英國政府公布物聯網設備安全設計報告，提出製造商應遵循之設計準則草案
英國數位、文化、媒體暨體育部於2018年3月8日公布「安全設計（Secure by Design）」報告，此報告目的在於使IoT設備製造商於製程中即採取具有安全性之設計，以確保用戶之資訊安全。
此報告中包含了一份經英國國家網路安全中心（National Cyber Security Centre, NCSC）、製造商及零售商共同討論後，提出之可供製造商遵循之行為準則（Code of Practice）草案。
此行為準則中指出，除設備製造商之外，其他包含IoT服務提供者、行動電話軟體開發者與零售商等也是重要的利益相關人。
其中提出了13項行為準則：1. 不應設定預設密碼（default password）；2. 應實施漏洞揭露政策；3. 持續更新軟體；4. 確保機密與具有安全敏感性的資訊受到保護；5. 確保通訊之安全；6. 最小化可能受到攻擊的區域；7. 確保軟體的可信性；8. 確保個資受到妥善保障；9. 確保系統對於停電事故具有可回復性；10. 監督自動傳輸之數據；11. 使用戶以簡易的方式刪除個人資訊；12. 使設備可被容易的安裝與維護；13. 應驗證輸入之數據。
此草案將接受公眾意見，並於未來進一步檢視是否應立相關法律。
本文為「經濟部產業技術司科技專案成果」
隸屬美國科學院（National Academy of Sciences）之藥品學會（Institute of Medicine）於2009年2月4日發表一份研究報告，指出美國醫療保險可攜及責任法的隱私權規範（HIPAA, Privacy Rule），對於醫療研究中有關個人健康資訊之取得及利用的規定未盡周全，不僅可能成為進行醫療研究時的障礙，亦未能完善保障個人健康資訊。 在目前的規範架構下，是否允許資訊主體概括授權其資料供後續研究利用，並不明確；另外，在以取得資料主體之授權為原則，例外不需取得授權但必須由審查委員會判斷其妥適性的情況下，亦未有足夠明確的標準可資審查委員會判斷依循，此些問題不僅使得醫療研究中之資料取得及運用，產生若干疑慮，亦突顯個人相關健康資料保護之不足。 該報告建議國會應立法授權主管機關制訂一套新的準則，將個人隱私、資料安全及資訊運用透明化等標準，一體適用於所有醫療相關研究的資料取得及利用上；在未來的新準則中，應促進去名化醫療資訊之運用，同時對於未取得資料主體授權的資料逆向識別（re-identification）行為，應增設罰則；此外，審查委員會在判斷得否不經資料主體授權而以其資料進行研究之妥適性時，亦應納入道德考量因素，倘若研究係由聯邦層級的組織所主導，則研究團隊應先證明其已採取充分保護資料隱私及安全的措施，藉以平衡隱私權保護與醫療研究的拉鋸。
MPAA 藉由 BT 網站伺服器記錄對 P2P(BT) 軟體用戶提起訴訟追蹤、定位、起訴，所有 P2P(BT) 軟體使用者的噩夢再次上演。全美製片業團體「美國電影協會」 ( Motion Picture Association of America ； MPAA ) 在 8 月 25 日對美國境內 286 位居民提起訴訟，成為首宗利用 P2P(BT) 網站伺服器記錄 ( server logs ) 追蹤 ( track down ) 盜版電影下載者的案例。 今年 2 月，著名 BT 網站 LokiTorrent 與 MPAA 的大戰告一段落。德州法院下令 LokiTorrent 關閉網站外，並命令 LokiTorrent 將伺服器記錄轉交給 MPAA 的調查員 ( investigator ) 。 MPAA 的發言人聲稱本月 25 日的訴訟與此事件無關，但所有人都明白 MPAA 正是憑此線索，最終找到了 P2P(BT) 用戶的行蹤。好萊塢希望藉此行動阻嚇免費下載電影的行?， MPAA 資深副總裁 John Malcom 聲稱「下載盜版電影的人要當心了，當你為著作權侵害行為時，網路上並不會有朋友站出來替你撐腰。」 儘管 P2P(BT) 軟體背負著助長盜版的惡名，但 P2P(BT) 的合法用途也在逐漸增加，例如使用 P2P(BT) 技術分發 ( distribute ) 開放原始碼軟體 ( open-source software ) ，網路瀏覽器軟體公司 Opera 即在新版的程式中內建了此種技術。 BT 技術的發明人 Bram Cohen 曾警告用戶，使用 P2P(BT) 軟體下載盜版是個蠢主意，因?軟體在設計時並未刻意隱藏用戶的識別資訊，這也是為何 MPAA 此次能憑藉著伺服器記錄對用戶提起訴訟的主要原因。
