美國「潔淨能源製造推動方案」
美國的「潔淨能源製造推動方案」(Clean Energy Manufacturing Initiative, CEMI) 係由能源部自2014年起推動，目標是在強化美國製造業之競爭力的同時，促進經濟成長與能源目標及能源安全的達成。潔淨能源製造推動方案係以創新及排除市場障礙為核心目標，相關行動包括：(一)技術研發：能源部在推動方案下針對製造業的研發提高補助金額；(二)新型創新模式：推動方案旨在透過公私夥伴計畫與製造創新量能的提生，促進美國境內潔淨能源製造創新基礎設施之共享；(三)競爭力分析：經由競爭力分析挹注研發投資與確認對於潔淨能源製造而言至關重要之助力與阻力；(四)溝通與意見徵詢：推動方案特別強化與利害關係人間的廣泛對話，以修正其推動策略，並確認政府與民間部門能經由哪些途徑以共同合作來提升美國在潔淨能源製造上之競爭力；(五)能源生產力之技術支援：能源部向製造商進行能源生產力資源上的投資，這當中包括技術支援與市場領銜計畫。在我國之相關發展上，2015年11月26日於北京舉辦之「兩岸工業發展和合作論壇」，經濟部工業局表示，論壇聚焦於智慧製造與綠色製造，兩岸可針對工業發展過程中，例如材料、監控、生產流程等方面，整合雙方技術特點共同解決。
本文為「經濟部產業技術司科技專案成果」
本文整理美國2025上半年營業秘密管理重要實務，以協助企業強化營業秘密保護。 一、實務常見的兩種不當使用營業秘密情境 由於數位化發展與遠距工作盛行，員工可以更容易地透過隨身碟、電子信箱等方式接觸並傳輸機密（數位文件）。 提醒公司應留意兩個實務常見的不當使用營業秘密的情境： 1. 員工離職後創業或跳槽至競爭公司。 2. 在公司因收購計畫進行盡職調查時，或公司與他方存有供應商、獨立承包商等合作關係期間，公司與他方共享機密資料，接收資訊方卻於協商破局/合作結束後持續留存並不當使用機密。 二、為防患未然，建議公司應「打造營業秘密保護文化」 「打造營業秘密保護文化」的7項重點如下： 1. 識別機密 公司應識別自身所擁有的營業秘密，區分營業秘密與一般資料。如果公司不清楚自己的營業秘密範圍，也會增加員工不知道需要謹慎處理哪些資料的風險。 2. 控管機密文件的重製、流通行為 監控機密文件的列印、下載等重製行為，禁止將公司機密資料傳輸至私人信箱或私人雲端帳戶。 3. 與員工簽訂保密契約，定期提醒保密義務，並客製化員工培訓課程 公司除與員工簽訂保密契約外，當員工開始新專案、轉調部門或升遷時，職務內容的變動，也會連帶影響公司需要向員工更新其對保密義務的理解。 公司應自員工入職起，進行定期的保密培訓與宣導，並針對特定職位客製化相關具體的保密情境，讓員工能夠確實了解公司的保密政策，知道自己應採取/不應採取某些行動，以及行動背後的原因。例如：工程師須了解技術文件的保護方式；銷售團隊需要與客戶資料、定價策略相關的保密培訓課程。 4. 離職人員管理 離職面談應明確提醒員工具持續性的保密義務，且留下相關紀錄，內容應包含對員工任職期間所接觸任何營業秘密的討論資訊，並讓員工簽署書面聲明，確認自己具有保密義務。 5. 網路控管 遠距登入公司系統須透過VPN。 6. 外部活動管理 公司應留意與外部單位（潛在合作夥伴、供應商或客戶）共用敏感資料時，契約須明確約定可共用的資料範圍、可共用資料的人員以及可共用資料的情境。契約應包含保密契約、標示機密資料、返還機密的流程以及定期稽核以確保遵守保密義務。 7. 稽核與改善 定期稽核與持續改善有助於強化營業秘密保護機制，例如：法務、資訊、研發及銷售等部門跨部門協力合作，並持續培訓以打造營業秘密保護文化。 三、面臨營業秘密訴訟，行動策略為關鍵 營業秘密案件通常需要立即採取行動，以防止造成無法彌補的損害。由於在訴訟階段，法院不會僅憑「懷疑」或「模糊描述」就核發禁制令。建議公司平時應落實以下管理措施，以便能夠在發現風險行為後2~3天內，迅速蒐集相應佐證： 1. 證據保全機制應包含：妥善保存電子郵件、系統存取紀錄、裝置使用紀錄等證據。 2. 區分營業秘密的範圍。 3. 持續執行公司所設定的控管措施，如：公司保密政策；保密契約、僱傭契約等契約的保密義務；員工培訓。 4. 留存能夠佐證營業秘密的經濟價值的相關資訊，如：研發投入成本、競爭優勢等。 綜上，公司如欲減少實務上營業秘密糾紛風險，應及早確認是否落實、需要精進公司的營業秘密管理機制，建議國內公司可參考資策會科法所創意智財中心於2023年發布之「營業秘密保護管理規範」，協助公司檢視並循序調整營業秘密管理作法。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
