華碩因路由器資安漏洞遭起訴一案與美國聯邦貿易委員會達成和解
美國聯邦貿易委員會（Federal Trade Commission, FTC）於2014年間以路由器(Router)與雲端服務的安全漏洞，導生消費者面臨資安與隱私風險之虞，而依據《聯邦貿易委員會法》第5條（Federal Trade Commission Act, 15 U.S.C. § 45(a)）委員會防止不公平競爭違法手段（unfair methods of competition unlawful ; prevention by Commission）之規定，即華碩涉嫌行使不公平或詐欺的手段致影響商業活動之公平競爭為由，對我國知名全球科技公司華碩電腦股份有限公司(ASUSTeK Computer, Inc.)進行起訴 。
本案歷經FTC近二年的調查程序後，華碩公司於2016年2月23日同意FTC的和解條件，即華碩公司應針對部分存在資安疑慮的產品依計畫進行改善，並且於未來20年期間內須接受FTC的獨立稽核(independent audits)。 FTC於該案的起訴報告中指出，華碩於銷售其所生產的路由器產品時，曾對消費者強調該產品具許多資安保障措施，具有得以防止使用者不受駭客攻擊等效果；然而，該產品實際上卻具有嚴重的軟體設計漏洞，使駭客得以在使用者未知的情況下，利用華碩路由器的網頁控制面板(web-based control panel)之設計漏洞，任意改變路由器的安全設定；更有專家發現駭客於入侵華碩製造之路由器產品後，得以強佔使用者的網路頻寬。
此外，華碩允許使用者沿用路由器產品的預設帳號密碼，再加上華碩所提供的AiCloud與AiDisk雲端服務功能，讓使用者得以隨身硬碟建立其私有的雲端儲存空間，使得駭客得藉由上述華碩路由器的設計漏洞直接竊取使用者於隨身硬碟內所儲存的資料。FTC並於起訴聲明中指出，駭客利用華碩路由器產品與相關服務的漏洞，於2014年間成功入侵超過12,900多位產品使用者的雲端儲存空間。除此之外，使華碩更加備受譴責的是，當該漏洞被發現之後，其並未主動向產品的使用者強調產品存在該資安問題，更未告知使用者應下載更正該設計漏洞的軟體更新，因此FTC始決定對華碩進行起訴。
黃宇良
法律研究員 編譯整理
FEDERAL TRADE COMMISSION ACT, 15 U.S.C. § 45(a).
Federal Trade Commission, ASUS Settles FTC Charges That Insecure Home Routers and “Cloud” Services Put Consumers’ Privacy At Risk, Feb. 23, 2016, https://www.ftc.gov/news-events/press-releases/2016/02/asus-settles-ftc-charges-insecure-home-routers-cloud-services-put (last visited Feb. 25, 2016).
IN THE MATTER OF ASUSTek Computer, Inc., 142 F.T.C. 3156 (2016), https://www.ftc.gov/system/files/documents/cases/160222asusagree.pdf (last visited Feb. 25, 2016).
