從RFID的應用談科技變遷下的人權議題
美國聯邦交易委員會主席 Deborah Platt Majoras 於日前一場會議中表示， FTC 將成立網路接取工作小組 (Internet Access Task Force) ，負責檢視因科技發展所引發的議題以及法規的發展方向。除此之外，此一工作小組亦將針對近期來爭議不斷的網路中立性 (Net Neutrality) 進行檢視。 Majoras 表示對於是否立法規範網路，宜謹慎加以考量之，因為法規的影響深遠且長久。在缺乏明顯的證據證明市場失靈或消費者有受到損害的情況下，主管機關不宜採取任何法制措施規範市場參與者的行為。對於任何網路中立性或相類似的立法，宜考量其對於現有寬頻平台及市場環境的影響，以及此等立法對於產業未來創新與投資的影響。而關於網路中立性 (Net Neutrality) 之立法需求及細節，將由網路接取工作小組負責檢視之，其後續發展有待未來更進一步的觀察。
技術移民範圍放寬未來我國的技術移民政策，將放寬不再侷限於以往所重視的「高科技人才」者。內政部戶政司表示，該政策目的之改變，乃是參照了美國 、加拿大、澳洲及紐西蘭等國為促進該國經濟發展，創造就業機會，分別訂有投資移民的相關規定，供有意移民該國之外籍人士申請。 修正條文第25條第3項：外國人有下列情形之一者，亦得以向入出國及移民署申請永久居留：一 、對我國有特殊貢獻；二、為我國所需之高級專業人才。第4項：外國人得向入出國及移民署申請在我國投資移民，經審核許可且實行投資者，同意其永久居留。 因此，為了趨近國際化的趨勢，在本次的「入出國及移民法修正草案」中，將過去偏重於「高科技人才」的引入，擴大為「高級專業人才」；並且新增「投資移民」之外國人得以直接申請永久居留，以滿足多元化的經濟與社會需要。至於「大陸技術人才」亦視為外籍技術人士看待。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
日本發布策略性資料使用之資料管理指南，旨在協助企業將資料視為資產與產品，以策略性的運用資料日本獨立行政法人情報處理推進機構於2025年6月11日發布《日本發布策略性資料使用之資料管理指南（下稱《指南》）》，旨在協助企業將資料視為資產與產品，以策略性的運用資料。 《指南》指出，資料管理是指企業針對其所擁有的所有資料，進行有效率的收集、整理、保存、共享、分析與運用的一套系統化流程，其目的是為了透過確保資料品質及正確性，協助業務決策，並確保企業的競爭優勢。 在現代企業經營中，資料具有雙重屬性，亦即資料除了是企業重要的經營資產，同時也是企業的產品之一。作為資產的資料如同設備等一般資產，是可供銷售或提供服務的資產，故為最大化其價值並促進成長，需要進行適當管理與投資。此外，由於資料具有可複製性，因此一經外洩，將會造成廣泛且持續性的影響，因此需進行資料管理以確保資料安全性；作為產品的資料則需要有效的整備及管理，以確保維持其正確性所需的品質。 根據《指南》，資料管理的核心在於其需要貫穿資料生命週期，且隨著數位化的進展，對於資料管理亦產生新的需求，例如針對資料多元運用需求之應對、資料須具備可追溯性、針對機密資料之管理方式、確保資料安全性及資料品質等。 為因應新興資料管理需求，《指南》建議可透過評估自身定位、規劃必要體制、思考資料策略及管理架構、盤點企業既有資料及必要資料、培養及建立企業從決策層到執行層的人員均重視資料的資料文化，以及減少不必要或易出錯的作業流程等六項具體措施，建立企業自身貫穿資料生命週期之資料管理流程。 我國企業如欲逐步建立並落實貫穿資料生命週期的資料管理流程，可參考資訊工業策進會科技法律研究所創意智財中心所發布之《重要數位資料治理暨管理制度規範》，作為資料管理流程設計與實務落實之參考，以強化自身資料管理能力。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）