日本發布關鍵基礎設施資訊安全對策第4次行動計畫
為了持續維持日本國內以及與東京奧運舉辦相關的關鍵基礎設施服務的安全性，日本內閣網路中心於2017年4月19日公布關鍵基礎設施資訊安全對策第4次行動計畫。
在第4次行動計畫，關鍵基礎設施防護目的主要是以關鍵基礎設施的功能保證為考量，盡量減少關鍵基礎設施IT故障的發生，並提升從事故中恢復的速度。因此，第4次行動計畫除持續檢討並改善第3次行動計畫原有政策外，較重要的變革為OT(Operation Technology)的重視與風險對應機制整備。在安全基準整備與落實情況方面，要求關鍵基礎設施產業須將OT的觀點融入人才培育。在資訊分享制度方面，分享的資訊範圍應包含IT、OT與IoT的資訊，並排除資訊分享的障礙。而在風險管理部分，日本從功能保證的觀點出發，新增風險情況對應準備的要求，包含事業持續計畫的提出與緊急應變措施的制定等。而在防護基礎強化上，該行動計畫認為關鍵基礎設施產業的IT、OT人員及法務部門必須依其內部資訊安全策略共同為關鍵基礎設施安全而跨組織合作。
另外，第4次行動計畫變更電力領域關鍵基礎設施的重要系統，從原有的運轉監視系統變更為智慧電表，以及新增化學、信用卡與石油三大關鍵基礎設施領域的業者、關鍵系統與因IT故障對關鍵基礎設施可能造成的危害影響。
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
蔡淑蘭
法律研究員 編譯整理
重要インフラの情報セキュリティ対策に係る 第４次行動計画，内閣サイバーセキュリティセンター，https://www.nisc.go.jp/active/infra/pdf/infra_rt4.pdf（最後瀏覽日：2017/05/02）。
「重要インフラの情報セキュリティ対策に係る第４次行動計画（案）」に関する意見の募集について（終了しました），内閣サイバーセキュリティセンター，https://www.nisc.go.jp/active/infra/pubcom_ap4.html（最後瀏覽日：2017/05/02）。
911 恐怖攻擊以來，美國持續加強國土安全保護，而為保障國家安全及科技競爭力，美國商務部（ US Department of Commerce ）原本打算制定安全管制規定， 對來自敏感國家之外國科學家， 限制其 使用部分的實驗研究設備。所謂敏感國家（ countries of concern ），包括巴基斯坦、印度、俄羅斯及中國，來自於這些國家的科學研究人員若要在美國境內的從事特定實驗研究，因而需要使用特定設施設備者（主要是可用於軍事用途者），不論研究設施設備是屬於聯邦或民間所有，在開始操作、進行安裝、維護與修繕等之前，必須先向美國政府提出申請始可近用。 現行美國有關技術管制規定主要係針對敏感科技的出口，商務部自 2004 年起，即打算推動修正此等規定，進一步將部分可用於軍事用途之研究設施設備予以立法管制，從美國政府所公布的管制清單來看，其涵蓋範圍甚廣，從化學、雷射到細菌培養等各領域之研究設施設備，均涵蓋在內，故商務部此項修法計畫一經公開，立即震撼外界，除學術界及產業界強烈外抨擊，就連聯邦實驗室也大表反對。反對意見多認為，預計的修正規定將會破壞大學校園中之開放精神，影響科學自由的研究環境；而研究設施設備近用之事前許可制，亦將造成學界與業界的負擔；甚至可能阻礙未來大學或業界延攬外國科技人才參與研究計畫之進行，長期而言，實將會戕害美國的國際競爭力。 面對各界反對聲浪，為避免降低研究型企業之生產力，美國商務部在今年 5 月底宣布取消原來的立法管制計畫，不過，商務部將會召集產學研各界專家，組成一個十二人的委員會，持續就實驗室安全管制的問題交換意見，期能獲致更有效之解決之道。
