英國政府公布物聯網設備安全設計報告,提出製造商應遵循之設計準則草案

  英國數位、文化、媒體暨體育部於2018年3月8日公布「安全設計(Secure by Design)」報告,此報告目的在於使IoT設備製造商於製程中即採取具有安全性之設計,以確保用戶之資訊安全。

  此報告中包含了一份經英國國家網路安全中心(National Cyber Security Centre, NCSC)、製造商及零售商共同討論後,提出之可供製造商遵循之行為準則(Code of Practice)草案。

  此行為準則中指出,除設備製造商之外,其他包含IoT服務提供者、行動電話軟體開發者與零售商等也是重要的利益相關人。

  其中提出了13項行為準則:1. 不應設定預設密碼(default password);2. 應實施漏洞揭露政策;3. 持續更新軟體;4. 確保機密與具有安全敏感性的資訊受到保護;5. 確保通訊之安全;6. 最小化可能受到攻擊的區域;7. 確保軟體的可信性;8. 確保個資受到妥善保障;9. 確保系統對於停電事故具有可回復性;10. 監督自動傳輸之數據;11. 使用戶以簡易的方式刪除個人資訊;12. 使設備可被容易的安裝與維護;13. 應驗證輸入之數據。

  此草案將接受公眾意見,並於未來進一步檢視是否應立相關法律。

本文為「經濟部產業技術司科技專案成果」

※ 英國政府公布物聯網設備安全設計報告,提出製造商應遵循之設計準則草案, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw//article-detail.aspx?d=8092&no=55&tp=1 (最後瀏覽日:2026/09/18)
引註此篇文章
你可能還會想看
歐盟執委會提出醫藥品管理整體配套方案,保障歐盟境內大眾用藥安全

  為確保歐洲民眾於健康醫療方面之利益,歐洲製藥工業協會聯合會(European Federal Pharnaceutical Industrial Association;簡稱EFPIA)於2009年2月17日,向歐洲議會(European Parliament)提出建議,並敦促其應儘速通過歐盟執委會(European Commission)於去年年底所提出一項關於醫藥品安全、創新與易近用性之議案。而一位業界代表Günter Verheugen於當(17)日會面後指出:「此次會面,主要是希望能就新近執委會所提交之醫藥品管理整體配套方案(Pharmaceutical Package),進行初步意見之交換與討論」。   由於保障歐盟境內民眾之健康安全,實乃歐盟決策者(Decision-makers)所應掮負之重要責任,故EFPIA總幹事Brian Ager於此次會面交流之前,亦曾高聲向歐洲議會與各會員國家呼籲,應優先將病患安全(Patient Safety)議題納入考量,並採取果斷之行動;同時,其也指明,歐洲醫藥各界為尋求各種可能落實之方法,先前早已經歷過各個階段,並遲延了決策做成之時機;故,此次會面,除要為執委會提案之審查,奠定啟動之基外,亦盼能再次集聚並挹注歐洲醫藥各界之能量,於保護歐洲人民健康安全相關之行動當中。   關於歐盟執委會於去(2008)年底所提出之議案,由於其中有多項內容對歐洲醫藥各界之影響實廣且深;因此,該項提案目前業已廣泛地受到EFPIA與業者之重視。此外,就此項醫藥品管理整體配套方案中擬採行之具體立法規範措施,實包含如後3個面向:首先,是欲透過規範擬提昇藥物警戒(Pharmacovigilance)方法之現代化;其次,強化管制規範以減少假藥滲入歐洲整體醫藥品供應鏈之機會;最後,則是要要提供高品質之健康與醫藥品相關資訊給有需要之病患或大眾近用(Access)等。   由此可知,未來歐盟整體醫藥品管理立法方向,將分由3個不同之角度出發;並同時朝「改善歐洲大眾用藥安全」之目標前進;不過,在進一步進行條文化之前,前述由執委會所提出之醫藥品管理整體配套方案,將會先交由歐洲議會與歐盟理事會官員共同進行初步之討論。

法國憲法委員會宣告《打擊網路仇恨言論法》違憲

  法國憲法委員會於今(2020)年6月18日宣告今年5月甫通過之《打擊網路仇恨言論法》(Lutte contre la haine sur internet, Fighting Hate on the Internet,又稱Avia Law)違憲,認該法侵害人民言論自由之權利。   為打擊網路上日益嚴重之仇恨性言論,法國國民議會於今年5月13日通過《打擊網路仇恨言論法》,該法旨在課予網路社交平台之責任,在其使用者提出檢舉後,平台應於24小時期限內移除明顯的不法言論,包含歧視、仇恨、暴力、煽動犯罪、涉及恐怖主義或兒童色情等,尤以,若該訊息涉及兒童色情或煽動恐怖主義者,則平台刪除該訊息之期限將縮短為1小時內。倘平台若未於期限內刪除之,面臨之罰緩最高達125萬歐元;如經法國高等視聽委員會(Conseil superieur de l'audiovisuel, CSA)審核,發現該平台之內容審查系統存在嚴重且反覆之缺陷者,則最高可對該平台處以其全球收入4%之罰鍰。   該法原定於今年7月1日施行,但經法國憲法委員會審查後,認該法如前述之多項條款要求私人企業判斷使用者之言論是否為明顯涉及非法,將鞏固私人審查權,高額罰款恐將促進平台積極刪除平台上之言論,違反憲法保障之言論自由,因而宣告該條款違憲無效。目前尚不確定法國政府是否會如期施行其餘條款,惟由該法即可看出,法國傾向授權CSA於對網路平台採取更嚴格監管之態度,然是否能有效抑制仇恨性言論,後續尚值得密切觀察。

