電玩角色身上之「刺青」著作權歸屬議題
隨著遊戲產業不斷提升遊戲畫面的精緻程度，遊戲角色也更加貼近於真實。近期，一款由Take-Two(遊戲開發商)推出名為「NBA 2K」的遊戲，遭到Solid Oak（集合刺青家授權，保護刺青著作權）控告遊戲角色（NBA球星）身上的刺青出現在遊戲中，是侵害刺青圖案著作權的行為。
本案之爭點為遊戲中出現的刺青是否納入著作權保護範圍內及遊戲開發商對於刺青的再次使用及展示有無違著作權法。Solid Oak顯然符合關於著作權法對於原創性（original works）的要求，惟由於刺青師與運動員並無任何著作權協議，因此推斷刺青師仍保有著作權。Take-Two主張在遊戲的使用上屬於公平且微量的。他們在遊戲中所呈現之畫面，其唯一目的是保持運動員真實性形象，若不去暫停或者放大畫面，幾乎看不清楚那些圖案（刺青）。由於本案仍在訴訟中，未來是否能肯認此為合理使用，並未明確。現階段如要避免此類爭訟，或許遊戲開發商得考慮直接向刺青師（藝術家）取得授權，或由運動員與刺青師簽約並取得授權，進而使遊戲開發商出版遊戲時，得透過與運動員或聯盟等簽訂使用球員形象之合約，間接使用該等圖案。
隨著科技的發展，從虛擬實境內容涉及實體藝術品之著作權，到真實人物形象於遊戲中呈現的著作權歸屬，智財權議題越趨多元。未來在快速變遷的時代，在智財權保護及科技發展之衡平上，更應保留彈性不設限範圍。
王凱嵐
法律研究員 編譯整理
Take-Two Defends Use of Tattoos As Fair Use, Cinema Blend, https://www.cinemablend.com/games/1691959/take-two-defends-use-of-tattoos-as-fair-use （最後瀏覽日：2017/10/30）
NBA 2K’s real tattoos are taking it to a different to a different kind of court, Venture beat, https://venturebeat.com/2017/10/19/nba-2ks-realistic-tattoos-are-taking-it-to-a-different-kind-of-court/ （最後瀏覽日：2017/10/30）
東京大學活用有限合夥組織制度扶植新創 資策會科技法律研究所 法律研究員 朱啟文 104年08月28日 為鼓勵創投業挹注資金，扶植科技等新創事業，發展諸如電影、舞台劇等文創產業，經濟部參考英、美、新加坡等國家制度，制定「有限合夥法」，希望吸引國外資金來台投資，健全創新創意環境。立法院於2015年6月5日三讀通過「有限合夥法」草案[1]，創投與電影、舞台劇等文創產業，可允許以信用、勞務或其他利益出資，讓「創意」成企業資產一部分，培育更多吳寶春、李安或是科技新創事業。 有限合夥制度採投資者與經營者分離，由普通合夥人與有限合夥人共同組成。普通合夥人提供創意或技術，是實際經營業務者，對有限合夥的債務負無限責任；有限合夥人提供資金，但不實際參與經營，僅就出資額負有限責任。日本關於有限合夥制度已經施行近20年，東京大學亦採用此制度協助新創企業，在初期孵化階段取得種子資金，能夠順利發展逐漸茁壯，其實際如何管理運用有限合夥資金，是未來「有限合夥法」上路後，我國學研機關可以學習參考的方向。 壹、日本「投資事業有限合夥法」 日本於1997年制定了「中小企業投資有限合夥法」（中小企業投資有限責任組合契約に関する法律），並於2004年放寬投資事業之客體，不限於未公開上市之中小企業，同時更名為「投資事業有限合夥法」（投資事業有限責任組合契約に関する法律[2]）。而依「投資事業有限合夥法」規定，由普通合夥人及有限合夥人所共同組立之合夥組織即為「投資事業有限合夥」（投資事業有限責任組合）。該法中包括有限合夥人僅以出資為限對合夥債務負清償責任，以及普通合夥人於各事業年度經過後三個月內，必須準備各項財務報表資料供其他合夥人及合夥之債權人查閱等規定，均有效提高了投資事業有限合夥募集資金的效果。 貳、東大尖端創投公司（株式会社東京大学エッジキャピタル） 2004年日本國立大學法人化改革正式開展，除使大學能掌握其產出之研發成果外，更促使大學授權其研發成果來成立衍生新創企業。此改革承續美國拜杜法案的立法精神，將研發成果由政府下放至大學，促使大學積極利用自有之智慧財產權。東京大學在該時空背景下，設置了校內單位產學連攜本部DUCR及東大技轉TODAI TLO、東大尖端創投UTEC二個獨立公司，彼此合作推廣相輔相成，是東大產學合作的黃金三角。