日本啟動大規模自動駕駛實證測試，聚焦高精度圖資與人機介面
設置於內閣府內之SIP(跨部會戰略創新推動方案Cross-ministerial Strategic Innovation Promotion Program)「自動駕駛系統」計畫分項，於2017年10月3日起啟動大規模之自動駕駛實證測試。為加速實現系統之實用化，超過20個以上之國內外汽車製造商等機關，預計於東名高速道路、新東名高速道路、首都高速道路及常磐自動車道及東京臨海地區之一般道路，參加之大規模實證實驗。
SIP自動駕駛系統係從2013年開始，以早日實現自動駕駛系統實用化、透過技術普及以減少交通事故和實現次世代交通系統為目標，並協調產官學各界共同領域工作，和將研究開發推進之重點聚焦於自動駕駛用 Dynamic Map高精度3D地圖（由日本7家相關公司共同出資成立之Dynamic Map Platform＝ DMP 開發之3D地圖）、人機界面 (Human Machine Interface, HMI)、資訊安全、降低行人事故、次世代都市交通等5種技術領域。
研究開發由汽車製造商於公開場合下進行，並接受大眾檢視，於研究開發成果公布同時，也因海外製造商的參與促進國際合作與國際標準化。本次有超過20個機關參加規模，係日本自動駕駛最大規模實證實驗。
本文為「經濟部產業技術司科技專案成果」
數位模擬分身（Digital Twin）係指將實體設備或系統資訊轉為數位資訊，使資訊科學或IT專家可藉此在建立或配置實際設備前進行模擬，從而深入了解目標效能或潛在問題。 於實際運用上，數位模擬分身除可用於實體設備製造前，先行針對產品進行測試，以減少產品缺陷並縮短產品上市時間外，亦可用於產品維護，例如在以某種方式修復物品前，先利用數位模擬分身測試修復效果。此外，數位模擬分身還可用於自駕車及協助落實《一般資料保護規範》（General Data Protection Regulation, 以下簡稱GDPR）規定。在自駕車方面，數位模擬分身可通過雲端運算（cloud computing）和邊緣運算（edge computing）連接，由數位模擬分身分析於雲端運算中涉及自駕系統操作之資訊，包括全部駕駛週期內之資料，如車輛模型在內之製造資料（manufacturing data）、駕駛習慣及偏好等個人隱私資料、感測器所蒐集之環境資料等，協助自駕系統做出決策；在GDPR方面，數位模擬分身可利用以下5大步驟，建立GDPR法規遵循機制以強化隱私保護：1.識別利害關係人與資產，包括外部服務和知識庫；2.漏洞檢測；3.透過虛擬數值替代隱私資料進行個資去識別化；4.解釋結果資料；5.利用資料匿名化以最大限度降低隱私風險，並防止受試者之隱私洩露。
創投有限合夥依產創草案第23條之1適用前後差異創投有限合夥依產創草案第23條之1適用前後差異 資策會科技法律研究所 法律研究員 盧藝汎 106年05月22日 壹、背景說明 因創投業、電影、舞台劇等非採行永續經營模式的產業，不適宜採現行公司組織，為鼓勵資金得以挹注前開事業[1]，立法院於104年6月三讀通過「有限合夥法」[2]。惟法案通過後至今，查經濟部有限合夥資料查詢網站，目前僅有九間有限合夥，其中「德商達佐有限合夥台灣分支機構」及「德商斯德博傳動技術有限合夥台灣分支機構」為外國有限合夥於台灣設立之分支機構，其餘七間公司有影音產業或資訊服務業，並無任何創業投資事業採用，實屬可惜[3]。 事實上，國外針對有限合夥組織此種型態組織，稅制上設有相關配套措施，如美國法採取稅捐轉付（pass through，另有稱此為單層課稅）、德國則稱穿透原則（Transparenzprinzip），其二者名稱雖有異，惟核心思想均係將有限合夥營利所得歸屬於合夥人之所得[4]。然我國在有限合夥法通過後，財政部發布函釋指出，因現行法制賦予有限合夥組織獨立法人格，應比照營利事業課徵營利事業所得稅[5]。爰此，為落實有限合夥法鼓勵新創之立法目的，行政院提出產業創新條例第23條之1草案（下稱草案），引進外國法「穿透課稅原則」，即不對有限合夥組織課徵營利事業所得稅，待有限合夥組織營利所得各合夥人時，對各合夥人課徵所得稅，期待鼓勵創業投資事業採用有限合夥組織，加強對新創事業之投資。 貳、新設立有限合夥組織之創業投資事業適用穿透課稅原則 一、要件及其適用效果 (一)要件 依照草案第23條之1第3項之規定新設立有限合夥組織之創業投資事業適用「穿透課稅原則」應具備下列要件： 自中華民國一百零六年一月一日起至一百零八年十二月三十一日止設立之有限合夥組織之創業投資事業。 