香港公告金融科技監管沙盒2.0版、保險科技沙盒以及證監會監管沙盒
在香港金融管理局（Hong Kong Monetary Authority, HKMA）於2016年9月推出金融科技監管沙盒（Fintech Supervisory Sandbox, FSS）滿一年後，於今年9月29日再公布2.0升級版。而香港保險業監管局（Insurance Authority, IA）同時發布保險科技沙盒（Insurtech Sandbox），證券及期貨事務監察委員會（Securities and Futures Commission, SFC）亦公告證監會監管沙盒（SFC Regulatory Sandbox），初步完備香港金融領域沙盒制度之建立。
於金融科技監管沙盒2.0版中，香港金融管理局為加強金融科技公司與HKMA連繫機制，將成立金融科技監管聊天室（Fintech Supervisory Chatroom），改變最初金融科技公司僅能透過銀行窗口與HKMA進行試驗商品相關聯繫，造成程序不便、資訊不流通等問題，2.0版後金融科技公司可透過HKMA隸屬之金融科技監管聊天室進行意見回饋。並且由於香港針對金融科技、保險、證券及期貨領域推出三種沙盒機制，故推出「一點通」之一站式便民服務，提供企業選擇沙盒並得以和各機關進行相互協調，此次改革將於年底作業完成。
而IA為促進保險科技發展，推出保險科技沙盒，對於保險公司計畫在香港推出的創新技術不確定是否符合香港法規，給予受授權保險公司在沙盒機制內進行沙盒試驗，在沙盒試驗中，主管機關得隨時對保險公司之風險控管做查核，並且消費者有隨時退出試驗並給予補償機制，IA亦可針對不符合之試驗計劃宣告中止。
另外，SFC開放合資格之企業提供沙盒試驗，所謂「合資格之企業」是指經由香港《證券及期貨條例》規範而設立之持照企業或新創公司，同時該公司必須使用創新科技並為投資者帶來更多優質產品服務，並受惠於香港金融服務業者。並且為保護投資者權益，除申請公司應有給予投資者退出機制與提供賠償方式外，並應揭露潛在風險。若最後申請公司證明其試驗客體可靠且符合目的，可向SFC申請走出沙盒機制，並對外營運。
吳昌鴻
法律研究員 編譯整理
Hong Kong Monetary Authority, A New Era of Smart Banking, http://www.hkma.gov.hk/eng/key-information/press-releases/2017/20170929-3.shtml （last visited Oct. 25, 2017）.
Insurance Authority, Insurtech Corner, https://www.ia.org.hk/en/aboutus/insurtech_corner.html （last visited Oct. 25, 2017）.
Securities and Futures Commission, SFC Regulatory Sandbox, http://www.sfc.hk/web/EN/sfc-fintech-contact-point/sfc-regulatory-sandbox.html （last visited Oct. 25, 2017）
印第安那州首席檢察官Greg Zoeller對Wellpoint保險公司提起訴訟標的金額30萬美元之損害賠償訴訟，主張該公司因遲延向首席檢察署及超過32,000萬因個人資料外洩影響所及之客戶通報個資外洩事件，而違反印第安那州通報法〈Indiana notification laws〉中通報及揭露規定〈Chapter 3. Disclosure and Notification Requirements及Chapter 3. Disclosure and Notification Requirements〉，依法各得請求15萬美元罰金，此為印第安那州提起之首件違反通報義務之訴訟。 前述法令於2009年7月生效，新法規定個人資料擁有者〈database owners〉負有「通報義務」，其於個資外洩事件發生後，必須在「合理期間」〈within a reasonable period of time〉內，對「潛在受影響之個人」〈both the individuals potentially affected by a data breach〉，以及檢察署通報，惟經調查，該公司未於合理時間內通報前述應通報之對象。 經查該公司於今〈2010〉年2、3月間即發現客戶個資外洩，卻6月18日始通知客戶，檢察署展開調查後認定其遲延通報無正當理由，故代表印地安那州向其提起民事賠償。 前述所指外洩之個人資料包括：提出投保申請者之個人資料內容，諸如「社會安全碼」〈social security number〉、「財務資訊」〈financial information〉、「健康記錄」〈health records〉，因該保險公司網頁之照管者〈siteminder〉未能實行安全防護，使盜竊身分之人〈identity thief〉得以改變統一資源定址器〈URL〉而窺見申請者的個人資訊。 除印第安那州客戶外，該保險公司因客戶個資外洩亦使其他州投保申請者資訊曝露，包括：美國加州、科羅拉多、康乃迪克、肯特基、密蘇里、內華達、新罕布夏、俄亥俄及威思康辛等九個州，約有47萬個客戶可能因此受影響。
