BS 10012：2017個人資訊管理系統新版標準已發布
BS 10012:2009個人資訊管理系統近期轉版，英國標準協會已於2017年3月31日發布BS 10012:2017新版標準，此次修改主要係為遵循歐盟一般資料保護規則GDPR (General Data Protection Regulation )之規定。為了讓企業組織能更有效率整合內部已導入之多項標準，新標準採用ISO/IEC附錄SL之高階架構（High Level Structure），該架構為通用於各管理系統的規範框架。
2017新版架構由原本的6章變為為10章，新架構如下：
- 第1章 範圍
- 第2章 引用規範
- 第3章 專有名詞與定義
- 第4章 組織背景
- 第5章 領導統御
- 第6章 規劃
- 第7章 支援
- 第8章 營運
- 第9章 績效指標
- 第10章 改善
新標準主要修改內容如下：
- 個資盤點單需增加「法規」盤點項目，且應載明個資流向(軌跡紀錄)。
- 風險管理架構參酌ISO 31000:2009修改。
- 組織增設資料保護官(Data Protection Officer, DPO)。
- 個資蒐集、處理及利用：
（1）蒐集前須先告知當事人並取得其同意。
（2）蒐集應有必要性且最小化。
（3）兒童個資蒐集、利用須先經監護人同意。
（4）若個資利用目的為開放資料（Open data）須作去識別化。 - 個資必須維持正確且最新。
- 個資保存不超過處理目的存在必要之期限(保存期限)。
- 增加個資完整性與機密性要求。
- 預先諮詢與授權，例如：網頁有使用cookies需明確告知瀏覽者。
- 個資管理目標與量測，包括欲導入範圍、現況評估等有效性目標。
- 增添文件管理規範。
BS 10012:2009版本將於2018年5月25日廢止，公司驗證轉版的過渡期為24個月，因此2019年3月未轉版者證書失效。
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
蔡馥如
法律研究員 編譯整理
British Standard Institution, BS 10012:2017 Data Protection - Specification for a Personal Information Management System (2017). Published the BS 10012:2017 on Personal Information Management System, VisiOn Platform, http://www.visioneuproject.eu/?p=710 (last visited Apr. 27, 2017).
BS 10012:2017, bsi. shop, http://shop.bsigroup.com/ProductDetail/?pid=000000000030339453 (last visited Apr. 27, 2017).
歐盟執委會（ EC ）一名資深官員 30 日大聲抨擊幾家美國的大型 IT 企業，指控他們對開放原始碼社群的發展產生過多影響。 EC 的資訊社會與媒體理事會軟體科技首長 Jesus Villasante 表示，如 IBM 、惠普（ HP ）和昇陽（ Sun Microsystems ）這些大公司，只是把開放原始碼社群當作承包商，而非鼓勵他們開發獨立的商業產品。 Villasante 在阿姆斯特丹舉行的荷蘭開放軟體大會（ Holland Open Software Conference ）中指出：「 IBM 會問顧客：你要專有或開放軟體？（如果他們選擇開放原始碼）然後他們會說：好，你要的是 IBM 的開放原始碼軟體。開放原始碼都將變成 IBM 、惠普或昇陽的財產。」 Villasante 說：「這些公司以承包商的模式，利用（開放原始碼）社群的潛能 – 當今的開放原始碼社群，等於是美國跨國企業的承包商。」他呼籲開放原始碼社群應發展更大的獨立性。 他表示：「開放原始碼社群需要看重自己，並瞭解他們對本身和社會都已作出貢獻。