布拉格提案（The Prague Proposals）
2019年5月3日，來自全球30多國的政府官員與來自歐盟、北大西洋公約組織的代表於捷克布拉格所舉辦的5G資安會議（Prague 5G Security Conference）中，強調各國建構與管理5G基礎建設時應考慮國家安全、經濟與商業發展等因素，特別是供應鏈的安全性，例如易受第三國影響之供應商所帶來的潛在風險，本會議結論經主辦國捷克政府彙整為布拉格提案（The Prague Proposals），作為提供世界各國建構5G基礎建設之資安建議。
在這份文件中首先肯認通訊網路在數位化與全球化時代的重要性，而5G網路將是打造未來數位世界的重要基礎，5G資安將與國家安全、經濟安全或其他國家利益，甚至與全球穩定等議題高度相關；因此應理解5G資安並非僅是技術議題，而包含技術性與非技術性之風險，國家應確保整體性資安並落實資安風險評估等，而其中最關鍵者，則為強調確保5G基礎建設的供應鏈安全。
因此在布拉格提案中強調各國建構通訊網路基礎建設，應採用國際資安標準評估其資安風險，特別是受第三國影響之供應商背後所潛藏之風險，並應重視5G技術變革例如邊緣運算所產生的新風險態樣；此外對於接受國家補貼之5G供應商，其補貼應符合公平競爭原則等。布拉格提案對於各國並無法律上拘束力，但甫提出即獲得美國的大力肯定與支持。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 【8/27上午場】2025 科技專案成果管理之法制與實務課程
- 【8/27下午場】2025 科技專案成果管理之法制與實務課程
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
范晏儒
專案經理 編譯整理
美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）於2022年7月21日發布更新《網路安全資源指南》（A Cybersecurity Resource Guide, NIST SP 800-66r2 ipd）。本指南源自於1996年美國《健康保險流通與責任法》（Health Insurance Portability and Accountability Act, HIPAA）旨在避免未經患者同意或不知情下揭露患者之敏感健康資料，並側重於保護由健康照護組織所建立、接收、維護或傳輸之受保護電子健康資訊（electronic protected health information, ePHI），包括就診紀錄、疫苗接種紀錄、處方箋、實驗室結果等患者資料之機密性、完整性及可用性。其適用對象包含健康照護提供者（Covered Healthcare Providers）、使用電子方式傳送任何健康資料的醫療計畫（Health Plans）、健康照護資料交換機構（Healthcare Clearinghouses）及為協助上述對象提供健康照護服務之業務夥伴（Business Associate）均應遵守。 本指南最初於2005年發布並經2008年修訂（NIST SP 800-66r1 ipd），而本次更新主要為整合其他網路安全相關指南，使本指南與《網路安全框架》（Cybersecurity Framework, NIST SP 800-53）之控制措施等規範保持一致性。具體更新重點包括：（1）簡要概述HIPAA安全規則；（2）為受監管實體在ePHI風險評估與管理上提供指導；（3）確定受監管實體可能考慮作為資訊安全計畫的一部分所實施的典型活動；（4）列出受監管實體在實施HIPAA安全規則之注意事項及其他可用資源，如操作模板、工具等。特別在本指南第三章風險評估與第四章風險管理提供組織處理之流程及控制措施，包括安全管理流程、指定安全責任、員工安全、資訊近用管理、安全意識與培訓、應變計畫、評估及業務夥伴契約等。而在管理方面包括設施權限控管、工作站使用及安全、設備媒體控制；技術方面則包含近用與審計控管、完整性、個人或實體身分驗證及傳輸安全。上述組織要求得由政策、程序規範、業務夥伴契約、團體健康計畫所組成，以助於改善醫療領域的網路安全及隱私保護風險管理。預計本指南更新將徵求公眾意見至2022年9月21日止。
