論網路環境下的通訊監察法制
美國商務部產業安全局（Bureau of Industry and Security, BIS）於美東時間2026年1月14日公告修正《出口管制規則》（Export Administration Regulations, EAR）對「特定半導體」出口至中國與澳門的許可簽審政策，將原本自2022年10月7日拜登政府時期的「推定拒絕」（presumption of denial）改為「逐案審查」（case-by-case review），並於美東時間2026年1月15日生效。 本次修正將放寬「特定半導體」原先較難輸往中國的法規障礙，影響的貨品範圍包括先進運算類貨品，即總處理效能（Total Processing Performance）低於21,000，且動態隨機存取記憶體（DRAM）總頻寬低於6,500GB/s的先進晶片（NVIDIA H200、AMD MI325X，或與NVIDIA H200同等級貨品）；以及較前述晶片規格與效能成熟的貨品。 出口人適用本次修正之「逐案審查」許可簽審政策，須滿足以下條件： 1.欲出口之半導體相關貨品在本次公告時，已可在美國商業市場銷售。 2.欲出口之貨品在美國境內具有充足供應。 3.為銷往中國而生產的晶片，不會排擠全球晶圓代工產能，亦不會影響給美國最終使用人相同或更先進貨品的供應情形。 4.出口貨品須在美國境內接受獨立第三方實驗室檢測（testing），加以確認貨品的技術能力與功能，如同出口人許可申請文件所述。 而在中國的收貨方，須已有充分的貨品安全管控程序。BIS此要求並未同步放寬EAR既有的最終用途、最終使用人查核與流向管理標準。建議出口人於交易前、交易中與交易後，積極與供應鏈夥伴建立良好法遵機制。
英國預計在2025年通過《網路安全與韌性法案》，提升網路和關鍵基礎設施的安全與韌性英國工黨政府在2024年7月17日的議會開幕致詞上宣布，將於2025年提出「網路安全與韌性法案」（Cyber Security and Resilience Bill），用以更新現有的網路與資訊系統規則（The Network and Information Systems Regulations 2018）。現有的法規涵蓋5大行業領域：交通運輸、能源、飲水、健康衛生，以及數位基礎設施和部分數位服務（含網路市集、網路搜尋引擎、雲端運算服務等），分別由12個主管機關負責在各自領域落實該法規。 根據英國國家網路安全中心的評估，英國正面臨著來自敵意國家（或受其資助的行為人）日益增加的威脅。而英國的基礎設施在運作時不應該忽視這些威脅。工黨政府希望加強英國的網路防禦和面臨惡意攻擊時的網路韌性，從而確保英國社會所依賴的基礎設施和關鍵服務能夠持續運作，並確保數位經濟能夠持續增長。 根據目前公布的資訊，該法案將會在既有框架下面針對三個方向進行強化： 1. 擴大法規的職權範圍，將更多的數位服務和供應鏈納入保護範圍，保護英國的必要公共服務，避免受到網路攻擊。 2. 提供監管機關採取必要性網路安全措施的法源依據，從法律層面賦予監管機關採取更多安全措施的權利。 3. 強制要求納管對象網路安全事件通報，讓政府確實掌握網路攻擊的次數與相關資訊，以提升整體英國社會對於此類事件的理解與掌握。 該法案預計於2025年提交給英國議會審議，其對於網路安全、數位基礎設施和關鍵設施的安全保護框架，可以作為我國未來提升數位基礎建設及關鍵設施資訊網路安全的重要參考對象。
英國、新加坡領導全球發布供應鏈勒索軟體防護指引在勒索軟體攻擊快速進化、供應鏈弱點成為主要攻擊途徑的背景下，英國於10月24日發布「全球性供應鏈勒索軟體防護指引」（Guidance for Organisations to Build Supply Chain Resilience Against Ransomware），該指引係由英國與新加坡共同領導的「反勒索軟體倡議」（Counter Ransomware Initiative, CRI）框架下推動，旨在協助各國企業降低勒索軟體事件的發生率與衝擊。該指引獲得CRI 67個成員國與國際組織的支持，標誌國際社群在供應鏈資安治理上的最新進展。 英國內政部（UK Home Office）指出，勒索軟體已成全球關鍵基礎設施與企業最主要的威脅之一。根據IBM發布之2025年資料外洩報告（Cost of a Data Breach Report 2025）估計，單一勒索攻擊的全球平均成本高達444萬美元。