英國建置著作數位著作授權平台(Copyright Hub)，為數位時代增添授權管道英國建置著作數位著作授權平台(Copyright Hub)，為數位時代增添授權管道 科技法律研究所 2013年06月28日 壹、背景說明 英國智慧局於今年(2013)3月底時宣布投入15萬英鎊（約683萬元台幣）啟動一項名為數位著作授權平台(Copyright Hub)的建置計畫[1]。所謂的數位著作授權平台的概念，係來自於2012年英國卡迪夫大學(Cardiff University)經濟系教授Hargreaves在2011年5月發表的一篇研究報告[2]，報告內容指出英國目前在多樣化的數位著作授權市場中，已經跟不上數位時代腳步。包括授權費用過高（授權過程繁複）、利用人不易取得作品之著作權、數位著作權交易不夠透明等，導致數位著作授權市場過小，並阻礙創意產業新的數位商業模式發展等，該文並指出若解決上開問題，在2020年後英國每年將可增加220萬英鎊的收入（約1億新台幣）。 Hargreaves教授認為要解決當前的困境，可以成立一個具有自動的電子商務媒合網站（automated e-commerce website），或是網絡系統（network of websites）的單一平台，來解決權利人、利用人、以及市場等關於著作權的授權事宜，此平台稱為數位著作權交易中心（Digital Copyright Exchange），此概念隨後再經英國智慧局委託Richard Hooper教授進行評估研究，正式將該平台命名為「數位著作授權平台」（Copyright Hub），並於今年3月底正式啟動建置計畫。 貳、數位著作授權平台（Copyright Hub）初步構想 Hooper教授受託針對數位著作權交易中心（Digital Copyright Exchange）的可行性進行研究[3]，原則上贊同此種平台的概念，但其另外強調該平台的性質應是一個由產業界主導的非營利組織（industry-led and non-profit），並應搭配以下措施： 一、數位內容作品識別認證 建立數位內容物件識別認證機制，釐清數位內容之權利人與利用人(被授權者)之關係，以加速數位著作之流通以及侵權之防止。例如，以數位圖像而言，其互通的內容識別碼、以及作為數位圖像內容識別碼的後設資料（metadata）[4]容易被移除或變更，以至於無法辨識該圖像的權利人與被授權者為何，同時真正權利人無法收取著作利用的權利金，進而阻礙圖像授權產業的發展。又如以數位音樂為例，目前採行的國際標準碼（ISAN或EIDR），可由業者自行決定，而不同的國際標準碼也應該能夠互相轉換或辨識。 二、降低孤兒著作之利用成本 有關孤兒著作之運用，利用人通常要證明已盡一切努力之辛勤搜尋（diligent search），方能進行該孤兒著作的加值利用。Hooper教授於該研究報告中建議，當利用人透過此數位著作交易平台蒐尋著作權人未果時，便符合已盡一切努力之辛勤搜尋[5]，以符合數位時代的搜尋態樣，降低利用人搜尋的成本。 三、減低數位作品合法取得之落差 目前在數位世界中，權利人與利用人間，就合法取得著作之可能性存在高度落差（Repertoire Imbalance ）[6]。舉例而言，在現實世界中如欲購得知名畫作，對於消費者來說，通常可預期相關交易資訊，包括購得管道、價格等。但在網路世界中，目前不但未發展出明確之交易管道，同時亦有為數不少的非法著作在網路上流竄。因而對於消費者來說，其自然而然以非法著作為其消費標的。從而對著作權利人而言，自然對於數位化的環境保有保障不夠充分之印象。進而降低著作權利人投入資源將著作予以數位化的意願；或縱使數位化後，對於投入數位交易市場，進行授權或銷售亦有所顧忌。因此Richard Hooper認為「數位著作交易平台（Digital Copyright Exchange, DCE)」的概念，除提供線上交易管道外，也須搭配其他技術、措施，以降低非法著作物的複製、流通。 參、由官方成立團隊協助建置數位著作授權平台（Copyright Hub） 英國智慧局聽從Hooper報告之建議，於當年(2012)11月成立「授權推進團隊」（Copyright Licensing Steering Group），由前英國國家廣播公司（British Broadcast Company, BBC）商務授權部主任James Lancaster擔任計畫主持人，下設六個工作小組，以針對Hooper報告所提出的各項主題進行研議，並找出可行之解決方案[7]。六個工作小組分別為： 1.數位著作授權平台籌設小組(Copyright Hub Launch Group) 2.數據轉換小組（Data Building Blocks） 3.數位授權解決方案小組（Digital Licensing Solutions） 4.圖像與後設資料小組（Images and Metadata） 5.教育推廣小組（Education Licensing） 6.