什麼是「日本Connected Industries」？
Connected Industries為日本產業的未來願景，透過人、機器與科技的跨界連接，創造出全新附加價值的產業社會，以達到Society5.0理想目標。例如，物與物的連接形成物聯網(IoT)、人與機器合作拓展智慧與創新、跨國企業合作解決全球議題、跨世代的人與人連繫傳承智慧與技術、生產者與消費者接觸解決商業與社會問題等。
隨著第四次產業革命到來，IoT、大數據及 AI人工製會等技術革新，日本藉由高科技、技術人才及應變能力等優勢與數據技術相結合，目標是邁向以人類為中心、解決問題的新產業社會。Connected Industries的三大支柱分別為：
一、新數據社會（New Digital Society）
消除人與機械系統的對立，實現全新的數位化社會。解決新興科學技術如AI及機器人運用上的困難，並積極活用該技術幫助並強化人類解決問題的能力。
二、多層次合作（Multilevel Cooperation）
區域、世界及全球未來面臨複雜的挑戰，必須透過企業間、產業間及國與國間的連繫合作解決課題。
三、人力資源發展（Human Resource Development）
以人類為中心做思考，積極推展數據技術的人才養成，邁向智慧與技術的數據化時代。
本文為「經濟部產業技術司科技專案成果」
許祐寧
專案經理 編譯整理
美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
美國《聯邦採購規則》（FAR）2019年8月7日，美國總務署（General Services Administration, GSA）、國防部（Department of Defense, DoD）及航空暨太空總署（National Aeronautics and Space Administration, NASA）共同發布一項暫行規定（interim rule），依據2019美國《國防授權法》（National Defense Authorization Act, NDAA）修正美國《聯邦採購規則》（Federal Acquisition Regulation, FAR），以公共及國家安全為由，禁止美國聯邦機構購買或使用包括華為、中興通訊、海康威視、海能達及大華科技等5家中國大陸企業、子公司與關係企業所提供之電信或視頻監控設備及服務。禁令並擴及經美國國防部長與國家情報局局長或聯邦調查局局長協商後，合理認為屬特定國家地區所擁有或控制之實體，或與該國家地區的政府有聯繫者。該暫行規定已於2019年8月13日生效，美國政府有權為不存在安全威脅的承包商提供豁免直至2021年8月13日。並預計在2020年8月，全面禁止美國聯邦機構與使用該中國大陸企業設備與服務之公司簽訂契約。 2019美國《國防授權法》第889（a）（1）（A）條，明文禁止美國聯邦機構採購或使用特定企業所涵蓋之電信設備或服務，並禁止將該類產品作為設備、系統、服務或關鍵技術的實質或必要組成。本次修正美國《聯邦採購規則》，即配合新增第4.21小節「禁止特定電信和視頻監控服務或設備的承包」，並於52.204-25中明訂「禁止簽訂與特定電信和視頻監視服務或設備契約」。故除非有例外或豁免，禁止承包商提供任何涵蓋特定中國大陸企業之電信設備或服務，作為設備、系統、服務或關鍵技術的實質或必要組成部分。承包商及分包商必須在契約履行過程中，報告有無發現任何使用此類設備、系統或服務之情形。
FCC決定將限縮頻率拍賣規範美國政府為因應數位匯流趨勢，自 2004 年起開始逐漸釋放新的頻率執照，以供網路多媒體服務或新興通訊業者申請。不過因為先前的拍賣方式是採匿名制，並將頻率切割成小頻段拍賣，而導致競標者間共謀串連，造成拍賣價格過低的情形屢見不鮮。另一方面，由於頻率交易制度（ trading ）盛行，使無線網路業者為了湊足足夠頻段，必須花費更多的成本去租用或購買頻段來經營業務。以上二個因素使頻率的拍賣出現缺乏競爭的現象。 為使頻率的拍賣能夠達到競標的目的， FCC 決定更弦易轍改變拍賣的方式。 2006 年 4 月 11 日 美國聯邦通訊委員會（ FCC ）投票通過在 6 月 29 日 將舉辦的拍賣，除了取消以往的匿名性競標，將例外以較大的頻段進行公開拍賣，讓更多的有意願經營業務的競標者參加。 目前有部分消費者團體贊同這項決定，認為為可以終結盲目拍賣（ blind bidding ）的亂象，以及杜絕大企業壟斷頻段的情形。
不爽貓著作權與商標侵權及違約訴訟贏得71萬美元賠償不爽貓（Grumpy Cat）於2012年於社群網站曝光後爆紅後，不爽貓主人辭去工作成立「不爽貓公司（Grumpy Cat Limited）」，專心經營不爽貓事業並推出馬克杯、服飾等週邊產品，以及參與各類跨界合作等。 2013年「手榴彈飲料公司（Grenade Beverage）」以15萬美元合約取得不爽貓圖像之授權，得以販售以「Grumpy Cat Grumppuccino」為名且印有不爽貓圖像之冰咖啡品項。然而在2015年「不爽貓公司」發現該圖像進而印製在烘焙咖啡與T恤上，已超出原本約定之使用範圍，而對「手榴彈飲料公司」提出著作權及商標之侵權及違約訴訟。 「手榴彈飲料公司」負責人桑福德父子（Nick and Paul Sandford）反訴主張「不爽貓公司」未如當初規畫盡公司營運之協助，造成「手榴彈飲料公司」潛在之營收損失而求償1,200萬美元，包括：未讓不爽貓與喜劇演員威爾法洛（Will Ferrell）及傑克布萊克（Jack Black）參與電影演出、「不爽貓公司」僅在社群網站張貼17則冰咖啡之行銷貼文、「不爽貓公司」不重視冰咖啡事業因而在脫口秀節目中脫稿演出等。 然而，加州南區聯邦地方法院陪審團並未因以上指控而猶疑，認定「手榴彈飲料公司」負責人侵害「不爽貓公司」之著作權與商標，應支付71萬美元作為賠償，至於違反授權約定部分則以1元作為象徵性賠償。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」