華碩因路由器資安漏洞遭起訴一案與美國聯邦貿易委員會達成和解
美國聯邦貿易委員會（Federal Trade Commission, FTC）於2014年間以路由器(Router)與雲端服務的安全漏洞，導生消費者面臨資安與隱私風險之虞，而依據《聯邦貿易委員會法》第5條（Federal Trade Commission Act, 15 U.S.C. § 45(a)）委員會防止不公平競爭違法手段（unfair methods of competition unlawful ; prevention by Commission）之規定，即華碩涉嫌行使不公平或詐欺的手段致影響商業活動之公平競爭為由，對我國知名全球科技公司華碩電腦股份有限公司(ASUSTeK Computer, Inc.)進行起訴 。
本案歷經FTC近二年的調查程序後，華碩公司於2016年2月23日同意FTC的和解條件，即華碩公司應針對部分存在資安疑慮的產品依計畫進行改善，並且於未來20年期間內須接受FTC的獨立稽核(independent audits)。 FTC於該案的起訴報告中指出，華碩於銷售其所生產的路由器產品時，曾對消費者強調該產品具許多資安保障措施，具有得以防止使用者不受駭客攻擊等效果；然而，該產品實際上卻具有嚴重的軟體設計漏洞，使駭客得以在使用者未知的情況下，利用華碩路由器的網頁控制面板(web-based control panel)之設計漏洞，任意改變路由器的安全設定；更有專家發現駭客於入侵華碩製造之路由器產品後，得以強佔使用者的網路頻寬。
此外，華碩允許使用者沿用路由器產品的預設帳號密碼，再加上華碩所提供的AiCloud與AiDisk雲端服務功能，讓使用者得以隨身硬碟建立其私有的雲端儲存空間，使得駭客得藉由上述華碩路由器的設計漏洞直接竊取使用者於隨身硬碟內所儲存的資料。FTC並於起訴聲明中指出，駭客利用華碩路由器產品與相關服務的漏洞，於2014年間成功入侵超過12,900多位產品使用者的雲端儲存空間。除此之外，使華碩更加備受譴責的是，當該漏洞被發現之後，其並未主動向產品的使用者強調產品存在該資安問題，更未告知使用者應下載更正該設計漏洞的軟體更新，因此FTC始決定對華碩進行起訴。
黃宇良
法律研究員 編譯整理
FEDERAL TRADE COMMISSION ACT, 15 U.S.C. § 45(a).
Federal Trade Commission, ASUS Settles FTC Charges That Insecure Home Routers and “Cloud” Services Put Consumers’ Privacy At Risk, Feb. 23, 2016, https://www.ftc.gov/news-events/press-releases/2016/02/asus-settles-ftc-charges-insecure-home-routers-cloud-services-put (last visited Feb. 25, 2016).
IN THE MATTER OF ASUSTek Computer, Inc., 142 F.T.C. 3156 (2016), https://www.ftc.gov/system/files/documents/cases/160222asusagree.pdf (last visited Feb. 25, 2016).
日本推進超級城市系統帶動區域創新 資訊工業策進會科技法律研究所 2021年06月15日 壹、事件摘要 一、超級城市推動背景 數位技術躍升，驅動了產業創新的勃發。然而，現行社經體制與結構卻凸顯出創新速度與監理政策步伐間的落差，繼而牽動二者衝突，影響技術的擴散與創新產業的發展。 面對翻轉傳統框架之創新產業，國際間漸識「區域」居於主導創新發展之重要性，轉而嘗試從地方政府在區域規劃權限出發，尋求以區域創新作法突圍。換言之，區域創新需求的引力將能觸發創新產品或服務之供給，從而誘發法規（暫時）豁免或是鬆綁，為產業創新提供彈性空間。期能藉由法規鬆綁、開放創新的支援手段，通過特定區域作為數位創新技術在社會實踐的實驗室，檢驗與探索創新技術與社會體制之最佳解方。 而日本在區域創新搭配規範特例措施（規制の特例措置）已行之有年，包含有構造改革特區（構造改革特区）、綜合特區（総合特区）及國家戰略特區（国家戦略特区）。