歐盟資通安全局公布《提升歐盟軟體安全性》研究報告
歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年4月25日以歐盟網路安全驗證框架（EU cybersecurity certification framework）檢視現行安全軟體開發及維護之方式與標準，並公布《提升歐盟軟體安全性》（Advancing Software Security in the EU）研究報告。歐盟資通安全局後續將以該研究報告協助產品、服務及軟體開發之驗證，並期望能夠成為執行歐盟網路安全驗證框架相關利害關係人之非強制性參考文件之一。
本報告指出由於安全軟體已普遍應用於日常商品與服務當中，但目前針對軟體安全事故並無相對應之安全守則及技術，故為提高軟體安全層級並緩解目前已知之軟體安全威脅，應針對安全軟體開發及維護進行規範並驗證。
報告中除了針對軟體安全提出其應具備之要素、概述現行安全軟體開發方式及標準之缺點外，亦提出若以歐盟網路安全驗證框架針對軟體開發方式進行驗證時可考量之一些實際做法，包括：
- 已驗證之資訊與通訊科技（Information and Communication Technology, ICT）產品、服務或流程供應商或製造商，針對資料庫之部署及維護，除探討防止資料洩漏之方式外，尚應考量產品、服務或流程驗證過程中，進行資料共享會面臨之安全威脅以及緩解之方式。
- 應與歐洲標準組織（European Standards Organizations, ESOs）及標準制定組織（Standards Developing Organization, SDOs）合作。
- 建立一些針對軟體開發、維護及操作準則以補充現有歐盟網路安全驗證方案（EU cybersecurity certification schemes）。
- 針對現行不一致之軟體開發及維護規範，應考量建立較寬鬆之合規性評估（conformity assessment）標準。
- 借鏡現有經驗和專業知識，促進歐盟網絡安全驗證框架之適用。
本文為「經濟部產業技術司科技專案成果」
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 美國聯網車監管制度與合規實務說明會
- 長照系統相關資服業個資線上宣導說明會
何穎欣
研究助理 編譯整理
許祐寧，〈數位歐洲計畫（Digital Europe Programme）〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8268（最後瀏覽日：2020/08/04）。
美國產業安全局（Bureau of Industry and Security，下稱BIS）於2024年1月18日，針對直接或間接支持美國國家安全和關鍵基礎設施，全面評估供應鏈中成熟節點半導體設備的使用情況。本次調查將根據《1950年國防生產法》（Defense Production Act of 1950）第705條進行，以評估在美國關鍵產業（如電信、汽車、醫療設備和國防工業基地）的供應鏈中使用由中國公司生產的成熟節點晶片的程度和影響力。 BIS同時提供常見問答予各界參考，主要包括如下內容： （1）本次評估調查為一次性的資訊蒐集；不排除未來也可能依指示再次進行類似的評估。 （2）本次評估將提供後續政策制定的參考，以加強半導體供應鏈，促進傳統晶片生產的公平競爭，並降低中國對美國帶來的國家安全風險。 （3）自1986年以來，BIS已就造船、戰略性材料、太空和航空、火箭推進、彈藥和半導體等廣泛項目進行過約60多項評估以及150多項調查。 （4）商務部可能會公開一份主要調查結果的摘要說明。 （5）本次評估並非根據《2021年國防授權法案》（National Defense Authorization Act for Fiscal Year 2021，即俗稱之《晶片法》）第9902節規定進行。個別對調查的答覆不會影響申請《晶片法》或其他政府資助的資格或考量。 （6）本次評估並非BIS對於高階運算晶片規範的一部分，而是著重成熟節點或傳統晶片的舊技術。
