何謂「群眾募資(crowdfunding)」?
「群眾募資(crowdfunding)」過去原泛指一切提出資金需求計畫，向社會大眾招募資金的行為；目前則指資金需求者透過群眾募資網路平台提出資金需求，由平台代為籌資後再將資金轉交與資金需求者之活動。
群眾募資可紓解創業家有創意無資金無擔保品的資金困境，因此主要運用於難以透過傳統金融管道取得資金之產業，例如文化創意產業。然而除了商品生產或短期計劃的募資，廣義的群眾募資運用尚包含永續的事業資本募集以及週轉資金募集。目前各種群眾募資模式可分為捐贈模式、股權模式及債權模式：
1、捐贈模式：群眾捐錢贊助某個特定方案，但不期待因個人的捐助而獲得任何金錢上的回報。但通常會獲得提案者承諾提供之實物或者是體驗服務作為回饋。
2、資本模式(或稱股權模式)：群眾透過網路平台將金錢投入某個專案，未來可以獲得因該專案所成立之公司的股票，或者是獲得盈餘或收益的分配。
3、債權模式：群眾透過網路平台將金錢借給某個專案或某人某公司，承諾未來會償還所借之金額及利息。
本文為「經濟部產業技術司科技專案成果」
謝孟珊
資深法律研究員 編譯整理
歐盟執委會（European Commission）於2023年6月28日提出第三版支付服務指令（Third Payment Services Directive, PSD3）草案，目前預計於2024年底前通過最終版本，並於2026年施行。 相較第二版支付服務指令（PSD2），PSD3強化歐盟電子、數位支付和金融服務規範，補強安全性（Security）、透明度（Transparency）與促進創新（Innovation），建立更適合歐盟的支付架構。其旨在保護消費者權益和個人資訊，改善支付產業競爭環境，提高消費者對資料掌控度，促進創新金融產品服務發展。 PSD3修正重點歸納如下： 一、消費者保護：強化對未經授權交易之保護，完善支付詐欺或支付錯誤之賠償方案，減少消費者潛在損失。 二、開放銀行（Open Banking）：持續推動開放銀行發展，透過加強規範第三方支付服務提供者（Third party payment provider, TPP）與提供更標準化與更安全的應用程式介面（Application Programming Interface, API），促進創新金融產業服務發展。 三、支付系統安全性：強化客戶身分認證（Strong Customer Authentication, SCA），促進支付過程的透明度與安全性。 四、因應新型詐欺：導入新規定與工具對抗日益增加的網路詐欺風險。 五、跨境支付：加強跨境支付措施與降低成本，推動歐盟市場一體化。 六、支付創新與多元化：導入區塊鏈或其他更先進的即時支付系統。 七、監管：制定更明確的法規，加強各方監管，確保市場公平與穩定。
歐盟執委會發布歐洲資料戰略歐盟執委會於今（2020）年2月19日發布「歐洲資料戰略」（A European strategy for data），宣示繼前一期「歐洲數位單一市場」戰略的基礎下，將於新一期戰略建立一個真正的歐洲資料空間及資料單一市場，以解鎖尚未被利用的個人資料及非個人資料，使資料能夠在歐盟內部、跨部門和跨領域自由流動，並使所有公部門、公民，或新創、中小、大企業都可存取資料及利用。 本戰略就此提出四大戰略行動，重點如下： 1、資料存取（Data Access）和利用的跨部門治理框架 （1）2020年第四季提出「共同歐洲資料空間」（common European data spaces）的治理立法框架：A.加強共同資料空間及其他跨公私部門資料利用方式的治理機制；B.於GDPR基礎下，基於科學研究目的利用敏感個資時，能較容易決定可以由誰如何利用哪些資料；以及使個人更容易同意其個資的公益目的利用。 （2）2021年第一季通過開放資料指令（Directive (EU) 2019/1024）的高價值資料集「施行細則/執行法」（implementing acts）。 （3）2021年提出《資料法》（Data Act）草案促進企業對政府的資料共享；以及解決現今企業間資料共享常遇到的障礙，例如多方合作建置資料時（如物聯網），釐清各方的資料使用權限及各自的法律責任。 2、推動方式：投資歐洲資料空間重大項目，以加強歐洲處理和使用資料的基礎設施及能力、加強資料互通性等。 3、加強個人資料管理：在GDPR第20條的可攜權（portability right）基礎下，於《資料法》賦權個人更能控制自己被政府及企業所掌握的個資，並使個人能自己決定由誰存取和利用。另外，將由數位歐洲計畫開發「個人資料空間」。 4、促進戰略性產業領域及公益領域的共同歐洲資料空間：歐盟執委會將協助建立包含「共同歐洲工業（製造）資料空間」（Common European industrial (manufacturing) data space）在內的9種領域共同歐洲資料空間，本戰略亦於附件介紹各領域的資料共享基礎背景。 另外，雖非戰略主軸，但文件內容及新聞稿皆提及，執委會將於2020年第四季提出《數位服務法》（Digital Services Act），為所有企業進入資料單一市場建立明確的規範、審查現有政策框架、加強線上平台的責任及保護基本權利。 總而言之，本戰略所欲推展的各項行動，將促進公民、企業組織、研究人員和公部門能更輕易的獲得和利用彼此的資料，進而確保歐盟成為資料驅動社會的模範和領導者。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
國際貨幣組織呼籲各國共同擬定監管加密貨幣之框架加密貨幣經濟襲捲全球，國際貨幣組織(IMF)總裁Christine Lagarde於官方網站發表對加密貨幣經濟可能涉及之風險及未來各界應如何共同應對之看法；認為加密貨幣有無限發展之潛力，其所應用之技術不僅提升金融產業發展，更為其他領域注入創新技術，惟發展之同時，潛在不法風險逐漸浮上檯面，加密貨幣不受中央銀行監管，並因其匿名性而容易成為洗錢、資恐的全新金融犯罪工具；另外，全球加密貨幣交易活動越發頻繁，交易價格的極端波動性，以及與傳統金融體系之間的關聯不明確，皆可能危害全球金融之穩定性。 Christine Lagarde認為加密貨幣交易之監管，與監管傳統金融所制定之政策並無二致，皆應以「確保金融穩定性和保護消費者」為首要政策，因此，提出幾個應對方向： 將加密貨幣創新技術用於監管行為技術中 (1)分散式帳本技術 (DLT) 為加快市場參與者與監管機構之間的訊息共享，確保用戶交易安全，可將此技術用來建立註冊標準，驗證客戶資訊及數位簽章；各政府機關亦可利用此技術所獲得之相關數據減少逃漏稅現象。 (2)生物辨識、人工智慧與加密技術 將生物辨識、人工智慧與加密等技術來強化數位安全，及時辨識可疑交易行為，有效抑止非法交易。 全球應共同發展出監管框架，跨國合作打擊不法 有鑑於加密貨幣的流通是全球性的，全球應共同發展出監管框架，2018年G20高峰會中加密貨幣也納入討論議題，藉由凝聚國際間共識，避免創新科技淪為犯罪工具。 面對加密貨幣價格的波動性，各界有不同解讀，有認為這只是一時狂熱所造成，終將泡沫化；亦有認為就如同物聯網發展初期革命一般，加密貨幣將破壞整個金融體系，取代現有的法定貨幣；惟Christine Lagarde表示事實應該是介於這兩個極端想法之間，各界不應片面否定加密貨幣，應採包容之看法迎接這項新科技，更應正視其潛在之危險。 國內現已有多家虛擬貨幣交易平台實際運營，為保護消費者權益，避免國內虛擬交易平台淪為洗錢、資恐行動之犯罪溫床，日前法務部已邀集金管會、內政部、央行、警政署、調查局等單位進行跨部會協商，擬於收集各界意見後，修訂相關規範，以利我國對於虛擬貨幣監管之政策方向與範圍能符合各方期待。