美國FDA將整合區塊鏈等新興技術於電子協同運作系統之開發，以提升藥物供應鏈的安全性
依據2013年11月27日通過之藥物供應鏈安全法（Drug Supply Chain Security Act, DSCSA），美國食品與藥物管理局（US Food and Drug Administration, FDA）於2019年2月7日公布新的領航計畫（Pilot Program）。此計畫主要的目標在於發展電子協同運作系統（electronic, interoperable system）以降低不合規範的藥物於市場流通的可能性，並提升患者的用藥安全。
此運作系統預計於2023年開始正式實施，其主要的功能包含辨識（identify）或追蹤處方藥物（prescription drugs）於供應鏈中的流通狀態，以及排除非法藥物進入供應鏈。於後者的情形，此運作系統將同時協助相關主管機關在非法藥物於市場中流通時迅速反應。FDA進一步指出，為達到這些目的，將引入區塊鏈（blockchain）等已使用在全球食品供應鏈（global food supply chains）的管理技術，以促進系統運作過程中的可追蹤性（traceability）及準確性。
此計畫於2019年2月8日到3月11日間接受加入申請，FDA鼓勵供應鏈中的相關人員，包含製造商（manufacturers）、再包裝商（repackagers）及其他利害關係人（other stakeholders）加入並試行計畫中開發的運作系統等技術，以加強產品使用狀況的管理。此外，FDA未來將持續公布相關的指引草案，如藥物辨識指標（product identifiers）等，以提升產業利用性及藥物使用的安全性。
本文為「經濟部產業技術司科技專案成果」
謝易昕
法律研究員 編譯整理
US Food and Drug Administration[FDA], FDA takes new steps to adopt more modern technologies for improving the security of the drug supply chain through innovations that improve tracking and tracing of medicines, https://www.fda.gov/NewsEvents/Newsroom/PressAnnouncements/ucm630942.htm（last visited Mar. 18, 2019）
US Food and Drug Administration[FDA], Pilot Project Program Under the Drug Supply Chain Security Act; Program Announcement, https://www.federalregister.gov/documents/2019/02/08/2019-01561/pilot-project-program-under-the-drug-supply-chain-security-act-program-announcement （last visited Mar. 18, 2019）
有鑑於加密資產（crypto-asset）投資交易潛在風險與市場波動性，美國聯邦準備理事會（Federal Reserve Board）、聯邦存款保險公司（Federal Deposit Insurance Corporation, FDIC）與通貨監理局（Office of the Comptroller of the Currency, OCC）於2023年2月23日發布聯合聲明，提出加密資產增加銀行流動性風險情境，例如穩定幣因市場狀況之變動，導致銀行擠兌使大量存款流出，由於存款流入和流出的規模與時間的不可預測性，加密資產相關資金恐造成流動性風險提高，提醒銀行機構應用現有的風險管理原則審慎因應。 依據聲明內容，有效風險管理作法包括：（1）了解加密資產相關實體存款潛在行為的直接和間接驅動因素，以及這些存款易受不可預測波動影響的程度；（2）銀行機構應積極監控加密資產資金來源存在的流動性風險，並建立有效的風險管理控制措施；（3）應與加密資產存款相關的流動性風險納入應變計劃（contingency funding planning），例如流動性壓力測試；（4）評估加密資產相關實體存款之間關聯性。該聲明並強調銀行機構應建立風險管理機制及維持適當有效之內部控制制度，以因應加密資產高流動性風險，確保經濟金融穩健發展。
新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網（Internet of Things，簡稱IoT）產品蓬勃發展，伴隨著資通安全之威脅卻也日益加增，新加坡為此陸續訂定國內法規，以強化保障新加坡人民資訊流通之自由，並確立了網路安全標籤機制，藉以提高消費者對於物聯網產品資安的認識。另一方面，標籤制度能於消費者使用物聯網產品時，將產品受到不同層級之網路安全防護，或有別於一般用途使用等資訊，迅速傳達給消費者。據此，本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規，供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1]（CSA），陸續為新加坡建立完善之物聯網產品網路安全防護機制，且新加坡於2018年訂定《網路安全法》[2]，法案的第一部分已明示將「網路安全」列為實質保障內涵[3]，並明訂須透過識別與分析威脅，以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性，首先於亞太地區推出物聯網產品等級評估機制，即新加坡網路安全標籤機制[4]（Cybersecurity Labelling Scheme, CLS），致力於保障新加坡的網路空間，並使消費者能夠識別符合網路安全規定之物聯網產品，以利消費者辨認選購。此外，CLS架構下設有驗證中心、通用標準以及標籤分級等措施，以強化物聯網產品資安防護為目的，也能落實《網路安全法》保障新加坡網路安全之精神。 （一）設置網路安全驗證中心[5]（Cybersecurity Certification Centre, CCC）：為驗證資安相關產品與服務之權責機關，透過CSA建置的驗證標準，成為新加坡企業採用資安產品之參考依據。 （二）建立通用標準（Common Criteria, CC）：最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出，以國際標準ISO／IEC 15408（Common Criteria for Information Technology Security Evaluation）作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認，資訊服務業者若經過相關驗證時，較易被新加坡企業採用。 （三）建立網路安全標籤機制（Cybersecurity Labelling Scheme, CLS）：CSA針對智慧裝置推出網路安全標籤機制CLS，是以《網路安全法》做為上位精神而訂，但並不具強制力，而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級，使消費者能夠識別符合較高等級網路安全規定的產品，並做出明智的決定。