美國運動穿戴式裝置製造商之爭：Jawbone與Fitbits的智財爭訟
今年十一月初，美國運動穿戴式裝置製造商Jawbone針對其競爭對手Fitbits所提起之專利侵權控告提出反訴，主張Fitbits濫用專利、涉嫌壟斷市場，違反反托拉斯法。本次Jawbone的反訴讓這場運動穿戴式裝置的智慧財產權之戰更加白熱化。
Jawbone及Fitbits為美國運動穿戴式裝置的兩大領導廠商，雙方在今年展開一連串的智慧財產權爭訟。這場智慧財產大戰開始於今年五月，當Fitbits正準備首次公開發行(IPO)時，Jawbone控告Fitbits挖角Jawbones部分員工，並藉此盜走Jawbone共約18000筆的機密資料。數週之後，Jawbone又控告Fitbits專利侵權，並緊接著向美國國際貿易委員會(United States International Commission)提起禁制令(Injunction)，禁止Fitbits進口侵權產品。Fitbits在九月反擊，控告Jawbone侵害了包含其軟體和使用者介面設計在內的專利。十月，美國法院命令Fitbits五名員工應歸還Jawbone的所有機密資料。在獲得初步的勝利後，Jawbone又以Fitbits違反反托拉斯法為由，針對Fitbits在九月提出的專利侵權訴訟提起反訴，再次對Fitbits予以回擊。
在本次反訴中，Jawbone表示：「Fitbits蓄意濫用專利，目的是為了保持其市場地位。」Jawbone同時否認所有Fitbits的專利侵權指控。Jawbone更額外聲明，Jawbones將繼續跟進之前對Fitbits提起的三項專利侵權訴訟、營業秘密侵害訴訟，以及對ITC提起的禁制令。
相較於手機等其他智慧型裝置，運動穿戴式裝置仍屬於較年輕的市場，因此仍有相當多的發展性。然而，許多大廠相繼進入這個領域，也讓智慧財產權爭議越趨激烈。
陶思妤
法律研究員 編譯整理
Jawbone Files Countersuit Against Fitbit In “Frivolous” Patent Infringement Case, Tech Crunch, November 03, 2015, http://techcrunch.com/2015/11/02/jawbone-files-countersuit-against-fitbit-in-frivolous-patent-infringement-case/ (last visited November 6, 2015)
JawboneFiles Antitrust Claim Against Rivial Fitbit, Wall Street Journal, November 03, 2015, http://www.wsj.com/articles/jawbone-files-antitrust-claim-against-rival-fitbit-1446487369 (last visited November 6, 2015)
Jawbone hits Fitbit with Anititrust Claim in IP Feud, Law 360, November 03, 2015, http://www.law360.com/ip/articles/722266/jawbone-hits-fitbit-with-antitrust-claim-in-ip-feud (last visited November 6, 2015)
中國大陸商務部擬整併外資三法重新建構外資企業管理規範 資策會科技法律研究所 法律研究員 丘瀚文 104年12月 壹、前言 中國大陸自1979年開始為引進並規範外國投資，陸續頒布《中外合資經營企業法》、《中外合作經營企業法》《外資企業法》(下稱外資三法)，雖外資三法奠定了中國大陸開放外資的基礎，惟頒布日期年代久遠，最近一次的修訂是在2000年和2001年，已難以跟上世界潮流。包括外資三法之逐案審批制以及對外國投資者企業組織型態之規定等，皆不利於外資進入中國大陸。因此中國大陸在第十八屆三中全會提出「構建開放型經濟新體制」、「統一內外資法律法規」與「改革涉外投資審批體制」等方針。 有鑑於此，中國大陸商務部隨後於2015年1月提出《外國投資法》草案，並廣徵外界意見。依據商務部草案徵求意見稿說明，《外國投資法》立法目的有三；一為外資三法確立的逐案審批制管理模式已不能適應構建開放型經濟新體制的需要，應建立新管理模式。