從他們瞭解自己是推動社會進化的一部分，並試圖發揮影響的那一刻起，我們才能朝正確的方向前進。」 Villasante 的看法令其他參與討論的成員頗為意外，包括 Sun One Consulting 的首席設計師 James Baty 。業界專家曾表示， IBM 等大公司對開放原始碼軟體的發展，作出相當大的貢獻，他們幫助說服企業與 IT 專業人員相信開放軟體與專有軟體一樣可靠。 Baty 並未直接回應 Villasante 的評論，但表示包括他的雇主在內的大型企業，都有責任奉獻給開放原始碼社群。昇陽捐助若干開放原始碼計劃，包括生產力應用軟體 OpenOffice.org 。 Baty 說：「有些公司僭取了開放原始碼社群的成果，其他公司則抱持他們必須奉獻的態度。（開放原始碼）應被視為一個機會，不是供人奪取和濫用的東西。」 Villasante 也利用稍早的演說，表達對歐洲軟體業的擔憂。他說：「我的看法是，歐洲目前根本沒有軟體產業 – 當今唯一的軟體產業只存在美國，未來或許還會出現在中國或印度。我們應該決定將來是否要建立歐洲的軟體產業。」 Villasante 認為開放原始碼是歐洲軟體產業發產的重要部分，但這種過程卻受到智慧財產遊說團體與傳統軟體業的壓力，及開放原始碼社群本身的分裂所壓抑。他說：「開放原始碼處於徹底的混亂 – 許多人作很多不同的東西。造成現在完全的混亂。」 一位聽眾指出， EC 也要為推動可能損害開放原始碼的軟體專利規章負責。 Villasante 回答，並非所有 EC 的成員都自動支持該規章。他說：「首先，我不負責軟體專利 – 軟體專利規章是由內部（市場）局長管理。資訊協會（ Villasante 工作的單位）局長的意見，不一定與內部局長相同。」（陳智文）
美民主黨提案開放網路賭博美眾議院金融服務委員會主席Barney Frank於4月26日提案撤銷國會去年備受爭議的禁止網路賭博法案，取而代之制定聯邦層級規範架構的「網路賭博規範與執行法案」(Internet Gambling Regulation and Enforcement Act )，以核准賭博公司線上收取美國國民賭金，並對未成年人、強迫性賭博、洗錢與詐欺等須採取保護措施。 布希總統去年十月所簽署通過的法律，要求銀行與信用卡公司拒絕付款給美國司法管轄權外約2300家的賭博網站，造成賭博業的空前危機。Frank在個人網站批評，〝此法律是對美國人身自由的不當的干預〞。壓力不止於此，WTO也稍早議決美國的此限制不合法，因為某些國內的活動如賽馬，排除外國的公司而形成差別的對待。 Frank 所提的新法案將禁止發執照給任何涉嫌違反賭博、洗錢與詐欺或其他金融法等罪行者，且執照的審理與取得將透過財政部防制洗錢法的協助。而未來消費者上網站必須提供姓名、地址、出生日期與相關身分證明號碼，以和線上支付系統作資料核對。 投資公司Friedman Billings Ramsay認為美國國庫預計五年可增加兩億美金的賭博稅收。
論專利公開前機密管理之重要性美國德州第一上訴法院於2023年8月的一項裁決強調了以下重點—即便企業的智慧財產權戰略是圍繞在專利申請而建立的，仍應證明其有在專利公開前採取到位的營業秘密保護政策。 在FMC Technologies, Inc. v. Richard Murphy and Dril-Quip, Inc.一案中，FMC是一家石油與天然氣公司，而Murphy是其前首席工程師，可接觸FMC公司重要研發技術。兩者的關係於2018年惡化，同年12月FMC公司提出了ITW系統（orientation-free subsea tree system）的專利申請，Murphy則於隔年5月收到Dril-Quip公司的錄用通知。離職時Murphy有簽署一份協議，承認其有義務為FMC公司持有的專屬資訊保密，並已將所有與工作相關的資訊歸還。 Murphy於Dril-Quip公司被任命負責開發與ITW系統幾乎相同的競爭產品。2020年5月，Dril-Quip公司於海上技術會議發布其下一代海底採油系統（VXTe Subsea Tree）的相關內容，並宣布將商業化生產。