德國聯邦資料保護暨資訊自由官（Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit,BfDI）Ulrich Kelber教授於2020年8月19日指出，2020年7月3日甫由德國議會通過的病人資料保護法（Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur; Patientendaten- Schutzgesetz, PDSG），恐違反歐盟一般資料保護規則（GDPR）。 該法規定自2021年起，健康保險業者必須向被保險人（病人），提供電子病歷（ePA）。而自2022年起，病人有權要求醫生將病人相關資料記錄於電子病歷，包括健檢結果、醫學報告或X光片、預防接種卡、孕婦手冊、兒童體檢手冊、牙科保健手冊等，而被保險人更換健康保險業者時，可要求移轉其電子病歷至新的健保公司。另外，2021年起將可透過手機，下載電子處方並至藥局領取處方藥。2022年1月1日起，將全面強制使用電子處方，病人將可透過智慧手機或平板電腦，決定他人對於電子病歷之近用權限。病人若無手機，可至健保公司查看電子病歷。依照規劃，目前電子病歷的使用仍採自願性。病人可決定保存或刪除哪些資料，以及誰可以近用該文件。自2023年起，被保險人可自願提供電子病歷資料作為研究用途，而因上述研究可處理病人資料之醫師、診所和藥劑師等，有義務確保其資料安全。 BfDI於立法過程中多次強調，在導入電子病歷使用時，病人必須可完全控制自己的資料。而該法規範僅提供病人使用部分設備，例如智慧手機或平板電腦，設定其電子病歷之存取權限，此意謂著將有一段空窗期，病人無法決定其電子病歷中各文件之存取權限。而對於電子病歷中，可否僅開放部分資料供瀏覽或存取，亦受到聯邦資料保護暨資訊自由官質疑。另外，對於無法或不想在手機或平板電腦上使用上述功能的人，本法並未進一步規定，亦即2022年起，上述病人為了能夠檢查或接受醫療，必須強迫病人控制其相關資料，但目前顯然尚缺乏相關配套。此外，以資料保護角度而言，目前電子病歷之認證程序有安全疑慮，尤其是未使用電子健康卡的替代驗證程序尚不夠嚴謹，因此命令相關單位應於2021年5月前完成改善。 電子病歷是對醫療保健改善的重要一步，因此相關健康資料保護需要符合GDPR規範水平。電子病歷雖已逐漸受到認可與重視，惟當前病人資料保護法恐無法完全保護病人資料安全。因此，BfDI將透過監管手段，確保健康保險公司不會因提供電子病歷而違反GDPR。
電子支付指令可望具有書面支付憑證的同等效力中國大陸為推動商業銀行電子支付業務健全發展、保障電子支付業務中當事人之權益、防範電子支付業務風險並確保銀行與客戶之資金安全， 繼 中國銀行業監督管理委員會 （銀監會）於 5 月 19 日發佈《電子銀行業務管理辦法（徵求意見稿）》（草案）之後，中國人民銀行 於 6 月 9 日公佈《電子支付指引（徵求意見稿）》 （草案）， 公開諮詢大眾的意見。該草案規定電子支付指令 ( Electronic Payment Instruction, EPI ) 與書面支付憑證可以相互轉換，兩者具有同等效力。 為達到安全控制，該草案不僅要求銀行採用規定的資訊安全標準、技術標準、業務標準，建立有效的管理制度，同時要求確保業務處理系統的安全性、交易資料的不可否認性、資料儲存的真實性、客戶身份的辨識性，以妥善管理安全認證資料。此外，該草案還對支付過程中所發生的錯誤與責任作了詳細規定。 在風險控制方面， 銀行亦應針對不同客戶，在電子支付業務類型、單筆支付金額和每日累計支付金額等方面作出合理限制。銀行通過網路提供網上支付業務，公司行號與個人客戶之單筆支付金額不得超過 5 萬元。 該草案所稱電子支付是指公司行號或個人通過電子終端機，直接或間接向銀行業金融機構發出支付指令，實現貨幣支付與資金轉移。 電子支付的業務類型分為網上支付（透過網路）、電話支付、移動支付（透過行動通訊設備）、銷售點終端 (point of sale) 交易、自動櫃員機 (ATM) 交易和其他電子支付。