歐盟執行委員會與蘋果和解 承諾開放第三方行動錢包

歐盟執行委員會(European Commission,下稱執委會)於2024年7月11日宣布與蘋果公司和解並接受蘋果公司提出的承諾,未來十年在歐洲經濟區(European Economic Area, EEA)內允許第三方行動錢包提供者存取iOS裝置的NFC(Near-Field-Communication)功能,並設有監督受託人(monitoring trustee)進行監督。 自2020年6月執委會對蘋果公司啟動反壟斷調查,並於2022年5月執委會提出聲明認為蘋果公司在iOS裝置行動錢包市場具有主導地位,對競爭對手產生排他性影響,涉及違反《歐盟運作條約》(Treaty on the Functioning of the European Union, TFEU)第102條禁止濫用市場地位規定。蘋果公司為解決涉及違法問題,於2024年1月承諾提供第三方行動錢包提供者和支付服務提供者應用程式介面(Application Programming Interfaces, APIs)存取iOS裝置的NFC功能,並經由執委會1個月的第三方意見諮詢後,蘋果公司根據該意見修改部分內容,並提出以下承諾: ● 提供終端設備支付功能。 ● 取消存取NFC功能的資格條件。 ● 允許第三方行動錢包提供者為存取NFC功能預先設置支付應用程式。 ● 持續更新架構以符合行業標準。 ● 允許開發者提示使用者設定預設支付應用程式並導向設定頁面。 ● 縮短爭端解決期程。 ● 由監督受託人提供獨立性及程序保證。 執委會認為蘋果公司提出的承諾能有效解決蘋果公司限制第三方行動錢包提供者在iOS裝置提供NFC支付功能的競爭,執委會與蘋果公司和解並承認該承諾對蘋果公司產生法律約束力,監督受託人將定期向執委會報告,執委會與蘋果公司和解並結束為期4年的調查,但蘋果公司仍須承擔《數位市場法》(Digital Markets Act)等其他法規之義務。 相較於Android系統開放NFC功能提供行動錢包存取,iOS系統對行動錢包存取NFC功能有所限制,澳洲競爭與消費者委員會(Australian Competition and Consumer Commission)及美國司法部對於蘋果公司壟斷iOS裝置的行動錢包市場也展開調查或訴訟,蘋果公司面臨行動錢包市場競爭的挑戰,在歐洲經濟區內可能掀起行動錢包市場競爭的蓬勃發展,是否帶動在其他國家或地區的法制政策改變,可持續觀察各國行動錢包市場動態。

德國新聯邦個人資料保護法將於2018年5月施行

  德國聯邦議院在今年4月27日通過「個人資料保護調整和施行法」(Datenschutzanpassungs- und Umsetzungsgesetz, DSAnpUG),其中包含新的德國聯邦個人資料保護法(Bundesdatenschutzgesetz, BDSG)。在這部新的法案中,已施行40年的 BDSG進行大幅調整以符合歐盟個人資料保護規則(Datenschutzgrundverordnung , DSGVO)的標準。   所有歐盟成員國將於2018年5月25日開始適用DSGVO的規定。DSGVO希望能在歐盟成員國內,形成一套具有法律統一性、標準性與高水準的個人資料保護制度。這也意味著侵害個人資料保護的違法行為,如:未使用適當的加密技術以確保個人資料安全,可能受到更嚴重的處罰,最高可達2,000萬歐元或企業全年營業額的4%。   DSGVO的目的在確保歐盟成員國間個人資料保護的共同法制標準,但考量到各成員國間的區域差異,DSGVO也提供國家立法者約60條的開放性條款(Öffnungsklauseln)─允許許多地區的成員國在特定條件下可不依循DSVGO標準。德國聯邦政府在新的BDSG,也運用了這些開放性條款。但有批評者認為,部分新的BDSG規範內容已超越DSGVO的條文規範,如:個資保護專員(Datenschutzbeauftragten)的就業保障。因此,新的BDSG與歐盟法律不符的部分,很可能被宣布違反歐盟法律。另一方面,舊的BDSG僅有48條規定,而新的BDSG則超過85條規定,且更為複雜,這都提高了法律適用上的難度。   雖然新的BDSG其適法性仍有爭議,且是否能通過司法審查亦屬未知。但盡管如此,隨著DSAnpUG 及新的BDSG法律條文制定,未來德國個人資料處理的基本法律框架已確定。由於企業個人資料處理的基本原則已明訂於DSGVO中,且新的BDSG仍是依照DSGVO的規範而制定,因此企業應盡速審查和調整他們的契約和流程,以符合DSGVO的規範要求。

TOP