據此，FMC公司控訴Murphy使用其花費了多年時間和數百萬美元開發的營業秘密資訊。Dril-Quip公司則辯稱FMC公司所謂的營業秘密可輕易透過一般管道查明，且其未採取合理的努力來防止營業秘密外洩。 在判斷FMC公司是否有採取合理保密措施時，德州第一上訴法院針對其於專利尚未公開及等待核准審定期間是否有採取合理的努力進行審查，並發現下列情形： 1. FMC公司並未根據有存取該機密資訊需求的人設定權限，反而將其工程資料庫開放給所有公司內部的工程師，讓他們都可以遠端存取相關資料。 2. FMC公司並未禁止員工將公司的機密文件複製到外部伺服器上。 據此，德州第一上訴法院認定FMC公司於專利公開前未妥善保護其營業秘密，並認為被告Murphy未不當使用其營業秘密。最終，德州第一上訴法院判被告Murphy勝訴。 由上述裁決可以發現，企業在專利公開前仍應採取營業秘密保護政策，包括：(1)對機密資訊存取的權限控管、(2)規範對機密資訊的使用程序、規定等，以避免在訴訟中失利。關於前述之管理措施，可以參考資策會科法所創意智財中心發布的《營業秘密保護管理規範》，以了解如何降低自身營業秘密外洩之風險，並提升競爭優勢。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
日本建立物聯網產品資安符合性評鑑及標籤制度（JC-STAR），助消費者提升產品資安識別日本建立物聯網產品資安符合性評鑑及標籤制度（JC-STAR），助消費者提升產品資安識別 資訊工業策進會科技法律研究所 2025年10月30日 壹、事件摘要 為因應物聯網（Internet of Things，簡稱IoT）產品日趨嚴重的資安威脅，日本陸續訂定針對物聯網產品資安之國內法規與政策方針，除了為強化物聯網產品之資安要求以外，藉由具體的資安評級要求，適用不同類型的物聯網產品，再透過資安標籤制度以區別產品，提升產品之資安識別，以供消費者選購時參考。據此，本文觀測日本近期建立的JC-STAR制度與其所適用國內法規，供我國未來參考與借鏡。 貳、重點說明 一、日本JC-STAR制度背景與目的 日本資訊處理推動機構（独立行政法人情報処理推進機構，Information-Technology Promotion Agency, Japan，簡稱IPA），依日本經濟產業省於2024年8月23日所公布之《IoT產品資安符合性評鑑制度建構方針》政策架構下[1]，建立了《物聯網產品資安符合性評鑑及標籤制度》（セキュリティ要件適合評価及びラベリング制度，Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements，簡稱JC-STAR），並於2025年7月29日完成《物聯網產品資安符合性評鑑與標籤制度之基本規章》[2]（セキュリティ要件適合評価及びラベリング制度の基本規程，簡稱本規章）之最終修訂，建立了JC-STAR制度的框架。本規章將物聯網產品的定義、產品所需的附隨服務（含數位服務等）、可提供驗證服務之單位、第三方監督、廠商自我宣告機制、資安符合性基準、評鑑與評鑑報告書、資安符合性標籤及分級機制等多種要件、適用對象與要求事項明確化，確立了以星等為評級的JC-STAR資安標籤制度框架。此外，JC-STAR制度針對物聯網產品採購方、使用方等不同的資安需求，透過附有資安標籤的產品以供各自選購時為考量，因此JC-STAR制度有以下二點優勢： （一） 較易滿足政府或企業的採購標準 針對政府機關或企業等所需採購的物聯網產品，事前已透過共通性的適用標準，將物聯網產品資安進行評鑑分級，並將評鑑流程可視化管理，不僅使產品符合各組織或單位的資安防護需求，同時使產品選購更加便利。 （二） 確保特定領域事業或行業等符合資安法規要求 基於特定領域事業或行業可能有特殊的資安需求，通過符合性評鑑的物聯網產品，因經第三方驗證後以最高等級的標籤呈現，故可確保符合特定領域事業團體之特殊資安需求，或配合指定使用，以確保其採購之物聯網產品均具備合規性。 