日本經濟產業省公布「再生能源導入促進關聯制度改革小委員會報告書」

  日本經濟產業省「促進再生能源關連制度改革小委員會(再生可能エネルギー導入促進関連制度改革小委員会)」於2016年2月5日公布了報告書,該報告書集結了自2015年9月以來,共計13次的討論整理,未來FIT制度改革方向,將以此為根基。

  提出該報告的目的在於,達成最加能源構成方案(エネルギーミックス)之目標,於2030年導入22-24%之再生能源,冀望在最大限度導入再生能源,並與抑制國民負擔之間調合並存。

  該報告提出五大修正制度方針,分別簡述如下:

(一)針對未運行案件對應修正認證制度
(1) 進一步加強撤銷認證制度之報告徵收及聽證程序。
(2) 創設新認證制度,應確認該發電事業的實施可能性後,才得認定為FIT。

(二)促進長期安定發電的配套措施
(1) 事業者應做適當的檢查及維修、發電量定期報告,制定廢棄及回收等應遵守事項。若有違反情事,主管機關得發出改善命令或是取消認定資格。
(2) 確認並遵守所涉及之土地使用條例、公告認定資訊、提供地方政府建構計畫內容。

(三)導入成本效率
(1) 設定中長期之「收購價格」目標。
(2) 以Top Runner等方式決定具備「成本效率」之收購價格,亦即以最佳方式選擇。
(3) 賦課金減免制度為一個可持續的機制,同時透過活用賦課金以確保基金,並確認對象事業的節能方案及對國際競爭力的影響等(檢討減免率)。

(四)擴大導入開發週期長(リードタイムの長い)之電力
(1) 開發週期較長之電力,預先於數年前決定認證案件之收購價格。
(2) 進行環評期間減半(通常為3~4年)等必要規制改革。
(3) 於FIT認證前,得申請接續系統。
(4) 針對不同電力的挑戰檢討對應的支援方法

(五)擴大導入電力系統改革之優勢
(1) 基於「廣域系統整備計畫」,計畫性地推動整備廣域系統。
(2) 對應區域系統之限制,公告系統資訊以及建設費用之單價。此外,繼續活用投標邀請規則(入札募集ルール),共同負擔系統升級費用。
(3) FIT收購義務人由零售事業者轉換為輸配電事業者,並促進全國區域間電力調配(広域融通)之順暢性。收購後之電力,得經由交易市場外直接輸送予零售事業者。
(4) 整備再生能源事業者間公平之輸出控制規則(公平な出力制御ルール)。

相關連結
※ 日本經濟產業省公布「再生能源導入促進關聯制度改革小委員會報告書」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=7194&no=0&tp=1 (最後瀏覽日:2024/11/22)
引註此篇文章
你可能還會想看
美國北卡羅萊納州將虛擬貨幣交易所納入貨幣傳輸法的適用對象

  為迎接數位貨幣此種新興產業所帶來的挑戰,在企業經營者與立法者的同意下,北卡羅萊納州於2016年6月通過H.B. 289法案,擴大該州貨幣傳輸法(Money Transmitters Act )的適用對象,將虛擬貨幣交易所納為貨幣移轉服務商,其須向主管機關申請特定執照,並繳納保證金,立法者更於2017年追加繳納保險金的規定,以避免資安危機。法案內對虛擬貨幣的定義為,一種能表彰價值的數字,可經由電子交易並具有交易媒介(medium of exchange)、計價單位(unit of account)和價值儲存(store of value)等功能,但虛擬貨幣並不是美國政府所承認的法定貨幣(legal tender status)。   又虛擬貨幣的經營業務,範圍包含建立於區塊鏈的虛擬貨幣活動,但排除挖礦者、使用區塊鏈技術的軟體公司,像是智能合約平台(smart contract platforms)、智能資產(smart property)等適用對象。申請貨幣移轉業務執照,須繳交1500美金的費用,再加上每年至少5000美元的評估費用。此外,為保障使用者所要求的保證金部分,貨幣移轉金額若低於100萬美元者,必須提出15萬美元作為擔保,若超出100萬美元者,則須提出更高的保證金。此項法案的出爐強化了法律的明確性,為該州經營虛擬貨幣的業者,提供一項可預見的規範,該法案未來是否能成為其他州成立新法的指標,仍有待後續發展。

