德國針對企業資訊安全及資料保護相關法律提出建議文件
德國經濟及能源部於2018年3月8日為企業資訊安全保護措施建議及資料保護、資料所有權相關法規提出建議文件，協助中小企業提升對於組織及特別領域中的資安風險之意識，並進一步採取有效防護檢測，包括基本安全防護措施、組織資安維護、及法規，並同時宣導德國資料保護法中對於資安保護的法定要求。
資通訊安全及其法規係為企業進行數位化時，涉及確保法的安定性（Rechtssicherheit）之議題。加強資安保護，除可增進銷售及生產力，並使商業貿易間有更大的透明度和靈活性，和創造新的合作信賴關係。因此相關網路內容服務提供商應符合法律要求，提供相關服務，並使共享資料得到完善的保護。例如：應如何保護處理後的資料？如何執行刪除個人資料權利？各方如何保護營業秘密？如果資料遺失，誰應承擔責任？唯有釐清上述相關等問題時，方能建立必要的信任。而在德國聯邦資料保護法，歐盟一般個人資料保護法、歐盟網路與資訊安全指令等規範及相關法律原則，係為數位創新企業執行資安基礎工作重要法律框架。但是，由於數位化的發展，新的法律問題不斷出現，目前的法律框架尚未全面解決。例如，機器是否可以處理第三方資料並刪除或保存？或是誰可擁有機器協作所產生的資料？因此，未來勢必應針對相關問題進行討論及規範。鑑於日益網路化和自動運作的生產設備，工業4.0的IT法律問題變得複雜。一方面，需要解決中、大型企業的營業祕密，資料所有權和責任主題之實際問題，以促進相關數位化創新。另一方面，為了能夠推導出現實的法律規範，需要更多具體實施案例討論。
據研究顯示，企業家對產品責任問題，人工智慧使用，外包IT解決方案，及雲端計算等核心問題的新法規以顯示出極大的興趣，並進一步列入既有或規劃中研究項目。未來，政府將協助為所有公司在安全框架下展開數位計畫合作的機會，並充分利用網路的潛力，而中小企業4.0能力中心也將為中小型公司在數位化目標上提供IT法問題方面的支持。
本文為「經濟部產業技術司科技專案成果」
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 製程工業AI應用與規範研討會
- 美國聯網車監管制度與合規實務說明會
潘俊良
高級法律研究員 編譯整理
Bundesministerium für Wirtschhft und Energie, IT-Sicherheit und Recht, https://www.bmwi.de/Redaktion/DE/Publikationen/Mittelstand/mittelstand-digital-it-sicherheit-und-recht.pdf?__blob=publicationFile&v=10
Bundesamt für Sicherheit in der Informationstechnik, Verantwortlichkeiten von IT-Herstellern, Nutzern und Intermediären, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/ITSicherheitUndRecht/Gutachten_pdf.pdf;jsessionid=3D18711FBEEEFA3F8BA5AABB54319CE0.1_cid351?__blob=publicationFile&v=3
歐盟執委會（European Commission）於去（2011）年11月底宣布，與歐洲電機工程領導組織Orgalime聯盟進行合作，將設立「電動車整合建設示範計畫」，加強推動業界示範營運實務經驗，並結合ICT技術發展，推動歐洲電動車蓬勃發展。歐盟於2011年6月所制定「2011交通政策白皮書--（2011 White Paper on Transport）」，3月所公告「歐盟2050交通遠景（Transport 2050）」規劃政策均係將「電動車產業」視為推動歐盟交通運輸政策之重要支柱；並且，歐盟更是於同年3月所制訂「2011能源效率推動方案（Energy Efficiency Plan 2011）」，明訂運輸專章，宣示將落實推動境內電動車產業相關投資、技術發展及基礎建設。 並且，歐盟對於電動車推動策略，係定位為結合ICT技術與交通工具之重要實踐。由歐盟執委會所支持成立的歐洲綠色車輛促進組織--「ICT4FEV」，其於2010年12月所公布「ICT for the Fully Electric Vehicle」及所2009年10月所制訂「European Roadmap Electrification of Road Transport」，宣示電動車之推動，對於節約能源與氣候保護的關鍵影響因素，並且規劃於科技領域各項研發工作，強化ICT技術、相關零組件及其系統，可扮演之重要角色，包括儲能系統、運輸技術、車輛整合、安全、電網整合運輸系統整合等。ICT4FEV並宣示未來將持續推動及檢視政府應備規範，並進行相關法令之調修工作。
