電信產業號碼資料庫之應用與法制議題－以個人隱私保護為中心
日本總務省未來網路基礎設施研究會（将来のネットワークインフラに関する研究会）4月份針對日本人工智慧（Artificial Intelligence 簡稱AI）、物聯網（Internet of Things 簡稱IoT）、資訊及通訊技術（Information and Communication Technologies 簡稱ICT）等技術相對應之網路基礎設施做作出預測。 在2020年以後第五代通信技術（5G）、物聯網系統、高畫質通訊等技術相繼成熟及普及化，相關業者勢必發展出多樣化、高度專業化使用者需求之網路結構，而手機聯網系統從單純的資訊傳遞網路，逐漸變成社會系統之神經網絡（社会システムの神経網）。 物聯網服務目前係由專用終端設備，並根據特定的應用目的建構，但在未來的網絡基礎設施，可能出現如橫向合作應用的通用平台，到2030年左右物聯網服務中M2M（Machine to Machine，機器和機器之間的通訊）的佔有率估計將達到10％。 人工智慧網路技術不僅僅是虛擬化層網路（仮想化レイヤのネットワーク）之維護和操作，更是物理層面的網路（物理レイヤのネットワーク）資源的管理，AI仍然只擔任協助之工具。其中，物理網絡（物理ネットワーク）和邏輯網絡（論理ネットワーク）應分別處理，邏輯網絡將型成多層次化，將變得難以檢測故障和調查原因，但在安全和可靠的網絡基礎設施下，經營者使用AI技術仍然是沒有問題的。 由於雲端技術、通訊技術之提昇，非電信營運者進入網路經營之商業型態逐漸產生，型成網路使用者、資料提供者之多樣性及複雜性。網路流量方面，在2030年左右將超出100Tbps核心網絡所需的傳輸容量，達到以往的光纖的容量限制，將透過無線電接入技術進一步發展，補足不足的光學寬頻。然而，人們對於網路更快的通信速度、安全性及可靠性的功能需求是沒有改變的。
芬蘭Skene計畫聚焦電玩遊戲產業依據統計，2011年全球電玩遊戲產值約516億歐元，是娛樂產業中成長最快速的領域，行動遊戲（mobile gaming）也因智慧型手機普及率之提升，在其中扮演舉足輕重的角色。有鑒於此，芬蘭政府於今（2012）年啟動Skene－遊戲補給計畫（Skene－Game Refueled，以下簡稱Skene計畫）促進其遊戲產業的研發創新。 Skene計畫預計從今（2012）年起實施至2015年，將投入7000萬歐元資金補助，其中3000萬歐元由芬蘭的創新補助機關－國家技術創新局（teknologian ja innovaatioiden kehittämiskeskus，Tekes）提供。該計畫致力於創造國際級遊戲及娛樂聚落的形成，期能使芬蘭企業成為國際遊戲產業生態中的重要成員。芬蘭政府欲藉由此一計畫，突破芬蘭Rovio公司過往開發「憤怒鳥」（angry bird）遊戲之偶發性的成功模式，讓芬蘭遊戲產業獲得長期永續的商業效益。Tekes於本計畫中特別強調知識分享的重要，認為此計畫的核心目的在於促進相關知識或經驗，得以在研究機構的專家、遊戲公司乃至其他產業間有系統的傳遞。 事實上芬蘭推動Skene計畫之動機，除了著眼於遊戲產業本身所帶來的龐大商業效益外，也看到遊戲開發過程中產出工具在其他產業之模型、模擬實驗、使用者介面設計及傳統軟體開發方面之助益（例如在醫療照護產業、運算服務之運用或協助教育環境建構或運動訓練等）。由此觀之，芬蘭政府透過Skene計畫推動遊戲產業研發創新之考量，尚包括帶動其他產業之提升的深遠思考。 近年來我國遊戲產業在商業上的表現逐漸受到各界重視，在此背景下，芬蘭Skene計畫無論在具體作為及其背後的思維模式上，皆有我國可以參考借鏡之處。
