日本內閣府研議「網路資訊安全判斷基準草案」並將作為未來機關處理共同標準
日本內閣府網路安全戰略本部（サイバーセキュリティ戦略本部）於2017年7月13日第14次會議中提出對2020年後網路安全相關戰略案之回顧（2020年及びその後を見据えたサイバーセキュリティの在り方（案）－サイバーセキュリティ戦略中間レビュー－），針對網路攻擊嚴重程度，訂立網路安全判斷基準（下稱本基準）草案。對於現代網路攻擊造成之嚴重程度、資訊之重要程度、影響範圍等情狀，為使相關機關可以做出適當之處理，進而可以迅速採取相應之行動，特制訂強化處理網路攻擊判斷基準草案。其後將陸續與相關專家委員討論，將於2017年年底發布相關政策。
本基準設置目的：為了於事故發生時，具有視覺上立即判斷標準，以有助於事故相關主體間溝通與理解，並可以做為政府在面對網路侵害時判斷之基準，成為相關事件資訊共享之體制與方法之基準。
本基準以侵害程度由低至高，分為第0級至第5級。第0級（無）為無侵害，乃對國民生活無影響之可能性；第1級（低）為對國民生活影響之可能性低；第2級（中）為對國民生活有影響之可能性；第3級（高）為明顯的對國民生活影響，並具高可能性；第4級（重大）為顯著的對國民生活影響，並具高可能性；第5級（危機）為對國民生活廣泛顯著的影響，並具有急迫性。除了對國民及社會影響，另外在相關系統（システム）評估上，在緊急狀況時，判斷對重要關鍵基礎設施之安全性、持續性之影響時，基準在第0級至第4級；平常時期，判斷對關鍵基礎設施之影響，只利用第0級至第3級。
本次報告及相關政策將陸續在一年內施行，日本透過內閣府網路安全戰略本部及總務省、經濟產業省與相關機構及單位之共同合作，按照統一之標準採取措施，並依據資訊系統所收集和管理之資料作出適當的監控及觀測，藉由構建之資訊共享系統，可以防止網絡攻擊造成重大的損失，並防止侵害持續蔓延及擴大，同時也將為2020年東京奧運會之資訊安全做準備。我國行政院國家資通安全會報目前公布了「國家資通安全通報應變作業綱要」，而日本以國民生活之影響程度標準列成0至5等級，其區分較為精細，且有區分平時基準及非常時期基準等，日本之相關標準可作為綱要修正時之參考。
蕭仁豪
法律研究員 編譯整理
1.日本內閣府，内閣サイバーセキュリティセンター， http://www.nisc.go.jp/conference/cs/（最後瀏覽日：2017/08/14）。
2.内閣サイバーセキュリティセンター，2020 年及びその後を見据えたサイバーセキュリティの在り方～ サイバーセキュリティ戦略中間レビュー ～，頁6，http://www.nisc.go.jp/conference/cs/taisaku/ciso/dai13/pdf/13shiryou01.pdf（最後瀏覽日：2017/08/14）。
美國總統拜登於2021年5月12日簽署「改善國家網路安全」總統行政命令（Executive Order on Improving the Nation’s Cybersecurity），旨在增進美國政府與私部門在網路安全議題的資訊共享與合作，以加強美國對事件發生時的因應能力。本命令分從數個面向達成前述目標，分別為： （1）情資共享之強化：消除威脅政府與私部門之間資訊共享的障礙，要求IT與OT服務者偵測到可疑動態時，與政府共享相關資訊與相關安全漏洞資料，簡化並提高服務商與聯邦政府系統服務合約之資安要求。 （2）現代化聯邦政府網路安全：針對聯邦政府網路，建構更現代化與嚴格的網路安全標準，並採取零信任架構，例如應強化雲端服務與未加密資訊之共享機制，包括由公眾直接透過WiFi連網取得或下載之資訊網頁等，針對其建構安全機制、更新加密金鑰與建構新的安全工具。 （3）強化軟體供應鏈安全：提高軟體供應鏈安全性，包括要求開發人員提高其軟體透明度、公開安全資料、利用聯邦資源促進軟體開發市場，以及建構軟體認證，使市場更容易確定該軟體的安全性。 （4）建立資安審查委員會：建立由公私部門共同合作的資安審查委員會（Cybersecurity Safety Review Board），針對重大資安事件做及時的回應、，並進行獨立第三方之審查與建議。 （5）標準化聯邦政府應對資安弱點及資安事件的教戰手冊：建構聯邦政府因應資安事件之資安事件教戰手冊，使聯邦政府得以及時並一致地回應網路攻擊事件。 （6）改進對聯邦政府網路資安弱點及資安事件之偵測：清查聯邦政府端點，改善聯邦政府對資通安全事件的偵查能力，並進一步布建強大的端點監測和回應系統（Endpoint Detect and Response, EDR）。 （7）提升聯邦政府調查與補救之能力：提升資訊安全事件調查與補救能力，並透過更頻繁與一致的資安事件日誌來減緩駭客對聯邦政府網路的入侵。 （8）建制國家安全系統：要求聯邦政府部門採用符合相關網路安全要求之國家安全系統。 本行政命令是美國政府在美國油管遭駭事件後，對相關事件之具體因應。本行政命令雖主要著眼於聯邦政府的網路安全，但亦透過總統行政命令鼓勵私部門在網路安全核心服務上加強合作與投資。預計美國在此總統行政命令基礎上，將有進一步強化公私合作的措施與資源挹注。
