溫室氣體減量及管理法重要議題簡析
新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
加州公佈影音遊戲法案臨危憲爭議加州州長阿諾‧史瓦辛格於 2005 年 10 月 7 日簽署禁止販售暴力影音遊戲 (Violate Video Game) 與未成年人之影音遊戲法案，影音遊戲業者對於此法案之通過表示強烈抗議，主張該法案違反美國憲法修正條文第一條言論自由之保護。 該法案禁止販賣或出租具強烈暴力色彩之影音遊戲與未滿 18 歲之未成年人，同時要求此類遊戲必須於包裝正面依據規定標誌標示明顯之「 18 」字樣，違者將處以 1000 美元以下之罰金。州長史瓦辛格先生指出，這些遊戲多半是為成人所設計，是否讓青少年接觸此類遊戲，應由其家長決定之，故此法案並未限制該未成年人之家長購買或租用該類遊戲提供未成年人使用。 美國「影音軟體業者協會」 (Video Software Dealer Association) 以及「娛樂軟體協會」 (Entertainment Software Association) 等業者代表計畫以訴訟方式爭議此法之合憲性並予以推翻，而美國聯邦法院曾對於華盛頓州之類似法案作出不利之判決，使得此法案之未來仍為一個未知數。值得一提的是，美國其他州亦有類似法案通過，其中包括伊利諾州以及密西根州，目前「娛樂軟體協會」針對此兩州之法案已於聯邦法院提起訴訟。
美國國家寬頻計畫簡介 論美國公務機關就一般公務機密核密狀態爭議之處理論美國公務機關就一般公務機密核密狀態爭議之處理 科技法律研究所 2013年07月16日 壹、前言 對於公務機密是否具機密核定適當性的問題，從近來公務機關內部所爆發的許多爭議案件中，已經逐漸引起社會大眾的關注。所謂公務機密，一般來說係包含國家機密與一般公務機密。有關於國家機密的核定權責機關、核解密方式，抑或是國家機密維護等事宜，主要係規範在國家機密保護法內；至於攸關一般公務機密的所有事宜，則主要是由行政院祕書處所頒布的文書處理手冊來作規範。 觀察國家機密保護法與文書處理手冊就機密核定狀態爭議的處理，依據國家機密保護法第十條第一項規定，原核定機關或其上級機關有核定權責人員得依職權或依申請，就實際狀況適時註銷、解除機密或變更機密等級，並通知有關機關。其乃賦予原核定機關或其上級機關，對於國家機密的機密核定或機密等級是否適當之問題，有主動行使機密狀態註銷、解除或變更的權限。然而，針對一般公務機密機密核定是否適當與其爭議處理，文書處理手冊並未為相關的機制設計，因此也引發一般公務機密的核定機關，當其認為機密核定有不適當之情形時，無相關管道可針對此項爭議提出異議。 是以，本文欲從美國公務機關解決公務機密狀態爭議（包含國家機密與一般公務機密）的機制出發，來觀察我國未來針對一般公務機密狀態爭議的機制建立，所必須著重與思考的面向，以作為未來主管機關增修相關法規範的參考。 貳、美國公務機關如何解決公務機密核密狀態之爭議 一、行政命令第13526號（Executive Order 13526） 為了在政府資訊公開與國家資訊保護兩者間界定完善的平衡點，美國歐巴馬政府於 2009 年頒布第 13526 號行政命令（ Classified National Security Information ）[1]，該行政命令主要係規範涉及公務機密（包含國家機密與一般公務機密）之密等核定、機密維護與機密解密或降密等事宜。本號行政命令可視為是美國聯邦政府機關在其職責內涉及公務機密之公務資訊，如何就前述資訊建立其內部公務機密管理機制的範本。 在本號行政命令第一部分，主要針對機密分類規範（ Classification Standards ）[2]、機密分類層級（ Classification Levels ）[3]、機密分類權限（ Classification Authority ）[4]、機密分類種類（ Classification Categories ）[5]、機密存續期間（ Duration of Classification ）[6]、機密識別與標示（ Identification and Markings ）[7]、機密分類禁止與限制（ Classification Prohibitions and Limitations ）[8]、機密分類爭議（ Classification Challenges ）[9]，以及基本分類指導複查等事項（ Fundamental Classification Guidance Review ）[10]，來提供聯邦政府機關制定內部規範的基準。其中，在機密分類爭議部分，若經授權持有公務機密之人善意且相信該機密的分類狀態（ status ）屬不適當時，其可依循所屬聯邦政府機關內部程序來就該機密的分類狀態提出異議 [11]。有關於該程序的建立，各聯邦政府機關首長或資深機關職員必須就該程序確保（ 1 ）該提出機密分類異議之人（包含經授權持有機密之機關內外部人員）不會因該異議的提出而遭受報復；（ 2 ）提供公正之官方人員或專門審查小組就機密分類異議有複查機會；（ 3 ）該提出機密分類異議之人若不滿聯邦政府機關內部所為之決定時，可向跨機關安全分類事務上訴委員會（ Interagency Security Classification Appeals Panel, ISCAP ）提出上訴。