菲律賓就共乘服務發布新法令，針對以APP招車及其相關營運進行明確規範菲律賓於今（2015）年05月13日發布共乘服務（如：Uber）新法令，成為全球第一個針對以APP招車及相關營運進行明確具體規範的國家。在該法令規範之下，車齡在七年以下之私人轎車、休旅車及小貨車得經如「優步」（Uber）或GrabCar等共乘服務公司之認證合格後參與營運。 菲律賓交通部長阿巴亞（Joseph Emilio Abaya）說明，根據全球資料庫 “Numbeo”公司之調查研究，由於首都馬尼拉（東南亞第二壅塞，僅次於印尼首都雅加達的城市）缺乏足夠的大眾運輸工具，故共乘服務有其需求及必要性。 「我們不應將共乘服務視為傳統計程車產業的損害者，而應該認為它可以提供更優質的服務、同時迫使傳統業者現代化及革新。」阿巴亞在本週就該規範即將施行的簡報中如此闡述。 總部設立於美國的「優步」（Uber），係全球最具價值之風險投資新創公司，估計市值400億美元。關於優步如何支付駕駛報酬、向乘客收取車資費用並確保其安全、以及違反交通法令規範等層面，業已在全球面臨諸多法律挑戰。共乘服務運用科技來連結市民利用其自有私家車與欲搭乘車輛之消費者，而傳統計程車經營者之忿怒則在於其毋須支付許可（執照）費、也毋須遵守當地相關規範。 優步考量到馬尼拉人口達1,500萬之眾，因此預期菲律賓將會是有利可圖的市場。優步菲律賓總經理Laurence Cua於接受路透社（Reuters）訪問時表示：「此次修法，係將消費者的安全置於優先考量，亦認同如優步這類型公司之價值，以及其運用科技改善城市運輸品質之能力。」 然而優步及其他同類公司發現：要在經濟快速成長的東南亞經營，未必是一件輕而易舉的事情。傳統計程車業者揚言要控告政府，以促其保護在馬尼拉攬客維生的27,000部計程車。 「世界各地政府均瞭解計程車業者投資多少於經營，卻僅有菲律賓的業者未受保護。」菲律賓全國計程車駕駛協會主席Jesus Manuel Suntay對路透社如是說。 根據日本獨立行政法人國際協力機構估計，馬尼拉因交通阻塞，每日生產力損失的價值高達5,700萬美元之譜。
英國資訊委員辦公室推出資料分析工具箱協助組織檢視資料保護情形英國資訊委員辦公室(Information Commissioner's Office, ICO)於今（2021）年2月17日推出資料分析工具箱（data analytics toolkit）供所有考慮對個人資料進行資料分析的組織使用，旨在幫助組織駕馭人工智慧（Artificial Intelligence, AI）系統對個人權利所可能帶來的挑戰。 ICO表示，越來越多的組織使用AI來完成特定任務，例如使用軟體自動發現資料集（data sets）的模式，並藉此進行預測（predictions）、分類（classifications）或風險評分（risk scores），組織在使用個人資料進行資料分析時，納入資料保護的概念是至關重要的，除符合法律要求外，也能增強民眾對技術的信任與信心。 使用ICO的資料分析工具箱時，首先會詢問組織所適用的法律，並引導至相對應的頁面，並透過合法性（lawfulness）、問責與治理（accountability and governance）、資料保護原則（data protection principles）以及資料主體權利（data subject rights）等一系列的問題瞭解組織的資料保護情形，在回答所有問題之後，工具箱將產生一份報告，提供組織關於資料保護的建議，提高組織資料保護的法令遵循程度。 ICO強調，組織應該要在個人資料處理的過程中考量報告中所提及的建議，並向組織的資料保護長（Data Protection Officer, DPO）徵詢其意見，在組織委託、設計與實施資料分析時落實個人權利與自由的保障。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).