二為外資三法中關於企業組織形式、經營活動等規定和《公司法》等相關法律重複且適用衝突；三是外資併購、國家安全審查等重要制度需要納入外國投資的基礎性法律建構。草案內容對我方業者影響甚钜，本文將說明《外國投資法》草案重點，供各界瞭解並預為因應[1]。 貳、《外國投資法》草案主要內容 一、外資投資項目：負面表單模式 現行外資三法對於外商投資項目規範方式係採逐案審批制，舉凡一切外國投資事項，例如合資企業與合作企業之契約、章程內容與修正等，皆須經由各主管機關審批方得執行。而由於各地政府於審批時所使用標準不同，容易造成外資審批程序不透明、審查時間長短不同等困擾。國務院為解決此一問題，於2015年頒布〈國務院辦公廳關於印發自由貿易試驗區外商投資准入特別管理措施的通知〉，針對自由貿易試驗區之外商投資案件改採負面表列方式管理，非負面表列之行業均按照內外資一致原則實施管理。 商務部於2015年1月所提出之《外國投資法》草案中，亦承繼此宗旨採取相同管理方式。依《外國投資法》草案第25條與26條之規定，中國大陸官方應設置「禁止實施目錄」與「限制實施目錄」，其中禁止實施目錄指外國投資者不得投資之項目，限制實施目錄則係指外國投資者經須由主管部門許可方得投資之項目，主管部門並得限制如持股比例、投資區域等條件。簡言之，於《外國投資法》草案中，取消了審批制度，除了「禁止實施目錄」與「限制實施目錄」所負面表列之項目外，原則上外資毋庸經主管機關許可即可投資。 二、外商投資組織變更 關於中國大陸外商投資組織，由於外資三法以及各種實施細則對外資企業設有特殊組織機構規範，造成《公司法》頒佈後同時有兩種外資投資組織體系併存，在法制運作實務上迭生困擾。例如關於董事會之職權，依《中外合資經營企業法》董事會為合營企業最高權利機關[2]，且合營企業性質為有限責任公司[3]；惟依《公司法》規範體系觀之，有限責任公司最高權利機關卻為股東會，兩者規範顯有衝突。 本次草案中雖廢除了外資三法適用，惟並未對外資企業形式做出具體規範，僅提及應按《公司法》、《合夥企業法》、《個人獨資企業法》等法律法規變更企業組織形式和組織機構，因此現有外商投資企業若組織形式與《公司法》、《合夥企業法》、《個人獨資企業法》法律規定不一致，則須依該等規範進行調整。 三、外國投資安全審查 為避免外國投資者進入，影響國家安全或造成中國大陸產業打壓可危，國務院已於2011年2月發佈了〈國務院辦公廳關於建立外國投資者並購境內企業安全審查制度的通知〉，並建立了一套國家安全審查體系。而為了鞏固國家經濟體質，本次草案中仍承繼原有的國家安全審查體系，內容包含國外投資者在投資特定項目時，應經由國家審查通過後方得進行，包含外國投資者應透露投資金額、出資比例、經營計畫並與主管機關進行預約商談等程序。而所謂影響國家安全或造成中國大陸產業打壓，則需考量外國投資者投資對國家關鍵研發能力、技術領先地位、國家經濟運行影響等要件。審查結果則分為三類：1.外國投資無危害國家安全疑慮者可通過審查；2.外國投資可能危害國家安全但可藉由限制性條件消除者，可附條件通過審查；3.外國投資危害國家安全重大者不予通過。 四、外國投資企業事前報告與事後監督制度 為顧及國內產業推動，本次草案中並新增訊息報告制度，要求外國投資者在投資實施前或投資實施日起30日內，須向主管機關提交訊息報告，報告內容包含外國投資金額、領域、方式、出資比例等；且外國投資者亦須於每年4月30日前，提交上一年度資訊報告予主管機關。主管機關則具有監督管理之責，應檢察企業「是否投資禁止實施目錄」、「是否履行訊息報告義務」、「是否違反主管機關設立投資限制目錄許可要件」。若審查結果發現確實違反規定，該外資將面臨罰款、沒收非法投資所得並吊銷許可等行政罰，違反訊息報告義務情節重大者，尚可處以最高1年以下之有期徒刑或拘役。 五、判別外資標準：實質控制 本次《外國投資法》草案第15條，重新定義對所謂「外國投資」進行定義，其中最重要是明文限制過去遊走於法律灰色地帶的「協定控管」(Variable Interest Entity)。 由於中國大陸對於外資投資領域的限制相當嚴格，尤其是電信業、金融業、媒體業、出版業等，因此實務上外資則常透過「協定控管」之方式規避官方禁止投資項目[4]。所謂「協定控管」係指外國公司為規避投資項目限制，不以直接購買股份的方式投資，而透過合約方式列協議達到實質上控制境內公司，如此外觀上非屬外國投資企業，即可規避外資三法所設立之外商投資項目限制。 