東京大學將三個組織辦公室均設在東京大學產學連攜廣場大樓（University Corporate Relation Plaza），集中辦公讓業務上合作更為便利。東京大學另於2007年6月完竣的「企業家廣場孵化室[3]」，則作為提供創業支援、知識產權戰略管理及產學合作計畫協助之場所。 東大尖端創投公司[4]（The University of Tokyo Edge Capital Co., Ltd.，以下簡稱「UTEC」）成立於2004年4月1日，係由「一般社團法人東京大學產學合作支援基金」投資所成立之創投公司（資本額1,000萬日元），為獨立於東京大學的私法人機構，其成員目前有5位董事、1位監察人及10名正式員工。2004年起UTEC管理運作的資金計有285億日幣，這些資金主要用來中長期投資與東京大學相關的新創項目，包括人才活用、共同研究、智財運用等，投資目的希望能實現將學術成果及人才還原給社會、提升創新及收益，形成良性的經濟活力循環。 負責營運UTEC 的專業成員[5]包括有創投家、政策制定者及博士等。UTEC優勢在於有東京大學作為其後盾，擁有全日本最頂尖研發技術與人才供其篩選。復以日本願意投資早期階段之創投公司不多，使得UTEC在此領域有傑出績效表現。2007年10月開始UTEC 辦理在校創業家EIR 計畫（Entrepreneur In Residence Program），對東京大學內部產生的商業構想概念實施創業育成輔導工作，提供包括辦公空間（企業家廣場孵化室）、創業資金及聘請專家協助修正營運計畫書（Business Plan）等服務。 UTEC在經營上勇於承擔投資創新技術所可能帶來的風險，也願意在新創公司的早期階段（Seed / Early Stages）投入資金換取公司股份，秉持「日本最先進風險投資公司」的經營理念，希能建立早期支援的風險投資模式，將校園研發成果進行商業化實踐。投資策略上UTEC主動介入投資事業有限合夥所出資的公司，並指派投資經理人與投資公司建立長期承諾，而UTEC 亦會積極參與公司成長後續階段之投資。截至2014年4月止，UTEC已經投資了51家新創企業，其中有9家IPO和7家接受併購（M&A）。 參、「投資事業有限合夥」資金管理模式 UTEC的資金不只來自於東京大學，而是透過另外成立3個[6]「投資事業有限合夥」，接納外部投資家之投資作為基金進行營運。具體架構上，UTEC在「投資事業有限合夥」中扮演普通合夥人[7]（業務執行者），而有限合夥中的其他出資者則擔任有限合夥人（投資家）之角色。此架構與國外私募股權基金常見作法雷同[8]。對於東京大學而言，好處在於其可透過UTEC此一有限責任公司擔任普通合夥人方式形成屏障，與其自身現有的資產作風險隔離，避免普通合夥人的無限責任直接影響東京大學本身之財務。 UTEC成立的第一個投資事業有限合夥，是2004年7月1日的「UTEC 1號投資事業有限合夥（ユーテック一号投資事業有限責任組合）」，規模為83億400萬日元存續期間至2014年12月31日止（最多得延展1年）；第二個是2009年7月31日成立的「UTEC 2號投資事業有限合夥（UTEC2号投資事業有限責任組合）」，規模為71億4800萬日元，更新投資期間至2014年7月30日，存續期間至2019年6月30日止（最多得延展2年）；目前最新成立、金額也最高的是2013年10月15日成立的「UTEC 3號投資事業有限合夥（UTEC3号投資事業有限責任組合）」，規模為145億7400萬日元，更新投資期間至2018年10月14日，存續期間至2023年12月31日止（可得延展）。 肆、評析 在創投資金方面以美國為例，「天使」與「創投」可被視為好的「創業種子」的篩選者，是美國經濟發展的火車頭。經由天使與創投的活動，學研單位的研發成果才有商品化及產業化的契機。依2014年資料，美國每年創投資金大約為新臺幣6千億元，中國大陸於2011年為新臺幣8千億元，但我國目前每年創投資金大約僅有新臺幣20億元[9]。我國的創業天使大多為創業者的親朋好友，專業度往往不足，國際創投對臺灣新創事業的關注也有限，而我國的科研經費在無豐沛的海外資金支援下，我國的新創事業在早期階段經常無法取得成長所需的資金。 對此，今年度我國「有限合夥法」的通過，為新創事業資金不足問題的解決帶來了契機。然而，從前揭東京大學UTEC「投資事業有限合夥」的操作及管理模式觀之，我國若要完整援用此等操作架構，除了「有限合夥法」外，尚有待其他配套法令跟進鬆綁。詳言之，應考慮鬆綁大學出資設立企業的相關限制，開放國立大學可以校務基金捐助成立獨立於學校外部「產學營運中心」，並透過該中心投資成立創投公司擔任普通合夥人角色。如此一來，可在兼顧財務風險下，以更為彈性之獎勵與人才聘僱制度，吸引具有專業經驗投資經理人或相關人才投入校園新創，取得更多國內外資金挹注新創事業之發展。 [1]周志豪，〈有限合夥法三讀 創意將成企業資產〉，聯合新聞網，財經焦點，2015/06/06，http://udn.com/news/story/ (最後瀏覽日：2015/09/10)。 [2]投資事業有限責任組合契約に関する法律（ＬＰＳ法），http://www.meti.go.jp/policy/economy/keiei_innovation/sangyokinyu/kumiaihou.htm(最後瀏覽日：2015/09/10)。 [3]東京大学アントレプレナープラザ，http://www.ducr.u-tokyo.ac.jp/jp/venture/entre_plaza.html (最後瀏覽日：2015/09/10)。 [4]株式会社東京大学エッジキャピタル，http://www.ut-ec.co.jp/cgi-bin/WebObjects/1201dac04a1.woa/wa/read/1201e8150e4_0/(最後瀏覽日：2015/09/10)。 [5] UTEC チーム & ファーム理念，http://www.ut-ec.co.jp/cgi-bin/WebObjects/1201dac04a1.woa/wa/read/1201e782b5b_0/(最後瀏覽日：2015/09/10)。 [6] UTEC 運営ファンド，http://www.ut-ec.co.jp/cgi-bin/WebObjects/1201dac04a1.woa/wa/read/1201e815110/(最後瀏覽日：2015/09/10)。 [7]「普通合夥人」雖然負責管理執行私募股權基金業務，但實務上幾乎都會另外委任投資經理人來提供投資建議，投資經理人直接對普通合夥人負責。由於普通合夥人對外負無限責任，委任投資經理人能夠把從普通合夥人收取到的報酬隔離於無限責任範圍外，而保留在投資經理人手中。事實上，多數的股權私募基金真正的發起人就是投資經理人，普通合夥人只是投資經理人為了發起私募股權基金另外設立的新實體。 [8]許杏宜，〈有限合夥法最新草案之評析-兼談私募股權基金之運作〉，《全國律師》，第19卷第3期，頁40-51 (2015)。 [9]丁靜雯，〈從實驗室到市場—我國科技創新政策之探討〉，《科技部自行研究計畫成果報告》，頁44 (2014)。
虛擬的永恆與往生者個人資料運用逝者已矣，已不再是定律。2020年2月，韓國文化廣播公司（MBC）播放了一部紀錄片，紀錄了電視台製作團隊實現一位母親以虛擬現實VR（virtual reality）與已逝女兒重逢的過程，製作團隊透過動態捕捉技術，錄下一位兒童演員的動作，用以塑造往生者的行為動態，並重現還原往生者的聲音，製作出往生者的的三維虛擬影像。葡萄牙Henrique Jorge公司建立一個名為ETER9的社交網路，將每位用戶與AI進行配對，AI會學習複製該用戶於社交網路之行為，並可代其發表回覆與評論，即使其用戶已往生，AI仍持續運行。現今許多科技新創公司正著手研究「數位來生」，使往生者於數位中重生。 牛津網際網路研究所（Oxford Internet Institute）的一項最新研究顯示，估計約50年後，Facebook內往生者的帳號數量將超過存活者的帳號數量。而FaceBook可視為現今人類物種歷史上最大的人類行為資料庫，曾經創建過個人資料的用戶都不復存在，但他們的數位資訊卻永存於網際網路中，但在多數國家，往生者的資料並不是個人資料保護法令所含括的保護客體，往生者個人資料之運用勢必成為道德與法律上的重要課題。 英國阿斯頓大學的Harbinja教授表示，或可由遺囑中有無處置往生者個人資料之指示作為參考，但其亦表示在某些國家存在無法保證遺囑可得完全兌現的問題，例如，在英國遺囑中決定了個人資料的處理方式，仍可能僅被視為是個人意願，類似遺囑中選擇火葬的決定仍可能被執行者和繼承人推翻，且無法強制執行。 我國個人資料保護法施行細則第2條規定：「本法所稱個人，指現生存之自然人。」，所保護的個人資料對象是指「現生存有生命」的自然人，並不包括「往生者」，而歐洲部分國家允許繼承人行使被繼承人之個人資料保護相關權利，例如匈牙利規定本人可指定特定人或由直系親屬行使本人往生後之權利、西班牙則規定繼承人有權行使GDPR第15條資料查詢權、第16條更正權和第17條刪除權，而義大利則規定親屬代表可基於保護家庭之因素行使往生者於GDPR第15條至第22條之權力。ETER9便可讓用戶設置死後停止AI代替回覆的功能，也可以指定授權往生後的帳號負責人。在數位來生的議題中，我國應可參酌部分歐洲國家運用GDPR規定從而規範往生者個人資料權利之方式，進而探討我國對往生者個人資料運用之相關議題。