Thomson Reuters v. ROSS案──美國聯邦第三巡迴上訴法院認定以商業替代目的訓練非生成式AI不構成合理使用Thomson Reuters v. ROSS案──美國聯邦第三巡迴上訴法院認定以商業替代目的訓練非生成式AI不構成合理使用 資訊工業策進會科技法律研究所 2026年10月16日 人工智慧(AI)訓練利用他人著作是否、如何構成合理使用，是各國著作權法持續討論中的爭議。美國聯邦第三巡迴上訴法院(United States Court of Appeals for the Third Circuit，下稱第三巡迴法院)於今(2026)年9月就Thomson Reuters v. ROSS案作成判決，認定以商業替代目的訓練非生成式AI，不構成合理使用[1]。 壹、事件摘要 美國聯邦第三巡迴法院就Thomson Reuters Enterprise Centre GmbH (下稱Thomson Reuters)及West Publishing Corp. (下稱West)控告ROSS Intelligence Inc. (下稱 ROSS)案(案號 No. 25-2153)作成判決，認定Thomson Reuters之法律裁判要點(headnote)具原創性而受著作權保護，且 ROSS為訓練AI而使用該等裁判要點，不構成合理使用(fair use)[2]。判決指出Thomson Reuters的素材具有「創作火花」(creative spark)，受著作權保護，且ROSS意圖以高度相似的目的使用這些素材，成為直接競爭者，認定不構成合理使用[3]。 Thomson Reuters為蒐集、整理、註解並出版司法判決等法律內容之公司，並推出線上法律研究平台Westlaw。Westlaw以主題與關鍵編號系統整理司法判決，撰擬提供裁判要點，清楚簡明的呈現判決所表明之關鍵法律論點，並讓使用者點選即可前往該要點所依據之判決段落[4]。ROSS係AI法律搜尋引擎開發者，其以數千則 Westlaw裁判要點作為訓練AI的素材，使其能辨識哪些判決段落足以妥適回應法律問題[5]。Thomson Reuters得知後對ROSS提起訴訟，主張著作權侵害。 貳、重點說明 判決指出Thomson Reuters之裁判要點編輯，須決定哪些法律論點重要到足以納入裁判要點，以及如何依Westlaw之撰寫準則表達這些論點，內容必須納入足夠之事實背景與理由，且無須參照判決或任何其他裁判要點即可被理解，首先肯定裁判要點具有原創性[6]。反駁ROSS主張，法院認為裁判要點內容並未等同判決內容，著作權主張並不會實際上壟斷司法判決[7]，而且「表達司法判決中的法律論點有許多方式」，並不適用概念與表達合一原則(merger doctrine)[8]。同時，逐項衡量美國著作權法四項合理使用因素，提出如下看法： 一、使用之目的與性質不利於合理使用 法院首先考量使用屬商業性或非營利性，因為商業性使用不利於認定合理使用；其次考量複製者之使用有多大之轉化性(transformative)，亦即新著作是否僅取代原創作之標的，抑或增添新內容、具有進一步之目的或不同之性質，其指標在於複製者之使用是否維持「獨特的目的」[9]。法院認為ROSS 意在建立一個收費與 Westlaw 相當之法律研究平台，與 Westlaw 爭取客戶，因此 ROSS 之使用具商業性[10]。而且，就轉化性而言，Thomson Reuters使用其裁判要點，協助法律研究者尋找並理解載有與其搜尋相關法律論點之司法判決；ROSS使用Thomson Reuters之裁判要點，建立一個法律研究平台，協助使用者找出回應其搜尋之判決段落。雙方方法雖略有差異，但都是使用裁判要點來建立並改進一個協助使用者尋找相關法律資料之法律研究平台，終極目的相同[11]。法院認定ROSS使用具高度商業性且僅具輕微轉化性，第一項因素不利於合理使用[12]。 判決指出，本案不同於Authors Guild v. Google案，該案Google 掃描整本書籍，供使用者搜尋並閱讀與其搜尋詞相符之書籍小段摘錄；原書之目的是供人閱讀，而搜尋功能之目的，是使使用者得以找到含有搜尋者所感興趣詞語之書籍[13]。但本案不存在這種轉化性目的，相反的，ROSS之平台使用Thomson Reuters之裁判要點，是協助使用者找到與其法律研究詢問相關之司法判決，而這正是Thomson Reuters已經以其裁判要點在做的事。而且Google之搜尋功能可能將使用者導向其後會向原作者購買之書籍，但本案ROSS不會把使用者導向Westlaw，相反地正如 ROSS 所承認，其目的是取代 Westlaw[14]。法院亦未支持ROSS的「中間複製」(intermediate copying)[15]主張，判決指出ROSS無須複製Thomson Reuters之裁判要點，即可取得原始的司法判決，並可自由複製這些判決，ROSS 選擇不這麼做，不是因為複製裁判要點是提供製作訓練備忘錄的「必要」方式，而是因為它是較「簡便」的方式[16]。 