英國政府公布物聯網設備安全設計報告，提出製造商應遵循之設計準則草案
英國數位、文化、媒體暨體育部於2018年3月8日公布「安全設計（Secure by Design）」報告，此報告目的在於使IoT設備製造商於製程中即採取具有安全性之設計，以確保用戶之資訊安全。
此報告中包含了一份經英國國家網路安全中心（National Cyber Security Centre, NCSC）、製造商及零售商共同討論後，提出之可供製造商遵循之行為準則（Code of Practice）草案。
此行為準則中指出，除設備製造商之外，其他包含IoT服務提供者、行動電話軟體開發者與零售商等也是重要的利益相關人。
其中提出了13項行為準則：1. 不應設定預設密碼（default password）；2. 應實施漏洞揭露政策；3. 持續更新軟體；4. 確保機密與具有安全敏感性的資訊受到保護；5. 確保通訊之安全；6. 最小化可能受到攻擊的區域；7. 確保軟體的可信性；8. 確保個資受到妥善保障；9. 確保系統對於停電事故具有可回復性；10. 監督自動傳輸之數據；11. 使用戶以簡易的方式刪除個人資訊；12. 使設備可被容易的安裝與維護；13. 應驗證輸入之數據。
此草案將接受公眾意見，並於未來進一步檢視是否應立相關法律。
本文為「經濟部產業技術司科技專案成果」
美國NSF研究基金申請之利益衝突管理機制簡介 財團法人資訊工業策進會科技法律研究所 法律研究員 吳建興 106年07月17日 壹、事件摘要 國家科研計畫投入大量資金研發，旨在產出符合一定品質之研究成果，而無論其研究成功與否，需具備研究成果之客觀中立性[1]。為達成此目的，研究計畫申請時（含產學研究計畫），申請研究單位需已建立財務利益衝突管理機制，確保其研究人員能避免因其自身財務利益，而影響國家科研計畫所資助之研究客觀成果。以美國National Science Foundation Awards(以下簡稱：NSF)研究基金為例，NSF要求申請機關就其執行研究人員需揭露重大財務利益，並具備相關〈利益衝突管理機制〉[2]。以下將根據the NSF Proposal & Award Policies & Procedures Guide[3] (以下簡稱：PAPPG)簡介此機制內容及運作方式。 貳、NSF研究基金下財務利益衝突管理機制之特色 一、機制首重事前(Ex ante)揭露、審查及管理 美國NSF研究基金之機制，首重利益衝突管理，除非有不能管理之利益衝突存在，否則不會影響研究基金之申請。申請單位於NSF研究基金申請前即需管理利益衝突，主要參與研究計畫之人員，需事前揭露重大財務利益，並由申請機關審查有否利益衝突存在，若認定有財務利益衝突時，需提出管理利益衝突方法。 二、執行計畫研究人員需受利益衝突教育訓練義務。 NSF研究基金依據聯邦法規[4]規定，要求申請NSF研究基金之研究機關需在其計畫書中載明單位如何使參與研究人員接受教育訓練，明瞭何謂負責之研究行為(Responsible Conduct of Research:簡稱RCR)，亦即如何避免研究上發生重大財務利益衝突行為。 三、重大財務利益[5]揭露需超越一定門檻 程序上需定義何為需揭露之重大財務利益，包括揭露主體、時機及揭露關係人範圍，以下分述之。 揭露主體：符合聯邦基金計畫下定義之主要研究計畫主持人（All Principal Investigators, Project Directors,Co- Principal Investigators）或其他負責研究計畫之設計、執行及報告之研究人員[6]。皆有填寫一份NSF財務揭露表單之義務。 揭露時機：於提出研究計畫書予NSF研究基金時，相關研究計畫主持人即需提交所需財務揭露表，而於執行計畫期間，研究計畫主持人或其配偶及同居人及未成年子女，仍有揭露新重大財務利益之義務[7]。 揭露關係人範圍：前揭揭露主體之配偶及同居人及未成年子女之所有超過美金一萬元之重大財務利益或持有受研究計畫影響公司之所有權利益超過百分之五皆須申報揭露。 NSF研究基金下所謂之重大財務利益概念係指[8]： 研究主持人及其配偶或未成年子女接受任何超過美金一萬元之合理市價股權利益（equity interest）（含股票、證券、其它所有權利益other ownership interests）或持有任何公司超過5%之所有權利益[9]。 研究主持人及其配偶或未成年子女，於申請前一年內從公司接受任何總計超過美金一萬元之薪資、智財權收入（含權利金）及其他收入[10]。 