an end to wasteful packaging, boosting reuse and recycling, https://ec.europa.eu/commission/presscorner/detail/en/ip_22_7155 (last visited 7, Dec. 2023). [38]Commission Proposal for a Regulation of the European Parliament and of the Council on packaging and packaging waste, amending Regulation (EU) 2019/1020 and Directive (EU) 2019/904, and repealing Directive 94/62/EC, COM(2022) 677 final (Nov. 30, 2022), available at https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52022PC0677 (last visited Jan. 2, 2024). [39]Commission Proposal for a Regulation of the European Parliament and of the Council establishing a framework for setting ecodesign requirements for sustainable products and repealing Directive 2009/125/EC, COM(2022) 142 final (Mar. 3, 30, 2022), available at https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=COM%3A2022%3A0142%3AFIN (last visited Dec. 26, 2023). [40]Commission Proposal for a Regulation of the European Parliament and of the Council establishing a framework for setting ecodesign requirements for sustainable products and repealing Directive 2009/125/EC, COM(2022) 142 final (Mar. 3, 30, 2022), available at https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=COM%3A2022%3A0142%3AFIN (last visited Dec. 26, 2023). [41]European Commission, EU strategy for sustainable and circular textiles , https://environment.ec.europa.eu/strategy/textiles-strategy_en (last visited 7, Dec. 2023).
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
歐盟將公布精準醫療國際合作發展倡議歐盟於2016年5月公布將成立個人化醫療國際聯合會(International Consortium for Personalised Medicine, IC PerMed)，並草擬發展倡議。其成立背景為目前用來治療大部分病人之一般藥品效果未如預期，且因藥物嚴重副作用導致需急性醫療入院情形，約超過60%之比例。此外，歐盟的醫療照護成本將隨著人口老化以及慢性疾病增加而加重。個人化醫療具有特定預防目的以及治療方法，因此，病人利用最佳的治療方是，可避免試驗與治療錯誤之問題。個人化醫療是一個快速成長的市場，歐洲醫療照護產業具有發展潛力，並同時帶來經濟成長與就業機會。 歐盟認為，儘管個人化醫療尚未有明確定義，但依據Horizon2020諮詢小組(Horizon 2020 Advisory Group)定義為利用個人表現型或基因型特徵之醫療模型，針對正確的個人、治療時間，以明確的醫療政策為目標進行診治，或者是找出疾病特徵給予即時的預防。其中，重要部份在於，個人化關注的不僅是藥品或醫療產品，尚需對於生物機制以及環境與疾病、健康之間的交互作用等進行瞭解是否影響整體的健康照護。雖然歐洲部分國家已經開始引進個人化醫療，但實際上歐洲仍處在早期執行階段，尚待更多的研究開發。 為此，歐盟執委會與部分健康研究機構以及決策組織團體等共同合作，決議成立個人化醫療國際聯合會，目標為2016年底之前開始此項計畫。歐盟執委會與IC PerMed組織成員合作，將進行以下事項: 1.將歐洲建立成為全球個人化醫療研究領導者地位 2.透過合作研究支持個人化醫療醫學 3.將個人化醫療的利益展現於民眾以及醫療照護體制 4.為精準醫療提供給民眾做好準備 IC PerMed將聚焦在研發補助與合作，以實現上述所設定之任務。目前，IC PerMed正研擬發展倡議藍圖。依據草擬之藍圖，IC PerMed將提供各組織成員之間彈性合作架構。藍圖主要建構於個人化醫療歐洲願景(Shaping Europe’s Vision for Personalised Medicine)之相關文件，該文件屬於政策研發議程(Strategic Research and Innovation Agenda, SRIA)之一部分，同時為先前歐盟所補助之PerMed(2013~2015)計畫範圍之一。依據PerMed SRIA，發展可區分為五項領域，包括: 發展過程與結果、整合巨量資料與ICT解決模式、將基礎轉為臨床研究、將研發鏈結市場、以及形成延續性的醫療照護體系。未來，IC PerMed發展倡議藍圖將依上述五個領域建構，並在2016年底預計公布第一部分的施行願景。