二、著作性質雖略為有利於合理使用但影響輕微 著作在被使用時是已發行或未發行，以及該著作雖具足以受著作權保護之創意，是否同時含有事實性或功能性要素；越具創意、越少事實性之著作，越「接近著作權保護的核心」，即越不利於合理使用。法院認為Thomson Reuters在 ROSS 使用前已發行這些裁判要點，且裁判要點較偏事實性而非虛構性，因其必須準確傳達法律，並描述不受著作權保護之司法判決，因此此項因素有利於合理使用[17]。惟法院亦指出，著作性質因素在合理使用判斷中鮮少扮演重要角色[18]。 三、所使用部分之量與重要性不利於合理使用 就量與重要性而言，法院認為ROSS 將 25,000 則 Westlaw 撰寫之裁判要點(本案經認定侵權而受審查者為其中2,243則)[19]全文複製到其備忘錄中，並以之訓練其 AI 程式，且意在利用 Westlaw 之成果，製作 Westlaw 之商業替代品，因此 ROSS 欠缺足以使大量複製成為合理之轉化性目的與性質[20]。雖然ROSS 主張其所取用的僅是Thomson Reuters 2,800 萬則裁判要點之0.08%[21]，但法院認為關鍵在於達成複製者之目的[22]「所取用者是否未超出必要程度」，在ROSS缺乏足以正當化之轉化性目的的情況下，其複製取用這些裁判要點即屬超出必要程度；而且每則被取用之裁判要點，ROSS所複製的都是全部，如此廣泛之複製因缺乏足夠之轉化性目的支持而不合理，故第三項因素不利於合理使用[23]。 四、利用結果產生價值影響與市場取代的效果 第四項因素關乎該使用對受著作權保護著作之潛在市場或價值所生之影響；「潛在市場」包括原著作之市場，以及原著作衍生使用之任何市場[24]。ROSS 主張相關原市場是裁判要點作為獨立產品之市場，Thomson Reuters則主張法律研究平台市場才是相關原市場。 法院認為ROSS 複製裁判要點，是為了在與 Westlaw 相同之競爭性法律研究平台市場中競爭，損害 Westlaw 在該原市場中之地位[25]。而且，縱採 ROSS 所稱的裁判要點市場，ROSS論點仍忽略其使用對Thomson Reuters裁判要點價值之影響。法院援引Video Pipeline案[26]駁斥ROSS類似論點，指出合理使用法規係指示法院考量使用對受著作權保護著作「價值」之影響，而不僅是對「市場」的影響。ROSS 複製裁判要點並以之建立自己之競爭性法律研究平台，挪用裁判要點在尋找與分析司法判決上之價值，並減損其作為吸引使用者前往Thomson Reuters法律研究平台之誘因的功能[27]。 此外，針對潛在衍生市場影響，Thomson Reuters則主張，ROSS 損害其將裁判要點授權作為 AI 訓練資料之潛在衍生市場，ROSS則主張裁判要點之衍生市場並不存在。法院認為將裁判要點作為文本授權用於訓練 AI 之市場正快速發展[28]，Thomson Reuters提出證據顯示，其正將裁判要點用作自身 AI 搜尋產品之訓練資料，而且Thomson Reuters未將其裁判要點授權予他人，並不能證明不存在可供授權之市場。ROSS 未經授權即複製裁判要點作為訓練資料，剝奪Thomson Reuters進入該衍生市場並為此目的授權其裁判要點之機會[29]。 最後，法院針對ROSS 主張其複製將因增加法律之可近性而有益於公眾、AI 對國家安全之主張，表示司法判決本可自由取得，且 ROSS 提供服務之價格與 Westlaw 相當，無法認定 ROSS 之複製能大幅增加公眾對法律之可近性[30]；雖然某些 AI 技術可能涉及國家安全疑慮，但這並不使 ROSS 僅因其納入了 AI，就可毫無顧忌地違反著作權法，不予採納。綜合上述理由，法院認定 ROSS 對這些裁判要點之使用並非合理使用，法院維持原裁定[31]。 參、事件評析 第三巡迴法院認為，本案與Bartz案及In re: OpenAI案之 AI 模型不同，ROSS 之 AI 平台無法產生原創表達，且本案證據支持欠缺轉化性之結論；ROSS 訓練其 AI，目的是創造 Westlaw 之商業替代品。本判決之意義，不在提供一個論述AI 訓練能否主張合理使用之依據，而在於哪些事實使本案走向利/不利於合理使用之結論。 