從美國聯邦最高法院判決探討實用物品設計之著作權保護原則從美國聯邦最高法院判決探討實用物品設計之著作權保護原則 資訊工業策進會科技法律研究所 法律研究員 龔芳儀 107年8月25日 壹、事件摘要 運動服飾設計製造與銷售公司Varsity Brands, Inc.（後稱Varsity公司）擁有兩百餘件美國平面美術著作，而另一家運動服飾銷售公司Star Athletica, LLC（後稱Star公司）所販售之產品包含啦啦隊用品及啦啦隊服等。 Varsity公司於2014年向美國田納西州西區聯邦地區法院對Star公司提起著作權、商標權等侵權訴訟，本文將針對著作權爭議進行討論，Varsity公司控告Star公司於2010年的產品型錄與網站中所展示的啦啦隊服相似於其五件已註冊為美國著作之啦啦隊服設計，請參見圖一。 資料來源：JD Supra, LLC彙整 圖一 Varsity公司指出Star公司之啦啦隊服相似於Varsity公司已註冊為美國著作之啦啦隊服設計[1] Varsity公司所擁有之五件平面美術著作[2]，如圖二所示，其中兩件（Design 299A與Design 299B）為啦啦隊服照片，另三件（Design 074、Design 078與Design 0815）為啦啦隊服之設計圖稿。被告Star公司認為Varsity公司之設計圖稿明顯是以啦啦隊服之輪廓進行設計，且當隊服缺乏設計時便成為空白之布料而失去啦啦隊服之功能，因此該些設計具有功能性，進而不符合美國著作權法第1302條第4項所指「設計之呈現僅為功能實現（dictated solely by a utilitarian function of the article that embodies it）」而不受保護之設計項目，即設計在作品上之呈現方式，僅展現功能性質，也就是說啦啦隊服上的圖樣設計為凸顯啦啦隊服功能，該些圖樣具功能性而不受著作權所保護。而Varsity公司主張設計師構思設計時並未被要求須考量啦啦隊服之功能、或實際製造之可行性，因此該設計不涉及功能性，而可受美國著作權法所保護。 資料來源：美國田納西州西區聯邦地區法院判決 圖二 Varsity公司之五件美國平面美術著作 美國田納西州西區聯邦地區法院法官[3]認為Varsity公司啦啦隊服可承受劇烈動作、吸汗等功能係屬於實用物品、且其顏色與設計在概念上無法從所依附的啦啦隊服分離，而認定該設計不被著作權法所保護，即Varsity公司所擁有之著作權無效，並在簡易法庭中認同Star公司之見解：啦啦隊員因穿著隊服而產生啦啦隊效果，使觀察者看到穿著啦啦隊服者而知道其為啦啦隊員，若少了啦啦隊服上的設計則失去啦啦隊意象，認為該啦啦隊服具備功能性而無法受著作權所保護，故Star公司無從侵害Varsity公司之五件平面美術著作。 本案經Varsity公司上訴，聯邦第六巡迴上訴法院於2015年推翻了一審法院判決[4]，認為Varsity公司啦啦隊服上之設計為圖形設計[5]且可被分離、獨立於啦啦隊服，即圖形設計與啦啦隊服可各別存在，使該些設計可被著作權法所保護。 一、Varsity公司具有有效之著作權（ownership of a valid copyright） Varsity公司分別於2005年至2008年間於美國著作權局(Copyright Office)完成前述五件平面美術著作註冊，得以推定Varsity公司擁有原創著作。 二、Star公司所抄襲之元素為著作保護標的 針對證明Star公司是否抄襲，Varsity公司須考量Star公司在創作時是否以其著作當作創作模型之事實問題（a factual matter）、進而判斷受Star公司所抄襲之元素是否為著作保護標地之法律問題（a legal matter）。 上訴法院針對法律問題進行討論，列有分離性判斷原則之五個提問，並針對Varsity公司設計之分離性進行分析，如表一所示。 表一 以上訴法院分離性判斷原則比對Varsity公司之設計 上訴法院分離性判斷原則 比對Varsity公司之設計 （1）該設計是否屬「圖畫、圖形及雕塑著作」? Varsity公司之設計已取得平面美術著作註冊，係屬「圖畫、圖形及雕塑著作」 （2）若是，該設計是否為實用物品之設計? Varsity公司之設計係為啦啦隊服之設計，而該啦啦隊服為本質上具有實用性功能之物品，而非僅描繪（portray）該物品之外觀或傳達訊息（information） （3）實用物品之實用面為何? 