然，若公文因不揭露協議（ Non-Disclosure Agreement, NDA ）而需作發佈前審查（ prepublication review ）或依其他行政程序而需先行提出時，則不適用本項之規定。 在第二部分，係規範使用派生機密分類（ Use of Derivative Classification ）[12]的情形與要求各聯邦政府機關需就該派生機密的使用制定指導手冊（ Classification Guides ） [13]；在第三部分，主要規範解密的權責機關（ Authority of Declassification ）[14]、被移轉機密紀錄（ Transferred Records ）[15]、機密自動解密（ Automatic Declassification ）[16]、機密系統性解密複查（ Systematic Declassification Review ）[17]、機密強制性解密複查（ Mandatory Declassification Review ）[18]、處理機密請求與複查（ Processing Requests and Reviews ）[19]與建立國家資訊解密中心（ National Declassification Center ）[20]等事項。 在第四部分中，則規範一般使用限制（ General Restrictions on Access ）[21]、機密散佈控管（ Distribution Controls ）[22]、特殊使用程序（ Special Access Programs ）[23]，以及針對過去有使用機密紀錄之研究者與某些前政府人員使用資訊（ Access by Historic Researchers and Certain Former Government Personnel ）[24]的情形。在第五部分，其謂資訊安全監督辦公室主任（ The Director of the Information Security Oversight Office ），在檔案保管員（ Archivist ）的指示且諮詢國家安全顧問（ National Security Advisor ）後，應發佈可落實本行政命令且拘束各聯邦政府機關的指令[25]。同時，也針對資訊安全監督辦公室與 ISCAP 的設立、權責、功能、規則與程序作逐一說明[26]。此外，亦對各聯邦政府機關首長就其機關內部所建立之機密分類機制所應負的責任與若違法時所應遭受的裁罰另作完整規範[27]。 最後，在第六部分，係針對名詞定義[28]、一般事項[29]、有效日期[30]與發佈[31]等行政事宜作完整說明。 二、美國國防部（ Department of Defense ）公務機密管理機制 （一）美國國防部公務機密管理機制介紹 為遵循美國行政命令第 13526 號，美國國防部對於其業內公務機密（包含國家機密與一般公務機密），亦建立自身公務機密管理機制來防止該資訊受到外國或恐怖分子的刺探或取得。美國國防部公務機密管理機制主要分成六個部分[32]，第一部分為參照（ References ）；第二部分為責任（ Responsibilities ）；第三部分為資訊安全工作概觀（ DoD Information Security Program Overview ）；第四部分為分類資訊（ Classifying Information ），其就機密分類政策、機密分類等級、機密最初分類與派生分類的規定與流程、機密分類期限與機密分類爭議等事項作敘明；第五部分為解密與分類變更（ Declassification and Changes in Classification ），其涉及機密解密程序、機密自動解密、機密強制解密複查、機密解密系統性複查等其他攸關解密或變更機密等事宜；最後，第六部分為安全分類指導（ Security Classification Guides ），其內容乃就前述涉及安全分類內容、資料編輯考量、安全分類複查、安全分類取消或安全分類變更報告等程序或細部事項提供內部權責人員在處理相關事務時的參考。 （二）美國國防部就涉及機密分類爭議的處理方式 如前所述，美國國防部公務機密管理機制第四部分針對機密分類爭議設有明確的處理原則與程序，在分類爭議處理原則中[33]，假若機密持有人有足夠理由相信其持有機密的分類是不適宜或不必要時，該持有人應該就此確信向資訊安全管理者或最初分類權責機關（ Original Classified Authority, OCA ）提出任何必要矯正建議。前述矯正建議可藉由非正式（ informal ）或正式（ formal ）方式提出。以正式提出而言，機密持有人應聯絡原始文件或資料分類者（ the classifier of the source document or material ）來解決機密分類的爭議；同時，其必須就該爭議機密提出足夠描述來容許原分類者盡合理努力來發現是否有不合宜或不適當的機密分類情況，且應提出理由來說明為何他（她）相信該機密是被不合宜或不適當分類的依據。