四、專人審查利益揭露及利益衝突需具備直接及重大性 NSF研究基金規定申請機關得指派一人或多人審查財務揭露[11]並認定是否存在利益衝突，審查型式可以委員會型式[12]呈現或由研究機關指派大學內院長等專人為之，無硬性規定。 關於如何認定重大財務利益衝突存在，NSF研究基金規定若審查人合理認定重大財務利益（SFI）可直接（Directly）或重大(Significantly)影響由NSF所資助研究計畫之設計、執行及報告時，即可認為存在利益衝突[13]。 五、利益衝突管理措施具多樣性，非只有當事人迴避一途 當審查人認定有利益衝突存在，審查人可決定採取限制措施或條件，以管理、降低及移除利益衝突[14]。其可能採取管理措施計包括但不限於：對公眾揭露重大財務利益、獨立審查人控管研究計畫、更改研究計畫、斷絕產生利益衝突關係、脫離重大財務利益及不參與研究計畫[15]。 參、事件評析 （一）美國NSF研究基金制度於有利益衝突時首重衝突管理，而目前臺灣科研計畫無所謂管理利益衝突概念，而採事前一律迴避義務[16]。 我國在研究計畫申請時就已採當然迴避規定，並要求計畫主持人及共同人主持人填寫利益迴避聲明書[17]，但就研究執行期間發生利益衝突情況之處理方式並無規定[18]。 以今年2017科技基本法修法通過後為例，其立法意旨雖明確指出擬規範技術移轉的利益迴避，〈讓科研過程更加透明，以避免學研機構及人員在技轉時不慎踩線違法〉[19]，然而此利益迴避機制仍是針對研發成果管理後端之技轉過程為利益迴避審查，尚未導入研發階段之利益衝突管理機制。目前子法的修訂仍正在進行中，且公布草案中有要求執行研究發展單位於其研發成果管理機制，建立技術移轉的〈利益迴避管理機制〉，惟對於研發前端的〈利益衝突管理機制〉仍未如NSF基金有一樣之制度建立[20]。 （二）目前臺灣對前端科研計畫之申請並無要求執行機關需對參與研究人員有財務利益衝突認識之教育與訓練 雖就目前科研計畫申請無要求，然在今年2017科技基本法修正後，在其子法預計要求執行研究發展單位需導入針對研發後端之技術移轉時所涉及利益迴避為教育訓練[21]。 （三）臺灣科研研究計畫申請前，仍需在研究前端導入利益衝突管理機制，目前修法僅預計在觸及技轉新創公司時，在研究成果管理機制中新增〈利益迴避管理機制〉，是從研究成果後端導入機制。 近年來，產學合作研究增加研究機關與產業之互動，然而此互動關係也漸趨複雜。為不影響產學研究成果之科學上之客觀性，研究計畫之財務利益衝突管理也需為適時調整。惟有加強此產學合作關係上透明性，確保利益衝突規範之遵行，且加強執行單位之自我監控，做好利益衝突管理及主責機關之監督，方可避免因日漸複雜的產學合作關係，使得其合作成果受到質疑[22]。若申請單位本身能提出財務利益衝突管理方法，落實預防性保護措施，自能保證研究成果之客觀性。 為達前述科研成果之客觀性，此利益衝突管理之導入時機，需在研發前端為之，也就是在研發申請前，執行研究發展單位就需為利益衝突管理。 臺灣似可參考NSF研究基金作法，由於其出自另一種思維，除消極防弊外，更積極將重大財務利益事前發現及揭露，並於揭露後判斷是否會直接及重大影響研究成果，若為肯定，則採行適當管理措施以減輕，消弭或管理利益衝突，達到研究成果客觀性目的。此項利益衝突管理思維，可為如何思考改進現行我國在研發計畫申請時只採當然迴避機制為參考。 [1]指科研計畫不受研究人員利益衝突而影響研究成果之科學上真實性。 [2] 本文用〈利益衝突管理機制〉文字來指稱NSF基金所設立之模式，在認定有重大利益衝突時，需採取一定措施來管理、減輕及移除利益衝突，迴避只是其中一種管理手段，與另一種〈利益迴避管理機制〉模式有所不同，該機制雖有利益揭露，及專人審查，然其審查結果只導向當事人需不需迴避之結果，無採取其他管理措施可言。 [3] Proposal & Award Policies & Procedures Guide, National Scence Foundation,https://www.nsf.gov/pubs/policydocs/pappg17_1/sigchanges.jsp (Last visited, June 14, 2017) [4]其法源依據為：Section 7009 of the America Creating Opportunities to Meaningfully Promote Excellence in Technology, Education, and Science (COMPETES) Act (42 USC 1862o–1) [5] Significant Financial Interest:以下簡稱SFI [6]A. Conflict of Interest Policies, 2., PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [7] 參NSF之財務揭露表 [8] 原文請參照：‘The term "significant financial interest" means anything of monetary value, including, but not limited to, salary or other payments for services (e.g., consulting fees or honoraria); equity interest (e.g., stocks, stock options or other ownership interests); and intellectual property rights (e.g., patents, copyrights and royalties from such rights).’. 參A. Conflict of Interest Policies, 2., PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [9]原文請參照：‘A.2.e. an equity interest that, when aggregated for the investigator and the investigator’s spouse and dependent children, meets both of the following tests: does not exceed $10,000 in value as determined through reference to public prices or other reasonable measures of fair market value, and does not represent more than a 5% ownership interest in any single entity;’由此段文字反推而出。 https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [10]原文請參照：‘A.2.f. salary, royalties or other payments that, when aggregated for the investigator and the investigator’s spouse and dependent children, are not expected to exceed $10,000 during the prior twelve-month period.’由此段文字反推而出。 https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [11] A. Conflict of Interest Policies, 4. PAPPG, https://www.nsf.gov/pubs/policydocs/pappg17_1/pappg_9.jsp (Last visited, June 14, 2017) [12] 加州柏克萊大學設有利益衝突委員會而史丹佛大學則由學院長指定專人審查。 [13] 原文為：‘‘A conflict of interest exists when the reviewer(s) reasonably determines that a significant financial interest could directly and significantly affect the design, conduct, or reporting of NSF-funded research or educational activities.’’ A. Conflict of Interest Policies, 4. supra note 6.(黑體字為本文所強調) [14]原文為：‘‘4.An organizational policy must designate one or more persons to review financial disclosures, determine whether a conflict of interest exists, and determine what conditions or restrictions, if any, should be imposed by the organization to manage, reduce or eliminate such conflict of interest.’’ A. Conflict of Interest Policies, 4. supra note 6. (黑體字為本文所強調) [15] A. Conflict of Interest Policies, 4. supra note 6. [16]參科技部補助產學合作研究計畫作業要點第一章通則之六、（迴避規定）以下。 [17]參科技部補助產學合作研究計畫書第三頁,https://www.most.gov.tw/folksonomy/list?menu_id=4dda1fd8-2aa9-412a-889b-9d34b50b6ccd&l=ch（最後瀏覽日：2017/06/14） [18] 經查科技部補助產學合作研究計畫作業要點無相關規定。 [19] 黃麗芸，〈科技基本法三讀，行政教職可兼新創董事〉，中央社，2017/05/26,https://finance.technews.tw/2017/05/26/administrative-staff-can-be-start-up-company-director/ (最後瀏覽日：2017/07/17) [20]請參照科技部公告〈政府科學技術研究發展成果歸屬及運用辦法部分條文修正草案對照表〉內修正條文第五條第三項之四、利益迴避、資訊揭露管理：受理資訊申報、審議利益迴避、公告揭露資訊 等程序，並落實人員、文件及資訊等保密措施。及修正條文第五條之一及修正條文第五條之二等相關條文。 https://www.most.gov.tw/most/attachments/61706f66-80b1-4812-9d6a-3fb140ab21f9 (最後瀏覽日：2017/07/17) （粗體字為本文強調所加）。 [21]請參照科技部公告〈從事研究人員兼職與技術作價投資事業管理辦法部分條文修正草案對照表〉內修正條文第七條學研機構應就依本辦法之兼職或技術作價投資設置管理單位，訂定迴避及資訊公開之管理機制，包括設置審議委員會、適用範圍、應公開揭露或申報事項、審議基準及作業程序、違反應遵行事項之處置、通報程序及教育訓練等。https://www.most.gov.tw/most/attachments/db227464-b0f8-4237-ae7c-d6eb712ff3f7 (最後瀏覽日：2017/07/17)（黑體字為本文強調所加）。 [22] 參美國聯邦衛生部（HHS)於2011年修改旗下PHS之研究基金申請規則之背景說明（42 CFR part 50, subpart F and 45 CFR part 94 (the 1995 regulations), that are designed to promote objectivity in PHSfunded research.）。Responsibility of Applicants for Promoting Objectivity in Research for Which Public Health Service Funding Is Sought and Responsible Prospective Contractors, 76 Fed. Reg.53,256,53,256(Aug. 25, 2011)(to be codified at 42 CFR Part 50 and 45 CFR Part 94).
日本簽署SBOM國際共通指引，強化軟體弱點管理，全面提升國家網路安全由美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, 簡稱CISA）自2024年以來，持續主導並規劃《SBOM網路安全之共同願景》（A Shared Vision of Software Bill of Materials(SBOM) for Cybersecurity）之指引訂定，作為保障網路安全之國際共通指引。於2025年9月3日，由日本內閣官房網路安全統括室為首，偕同經濟產業省共同代表日本簽署了該份指引，包含日本在內，尚有美國、德國、法國、義大利、荷蘭、加拿大、澳洲、紐西蘭、印度、新加坡、韓國、波蘭、捷克、斯洛伐克等共計15個國家的網路安全部門，皆同步完成簽署。以下為指引之重點內容： 1. 軟體物料清單的定位（Software Bill of Materials, 簡稱SBOM） SBOM於軟體建構上，包含元件內容資訊與供應鏈關係等相關資訊的正式紀錄。 