啦啦隊服本質上之實用性功能為「覆蓋身體（cover the body）」即吸濕氣並承受運動員劇烈之動作 （4）一般設計觀察者是否能從實用物品之實用面辨識出圖畫、圖形及雕塑之設計特徵? 觀察者能辨識Varsity公司設計之圖形特徵，Varsity公司之客戶能從型錄中辨識不同圖形特徵之設計，即可從中挑選客製圖形設計 （5）實用物品之圖畫、圖形及雕塑設計特徵是否能獨立存在於實用物品之實用面? Varsity公司之設計師進行設計圖形特徵時，並未被要求考量啦啦隊服生產過程且該些設計具可換性（interchangeability），推斷圖形設計與啦啦隊服係可分離，可附於其他類型之服飾上，因此圖形特徵能獨立存在於啦啦隊服 資料來源：本研究彙整 另一方面，啦啦隊服之表面圖形設計是為織品設計（fabric design），如符合該分離性判斷標準則屬著作權法保護之範疇；相對地，隊服輪廓剪裁則具有遮蔽、包覆人體等功能係屬於服裝設計（dress design），該功能性則不受著作權保護。 Star公司不服上訴法院判決，本案於2016年進入美國聯邦最高法院[6]，法官於2017年3月認同聯邦第六巡迴上訴法院見解，認為Varsity公司啦啦隊服之圖形設計與啦啦隊服可分離，並提出實用物品之設計在符合以下兩構件之分離性判斷原則，即為著作權所保護之標的範圍：（1）當設計特徵可被視成為平面或立體著作並且能與實用物品分離（can be perceived as a two- or three-dimensional work of art separate from the useful article）；以及（2）若該設計特徵符合圖畫、圖形及雕塑著作（pictorial, graphic, and sculptural works, ”PGS works”），可被設想為可分離於實用物品，不管是獨立存在、或者依附於其他媒體上（either on its own or fixed in some other tangible medium of expression），即為著作權所保護之標的。 如表二，根據上述條件與Varsity公司之設計進行比對。Varsity公司啦啦隊服上之線條、圖紋、色塊等圖形設計係屬圖形著作，且該些圖形設計可從啦啦隊服分離，而可依附在其他媒體上、或獨立存在，因此該圖形設計為著作權法所保護之標的，Star公司確實侵害Varsity公司之五件平面美術著作。 表二 以聯邦最高法院分離性判斷原則比對Varsity公司之設計聯邦最高法院分離性判斷原則 聯邦最高法院分離性判斷原則 比對Varsity公司之設計 （1）當設計特徵可被視成為平面或立體著作並且能與實用物品分離。 Varsity公司啦啦隊服上之線條、圖紋、色塊等圖形設計係屬圖畫、圖形及雕塑著作中之圖形著作。 （2）若該設計特徵符合圖畫、圖形及雕塑著作（PGS works），可被設想為可分離於實用物品，不管是獨立存在、或者依附於其他媒體上，即為著作權所保護之標的。 該些圖形設計可從啦啦隊服分離，而可依附在其他媒體上、或獨立存在，如裝飾其他形式之服裝、或裱掛於牆上之圖形藝術，因此該圖形設計為著作權法所保護之標的。 資料來源：本研究彙整 貳、重點說明─實用物品設計是否為著作權標的，應分析與實用物品分離後之圖形設計而非物品本身 美國著作權法並未將屬實用物品之工業設計產品之設計納為保護標的，但工業設計不全是具功能之設計，當工業設計產品之設計附有藝術元素時，該保護界線便難以劃分。 對此，美國著作權法第101條[7]（17 U.S.C.