日本學術會議所屬「深化與推動開放科學檢討委員會(オープンサイエンスの深化と推進に関する検討委員会)」為深化與推動開放科學發展,於2020年5月28日發布建言(原文為提言)。本建言接續國際間提倡的「資料驅動型科學」、與日本Society5.0政策內「資料驅動型社會」構想,目的在於凸顯研究資料共享概念與共享平台的重要性,梳理現行措施下的問題,並提出政策與制度調適建議。
建言提出三項觀察。其一,研究論文投稿至期刊出版機關,論文尚未審查通過並發表前,論文本身與經整理之研究資料的著作財產權雖屬於原作者所有,出版機關原則會另與投稿作者約定,作者不得對外公開其研究成果與研究資料,目的在於避免未經審查通過的成果與資料散布,造成錯誤訊息流通。COVID-19疫情蔓延期間,美國國家衛生研究院(National Institutes of Health, NIH)、國立研發法人日本醫療研究開發機構(AMED)等研究資助機構,則依循過往大規模傳染病發生時的慣例,與期刊出版機關等達成協議並發表聲明,只要作者同意釋出,即允許有關論文發表前得先將研究成果與資料與WHO及外界共享,期待藉資料快速公開流通協助對抗疫情。這些措施體現了資料的重要性與共享可能性,但共享後,利用方新取得的資料應如何繼續以適切方式公開,則有賴資料的數位平台機制完備現行作法的不足。其二,資料本身非著作物,不直接受著作權法保護,各國法例亦較少另外賦予資料庫(database)法定權利。日本則在不正競爭防止法增訂「提供予特定對象資料(限定提供データ)」保護制度,定義非法取用原僅授權特定人使用之資料的行為,將落入不當競爭行為的範疇,強化營業與數位資料利用之法定權利保護。其三,近年來,日本公平交易委員會因應Google、Amazon可能運用資料蒐集達成市場壟斷的疑慮,重新檢討其反托拉斯政策,顯示資料利用亦可能牴觸反托拉斯法;歐盟一般資料保護規則(GDPR)的規範強度與密度較日本國內法為高,則讓資料利用涉及個資時,無法僅以日本個資法為標準。資料利用涉及多部法規,增加資料利用者合法使用的難度,從而降低研究者再利用研究資料的意願。
基於上述觀察,本建言提出以下法制與政策建議:(1)統整不正競爭防止法、個人資料保護法、著作權法等相關法規範,同時考量研究資料本身特性與社會應用途徑,作成指引供外界遵循;(2)國家應資助學術界或進行研發活動之機構,建構得長期蒐整、保存與共享研究資料之平台,協助實現跨領域或跨部門的研究資料融合利用與價值創造;(3)針對研究成果採用的原始樣本(如岩石、土壤、生物、物質等),以及人文社會科學領域研究的原始資料(如文書紀錄、書籍、技術等),建立永久保存之制度。
本文為「經濟部產業技術司科技專案成果」
初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下,物聯網(Internet of Things, IoT)的智慧應用正逐步滲入各場域,如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展,需要擴大供應鏈安全,以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」(Prague Proposal)提出後,美國、歐盟皆有相關法制政策,試圖建立各類資通訊設備、系統與服務之安全要求,以強化物聯網及相關供應鏈之資安防護。是以,本文觀測近年來美國及歐盟主要的物聯網安全法制政策,以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 (一)核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量,美國政府於2020年4月提出「5G潔淨路徑倡議[3]」(5G Clean Path initiative),並區分成五大構面,包括:潔淨電信(Clean Carrier)、潔淨商店(Clean Store)、潔淨APPs(Clean Apps)、潔淨雲(Clean Cloud)及潔淨電纜(Clean Cable);上述構面涵蓋之業者只可與受信賴的供應鏈合作,其可信賴的標準包括:設備供應商設籍國的政治與治理、設備供應商之商業行為、(高)風險供應商網路安全風險緩和標準,以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》(IoT Cybersecurity Improvement Act of 2020),旨在提升聯邦政府購買和使用物聯網設備的安全性要求,進而鼓勵供應商從設計上導入安全防範意識。