德國科隆行政法院判決Google公司所提供之Gmail電子郵件服務為德國電信法「電信服務」定義下之規範對象
德國科隆行政法院於2015年11月11日判決美商Google公司所提供之Gmail電子郵件服務為德國電信法「電信服務」定義下之規範對象，依據德國電信法第3條24之規定。因此，以該服務之提供者Google公司得依據德國電信法第6條第1項履行其「通報義務」。繼德國聯邦網路局(Bundesnetzagentur)於2012年7月透過正式通知美商Google Inc.需履行德國電信法第6條第1項之「通報義務」。
Google公司指出Gmail不是電信服務，因為Google本身所提供之服務目的不是在於電子信號的傳送。
德國聯邦網路局則指出，因為Google公司的伺服器，以專業術語來說，依據OSI模型（開放式系統互聯通訊參考模型，Open System Interconnection Reference Model, ISO/IEC 7498-1）定義，係有信號傳送服務提供的事實。Google透過獨特的傳送技術傳送數據信號，且針對其所傳輸的有所管控能力。此外，亦應更宏觀的來以電信法立法的宗旨與角度去審視是否此服務應受規範。德國聯邦網路局並不企圖於規範網路世界的一切。但是，像是Gmail或其他OTT服務業者應需要如同傳統電信服務業者般的，重視並履行其資料保護（Datenschutz）、消費者保護（Kundenschutz）、資訊安全（Sicherheit）上的義務。
德國聯邦科隆行政法院判決支持德國聯邦網路局的見解，Google公司因其所提供之Gmail服務應履行德國電信法之通報義務。在定義上是否電信服務，並不是完全以技術面去做認知，更為重要的在於電信法的立法價值初衷。德國聯邦科隆法院已准許透過飛躍上訴(Sprungrevision)的方式將該案送於德國聯邦最高行政法院(Bundesverwaltungsgericht)，此案將可能有最高行政法院的判決。若Gmail被認定為係屬「電信服務」，此判決將會針對全德國的OTT服務規範有所影響，需被德國聯邦網路局所監管。
歐盟執委會（European Commission）於2021年2月22日發布「民用、國防與航太產業之協同行動計畫」（Action Plan on Synergies between Civil, Defence And Space Industries），作為進一步加強歐盟前瞻科技與和相關基礎產業的行動方針。這也是歐盟首次以歐盟防禦基金（European Defence Fund）策畫補助民用、國防與航太產業領域中具有泛用性及破壞式潛力的前瞻科技（例如雲端、處理器、網路、量子和人工智慧等），以強化歐盟創新能力。 該行動計畫之目標為：（1）the synergies（協作）：強化歐盟相關計畫與研究工具的互補性，使其得以涵蓋研究（research）、開發（development）和部署（deployment）三個區塊，並增加投資效益和成果有效性；（2）the spin-offs（衍生企業）：本行動計畫鼓勵國防投資以促進國防研究衍生企業，使國防和太空的創新研究成果得以作為民用，持續發展相關技術；（3）the spin-ins（內部創新）：前瞻領域的創新往往來自新創事業、中小企業和民間科研機構，因此本行動計畫促進歐洲各國國防合作計畫執行時運用民用產業創新研發成果，避免重複研究耗費資源。 為達到前述目標，該行動計畫臚列11個民用、國防與航太產業共同協作行動，並可綜整為四大方向：（1）創建框架以加強歐盟在相關計畫和研究工具間的協同作用和互惠（cross-fertilisation），例如在數位、雲端和處理器等產業領域建立共通框架；（2）關鍵技術（critical technologies）開發應確保系統一致，包含初步確認關鍵技術與未來相容性要求、進一步共同確認技術發展藍圖、最後確定旗艦計畫（flagship projects）間應減少依賴性並增加標準化和互操作性（interoperability），同時促進跨境與跨域合作；（3）建立創新孵化器（innovation incubator）網路支持新創事業、中小企業和科研機構（Research & Technology Organisation, RTO）的創新；（4）發展三大旗艦計畫，分別為無人機技術（drone technologies）、以航太為架構的安全連結技術（space-based secure connectivity）、以及太空交通管理技術（space traffic management），並藉由計畫發展相關產業使歐盟成為改變世界規則之領導者。 此外，該行動計畫雖然目前僅限於使用在歐盟級計畫和研究工具，但也可能積極影響並觸發歐盟各國仿效類似行動，進一步影響歐盟境外合作夥伴共同支持該行動。