§101）提供實用物品之設計有限的著作權保護：當實用物品之設計具備圖畫、圖形及雕塑之藝術特徵（”pictorial, graphic, and sculptural features” of the “design of a useful article”），且該些特徵可被分離、或獨立存在於該物品之實用面（that can be identified separately from, and are capable of existing independently of, the utilitarian aspects of the article），應認為係屬圖畫、圖形或雕塑著作，該特徵便可受著作權法所保護。 進一步分析美國著作權法[8]所定義之實用物品（useful article）係指本質上具備固有的實用功能、並非僅是勾勒物品之外觀或資訊傳達（having an intrinsic utilitarian function that is not merely to portray the appearance of the article or to convey information）。 因此，判斷附於實用物品之藝術特徵是否適用著作權法，應就當實用物品除去藝術特徵後，該藝術特徵是否為著作權法所保護之標的。至於除去藝術特徵之實用物品則維持相似之實用性（remain similarly useful）即可，而非觀察當實用物品除去藝術特徵時是否喪失與原本相同之實用性（equally useful）[9]，換言之，有無藝術特徵對實用物品的影響相對次要。 就本案而言，聯邦最高法院判斷啦啦隊服之圖形設計是否受著作權法所保護，並非針對當Varsity公司啦啦隊服移除圖形設計後，而使隊服不具備或削弱了啦啦隊意像而喪失與原本相同之實用性，就此認定該些設計具功能性、而不被著作權法所保護。據此，應將附有設計之Varsity公司啦啦隊服與未有裝飾設計之素白啦啦隊服兩者進行比較，兩啦啦隊服具有相似之實用功能，而針對該些啦啦隊服之設計係屬可分離於啦啦隊服之圖形著作，因此符合著作權法之保護標的。同時，聯邦最高法院根據上訴法院的觀點，敘明前述之判斷並不含括該啦啦隊服之剪裁及規格尺寸，其實質上係為功能設計，即非著作權法所保護之範圍。 參、事件評析 一直以來，實用物品之設計是否具可分離性而受著作權法所保護，美國法院未有一個共通的判決原則因此存在著不確定性，而本案釐清了判斷方法，並提供實用物品之設計是否為著作權法所保護之判斷原則。 如同過去法院或學者對於著作權標的所判斷關鍵，本判決仍著重於可分離性（separability），即設計是否能從實用物品分離，並且該設計可獨立存在或依附在其他物品上。而本判斷原則強調應針對分離後之設計而非物品進行討論，對應到本案即應討論啦啦隊服之設計而非啦啦隊服，即從啦啦隊服分離後之啦啦隊服設計係為圖形著作，屬著作權法之保護標的。 如此，除了讓既有的時尚產業對於服裝設計、布料裝飾等是否受著作權法保護有了較為明確的判斷方法，進而影響了工藝品、文創作品、甚至是逐漸大眾化之3D列印製品[10]等同時具備藝術設計與功能性之物品，其藝術設計特徵是否屬著作權法所保護之標的之辨別。 美國著作權保護標的之圖畫、圖形及雕塑著作，對應於台灣著作權法第5條第4項美術著作（含圖畫與雕塑）與第6項圖形著作，然而台灣著作權法對於實用物品等判斷似未見相關規範，對此美國聯邦最高法院對實用物品設計之可分離性所提出之判斷原則可作為參考。 此外，建議相關企業組織未來若在美國經營服飾、工藝品等銷售，透過美國著作權登記以取得該國著作權法第410條第(c)項[11]所規定享有著作權「初步證據-推定為著作權人」（prima facie）在訴訟上的實益，以及第412條[12]、第504條[13]與第505條[14]所規定之法定損害賠償及律師費用，以強化設計保護及爭訟過程中之主張。 針對服飾上之設計，除了透過著作權保護該些設計之概念表達外，亦可藉由設計專利保護具有設計之服飾，即保護物品之全部或部分之形狀、花紋、色彩或其結合，透過視覺訴求之創作。著作權保護不具功能性之創作表達，而設計專利則針對實體物之外觀設計進行保護；因此當設計本身擁有不具功能性的創作表達、且物品設計外觀符合產業上利用性、新穎性及創作性等設計專利要件，即可同時獲有專利法與著作權法之保護。 當該設計已具有識別性則可透過商標權保護，即藉由圖形、記號、顏色等設計組合產生足以使相關消費者認識其為表彰商品或服務之標識，當然會需要投入相對之行銷資源將該圖形、記號或顏色組合之設計讓大眾知悉且區別商品或服務來源。