音樂聯合授權小組（Joint Music Licensing） 從以上各工作小組定位觀察，不難發現「數位著作授權平台籌設小組」係整個授權推薦團隊的主要核心，其他小組的角色為配合研擬該平台的授權業務相關措施。 圖1：授權推進團隊組織圖 資料來源：http://www.clsg.info/uploads/CLSG_Organisation_Chart.pptx 肆、數位著作授權平台（Copyright Hub）之基本定位與功能 至於數位著作授權平台的定位為何，，根據該平台籌設小組所提出的營運方針[8]，初步觀察該平台的定位與功能可歸納出三項特點： 一、平台定位為連結利用端與權利端之入口門戶（Portal）[9] 該匯轉平台的定位為連結（connect）利用端與權利端的入口門戶，屬於一種著作權資訊匯集中心；另外該平台之建置應由產業界所主導的非營利的組織並採自願加入的性質。只要涉及著作權以及著作臨接權相關的內容作品，都可以加入此平台，不限於數位形式的內容作品。平台並非要取代現有的市場機制，而係在促進現有的集體管理團體、作品登記單位（Registry）以及跨領域之間有關著作權之交流。 二、平台的主要功能在於媒合權利端與利用端[10] 平台主要提供的服務內容為協助利用端找尋合適的內容以及權利資訊，降低其在海量的數位世界裡搜尋的成本。此外，該平台也具備媒合功能，即利用人也可以透過該平台向權利人提出授權申請，或是由權利人向不特定或潛在的利用者提出授權的邀約，平台僅作為第三方的媒合者，協助兩端進行相關授權事務。另外，透過平台的資訊彙整機制，也可降低授權的爭議，例如專屬授權的重疊，以及授權範圍的疑義等等。 三、平台須借重數位權利資訊管理工具以達成目的[11] 目前數位作品透過數位權利管理資訊系統（Copyright Management System）已蔚為趨勢，因此該平台希望藉由多媒體識別網絡（Multimedia Identifier Network），在每一個數位作品加入一個管理碼，用以管理作品的權利資訊（包括授權內容等訊息）。此外，平台未來也會建立識別不同國際標準碼的機制，讓使用不同國際標準碼之作品在此平台上都能夠互相轉換或辨識。 伍、事件評析 從英國智慧局啟動成立數位著作授權平台的計畫，可以看出英國政府有意希望透過一個入口的網站來提供作品權利資訊，亦即由一個「節點」(Hub)[12]連結到各個相關著作權資訊的資料庫或管理團體，目前主要先進國家對於數位著作權彙集管理似乎有此種趨勢，例如日本的著作權資訊集中處理機構（著作権情報集中処理機構）[13]也是採用此種著作權彙集管理方式，不過其定位僅在於資訊提供。成立這些機構的國家，實際上都有良善且歷史悠久的著作權集體管理團體，同時也建立了相當數量的著作權相關數據，因此當要建置此類平台或入口網站時，馬上可擁有相當規模的平台資料庫。 我們也不難觀察到，該平台不斷強調其性質應該是非營利的組織，同時不會涉及相關的授權與交易（但提供協助），也不干預市場既有的商業機制，亦即政府只要擔任輔導或是初期研究建置的角色即可，所有的授權、交易都應該由民間自行運作，也不應該強迫其他產業加入，應由產業自行決定。儘管該平台的理想模式是如此，但該平台實際上尚未運作，是否可能達成每年增加一億台幣的產值也有待觀察。 不過從英國智慧局投入資金啟動數位著作授權平台此一動作，不難發現英國政府的企圖心，欲透過此一平台媒介進一步將英國的音樂、圖像、影音透網絡推廣到世界。從文化層面來說，係希冀透過該媒介再傳遞或散布英倫三島的文化，進而透過間接或直接產生經濟上的價值反饋。至於英國的作法於我國是否有可參考之處？實際上本文認為，由於我國的民主自由開放，所孕育出來文化能量，足以堪稱華語世界之翹首，富有蓬勃發展的音樂產業、出版產業、以及近來興起的影音產業，在華語世界或是亞洲等，競爭力不亞於其他國家，甚至近來流行文化已經深入擴散到鄰近國家當中[14]，我們如何透過科技媒介整合文創產業，進而增加經濟上的產值，英國的此種思維脈絡足堪借鏡。 [1] Government gives £150,000 funding to kick-start Copyright Hub(2013.03.25), http://www.ipo.gov.uk/about/press/press-release/press-release-2013/press-release-20130325.htm [2] Digital Opportunity - A review of Intellectual Property and Growth, http://www.ipo.gov.uk/ipreview-finalreport.pdf [3] Copyright Works: streamlining copyright licensing for the digital age, http://www.ipo.gov.uk/dce-report-phase2.pdf. [4] 後設數據(Metadata)，又稱元數據、中介資料，為描述數據的數據(data about data)，主要是描述數據屬性（property）的資訊，用來支援如指示儲存位置、歷史資料、資源尋找、檔案紀錄等功能。