美國如何管制新興技術出口美國國會於2018年8月13日通過之《出口管制改革法》（Export Control Reform Act of 2018, ECRA）第1758條，以國家安全為由，授權商務部建立對美國新興與基礎技術出口、再出口或移轉之認定與管制程序。有鑑於此，商務部下轄之工業安全局（Bureau of Industry and Security, BIS）於同年11月19日發布了法規制定預告（advance notice of proposed rulemaking），對外徵求關於認定「新興技術」之意見。 BIS指出，美國政府多年來依循《出口管制條例》（Export Administration Regulations, EAR）限制特定敏感技術或產品出口，以避免關鍵技術落入他國手中。惟既有之審查範圍已不足以涵蓋近年許多重大創新技術，故BIS先行臚列了14項擬在未來實施出口管制的新興科技，向公眾徵求其是否確屬「涉及國家安全之特定新興技術」相關意見。該14項科技包含：(1)生物技術；(2)人工智慧與機器學習技術；(3) 定位、導航和定時技術；(4)微處理器技術；(5)先進計算技術；(6)數據分析技術；(7)量子信息和傳感技術；(8)物流技術；(9)積層製造技術；(10)機器人；(11)腦機介面；(12)高超聲速；(13)先進材料；(14)先進監控技術。 除此之外，民眾亦得對如何認定「新興技術」提出一般性之意見，俾將來政策實施更加周全。意見徵求期間從2018年11月19日起，至2019年1月10日截止。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
德國因應歐盟一般資料保護規則（GDPR）之通過，即將進行該國資料保護法（BDSG）修正德國聯邦資訊技術，電信和新媒體協會(bitkom)於2016年9月2日釋出將以歐盟新制定之一般資料保護規則（GDPR）內容為基礎，調整德國聯邦資料保護法（BDSG）之修法動向。 德國政府正在緊鑼密鼓地調整德國的資料保護立法，使之與歐盟GDPR趨於一致。已知未來將由“一般聯邦資料保護法”取代現行的聯邦法律。草案內容雖尚未定稿，但修正方向略有以下幾點： 首先，德國未來新法不僅參考GDPR、也試圖將該法與GDPR及歐盟2016年5月4日公告之歐盟資訊保護指令Directive(EU)2016/680相互連結。該指令係規範對主管機關就自然人為預防，調查，偵查等訴追刑事犯罪或執行刑事處罰目的，處理個人資料時的保護以及對資訊自由流通指令。 其次，新法將遵循GDPR的結構，並利用一些除外規定，如：在資料處理時企業應指派九人以上資料保護官（DPO）的義務。某些如通知當事人的義務規定，亦有可能在存有更高的利益前提下，限縮其履行範圍。此意味某些通知義務有可能得不適用，例如履行該義務需要過於龐大人力、資金支出、耗費過多等因素。 第三，聯邦法律將保留一些規定，如上傳給信用調查機構的條款、雇傭契約中雇用方面處理個人資料的條款，以及在公眾開放地區使用電子光學裝置監視的條款等。 最後，立法修正動向值得注意的重點尚有，(1)未來德國立法者將如何應對新的歐洲資料保護委員會（EDPB）中德國代表的地位（represe。由於EDPB將發布具有約束力的決定，針對爭議內容的決定意見，德國內部顯然應該統一意見。蓋因迄今為止的德國聯邦資料保護監察官（17個）經常提出不同的見解。此外，(2)還應該觀察聯邦資料保護監察官是否應該賦予權限，向法院提出對歐盟爭議決定或法律救濟，使案件進入德國法院，以爭執歐盟執委會所為之決定是否具備充足理由。前此，德國聯邦參議院（代表十六邦）2016年5月已要求聯邦政府引進新規定，使資訊監察保護官有請求法院救濟之權。這項源於安全港協議判決的討論，將來有可能提供德國資料保護監察官，挑戰隱私盾協議的可能性。但新法案是否會解決這一問題，這還有待觀察。 可預見在2017年9月下一屆德國聯邦議會選舉前，將通過法案。