英國展開「碳排放交易框架」修正意見徵集，擬將溫室氣體移除技術納入現行機制英格蘭、蘇格蘭、威爾斯政府，以及北愛爾蘭農業、環境和鄉村事務部於2024年5月23日共同提出「溫室氣體移除納入碳交易框架」（Integrating Greenhouse Gas Removals in the UK Emissions Trading Scheme）聯合諮詢文件，擬將「溫室氣體移除」（Greenhouse Gas Removals, GGRs）技術納入現行英國碳排放交易體系。GGRs係指主動將大氣中的溫室氣體移除之方法，又稱「二氧化碳移除」（Carbon Dioxide Removal, CDR）、「負碳技術」（Negative Emission Technologies, NETs），此類技術被認為能協助「難減排產業」減少排放。 此次意見徵集主要針對以下四大面向： 1.基本原則：將GGRs整合進UK ETS，須以維持減碳誘因、確保市場誠信、創造長期有效率的碳權交易市場、環境友善、具備可操作性、最小干預性、未來靈活性保障、考量財務影響等原則為基本前提。 2.總量管制：UK ETS於納入GGRs後，預計仍將維持當前總量上限，以避免實質上增加企業的排放容許量。 3.配額發給：GGRs能獲得的配額，擬採取「事後發給」的方式，於移除完成並經過驗證後，才發給配額，以維持交易市場的可信性。 4.市場整合：英國目前暫不考慮建立獨立的溫室氣體移除交易市場，擬將GGRs完全整合進既有的UK ETS中，並透過總量及需求控制或免費配額等措施調節市場供需，穩定並促進市場發展。 英國政府相信，透過將GGRs納入現行UK ETS中，可以增加企業對於碳移除之需求，提高負碳技術的投資誘因，進而持續對於淨零排放的目標有所貢獻。
印度邁向個資法制新里程公布數位個資保護規則印度於2025年11月13日公布《數位個人資料保護規則》（Digital Personal Data Protection Rules，下稱DPDP規則，位階近似於我國個人資料保護法施行細則），作為2023年8月制定《數位個人資料保護法》（Digital Personal Data Protection Act，下稱DPDPA）之配套規範。DPDPA為印度首部全面性個資保護立法，並與DPDP規則採三階段施行。第一階段自2025年11月13日起，重點包括定義規定、印度資料保護委員會（Data Protection Board of India, DPBI）之設立與權限。第二階段自2026年11月13日起，聚焦於印度特有之「同意管理人（Consent Manager）」制度。第三階段自2027年5月13日起，全面施行資料處理者（Data Fiduciary，意涵近似於歐盟一般資料保護規則（GDPR）所稱資料控管者，惟更強調對資料主體負有信賴義務與善良管理責任）一般義務、兒童資料保護、重要資料處理者制度、當事人權利、跨境傳輸及適用除外等規定。其制度重點如下： 一、明確化告知與同意規範：DPDP規則要求資料處理者於取得資料主體同意前，須以獨立且易懂之方式提供告知，清楚說明個人資料類型、利用目的及所提供之商品或服務，並提供同意撤回、權利行使及申訴之管道。 二、建立同意管理人制度：此制度使資料當事人得透過第三方集中管理其對不同資料受託者之同意狀態，並隨時檢視或撤回其同意。DPDP規則就其資格、義務、登錄程序及監理機制加以規範，並賦予DPBI對其進行調查與裁罰之權限。 三、強化資安措施與侵害通報：DPDP規則明定資料受託者應採取安全維護措施，其最低標準包括加密、存取控制、日誌保存、監控、備份及資料處理相關契約管理等。另建立個資侵害通報制度，要求即時通報資料當事人及DPBI，並於72小時內補充完整資訊。 四、加重大型平台與特定資料保護機制：DPDP規則要求大型電子商務、線上遊戲及社群平台於三年未互動且無保存義務時刪除個人資料；並就18歲以下兒童及受法定監護者，要求取得可驗證之法定代理人同意。另中央政府得指定「重要資料處理者（Significant Data Fiduciary）」，課予定期影響評估、稽核及設置資料保護長之義務。 五、規範權利行使、跨境傳輸與除外規定：DPDP規則要求資料受託者及同意管理人於其網站或應用程式中，清楚揭示權利行使方式及身分驗證程序；跨境傳輸採「原則開放、例外限制」模式，由政府另行指定限制國家或對象；另就研究、保存及統計目的之資料處理，DPDP規則明定在未造成個人權益之影響下，且資料受託者已採取適當技術與組織措施，始得適用除外規定。
