從國外案例談軟體漏洞資訊公布與著作權防盜拷措施
日本岸田文雄總理於2022年7月成立「GX（グリーントランスフォーメーション，綠色轉型）實行會議」（GX実行会議），並於同年12月第5次召開「GX實行會議」，初擬《實現GX基本方針》草案，預計於國會提出相關法案，其內容主要有四個面向，本文摘述如下： 一、以能源穩定供應為前提 由於受到烏俄戰爭影響，導致能源短缺，為因應此一現況，日本將透過轉換製造業之原料及燃料，推動節能、並以再生能源作為主要電力來源。鑒於核電具有穩定輸出之特徵，將強化活用核電新措施，特別是將針對核電運轉年限部分進行修正。同時導入氫、氨之元素，用於發電、運輸、產業等領域，以提高自給率及應對可再生能源的輸出變動，有助於穩定供給。 二、成長型碳定價構想之執行 為了達成國際公約和強化日本產業競爭力，將採取以下措施： 1.為了綠色轉型，將於2023年發行規模約20兆日圓之GX經濟移行債（GX経済移行債，暫稱），作為前期GX投資之資金來源，將募集之資金優先投資於具備產業競爭力或經濟成長潛力、能削減排放量之企業為對象。 2.預計於2023年分階段試行碳排放交易，主要是由企業自行參與，根據排放量與發電效率，免費發放排放配額，再逐年減少配額。並於2028年導入賦課金制度（碳稅），針對化石燃料進口業者，先課以較低的稅，再逐漸增加。 三、拓展國際戰略 由於各國紛紛推出碳中和政策，日本有必要為世界的脫碳做出貢獻，故針對全球面向，將確立環保產品的國際評估標準方法，以及評估企業溫室氣體排放量之削减，建構相關減排制度。而針對亞洲部分，日本作為技術開發的領導者，則提供東南亞相關能源投資，活用國際協力銀行（JBIC）和日本出口和投資保險組織（NEXI）等進行公共的金融支援。 四、全體社會邁向GX 為協助化石燃料相關產業轉型成低碳產業，並確保在轉型過程中勞動力移動，將推動公正轉型，以保障國民生活，並針對中小企業一起推行GX，提供相關諮詢及排放量計算之節能診斷等措施，協助中小企業進行脫碳。
從美國政府責任署建議國防部應改善其處理智慧財產的方式初探美國國防部之智財管理從美國政府責任署建議國防部應改善其處理智慧財產的方式初探美國國防部之智財管理 資訊工業策進會科技法律研究所 2022年2月15日 根據美國政府責任署（U.S. Government Accountability Office，下稱GOA）於去（2021）年12月發布的報告指出，美國國防部（U.S. Department of Defense，下稱DOD）對智慧財產的管理能力不足，可能降低任務準備程度並導致維運軍武的成本飆升[1]。本文將簡介GOA報告的發現，聚焦於DOD的智財管理情況，藉此一窺美國國防部的智財管理模式。 壹、事件摘要 美國國會於2018年通過《國防授權法案》（National Defense Authorization Act，簡稱NDAA），裁示DOD建立智財取得及授權政策，DOD據此訂定其智財指令、規劃智財權責單位、人員及相關培訓機制，嗣後國會於2021年委請GAO檢視DOD之智財指令及其執行情況。 貳、重點說明 一、DOD的智財指令 DOD依據以下智財相關法規，設定其智財指令，如：使小型企業、大學和其他非營利組織可保留其發明之專利權的《拜杜法》（Bayh-Dole Act）[2]、授予無論規模大小所有聯邦締約方全部或部分由聯邦資金所獲得的專利權之12,591號行政命令[3]，以及要求DOD應訂定相關規範以解決和締約方間技術資料的相關權利之《國防採購改革法案》（Defense Procurement Reform Act）[4]等，並強調六項核心原則[5]： 1.將智慧財產權規劃整合到採購策略中，以考量對競爭力和可負擔性的長期影響。 2.確保採購專業人員具備履行公務所需的相關智財知識，以支援智財採購規劃期間內進行關鍵的跨職能協調。 3.