一、著作性質偏事實性，但此因素法院認為權重較低：本案系爭的裁判要點偏事實性，與Bartz案、Kadrey案以創意程度較高之書籍為對象不同。判決雖因其須準確傳達法律、描述不受著作權保護之判決，認定略有利於合理使用，但仍指出該因素在合理使用判斷中鮮少扮演重要角色。 二、AI使用終極目的與原使用等同即欠缺轉化性：本案與Authors Guild 案之搜尋功能導向原書，及Bartz案、Kadrey案之模型生成新文字不同，ROSS雖非為產出相同裁判要點而訓練AI，但其自承產品與 Westlaw 直接競爭，並以取代 Westlaw 為目的；法院雖承認訓練為中間步驟，但仍以該步驟所服務之法律研究平台與 Westlaw 之使用具相同目的，作出輕微轉化之判斷。 三、利用須在達成轉化利用目的所必要的限度內：法院認為關鍵在於達成複製者之目的「所取用者是否未超出必要程度」，本案非如同其他案件，複製係為達成其他目的而必須採取的必要動作，ROSS 原即可自由取得原始司法判決，卻選擇複製裁判要點以求簡便。 四、將 AI 訓練授權機會納入衍生的潛在市場評價：只要能舉證即可納入認定市場影響，Thomson Reuters 提出其已將裁判要點用於訓練自身 AI 搜尋產品，以及 AI 訓練授權市場正在發展之證據，獲得法院支持。法院在有證據之前提下，認定 ROSS 篡奪Thomson Reuters進入並授權該潛在市場之機會。 由上述說明可知，第三巡迴法院與其他法院在判斷架構上並無歧異，不同點在於非生成式訓練、與原著作處於同一市場、且底層資料可自由取得之情況，如何認定使用目的與市場損害。本文認為ROSS使用目的的取代意圖過於明確，實質影響第三巡迴法院對第一、第三及第四項合理使用因素的判斷。特別是在市場影響的認定上，除原著作之市場外，法院明示其亦考量使用對著作價值之影響，即使不存在裁判要點之獨立市場，仍可認定價值受損；而且潛在衍生市場不以著作權人已實際授權為限，只要有證據顯示授權市場正在發展。在AI訓練結果具轉化性與對既有市場影響這兩個要素，可預見將來會有更多不同的判決，因應事實情況的差異，而發展出更細部的判斷因素。AI訓練授權市場之提出，後續如何牽動合理使用邊界值得持續觀察。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Thomson Reuters Enterprise Centre GmbH v. ROSS Intelligence Inc., No. 25-2153, slip op. (3d Cir. Sept. 29, 2026), https://www2.ca3.uscourts.gov/opinarch/252153p.pdf（最後瀏覽日：2026/10/07）（下稱 ROSS slip op.）。 [2] ROSS slip op., 前揭註 1, p. 2：“We therefore hold that Thomson Reuters’s materials are copyrightable and that ROSS’s use was not fair.” [3] ROSS slip op., 前揭註 1, p. 2。 [4] ROSS slip op., 前揭註 1, p. 3。 [5] ROSS slip op., 前揭註 1, pp. 5–6。 [6] ROSS slip op., 前揭註 1, pp. 10–11。 [7] ROSS slip op., 前揭註 1, p. 11。 [8] ROSS slip op., 前揭註 1, p. 12。 [9] ROSS slip op., 前揭註 1, pp. 14–15。 [10] ROSS slip op., 前揭註 1, p. 16。 [11] ROSS slip op., 前揭註 1, pp. 16–17。 [12] ROSS slip op., 前揭註 1, pp. 17–18。 [13] ROSS slip op., 前揭註 1, pp. 18–19，引述 Authors Guild v. Google, Inc., 804 F.3d 202, 216 (2d Cir. 2015)。 [14] ROSS slip op., 前揭註 1, p. 19。 [15] 即美國聯邦第九巡迴上訴法院之 Sega Enterprises Ltd. v. Accolade, Inc. 案與 Sony Computer Entertainment, Inc. v. Connectix Corp. 案中提及的，複製電腦程式碼之目的，是使使用者得讓其軟體與既有電腦系統相容運作，其使用具有轉化性，因為複製均為接觸電腦程式碼不受保護之功能性面向所必要。ROSS slip op., 前揭註 1, pp. 19–20，引述 Sega Enters. Ltd. v. Accolade, Inc., 977 F.2d 1510, 1514 (9th Cir. 1992)；Sony Comput. Ent., Inc. v. Connectix Corp., 203 F.3d 596, 599, 606–08 (9th Cir. 2000)；Google LLC v. Oracle Am., Inc., 593 U.S. 1, 6–7, 30–31 (2021)。 [16] ROSS slip op., 前揭註 1, pp. 20–21。 [17] ROSS slip op., 前揭註 1, pp. 21–22，引述 Campbell v. Acuff-Rose Music, Inc., 510 U.S. 569, 586 (1994)；Oracle, 593 U.S. at 20, 28–29。 [18] ROSS slip op., 前揭註 1, p. 22，引述 Authors Guild, 804 F.3d at 220。 [19] ROSS slip op., 前揭註 1, p. 7 & n.3；p. 28。 [20] ROSS slip op., 前揭註 1, pp. 22–23。 [21] ROSS slip op., 前揭註 1, p. 23。 [22] ROSS slip op., 前揭註 1, p. 23：“The crux of the inquiry is whether ‘no more was taken than necessary’” to achieve the copier’s purpose. 引述 Authors Guild, Inc. v. HathiTrust, 755 F.3d 87, 98 (2d Cir. 2014)。 [23] ROSS slip op., 前揭註 1, p. 23 & n.10：“So, ROSS took more than necessary when it copied these headnotes without a justifying transformative purpose. Thus, the third factor weighs against fair use.”。 [24] ROSS slip op., 前揭註 1, p. 24。 [25] ROSS slip op., 前揭註 1, p. 25。 [26] 該案認為即使不存在預告片之獨立市場，被告Video Pipeline 發布的預告片，損害預告片吸引使用者前往迪士尼網站購買產品之價值。ROSS slip op., 前揭註 1, pp. 24–25，引述 Video Pipeline, Inc. v. Buena Vista Home Entm’t, Inc., 342 F.3d 191, 202 (3d Cir. 2003)。 [27] ROSS slip op., 前揭註 1, p. 25。 [28] ROSS slip op., 前揭註 1, p. 26。 [29] ROSS slip op., 前揭註 1, p. 26。 [30] ROSS slip op., 前揭註 1, p. 27。 [31] ROSS slip op., 前揭註 1, pp. 27–28。
