歐盟執委會於2020年1月8日發布《非歐盟國家智財權保護與執法成效報告》(Report on the protection and enforcement of intellectual property rights in third countries)。該報告自2006年起,每兩年出版一次,主要目的為確定特定非歐盟國家中智財權之保護與執法狀況,並列出每兩年的「優先關注國」(priority countries)清單。報告中亦說明,所謂「優先關注國」是對歐盟智財利益造成最大侵害的國家,而非指全球中智財保護狀況最有問題的國家。
本次報告臚列的國家中,中國為最需關注的第一級國家;第二級為印度、印尼、俄羅斯等;第三級則是阿根廷、巴西、馬來西亞、泰國、沙烏地阿拉伯等國。報告提到中國是歐盟境內仿冒品與盜版貨物的主要來源。在歐盟海關扣押的仿冒品與盜版貨物中,有百分之八十以上來自中國和香港。第二類優先國家,其智財保護與執法存在系統性問題,且問題解決上進度緩慢。而第三類優先國家智財領域表現上也有類似問題,僅在嚴重性和數量低於第二級優先國家。其中,沙烏地阿拉伯為今年新增為優先關注國家,研究報告指出該國常被作為中轉國家,傳輸歐盟境內仿冒與盜版貨物。
報告中亦提到上述國家共同問題,包含:
本文為「經濟部產業技術司科技專案成果」
美國商務部產業安全局(Bureau of Industry and Security,下稱BIS)於2024年7月1日發布出口管制刑事與行政執法案例彙編—《別讓這些事情發生在你身上!》(Don’t Let This Happen to You)。彙編內容除介紹BIS各單位的工作目標與組織架構外,也概述主管機關的裁罰手段,包括刑事及行政裁罰、避免行為人即將發生或繼續違法出口、再出口或國內移轉所採取之限制措施(Denial of Export Privileges)、列管制清單、沒收資產等;亦提供人民救濟管道,如提早通報違法行為的自願自主揭露(Voluntary Self-Disclosures)規定等;更收錄新的執法案例。 該彙編以中國、俄羅斯、伊朗及其他地區之出口目的地為主軸,就管制理由涉及國家安全、軍事、大規模毀滅性武器等理由,分別介紹重點違法案例。提供產、學界識別違法行為時之參考。 對於2024年結案的重點案例,重點摘要如下: 1.愛沙尼亞T公司違反美國出口管制規定,非法將「座標磨床」(jig grinder)輸往俄羅斯,分別遭罰34萬美金及48萬美金。 2.英國籍F氏意圖自美國違法輸出工業微波系統(industrial microwave system)及反無人機系統(counter-drone system)至伊朗,遭判18個月有期徒刑。 3.印第安納大學(Indiana University)的布魯明頓果蠅庫存中心(Bloomington Drosophila Stock Center)向多個國家的研究機構及大學出口含有蓖麻毒素A 亞基轉基因(transgenes of the A subunit of the ricin toxin)的轉基因果蠅,而未申請出口許可,遭停止出口,並須對行政人員進行出口管制教育訓練。
新加坡物聯網產品網路安全防護之初探新加坡物聯網產品網路安全防護之初探 資訊工業策進會科技法律研究所 2023年06月30日 壹、事件摘要 近年物聯網(Internet of Things,簡稱IoT)產品蓬勃發展,伴隨著資通安全之威脅卻也日益加增,新加坡為此陸續訂定國內法規,以強化保障新加坡人民資訊流通之自由,並確立了網路安全標籤機制,藉以提高消費者對於物聯網產品資安的認識。另一方面,標籤制度能於消費者使用物聯網產品時,將產品受到不同層級之網路安全防護,或有別於一般用途使用等資訊,迅速傳達給消費者。據此,本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規,供我國參考與借鏡。 貳、重點說明 一、新加坡物聯網網路安全法規 新加坡於2015年成立新加坡網路安全局[1](CSA),陸續為新加坡建立完善之物聯網產品網路安全防護機制,且新加坡於2018年訂定《網路安全法》[2],法案的第一部分已明示將「網路安全」列為實質保障內涵[3],並明訂須透過識別與分析威脅,以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性,首先於亞太地區推出物聯網產品等級評估機制,即新加坡網路安全標籤機制[4](Cybersecurity Labelling Scheme, CLS),致力於保障新加坡的網路空間,並使消費者能夠識別符合網路安全規定之物聯網產品,以利消費者辨認選購。此外,CLS架構下設有驗證中心、通用標準以及標籤分級等措施,以強化物聯網產品資安防護為目的,也能落實《網路安全法》保障新加坡網路安全之精神。 (一)設置網路安全驗證中心[5](Cybersecurity Certification Centre, CCC):為驗證資安相關產品與服務之權責機關,透過CSA建置的驗證標準,成為新加坡企業採用資安產品之參考依據。 (二)建立通用標準(Common Criteria, CC):最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出,以國際標準ISO/IEC 15408(Common Criteria for Information Technology Security Evaluation)作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認,資訊服務業者若經過相關驗證時,較易被新加坡企業採用。 (三)建立網路安全標籤機制(Cybersecurity Labelling Scheme, CLS):CSA針對智慧裝置推出網路安全標籤機制CLS,是以《網路安全法》做為上位精神而訂,但並不具強制力,而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級,使消費者能夠識別符合較高等級網路安全規定的產品,並做出明智的決定。