馬爾他政府針對電子商務法之建議修法內容尋求公眾意見馬爾他競爭力暨通訊部 (Ministry for Competitiveness & Communications, MCMP) 部長 Censu Galea 九月二日公布了「電子商務法」建議修法內容之公開諮詢文件。部長特別強調了電子商務的重要性，尤其對地理位置孤立的島國如馬爾他，電子商務更能有效克服其競爭力上的缺憾。 馬爾他「電子商務法」 自 2002 年生效以來，該國的電子商務呈現蓬勃發展之勢，亦達到 為資訊社會鋪路之目的 。 此次修法建議欲建立一輕度但有效的管理機制，此機制不但能確保網路服務提供者切實遵循法律義務，並加強了消費者權益的保護。另外，此修法建議也計劃完整移植歐盟電子商務指令及電子簽章指令之規定。 馬爾他通訊局 (Malta Communications Authority, MCA) 身為修法建議中的主管機關，將獲授權得於法庭外調解網路服務提供者與消費者間之爭議。 該修法建議亦設計相關措施，確保在馬爾他成立的資訊社會服務提供者不受不必要的官僚體系而阻礙發展。在馬爾他設立之資訊社會服務提供者不論其在何國提供服務，都將只受馬爾他法律規範。再者，這些服務也不必經過任何形式的許可。 該修法建議亦要求網路服務提供者必須揭露基本資訊，讓客戶了解其交易對象，並維持網路交易過程一定的透明度。
澳洲P2P業者Kazaa面臨存亡的最後通牒澳洲雪梨聯邦法院於本月 24 日對分散式 P2P 業者 Kazaa 發出命令，要求 Kazaa 營運商 Sharman Networks 必須在 10 日內（ 12 月 5 日之前），在其提供下載的軟體中加入關鍵字過濾技術（ keyword filter system ），否則應立即停止營運。市場人士普遍認為 Kazaa 暫時停止營運的可能性相當地高。 源起於去年底澳洲當地唱片業者控告 Kazaa 一案，今年 9 月 5 日澳洲聯邦法院認定 Kazaa 營運商 Sharman Networks 構成著作權侵害，除判決唱片業者勝訴外，法院並判定 Kazaa 必須在 2 個月內修改其軟體程式，加入相關過濾技術，以避免使用者傳輸違法音樂檔案；另一方面，判決賦予唱片業界得提交 3000 個關鍵字名單 ( 包括了曲目及歌手姓名 ) 要求 Kazaa 加以過濾的權利，該名單並得每兩週加以更新。 直至本月 24 日， Kazaa 仍表示其無法控制高達 100 萬使用者的個人行為，拒絕修改其提供下載的 P2P 軟體，導致聯邦法院不得不下達最後通牒。 Kazaa 營運商 Sharman Networks 雖已提起上訴，但在現時關鍵字過濾技術實施不易之下，澳洲 Kazaa 恐將步上已於本月 7 日關閉的 Grokster 後塵。
美國聯邦交易委員會提出巨量資料報告，關注商業應用之潛在歧視性效果美國聯邦交易委員會(Federal Trade Commission, FTC)於2016年1月6日公布「巨量資料之商業應用」報告(Big Data: A Tool for Inclusion or Exclusion? Understanding the Issues)，報告中歸納提出可供企業進一步思考之數項議題，期能藉此有助於企業確保巨量資料分析應用之正當合法性，並避免產生排除性或歧視性之對待，但同時亦能透過巨量資料之分析應用為消費者帶來最大的利益。FTC主委Edith Ramirez表示，巨量資料之重要性於商業之各領域均愈發凸顯，其對於消費者之潛在利益自是不言可喻，然企業仍應確保巨量資料之利用不會產生傷害消費者之結果。 「巨量資料之商業應用」報告經徵集公共意見與彙整相關研究後，聚焦於巨量資料生命週期的後端，亦即巨量資料被蒐集與分析之後的利用。報告中強調數種能幫助弱勢群體的巨量資料創新利用方式，例如依病患之生理特性量身訂作並提供醫療照護，或是新的消費者信用評等方式。報告同時也指出可能因為偏見或資料錯誤帶來的風險，像是信用卡發卡銀行降低某人信用額度的原因並非基於該持卡人之消費與還款記錄，而是與該持卡人被歸為「同一類型」之消費者所共同擁有之記錄與特徵。其次，報告對巨量資料於商業領域之利用可能涉及之法規進行了初步盤點，包括公平信用報告法(Fair Credit Reporting Act, FCRA)、與機會平等相關之聯邦立法—像是基因資訊平等法(Genetic Information Nondiscrimination Act, GINA)、以及聯邦交易委員會法，報告也列出7項預擬提問，協助企業因應巨量資料商業利用之法令遵循問題。