美國網路安全相關法規與立法政策走向之概覽美國網路安全相關法規與立法政策走向之概覽 科技法律研究所 法律研究員 沈怡伶 104年08月11日 網路安全（cyber security）是近年來相當夯的流行語，而在這個萬物聯網時代，往後數十年對於網路安全的關注勢必不會減退熱度。在美國，因層出不窮的網路攻擊和資料外洩事件讓政府機關不勝其擾，也讓許多企業產生實質上經濟損失和商譽受損，隨之而來的是聯邦和州政府主管機關的關切目光，除了透過政策和行政規管之外，國會也開始制訂新法或對現行法規進行修法，補入對於網路安全維護之要求，以下本文將簡介美國現行法規範之要點及目前最新法案。 壹、美國聯邦政府相關網路安全規範、標準及措施 一、金融業相關管制規範 對金融機構的管制依據為「金融服務業現代化法/格雷姆-里奇-比利雷法（Gramm-Leach Bliley Act, GLBA ）」，該法要求金融機構必須建置適當的程序保護客戶的個人財務資訊，維護客戶個人資料的機密性、完整性和安全性，避免遭受任何可遇見的威脅或騷擾，以及避免任何未經授權的近用行為導致損害或對客戶造成不便利[1]。 另外美國證券交易委員會（Security and Exchange Commission, SEC）下設法令遵循檢查與調查室（SEC Office of Compliance Inspections and Examinations, OCIE），在2014年發布全國檢查風險警示（National Exam Program Risk Alert），命名為「OCIE 網路安全芻議（OCIE Cybersecurity Initiative）」，用來評估證券交易商和投資顧問對網路安全維護的準備以及曾遭遇過的資安威脅種類和經驗；而金融監管局（Financial Industry Regulatory Authority ,FINRA）也在2014年實施「掃蕩計畫（sweep program）」，金融監管局就其主管的特定企業會寄發的檢查通知書，要求回答有關於企業網路安全的相應準備措施[2]。 二、支付卡產業資料安全標準（Payment Card Industry Data Security Standard, PCI DSS） 該標準是由支付卡產業標準協會由五家國際信用卡組織聯合訂定的安全認證標準，雖不具法律位階，但因其公信力，美國企業都會自律遵循的規範，保護支付卡的資料安全。該標準關注於組織應該要開發和維護資訊系統和應用程式，並追蹤和監督網路資源和持卡者的個人資料，並發展出一個強健的支付卡數據安全流程，包括預防、偵測及適當回應資安事故的方式[3]。 三、醫療健康資訊相關管制規範 「健康保險可攜式及責任法（Health Insurance Portability and Accountability Act of 1996, HIPPA）」是最先開始要求所有電子化的受保護醫療照護資料在創建、接收、維護和傳輸時，需受有基本的保護措施和機密性之法規[4]；爾後，「經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act, HITECH)」則將HIPPA適用主體擴及所有處理受保護醫療照護資訊的個人和機構，並強化資訊傳輸時的安全性和效率性規定[5]。 貳、立法焦點新況：網路安全及網路威脅資訊共享 美國政府對網路安全非常看重，因其對國家經濟和國家安全都有巨大的影響力，不過美國總統歐巴馬曾明白表示美國對於資訊及通信基礎建設的防護措施尚未到位，也尚未建立數位關鍵基礎建設的全方位發展策略；透過盤點與檢視，美國政府的網路空間政策（Cyberspace Policy）方向之一，是建立網路安全合作夥伴關係，包括各級政府間的水平合作及公、私部門間的上下合作網絡，共同研發尖端技術因應數位式帶的網路安全威脅[6]。 針對網路威脅資訊分享方式，美國國會一直持續的研擬相關法案，希望能在妥適保護公民隱私和公民自由的前提下，建立資訊分享管道，2015年3月美國參議院提出754號法案「網路安全資訊分享法2015（Cybersecurity Information Sharing Act of 2015, CISA）」[7]，試圖將CISA作為國防授權法（National Defense Authorization Act，NDAA）修正案之一部，但卻未獲得足夠通過票數[8]。CISA係由美國情報局（Director of National Intelligence）、國土安全部(Department of Homeland Security)、國防部（Department of Defense）和司法部（Department of Justice）共同定之，計十條，目的之一是希望透過法律授權讓聯邦政府機關能即時的將機密性或非機密性網路威脅指標分享與私人實體（個人或企業）[9]、非聯邦政府機關單位、州政府、原住民政府和當地政府，以阻止或減輕網路攻擊帶來的負面衝擊；其二，允許私人實體得為網路安全之目的，在一定要件下監控自己或他人的資訊系統，以運作相關的網路安全防御措施，並分享資訊給聯邦各級政府。