何謂「Sitra」？
芬蘭創新研究發展基金(Finnish Innovation Fund, Sitra) 成立於1967年，是由芬蘭國會直接監督及管理的獨立性公共部門，為芬蘭第一個以科技為主旨的創業投資基金。Sitra設立主要目的是提供對創新企業或風險性專案提供無償資助或貸款，專門研究如何在芬蘭全方位各領域以創新帶動社會發展，使其在國際市場更具競爭力。Sitra為初創公司提供所需資金的15%到40%，待支持的項目成功後，獲取的回報即可再用於擴大投資，創造正向循環的投資環境。與芬蘭國家技術創新局(Tekes)相比，Sitra主要投資於公司和創業公司以創造有利可圖的新興業務；而Tekes為芬蘭經濟及就業部之一部分，主要資助大學、研究單位或私人公司進行科技研發，是芬蘭科技產業創新研發重要支柱。
本文為「經濟部產業技術司科技專案成果」
馬來西亞個人資料保護委員會（Personal Data Protection commissioner，下稱個資保護委員會）於2023年度收受與個人資料（下稱個資）濫用、外洩相關申訴案件數量達779件，成長數量令人憂心。為確保對於個資保護規範能與國際標準發展同步，並加強個資遭洩漏時即時採取應變措施等相關政策，以解決前述憂心狀況，數位部（Ministry of Digital）於2024年7月10日提出《個人資料保護法》（Personal Data Protection Act 2010, PDPA）修正案，並於同年7月16日經下議院（Dewan Rakyat，馬來語直譯）表決通過。 本次PDPA修正重點包含： 1.設立個資保護官（data protection officer, DPO）制度：強制要求蒐集、處理、利用個資之資料控管者（data controller），及受資料控管者委託而實質處理個資之資料處理者（data processor），均需指派個資保護官。 2.擴張對於敏感性個資（sensitive personal data）定義：與個人身體、生理或行為特徵相關之技術處理所生個資（即生物辨識資料），皆屬之。 3.制訂個資外洩通報制度：強制要求發生個資外洩時須通報個資保護委員會，以及可能受到任何重大損害之個資當事人，惟對於「重大損害」尚未有明確定義。 4.導入資料可攜性：在遵守技術可行性（technical feasibility）與資料格式相容性（data format compatibility）之情境下，允許資料控管者之間在當事人要求下進行資料傳輸。 5.資料處理者的合規遵循義務：舊法僅要求資料控管者須遵守PDPA所規定的安全原則（security principle）；新法則擴及要求資料處理者亦有安全原則之合規遵循義務。 6.提高罰則：舊法對於違反個資保護原則者，最高僅得處300,000馬幣和/或2年監禁；新法提高罰則最高得處1,000,000馬幣和/或最高3年監禁。 7.跨境傳輸規範修正：原則允許資料控管者將個資傳輸至馬來西亞以外，惟應採取適當措施確認及確保資料接收方保護個資之水準與馬來西亞個資法程度相當；並將跨境白名單制度調整為黑名單制度，不得傳輸至政府公布黑名單所列地區。 馬來西亞數位部本次修正PDPA，彰顯該國政府對個資保護之重視，惟關於任命個資保護官資格要求、個資外洩通報重大程度標準等細部規範，則仍須待修正案通過後，經個資保護委員會發布相關指引再行釐清。
美國及其他CRI成員共同發布國際反勒索軟體倡議聯合聲明，說明其關鍵成果與未來展望美國及其他參與國際反勒索軟體倡議（International Counter Ransomware Initiative, CRI）之50個成員（含國家及國際組織），於2023年10月31日至11月1日召開第三次大會，並且發布聲明表示：應積極建立對抗勒索軟體之集體韌性（collective resilience）、共同合作降低勒索軟體之散布能力、追究相關行為人之法律責任、制裁非法資助勒索軟體之組織、與私部門合力防止勒索軟體攻擊。 CRI於2023年之關鍵成果主要可分以下三個面向： 一、加強資安管理能力 對CRI新成員提供指導及戰術培訓，例如由以色列督導約旦，以確保新成員之資通安全。此外，亦發起利用人工智慧打擊勒索軟體之計畫。 二、促進資訊共享 設立可即時更新之資訊共享平台，使CRI成員得以迅速分享資安威脅指標。如立陶宛之惡意軟體資訊共享計畫（Malware Information Sharing Project, MISP）、以色列及阿拉伯聯合大公國之水晶球平台（Crystal Ball platforms）。 三、反制勒索軟體使用人 CRI發布前所未有之共同政策聲明，闡明成員不應支付贖金，且創設成員間共享之加密貨幣錢包黑名單（blacklist of wallets），以便揭露勒索軟體使用人之非法帳戶，並公開與犯罪組織之金流紀錄。另，CRI於2024年起將持續致力發展前述聲明提及之目標，並優先向潛在成員進行宣導，透過提供量身訂做之資安應變能力培訓，滿足潛在成員之需求。