美國聯邦最高法院禁止警察在未取得令狀前搜索手機內容2014年6月25日，美國聯邦最高法院就Riley v. California一案作出判決，否定了附帶搜索（註）亦適用於行動電話的見解，並要求警察在查看嫌犯手機的內容前必須取得搜索票。 法院見解認為，由於手機裡的資料顯然不會造成執法者人身安全的危險，而在警察取得搜索票的這段期間內，資料也不可能遺失（甚至可以透過切斷手機連線功能，防免資料因遠端移除或加密而遺失），因此手機內容應不在附帶搜索的適用範圍內。判決中另指出，智慧型手機已經成為人們日常生活中無時無刻、無所不在的一部分，其中含有大量的個人資訊，包括通聯紀錄、標記有日期及地點的照片與影片、網路搜尋及瀏覽紀錄、購物清單及GPS定位等，若允許警察在未取得搜索票的情況下查看嫌犯手機，將有可能嚴重侵犯到個人隱私。 首席大法官John Roberts表示：「如果更進一步地細究系爭隱私利益之範圍，用戶在現代手機上所看到的資料，事實上並不儲存在裝置本身。將手機看作一個容器並對其內容實施附帶搜索，這樣的預設是有點勉強的，尤其當手機被用來讀取儲存在他處的資料時，這種說法更是完全無法成立。」 在其協同意見書中，大法官Samuel Alito也認為，相對於非電子資訊，法院為電子資訊提供了更多的隱私保護。同樣是通聯記錄，如果是從嫌犯口袋裡扣押的紙本帳單取得，在法律上毋須取得令狀即得搜索，但如果是儲存在手機裡就不是這麼一回事了。 註：為保護執法者人身安全並防免被告湮滅證據，我國刑事訴訟法第130條規定，檢察官、檢察事務官、司法警察官或司法警察逮捕嫌犯或執行拘提、羈押時，雖無搜索票，得逕行搜索其身體、隨身攜帶之物件、所使用之交通工具及其立即可觸及之處所，學說上稱作「附帶搜索」，為令狀搜索原則之例外。
加拿大配合數位隱私法之推行，公告安全防護措施違反之規則草案加拿大數位隱私法（Digital Privacy Act）於2015年6月18日獲得皇室御准，該法目的係為修訂規範私部門運用個人資料的聯邦個人資料保護及電子文件法（Personal Information Protection and Electronic Documents Act, PIPEDA）。該法有多個章節於公告時便即刻施行，但仍有部分章節需待日後其他行政機關公告配套之法規後始能正式施行，例如該法的重點章節之一：「安全防護措施之違反」（Breaches of Security Safeguards）。 歷經約莫兩年，加拿大創新、科學及經濟發展部（Innovation, Science and Economic Development Canada）於2017年9月2日公告安全防護措施違反之規則草案（Breaches of Security Safeguards Regulations），以及規則衝擊分析聲明（Regulatory Impact Analysis Statement）。草案自公告時起開放30天供相關利益關係人發表意見，未來將和數位隱私法的「安全防護措施之違反」同時生效施行。 草案制定目的在於確保加拿大本國人若遇有資料外洩且具有損害風險時，可收到精確的相關資訊。私部門對本人的通知應包含使本人可理解外洩的衝擊和影響的詳細資訊。草案確保加拿大個人資料保護公署（Office of the Privacy Commissioner of Canada）之專員亦能獲得有關資料外洩的確實且對等資訊，並可監督、確認私部門遵守法規並執行。草案詳載私部門於通報個人資料保護公署時應提交的資訊，以及通知本人時應提供的資訊，且不限制私部門額外提供其他資訊。遇有資料外洩情事而故意不即時通報個人資料保護公署或通知本人者，最高將可處十萬美金罰鍰。
加州法院判決刪除公司電腦之個人資訊非屬犯罪行為美國加州北區聯邦地方法院，於去年（2017年）12月5日做出關於雇員刪除其由公司提供電腦中與公務無關資料是否屬電腦犯罪之判決（United States v. Zeng, 4:16-cr-00172（District Court, N.D. California. 2017）.）。 該案情為曾（Zeng）氏為避免其竊取自家公司商業機密行為被揭發，而逕自刪除其在公司提供筆記型電腦內之相關資料。而嗣後仍然被公司發現並報案，於此偵查單位FBI則以曾氏違反電腦詐欺及濫用法案（Computer Fraud and Abuse Act，下稱CFAA）中「未經授權而毀損他人電腦（18 U.S.C. § 1030（1984）.）.」以美國政府名義（下稱控方）起訴曾氏刪除其犯罪證據之行為。 對於該控訴，被告曾氏以被刪除之電子紀錄與其業務無關，非為公司所有財產為由作為抗辯。此外曾氏同時以其他判決主張毀損電腦之定義應係指由外部傳輸行為所致（如駭客行為），電腦使用者自己刪除行為應不包含之，以及控方未舉證其刪除行為將導致公司有不可回復或無法替代之損害作為抗辯。於此，控方則以刪除行為不應以內容而有所區分作為回應。 在審理期間，承審法官多納托（Donato）氏除參酌控辯雙方證詞外，並特別詢問控方律師指控內容是否會對一般大眾造成其在公用電腦中刪除同類資訊上之顧慮。而控方則以曾氏行為屬特殊情況作為答辯。最後，多納托氏則以控方主張將造成社會恐慌以及控方未提出被告刪除資料行為究竟對公司有何實際損害，判決被告無罪。