美國衛生及公共服務部提出雲端服務適用健康保險可攜與責任法之相關指引美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。 於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。 該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。
歐盟將開放乘客於境內的飛航行動通話服務歐洲委員會在2008.4.7做出2008/295/EC決議，表示近期將開放執照，讓在泛歐盟國家飛行的航機提供行動電話撥打服務（Mobile Communication Aircraft Service, MCA Service）；一但經過測試後，一些航班與行動通訊提供者計劃於年中以後提供相關服務。 目前歐洲委員會在2008.4.10做出2008/294/EC決議，決議內容主要為協調各系統間的支援設備相容性，以讓在飛機上撥打行動電話的政策能夠順利推行。除此之外，泛歐盟國家所自行制定的行動通訊規定，必須與該委員會的決議相符，以減低技術問題，讓乘客在飛機上可以使用自己的行動電話撥打電話、傳送文字訊息與收發e-mail。 依據歐盟委員會所制定的2008/295/EC決議，當飛機旅客使用航機行動通訊時，其所持有的行動電話設備，將先連接到所搭飛機上裝載的蜂巢網路，進而連結到衛星，再將訊號傳送到地面網路。這樣的傳輸方式將可減少飛航安全疑慮，同時能降低對地面通訊網路使用的干擾。 另外，歐盟資訊社會與媒體的委員Viviane Reding指出，此項新開放的業務雖然沒有就價格上限進行規定，但是主管機關會密切觀察市場運作的結果，並且要求收費透明公開化。
G7發布金融機關因應勒索軟體危脅之基礎要點由於近年來勒索軟體對國際金融帶來重大影響，七大工業國組織G7成立網路專家小組CEG（Cyber Expert Group），並於2022年10月13日訂定了「金融機關因應勒索軟體危脅之基礎要點」（Fundamental Elements of Ransomware Resilience for the Financial Sector），本份要點是為因應勒索軟體所帶來之危脅，提供金融機關高標準之因應對策，並期望結合G7全體成員國已施行之政策辦法、業界指南以及最佳之實踐成果，建立處置應變之基礎，加強國際金融的韌性。該份要點內容著重於民營之金融機關（private sector financial entities），或關鍵之第三方提供商（critical third party providers），因其本身有遵守反洗錢和反恐怖主義之融資義務，但也可依要點訂定之原意，在減少自身受到勒索軟體之損害上，或在處置與應變上有更多的彈性。而日本金融廳於2022年10月21日公布該份要點之官方翻譯版本，要點所提列之重點如下： 1.網路安全策略與框架（Cybersecurity Strategy and Framework）： 將因應勒索軟體威脅之措施，列入金融機關整體的網路安全策略與框架之中。 2.治理（Governance）： 支付贖金本身可能於法不容許，也可能違背國家政策或業界基準，金融機關須在事件發生前，檢視相關法規，並針對潛在的被制裁風險進行評估。 3.風險及控制評估（Risk and Control Assessment）： 針對勒索軟體之風險，應建立控制評估機制並實踐之。因此可要求金融機關簽訂保險契約，填補勒索軟體造成的損害。 4.監控（Monitoring）： 針對潛在的勒索軟體，金融機關有監控其活動進而發現隱藏風險之義務，並向執法與資通安全機關提供該惡意行為之相關資訊。 5.因應處置、回覆（Response）： 遭遇勒索軟體攻擊之事件，就其處置措施，須依原訂定之計劃落實。 6.復原（Recovery）： 遭遇勒索軟體攻擊之事件，將受損之機能復原，須有明確的程序並加以落實。 7.資訊共享（Information Sharing）： 須與組織內外之利害關係人共享勒索軟體之事件內容、資訊以及知識。 8.持續精進（Continuous Learning）： 藉由過往之攻擊事件獲取知識，以提高應變勒索軟體之能力，建立完善的交易環境。 此要點並非強制規範，因此不具拘束力，且整合了2016年G7所公布的「G7網路安全文件之要素」（G7 Fundamental Elements of Cybersecurity document）之內容。綜上述CEG所提列重點，針對我國金融機關在抵禦網路攻擊之議題上，應如何完善資安體制，與日本後續因應勒索軟體之政策，皆值得作為借鏡與觀察。