英國政府公布物聯網設備安全設計報告及製造商應遵循之設計準則草案
英國數位文化媒體與體育部於2018年3月8日公布「安全設計：促進IoT用戶網路安全（Secure by Design: Improving the cyber security of consumer Internet of Things）」報告，目的在於讓物聯網設備製造商於製程中即採取具有安全性之設計，以確保用戶之資訊安全。此報告經英國國家網路安全中心(National Cyber Security Centre, NCSC)、製造商及零售商共同討論，並提出了一份可供製造商遵循之行為準則（Code of Practice）草案。
此行為準則中指出，除設備製造商之外，其他包含IoT服務提供者、行動電話軟體開發者與零售商等也是重要的利益相關人。
其中提出了13項行為準則：
- 不應設定預設密碼（default password）；
- 應實施漏洞揭露政策；
- 應持續更新軟體；
- 應確保機密與具有安全敏感性的資訊受到保護；
- 應確保通訊之安全；
- 應最小化設備可能受到網路攻擊的區域；
- 應確保軟體的可信性；
- 應確保設備上之個資受到妥善保障；
- 應確保系統對於停電事故具有可回復性；
- 應監督設備自動傳輸之數據；
- 應使用戶可以簡易的方式刪除個人資訊；
- 應使設備可被容易的安裝與維護；
- 應驗證輸入設備之數據。
此草案將接受公眾意見至2018年4月25日，並規劃於2018年期間進一步檢視是否應立相關法律與規範，以促進英國成為領導國際之數位國家，並減輕消費者之負擔並保障其隱私與安全權益。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
柯亦儒
組長 編譯整理
DEPARTMENT FOR DIGITAL, CULTURE, MEDIA & SPORT, Changing driving laws to support automated vehicles: discussion paper (2018) , https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/686089/Secure_by_Design_Report_.pdf (last visited Apr. 13, 2018).
DEPARTMENT FOR DIGITAL, CULTURE, MEDIA & SPORT, Secure by Design (Mar. 7, 2018), http://www.ntc.gov.au/about-ntc/news/media-releases/ntc-seeks-feedback-on-changing-driving-laws-to-support-automated-vehicles/ (last visited Apr. 13, 2018).
近幾年，製藥領域專利權效力的範圍及例外空間何在，引起廣泛討論，為發展製藥產業，諸多先進國家紛紛修改其專利法，擴大專利權例外範圍，使研發工作更易進行，以爭取跨國藥廠研發委外之機會。例如歐盟2004年修正通過的第2004/27指令，即對學名藥的試驗免責予以明文規定，而歐盟各會員國在將該指令內容落實為內國法的過程中，則有不少國家進一步擴大該指令例外規定的適用範圍。 瑞士雖非歐盟會員國，不過其在化學及製藥領域擁有世界一流的領先技術，因此瑞士也特別注意法規範面對於技術研發與產業發展之影響，並在近幾年積極展開類似的修法工作，瑞士新修正的專利法所規定的研究或試驗免責範圍，更進一步釐清農業領域使用受保護之生物物質之疑義，值得參考。 瑞士新修正專利法第9條規定，專利權效力不及於：（1）於私領域基於非商業目的之行為；（2）基於實驗與研究目的，為針對發明客體及其可能之應用獲取新知識所進行之行為，特別是與該發明客體有關之所有科學研究，均為容許空間；（3）為就某一藥品於瑞士取得上市許可，或於其他有類似藥品上市管制的國家取得上市許可所進行之必要行為；（4）為於教學機構中教學之目的而使用發明；（5）為進行植物品種之選育、發現或開發，而使用生物物質之行為；（6）在農業領域，出於偶然或因技術上不可避免而獲得生物物質。 上述新規定自2008年7月1日生效，隨著專利法對研究例外範圍的進一步釐清，瑞士的法規環境更具有發展生技研發服務的吸引力與國際競爭力。
