美國參議員提案規範物聯網設備之資安漏洞
美國參議員2017年08月01日提案立法，要求提供給美國政府的物聯網網路連結設備，須符合產業資訊安全標準，同時規範設備供應商，提供之設備必須可持續更新，不得含有無法更改參數的設定與不得具有任何已知安全漏洞。兩黨皆有參與提案參議員，共和黨為Cory Gardner和Steve Daines，以及民主黨的Mark Warner和Ron Wyden。
由於物聯網連結數持續成長，與物聯網相連的裝置與感應器，預計在2020年會超過200億台裝置，相關裝置的資料蒐集與傳輸，同時影響消費者與產業。當這些裝置在出廠時若預設無法更改的參數，即預設固定程式無法更新，則該裝置連接物聯網時，會因裝置無法更新程式，而可能產生資安漏洞，進而影響物聯網上其它連結設備之安全性。
2016至今，物聯網相關設備已被惡意阻斷服務攻擊(DDOS)影響相關網站、伺服器以及網路基礎設施提供者。
Warner等4位參議員提出的〈2017年物聯網資安改進法〉(Internet of Things (IoT) Cybersecurity Improvement Act of 2017)草案，主要關注：
- 聯邦政府採購的物聯網相關設備，須可持續更新、符合產業標準、不含無法更改內建參數的設定、以及不含已知安全漏洞。
- 行政管理和預算局(Direct the Office of Management and Budget ,OMB)，須發展可供替代網路級(network-level)資安設備以供限制性資料處理。
- 國土安全部的國家保護和計畫局(National Protection and Programs Directorate)須向提供連線設備予聯邦政府的承包商，發布整合性的資安漏洞揭露指導原則。
- 免除資安研究人員基於誠實信用研究時，所揭露與資安漏洞有關之法規責任。
- 要求所有執行機構清點所有連結物聯網的設備。
- Mark R. Warner, Senators to Introduce Bipartisan Legislation to Improve Cybersecurity of“Internet of Things”(IOT) Device
- Steve Daines, U.S. Senators to Introduce Bill to Secure
- Internet of Things Cybersecurity Improvement Act of 2017
- Dustin Volz, U.S. senators to introduce bill to secure
- Rob Price, US lawmakers are trying to fix the security nightmare that is the
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
黃上川
法律研究員 編譯整理
Mark R. Warner, Senators to Introduce Bipartisan Legislation to Improve Cybersecurity of“Internet of Things”(IOT) Device, https://www.warner.senate.gov/public/index.cfm/pressreleases?ID=06A5E941-FBC3-4A63-B9B4-523E18DADB36 (last visited Aug. 4, 2017)
Steve Daines, U.S. Senators to Introduce Bill to Secure 'Internet of Things', https://www.daines.senate.gov/news/in-the-news/us-senators-to-introduce-bill-to-secure-internet-of-things (last visited Aug. 4, 2017)
Internet of Things Cybersecurity Improvement Act of 2017, https://zh.scribd.com/document/355269230/Internet-of-Things-Cybersecurity-Improvement-Act-of-2017 (last visited Aug. 4, 2017)
Dustin Volz, U.S. senators to introduce bill to secure 'internet of things', Reuters, http://www.reuters.com/article/us-usa-cyber-congress-idUSKBN1AH474 (last visited Aug. 4, 2017)
