歐盟資通安全局公布《提升歐盟軟體安全性》研究報告
歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年4月25日以歐盟網路安全驗證框架（EU cybersecurity certification framework）檢視現行安全軟體開發及維護之方式與標準，並公布《提升歐盟軟體安全性》（Advancing Software Security in the EU）研究報告。歐盟資通安全局後續將以該研究報告協助產品、服務及軟體開發之驗證，並期望能夠成為執行歐盟網路安全驗證框架相關利害關係人之非強制性參考文件之一。
本報告指出由於安全軟體已普遍應用於日常商品與服務當中，但目前針對軟體安全事故並無相對應之安全守則及技術，故為提高軟體安全層級並緩解目前已知之軟體安全威脅，應針對安全軟體開發及維護進行規範並驗證。
報告中除了針對軟體安全提出其應具備之要素、概述現行安全軟體開發方式及標準之缺點外，亦提出若以歐盟網路安全驗證框架針對軟體開發方式進行驗證時可考量之一些實際做法，包括：
- 已驗證之資訊與通訊科技（Information and Communication Technology, ICT）產品、服務或流程供應商或製造商，針對資料庫之部署及維護，除探討防止資料洩漏之方式外，尚應考量產品、服務或流程驗證過程中，進行資料共享會面臨之安全威脅以及緩解之方式。
- 應與歐洲標準組織（European Standards Organizations, ESOs）及標準制定組織（Standards Developing Organization, SDOs）合作。
- 建立一些針對軟體開發、維護及操作準則以補充現有歐盟網路安全驗證方案（EU cybersecurity certification schemes）。
- 針對現行不一致之軟體開發及維護規範，應考量建立較寬鬆之合規性評估（conformity assessment）標準。
- 借鏡現有經驗和專業知識，促進歐盟網絡安全驗證框架之適用。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
何穎欣
研究助理 編譯整理
許祐寧，〈數位歐洲計畫（Digital Europe Programme）〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8268（最後瀏覽日：2020/08/04）。
掌管競爭事務的歐盟執委會委員Margrethe Vestager於3月26日在柏林記者會上宣布，接下來的競爭調查將鎖定在電子商務領域。這項調查將涵蓋歐盟所有會員國，旨在調查是否有公司透過契約或其他障礙，限制消費者在歐洲境內進行跨境交易。縱使越來越多的歐洲商品和服務是經由網路來交易，歐盟內部的跨境線上交易卻成長緩慢。造成此現象的原因可能是由於語言隔閡、消費者喜好及會原國間法令的差異。然而，亦有跡象顯示，有些公司會採取相關措施來限制跨境線上交易。 因此，對於該領域的調查重心會放在如何加強識別及因應這些限制跨境交易的措施；以配合執委會的目標: 創造一個相連的數位單一市場。執委會委員Margrethe Vestager會在接下來的星期提出該提案於委員會。 歐洲消費者屬於線上服務之狂熱使用者。在2014年，約有半數的歐洲消費者在線上消費；然而，在這半數內，僅有15% 的線上消費者是向歐盟其他會員國之業者購買。這顯示在歐盟境內，電子商務仍然有巨大的跨境障礙。例如: 技術障礙，如地理隔閡，將限制消費者從其所在地或使用其信用卡進入特定網站。 執委會委員Vestager因此決定向委員會提出對於電子商務領域的競爭調查，以促進執委會實現單一數位市場的目標。 該調查是執委會企圖把歐盟分裂的線上市場整合為單一數位市場的策略之一。經過分析後，若執委會認定有競爭爭議，會開啟案件調查，以確保電子商務領域已遵守禁止限制商業行為及濫用獨占地位之歐盟法規(歐盟運作條約第101條和第102條)
德國聯邦網路局發布電信網路安全要求要點德國聯邦網路局（BNetzA）於2019年3月7日公布電信網路營運安全發展需求目錄關鍵要點。該要點係德國聯邦網路局電信通訊法第109條第6項規定，與聯邦資訊安全局（BSI）和德國聯邦資料保護與資訊自由委員會（BfDI）達成協議後制定，並由德國聯邦網路局發布之。此尤其適用於在德國發展5G網路，因該技術係為未來核心關鍵基礎設施，為確保技術發展之安全性，電信網路公司必須滿足相關安全要求。鑑於5G對未來競爭力極具重要性，故用於構建5G之技術必須符合最高安全標準，且應盡可能排除安全問題，該標準同樣適用於所使用的硬體和軟體。附加的安全目錄要點基本內容如下： （1）系統僅允許從嚴格遵守國家安全法規及電信保密和隱私法規，且值得信賴之供應商處獲得。 （2）必須定期且持續監控網路流量異常情況，如有疑問，應採取適當的保護措施。 （3）僅可使用經聯邦資訊安全局對其IT安全性檢查核可且取得認證之安全相關的網路和系統組件（以下簡稱關鍵核心組件）。關鍵核心組件僅能從獲得信賴保證之供應商/製造商中取得。 （4）安全相關的關鍵核心組）應在交付期間進行適當之驗收測試後方能使用，且須定期和持續進行安全檢查。關鍵核心組件之定義將由德國聯邦網路局和聯邦資訊安全局共同協議訂定。 （5）在安全相關領域，只能聘用經過培訓之專業人員。 （6）電信網路營運商須證明所使用的產品中，實際使用經測試合格之安全相關組件硬體和供應鏈末端的原始碼。 （7）在規劃和建立網路時，應使用來自不同製造商的網路和系統組件，以避免類似「單一耕作」（Monokulturen），即避免技術生態圈無法均衡發展，以及易受市場波動影響之不良效應。 （8）外包與安全相關勞務時，僅可考慮有能力，可靠且值得信賴的承包商。 （9）對於關鍵且與安全相關的關鍵核心組件，必須提供足夠的冗餘（Redundanzen）。 鑑於德國於3月中旬已拍賣5G頻譜，聯邦政府將大力推廣附加要求，並讓相關企業可以清楚了解進一步計畫。為確保立法層面之具體要求，聯邦政府計畫將對電信法第109條作重大修訂。明確規定操作人員必須證明符合安全規範，並由法律規範相關認證義務。針對關鍵基礎設施中使用的關鍵核心組件應來自可信賴之供應商/製造商，應適用於整體供應鏈。此外，德國聯邦政府擬針對聯邦資訊安全局法進行修訂，包括關鍵基礎設施、其組件可信賴性之相關規範。依聯邦資訊安全局法第9條規定，將在認證框架內提供可信賴性證明。
歐盟執委會提出「具可信度之人工智慧倫理指引」歐盟執委會人工智慧高級專家小組（High-Level Expert Group on Artificial Intelligence）於2019年4月8日公布「具可信度之人工智慧倫理指引」（Ethics Guidelines For Trustworthy AI）。該指引首先指出，具可信度之人工智慧需具備三個關鍵特徵：（1）合法（Lawful）：應遵守所有適用於人工智慧之法規；（2）合乎倫理（Ethical）：確保人工智慧符合倫理原則與價值；（3）健全（Robust）：自技術與社會層面觀之，避免人工智慧於無意間造成傷害。 該指引並進一步指出人工智慧應遵守以下四項倫理原則： (1) 尊重人類之自主權（Respect for Human Autonomy）：歐盟之核心價值在於尊重人類之自由與自主，與人工智慧系統互動之個人，仍應享有充分且有效之自我決定空間。因此，人工智慧之運用，不應脅迫、欺騙或操縱人類，人工智慧應被設計為輔助與增強人類之社會文化技能與認知。 (2) 避免傷害（Prevention of Harm）：人工智慧不應對人類造成不利之影響，亦不應加劇既有的衝突或傷害。人工智慧之系統運行環境應具備安全性，技術上則應健全，且確保不會被惡意濫用。此外，弱勢族群應於人工智慧運用中受到更多關注，並被視為服務對象。 (3) 公平（Fairness）：人工智慧系統之開發、布建與利用，必須具備公平性。除了透過實質承諾與規範，進行平等與公正之利益與成本分配外，亦須透過救濟程序確保個人或特定族群不受到歧視與偏見之侵害，並可對人工智慧之自動化決策結果提出質疑，且獲得有效之補救。 (4) 可解釋性（Explicability）：人工智慧應盡量避免黑箱（Black Box）決策，其系統處理程序須公開透明，並盡可能使相關決策結果具備可解釋性，分析特定訊息可能導致之決策結果，此外亦需具備可溯性且可接受審核。
瑞士新修正專利法進一步釐清研究、試驗免責範圍近幾年，製藥領域專利權效力的範圍及例外空間何在，引起廣泛討論，為發展製藥產業，諸多先進國家紛紛修改其專利法，擴大專利權例外範圍，使研發工作更易進行，以爭取跨國藥廠研發委外之機會。例如歐盟2004年修正通過的第2004/27指令，即對學名藥的試驗免責予以明文規定，而歐盟各會員國在將該指令內容落實為內國法的過程中，則有不少國家進一步擴大該指令例外規定的適用範圍。 瑞士雖非歐盟會員國，不過其在化學及製藥領域擁有世界一流的領先技術，因此瑞士也特別注意法規範面對於技術研發與產業發展之影響，並在近幾年積極展開類似的修法工作，瑞士新修正的專利法所規定的研究或試驗免責範圍，更進一步釐清農業領域使用受保護之生物物質之疑義，值得參考。 瑞士新修正專利法第9條規定，專利權效力不及於：（1）於私領域基於非商業目的之行為；（2）基於實驗與研究目的，為針對發明客體及其可能之應用獲取新知識所進行之行為，特別是與該發明客體有關之所有科學研究，均為容許空間；（3）為就某一藥品於瑞士取得上市許可，或於其他有類似藥品上市管制的國家取得上市許可所進行之必要行為；（4）為於教學機構中教學之目的而使用發明；（5）為進行植物品種之選育、發現或開發，而使用生物物質之行為；（6）在農業領域，出於偶然或因技術上不可避免而獲得生物物質。 上述新規定自2008年7月1日生效，隨著專利法對研究例外範圍的進一步釐清，瑞士的法規環境更具有發展生技研發服務的吸引力與國際競爭力。