歐盟執委會提出「歐盟開放資訊戰略」為達成歐盟數位議程（Digital Agenda）中的單一數位市場（Digital Single Market）目標，歐盟執委會（EU Commission）提出了「開放資訊戰略」（Open Data Strategy for Europe）措施，預計可為歐洲地區創造出每年超過400億歐元的產值。 此方案係利用歐盟各會員國政府已蒐集的大量資訊，藉由免費或低收費的方式，提供全歐洲任意目的使用。目前英國、法國已完成相關整備，蓄勢待發 。 歐盟此目標包含三個具體措施：a.歐盟執委會將率先開始，利用新網站（data portals）免費開放資訊；b.建立全歐洲開放資訊的公平競爭環境；c.從2011至2013年投入共1億歐元，以進行資料處理研究。 此外執委會建議修正2003年公共部門資訊再利用指令（2003/98/EC），包含：a.所有公部門蒐集的資訊，在無妨礙著作權情形下，應開放予所有人任何目的使用；b.除了必要成本外，不得收取其他費用；c.任何機器均可使用，以確保資料有效重新利用；d.引入監管機制；e.擴展指令覆蓋範圍，包含博物館與圖書館等。 歐盟執委會現已著手建立新的專屬公開網站，未來該網站將可連結到歐盟各會員國公開資訊。該網站預計於2012年春季正式推出。
歐盟執委會公布「數位金融包裹」法案為鼓勵金融產業之創新，同時使其遵循應有之責任，並讓歐盟金融消費者與商業機構享有更多之利益，歐盟執委會於2020年10月24日提出數位金融包裹法案（Digital Finance Package），並提出以下2項數位金融立法提案： 一、加密資產立法提案（Proposal for Markets in Crypto-assets） 為促進金融創新並同時保有金融穩定性與保護投資人，歐盟執委會提出加密資產管制框架立法提案，並將加密資產分為已受監管與未受監管兩類，前者將持續依據既有規範進行管理。而針對尚未管制之加密資產，該提案針對加密資產發行人與加密資產服務供應商建立嚴格限制，要求取得核准後始可提供服務。具體而言之，立法提案包含以下項目： （一）針對加密資產、加密資產發行人等金融商品名詞進行定義。並建立加密資產服務供應商與發行人營運上、組織架構與資產發行程序之透明度與揭露制度。 （二）針對向公開市場提供加密資產進行管制，例如，依據提案第4條，供應商應為法人，第5條則要求供應商應製作加密資產白皮書，並將其提供給主管機關後始可於公開市場提供相關服務。 （三）針對代幣資產發行人以及其加密資產之審核程序，依據提案第15條，代幣發行者必須為歐盟境內之法律實體。另外，該法要求加密資產發行人應誠實、公平且專業，並完成加密資產白皮書之出版與制定市場溝通規則。 （四）針對加密資產之收購，該法第4章亦設有相關規範，於第37條及38條規定收購之評估機制。 （五）針對加密資產服務供應商之授權與營運條件，該法第5章規定歐盟證券及市場管理局應建立加密資產服務供應商之登記制度。 （六）針對市場秩序維護之部分，該法於第6章規範相關預防市場濫用之禁止事項與要求，並於第7章賦予歐盟成員國各主管機關相關權力，例如第94條之監督與懲處權限。 二、歐盟數位營運韌性管制框架立法提案（Proposal for Digital Operational Resilience） 數位化總伴隨資安風險，歐盟執委會於包裹法案內亦提出歐盟數位營運韌性管制框架立法提案，以確保相關企業可應對所有與通訊技術有關之干擾與威脅，另外，銀行、證券交易所、票據交換所以及金融科技公司將需遵循嚴格之標準以預防並降低ICT資安事件所產生之衝擊，另外亦將針對金融機構雲端運算服務供應商進行監管。具體規範包含： （一）ICT風險管理要求：該立法提案參照相關國際標準，於第5至第14條制訂相關ICT風險管理要求，惟未要求應遵循具體國際標準。 （二）ICT相關事件報告：該提案於第15至20條規範相關報告義務，將整合歐盟金融機構之ICT相關事件報告與監測程序。 （三）數位運作韌性測試：該提案於第21至第24條要求ICT風險管理框架應定期進行測試，惟具體方法可依據組織之規模、風險側寫與商務模式進行調整。 （四）第三方單位風險：該提案於第25至39條規範組織應對ICT第三方供應商風險進行監測，例如，第25條要求金融機構委外執行業務仍應隨時遵循所有金融服務規範，另外，ICT風險管理框架之內容亦應包含第三方ICT風險之監督策略。