對智財可交付成果和相關授權進行特別協商，相較標準授權能更有效地平衡DOD和產業界間的利益。 4.就預期智財和維運目標與產業界進行明確有效的溝通。 5.尊重和保護私部門和政府資助的智慧財產權。 6.政府必須確保締約方所交付之智財成果和有相應的授權。 二、GAO檢視DOD之智財指令執行結果 應國會要求，GAO對DOD的智財指令進行通盤檢視，並對智財權責單位、人員及負責培訓之機構展開調查，訪談相關人員指令的實際執行情況，其檢視結果如下： （一）DOD的智財指令不足以促進其取得智財的製程細節或處理資料權利之能力 DOD智財指令雖整合取得、授權智財的相關法規和指引等要求，並強調其核心原則，然該指令和DOD其它相關的內部指令仍未有更明確的內容可解決取得細部製程或處理資料權利的問題。DOD通常會為其新銳軍武器系統－包含電腦軟體、技術資料、用戶手冊等取得或註冊智財權，而DOD智財指令所指的技術資料，是包括任何科學或技術性質的記錄資訊，如：產品設計或維護資料和電腦軟體檔案（含：執行程式碼、開源碼、程式碼清單、設計細節、流程、流程圖等）；但常未同步取得用於運行和維護武器系統的智財，如：細部製程或技術資料等[6]，倘若未及早取得或獲得相關授權，可能影響軍武系統的操作和維護，從而影響武器的競爭力，並增加管理成本[7]。 實際上，GAO已接獲因技術資料取得問題而對任務有不良影響的報告：2021年7月F-35計劃因維修供應商取得的技術資料不足以滿足維護需求，使關鍵的引擎維修時間比預期的更久；2020年3月部分海軍艦艇計劃的維護作業也因缺乏技術資料出問題，而上述情況若在計畫前期就確認包含技術資料和細部製程等所需智財，並在採購過程中及早規劃取得，可因此節省後續衍生的數十億美元維護成本[8]。 （二）DOD尚未為智財人員訂定完善的策略、人員配置規劃和投注足夠的資源，以充分履行智財指令所規定的廣泛職責 根據GOA的調查與訪談相關人員，智財人員在以下情況都面臨不確定性： 1.資金和人員配置 DOD目前計劃在2023財會年度前，為智財主任及其在國防部長辦公室（Office of the Secretary of Defense，下稱OSD）的團隊提供五個職位的資金，但其中四個為臨時職位，這可能在招聘人才的過程中造成反效果，不利於未來的人員配置。 2.連結其他計劃專家支援不足之處 OSD的智財人員希望DOD中其他計畫的智財專家庫能提供支援，協助訂定智財策略並與承包商進行談判等事宜，但DOD尚未針對 OSD智財團隊將如何和其他專家合作提出具體作法。 3.專業知識 DOD的智財指令指出智財人員應該具備：採購、擬定契約、工程學、法律、後勤、財務分析以及估值等領域的專業知識，但受訪談的人員表示，該部門目前在智財權估值和財務分析這兩個關鍵領域仍有不足，仍須進行補強[9]。 （三）智財培訓涵蓋多項活動但未安排優先順序，且未具體確定哪些人員應該接受培訓 DOD的智財培訓由其設立的美國國防武獲大學（Defense Acquisition University，又譯為國防軍需大學，下稱 DAU）執行，該大學專為國防相關之政府人員、承包商提供採購、技術和後勤等專業培訓[10]。為改善智財培訓，DAU展開為5年期的智財策略計畫，計有60多項活動待執行，但該策略計劃缺乏重點，沒有排出活動的優先順序，也未具體提出DOD的哪些智財人員應該接受培訓[11]。 （四）DOD須致力發展追蹤已取得／授權智財之後續使用情況的能力 DOD目前的智財指令指示相關政府單位須管理智財相關的契約及智財文件，以避免在採購智財及其相關授權時重複採購，或隨時間流逝而喪失智財權，然而根據訪談結果，相關人員表示DOD採購極大量的智財或相關授權，但不具備追蹤各個智財獲授權使用情形的能力[12]。 三、GAO對DOD的建議 GAO彙整其檢視DOD智財指令執行情況的結果後，對DOD提出下列四個建議[13]，建議內容不外乎是指定與智財管理相關的重要項目須指定負責人，且該負責人須為對應智財相關單位的較高管理階層，確保待改善項目有監督與執行者。 （一）完善智財指南 採購及維護次長（The Under Secretary of Defense for Acquisition and Sustainment）應確保DOD智財指南已闡明DOD人員將如何取得細部製程或技術資料。 （二）確保跨部門合作與資源連結 國防部長（The Secretary of Defense)應確保部長辦公室和各部門所需的合作、人員配置和資源，以連結各計畫智財相關專家、人員。 （三）確認智財活動優先順序 採購助理部長（Assistant Secretary of Defense for Acquisition）應確保智財主任（Director of the IP Cadre）與DAU主席合作，為DAU在2023年至2025年間主責與智財相關活動確定優先順序。 （四）確保智財培訓效益 採購助理部長（Assistant Secretary of Defense for Acquisition）應確保智財主任訂定補充指引，以協助部門負責人和採購職業管理主任（Director of Acquisition Career Management，DACM）確定國防部人員在關鍵專業領域接受之智財培訓和取得的證書能使其有最大的獲益。 參、事件評析 綜觀GAO的檢視結果，雖然DOD的智財管理仍有改善空間，但以足見美國聯邦政府對其智財管理之重視程度，不僅指示部會自行管理智財，更透過部會外的公正單位，從規範到組織實際執行情況進行通盤檢視；而部會內部對於智財管理的程度，已經從訂定和整合智財相關規範，進一步到落實在日常任務中，不只重視部會所需技術本身的智財取得或保護，更欲推進到策略計劃前期，將維護軍武相關的細部製程和技術資料等相關內容及權利也納入採購範圍，甚至為此盤點智財所需的專業能力、規劃培訓專門人員，以促進智財管理的量能，其對智財管理深化及重視的程度值得我國借鏡。 [1] GAO, Defense Acquisitions: DOD Should Take Additional Actions to Improve How It Approaches Intellectual Property, (Nov. 30, 2021), available at https://www.gao.gov/products/gao-22-104752 (last visited Feb. 7, 2022) [2] The Patent and Trademark Law Amendments Act of 1980 (Bayh-Dole Act), 35 U.S.C.§§ 200–211, 301–307. [3] President’s Memorandum to the Heads of the Executive Departments and Agencies,Government Patent Policy (Feb. 18, 1983); Exec. Order No. 12,591, § 1(b)(4), 52 Fed. Reg. 13,414 (Apr. 10, 1987) [4] Defense Procurement Reform Act, 1984, Pub. L. No. 98-525, § 1201. [5] Supra note 1, 17-18. [6] Id., 7, footnote 21. [7] Id., 1. [8] Id., 1. [9] Id., 24-28. [10] DAU, About DAU, at https://www.dau.edu/about (last visited Feb., 7, 2022) [11] Id., 29-30. [12] Id., 32-33. [13] Id., 33-34.