歐盟、中國第三方支付立法簡介歐盟、中國第三方支付立法簡介 科技法律研究所 2013年4月1日 壹、事件摘要 自2010年起，國內便不斷湧現訂立第三方支付專法的呼聲，希望主管機關開放第三方支付相關業務，並立法給予第三方支付明確的法律地位，以提升產業發展環境，滿足產業發展需求。事實上，第三方支付服務在國外已有多國立法規範，如中國、歐盟、日本、美國、新加坡、香港、泰國、馬來西亞等等。有將第三方支付定位為資金傳輸業者，或強調是「非銀行」的金融服務業者，著重於第三方支付服務的支付清算功能。多數國家的第三方支付主管機關為金融監理單位或者是中央銀行，如日本金融廳，英國金融服務局(Financial Service Authority，FSA)，新加坡金融管理局(Monetary Authority of Singapore，MAS)，中國、馬來西亞、泰國央行。礙於篇幅，本文以下僅就歐洲以及中國規範做介紹。 貳、重點說明 一、歐盟 第三方支付服務為歐盟2007年「支付服務指令(Payment Service Directive，簡稱PSD) 」所規範的「支付服務(payment service)」，第三方支付服務業者為指令所稱之「支付機構(payment institution)」。依照PSD第5條規定，支付機構欲進行營業必須要依照會員國國內法向會員國相關主管機關提出核准申請。以英國而言，英國的主管機關是「金融服務局(Financial Service Authority)」。 以下說明重要規範。 (一)創辦資本(initial capital)最低金額： 依照第6條，支付機構具有最低創辦資本額限制，網路支付機構的最低資本額限制為五萬歐元。 (二)資本維持義務(Own funds)： 依照第8條規定，支付機構必須要繼續持有一定數額的資金，至於應持有的金額，以下述三標準判定，如果下述三標準判定出的金額低於前述創辦資本的金額，則以創辦資本的金額為應持有資金的數目： 1.前一年度固定經常費用(overhead)的10%。 2.依照前年月平均處理金額的一定比率決定。 3.依照前一會計年度利息收入、利息支出、所收取的費用以及其他營運收入的總和，按比例提存之。如果實際無前一會計年度資料，可採取預估值。 (三)資金防護義務(safeguarding requirements)： 依照第9條規定，支付機構對於自消費者所收取的代收轉付資金，必須要提供下述防護措施，原則上只要滿足其一即可。對於個別支付金額超過600歐元的消費者，指令認為會員國的主管機關可以要求對於這類大額消費者單獨提供防護措施。 1.專用存款帳戶： 消費者的資金不得與其他資金混同，支付機構一旦收取代收轉付資金即須將之存入獨立的帳戶，或者是投資於由會員國指定的低風險、流動性佳的資產。 2.破產隔離： 應依照會員國的國內法，基於消費者的利益做好破產隔離工作，排除支付機構的其他債權人對代收轉付資金主張權利。 3.保險： 為消費者的代收轉付資金投保，或者是提供其他來自保險公司或者是信用機構同等效力的擔保，在支付機構無法履行其財務責任時進行理賠。 (四)資料保存義務(Record-keeping)： 依照第19條規定，會員國應要求支付機構妥善保存交易資料，保存義務期限至少五年。 (五)洗錢防制義務： 依照第5條規定，支付機構在申請核准時，需要提供公司治理以及內部控制規劃架構，其中第f款指出，支付機構須提出符合Directive 2005/60/EC以及Regulation (EC) No 1781/2006關於防制洗錢以及恐怖組織金融活動(terrorist financing)的內部控制機制。 (六)書面締約義務： 依照第41條規定，支付服務提供者必須要與支付服務使用者就第42條所規定的事項以紙本或者是其它可永久保存的媒體(durable medium)進行締約。第41條並要求支付服務提供者應在契約中使用淺顯易懂的文字，並以支付服務提供者所在國的官方語言或者是雙方同意使用的語言進行。第42條所規定的契約要項除了雙方的姓名之外，必要規定事項包含費用說明、支付服務使用所需的系統說明等等，除了必要規定事項，雙方也可以約定支付服務的支付金額限制，或者是依照第55條約定服務提供者得基於支付工具安全的理由限制支付工具的使用，例如發生可疑交易或詐欺事件而封鎖使用者，暫停其使用權限。 