美國聯邦交易委員會提出巨量資料報告，關注商業應用之潛在歧視性效果
美國聯邦交易委員會(Federal Trade Commission, FTC)於2016年1月6日公布「巨量資料之商業應用」報告(Big Data: A Tool for Inclusion or Exclusion? Understanding the Issues)，報告中歸納提出可供企業進一步思考之數項議題，期能藉此有助於企業確保巨量資料分析應用之正當合法性，並避免產生排除性或歧視性之對待，但同時亦能透過巨量資料之分析應用為消費者帶來最大的利益。FTC主委Edith Ramirez表示，巨量資料之重要性於商業之各領域均愈發凸顯，其對於消費者之潛在利益自是不言可喻，然企業仍應確保巨量資料之利用不會產生傷害消費者之結果。
「巨量資料之商業應用」報告經徵集公共意見與彙整相關研究後，聚焦於巨量資料生命週期的後端，亦即巨量資料被蒐集與分析之後的利用。報告中強調數種能幫助弱勢群體的巨量資料創新利用方式，例如依病患之生理特性量身訂作並提供醫療照護，或是新的消費者信用評等方式。報告同時也指出可能因為偏見或資料錯誤帶來的風險，像是信用卡發卡銀行降低某人信用額度的原因並非基於該持卡人之消費與還款記錄，而是與該持卡人被歸為「同一類型」之消費者所共同擁有之記錄與特徵。其次，報告對巨量資料於商業領域之利用可能涉及之法規進行了初步盤點，包括公平信用報告法(Fair Credit Reporting Act, FCRA)、與機會平等相關之聯邦立法—像是基因資訊平等法(Genetic Information Nondiscrimination Act, GINA)、以及聯邦交易委員會法，報告也列出7項預擬提問，協助企業因應巨量資料商業利用之法令遵循問題。
本文為「經濟部產業技術司科技專案成果」
王自雄
主任 編譯整理
Federal Trade Commission, Big Data: A Tool for Inclusion or Exclusion? Understanding the Issues, available at https://www.ftc.gov/system/files/documents/reports/big-data-tool-inclusion-or-exclusion-understanding-issues/160106big-data-rpt.pdf (last visited Mar. 7, 2016).
美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
與時俱進的新興科技法制－美國無人飛行器（UAS）管理法制初探與時俱進的新興科技法制－美國無人飛行器（UAS）管理法制初探 科技法律研究所 法律研究員 陳世傑 2015年07月30日 壹、事件摘要 因電子與無線傳輸科技的進步，俗稱Drone的無人飛行器（Unmanned Aerial Vehicles，UAV），自美國亞瑪遜公司（Amazon）擬採為運送網路購物商品的工具後，無人飛行器的運用，已逐步從單純娛樂用途跨向商業用途的應用。無人飛行器的廣泛運用，是否可能影響安全、隱私、甚至政府監視的警察國家爭議，已經引起美國各級政府的重視，也紛紛立法加以因應。聯邦議會與各州議會亟思如何在法規上妥善調適，以因應越來越多商用無人飛行器的用途需求與其他公益保護之考量，例如飛航安全、隱私安全、甚至國土安全等，美國已經採取相關法制規劃，以完善UAV之管理。 貳、重點說明 一、美國聯邦管理法規 無人飛行器在美國由其聯邦航空總署（Federal Aviation Administration，FAA）主管，2012年2月14日生效的FAA現代化及改革法（The FAA Modernization and Reform Act of 2012，FMRA），為美國聯邦法律主要的管理法源。 FMRA對無人飛行器所採正式名稱為無人飛行機（Unmanned Aircraft），依其第331節定義，UAS指，而小型UAS（Small unmanned aircraft）則指55磅以下之UAS。 FAA指出，無人飛行系統（Unmanned Aircraft Systems，UAS）依其用途區分為公務用（Public Operations）、民用（Civil Operations）、娛樂用（Model Aircraft）三種，並有不同的管理規定。 公務用無人飛行器使用管理相關聯邦法律，有49 U.S.C. § 40102(a)(41)及49 U.S. Code § 40125就「公務用飛行器」（Public Aircraft）使用範疇之相關規定。 法律規定之公務用無人飛行器，FAA得發給飛航許可（Certificate of Waiver or Authorization，COA），而在其許可之特定空間範圍、操作方式或使用目的下操作公務用無人飛行器。FAA發給公務用無人飛行器之COA時多會附加公共安全之要求，例如不得於人口密集區域使用、避免影響其他飛行器路權（right-of-way rules）的使用。 