此外，本規範亦要求美國國防部內部主事者（ Heads ）應確保對提出機密分類狀態質疑或就機密分類爭議以正式方式提出之任何人，不得對其行使報復行為或採取類似行動；同時，就受質疑的機密應確保其保密狀態且亦受到保護，除非且直到原核定人員已經作出解密之決定。然而，有關於可受機密分類爭議的客體，將不會擴及因同意不揭露協議而需受發佈前審查或依其他行政程序而需先行提出的資訊。 至於處理機密分類爭議的程序[34]，美國國防部內部主事者應就分類爭議建立完善的處理程序，該程序需就以正式方式提出機密分類質疑的處理情形、追縱情況與記錄均建構完整的流程（其中包含就持有機密者因不滿決定所提出的上訴程序）；同時，就機密分類爭議的審查，也必須賦予公正的官方人員或委員會就該爭議機密有再次複查的機會。有關於處理流程，審查機密分類爭議的權責人員必須於收受案件後 60 日內以書面方式回覆處理情形，假若未於 60 日內作出完整回覆，則美國國防部應轉而接受處理該機密分類爭議並提供預期的回應日期。前述美國國防部收受確認回覆之聲明，應包含假若對機密分類提出質疑之人於提出後 120 日內未收到任何回應，則該質疑者有權將該案件轉交 ISCAP 。此外，當美國國防部於收受上訴申請後 90 日內未對上訴進行回應時，則該質疑者也可將該爭議案件轉交 ISCAP 來作裁處。 三、美國國土安全部（ Department of Homeland Security ）公務機密管理機制 （一）美國國防部公務機密管理機制介紹 為了落實第 13526 號行政命令，美國國土安全部就其業內公務機密（包含國家機密與一般公務機密），對於機密分類機制的履行、管理與監督亦建制自身的公務機密管理規範。美國國土安全部公務機密管理機制主要區分為六章[35]，第一章為制定目的（ Purpose ）；第二章為適用範圍（ Scope ）；第三章為制定權限授與（ Authority ）；第四章為名詞定義（ Definitions ）；第五章為掌管公務機密安全之權責機關責任（ Responsibilities ）；第六章為公務機密安全的政策與流程（ Policy & Procedures ）。在第六章中，其規範內容包含最初分類、派生分類、機密分類考量（其中亦涉及機密分類爭議處理程序）、機密解密、機密解密之強制複查、資訊自由法（ Freedom of Information Act ）與隱私法（ Privacy Act ）之法規要求、機密解密之系統性複查、機密分類降級與升級事項等事項。 （二）美國國土安全部就涉及機密分類爭議的處理方式 對於美國國土安全部機密分類爭議處理[36]，假若經授權之機密持有者善意相信其所持有的機密分類狀態係屬不適當時，其可對該機密分類狀態提出質疑。該機密分類爭議應該向機密核定者（ the classifier of the information ）提出，當有必要性時，對於機密分類狀態有質疑者可以透過美國國土安全部安全工作室（ the DHS Office of Security ）來就相關程序尋求協助與 / 或以匿名的方式來進行機密分類爭議流程。 至於機密分類爭議的提出方式，美國國土安全部公務機密管理機制將其區分為正式提出與非正式提出而異其流程。先以正式提出而論，對於機密分類狀態有疑問者，應先以書面方式向該機密的最初分類權責機關提出機密分類爭議，且此程序相互往來之書面文件應保持在不核密（ unclassified ）的狀態。然而，假若該機密分類爭議案件包含其他經核密的資訊時，則該爭議案件應該為保密標示且作任何必要的保護措施[37]。 有關於書面撰寫內容，對機密分類狀態有質疑者應對爭議機密有足夠的描述，且僅可包含為何該機密被核密或為何該機密被核定為某等級機密的問題[38]。同時，對機密分類質疑者不得就其提出行為進行任何類型的報復，且美國國土安全部安全工作室亦可要求該爭議程序需以匿名的方式來進行處理。若以匿名方式進行時，美國國土安全部安全工作室必須對機密分類質疑者承諾其匿名性，並作為該質疑者在相關爭議案件程序的代理人（ agent ）[39]。 當爭議機密的最初分類權責機關在收受該爭議案件後，其應於 60 日內以書面方式對該機密分類質疑者作出是否仍維持該機密核密狀態或進行解密程序的決定[40]。若機密分類質疑者不滿最初分類權責機關之決定時，其可就該決定上訴至 ISCAP[41]。有必要時，美國國土安全部安全工作室就上訴程序需提供機密分類質疑者各式相關的協助[42]。至於爭議機密的狀態，在最初分類權責機關作出最後決定前，應該確保該機密在爭議案件程序中仍然維持其核密狀態並提供其最高程度的保護[43]。 相反的，以非正式提出而言，經授權之機密持有者可直接聯繫該機密的最初分類權責機關來獲得質疑內容的所有澄清[44]。假若該爭議機密已經由非正式提出方式獲得分類狀態的解決時，該機密分類質疑者應確保作出分類狀態改變之機關係有權責來作出此項決定，且應確保變更過程中的各式相關紀錄（包含機關人員姓名、職位、服務機關、日期）有影印之副本存[45]。茲以下表來比較美國國防部與美國國土安全部所建立之公務機密狀態爭議處理機制。 