二、中國 中國人民銀行在2010年發布了「非金融機構支付服務管理辦法」，依照該法第2條規定，網路支付為該法所稱之非金融機構支付服務。非金融機構提供支付服務，應當向中國人民銀行申請取得「支付業務許可證」成為支付機構，未按規定申請者將被處以行政罰，嚴重者會被處以刑罰。支付業務許可證的有效期限五年，達五年期限者得於期滿前半年申請續展。 (一)最低資本額要求： 依照第9條規定，想要在中國全國境內提供支付服務者，最低註冊資本額為1億元人民幣；想要在中國單一省，或自治區、直轄市範圍內提供不跨境的支付服務者，最低註冊資本額應達3000萬元人民幣。最低註冊資本額為實繳貨幣資本，應於申請支付業務許可證時全數繳足。 (二)洗錢防制義務： 依照第8條規定，許可證申請人在申請時必須要提出符合相關法令要求的反洗錢措施。依照「非金融機構支付服務管理辦法實施細則」第4條規定，所謂的「反洗錢措施」，包括反洗錢內部控制、客戶身份識別、可疑交易報告、客戶身份資料和交易記錄保存等預防洗錢、恐怖融資等金融犯罪活動的措施。依照第44條規定，支付機構如果沒有履行反洗錢義務，中國人民銀行將可依據相關的反洗錢法規進行處罰，嚴重者得撤銷其支付業務許可證。 (三)服務使用者真實身分查核義務： 支付服務的使用者在註冊時必須要提供真實的身分資料。依照第31條規定，支付機構應該要對於客戶所提出的資料比對其有效的身分證件或者是其它的身分證明文件，並且進行登記。 (四)支付服務協議書面簽約義務： 支付機構應該與客戶就雙方之間的權利義務、糾紛處理原則以及違約責任等等事項簽訂協議。支付協議可以紙本也可以電子方式呈現，依照「非金融機構支付服務管理辦法實施細則」第32條規定，支付服務協議「包括符合法律法規要求、可供調取查用的紙質形式或數據電文形式的合同。」，與我國電子簽章法第四條關於以電子文件作為法律「書面」要件的規定相似。 (五)專用存款帳戶開立義務： 依照第26條規定，支付機構收受服務使用者的資金後，必須要將資金存入在商業銀行所開立的「備付金專用存款帳戶」。一個支付機構只能在一家商業銀行開立一個備付金專用存款帳戶。另外特別指出，依照第24條規定，客戶備付金非支付機構之自有財產，支付機構只能根據客戶的指示轉移備付金，不得自行挪作他用。 (六)資本維持義務： 依照第30條規定，支付機構的實際持有資本不能低於日處理金額的10%，日處理金額以90天內每日日中的平均餘額計之。 (七)資料保存義務： 依照第34條規定，支付機構應該要妥善保管客戶身分資料、支付業務資料以及會計檔案等資料。依照實施細則第39條，資料保存義務至少為五年。 (八)報表提交義務以及受查義務： 依照第20條，支付機構有義務向中國人民銀行提交支付業務統計報表以及財務會計報表。另外依照第35條，支付機構有義務配合中國人民銀行定期和不定期的現場檢查以及非現場檢查。 參、事件評析 綜整歐盟以及中國立法例，管制重點為確保業者具有償債能力和營運能力以及洗錢犯罪防制，要求經營需事先申請許可並另外輔以查核等機制。共通管制規範如下： (一)洗錢防制要求： 皆要求業者必須要具備內部洗錢防制措施，對外則需要與主管機關密切配合。 (二)償債能力備置要求： 要求服務提供者維持一定的資金水位，以避免服務提供者發生賠償責任時無償債能力。歐洲另輔以金融保證或保險，或是以其它方式進行風險隔離。 (三)專用存款帳戶： 歐盟與中國皆要求開立專用存款帳戶，避免與服務提供者的資金混同，明確帳務。 (四)代收資金運用限制： 業者收取之待轉資金限用於服務使用者指示之移轉，如准予用作投資，也僅限投資於低風險產品，且投資總額必須要依一般會計準則將資金水位維持在代收轉付資金的帳面價值之上。 (五)資料保存義務： 為了滿足洗錢防制追查的需求，要求業者對於交易資料進行保存的工作。無獨有偶，歐盟以及中國的保存義務年限都是至少五年。 (六)書面簽約義務： 為了保障消費者，要求業者以契約明確列出服務提供的要項以及雙方的權利義務關係。契約需為書面，以電子方式為之應符合各國以電子為書面的法律要件。