二、日本JC-STAR框架與資安要求 日本JC-STAR制度是結合歐洲電信標準協會（ETSI）網路安全技術委員會於2022年6月所公布的《網路安全暨隱私保護標準》（ETSI EN 303 645），以及美國國家標準與技術研究所（NIST）於2022年9月公布的《消費者物聯網產品之核心基準》（NISTIR 8425）等適用標準，並經日本官方改定調整成為適用於日本國內之獨特制度。[3]JC-STAR是基於日本官方所定義之物聯網產品符合性標準（涉及資安技術要求事項等），確認物聯網產品是否符合資安要求以及進行可視化的管理。JC-STAR將物聯網產品區分成四種星級，詳述如下： （一） 一星級（★1） 物聯網產品須符合產品共通性之要求，並適用最低限度之資安要求事項，倘若產品已滿足相關要求事項，由產品供應商自我宣告即可。 （二） 二星級（★2） 視物聯網產品的類型、功能特徵等因素，於一星級以上增訂基礎的資安要求事項，倘若產品已滿足相關要求，仍由產品供應商自我宣告即可。 （三） 三星級（★3） 視物聯網產品的使用對象，包含政府機關、關鍵基礎設施或相關業者、地方政府或人民團體、大型企業之關鍵系統等，依產品類型、功能特徵等因素，訂定共通性之資安要件，並須由獨立第三方進行驗證，並須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。 （四） 四星級（★4） 適用程序上雖與三星級相同，依產品類型、功能特徵等因素，訂定共通性之資安要件，並由獨立第三方進行驗證，須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。惟物聯網產品中，諸如通信設備等所適用的資安要求及相關風險層級較高，因此為最高防護等級。 值得注意的是，日本正積極與新加坡、英國、美國、歐盟等各國專責機關等交涉中[4]，預計將JC-STAR制度與各國物聯網產品制度相互承認並使其與國際接軌。 參、事件評析 日本透過國內政策方針及訂定規章，結合其他先進國家的資安標準，建立了屬於日本自己的物聯網產品資安標籤JC-STAR制度。主要將各種不同類型的物聯網產品，賦予不同星等評級，供一般消費者或政府、企業法人等選購時參考，具體提升針對物聯網產品的資安識別。此外，依產品適用對象或風險層級不同，適用不同程度的資安要求事項。倘若涉及政府或企業法人等採購需求，則可能適用三星或四星等級，且產品均須經獨立第三方進行評鑑後，才能取得符合性評鑑報告書，並添附資安標籤。 因此，JC-STAR並非僅針對政府或公部門單位採購適用，而是擴及日本國內產業或是一般消費者，因此日常中物聯網產品的使用，均受到全面性的資安保障。另一方面，倘若未來日本JC-STAR制度受到其他各國承認，即代表物聯網產品可在已簽署承認的國家間受到信任而流通產品，故可望大幅降低日本國內物聯網產品供應鏈符合國際法規或契約要求的成本，有助於提升產業競爭力。據此，日本以資安標籤提升消費者識別，並有物聯網產品資安驗證機制之整體性規劃，均可供我國推動物聯網產品資安治理政策之未來借鏡與參考。 [1]〈IoT製品に対するセキュリティ適合性評価制度構築方針〉，経済産業省，https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/pdf/20240823_1.pdf （最後瀏覽日：2025/10/13）。 [2]〈セキュリティ要件適合評価及びラベリング制度の基本規程〉，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj90000003563-att/JSS-01.pdf （最後瀏覽日：2025/10/13）。 [3]〈IoT製品のセキュリティ確保に向けて ～セキュリティ要件適合評価及びラベリング制度（JC-STAR*）の紹介～〉，頁25，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf （最後瀏覽日：2025/10/13）。 [4]〈ファクトシート：岸田総理大臣の国賓待遇での米国公式訪問〉，日本外務省，https://www.mofa.go.jp/files/100652150.pdf （最後瀏覽日：2025/10/13）。