渠等皆係以地方政府（或區域）為核心，依其區域發展特性與創新佈建規劃並搭配規範特例措施推行。從既有制度以觀，構造改革特區無涉補助或租稅優惠措施，其推行上以重建財政為重，意即以地方自發性依其地區特性規劃，搭配規範特例措施推行都市再生、經濟上自立，並改善地區發展不均現象。但在此模式下，僅從地方角度出發，審查不符合當地情況之個別法規，難具全面性，整體效益並不顯著；綜合特區同樣以區域為主，設計上除規範特例措施外，另提供綜合性資助，包含稅收、財政上的支援，期望利用區域特定資源打造出可振興地方經濟的模式，立意良善卻無法阻止以綜合性資助為目的的情形；至於國家戰略特區，則是汲取過往經驗，改從國家角度出發，由內閣總理大臣主導，以促進國內外投資與鼓勵創業為旨，審查地方政府所提國家戰略特區計畫，並通過規範特例措施排除適用法規，允許產業在其中進行創新運用。 只是，在推動的過程中，日本漸發現除創新技術應用的特例措施外，資料協作亦至關重要。為精準解決日本的區域問題，必須尋求能夠在居民日常中運用資料協作實施先進技術的方法。在2019年超級城市/智慧城市論壇中，時任總理安倍晉三就此特別提及，資料正是新世代成長的動能，將與人工智慧等先進技術共同實現社會5.0願景。而超級城市所構築的資料流通規則與框架將能支持日本未來新時代的建設[1]。亦即，超級城市將是日本未來發展資料協作的基礎。 二、超級城市型國家戰略特區介紹 如前所述，資料協作成為產業創新不可避免的挑戰。其首要課題當屬完備資料之流通環境。也就是，需要建立一個資料共享基礎設施，促進多元進階服務間的資料蒐集、清洗和提供[2]。而日本注意到串接不同服務所利用之API（Application Programing Interface），本質上應非單純的技術，而是系統。延續此一概念，也直接表彰了日本所構想的超級城市，並非指直接於法律中引入超級城市定義，或直接建立超級城市，而是指開發一種能夠實現超級城市概念的系統（亦有稱其為城市操作系統/OS）[3]，藉由系統的實施形塑超級城市型國家戰略特區。為此，日本於2019年啟動《國家戰略特別區域法》修法，以促進資料協作基礎的建立，引動統一且全面的監管改革。 2020年5月27日，《國家戰略特別區域法》一部修正（別名為超級城市法案）正式通過參議院會議，同年6月3日正式公告修正版本法規，9月1日正式施行。緊接著，2020年10月30日更一部修正《國家戰略特區基本方針》，增加有關超級城市區域之指定標準。其後亦陸續進行完備超級城市型國家戰略特區框架之法令調修，包含於《國家戰略特別區域法施行令》（国家戦略特別区域法施行令）增訂資料協作基礎設施事業標準（データ連携基盤整備事業に関する基準）；於《國家戰略特別區域法施行規則》（国家戦略特別区域法施行規則）納入確認區域內住民就超級城市構想意向方法(スーパーシティ基本構想についての住民等の関係者の意向の確認方法)要求；於《內閣府‧總務省‧經濟產業省關係國家戰略特別區域法施行規則》（内閣府・総務省・経済産業省関係国家戦略特別区域法施行規則）增加資料協作基礎設施安全管理基準(データ連携基盤の安全管理基準)；於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》（国家戦略特別区域法第二十五条の二の内閣府令で定める実証事業等を定める内閣府令）增加地區限定型監理沙盒制度施行規定(地域限定型サンドボックス制度の施行のための規定等)。 而超級城市型國家戰略特區內涵主要是以發展《促進官民資料活用推進基本法》（官民データ活用推進基本法）第2條所稱人工智慧、物聯網相關技術事業、及其他能處理大量資料並增加服務價值或創造新價值，進而衍生新興業務之先進技術事業為基礎，在《國家戰略特別區域法》增訂「先進區域資料活用事業活動」（先端的区域データ活用事業活動）概念，扣合超級城市區域指定標準中所訂，超級城市區域必須提供至少五個領域以上的先進服務，並且應與當地居民、地方公共團體、私營企業取得監理改革的共識要求，串接先進區域資料活用事業與區域內居民需求，引動監理改革。 附帶一提的是，超級城市框架的特色，除在先進事業運用必須貼合區域內居民需求外，居於區域整體規劃角度，更特別要求超級城市區域必須設置構想整體規劃的「建築師」（アーキテクト），且應以公開招募方式選出有能力營運超級城市系統者，確保資料協作基礎的相容性與安全性符合《資料協作基礎設施安全管理基準》。