民用無人飛行器之使用，可向FAA申請兩種使用許可，一為FMRA第333節之特許（Section 333 Exemption），其次為FAA第8130.34號行政命令特別適航性許可（Special Airworthiness Certificate，SAC）。 FMRA第333節之特許規定要求，美國聯邦運輸部得經申請，在一定體積、重量、飛行速度、安全性等要求下，特許申請人以無人飛行器進行商業使用（Certificate of Waiver or Authorization，COA），文前所述Amazon所遞交之申請即為此種COA。 SAC特別適航性許可則是要求申請人，於檢具所申請之飛行系統之硬體結構與軟體開發、控制與其管理（configuration management）之設計、規劃、製造上具適航性之說明以進行SAC申請。 娛樂用無人飛行器之使用，依照FMRA第336節規定，毋須經主管機關許可，惟仍須符合以下規定，包括飛行高度須低於400呎且維持飛行區域之淨空，且飛行器應隨時處於使用者目視可及之範圍。 二、美國各州管理法規 在聯邦層級法律以外，除華盛頓特區已為無人機禁用區（No Drone Zone）外，美國各州對於無人飛行器之使用，也各自有不同的立法。至2015年6月為止，美國共有25州對無人飛行器之定義、使用、管理等已有相關法律施行。2015年美國已有45州計151個法案與無人飛行器之使用管理進行規定。阿肯色州等15州完成立法，阿拉斯加等4州通過提案交付審查，喬治亞洲決議交由州議會成立特別委員會進行無人飛行器法案研究、新墨西哥州則由州參眾兩院通過備忘錄就無人飛行器的使用對於野生動物保護之影響進行研究。 參、事件評析 美國自聯邦乃至各州法規對於UAS之管理密度與保護面向各有不同，惟就聯邦FAA受理申請之情形，與各州之立法進度，顯見UAS此一新興科技所帶來的法制調適已經如火如荼的展開。UAS的逐漸普及所帶來的法規相應調整或跟進的需求，已促使美國聯邦與州政府的重視。甚至除了使用的管制外，有關UAS的輸出，美國國務院亦於2015年2月發布有關軍事用途UAS的出口管制政策，其中也同時對商用無人機之出口進行一定程度之管理，可見無人機技術的進步，未來將逐步帶動法制面從使用管理、產品管理甚至朝向技術管理發展。
美司法部對Google書籍搜尋和解方案是否涉嫌壟斷展開美司法部於2008年介入Google與Yahoo網站上進行的搜尋動作提供相關廣告的合作案後，再次針對Google公司的網路版圖擴張動作，是否造成阻礙公平競爭採取調查行動，這次的目標是Google與書籍作者與出版商之間的圖書、文章數位化和解協議。 事實上Google 去年已與美國書籍作者與出版協會取得和解共識，前者願支付 1.25 億美元和解金，後者則撤銷其違反著作權的指控。但「無主」(orphan)的著作物，像是絕版書或不明著作的書籍作者必須在5月5日最後期限前選擇退出Google的計畫，否則就會被納入和解案。 不過，有七位作者上周向法院要求把5月5日截止期限再延長四個月，理由之一是提議的和解案太複雜。為讓Google有更多的時間，與其它作者商議和解協議，美國紐約聯邦法庭已將和解的期限延至 9 月4 日。Google表示會再花六十天的時間找到作者，並說服他們就Google線上書籍搜尋服務一案達成和解。如果Google的和解計畫順利完成，在其「Google Book Search service」搜尋服務中，將可找到數百萬件的作品。
暴雪公司告《刀塔傳奇》遭駁回，修正訴狀後再提告2015年3月，暴雪公司(BLizzard Entertainment)在官網上公開宣稱，手機遊戲《刀塔傳奇》並未經過其授權，而其角色場景均涉嫌抄襲「魔獸爭霸」與「魔獸世界」多項重要角色，其後在美國、大陸台灣等地對《刀塔傳奇》開發商莉莉斯公司提出告訴。而 Courthouse News Service近來指出，美國地方法院於2015年12月17日駁回暴風公司對莉莉斯公司的訴訟。 美國的著作權法不保護虛擬角色，但仍有例外。依據上訴法院在1978年的Halicki Films訴Sanderson Sales and Marketing一案標準，若該虛擬角色具有特別特色(especially distinctive)則可例外予以保護，而特別特色需要有相當證據證明設計者為原告且具有獨特的特徵，方得予以主張。美國地院目前認為而暴雪公司目前提出角色姓名、服裝、武器、背景設定等證據資料，尚無法說明暴雪公司所創角色具有獨特性，故予以駁回。而暴雪公司則於12月22日發出正式聲明，認為現階段並非侵權主張不成立，而是訴訟資料不齊全，並著手提交更詳盡的證據清單，暴雪公司會於修正訴狀後，再提起訴訟。 雖然暴雪公司在美國對莉莉斯訴訟遭受駁回，但其在中國大陸對《刀塔傳奇》代理商與莉莉斯公司所提告訴，已讓蘋果公司(Apple, Inc.)讓《刀塔傳奇》從App store下架；而美國法院判決是否使蘋果公司在中國大陸重新上架《刀塔傳奇》，則有待觀察。