CLS共可分為4個等級(Level 1~4),第1級為產品滿足相關之基本要求(如密碼要求、提供軟體更新);第2級為該產品係使用安全設計原則進行開發(如進行相關之威脅評估、審驗程序);第3級為該產品經過第三方測試實驗室評估;第4級則經過第三方實驗室之滲透測試。此外,值得注意的是,新加坡亦與德國、芬蘭簽署備忘錄,以相互承認,也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度(IT-Sicherheitskennzeichen)、芬蘭的網路安全標籤制度(Finnish Cybersecurity Label),可以進行互通使用。 參、事件評析 新加坡透對於物聯網產品之資安,透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制,針對物聯網產品資安進行不同層次的保障。此外,採「驗證」方式保障人民生活不受網路威脅侵害,同時提高消費者對於物聯網產品資安之意識,可謂一舉數得之作法。而我國於物聯網產品發展以來,有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章,以供企業或消費者識別,物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後,核發合格證書及資安標章,並依照資安風險高低及安全技術實現複雜度,區分三個等級(L1~L3),分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下,已推出6項產品系列之驗證[7],並且採消費者導向之標章,足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識;但此認驗證機制或有優化空間,今後可以參考新加坡作法,擴增可進行驗證的產品項目,持續提升保障消費者選購物聯網產品之資訊知悉權,同時可參酌國際上其他重點國家之風險評估方式,以系統性建置物聯網產品資安之風險評估通用標準,以確保該制度未來有機會被其他國家直接或間接承認,為國際接軌做準備,作為今後精進物聯網產品資安之目標,方可促使我國與國際產業鏈、海外市場逐步銜接,提升產業競爭力。 [1]新加坡網路安全局CSA(Cyber Security Agency),隸屬於總理辦公室(Prime Minister’s Office, PMO),由新加坡通訊暨新聞部(Ministry of Communications and Information)管理,https://www.csa.gov.sg/,(最後瀏覽日:2023/6/30)。 [2]Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023). [3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including— (i) providing advice on a cybersecurity program; or (ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats. [4]Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023). [5]SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023). [6]行動應用資安聯盟(Mobile Application Security Alliance),關於我們〈推動架構〉,https://www.mas.org.tw/about/background,(最後瀏覽日:2023/6/30)。 [7]包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟(Mobile Application Security Alliance),IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些?〉,https://www.mas.org.tw/iot/questAndAnswer,(最後瀏覽日:2023/6/30)。
英國Royal Free國家健康服務基金信託與Google DeepMind間的資料分享協議違反英國資料保護法英國資訊委員辦公室(Information Commissioner’s Office, ICO)於2017年7月公告Royal Free國家健康服務基金信託(Royal Free London NHS Foundation Trust)與Google人工智慧研究室DeepMind之間的資料分享協議,違反資料保護法(Data Protection Act)。 該協議之目的在使DeepMind利用Royal Free所提供的醫療資料,開發一款名為Streams的應用程式,透過人工智慧系統分析得知病患惡化之情況,並以手機警示方式通知臨床醫生。由於涉及病患的可識別個人資料且人數多達160萬人,協議的合法性,尤其在資料分享是否經病患同意方面,受到質疑。 Royal Free與DeepMind主張因應用程式是直接對病患進行醫療照護,具有病患默示同意(implied consent)之正當基礎,且資料經加密後才傳給DeepMind。惟經ICO調查結果如下: 就資料將被使用作為應用程式測試一事,病患未獲充分告知亦無合理期待; 雖執行隱私影響評估,惟僅於資料傳給DeepMind後才進行,無法發揮事前評估作用; 應用程式尚在測試階段,無法說明揭露160萬病患紀錄的必要性與手段合理性。 目前Royal Free已承諾改進以確保其行為合法性。ICO之認定突顯創新不應以「減損法律對基本隱私權保障」作為代價。
世界智慧財產權組織執行ICANN/UDRP決定之趨勢分析