本法施行後,美國聯邦政府機關僅能採購和使用符合最低安全標準的設備,將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外,美國國防部亦推行「網路安全成熟度模型認證[7]」(Cybersecurity Maturity Model Certification, CMMC),用以確保國防工程之承包商具備適當的資訊安全水平,確保政府敏感文件(未達機密性標準)受到妥適保護。透過強制性認證,以查核民間承包商是否擁有適當的網路安全控制措施,消除供應鏈中的網路漏洞,保護承包商所持有的敏感資訊。 (二)物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考,美國國家標準暨技術研究院(National Institute of Standards and Technology, NIST)提出「物聯網網路安全計畫」,並提出各項標準指南,如IR 8228:管理物聯網資安及隱私風險、IR 8259(草案):確保物聯網裝置之核心資安基準等。 此外,美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8](Cyber Shield Act of 2019),欲建立美國物聯網設備驗證標章(又稱網路盾標章),作為物聯網產品之自願性驗證標章,表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 (一)核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」,認為各會員國應評鑑5G網路資通安全之潛在風險,並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及,5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞,並非5G網路所特有,但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深,必須特別關注。同時,對供應商的依賴,可能會擴大攻擊表面,也讓個別供應商風險評估變得特別重要,包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故,各會員國應加強對電信營運商及其供應鏈的安全要求,包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性(多元化分散風險)等。其次,機敏性基礎設施禁止高風險供應商的參與。 (二)資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》(Cybersecurity Act),責成歐盟網路與資訊安全局(European Union Agency for Cybersecurity, ENISA)協助建立資通訊產品、服務或流程之資通安全驗證制度,確保資通訊產品、服務或流程,符合對應的安全要求事項,包含:具備一定的安全功能,且經評估能減少資通安全事件及網路攻擊風險。原則上,取得資安驗證之產品、服務及流程可通用於歐盟各會員國,將有助於供應商跨境營運,同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性,即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下,行政院資通安全處於2020年底提出之國家資通安全發展方案(110年至113年)草案[12],除了持續強化國家資安防禦外,對於物聯網應用安全亦多有關注,其間,策略四針對物聯網應用之安全,將輔導企業強化數位轉型之資安防護能量,並強化供應鏈安全管理,包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法,我國後續法制政策,或可區分兩大性質主體,採取不同管制密度,一主體為受資安法規管等高度資安需求對象,包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈,其必須遵守既有資安法課予之高規格的安全標準,未來宜完善資通設備使用規範,包括:明確設備禁用之法規(黑名單)、高風險設備緩解與准用機制(白名單)。 另一主體則為非資安法管制對象,亦即一般性產品及服務,目前可採軟性方式督促業者及消費者對於資通設備安全的重視,是以法制政策推行重點包括:發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度,以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局,〈物聯網資安三部曲:資安團隊+設備安全+供應鏈安全〉,2020/08/31,https://www.acw.org.tw/News/Detail.aspx?id=1149 (最後瀏覽日:2020/12/06)。