商務部發現外國投資企業可能利用「協定控管」規避負面表單所表列項目，故於本次草案中明文規定外國投資者定義包含受外資「實質控制」的境內公司，而將「協定控管」的投資納入外國投資定義中[5]。值得一提的是，外國投資者如受中國大陸投資者控制，其在境內之投資可視為中國大陸投資者投資，不適用《外國投資法》。簡言之，《外國投資法》建立雙向判定的實質控制標準，判別方式則視「外國投資者是否實質控制企業」以辨別外國投資者與中國大陸投資者。 參、結論 大陸近來對於外資整體管理方向皆為改革開放路線與降低投資標準，本次由商務部所提出之《外國投資法》草案，亦承繼此改革開放精神，進一步擴張了外資投資項目，並加入了事前報告與事後監督制度，一方面放寬外資進入的門檻，同時加強外資進入後的監督。此一作法對於我方業者造成之影響整理如下： 一、契約、章程內容更加靈活 依現行投資三法規定，合資企業與合作企業之契約、章程內容與修正均需得主管機關同意。而《外國投資法》草案中，關於投資契約、章程規定並非審查之重點，縱使投資契約變更亦無須主管機關再次審查，此點變更可使我方業者投資時，契約與章程內容設立、變更皆能更因應情勢而有變化，為雙方交易帶來更大的利益。 二、台商組織變更 本次草案將外資三法之企業組織體系廢除，我方業者商業組織結構應隨之變更。又考量到此一變更將提升外國企業管理成本，商務部亦於草案中規定三年之緩衝期間，亦即應於草案生效後三年內變更完成之。惟企業若經營期限在該法生效後三年內屆滿且擬延長經營期限的，應在企業既有經營期限內進行變更[6]。若相關企業未在規定期限內完成該等變更，根據《外國投資法》草案第151條之規定，主管部門可吊銷許可證件或營業執照，並依法追究刑事責任。 三、投資項目增多 草案將投資項目審閱更改為負面表單方式，即除特定項目外，其他項目均予以開放，並將外國投資項目未在禁止實施目錄與限制實施目錄者，放寬至等同國民待遇，即毋須主管機關核可即可依法辦理工商登記，與舊制之逐案審查制不同。 依草案23條規定禁止實施目錄與限制實施目錄均由相關部門提出，並交由國務院審議後公佈[7]。商務部亦於2015年3月公佈「外商投資產業指導目錄」，關於數位內容產業部份，新版內容將「網路出版服務」列入禁止外商投資產業目錄，惟草案所稱之禁止實施目錄是否會等同於外商投資產業指導目錄，仍需追蹤後續發展。整體而言本次管制鬆綁對於外商投資發展具正面意義，業者可預先構思法案施行後，進入未列入負面表單項目之市場時點與相關策略作法；惟草案同時放寬了外資入門門檻與提升主管機關監督義務之規定，是否會影響我方業者於大陸市場之競爭力，則仍有待持續觀察。 [1] 本文下稱法條、機構，均指中國大陸，合先敘明。 [2] 中外合資經營企業法第6條「 合營企業設董事會，其人數組成由合營各方協商，在合同、章程中確定，並由合營各方委派和撤換。董事長和副董事長由合營各方協商確定或由董事會選舉產生。中外合營者的一方擔任董事長的，由他方擔任副董事長。董事會根據平等互利的原則，決定合營企業的重大問題。」 [3] 中外合資經營企業法第4條「合營企業的形式為有限責任公司。在合營企業的註冊資本中，外國合營者的投資比例一般不低於百分之二十五。合營各方按註冊資本比例分享利潤和分擔風險及虧損。合營者的註冊資本如果轉讓必須經合營各方同意。」 [4] 李貴敏，〈貴在立法：大陸投資法變革，台商應及早因應〉，卡優新聞網，2015/07/28，http://www.cardu.com.tw/news/detail.php?nt_pk=22&ns_pk=26931(最後瀏覽日期：2015/10/22) [5] 外國投資法第11條2項「受前款(外國投資者)規定的主體控制的境內企業，視同外國投資者。」與《外國投資法》草案第15條2項「境外交易導致境內企業的實際控制權向外國投資者轉移的，視同外國投資者在中國境內投資。」 [6] 《外國投資法》草案第157條規定：「本法生效前依法存續的外國投資企業，在本法生效後三年內應按照《公司法》、《合夥企業法》、《個人獨資企業法》等法律法規變更企業組織形式和組織機構，但企業既有經營期限在本法生效後三年內屆滿且擬延長經營期限的，應在企業既有經營期限內進行變更。」 [7] 《外國投資法》草案第23條「特別管理措施目錄由國務院統一制定並發佈。國務院外國投資主管部門會同有關部門，根據國家締結的多雙邊、區域投資條約、公約、協定和有關外國投資的法律、行政法規、國務院決定，提出制定或調整特別管理措施目錄的建議，提交國務院審議。」