設立起五年度約定出資總額、實收出資總額、累積投資新創事業公司之金額限制。 合夥契約約定出資總額 實收出資總額 累積投資新創公司金額 設立當年度 3億元 ✕ ✕ 第二年度 ✕ ✕ 第三年度 1億元 ✕ 第四年度 2億元 達該事業當年度實收出資總額百分之三十或新臺幣三億元。 第五年度 3億元 資金運用於我國境內及投資於實際營運活動在我國境內之外國公司金額合計達其當年度實收出資總額50%。 符合政府政策。 中央主管機關逐年核定。 (二)效果 依照草案第23條之1第3項規定適用之效果如下： 有限合夥組織之創業投資事業免納營利事業所得稅。 有限合夥組織之合夥人獲盈餘分配時依下列方式課稅： (1) 國內外之個人合夥人及營利事業合夥人盈餘分配比例依所得稅法徵免。 (2) 個人合夥人及國外營利事業合夥人就有限合夥分配證券交易所得部分免納所得稅。 二、採穿透課稅原則後與原稅捐制度之效益分析 Ａ國內個人、Ｂ國內營利事業、Ｃ國外營利事業共同設立甲有限合夥組織之創業投資事業，三人的盈餘分配分別為10%、80%及10%，而甲結算之盈餘為100萬元（屬證券交易所得為80萬及非屬證券交易所得為20萬）。試問甲與Ａ、Ｂ、Ｃ應繳多少所得稅？ (一)草案修正前適用所得稅法 甲有限合夥之創業投資事業 應繳納營利事業所得稅＝(100萬元(盈餘)-50萬[6])×12%(稅率)[7]＝6萬 Ａ國內個人 應申報綜所稅營利所得＝（100萬元－6萬）×10%(甲開立憑單淨額予Ａ)＋6萬÷2×10% (可扣抵稅額)＝9.7萬元 營利所得應納稅額＝9.15萬元×5%(稅率)＝0.485萬元 實際繳的所得稅＝0.485萬-6萬÷2×10% (可扣抵稅額) ＝0.1485萬元 Ｂ國內營利事業 所得稅法第42條，獲配之股利淨額或盈餘淨額，不計入所得額課稅。 Ｃ國外營利事業 就源扣繳＝(100萬元-6萬元)×10%(盈餘分配率)×20%(就源扣繳率)＝1.88萬元 (二)草案修正後採行穿透課稅 甲有限合夥之創業投資事業 不計入所得稅。 Ａ國內個人 應納之稅額＝80萬元（非屬證券交易所得之分配）×10%(盈餘配率)×5%(綜合所得稅率)＝0.1萬元 Ｂ國內營利事業 所得稅法第42條，獲配之股利淨額或盈餘淨額，不計入所得額課稅。 Ｃ國外營利事業 就源扣繳＝80萬元（非屬證券交易所得之分配）×10%(盈餘配率)×20%(就源扣繳率)＝0.4萬元 依照上面的案例，新設立有限合夥組織之創業投資事業在盈餘分配條件相同且同一課稅主體稅率相同之情形下，有限合夥組織及期股東採穿透課稅原則享受的稅捐較為優惠： 修正前 修正後 創投有限合夥組織 6萬 不計入 股 東 國內個人 0.185萬 0.1萬 國內營利事業 不計入 不計入 國外營利事業 1.88萬 0.4萬 小 計 8.065萬 0.5萬 參、結論 有限合夥採行穿透課稅原則後，相較採行公司制之課稅，可大幅減少稅捐負擔。同時，考慮到美國稅法（IRC）針對公司稅負，要求符合S章之公司，便可採行「稅捐轉付」即直接歸戶，以股東所得為課稅客體[8]；德國則針對人合性商業組織之營利事業，採取「穿透原則」，得逕自認定屬組織成員所得[9]等立法例下，產創草案第23條之1使創投事業有限合夥組織得採取穿透課稅，與外國法接軌並突破現行所得稅之稅制，殊值肯定。 [1] 立法院公報第104卷第51期，頁325。網址：http://misq.ly.gov.tw/MISQ//IQuery/misq5000Action.action [2] 新制商業組織與有限合夥立法週年的觀察，《月旦民商法雜誌》第54期，廖大穎，頁42，’ [3] 經濟部－有限合夥登記資料查詢。網址：http://gcis.nat.gov.tw/lmpub/lms/dir.jsp?showgcislocation=true&agencycode=allbf [4] 同前揭註2，頁51~頁52。 [5] 參財政部104年12月18日台財稅字第10400636640號函釋。 [6] 基本稅額條例第8條第1項前段。 [7] 基本稅額條例第8條第1項後段。 [8] 有限合夥立法之研究，東吳大學法學院碩士論文，吳宗曄，頁95~頁96。 [9] 參前揭註2，頁52。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
英國個人資料保護最新案例發展及其對我國法制之啟示