Rob Price, US lawmakers are trying to fix the security nightmare that is the 'internet of things', Business Insider, http://www.businessinsider.com/r-us-senators-to-introduce-bill-to-secure-internet-of-things-2017-8 (last visited Aug. 4, 2017)
必載規定修法動態與爭點 科技法律研究所 2012年4月9日 壹、修法動態 我國無線電視數位化後，頻道大幅增加，必載義務規定將影響有線電視系統的頻道安排與營運規劃，依照最新黨團協商結論，有線廣播電視法修草第33條第1至3項規定：「系統經營者應同時轉播依公共電視法設立之公共電視之節目及廣告，不得變更其形式及內容，並應列為基本頻道。但經中央主管機關許可者，不在此限。（第一項）系統經營者為前項轉播，不構成侵害著作權，免付費用，亦不得向訂戶收取任何費用。（第二項）系統經營者應同時轉播民營無線電視事業所指定之一個頻道節目及廣告，不得變更其形式及內容，並應列為基本頻道。但法律另有規定或經中央主管機關許可者，不在此限。（第三項）」同草案第36條第1項則規定：「系統經營者播送之頻道節目及廣告，應依著作權法或其他相關法規取得合法授權。」就上開兩條文做體系觀察，可得出有線電視雖對民營無線電視台所指定之一個頻道負必載義務，但在授權協商未完成前，可予以先行下架、拒絕轉播。但無線電視業者卻反對，主張「數位無線頻道全部必載、且無須付費」。 貳、論點研析與本文建議 一、應注意國際公約之遵守 我國必載規範最早見於1998年著作權法第56條之1第2項：「有線電視之系統經營者得提供基本頻道，同時轉播依法設立無線電視臺播送之著作，不得變更其內容。」使必載不須經著作財產權人同意，屬免費轉播，與伯恩公約第9條第2項及TRIPS第13條有關合理使用之規定不符，引起其他國家關切，而於2003年修正時刪除。惟同樣的規定仍然存續於有廣法中，相背國際公約問題未獲解決。無線電視頻道內所有節目，須向節目原始著作權利人取得授權。若規定有線電視業者須必載所有無線電視頻道，卻不構成著作權之侵害，將連帶使得無線電視業者無須向節目原始著作權利人取得於有線電視系統播送之授權，損及節目原始權利人之利益。 二、有線電視業者之頻道空間與「基本頻道空間」仍具有限性，立法不宜過度限制其權利，仍應以必載一個頻道為宜 從美國的法制經驗觀之，確保資訊多樣性、大眾免費收視之利益與促進市場競爭三項實質政府利益，並未因無線電視數位化而消失，數位必載仍有需要，只是全部必載可能構成多頻道平臺業者逾越必要程度的負擔。故系統業者僅須負擔必載無線電視業者自選群播中一個頻道串流的義務。我國目前有線電視系統未完全數位化，若全部必載民營無線電視共12個數位頻道，且列為頻道空間有限且訂閱戶最多的基本頻道，將導致有線電視業者獲利減損，恐過度限制有線電視業者的廣電與財產自由。我國無線電視已極趨弱勢，必載的確可確保無線電視業者的廣告收入，進而維持經營以保資訊多樣性，仍有必要繼續採行必載規則，惟必載頻道應僅由無線電視業者選擇其一可謂足夠。 三、我國民營無線電視台不屬非商業無線電視台，應輔導其回歸商業競爭，充實數位無線電視臺之動能 非商業無線電視台主要係補充商業電視因追求收視率與廣告收入，所造成特定資訊缺乏而設。商業無線電視台的全部必載恐對多頻道平臺業者投入於商業競爭上之努力，造成搭便車之效果，進而減損無線電視業者自身技術創新與節目開發之誘因。適切輔導無線電視業者競爭閱聽眾之眼球，如英國之共同傳輸的數位無線電視平臺，才能使無線電視業者更有效利用具高度公益性的無線頻譜。 四、無線電視業者間對必載規範與定位時有內部爭議，應仿照美國法制，設計可符合不同業者需求之「必載／再傳輸同意」選擇權框架 法研議修正之初，無線電視業者內部即有不同意見與需求，有意欲與有線電視業者進行載送之商業協商者，亦有傾向免付費必載者。若完整引進美國法制的精神，由無線電視業者自行選擇必載或行商業協商載送，不但可滿足當前不同無線電視業者間的歧異；亦因法制具有彈性，而有不因業者商業上成功與失敗之變化而須頻繁修法之利。