隨著攻擊手法演進，勒索攻擊已由單點入侵擴大為透過供應鏈滲透，攻擊者常以第三方服務供應商為跳板，一旦供應商遭入侵，即可能向上或向下影響整體產業鏈。英國2024年醫療檢驗服務供應商Synnovis遭勒索軟體攻擊事件，即造成數千次門診與手術延誤，凸顯供應鏈風險的實質衝擊。 該指引從供應鏈角度提出四大防護方向，英國政府與CRI強調，企業應在營運治理、採購流程與供應商管理中系統性導入相關措施，包括： 一、理解供應鏈風險的重要性 在高度互聯的數位環境中，供應鏈已成為勒索軟體攻擊的主要目標，企業應將供應鏈資安視為營運韌性與組織治理的核心要素。 二、辨識關鍵供應商與其資安成熟度 企業應建立完整的供應商清冊，評估其資安控管措施、過往資安事件紀錄、營運與備援能力、保險安排，以及其可存取之系統與資料範圍。 三、在採購與合約中落實資安要求 企業應要求供應商具備基本資安控制措施，包括多因素驗證、系統更新與修補管理、網路分段、安全設定及惡意程式防護等。 同時，合約中應納入資安事件通報義務、稽核權限、營運復原計畫及違規處置機制，並鼓勵供應商採用國際資安標準，例如Cyber Essentials與ISO/IEC27001。 四、持續檢討並更新防護措施 企業應與供應商共同檢討已發生事件及未實際造成損害但已暴露潛在風險之情形（Near Miss，即近乎事故），不論是否構成正式資安事件，均應納入檢討範圍；並定期進行資安演練、共享威脅情資，依攻擊趨勢滾動修正合約與內部規範。 指引同時指出，供應鏈常見弱點包括過度依賴少數供應商、缺乏供應鏈可視性，以及資安稽核與驗證機制不足。英國政府與CRI亦強調，雖然網路保險可作為風險管理工具之一，但無法取代基本且持續的資安防護措施。 該指引適用範圍涵蓋科技、資訊服務、能源、公用事業、媒體與電信等多個產業，顯示供應鏈資安已成全球營運安全的共同課題。英國與新加坡呼籲企業及早建立制度化的供應鏈資安治理架構，以強化全球數位經濟的整體韌性，降低勒索軟體攻擊帶來的系統性風險。
美國眾議院通過網路保護法美國眾議院於2015年4月22日以307票同意，116票反對，通過網路保護法（The Protecting Cyber Networks Act）。本法之立法目的在於移除法規障礙，美國公司藉此將得以與其他公機關或私人分享資安威脅的相關資訊，以防範駭客攻擊。 本法之重點內容主要係為對於網路威脅指標與防禦辦法之分享。依網路保護法第102條與第104條之規定，分享的客體包括「網路威脅指標」（cyber threat indicator）與「防禦辦法」（defensive measures），分享之對象則分為非聯邦機構（non-Federal entities）以及（國防部或國安局之外的）適當之聯邦機構（appropriate Federal entities）。本法第102條規定，在符合機密資訊、情報來源與方法、以及隱私及公民自由之保護下，國家情報總監（the Director of National Intelligence, DNI）經與其他適當聯邦機構諮商後，應展開並頒布相關程序，以促進下列事項之進行：「（一）與相關非聯邦機構中具有適當安全權限之代表，及時分享（timely sharing）聯邦政府所有之機密網路威脅指標；（二）與相關非聯邦機構及時分享聯邦政府所有，且可能被解密並以非機密等級分享之網路威脅指標；（三）於適當情況下與非聯邦機構分享聯邦政府所有，且與該些機構即將或正在發生之網路安全威脅（cybersecurity threat）有關之資訊，以防止或降低該網路安全威脅所造成之負面影響。」 以及，對於隱私權與公民自由之保障亦非常重要，就隱私權與公民自由之保障，網路保護法主要在第103條第4項設有相關規定。對於資訊安全，該項第1款規定，依本法第103條之規定進行資訊系統之監控、執行防禦辦法、或提供或取得網路威脅指標或防禦辦法之非聯邦機構，應實施適當之安全管控，以保護該些網路威脅指標或防禦辦法免遭未經授權之近用或取得。同項第2款則更進一步規定了特定個人資料在一定條件下應被移除。該款規定，依本法進行網路威脅指標分享的非聯邦機構，於分享前應合理地對該網路威脅指標進行復核，以評估該指標是否含有任何令該機構合理相信（reasonably believes）與網路安全威脅非直接相關，且於分享時（at the time of sharing）屬於特定個人之個人資訊或指向特定個人之資訊，並移除該等資訊。