企能實現先進區域資料活用事業活動之主體資訊系統與擁有區域資料的主體資訊系統間相互合作之基礎，並在此基石上，蒐集、整理並提供資料予有需求之先進區域資料活用事業者，以周全區域內居民及利害關係人之權益[4]，進而支援超級城市的實施。 貳、重點說明 綜整前述說明，日本在構建超級城市型國家戰略特區框架所著重點，分別係建置資料協作基礎設施之共享與合作，及推動大膽且全面的監理改革，以使先進技術落地。 一、構築資料協作基礎設施，帶動資料共享與合作 超級城市型國家戰略特區框架之重點，乃以資料協作為核心，因此資料協作基礎設施之建置，將是先進區域資料活用事業成功與否的關鍵。 然而要能順利推行資料協作，不同軟體間交換資料和指令時的連接方法必須具備通用性，以備未來不同領域甚或不同城市彼此間進行資料之交換與運用。故超級城市/智慧城市資料協調研究協會提出資料流通系統三大關鍵，分別為API角色及相關規則與發布方法、資料仲介者的能力與機能、資料結構的標準化。循此，日本通過設立資料協作基礎設施事業標準，擬定API規格、所處理資料種類與內容和運用的相關規約，其中特別強調的是，就涉及個人資料的運用，應以當事人「事前同意」為原則，並且要求相關資訊之公開必須通過網路實施，於提供資料時不得附加不正當之不公平條款等。另外，因應資安問題，日本亦特別明定資料安全管理基準，並要求應有確立責任主體機制、資料運用規章、資料安全專責人員、PDCA作業內容以及事業繼續計畫制定等，強化資料協作基礎設施功能與安全性。 二、大膽全面之監理改革，促成先進技術落地 有關超級城市型國家戰略特區第二點特色，係在地域型監理沙盒模式基礎上，搭配資料協作基礎活化先進技術資料的運用，促進多元領域間的合作。主要推行手段係建立新規制特例措施（新たな規制の特例措置），事先於《國家戰略特別區域法第二十五條之二規定實證事業等的內閣府令》框定相關先進技術，如自駕車、無人機及無線電波應用等，使其能夠在超級城市型國家戰略特區內更快速地用於實證。而因應快速實證作法，日本建立監控和評估系統加強事後檢查，並盡可能減少事前監管干預，以此強化國家戰略特別區域中產業國際競爭力或是形成國際經濟活動據點的正當性。 其中，值得注意的是，即便日本希望簡化行政程序，盡可能減少事前監管的干預，但在超級城市型國家戰略特區運作上，仍然必須與區域內居民進行溝通協調。蓋因在先進技術運用領域上，超級城市的特色是以居民需求作為出發點，強調區域居民的參與與支持。 故在指定超級城市的標準中，也明確地表示區域內居民意向之重要性，同時，特別指示地方政府申請超級城市型國家戰略特區時，應闡明調查該區域居民及其他利害關係人之方式和結果等，以便確認區域內住民就超級城市構想意向。整體而言，其推進方式係透過所謂的「區域會議」(区域会議)進行。在區域會議（特區擔當大臣、首長、經營者、居民代表等）中，選取區域居民所面臨的社會問題。其後，透過區域會議共商有助於解決地區社會問題的先進技術產品或服務，並依此擬定先進技術產品或服務間協調和共用資料的基本計劃（基本概念），通過表決進而提出監理改革事項。在此過程中，提出超級城市構想之地方政府，即可依據區域會議所了解之先進技術區域資料利用內容，要求總理大臣根據內閣辦公室條例（附有證明居民協議之書面文件，必要時得檢附監管改革建議）制定新的特例措施。後續地方政府將依據特例措施進行先進技術的落地應用。 參、事件評析 超級城市實施的關鍵，在於資料協作基礎及新規制特例措施的推行。雖然超級城市的推行尚處於選案階段，但觀察日本在推動超級城市中所著眼之資料協作基礎設施及地域型監理沙盒的事後檢查做法，或可做為我國推行區域創新借鏡。 首先是資料協作基礎設施之建設，近年，我國國發會大力改革與推動下，透過《政府資訊公開法》、《行政機關電子資料流通實施要點》及《個人化資料自主運用平臺介接作業要點》等，促進我國公、私領域資料的流通與串接。而未來，考量先進技術產業與跨領域資料協作需求，或宜考量日本以系統思維推行資料流通串接之作法，除公部門資料及個人資料外，就產業資料及相關合作之可能性一併考慮，構建區域化的資料協作基礎設施。 次者是，回顧我國在應對先進技術的法規調適做法，已陸續有以產業需求為主的《金融科技發展與創新實驗條例》、《無人載具科技創新實驗條例》及其他不同目的推動之小型實證計畫等，但似尚無與地方政府共同合作，引動在地居民了解政策並參與之機制。故借鑒日本超級城市型國家戰略特區以區域居民需求結合中央權限制定特例措施之作法，或許亦能為我國推動區域創新指出另一條明路，有效促進更接地氣的創新實證落地，並帶動區域經濟向上發展。 [1]スーパーシティ／スマートシティフォーラム2019に寄せて報告書，2019年，頁7。 [2]国家戦略特別区域法及び構造改革特別区域法の一部を改正する法律案，https://www.chisou.go.jp/tiiki/kokusentoc/kettei/pdf/r10607_sankou.pdf (最後瀏覽日：2021/5/6) [3]萩原詩子，〈「スーパーシティ」実現を目指す、国家戦略特別区域法改正法案〉，2020/2/21，https://project.nikkeibp.co.jp/atclppp/PPP/news/021401450/ （最後瀏覽日：2020/6/12）。 [4]国家戦略特別区域法の一部を改正する法律第2條第3項，令和2年6月3日。
歐洲央行發表「虛擬貨幣架構」報告，法國比特幣交易平台取得PSP資格。歐洲央行(European Central Bank,簡稱ECB)於2012年10月29日提出「虛擬貨幣架構(Virtual Currency Schemes)」報告(全文可至歐洲央行網站下載，下載網址: http://www.ecb.int/pub/pdf/other/virtualcurrencyschemes201210en.pdf)，Bitcoin(中譯「比特幣」)為該報告的研究重點。該報告將虛擬貨幣架構分為三類：1. 封閉性虛擬貨幣架構，與實體經濟幾乎無連結，通常用於遊戲中，例如暴雪娛樂(Blizzard Entertainment)的魔獸金幣(World of Warcraft Gold, WoW Gold)；2.單向貨幣流(通常是流入) 的虛擬貨幣架構，可以現金依照匯率兌為虛擬貨幣後用於購買虛擬商品或服務，少數例外可使用於購買實體商品或服務，這類型代表如臉書的FB幣；3. 雙向貨幣流的虛擬貨幣架構，類如其他一般貨幣，具有買進賣出匯率，可支應虛擬以及實體商品、服務的買賣，如比特幣。基於本身特性，比特幣並非歐盟電子貨幣指令(Electronic Money Directive, 2009/110/EC)以及歐盟支付服務指令(Payment Service Directive，簡稱PSD，Directive 2007/64/EC)的適用範圍。目前虛擬貨幣欠缺與實體經濟的聯結，交易量小且欠缺廣泛的使用接受度，因此對於金融以及物價的穩定影響有限；另外，虛擬貨幣欠缺妥適的法規管制，可能被用於不法活動，如犯罪、洗錢、詐欺等等；綜上，若任由虛擬貨幣持續發展而不管制，將被視為是中央銀行的失職而影響其聲譽。然而，報告指出，基於下述原因，虛擬貨幣將有可能繼續蓬勃發展：1. 網路以及虛擬社群使用人的持續增加；2. 電子商務以及特定數位產品的發展，提供虛擬貨幣架構良好的發展平台；3. 相較於其它電子支付產品，虛擬貨幣具備較佳匿名性；4. 相較於傳統支付工具，虛擬貨幣具備較低交易成本；5. 提供虛擬社群所需要的較直接以及快速的交易清算特性。 比特幣出現於2009年，透過數理運算的「挖礦(mining)」技術產生，無發行人，屬於點對點(peer to peer)虛擬貨幣，可匿名持有交易。目前一枚比特幣約當13塊美金，大約新台幣390元，可用於國際部落格平台Word Press，美國紐約、舊金山的部份實體商店也接受比特幣付費。基於比特幣本身的設計，比特幣的流通數量有限，市面上目前流通的比特幣約有1050萬個，預估至2014年將可全數開鑿完畢。全世界最大的比特幣交易所為東京的Mt.Gox，市占率超過80%，支援美金、英鎊、歐元、加幣、澳幣、日圓以及波蘭幣。2011年時，法國法院在Macaraja v. CIC Bank一案指出，點對點比特幣交換為支付服務，在法國應取得PSP執照。 由法國軟體公司Paymium所建置的比特幣交易平台Bitcoin-Central，於2012年12月與取得PSD支付服務提供者(Payment Service Provider，簡稱PSP)執照的法國業者Aqoba結盟，因而取得PSP資格。依照PSD附件說明，所謂的支付服務，包含存款、提款、轉帳、匯款以及第三方支付服務。透過PSP，Bitcoin-Central在歐盟法制架構下取得與Paypal相同的地位，與銀行業者的重大差別只在於Bitcoin-Central無法提供貸款服務。 