英國發布著作權與人工智慧報告書與影響評估英國發布著作權與人工智慧報告書與影響評估 資訊工業策進會科技法律研究所 2026年04月09日 英國政府於2026年3月18日依據《資料使用與存取法》（Data (Use and Access) Act 2025，下稱DUAA）第135條及第136條之法定義務，發布《著作權與人工智慧報告書》（Report on Copyright and Artificial Intelligence，下稱「報告書」）[1]及《著作權與人工智慧影響評估》（Copyright and AI Impact Assessment，下稱「影響評估」）[2]兩份官方文件。前揭文件係英國政府對人工智慧（Artificial Intelligence，下稱AI）使用著作權作品所進行之全面性政策評估，並對英國在AI著作權的修法路徑造成實質影響，使政府原先屬意的修法路徑被迫暫停推進。 壹、事件摘要 英國政府自2024年12月17日起展開「著作權與人工智慧」公開意見徵詢，徵詢期間至2025年2月25日止，共計收到11,520份回應。回應者涵蓋著作權人、創作者、AI模型開發者、學術研究機構、文化遺產機構及法律專業人士等，惟各自占比並未揭露。基於DUAA第135條及第136條之法定義務，英國政府須於法案通過後九個月內完成相關報告，遂於2026年3月18日同步公布「報告書」及「影響評估」。 報告書之主軸在於評估四大政策選項：選項0（維持現狀）、選項1（強化著作權保護）、選項2（廣泛資料探勘例外）、選項3（資料探勘例外附加選擇退出機制）。徵詢結果顯示，英國政府原傾向推動之「選項3」（附選擇退出之廣泛例外），在逾萬份回應中僅獲約3%之支持率，致使政府不得不重新審視其政策立場。 貳、重點說明 一、《資料使用與存取法》之立法脈絡 AI訓練資料可能涵蓋大量受著作權保護作品，如何權衡創作者權益與AI創新的效益，是目前各國所面臨的核心挑戰。此部分涉及各國著作權法規是否允許AI在未經授權的情況下利用著作權保護之作品，各國對此採取不同立場，相關法制爭議至今仍未有定論。英國係於《著作權、設計及專利法》（Copyright, Designs and Patents Act 1988，下稱CDPA）第29A條[3]設有文字及資料探勘（Text and Data Mining，下稱TDM）例外，意即資料使用者得於特定條件下，對其可合法取用之著作進行自動化分析而不構成侵權。惟其適用範圍僅限於「非商業研究目的」，使得AI業者在商業訓練場景中難以援引此一例外。 為解決前述挑戰，英國提出四種政策方向並徵詢公眾意見，其結果可見於「報告書」及「影響評估」。以下針對此四種政策選項進行說明。 二、四大政策選項之比較分析 （一）選項0：維持現狀 選項0係維持英國現行著作權法架構，AI業者原則上須就使用著作權作品取得授權，僅得於CDPA第29A條非商業研究之例外範圍內進行TDM。影響評估指出，現行制度對著作權人之保護在理論上尚稱完備，然受限於AI訓練資料來源缺乏透明度，著作權人實際上難以知悉其作品是否遭擅自使用，舉證更屬不易，致使授權機制形同虛設。此外，若境外AI業者以海外訓練之模型輸入英國市場，英國著作權人之權益亦難以獲得有效保障。 （二）選項1：強化著作權保護 選項1主張進一步強化著作權保護，要求所有AI訓練使用之材料均須取得授權，包括境外AI模型輸入英國市場時，亦須證明已依英國著作權法取得合法授權。就創意產業而言，此選項能更有力保障著作權人之財產權，並使其得從AI訓練中獲得合理報酬；然對AI業者而言，合規成本之提高將增加訓練門檻，可能壓抑英國本土AI產業之競爭力。影響評估亦指出，此選項下AI服務成本或轉嫁至終端用戶，影響政府及企業之AI採用率。選項1獲得了最高的支持度，有81%回應者贊同此一制度。 （三）選項2：廣泛TDM例外 選項2主張設立廣泛TDM例外，使AI業者無論商業或非商業目的均可對合法取得之資料進行探勘與訓練，無需逐一取得著作權人授權。此一制度係參考日本著作權法第30條之4。該條文指出，只要目的非在「享受著作物所呈現之思想或感情」原則上均可免授權使用，意即資料分析、資料蒐集與AI訓練等基於「情報解析」行為皆屬TDM例外範疇。 選項2雖有助於降低AI業者法遵成本並提升英國AI研發之國際競爭力，然創意產業普遍擔憂，廣泛例外將使生成式AI大量學習創作者作品，卻無需給付任何報酬，且可能產出直接競爭於原著作人之內容，嚴重侵蝕其市場利益。此選項僅有極少數回應者支持，如OpenAI、Anthropic等大型AI公司。 （四）選項3：TDM例外附加選擇退出機制 選項3原先為英國政府屬意推動的政策選項，亦與歐盟《數位單一市場著作權指令》（DSM Directive）第4條[4]之商業TDM例外架構相近，其核心設計係為原則上允許AI業者對合法取得之資料進行TDM，但著作權人得透過技術手段（如robots.txt）明確保留其權利（即選擇退出機制）。 然而，此選項在公開意見徵詢中僅獲約3%之支持率，其主要爭議在於：對創作者而言，選擇退出機制實質上將著作權保護之責任轉嫁至個人，中小型的創作者往往缺乏必要之技術能力或資源執行退出操作；並非所有爬蟲程式均遵從robots.txt協議；跨境訓練亦難有效管制。此外，在欠缺揭露義務的前提下，創作者仍無從知悉其作品是否遭侵權使用。 三、訓練資料透明度要求 報告書顯示，逾90%之意見回應者認為AI開發者應揭露訓練資料來源，惟各方對於揭露顆粒度（granularity）之要求存在明顯分歧：著作權人傾向主張細緻揭露至個別作品層次；AI業者則認為高層次概括揭露即已足夠。 就國際立法例而言，歐盟《AI法》（AI Act）第53條[5]第1項第4款已要求AI模型提供者製作並公開訓練內容摘要；美國加州亦已制定《生成式AI訓練資料透明度法》（Generative Artificial Intelligence: Training Data Transparency Act）。[6]英國雖無相關法定揭露義務，但在報告書中表示將持續監測其他國家透明度規範之實施效果，並與業界合作制定訓練資料揭露之最佳實務，以期為著作權人提供更有效之權利主張基礎。 參、事件評析 公眾諮詢的結果顯示，尋求著作權保護與AI創新發展的平衡點極具挑戰性。由於引起及大的社會反彈，英國政府被迫放棄「TDM例外附加選擇退出機制」之規劃，然而未來是否會徹底走向「強化著作權保護」仍未可知。然而，在本次諮詢中，有90%之回應者支持AI訓練資料透明度要求；歐盟AI法、美國加州生成式AI透明度法均課予AI業者一定程度的訓練資料揭露義務。從此觀之，縱使著作權人與AI業者之間存有諸多重大分歧，但透明度要求是目前雙方的共識基礎。 我國現行法制下AI訓練所遭遇到的爭議與英國類似，著作權人與AI業者的利益衝突如何化解亦為我國當前AI發展的課題。故英國經驗揭示，政策推行或法令修正宜建立多元利害關係人持續對話機制；此外，在法令、技術標準尚未成熟之情況下，業界最佳實務指引或可作為過渡性替代方案。 [1] GOV.UK, Report on Copyright and Artificial Intelligence (2026), https://assets.publishing.service.gov.uk/media/69ba692226909a14239612e4/CP2602959_-_Report_on_Copyright_and_Artificial_Intelligence_web.pdf (last visited. Apr. 9, 2026). [2] GOV.UK, Copyright and AI Impact Assessment (2026), https://assets.publishing.service.gov.uk/media/69ba68f7c06ba9576435abb0/CP2602959_-_AI_and_Copyright_Impact_Assessment_Web.pdf (last visited. Apr. 9, 2026). [3] Copyright, Designs and Patents Act 1988, legislative.gov.uk, https://www.legislation.gov.uk/ukpga/1988/48/section/29A (last visited Apr. 9, 2026). [4] Directive (EU) 2019/790, art. 4, 2019 O.J. (L 130) 92, 114. [5] Regulation 2024/1689, art. 53, 2024 O.J. (L 1689) 1, 84. [6] Bill Text - AB-2013 Generative artificial intelligence: training data transparency, California Legislative Information, https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240AB2013 (last visited Apr. 9, 2026).
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).