2. 導入SBOM的優點 (1) 提升管理軟體弱點之效率。 (2) 協助供應鏈風險管理（提供選用安全的軟體，提升供應商與使用者之間溝通效率）。 (3) 協助改善軟體開發之進程。 (4) 提升管理授權軟體之效率。 3. SBOM對於利害關係人之影響 (1) 使軟體開發人員可選擇最符合需求的軟體元件，並針對弱點做出適當處置。 (2) 軟體資訊的透明化，可供採購人員依風險評估決定是否採購。 (3) 若發現軟體有新的弱點，使軟體營運商更易於特定軟體與掌握弱點、漏洞。 (4) 使政府部門於採購流程中，發現與因應影響國家安全的潛在風險。 4. SBOM適用原則與相關告知義務 確保軟體開發商、製造商供應鏈的資訊透明，適用符合安全性設計（Security by Design）之資安要求，以及須承擔SBOM相關告知義務。 近年來軟體物料清單（SBOM），已逐漸成為軟體開發人員與使用者，於管理軟體弱點上的最佳解決方案。然而，針對SBOM的作法與要求程度，各先進國家大不相同，因此透過國際共通指引的簽署，各國對於SBOM的要求與效益終於有了新的共識。指引內容不僅建議軟體開發商、製造商宜於設計階段採用安全設計，以確保所有類型的資通訊產品（特別是軟體）之使用安全，也鼓勵製造商為每項軟體產品建立SBOM並進行管理，包含軟體版本控制與資料更新，指引更強調SBOM必須整合組織現有的開發與管理工具（例如漏洞管理工具、資產管理工具等）以發揮價值。此份指引可作為我國未來之參考借鏡，訂定相關的軟體物料清單之適用標準，提升政府部門以及產業供應鏈之網路安全。
「英國開放網路守則」英國2011年3月由寬頻政策顧問小組(Broadband Stakeholder Group, BSG)公布促進流量管理政策透明化守則，2012年並依該流量管理政策守則公布「開放網路守則」，此即英國之網路中立性規範，ISP業者必須遵守流量管理規定且不得阻礙服務競爭。2016年6月，BSG公布新修訂之開放網路守則（Open Internet Code of Practice），支持業者以開放網路做為原則，網路使用者得於網路上取得合法內容，並確保ISP業者依據網路中立性原則提供管理或其他服務。在對於流量管理的分配調整方面，ISP業者必須依據開放網路原則提供相關服務，而不得因商業競爭的考量影響使用者權益與服務品質。在使用者權益保障方面，流量管理資訊必須透明化，ISP業者同意依合理方式提供清楚正確之流量管理原則，且該原則必須具有適當性且不得歧視。此外，透過定期公布關鍵事實指標(Key Facts Indicator, KFI)，ISP業者應讓消費者瞭解流量使用與管理情形。在我國，目前僅於電信法第21條訂有網路中立性之宣示性規範。通訊傳播委員將提出之新匯流五法中的電信法與數位通訊傳播法當中，不論是否訂有網路中立性之具體規範，在此之前亦得參考英國之自律管理模式，以建構平等開放之網路環境。
中國民航局公布《關於推動「人工智慧+民航」高品質發展的實施意見》，以加速推動AI於民用航空領域的創新與產業發展中國民用航空局於2025年11月19日公布《關於推動「人工智慧+民航」高品質發展的實施意見》（关于推动“人工智能+民航”高质量发展的实施意见），旨在貫徹《國務院關於深入實施「人工智慧+」行動的意見》（国务院关于深入实施 “人工智能+”行动的意见）及《關於「人工智慧+交通運輸」的實施意見》（关于 “人工智能+交通运输”的实施意见）的要求，以加速推動AI於民用航空領域的創新與產業發展。 本文件說明，中國政府將於安全、物流、監管、建設等領域，持續推動AI驅動的創新產業發展，深化產業與AI的結合。2027年將首先實現AI於民航安全、物流之發展，預計屆時民航領域的高品質資料、基礎設施平台、產業模型演算法等AI核心要素已見成效，形成具指標性的前瞻示範案例以及具有競爭力的智慧產品與應用；而預計至2030年，民航AI治理體系與安全保障體系已逐步建立，成為民航領域發展的基礎。 本文件針對AI具發展優勢之民航領域，提出其於安全、運行、監管等層面的應用場景，例如飛機故障預測性維護、入侵物辨識、鳥情監控、航班編制、航程調度、智慧旅客服務、自動化倉儲管理、執法輔助、風險控管機制等多元應用。此外，為推動民用航空AI算力基礎設施的建設，也鼓勵建造算力與資料中心，期能建立標準化、資料共享的可信資料基礎建設。 而為指導民航單位落實AI應用，本文件亦於附件中編入《民航人工智慧應用場景參考指引》（民航人工智能应用场景参考指引），該指引中介紹發展程度較高的42個航空領域AI應用場景，說明各應用場景的基本應用概念及技術發展成熟度，以作為各單位根據自身條件制定AI導入應用策略的參考依據。