將設計透過商標保護之另一優點在於，該設計如果具有識別性，便不像設計專利一樣限於依附於特定物品如服飾上，還可將該設計申請註冊商標，指定使用於其他產品甚至服務類別上，更加發揮設計擴大應用。 企業組織可針對所產製之設計，規劃不同階段之智財保護策略，當創作完成時即享有著作權，建議可進行註冊登記將有助訴訟之舉證；當著作物為機械產製，且該些設計符合設計專利之要件時，可同時獲有專利法與著作權法之保護；最後，當行銷資源投入，使該設計逐漸具有識別性，進而可藉由商標註冊完善設計的各面向之智慧財產保護。 [1] JD Supra, LLC, Chevrons, Stripes, Cheerleaders, and Copyright: The Supreme Court Hears Oral Argument in Star Athletica v. Varsity Brands (2016), https://www.jdsupra.com/legalnews/chevrons-stripes-cheerleaders-and-94125/ (last visited Aug 26, 2018). [2] Varsity Brands, Inc. v. Star Athletica, L.L.C., No. 2:10-cv-02508, 2014 WL 819422, at *4 (W.D. Tenn. Mar. 1, 2014). [3] Varsity Brands, Inc. v. Star Athletica, L.L.C., No. 2:10-cv-02508, 2014 WL 819422, at *15 (W.D. Tenn. Mar. 1, 2014). [4] Varsity Brands, Inc. v. Star Athletica, LLC, 799 F.3d 468, 30 (6th Cir. 2015). [5] 17 U.S.C. § 102(a)(5) (2012). [6] Star Athletica, LLC v. Varsity Brands, Inc., 580 U.S. __, 17 (2017). [7] 17 U.S.C. § 101 (2012). [8] 17 U.S.C. § 101 (2012). [9] Star Athletica, LLC v. Varsity Brands, Inc., 580 U.S. at 13. [10] Varsity Brands, Inc. v. Star Athletica, LLC., Brief of Amici Curiae Formlabs Inc., Matter and Form Inc., and Shapeways Inc. in Support of Petitioner, 2016WL537499. [11] 17 U.S. Code § 410 (c) In any judicial proceedings the certificate of a registration made before or within five years after first publication of the work shall constitute prima facie evidence of the validity of the copyright and of the facts stated in the certificate. The evidentiary weight to be accorded the certificate of a registration made thereafter shall be within the discretion of the court. [12] 17 U.S. Code § 412. [13] 17 U.S. Code § 504. [14] 17 U.S. Code § 505.
