歐洲網路暨資訊安全局發布「重要資訊基礎設施下智慧聯網之安全基準建議」
歐洲網路暨資訊安全局(European Union Agency for Network and Information Security, ENISA)於2017年11月20號發布了「重要資訊基礎設施下智慧聯網之安全基準建議」。該建議之主要目的乃為歐洲奠定物聯網安全基礎，並作為後續發展相關方案與措施之基準點。
由於廣泛應用於各個領域，智慧聯網設備所可能造成之威脅非常的廣泛且複雜。因此，了解該採取與落實何種措施以防範IOT系統所面臨之網路風險非常重要。ENISA運用其於各領域之研究成果，以橫向之方式確立不同垂直智慧聯網運用領域之特點與共通背景，並提出以下可以廣泛運用之智慧聯網安全措施與實作:
(一) 資訊系統安全治理與風險管理
包含了與資訊系統風險分析、相關政策、認證、指標與稽核以及人力資源相關之安全措施。
(二) 生態系管理
包含生態系繪製以及各生態系的關聯。
(三) IT安全建築
包含系統配置、資產管理、系統隔離、流量過濾與密碼學等資安措施。
(四) IT安全管理
帳戶管理與資訊系統管理之相關安全措施。
(五) 身分與存取管理
有關身分確認、授權以及存取權限之安全措施。
(六) IT安全維護
有關IT安全維護程序以及遠端存取之安全措施。
(七) 偵測
包含探測、紀錄日誌以及其間之關聯與分析之安全措施。
(八) 電腦安全事件管理
資訊系統安全事件分析與回應、報告之資安措施。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
余和謙
法律研究員 編譯整理
美國聯邦第九區巡迴上訴法院，於2009年2月20日判決中維持下級審見解，認定『禁止暴力電玩法案』係違反憲法所保護的言論自由。系爭法案於2005年由加州國會通過，並由州長Arnold Schwarzenegger所簽署批准。根據該法案規定，禁止販售或出租所謂『特別殘酷、極端邪惡或道德敗壞（especially heinous, cruel or depraved）』的暴力電玩給未滿18歲的未成年人；符合法條所描述之暴力電玩並應該在包裝盒上加註除現行ESRB分級標誌以外的特別標示（18禁）；且賦予零售商於販賣暴力電玩時，有檢查顧客年齡之義務，違者將可處1000美元罰款。 聯邦法院法官認為，被告（加州政府）無法證明『暴力電玩』會影響青少年心理及精神方面的健康，或者出現反社會或激進的行為舉止；被告也無法證明透過立法禁止的手段，能有效達到法案所宣稱保護未成年人的立法目的；法院也認為，系爭條文規定過於模糊，並未能說明暴力電玩之判斷標準。 原告Video Software Dealers Association 和Entertainment Software Association表示，要達到加州政府所宣稱的保護未成年人的立法目的，應從加強既有ESRB分級制度的教育宣導、落實零售商遵守分級制度以及透過父母的管教監督等方式著手，而非增加不適當的內容審查機制。然而，支持該法案者則主張，禁止暴力電玩如同禁止對未成年人散佈色情內容一樣（最高法院認為政府禁止對未成年人散佈色情內容並未違憲），本案被告加州州長Schwarzenegger也表示將上訴到底。 日前在德國也出現修正刑法，將販賣或散佈暴力電玩入罪之提議，在暴力電玩分級制度所引起的爭議日益擴大之際，各國相關作法及其所引起之爭議，或許值得我國主管機關重新檢討「電腦軟體分級辦法」之借鏡參考。
新興經濟體之創新創業機制特色初探 紐約通過法案，將禁止企業使用未能通過偏見審計的自動化招募系統紐約市議會於2021年11月10日通過紐約市行政法規的修正法案，未來將禁止雇主使用未通過偏見審計（bias audit）的「自動化聘僱決策工具（Automated Employment Decision Tools）」，避免因為自動化工具導致的偏見與歧視，不當反映於雇主的最終聘僱決策。 於該法所定義之「自動化聘僱決策工具」，係指透過機器學習、統計模型、數據分析或人工智慧之運算，以實質性協助或取代決策過程，影響最終聘僱決定。而聘僱決定包含篩選應徵者以及對員工作成是否晉升之結果。偏見審計由獨立審計員針對自動化聘僱決策工具進行測試，藉以評估該自動化聘僱決策工具對於雇主依法應申報資訊的影響，例如是否影響及如何影響員工性別、族裔、職位、職務等特徵分布情形。該法並規定雇主或職業介紹機構只有在滿足以下條件的前提下，始得使用自動化聘僱決策工具，包括： 一、通過審計義務：自動化聘僱決策工具須於1年之內通過偏見審計（bias audit）。在使用該工具前，應將該最新審計結果摘要及該工具發行日公告於雇主或職業介紹機構的網站上。除非另有規定，如未有公告，應徵者或員工得提出書面要求雇主於30日內提供自動化聘僱決策工具所收集的數據類型、來源及雇主或職業介紹機構之數據保留政策之相關資訊。 二、通知義務：如欲使用自動化聘僱決策工具對居住在紐約市的員工或應徵者進行評估時，雇主應於使用前的10個工作日內通知該員工或應徵者，且應通知用於評估時所使用之工作資格或特質等參數，並允許應徵者或員工申請以替代方式進行評估。 如雇主或職業介紹機構違反上開規定，第一次違反者將承擔500美元的民事懲罰（civil penalty），如連續違反者，對於之後的違反將承擔500至1500美元不等。目前該法案仍待市長簽署，該法案如經市長簽署通過，將於2023年1月1日生效。
英國隱私團體主張eBay違反資料保護法英國隱私團體「隱私國際」（ Privacy International ，以下簡稱： PI ），於日前向英國「資訊官長辦公室」提出控告（ Information Commissioner's Office ，以下簡稱： ICO ），主張英國 eBay 提供的網路拍賣服務，阻撓使用者刪除註冊之個人資料，構成不公平之個人資料處理，違反英國資料保護法 (Data Protection Act) 。 由於 eBay 針對使用者資料之利用除一般註冊資料維護外，還有一個 VeRO 方案，參與此方案的使用者，其使用者 ID 、姓名、地址、電話號碼、電子郵件信箱以及公司名稱等基本資料將會在 eBay 自行判斷有必要用於調查詐欺、智慧財產權侵害或是其他非法活動時被公開，因此， PI 於聲明中主張，「刪除個人資料」功能與該網站之使用者之利益關聯甚鉅。 而「刪除帳號」項目已為多數網際網路服務所預設的帳號管理功能之一，經由 PI 人員實際使用 eBay 網站，窮盡各種搜尋方法，方於「帳戶資訊與付款」 (account information & billing) 項目找到關閉帳戶的選項， PI 指出，一般合理的使用者無法花費大量時間與方法搜尋網站各項功能， eBay 此一行為明顯是為了該公司之利益特意將該功能加以隱藏，以杜絕多數使用者對該項功能的利用，故向 ICO 提出控告。 PI 並指出，未來將對歐洲、美洲及亞洲各主要網站進行類似的調查。