元數據算是一種電子式目錄，為了達到編製目錄的目的，必須在描述並收藏數據的內容或特色，進而達成協助數據檢索的目的。See Kai M. Hüner, Boris Otto, Hubert Österle, Collaborative management of business metadata, International Journal of Information Management, 31(4), 305, 305-308 (2011). [5] Hooper & Lynch, supra note 115, at 31. [6] 參考Hooper & Lynch, supra note 115, at 34. [7] Creative Industries Drive Momentum to Streamline Copyright Licensing in the Digital Age, http://www.clsg.info/uploads/Copyright_Hub__Press_Release.pdf [8] The Copyright Hub: Operating Policies, Version 1.0, November 21 2012, available at http://www.copyrighthub.co.uk/uploads/Copyright_Hub_Operating_Policies_-_Version_1.0_Nov_2012.doc [9] Ibid, P.2 [10] Ibid , P.3-4 [11] Ibid , P.5-6 [12] 此處的hub根據上下語義翻為節點為宜。 [13] 著作権情報集中処理機構，http://www.cdc.or.jp/ [14] 邱莉玲，〈台味指數 8成日本人哈台〉，工商時報，2013-03-08，http://money.chinatimes.com/express/express-content.aspx?id=14435&cid=7
微軟將針對美國政府是否對其在都柏林之主機具有管轄權提出上訴在2014年4月時，美國裁決法官James Francis就聯邦檢察官的申請，依據1986年的「電子通訊隱私法」（Electronic Communications Privacy Act, “ECPA”）第2703條第a項之規定，針對微軟客戶的e-mail對微軟公司發出了搜索令。然而，該搜索令所要求的e-mail資料儲存在微軟位於愛爾蘭都柏林的資料中心，因此微軟以美國政府對於愛爾蘭並無司法管轄權為由，拒絕配合執行該搜索令，並且對發出搜索令的法官提出異議。但是Francis法官認為這並不是「域外搜索令」(extraterritorial search warrants)，並指出在網路互聯的世界中，重點是對資料的控制，而不是「電子財產」的所在位置，於是拒絕了微軟的異議。 於2014年7月，微軟向紐約曼哈頓地方法院再度針對該搜索令提出異議，主張如果美國法院依據「電子通訊隱私法」要求資訊服務提供者提供位於愛爾蘭主機的客戶電子郵件資料，應透過美國與愛爾蘭政府的「多邊司法互助協定(Mutual Legal Assistance Treaty，“MLTA”)」來進行。但地方法院做出以下的裁決：1.在網路世界，電子財產之地理位置不是絕對的；2. 「電子通訊隱私法」第2703條a項所稱之搜索令並不是傳統上的搜索令，而是「搜索令」與「傳票」性質混合的命令，功能是為了讓網路服務業者（Internet Service Provider, “ISP”）提供所擁有的資料給法院；3.國會應無意透過繁瑣的「司法互助協定」來取得位於海外的電子證據；據此，地方法院維持Francis裁決法官的裁決，並且判定微軟藐視法庭。 微軟隨後在2014年12月，以地方法院使用了錯誤的法律理由、沒有根據的推斷立法目的、疏漏重要判決先例的援引、逾越國會立法的優先權並且誤解了「網路流通」的概念等理由，向美國第二巡迴法院提出上訴。 目前蘋果、AT&T、思科、Verizon以及其他科技公司都支持微軟的上訴，認為如果認可美國政府對於本國公司在境外所設置的資訊主機有司法管轄權，將會嚴重衝擊美國以外國家的資料保護法。此案目前仍在法院審理中。