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 (North Atlantic Treaty Organization, NATO)的代表,出席由捷克主辦的布拉格5G 安全會議 (Prague 5G Security Conference),商討對5G通訊供應安全問題。本會議結論,即「布拉格提案」,建構出網路安全框架,強調5G資安並非僅是技術議題,而包含技術性與非技術性之風險,國家應確保整體性資安並落實資安風險評估等,而其中最關鍵者,為確保5G基礎建設的供應鏈安全。是以,具體施行應從政策、技術、經濟、安全性、隱私及韌性(Security, Privacy, and Resilience)之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021);The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超,〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉,2020/12,https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 (最後瀏覽日:2021/02/19)。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處,〈國家資通安全發展方案(110年至113年)草案〉,2020/12,https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf (最後瀏覽日:2021/04/09)。
Ofcom宣佈將為身障者提供更為便利的電話服務英國電信管制機關Ofcom宣布,所有固網與行動電話業者將必須提供更為先進便利的「文字中繼服務(Text Relay Service)給所有聽力或語言障礙的民眾使用。文字中繼服務使聽力或語言障礙民眾能透過電話或文字電話(TextPhone)等設備而能與他人溝通,這項決定意味著所有的手機用戶將有機會獲得一個「下一代(next generation)」文字中繼服務,各種設備將能夠輔助身障者以更快、更流暢的交談速度與他人溝通。 Ofcom在經過文字中繼服務的審查研究後發現,目前的中繼系統以助理作為通話雙方的中介,進行語音與文字的轉換,反之亦然。然而研究發現,通話者對於對話速度的即時性與情感表達的完整性有提昇的需求,現在的系統通話的速度很慢,因為呼叫者只能輪流說話或輸入文字,無法即時快速如正常人一般的溝通。 因此Ofcom決定下一代文字中繼服務,在未來的18個月內將提供顯著的改進,包括: 語音雙向並行傳輸,透過網際網路的連接,允許通訊雙方可隨時插嘴,而無須等到一方的對話結束傳輸。如此將使交談雙方對話流動更快,有更自然的結果,新的服務也將支援更多種類的設備。為了達成這些改進,Ofcom將與產業、身障團體代表進行合作,探討當前和未來中繼服務所需語音辨識技術的精確度和速度的發展。Ofcom也將要求電信業者在未來提供視訊中繼服務,以確保身障者可以使用可靠的、先進的各種中繼服務,以幫助他們更容易溝通。
虛擬人生,真實訴訟! 美商藝電EA控告社交遊戲公司Zynga侵犯著作權;Zynga控告EA不正競爭。美商藝電EA(Electronic Arts)於今年八月初在舊金山地方法院控告以社群遊戲著稱的Zynga於六月在Facebook所推出的遊戲《The Ville》抄襲EA於2011年八月推出的「模擬市民(The Sims Social)」,侵犯EA的著作權。EA表示,The Ville中的設計選項、動畫、畫面處理、角色的活動及動作都原封不動地抄襲自EA的「模擬市民(The Sims Social)」。EA聲稱,Zynga抄襲了「模擬市民(The Sims Social)」原始並特殊的表達要素(original and distinctive expressive elements),明顯違反美國的著作權法。EA並表示,Zynga任用了三位自EA離職的員工而獲取了「模擬市民(The Sims Social)」的商業機密。Zynga則反譏EA欠缺對於著作權原則的了解,並表示《The Ville》是Zynga小鎮遊戲(Ville-game)系列的延續,過去曾推出的系列遊戲包含《YoVille》、《CityVille》以及《Castile Ville》,EA的指控毫無根據。 