美國國會《促進美國5G國際領導力法案》美國眾議院於2020年1月8日通過《促進美國5G國際領導力法案（Promoting United States International Leadership in 5G Act）》，指示美國國務卿未來應強化美國5G關鍵基礎設施，並在國際標準組織中爭取5G標準制定的領導地位。該法案象徵美國積極對抗中國大陸在5G網路、網際網路設備及雲端設施的控制，以維護國家安全及5G產業競爭力。目前法案還需由美國參議院通過，並經總統簽署後生效。 法案指出，國際標準制定組織（例如國際電信聯盟，第三代合作夥伴計劃3GPP和5G基礎設施協會、5GPPP公私聯盟協會）採用的標準，對於全球經濟及確保網路技術的全球連接至關重要。5G技術標準能帶來更高的智財權收入及技術出口，對未來全球無線通訊技術及標準制定產生強大影響力。中國大陸政府近來鼓勵民間企業在國際5G標準組織中發揮更大作用，企業積極參與並主導5G國際標準制定，試圖重組全球市場並主導經濟戰略性產業。中國大陸官員在國際標準制定組織中，亦擔任更多主導角色，包括建立夥伴關係、分配全球無線電頻率及衛星軌道，建立資通訊技術的國際技術標準等。中國大陸透過「中國製造2025」及「互聯網+」計畫，企圖在國際標準制定組織中稱霸，為中國大陸企業創造5G技術的不公平競爭優勢。 又為加強美國在5G國際標準制定組織中的領導地位，本法案具體列出美國未來5G技術標準與資通訊安全的三項目標：（1）美國與盟國及合作夥伴，應在第五代及下世代行動通訊系統和基礎設施的國際標準制定組織中，保持參與及主導地位。（2）美國應與盟國及夥伴合作，鼓勵並促進第五代及下世代行動通訊系統及基礎設施，發展安全的供應鏈網路。（3）維持美國與盟國及合作夥伴間電信及網路安全標準，維護美國國家戰略和安全利益。
強化AI安全防線：八國連署AI與機器學習供應鏈風險管理指南日本國家網路安全辦公室（国家サイバー統括室）於2026年3月5日，代表日本連署了「AI、機器學習供應鏈風險與緩和措施」（Artificial intelligence and machine learning Supply chain risks and mitigations）之國際文書（下稱本文書），並公布本文書內容。本文書是由隸屬於澳洲訊號局（Australian Signals Directorate，簡稱ASD）之澳洲網路安全中心（Australian Cyber Security Centre，簡稱ACSC）主導訂定，主要針對有導入或開發 AI、機器學習系統與元件等需求的組織，揭示其可能存在供應鏈風險與提升整體網路安全之重要性，並就AI開發或採購階段，組織應留意相關風險與可採行之緩和措施。有關連署國家，除了日本與澳洲以外，也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時，應將 AI 供應鏈視為整體網路安全戰略的一環，同時評估產品或服務之整體生命週期風險，不應著重於單一技術，而是組織需要掌握整體供應鏈的全貌，包括特定關係事業者、活用AIBOM（AI物料清單，主要用來記錄AI模型相關資產與資訊，提供快速定位與管控AI問題模型功能）或SBOM（軟體物料清單，主要記錄軟體相依元件，用於漏洞管理與供應鏈透明度）、意識到是否已針對AI、機器學習系統可能帶來的風險，進行漏洞管理，以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類：AI 數據、機器學習模型、AI 軟體、AI 基礎設施（含硬體），以及第三方服務，本文書指出AI、機器學習應用於供應鏈時可能產生之風險，其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面，以及導入第三方服務致使供應鏈產生弱點等。 此外，本文書也針對各類風險提出可行的因應方法，例如： 1.數據面：需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面：需從可信來源取得透明模型，實施性能驗證與惡意程式偵測。 3.軟體面：需做完整性驗證、元件審核，並透過 SBOM 掌握已知弱點。 4.硬體面：需確認設備無惡意內容，並在網路中適當分區。 5.第三方服務面：需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說，日本已意識到國家網路安全治理下，針對AI、機器學習的安全，不單是模型安全，而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書，不僅強化國際合作，同時建立供應鏈網路安全共識，因應AI對於國家供應鏈之網路安全挑戰，從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法，作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作，提升國家網路安全治理之作法，值得我國未來借鏡參考。