CISA亦設計了監督機制，和隱私及公民自由保護條款，避免變相創造一個撒網過廣的監控計畫[10]。CISA法案雖未通過，但參議院並未放棄，欲以該法案的基礎框架進行修正，修正重點為訂定資料外洩事件通報標準並擴大隱私權之保護，預計於同年8月底國會休會期前再次提出修正版本進行表決[11]。 現行法案重點在資訊共享並授權私人實體監控自己或他人之資訊系統，而主要分享標的為「網路威脅指標（cyber threat indicator）[12]及「防禦措施（defensive measure）」[13]。網路威脅指標係指有必要描述或鑒別之： 一、惡意偵察，包括為蒐集與網路安全威脅[14]或安全漏洞之技術資訊，而利用異常態樣的通信模式。 二、能破解安全控制或利用安全漏洞的方法。 三、安全漏洞。包括能指出安全漏洞存在的異常活動。 四、使用戶合法使用資訊系統或儲存、處理、傳輸資訊時，不知情地使安全控制失效或利用安全漏洞的方法。 五、惡意網路命令和控制。 六、引發實際或潛在的危險，包括因特定網路安全威脅使資訊外洩。 七、其他任何具網路安全威脅性質者，且揭露並不違法其他法律者。 八、任何結合上開措施之行動。 防禦措施（Defensive measure）則指一個行動、裝置、程序、簽名、技術或其他方式應用於資訊系統或透過該資訊系統進行儲存、處理或傳輸之資訊，能防禦、阻止或減緩已知或懷疑的網路安全威脅或安全漏洞。但不包括私人實體自行/經聯邦機關或其他實體授權同意，破壞、使其無法使用或實質傷害資訊系統或資訊系統內之資訊的相關措施。 就資訊共享部分，法案第3條及第5條分別明定聯邦機關分享機密性網路威脅指標給私人實體、以及私人實體分享網路威脅指標和防禦措施給聯邦政府機關之管道。前者指定司法部應會同國土安全部、國家情報委員會及國防部訂定相關辦法，；後者相關辦法由司法部訂定，讓聯邦機關依法接收來自私人實體的指標和防禦措施，不論是電子郵件、電子媒體、內部網路格式、或資訊系統間的即時性和自動化程序等各種形式之資訊，且需定期檢視對隱私與公民自由的保護狀況，限制接受、保留、使用、傳播個人或可識別化個人之資訊。 美國各級政府機關得經私人實體同意後，得利用所接收的網路威脅指標，用以預防、調查或起訴下列違法行為：即將發生而可能造成死亡、重大人身傷害、重大經濟危害的威脅，威脅包括恐怖攻擊、大規模殺傷性武器；涉及嚴重暴力犯罪、詐欺、身份竊盜、間諜活動、通敵罪及竊取商業機密罪。另針對監控資訊系統部分，法案第4條授權私人實體得為網路安全目的監控自己或他人所有之資訊系統及資訊系統中儲存、處理或傳輸之資訊，並應用相關防禦措施來保護權利及資產，若屬其他私人實體或聯邦機關之資訊系統，需取得其他私人實體或聯邦機關之授權及代表人之書面同意。 參、小結 網路威脅的態樣隨著經濟活動發展和科技技術不斷變化和演進，故在擬訂應對措施時，須納入「適應性（adaptation）」概念，適應性指需要具體討論如何分配實質上的物質資源和經濟上資源，來保護組織內最有價值的智慧財產權和客戶資訊；提供成員和利害關係人相關資訊，讓他們關注網路威脅並能實踐可行的安全措施[15]。 就美國在訂定網路安全相關政策及規範之走向來看，充分及即時的資訊互享流通方能產出完善且強健的安全防護政策，惟其中牽涉到國家機密資訊、私部門智慧財產權和商業機密以及個人隱私和自由權利之保護議題。是以，從眾議院到參議院陸續所提出各版本的網路威脅資訊共享草案，均受有恐將產生大規模監控美國公民計畫之爭議，故至今尚未成功通過任一法案。惟資訊共享所帶來之正面效益和影響並未被否定，而究竟如何建構健全且可靠之機制，尚待各方團體與立法機關進行充分的溝同及討論，協同打造能安心活動之網路虛擬空間。 [1] Gramm Leach Bliley Act, https://www.ftc.gov/tips-advice/business-center/privacy-and-security/gramm-leach-bliley-act (last visited Aug.11, 2015). [2]Paul Ferrillo, Weil, Gotshal & Manges LLP, Cyber Security and Cyber Governance :Federal Regulation and Oversight, http://corpgov.law.harvard.edu/2014/09/10/cyber-security-and-cyber-governance-federal-regulation-and-oversight-today-and-tomorrow/ (last visited Aug.11, 2015). [3] PCI DSS, PCI Security Standard Council, https://www.pcisecuritystandards.org/security_standards/documents.php?document=pci_dss_v2-0#pci_dss_v2-0 (last visited Aug.11, 2015). [4] Health Information Privacy, HHS.gov, http://www.hhs.gov/ocr/privacy/ (last visited Aug.11, 2015). [5] Health IT Legislation, Health IT.gov, http://healthit.gov/policy-researchers-implementers/health-it-legislation (last visited Aug.11, 2015). [6] Cybersecurity Laws& Regulations, Homeland Security, https://www.whitehouse.gov/sites/default/files/cybersecurity.pdf (last visited Aug.11, 2015). [7] https://www.congress.gov/bill/114th-congress/senate-bill/754 [8] Text:754-114th Congress, Congress. Gov, http://www.natlawreview.com/article/senate-fails-to-include-cybersecurity-legislation-part-national-defense-authorizatio (last visited Aug.11, 2015). [9] Sec.2(15). [10] S.754- Cybersecurity Information Sharing Act of 2015 Summary, Congress. Gov, https://www.congress.gov/bill/114th-congress/senate-bill/754 (last visited Aug.11, 2015). [11] Amy Davenport, Senate is likely to consider cybersecurity legislation before August recess, Capita; Thinking Blog, July.27, 2015, http://www.capitalthinkingblog.com/2015/07/senate-is-likely-to-consider-cybersecurity-legislation-before-august-recess/ (last visited Aug.11, 2015). [12] Sec.2(6). [13] Sec.2(7). [14] 網路安全威脅（cybersecurity threat）指「不受憲法修正案第一條保護之行為、未經授權而利用資訊系統造成資訊系統或使資訊系統中儲存、處理或傳輸之資訊的安全性、可用性、機敏性或完整性之不利影響，但不包括任何僅違犯消費者條款或服務/消費者許可協議之行為」，參Sec.2(5)。 [15]Paul et al., supra note 2, at 2.