美國聯邦貿易委員會插手企業資訊安全引起爭議美國聯邦貿易委員會(Federal Trade Commission, FTC)於2013年8月29日對位於亞特蘭大的一家小型醫療測試實驗室LabMD提出行政控訴，指控LabMD怠於以合理的保護措施保障消費者的資訊（包括醫療資訊）安全。FTC因此依據聯邦貿易委員會法(Federal Trade Commission Act, FTC Act)第5條展開調查，並要求LabMD需強化其資安防護機制（In the Matter of LabMD, Inc., a corporation, Docket No. 9357）。 根據FTC網站揭示的資訊，LabMD因為使用了點對點（Peer to Peer）資料分享軟體，讓客戶的資料暴露於資訊安全風險中；有將近10,000名客戶的醫療及其他敏感性資料因此被外洩，至少500名消費者被身份盜用。 不過，LabMD反指控FTC，認為國會並沒有授權FTC處理個人資料保護或一般企業資訊安全標準之議題，FTC的調查屬濫權，無理由擴張了聯邦貿易委員會法第5條的授權。 本案的癥結聚焦於，FTC利用了對聯邦貿易委員會法第5條「不公平或欺騙之商業行為(unfair or deceptive acts)」的文字解釋，涉嫌將其組織定位從反托拉斯法「執法者」的角色轉換到（正當商業行為）「法規與標準制訂者」的角色，逸脫了法律與判例的約束。由於FTC過去曾對許多大型科技公司（如google）提出類似的控訴，許多公司都在關注本案後續的發展。
加州通過氣候變遷計畫加州環保署下的加州空氣資源委員會（California Air Resource Board），在2008年12月通過了加州氣候變遷計畫（Climate Change Scoping Plan），目標是在2020年將州內的溫室氣體減量至1990年的水準，本計畫是依加州州長Schwarzenegger在2006年9月，所簽署的2006全球暖化解決法（the Global Warming Solutions Act of 2006）之要求而提出。加州是美國第一個如此正式訂立一個全面性的、法定的、且包含了每一個經濟層面的關於溫室氣體減量計畫的州。 氣候變遷計畫的原則是，找出最佳策略去減少約百分之三十的溫室氣體排放，同時在乾淨和永續的原則下發展加州經濟。計畫中的一個重點方案是碳總量管制與交易（Cap-and Trade），加州將和「西部氣候行動」聯盟（Western Climate Initiative）合作，此組織包括美國七個州及加拿大四個省份，共同承諾去管制它們的碳排放，並建立一個地方性碳交易市場。計畫中其它重要的方案還包括了，執行加州清淨汽車標準、增加州內乾淨和永續能源的使用、執行低碳燃油標準等。 加州空氣資源委員會主席Mary Nichols指出，本計畫是加州達成更安全與永續經濟的指南，它將會引導資本投資在增加能源效率和發展再生能源，使加州對石油的依賴降低，並給予加州居民數以千萬的工作機會。且身為第一個採取如此綠色行動的州，加州在吸引全球相關投資及發展綠色科技上將維持自己立於一個領導地位，取得並擴大全球綠色市場的需求。加州空氣資源委員會將開始擬定執行所有方案的細節，依法所有的方案必須於2012年前全部生效執行。
日本建立物聯網產品資安符合性評鑑及標籤制度（JC-STAR），助消費者提升產品資安識別日本建立物聯網產品資安符合性評鑑及標籤制度（JC-STAR），助消費者提升產品資安識別 資訊工業策進會科技法律研究所 2025年10月30日 壹、事件摘要 為因應物聯網（Internet of Things，簡稱IoT）產品日趨嚴重的資安威脅，日本陸續訂定針對物聯網產品資安之國內法規與政策方針，除了為強化物聯網產品之資安要求以外，藉由具體的資安評級要求，適用不同類型的物聯網產品，再透過資安標籤制度以區別產品，提升產品之資安識別，以供消費者選購時參考。據此，本文觀測日本近期建立的JC-STAR制度與其所適用國內法規，供我國未來參考與借鏡。 貳、重點說明 一、日本JC-STAR制度背景與目的 日本資訊處理推動機構（独立行政法人情報処理推進機構，Information-Technology Promotion Agency, Japan，簡稱IPA），依日本經濟產業省於2024年8月23日所公布之《IoT產品資安符合性評鑑制度建構方針》政策架構下[1]，建立了《物聯網產品資安符合性評鑑及標籤制度》（セキュリティ要件適合評価及びラベリング制度，Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements，簡稱JC-STAR），並於2025年7月29日完成《物聯網產品資安符合性評鑑與標籤制度之基本規章》[2]（セキュリティ要件適合評価及びラベリング制度の基本規程，簡稱本規章）之最終修訂，建立了JC-STAR制度的框架。