從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日 資訊科技的發展，從早期「超級電腦/大型電腦」、近期「個人電腦」，到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用，未來電腦運算設施就像是水、電；資料儲存與應用就像是銀行，只要連上網路就可以使用，不必各自投資發展。因此，「雲端運算」未來將成為每個國家的重要基礎建設。 將雲端運算列為重要的產業發展重心，已是各國的趨勢，而運用雲端運算所帶來的效益，如節省經費、提升效率等，亦為普遍地承認，再加上公部門相較於民間，其擁有較多的經費及資源來進行雲端運算的導入，而藉由公部門導入雲端運算，可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此，各國均皆致力於促進公部門導入雲端運算。 然而，在雲端運算帶來龐大經濟效益的同時，伴隨而來的，是新的資訊管理議題，雲端安全防護聯盟（Cloud Security Alliance, CSA）提出了雲端運算可能遭遇的九大安全威脅 ： 一、資料外洩（Data Breaches） 二、資料遺失（Data Loss） 三、帳號被駭（Account Hijacking） 四、不安全的APIs程式（Insecure APIs） 五、拒絕服務（Denial of Service） 六、惡意的內部人員（Malicious Insiders） 七、濫用雲端服務（Abuse of Cloud Services） 八、審慎評鑑不足（Insufficient Due Diligence） 九、共享環境議題（Shared Technology Issues） 面對前述的安全威脅，政府部門在考量導入雲端服務時，首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度，以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要 美國政府在2010年12月發表了25項聯邦IT轉型重點政策，其中一項核心的政策便是「雲優先政策」（cloud first policy）。根據「雲優先政策」，聯邦機構必須在三個月內找出三項轉移到雲端的政府服務，並且要在一年內導入其中一項。 然而，此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰，傳統由各機關分頭洽談所導入資訊系統與應用規格之方法，並實施個別的資訊安全需求與政策的作法，對服務商而言，其所提供的相同服務，在各機關導入時，卻必須將受各個機關的審查，造成各機關投入過多的資源在審查程序上，導致政府資源的浪費，不但耗費時間、審查重複，且無法達到建構妥善操作程序的效果。 2012年6月6日，聯邦政府總務管理局（General Service Administration, GSA）宣布「聯邦風險與授權管理計畫」（Federal Risk and Authorization Management Program,以下稱FedRAMP）開始正式運作，GSA並表示，「FedRAMP」的正式運作，將解決美國政府在雲端產品及服務需求上，因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費，並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用，預期效益相當可觀。 「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範，建立一套可遵循之依據。未來所有雲端產品的服務提供者，都必須遵守及達到該計畫的標準規範，才能為美國政府機關提供雲端產品及服務。 貳、重點說明 「聯邦風險與授權管理計畫」主要由預算與管理辦公室（Office of Management and Budget, OMB）負責組織預算與管理；聯邦資訊長（the Federal Chief Information Officer，CIO）負責跨部門的整合；國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析；總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序，並成立計畫管理辦公室（ Program Management Office， PMO）負責FedRAMP之操作與管理；以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準；最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局，組成共同授權委員會（Joint Authorization Board, JAB），負責對服務提供者的授權與定期檢視。 FedRAMP制度的精神在於「作一次並重複使用」（Do once ,Use Many Times），同一內容的雲端服務，透過FedRAMP，僅須經過一次的評估與授權，即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性，造成資源浪費的問題，將可獲得解決。當其他機關欲採用雲端服務時，可透過FedRAMP，免去再一次的評估與驗證。 FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成，簡單介紹如下： 一、第三方評估機構的認證 FedRAMP的特殊之處，在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構（3PAO）來進行審查，而第三方評估機構欲通過認證，除了要符合FedRAMP的需求外，還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等，另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下： （一）申請檢視 機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力，並且自行檢視FedRAMP網站上的申請表，自行檢視是否合乎要求，然後決定是否提出申請。 （二）完成要求 機構須分別完成申請表所要求的系統安全計畫（system security plan, SSP）、系統評估計畫（system assessment plan, SAP）、安全評估報告（security assessment report, SAR）。於完成後向計畫管理辦公室提出申請。 （三）審查 在接受申請後，總務管理局會與ISO網路安全專家共同組成「專家審查委員會」（Expert Review Board , ERB），審查該申請。 （四）決議 審查完畢後，FedRAMP計畫管理辦公室（PMO）會檢視ERB的意見，決議是否通過該申請。 於通過申請後，該機構將會被列入FedRAMP官方網站（www.FedRAMP.gov）的第三方評估機構名單，目前為止，陸續已有十五個機構通過共同授權委員會的授權，日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估 在「聯邦風險與授權管理計畫」的機制設計中，政府機關或雲端服務提供者任一方，皆可提出申請（Request）啟動雲端服務的安全性評估（Security Assessment）程序，此程序中共有四個主要階段： （一）提出申請 在申請人將所須文件初步填寫完畢之後，計畫管理辦公室（PMO）即會指派資訊系統安全官（Information Systems Security Officer, ISSO）進行指導，使之得進行安全控制、出具必要文件、並實施安全測試。之後，PMO會與雲端服務提供者簽署協議，並要求相關機關實施對雲端服務系統的安全性測試。 （二）檔案安全控管 雲端服務提供者必須作成系統安全計畫（System Security Plan, SSP），表明安全控制之實施方法，及其相關文件如IT系統永續計畫（IT Contingency Plan）、隱私衝擊調查（Privacy Impact Questionnaire），並送交ISSO進行審查，再由雲端服務提供者就對審查意見予以回覆之後，由ISSO將案件送至共同授權委員會（Joint Authorization Board, JAB）進行審查，以確認所提交的SSP安全措施符合雲端系統所需。 （三）進行安全測試 服務提供者與第三方評估機構（Third Party Assessment Organization, 3PAO）簽約，且由PMO約集雲端服務提供者與3PAO，確認雙方對於安全測試實施的期待與時程，再由3PAO獨立進行該雲端系統測試，並完成安全評估報告（Security Assessment Report, SAR），闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果，作成行動與查核點報告（Plan of Action & Milestones (POA&M)），以提出矯正弱點與殘餘風險（residual risks）的措施、資源與時程規劃。 雲端服務提供者再將前述SAR與POA&M提交予PMO，由JAB決定是否接受該弱點及其修正計畫，或者提出修正建議。倘若JAB可接受該弱點及其他因應措施，則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 （四）完成安全評估 雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案，並提出證明將確實執行其安全控制措施。由JAB檢視此方案，並作出最終決定是否授予「附條件之授權」（Provisional Authorization）。得到此授權的雲端服務提供者名單，將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權，PMO會指導如何進行重新申請。 三、持續的評估與授權 持續的評估與授權（ongoing Assessment and Authorization, A&A）通常也被稱為持續監控（Continuous Monitoring），在FedRAMP中第三個也是最後一個流程，透過持續的評估與授權機制，來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面： （一）操作的能見度 操作能見度的目標，是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度，而不必政府機構另行要求。 （二）變更控制程序 雲端服務提供者更新她們的系統是常有的事，此處的變更控制程序並非針對例行性的維修或變更，而是要求若有發生影響臨時性授權或的顯著變更時，服務提供者必須提供此種具衝擊性變更的有效資訊，使FedRAMP得以評估此變更的影響與衝擊。 （三）事件回應 事件回應方面聚焦於新風險和漏洞的因應，服務提供者在發現影響授權的新風險或漏洞時，應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析 在各國紛紛投入雲端運算的推動熱潮中，我國也不能在此項產業推動中缺席。2010年4月，行政院科技顧問組（現已改組為行政院科技會報）責成經濟部，研擬「雲端運算產業發展方案」；2011年5月，行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」，在內部運作管理面向，將運用新興雲端運算技術推動以全國性的政府雲端應用服務，減少機關重複開發成本，並達成節能減碳效果。 雲端的安全問題，無論在私人企業或政府部門，均為選擇導入雲端服務的第一要務，「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點，運用雲端運算技術，創新資安服務價值，確保政府資通安全防護。 然而，在服務提供者的安全性方面，我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此，我國可借鏡各國的作法，適度的以透過公正第三方機構驗證，來消除雲端服務安全性的疑惑，並推動一個公開的平台，將通過驗證的廠商公布出來，提供公部門甚至私人企業作選擇，不僅可免去同一服務廠商不斷重複驗證的麻煩，亦可削減選擇上的難題，並藉此發展雲端資安技術與推動雲端產業，使我國的雲端環境能夠更臻成熟。