軟體安全性缺失成為買賣標的瑞士的網路安全公司WSLabi於2007年7月9日宣佈一項訊息，未來將在線上公開交易或交換一些軟體的安全性漏洞和弱點予軟體相關研究人員、安全代理商和軟體公司，價格從數百美元至數萬美元不等。而此意謂拍賣軟體瑕疵的新興市場即將被打開。 WSLabi公開拍賣軟體弱點與漏洞的作法引起了很大的爭論。以往軟體安全業者於發現軟體的弱點後，會與軟體開發者合作修補安全性弱點和漏洞，待修補完成後再公開宣佈修補軟體安全性弱點之相關訊息。但該公司的新作法將導致軟體公司未來可能因為無法及時修補弱點而商譽受損。因此該項計畫雖尚未實行，卻引起了不同看法的爭辯：支持者表示，此一計畫將有助於改善軟體弱點及安全漏洞的問題，並可鼓勵對於軟體的弱點的深入研究；然反對者卻認為，如果軟體的弱點和安全漏洞因而落入有心人的手中，利用於犯罪或幫助他人犯罪，將會對資訊安全形成極大威脅。再者，把其他公司開發的軟體弱點在市場上交易，可能也會引發道德與合法性的問題。 WSLabi於瞭解這項做法可能引起侵害著作權(重製、散布、販賣軟體等行為)、營業秘密與犯罪防治等法律上的爭議及國家安全的問題後表示，他們將會審慎地過濾選擇買主，不會將研究之結果出售予犯罪者或敵國政府。雖然如此，他們的說法仍引起質疑，畢竟判斷買主是否為善意或確定身份並非易事。
美國聯邦地方法院加州北區法院禁止REALNETWORKS公司販賣Real DVD美國聯邦地方法院加州北區法院於2009年8月11日判決禁止REALNetworks公司致力或便利於製造、進口、供公眾使用、為販賣之要約或販賣以存取、複製及再散佈等他法規避CSS之保護或受著作權保護之DVD內容之軟體產品，這些產品如已知的RealDVD，或Vegas、Facet或其他名稱之產品，或有近似功能的軟體或其他產品、服務或裝置、設備或其零件。理由在於RealDVD軟體違反了數位千禧年著作權法案(Digital Millennium Copyright Act of 1998,DMCA)禁止規避電腦加密技術之規定。DVD若被CSS(Content Scramble System)鎖碼，則DVD播放者必須取得授權方能播放此光碟片，這些防止技術就是為了避免被複製而設計的。因為RealDVD是一種從含有著作權的DVD製造了一個永久的複製品的軟體技術，而這無法置外於數位千禧年著作權法案所賦予的義務，即使從個人合理使用的條文詮釋，亦無法認為是合法的。 這件案子是美國迪士尼、Sony、派拉蒙、二十世紀福斯、NBC、華納兄弟、哥倫比亞等好萊塢主要電影公司以及DVD複製控制協會（ＤＶＤ copy control Association，DVD CCA） 於2008年對於REALNetworks公司銷售RealDVD軟體之行為提起訴訟，指控其行為違法法令。 而兩日後（2009年8月13日），於DVD複製控制協會(DVD CCA）訴KALEIDESCAPE公司上訴案中，加州聯邦上訴法院又判決KALEIDESCAPE公司販售DVD複製軟體(Kaleidescape system)違反數位千禧年著作權法案。 此兩個判決對於好萊塢電影工業無疑是一大勝利，但對於DVD複製軟體的科技發展卻是一項打擊。另外在判決中法官也強調這樣的判決決定，仍然保留了個人合理使用的合法空間。
歐盟考慮設立中央網路犯罪防制機構歐盟部長理事會（Council of Ministers）已於今（2010）年4月27日要求執委會檢視其網路犯罪防制目標，並調查是否有需要設立一中央機構，以儘速達成下列幾項目標，包括：提高調查人員、檢察官、法官及法院相關人員的專業標準、鼓勵各國警方資訊分享以及協調歐盟27個會員國間打擊網路犯罪所採取之方式。 部長理事會提議由執委會進行設立專責機構之可行性調查研究，擬由該專責機構負責前述目標之達成，亦須評估並監督預防性與調查性措施之實行。該調查研究中應特別考量欲設立專責機構之目的、範圍及可能的經費來源，另外亦需考慮是否將其設置於位於海牙的歐盟刑警組織（European Police Office, Europol）中。考量網路犯罪跨國界之特性，為使打擊網路犯罪之相關措施更有效，必須有良好的國際合作及司法執行互助配合。部長理事會認為藉由專責機構之設立，不僅能夠協助培訓法官、警方及檢察官，亦能做為聯繫網路使用者、受害者組織及其他私部門的常設機構。 本部長理事會將歐盟現有之網路犯罪防制相關計畫分成短、中、長期計畫，要求執委會定期追蹤各項相關計畫之執行情況，亦將設立網路犯罪防制專責機構列入執委會後續四年所持續執行有關犯罪與安全治理的斯德哥爾摩計畫（Stockholm Programme）中。 此外，部長理事會也呼籲歐盟各國追蹤用於網路犯罪之IP位置及網域名稱，同時要求執委會協助建立共通的廢止機制，以進行網路犯罪防制。 位於希臘的歐盟網路與資訊安全機構（European Network and Information Security Agency, ENISA），是現階段歐盟網路犯罪防治的研究機構，其進行資訊安全威脅行為之調查，並提供相關建議，但僅是資訊服務單位，未實際投入打擊犯罪行動。