美國考慮修正著作權法第115條美國著作權局已針對著作權法第 115 條提出修正案，以因應數位科技對音樂市場造成之衝擊。美國著作權法第 115 條主要係規範非戲劇類音樂之重製 (reproduction) 與散布 (distribution) ，並同時規範此二權利之強制授權及費率核定事宜。在數位音樂時代來臨之前，第 115 條之設計允許唱片業就已錄製之歌曲，在特定費率下加以重新詮釋灌錄。不過，隨著線上音樂的流行，第 115 條有關強制授權制度之設計，已喪失原先期待之功能，而核定之費率反而成為授權雙方協商時價格之上限，對整體音樂市場之發展造成障礙。此外，由於美國境內有關公開演出權 (public performance) 及重製 / 散布權之授權分屬不同之權利人團體 ( 目前美國三大公開演出權利人團體包括 ASCAP, BMI 及 SESAC ；而有關重製 / 散布權之權利人團體主要是 HFA, The Harry Fox Agency) ，因此在數位化音樂傳輸過程中利用人必須面對不同之權利人團體，就同一傳輸行為洽談不同之授權契約，並對同一著作權人支付二次使用報酬。如此繁複的過程及額外的成本，當然使合法音樂服務業者無法與網路音樂侵權者所提供之無成本音樂抗衡。因此，在此次美國著作權局所提出的「 21 世紀音樂授權改革法」中將廢止現行第 115 條，其修正重點包括： 1. 當權利人團體 ( 新法案中稱之為 music rights organization, MRO) 合法授予處理非戲劇類音樂之公開演出權事宜時，該權利人團體亦同時被授予處理重製及散佈權授權相關事項之權利。 2. 權利人團體就數位傳輸之非戲劇類音樂之公開演出權之授權應同時包含能協助公開演出順利進行必要之重製或散佈之權。 3. 著作權人就單一著作不得授權二個以上權利人團體進行該著作之授權談判事宜。 4. 鼓勵權利人團體就其所授權之非戲劇類音樂著作列明清冊，以協助利用人確認洽商授權之對象。
美國NIST發布更新《網路安全資源指南》提升醫療領域的網路安全及隱私風險管理美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）於2022年7月21日發布更新《網路安全資源指南》（A Cybersecurity Resource Guide, NIST SP 800-66r2 ipd）。本指南源自於1996年美國《健康保險流通與責任法》（Health Insurance Portability and Accountability Act, HIPAA）旨在避免未經患者同意或不知情下揭露患者之敏感健康資料，並側重於保護由健康照護組織所建立、接收、維護或傳輸之受保護電子健康資訊（electronic protected health information, ePHI），包括就診紀錄、疫苗接種紀錄、處方箋、實驗室結果等患者資料之機密性、完整性及可用性。其適用對象包含健康照護提供者（Covered Healthcare Providers）、使用電子方式傳送任何健康資料的醫療計畫（Health Plans）、健康照護資料交換機構（Healthcare Clearinghouses）及為協助上述對象提供健康照護服務之業務夥伴（Business Associate）均應遵守。 本指南最初於2005年發布並經2008年修訂（NIST SP 800-66r1 ipd），而本次更新主要為整合其他網路安全相關指南，使本指南與《網路安全框架》（Cybersecurity Framework, NIST SP 800-53）之控制措施等規範保持一致性。具體更新重點包括：（1）簡要概述HIPAA安全規則；（2）為受監管實體在ePHI風險評估與管理上提供指導；（3）確定受監管實體可能考慮作為資訊安全計畫的一部分所實施的典型活動；（4）列出受監管實體在實施HIPAA安全規則之注意事項及其他可用資源，如操作模板、工具等。特別在本指南第三章風險評估與第四章風險管理提供組織處理之流程及控制措施，包括安全管理流程、指定安全責任、員工安全、資訊近用管理、安全意識與培訓、應變計畫、評估及業務夥伴契約等。而在管理方面包括設施權限控管、工作站使用及安全、設備媒體控制；技術方面則包含近用與審計控管、完整性、個人或實體身分驗證及傳輸安全。上述組織要求得由政策、程序規範、業務夥伴契約、團體健康計畫所組成，以助於改善醫療領域的網路安全及隱私保護風險管理。預計本指南更新將徵求公眾意見至2022年9月21日止。