本規章將物聯網產品的定義、產品所需的附隨服務（含數位服務等）、可提供驗證服務之單位、第三方監督、廠商自我宣告機制、資安符合性基準、評鑑與評鑑報告書、資安符合性標籤及分級機制等多種要件、適用對象與要求事項明確化，確立了以星等為評級的JC-STAR資安標籤制度框架。此外，JC-STAR制度針對物聯網產品採購方、使用方等不同的資安需求，透過附有資安標籤的產品以供各自選購時為考量，因此JC-STAR制度有以下二點優勢： （一） 較易滿足政府或企業的採購標準 針對政府機關或企業等所需採購的物聯網產品，事前已透過共通性的適用標準，將物聯網產品資安進行評鑑分級，並將評鑑流程可視化管理，不僅使產品符合各組織或單位的資安防護需求，同時使產品選購更加便利。 （二） 確保特定領域事業或行業等符合資安法規要求 基於特定領域事業或行業可能有特殊的資安需求，通過符合性評鑑的物聯網產品，因經第三方驗證後以最高等級的標籤呈現，故可確保符合特定領域事業團體之特殊資安需求，或配合指定使用，以確保其採購之物聯網產品均具備合規性。 二、日本JC-STAR框架與資安要求 日本JC-STAR制度是結合歐洲電信標準協會（ETSI）網路安全技術委員會於2022年6月所公布的《網路安全暨隱私保護標準》（ETSI EN 303 645），以及美國國家標準與技術研究所（NIST）於2022年9月公布的《消費者物聯網產品之核心基準》（NISTIR 8425）等適用標準，並經日本官方改定調整成為適用於日本國內之獨特制度。[3]JC-STAR是基於日本官方所定義之物聯網產品符合性標準（涉及資安技術要求事項等），確認物聯網產品是否符合資安要求以及進行可視化的管理。JC-STAR將物聯網產品區分成四種星級，詳述如下： （一） 一星級（★1） 物聯網產品須符合產品共通性之要求，並適用最低限度之資安要求事項，倘若產品已滿足相關要求事項，由產品供應商自我宣告即可。 （二） 二星級（★2） 視物聯網產品的類型、功能特徵等因素，於一星級以上增訂基礎的資安要求事項，倘若產品已滿足相關要求，仍由產品供應商自我宣告即可。 （三） 三星級（★3） 視物聯網產品的使用對象，包含政府機關、關鍵基礎設施或相關業者、地方政府或人民團體、大型企業之關鍵系統等，依產品類型、功能特徵等因素，訂定共通性之資安要件，並須由獨立第三方進行驗證，並須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。 （四） 四星級（★4） 適用程序上雖與三星級相同，依產品類型、功能特徵等因素，訂定共通性之資安要件，並由獨立第三方進行驗證，須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。惟物聯網產品中，諸如通信設備等所適用的資安要求及相關風險層級較高，因此為最高防護等級。 值得注意的是，日本正積極與新加坡、英國、美國、歐盟等各國專責機關等交涉中[4]，預計將JC-STAR制度與各國物聯網產品制度相互承認並使其與國際接軌。 參、事件評析 日本透過國內政策方針及訂定規章，結合其他先進國家的資安標準，建立了屬於日本自己的物聯網產品資安標籤JC-STAR制度。主要將各種不同類型的物聯網產品，賦予不同星等評級，供一般消費者或政府、企業法人等選購時參考，具體提升針對物聯網產品的資安識別。此外，依產品適用對象或風險層級不同，適用不同程度的資安要求事項。倘若涉及政府或企業法人等採購需求，則可能適用三星或四星等級，且產品均須經獨立第三方進行評鑑後，才能取得符合性評鑑報告書，並添附資安標籤。 因此，JC-STAR並非僅針對政府或公部門單位採購適用，而是擴及日本國內產業或是一般消費者，因此日常中物聯網產品的使用，均受到全面性的資安保障。另一方面，倘若未來日本JC-STAR制度受到其他各國承認，即代表物聯網產品可在已簽署承認的國家間受到信任而流通產品，故可望大幅降低日本國內物聯網產品供應鏈符合國際法規或契約要求的成本，有助於提升產業競爭力。據此，日本以資安標籤提升消費者識別，並有物聯網產品資安驗證機制之整體性規劃，均可供我國推動物聯網產品資安治理政策之未來借鏡與參考。 [1]〈IoT製品に対するセキュリティ適合性評価制度構築方針〉，経済産業省，https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/pdf/20240823_1.pdf （最後瀏覽日：2025/10/13）。 [2]〈セキュリティ要件適合評価及びラベリング制度の基本規程〉，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj90000003563-att/JSS-01.pdf （最後瀏覽日：2025/10/13）。 [3]〈IoT製品のセキュリティ確保に向けて ～セキュリティ要件適合評価及びラベリング制度（JC-STAR*）の紹介～〉，頁25，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf （最後瀏覽日：2025/10/13）。 [4]〈ファクトシート：岸田総理大臣の国賓待遇での米国公式訪問〉，日本外務省，https://www.mofa.go.jp/files/100652150.pdf （最後瀏覽日：2025/10/13）。