雖然《The Ville》與「模擬市民(The Sims Social)」兩者在遊戲的角色設定以及角色圖樣跟背景有諸多相似,但是Zynga在細節上做了許多與EA不同的設定。本案如果有效成立,將對於遊戲產業造成顯著影響。 美國法下,遊戲產業的智慧財產權議題中,一個重要的法律關鍵在於「思想/表達二分法(idea/expression dichotomy) ,「思想(idea)」並非著作權的保護客體,僅想法的表達方式(expression)是著作權的保護客體。舉例而言,你可以再寫一本有關於魔法學校的書,但是你不可以把書中的主要角色命名為哈利波特。 1994年時,快打旋風二(Street Fighter II)的發行商嘉富康(Capcom)控告DECO(Data East Corporation)的格鬥列傳(Fighter’s History)抄襲,但是法院認為嘉富康遊戲的角色是植基於既存典型角色以及武術原則,DECO的相似性並不侵犯快打旋風的著作權。 九月中,Zynga對EA提出反訴,控訴EA採取不正競爭(anticompetitive)以及不法(unlawfully)商業行為,違反反托拉斯法(anti-trust law)。Zynga指出,EA試圖以法律訴訟以及恐嚇離職員工的方式,非法阻止Zynga雇用EA的離職員工。Zynga指稱EA威脅Zynga將提出訴訟,要求Zynga與之簽訂「不任用協議(no-hire agreement)」,依照該協議EA將不對Zynga提出關於雇用員工的告訴以做為簽約對價。但是EA在今年八月對Zynga的著作權告訴已經打破該協議。事實上依照加州法,禁止離職員工去競爭公司任職是違法的。矽谷這類因為員工到競爭對手任職而引發的法律案件還有蘋果(Apple)以及谷歌(Google)一案,這兩家公司過去曾因為簽訂不挖角協議而遭美國司法部起訴,後來與美國司法部達成和解。EA則表示離職員工抄襲其它EA設計師,Zynga此舉意圖轉移社會及法庭注意力。除了否認EA抄襲的指控,Zynga更表示,沒有任何根據可以說明EA是虛擬人生遊戲的創始者,Zynga的《YoVille》推出時間甚至早於EA的「模擬市民(The Sims Social)」三年。 本案因為矽谷遊戲產業人才的流動性而增加了案件的複雜性,跳脫一般的著作權侵權訴訟,既然離職後到競爭對手任職是可被允許的,那麼產出類似的遊戲產品就更加難以避免,不論是基於自身的創意或者模仿過去共事同仁的創意,「學習」以及「抄襲」之間的界線總是難以劃分,如果本案成立著作權侵權,矽谷遊戲人才在開發設計遊戲時必然需要更加小心謹慎。 圖片來源: Tech Crunch
國際唱片協會發布標準,規範AI作品於音樂排行榜中之資格2026年7月,國際唱片協會(International Federation of the Phonographic Industry, IFPI)發布新聞稿,採納由各大唱片公司共同提出之生成式AI音樂進入官方榜單資格之全球標準。該標準明確劃分人類引導創作以及純AI生成或未授權AI工具作品,以此防範機器人之流量操作。 依據該標準,音樂作品若欲進入音樂排行榜,必須同時符合以下條件: 1. 合法授權:所使用之生成式AI工具必須取得授權且合法,禁止使用未獲授權之侵權訓練模型。 2. 人類實質創作:音樂必須是人類創作為主,得有AI輔助但不得為純AI生成之作品。 3. 無操縱疑慮:作品流量須為真實,且榜單資料應無人為或機器操縱。 此外,作品亦須遵守著作權及肖像權相關法規,符合AI服務條款,並配合串流平台之AI標示,使消費者能明確了解作品是否為純AI生成或經AI輔助之作品。 IFPI首先將此標準套用於其在中南美洲、中東、非洲及東南亞直接管理之官方音樂榜單,並同時與全球之國家級音樂/唱片協會合作,將該標準擴展至20多個官方榜單系統。此標準反應音樂產業界對音樂著作權保護及資料真實性之重視,並於全球範圍內劃定明確界線。 目前,IFPI之規範已逐步落實於部分官方音樂榜單實務中,如澳洲唱片業協會(Australian Recording Industry Association)即已跟進,要求所提交之音樂若有使用AI須標示使用比例,並禁止純AI製作音樂作品進入其榜單。韓國音樂著作權協會(Korea Music Copyright Association, KOMCA)亦於8月初提出禁止純AI生成音樂申請著作權登記,並曾一度頒布人類實質參與之AI輔助音樂登記,隨後因國會及主管機關認為該措施仍缺乏社會共識且牽涉著作權法效力故提出修正建議,KOMCA即於8月下旬決議撤銷該新措施,暫緩相關受理。