電子文書存證制度－淺談日本電子時戳及時戳保存制度電子文書存證制度－淺談日本電子時戳及時戳保存制度 資策會科技法律研究所 法律研究員 陳昱宏 106年11月13日 一、前言 電子文書具有「節省保管、檢索、運送及銷毀費用」、「活用資訊系統提升業務效率」、「具有復原可能性，避免資料滅失之風險」[1]等優點，文書電子化已為不可逆之趨勢。但電子文書除前述優點外，亦有易於變更竄改，無法檢知真實製作日期之缺點，若記錄於電子文書之智慧財產權遭他人侵害，如何證明所提出之電子文書確係早於他人侵害之時點即屬重要，本文擬就日本以電子時戳制度做為證明電子文書做成時間點之發展現況，以及獨立行政法人工業所有權情報．研修館所提供之電子時戳保管服務作介紹，說明日本如何利用電子時戳來維護相關智慧財產權利。 二、日本電子時戳制度及相關規定： 日本政府有鑑於電子文書已逐漸取代紙本文書，但電子文書仍存有易於複製及製作時間不易證明等種種缺點，進而構思建立一套能在電子文書或資料上附加時間資訊，以向第三人證明之制度。總務省於2004年發佈時間商務相關指針[2]，供相關制度使用者做參考，並為時間商務業者遵守之依據。而一般財團法人日本Data通信協會於2005年成立時間商務認定中心（タイムビジネス認定センター，下稱時間商務認定中心），若欲從事時間認證或發送等相關服務，須符合該中心就技術、系統及運用制度所制定之基準，符合基準之業者，即給予認定標章，此即「時刻認證業務認定事業者」(Time Stamp Authority簡稱TSA)。 三、電子時戳之功能： 電子時戳係一種證明電子資料在某一時間點之前確實存在且未經竄改之技術，透過比對電子時戳中所記載之資訊與原始電子資料所記載之資訊，可以輕易得知電子資料中之時間訊息是否有經過竄改。其可運用在各種需要時間證明之電子資料中，日本總務省在官方網站中之電子時戳技術相關檔案[3]，即有說明電子時戳可賦予各領域之電子資料極高之信賴度。在智慧財產之保護上，可以證明內容做成之日期，以保護創作人之權利；在電子商務上，可用於證明交易如下單之時間點等；在電子申請上，可證明所發送資料之做成時間；而在醫療上，可運用於電子病歷上，以證明未經竄改等。另於日本工業所有權情報‧研修館（下稱INPIT）官方網站，就電子時戳保管服務之相關說明中，亦有提及可活用之情形[4]，分述如下: 在專利、商標等侵權訴訟，當被指控侵權人主張其有先使用權時，可以做為其在業務或業務準備行為有實施專利，或有就商標為使用之證據。 在訴訟中，就對造所擁有之專利權提出無效抗辯時，可用以證明專利不具備可專利性之技術資訊已於申請獲准前有為公知之事實。 在商標廢止訴訟，可證明商標權人就系爭商標有使用之事實。 在營業秘密洩漏訴訟，營業秘密所有權人可證明被洩漏技術在某時點之前即為其所保有之事實。 四、INPIT就電子時戳所提供之保存服務: 參照INPIT官網之說明可知，所謂之電子時戳保管制度係INPIT對於TSA業者所發行之電子時戳憑證提供之保管服務，以利使用者於日後有備份電子時戳憑證需求時，能順利提取。此係因電子時戳憑證在一般情形下有滅失毀損之風險。一旦毀損滅失，在營業秘密之相關訴訟事件有證明先使用事實之必要時，將造成無法舉證之不利益情形。INPIT提供此項保管服務後，能確實降低電子時戳憑證滅失或毀損之風險，憑證使用者享有一定期間備份之可能。而INPIT為普及該制度，在「何謂電子時戳保管服務」選項中，詳細說明其操作步驟，並有相關畫面可供參考，使有相關保管需求者能輕易操作相關保存之功能[5]。INPIT為普及該制度，亦透過所舉辦之營業秘密及智財戰略研討會，推廣相關保管服務[6]，另須注意者為，INPIT並不提供製作電子時戳之服務，故欲使用保存服務之人，須先向TSA業者取得電子時戳憑證，方可利用INPIT所提供之此項服務。 五、結論 近年來我國營業秘密案件層出不窮，小如鱘龍魚製作配方外洩之爭執[7]，大至堪可動搖國本之梁孟松由台積電跳槽至南韓三星之營業秘密案件[8]。故營業秘密是什麼，該如何保護營業秘密，儼然成為現代企業間之顯學，誠然當事人就是否侵害營業秘密發生爭執時，當事人所主張之各類文書資料，是否屬於營業秘密，仍屬法院認定之範疇，但企業主若在製作相關電子資料及文件時，能作好文件分級，並附加電子時戳，至少能證明企業主主觀上就該電子資料有以營業秘密保護之意思，可做為法官認定時之參考。當然若是人人可製作電子時戳，使電子時戳之產生過於浮濫，亦無相關認定機構可加以把關，或無補強之文件可證明存證之資料確為企業主所有等，屆時電子時戳在法官形成心證之過程中，無法形成助力不說，反而成為阻力。