參、代結論 考量美國公務機關針對公務機密（包含國家機密與一般公務機密）狀態爭議設有完整的處理程序，來供公務機密持有者當就手邊的公務機密狀態有所質疑時可提出異議。由於該處理機制對涉及國家機密或一般公務機密狀態爭議有一體適用的特性，也因此讓人思考是否在機制設計上有偏重國家機密，而在以相同機制處理一般公務機密的面向上，存有處理方式失衡的可能性。為了避免發生如同美國公務機關，以相同機制處理國家機密與一般公務機密所致生的權重失衡問題，未來我國公務機關在設計一般公務機密爭議處理程序時，除應考慮一般公務機密與國家機密有本質與特性的差異外，也須考量現行我國行政機關處理一般公務機密的實際運作環境，來制定出切合行政機關需求的一般公務機密爭議處理機制。 然而，相較於美國公務機關對於公務機密狀態爭議訂有完整的處理方式，作為我國一般公務機密處理準則的文書處理手冊，僅要求對於納入檔案管理之機密文書，若有變更機密或解密者，應即按規定辦理變更或解密手續[46]，但對於何人可提出解除機密或機密變更的聲請、提出解除機密或機密變更的方式、一般公務機密原核定機關對於解除機密或機密變更的處理期限、提出一般公務機密狀態是否適當之質疑者的人身或職位安全保障，抑或是對原核定機關解除機密或機密變更之決定有不服者如何提出複查之聲請，均未有完整的規範。 由於文書處理手冊的規範，現行我國公務機關就一般公務資訊或有可能發生不當核密（或解密）的情況，其緣由可能因核定人員為防止不確定是否為機密之公務資訊有外洩之虞，抑或是因機關內部缺乏合適的諮詢單位，而導致核定人員誤將非機密之公務資訊以機密文書方式處理。因而，如何在一般公務機密核密狀態遭受質疑時，能提供原核定機關或持有一般公務機密者有適當管道或機制來作相應處理，乃是我國公務機關遲早必須面對的議題。 [1] The White House （ 2013 ） ‧ Exec. Order No. 13526 ‧Retrieved from http://www.whitehouse.gov/the-press-office/executive-order-classified-national-security-information (last accessed July. 16, 2013) [2]id . Sec. 1.1. [3]id . Sec. 1.2. [4]id . Sec. 1.3. [5]id . Sec. 1.4. [6]id . Sec. 1.5. [7]id . Sec. 1.6. [8]id . Sec. 1.7. [9]id . Sec. 1.8. [10]id . Sec. 1.9. [11] id. Sec. 1.8(a). [12]id. Sec. 2.1. [13]id. Sec. 2.2. [14]id. Sec. 3.1. [15]id. Sec. 3.2. [16]id. Sec. 3.3. [17]id. Sec. 3.4. [18]id. Sec. 3.5. [19]id. Sec. 3.6. [20]id. Sec. 3.7. [22]id. Sec. 4.1. [22]id. Sec. 4.2. [23]id. Sec. 4.3. [24]id. Sec. 4.4. [25]id. Sec. 5.1(a). [26]id. Sec. 5.2 & 5.3. [27]id. Sec. 5.4 & 5.5. [28]id. Sec. 6.1. [29]id. Sec. 6.2. [30]id. Sec. 6.3. [31]id. Sec. 6.4. [32]Department of Defense ‧ DoD Information Security Program: Overview, Classification, and Declassification ‧ Retrieved from http://www.dtic.mil/whs/directives/corres/pdf/520001_vol1.pdf (last accessed July. 16, 2013) [33]id. Sec. 22(a). [34]id. Sec. 22(b). [35]Department of Homeland Security Management Directive System ‧ Protection of Classification National Security Information Classification Management ‧ Retrieved from http://www.fas.org/sgp/othergov/dhs/md11044.pdf (last accessed July. 16, 2013) [36]id. Chapter IV, E, 3. [37]id . at 3(a)(1). [38]id. [39]id . at 3(a)(2). [40]id . at 3(a)(3). [41]id . at 3(a)(4). [42]id . [43]id . at 3(a)(5). [44]id . at 3(b). [45]id . [46]文書處理手冊第 71 點。