CLS共可分為4個等級（Level 1~4），第1級為產品滿足相關之基本要求（如密碼要求、提供軟體更新）；第2級為該產品係使用安全設計原則進行開發（如進行相關之威脅評估、審驗程序）；第3級為該產品經過第三方測試實驗室評估；第4級則經過第三方實驗室之滲透測試。此外，值得注意的是，新加坡亦與德國、芬蘭簽署備忘錄，以相互承認，也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度（IT-Sicherheitskennzeichen）、芬蘭的網路安全標籤制度（Finnish Cybersecurity Label），可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安，透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制，針對物聯網產品資安進行不同層次的保障。此外，採「驗證」方式保障人民生活不受網路威脅侵害，同時提高消費者對於物聯網產品資安之意識，可謂一舉數得之作法。而我國於物聯網產品發展以來，有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章，以供企業或消費者識別，物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後，核發合格證書及資安標章，並依照資安風險高低及安全技術實現複雜度，區分三個等級（L1~L3），分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下，已推出6項產品系列之驗證[7]，並且採消費者導向之標章，足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識；但此認驗證機制或有優化空間，今後可以參考新加坡作法，擴增可進行驗證的產品項目，持續提升保障消費者選購物聯網產品之資訊知悉權，同時可參酌國際上其他重點國家之風險評估方式，以系統性建置物聯網產品資安之風險評估通用標準，以確保該制度未來有機會被其他國家直接或間接承認，為國際接軌做準備，作為今後精進物聯網產品資安之目標，方可促使我國與國際產業鏈、海外市場逐步銜接，提升產業競爭力。 [1]新加坡網路安全局CSA（Cyber Security Agency），隸屬於總理辦公室（Prime Minister’s Office, PMO），由新加坡通訊暨新聞部（Ministry of Communications and Information）管理，https://www.csa.gov.sg/，（最後瀏覽日：2023/6/30）。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟（Mobile Application Security Alliance），關於我們〈推動架構〉，https://www.mas.org.tw/about/background，（最後瀏覽日：2023/6/30）。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟（Mobile Application Security Alliance），IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些？〉，https://www.mas.org.tw/iot/questAndAnswer，（最後瀏覽日：2023/6/30）。
知名歌手Bruce Springsteen拒絕與美國作曲家、作詞家、出版商協會共同要求康諾利酒吧和餐館支付著作權授權費用美國作曲家、作詞家、出版商協會American Society of Composers, Authors and Publishers (以下簡稱協會)與知名搖滾歌手Bruce Springsteen(以下簡稱Springsteen)，和流行歌曲作者Clinton Ballard, Jr.對於紐約州的康諾利酒吧和餐館提出訴訟，原因在於酒吧和餐館沒有支付授權年費就允許樂團演奏Springsteen的歌曲。 當協會的代表發表此一聲明時，Springsteen實際上並不知道此一訴訟。Springsteen的代表指出：Springsteen事先並未被詢問是否要作為此案的原告，該協會是自作主張的將Springsteen列為此案的原告，而且即便協會事先詢問，Springsteen也不會同意作為此案的原告，也就是說不會提起此訴訟。 紐約每日新聞指出，因為協會並未獲得Springsteen的同意，Springsteen的名字應該會被移除。 協會資深副總裁Vincent Candilora(以下簡稱Candilora)表示，康諾利酒吧與餐館目前尚未發表任何聲明，而康諾利酒吧與餐館允許樂團於去年夏天演奏Springsteen的歌，但卻沒有支付授權年費給協會的行為可能會面臨三萬美元的罰金。 Candilora同時表示，為什麼這些有支付授權金的酒吧或餐館在有同樣法律約束的地區，要處於一個不利的競爭條件。提出此訴訟是給予有付授權費用的紐約酒吧一個公平的環境。
拜登政府宣布採取促進負責任AI創新之新行動，以保護美國人民權利與安全拜登政府於2023年5月4日宣布將採取促進負責任AI創新之新行動，表示公司於部署或公開其產品前，應致力於降低AI風險，並強調風險管理與保障措施的重要性，以防止AI對個人與社會造成潛在危害。此外，拜登總統於2月簽署「透過聯邦政府進一步推動種族平等和支持弱勢群體」行政命令（Executive Order on Further Advancing Racial Equity and Support for Underserved Communities Through The Federal Government），指示聯邦政府機關在設計和使用AI等新技術時，應避免偏見，並保護公眾免受演算法歧視。促進負責任AI創新之新行動包括： 一、投資負責任AI的研發 美國國家科學基金會（National Science Foundation）宣布撥款1.4億美元以啟動7個新的國家AI研究所，未來全美將有25個國家級AI研究所。除有助於促進公私部門之間合作外，將強化AI研發基礎設施、支持多元化AI勞動力發展，及推動氣候、農業、能源、公共衛生、教育與資安等關鍵領域之突破。 二、公開評估現有的生成式AI系統（generative AI systems） Anthropic、Google、Hugging Face、微軟、NVIDIA、OpenAI和Stability AI等領先AI開發商將參與AI系統獨立公開評估，以評估其模型是否符合AI權利法案藍圖（Blueprint for an AI Bill of Rights），及AI風險管理框架（AI Risk Management Framework）所提出之原則與實踐，並使企業及開發人員能就所發現問題，進一步採取解決措施。 三、提出政策引導聯邦政府減輕AI風險及提升AI利用機會 美國行政管理預算局（Office of Management and Budget）宣布，將於2023年夏季發布有關聯邦政府機關各部門使用AI系統之政策指引草案，並徵詢公眾意見。