Facebook因掃描用戶訊息而面臨訴訟

  2013年,Facebook用戶Matthew Campbell指控Facebook違反聯邦電子通訊隱私法及加州法律,並提出集體訴訟,要求Facebook必須支付每位受侵害的用戶最高一萬美元的賠償。原因是Facebook掃瞄用戶之私人對話內容中的網站連結,並計入網站的按「讚」總數,再將這些「讚」彙整入用戶的個人檔案後對用戶進行行為分析,最後針對該用戶的行為模式發送客製化的廣告, 造成用戶的困擾。   對此,Facebook辯稱其掃描用戶的訊息是很普遍的商業行為,因此屬於聯邦電子通訊隱私法例外條款的範疇,而且Facebook在2012年即已停止傳送客製化廣告,故Facebook要求撤銷此訴訟。   然而,2014年12月23日,美國加州奧克蘭地方法官 Phyllis Hamilton認為,雖然Facebook已經在2012年10月停止傳送客製化廣告,但Facebook同時並承認仍會持續分析用戶之訊息(理由是為了防止電腦病毒以及垃圾郵件),而且Facebook不願意提供任何有關目標式廣告手法的細節,使法院無法判斷這是否為普遍的商業行為而屬於聯邦電子通訊隱私法例外條款的範疇,因此,法院裁定駁回Facebook的撤銷申請,本案將繼續進行審理程序。

解析雲端運算有關認驗證機制與資安標準發展

解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言   2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1],新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構,獲頒「2013雲端安全耀星獎」(2013 Cloud Security STAR Award),該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業,今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外,首度將獎項頒發給政府組織。究竟何謂雲端認證,其背景、精神與機制運作為何?本文以雲端運算相關資訊安全標準的推動為主題,並介紹幾個具有指標性的驗證機制,以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。   資訊安全向來是雲端運算服務中最重要的議題之一,各國推展雲端運算產業之際,會以提出指引或指導原則方式作為參考基準,讓產業有相關的資訊安全依循標準。另一方面,相關的產業團體也會進行促成資訊安全標準形成的活動,直至資訊安全相關作法或基準的討論成熟之後,則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循   雲端運算的資訊安全風險,可從政策與組織、技術與法律層面來觀察[2],涉及層面相當廣泛,包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應(Lock-in)、以及雲端服務提供者內部控管不善…等,都是可能發生的實質資安問題 。   在雲端運算產業甫推動之初,各先進國以提出指引的方式,作為產業輔導的基礎,並強化使用者對雲端運算的基本認知,並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3]   歐盟網路與資訊安全機關(European Network and Information Security Agency, ENISA)於2009年提出「資訊安全確保架構」,以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準,參考之依據主要是與雲端運算服務提供者及受委託第三方(Third party outsourcers)有關之控制項。其後也會再參考其他的標準如SP800-53,試圖提出更完善的資訊安全確保架構。   值得注意的是,其對於雲端服務提供者與使用者之間的法律上的責任分配(Division of Liability)有詳細說明:在資訊內容合法性部分,尤其是在資訊內容有無取得合法授權,應由載入或輸入資訊的使用者全權負責;而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時,例如個人資料保護相關規範,基本上應由使用者與服務提供者分別對其可得控制部分,進行適當的謹慎性調查(Due Diligence, DD)[4]。   雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層,則決定了各自應負責的範圍與界限。   在IaaS(Infrastructure as a Service)模式中,就雲端環境中服務提供者與使用者雙方應負責之項目,服務提供者無從知悉在使用者虛擬實體(Virtual Instance)中運作的應用程式(Application)。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器,概由使用者所完全主控,因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。   在PaaS(Platform as a Service)模式中,通常由雲端服務提供者負責平台軟體層(Platform Software Stack)的資訊安全,相對而言,便使得使用者難以知悉其所採行的資訊安全措施。   在SaaS(Software as a Service)模式中,雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式(Entire Suite of Application),因此該等應用程式之資訊安全通常由服務提供者所負責。此時,使用者應瞭解服務提供者提供哪些管理控制功能、存取權限,且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6]   CSA於2010年提出「雲端資訊安全控制架構」(Cloud Controls Matrix, CCM),目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」,係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域(Domain)而來,著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照,例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前,CSA提出的CCM,十分完整而具備豐富的參考價值。   舉例而言,資訊治理(Data Governance)控制目標中,就資訊之委託關係(Stewardship),即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力(Resiliency)控制目標中,要求服務提供者與使用者雙方皆應備置管理計畫(Management Program),應有與業務繼續性與災害復原相關的政策、方法與流程,以將損害發生所造成的危害控制在可接受的範圍內,且回復力管理計畫亦應使相關的組織知悉,以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9]   日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」,此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督,來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍,主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形,其資訊安全的管理議題;其指導原則之依據是以JISQ27002(日本的國家標準)作為基礎,再就雲端運算的特性設想出最理想的資訊環境、責任配置等。   舉例而言,在JISQ27002中關於資訊備份(Backup)之規定,為資訊以及軟體(Software)應遵循ㄧ定的備份方針,並能定期取得與進行演練;意即備份之目的在於讓重要的資料與軟體,能在災害或設備故障發生之後確實復原,因此應有適當可資備份之設施,並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境,使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性;而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證   CSA所推出的「雲端安全知識認證」(Certificate of Cloud Security Knowledge, CCSK),是全球第一張雲端安全知識認證,用以表示通過測驗的人員對於雲端運算具備特定領域的知識,並不代表該人員通過專業資格驗證(Accreditation);此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展,因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版(英文版)」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式,供讀者得以認知如何評估雲端運算可能產生的資訊安全風險,並採取可能的因應措施。 二、CSA雲端安全登錄機制   由CSA所推出的「雲端安全登錄」機制(CSA Security, Trust & Assurance Registry, STAR),設置一開放網站平台,採取鼓勵雲端服務提供者自主自願登錄的方式,就其提供雲端服務之資訊安全措施進行自我評估(Self Assessment),並宣示已遵循CSA的最佳實務(Best Practices);登錄的雲端服務提供者可透過下述兩種方式提出報告,以表示其遵循狀態。   (一)認知評價計畫(Consensus Assessments Initiative)[12]:此計畫以產業實務可接受的方式模擬使用者可能之提問,再由服務提供者針對這些模擬提問來回答(提問內容在IaaS、PaaS與SaaS服務模式中有所不同),藉此,由服務提供者完整揭示使用者所關心的資訊安全議題。   (二)雲端資訊安全控制架構(CCM):由服務提供者依循CCM的資訊安全控制項目及其指導,實踐相關的政策、措施或程序,再揭示其遵循報告。   資安事故的確實可能使政府機關蒙受莫大損失,美國南卡羅萊納州稅務局(South Carolina Department of Revenue)2012年發生駭客攻擊事件,州政府花費約2000萬美元收拾殘局,其中1200萬美元用來作為市民身份被竊後的信用活動監控,其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。   另一方面,使用者也可以到此平台審閱服務提供者的資訊安全措施,促進使用者實施謹慎性調查(Due Diligence)的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度   由日本一般財團法人多媒體振興協會(一般財団法人マルチメディア振興センター)所建置的資訊公開驗證制度[13](安全・信頼性に係る情報開示認定制度),提出一套有關服務提供者從事雲端服務應公開之資訊的標準,要求有意申請驗證的業者需依標準揭示特定項目資訊,並由認證機關審查其揭示資訊真偽與否,若審查結果通過,將發予「證書」與「驗證標章」。   此機制始於2008年,主要針對ASP與SaaS業者,至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成   現國際標準化組織(International Organization for Standardization, ISO)目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017(草案)[14]係針對雲端運算之資訊安全要素的指導規範,而ISO/IEC 27018(草案)[15]則特別針對雲端運算的隱私議題,尤其是個人資料保護;兩者皆根基於ISO/IEC 27002的標準之上,再依據雲端運算的特色加入相應的控制目標(Control Objectives)。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省,クラウドサービスの利用のための情報セキュリティマネジメントガイドライン(2011),http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html,(最後瀏覽日:2013/11/20)。 [10]日本経済産業省,〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉,頁36(2011)年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/(最後瀏覽日:2013/11/20)。 [12]https://cloudsecurityalliance.org/research/cai/ (最後瀏覽日:2013/11/20)。 [13]http://www.fmmc.or.jp/asp-nintei/index.html (最後瀏覽日:2013/11/20)。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).