幸而電子時戳制度已在先進國家推行多年[9]，我國可以踏著前人走過的腳步，走得更廣更遠。故營業秘密文件電子時戳保存制度如能引進我國，相關制度該如何建立並將其完備，仍有待政府相關單位評估，透過公聽會，廣納各界之意見後，再制定相關之規定，期待能以此制度之探討，為我國營業秘密及智慧財產之保護上，帶來不同之思維。 [1]日本經濟產業省〈［入門編］文書の電子化によるメリット〉http://www.meti.go.jp/policy/it_policy/e-doc/guide/e-bunshoguide.pdf（最後瀏覽日：2017/10/12）。 [2]日本總務省<タイムビジネスに係る指針>http://www.soumu.go.jp/main_content/000485112.pdf（最後瀏覽日：2017/10/15）。 [3]日本總務省<タイムスタンプ技術＞http://www.soumu.go.jp/main_sosiki/joho_tsusin/top/ninshou-law/pdf/law_16.pdf（最後瀏覽日：2017/10/16）。 [4]獨立行政法人工業所有權情報‧研修館＜想定される本サービス活用例＞，獨立行政法人工業所有權情報‧研修館網站https://faq.inpit.go.jp/tradesecret/ts/ts_service.html#page3（最後瀏覽日：2017/10/16）。 [5]獨立行政法人工業所有權情報‧研修館＜想定される本サービス活用例＞，獨立行政法人工業所有權情報‧研修館網站https://faq.inpit.go.jp/tradesecret/ts/ts_service.html#ts-4（最後瀏覽日：2017/10/17）。 [6]獨立行政法人工業所有權情報‧研修館＜営業秘密・知財戦略セミナーin 大阪＞，獨立行政法人工業所有權情報‧研修館網站http://www.inpit.go.jp/content/100802953.pdf（最後瀏覽日：2017/10/17）。 [7] 智慧財產法院104年民營訴字第1號民事判決。 [8] 智慧財產法院102年民營上字第3號民事判決。 [9] 同註4。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
英國國家醫療服務體系（NHS）公布國家資料退出（Opt-out）操作政策指導文件個人健康資料共享向為英國資料保護爭議。2017年英國資訊專員辦公室（ICO）認定Google旗下人工智慧部門DeepMind與英國國家醫療服務體系（NHS）的資料共享協議違反英國資料保護法後，英國衛生部（Department of Health and Social Care）於今年（2018）5月修正施行新「國家資料退出指令」（National data opt-out Direction 2018），英國健康與社會照護相關機構得參考國家醫療服務體系（NHS）10月公布之國家資料退出操作政策指導文件（National Data Opt-out Operational Policy Guidance Document）規劃病患退出權行使機制。 該指導文件主要在闡釋英國病患退出權行使之整體政策，以及具體落實建議作法，例如： 退出因應措施。未來英國病患表示退出國家資料共享者，相關機構應配合完整移除資料，並不得保留重新識別（de-identify）可能性； 退出權行使。因指令不溯及既往適用，因此修正施行前已合法處理提供共享之資料，不必因此中止或另行進行去識別化等資料二次處理；此外，病患得動態行使其退出權，於退出後重新加入國家資料共享體系；應注意的是，退出權的行使，採整體性行使，亦即，病患不得選擇部分加入（如僅同意特定臨床試驗的資料共享）； 例外得限制退出權情形。病患資料之共享，如係基於當事人同意（consent）、傳染病防治（communicable disease and risks to public health）、重大公共利益（overriding public interest）、法定義務或配合司法調查（information required by law or court order）等4種情形之一者，健康與社會照護相關機構得例外限制病患之退出權行使。 NHS已於今年9月完成國家資料退出服務之資料保護影響評估（DPIA），評估結果認為非屬高風險，因此不會向ICO諮詢資料保護風險。後續英國相關機構應配合於2020年5月前完成病患資料共享退出機制之建置。