Bitcoin-Central提供簡易的比特幣交易界面服務，甚至還有手機錢包(mobile wallet)，消費者只消在Bitcoin-Central註冊就可以儲值、購買、交易比特幣並將比特幣轉換為現金，也可以當成薪資帳戶直接存入薪資，未來Bitcoin-Central可發行Debit-Card提供刷卡消費的功能。目前Bitcoin-Central只支援比特幣與歐元的轉換服務，而不提供其他幣別的轉換服務。Bitcoin-Central透過PSP業者Aqoba持有服務使用人儲值之歐元款項，款項存放於法國銀行Credit Mutuel，與Paymium的自有款項切割管理。上述歐元款項受有與一般銀行存款相同的法國中央存款保險"Garantine des dépôts”保障，但是比特幣款項由於並不存放於銀行，因此並不受存款保險保障。 比特幣最常被詬病之處在於其常被用於洗錢以及毒品買賣等等犯罪活動，但是支持者指出，現金不也是有相同問題嗎? 現金的洗錢防制透過金融監理的銀行監管進行，虛擬貨幣之交易平台未來也將是法規管制重點。縱使有部分比特幣支持者反對將比特幣納入法制管理，認為比特幣應該依照其原始設計理念運行，Bitcon-Central與PSP業者Aqoba合作可視為對於ECB之正面回應，為虛擬貨幣法制管理之重要進展。 資料來源：European Central Bank, Virtual Currency Schemes, 15 (2012)
歐盟執委會提出「歐盟開放資訊戰略」為達成歐盟數位議程（Digital Agenda）中的單一數位市場（Digital Single Market）目標，歐盟執委會（EU Commission）提出了「開放資訊戰略」（Open Data Strategy for Europe）措施，預計可為歐洲地區創造出每年超過400億歐元的產值。 此方案係利用歐盟各會員國政府已蒐集的大量資訊，藉由免費或低收費的方式，提供全歐洲任意目的使用。目前英國、法國已完成相關整備，蓄勢待發 。 歐盟此目標包含三個具體措施：a.歐盟執委會將率先開始，利用新網站（data portals）免費開放資訊；b.建立全歐洲開放資訊的公平競爭環境；c.從2011至2013年投入共1億歐元，以進行資料處理研究。 此外執委會建議修正2003年公共部門資訊再利用指令（2003/98/EC），包含：a.所有公部門蒐集的資訊，在無妨礙著作權情形下，應開放予所有人任何目的使用；b.除了必要成本外，不得收取其他費用；c.任何機器均可使用，以確保資料有效重新利用；d.引入監管機制；e.擴展指令覆蓋範圍，包含博物館與圖書館等。 歐盟執委會現已著手建立新的專屬公開網站，未來該網站將可連結到歐盟各會員國公開資訊。該網站預計於2012年春季正式推出。
日本國土交通省等統整了無人飛行載具目視外飛行時的要件為了實現在2018年將無人飛行載具（drone）運用於離島或山區的貨物配送之目標，日本國土交通省及產業經濟省自2017年9月起舉行了6次「關於無人飛行載具的目視外與越過第三人上空之飛行檢討會」，並於2018年3月29日發表了其所統整出無人載具進行無輔助者目視外飛行之相關要件。 依據現行航空法第132條之2、國土交通省頒布的「無人航空機飛行手冊」第3點、以及該發表的內容所示，無人載具的目視外飛行除須就機體、操縱技術與安全對策的面向具備相關要件，尚要求在操縱者之外，應配置輔助者，在飛行時監視飛行與氣象狀況，同時管制飛行路線正下方及其周邊的第三人出入，並綜整判斷上述資訊，適時給予操縱者安全飛行所必要的建議。 基此，該發表指出，考量到以現行的技術而言，地上設備與機上裝置仍難以完全取代輔助者所扮演的角色，故就無輔助者的情形，除在現行飛行基準上，附加：1. 飛行路線須選在第三人存在可能性低、且有人機不會飛行的場所與高度；2. 機體須具備預想中用途的相當飛航實績；3. 事前履勘飛行路線與擬定意外發生時的對策等條件外，又增設新的個別要件如下： （1）就第三人的出入管理，設置能遠距離監視的攝影機，並在管制區域設置看板或海報等，以警示附近居民； （2）對機體施以增加辨識度的塗裝，裝設可供遠距離監視有無有人機接近的攝影機、或將飛行計畫事前提供給有人機營運者； （3）隨時掌握自機狀況，擬定在異常情形發生時降落的適切對策； （4）在飛行路線或機體裝設氣象計以監測氣象狀態，令其得以在判明天候狀況超出機體所能負荷限度的當下即時降落。 預期該發表內容將會成為日本「面向空中產業革命之行程表」中，關於目視外飛行審查要點修訂項目的重要參考基準。