美國聯邦通訊傳播委員會完成空白頻段干擾測試

  美國聯邦通訊傳播委員會(Federal Communications Commission, FCC)於今(2008)年初完成700MHz頻譜拍賣後,在8月份針對空白頻段(white space)中可用以抗干擾之技術進行測試,並於8月11日完成測試。完整的測試報告預計將在9月份公布。FCC並可望在未來幾個月內表決是否開放空白頻段。   所謂「空白頻段」係指無線電視數位化之後,位於各電視頻道之間未被使用之閒置頻段。Google、Motorola、Microsoft等公司近一、二年來持續遊說FCC開放空白頻段(white space)免執照使用,以促進無線寬頻服務之發展。   儘管數位無線電視台及Verizon等正使用該頻段之業者有干擾疑慮,然主張開放空白頻段之公司深信開放空白頻段對於新興無線寬頻服務之發展將大有助益,且透過感測技術(sensing technology)或地理定位科技(geolocation technology),即可使得無線裝置於使用空白頻段之同時,不至於干擾數位無線電視台或其他取得執照使用該頻段之業者。   關於試驗結果,無線麥克風業者Shure之資深公關經理Mark Brunner 表示,感測技術幾乎完全無法準確偵測使用中之無線麥克風或電視頻道是否正播送中,自然無法避免干擾發生。支持開放空白頻段之Motorola公司則表示,儘管感測技術無法避免干擾發生,但是Motorola所使用之地理偵測科技則在測試中被證實可有效避開正在使用中之頻段,避免干擾情況發生。

TOP