FDA對於食品製程中應用奈米科技者發布產業指引草案FDA於今年（2012年）4月12日分別發布了兩項有關於評估應用奈米科技於化妝品及食物影響之產業指引草案（draft guidance）。其中就奈米科技應用於食品（以下簡稱奈米食品）之影響，FDA於「產業指引草案：評估包括使用新興科技在內之重要製程，改變對食品原料、與食品接觸物質及食品色素安全性及法規狀態之影響」（Draft Guidance for Industry: Assessing the Effects of Significant Manufacturing Process Changes, Including Emerging Technologies, on the Safety and Regulatory Status of Food Ingredients and Food Contact Substances, Including Food Ingredients that are Color Additives，以下簡稱新興科技衍生食品產業指引草案）中，對於食品製造商應採取哪些步驟以證明使用奈米科技之食品及食品包裝之安全性，有較為具體之說明。 於新興科技衍生食品產業指引草案中，明確表示奈米科技為此文件之涵蓋範圍，惟其聲明將奈米科技納入文件並不代表FDA認定所有內含奈米物質之產品皆屬有害，僅說明FDA認為依據奈米食品之特性，應進行特別的安全性評估以確保安全。文件中也強調，FDA對於食品製程中應用奈米科技所作之考量，與應用其他科技於食品製程者無異，並認為應用奈米科技所產出之最終產品，在原定用途之使用下，其特性及安全性與傳統製程產出者相同。 針對奈米食品之安全性評估，新興科技產業指引草案中指出，應就該食品所使用物質於奈米尺寸下之特性為其判斷基礎，而有可能必須進一步檢驗此等特性之影響，例如該物質對於生物可利用率及其於器官間運輸之影響等。此外，文件中亦提及FDA於過去針對食品添加物、色素及與食物接觸物質之化學及技術數據所作成之產業指引，於此應同樣被遵守，而將奈米食品所涉及與安全性相關之文件提供給主管機關。而FDA也將持續地向產業提供諮詢服務，以確保產品之安全性。 由FDA所發布之相關產業指引觀察，縱使FDA仍秉持美國對於奈米科技不具危害性之基本立場，其仍透過強化安全評估之科學工具及方法，以審慎之態度來取得大眾對於此類產品安全之信任。
美國政府管考辦公室提出醫療產業資訊化政策評價報告美國之政府管考辦公室（ Government Accountability Office ）針對聯邦政府推動醫療產業導入資訊應用之相關措施及作為，九月初向參議院政府再造委員會（ Committee on Government Reform, House of Representatives ）下轄之聯邦人事暨組織次委員會（ the Subcommittee on Federal Workforce and Agency Organization ）提出報告，綜合回顧 2004 以來之各項政策宣示及執行規劃，指出目前猶有未足之處以及今後適宜更加留意之方向。 簡言之，醫療產業導入資訊應用，可望帶來降低營運成本，提升經營效率，防免發生過誤，維護病患安全等諸多實益，已為各界所共認。另由於聯邦政府介入醫療產業之程度與影響層面既深且廣，不僅本諸規制角度主管產業，更推動諸多施政，投入大量資金，提供老人、傷殘、兒童、低收入戶、原住民、退伍軍人、退休公職人員等不同社會族群各式相關服務，從而責成聯邦政府領銜推動醫療產業導入資訊應用，藉此提升醫療之品質及效率，應屬妥適。 自 2004 年提出行動綱領以降，聯邦政府即已陸續接櫫各項目標及其實施策略，並區分病歷資料格式、傳輸互通標準、網路基礎架構、隱私安全議題、公衛服務整合等面向分別開展，獲致相當成效。惟據管考辦公室之分析，既有之政策措施及各項作為，似乏詳盡之細部規劃及具體之實踐要項可資遵循，亦無妥善之績效評比指標以利參考。由是觀之，迄今之努力及其成果固值稱許，然就 2014 年普遍採用電子病歷並且得以交流互通之願景而言，還有很多需要努力的地方。
英國資訊委員辦公室（ICO）發布當事人近用請求權實務準則英國資訊委員辦公室（Information Commissioner’s Office, ICO）於2013年8月8日發布當事人近用請求權實務準則（subject access code of practice），以協助資料控制者遵循1998年資料保護法（Data Protection Act 1998，DPA）有關當事人行使近用權（access right）之規定。 根據DPA，任何資料主體都有權利接觸、查詢其被資料控制者擁有之個人資料，即當事人向資料控制者請求近用其個人資料之權利。當事人近用請求權實務準則闡明資料主體的查閱請求權、製給複製本請求權等權利，與資料控制者回應當事人近用請求權的責任，該項權利允許當事人查詢其信用卡紀錄、健康紀錄等資料，資料控制者一旦收到當事人請求，必需於40天內回覆。 ICO同時發布10項簡易步驟，以協助資料控制者衡量回應當事人近用請求權。內容包括：1.確認當事人提出之請求是否為當事人近用請求權；2.確保有足夠資訊可識別請求者的身分；3.若需要更多資訊以釐清請求者之需求，立即向請求者提出；4.若需收費，及時向請求者提出；5.確認是否有請求者需求的資訊；6.即使紀錄不正確或令人尷尬，都不要試圖更改該紀錄；7.衡量紀錄中是否含有他人資訊；8.確認是否有提供資訊之義務；9.確認能解釋資訊中的複雜名詞；10.於適當的情形下，永久保存回覆當事人資訊的副本。 這項實務準則將協助資料控制者更即時且有效地處理當事人對其資料近用請求之相關事項，同時證明資料控制者係以公開且透明之方式妥善管理其所蒐集之顧客資料。