歐盟資通安全局公布《提升歐盟軟體安全性》研究報告
歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年4月25日以歐盟網路安全驗證框架（EU cybersecurity certification framework）檢視現行安全軟體開發及維護之方式與標準，並公布《提升歐盟軟體安全性》（Advancing Software Security in the EU）研究報告。歐盟資通安全局後續將以該研究報告協助產品、服務及軟體開發之驗證，並期望能夠成為執行歐盟網路安全驗證框架相關利害關係人之非強制性參考文件之一。
本報告指出由於安全軟體已普遍應用於日常商品與服務當中，但目前針對軟體安全事故並無相對應之安全守則及技術，故為提高軟體安全層級並緩解目前已知之軟體安全威脅，應針對安全軟體開發及維護進行規範並驗證。
報告中除了針對軟體安全提出其應具備之要素、概述現行安全軟體開發方式及標準之缺點外，亦提出若以歐盟網路安全驗證框架針對軟體開發方式進行驗證時可考量之一些實際做法，包括：
- 已驗證之資訊與通訊科技（Information and Communication Technology, ICT）產品、服務或流程供應商或製造商，針對資料庫之部署及維護，除探討防止資料洩漏之方式外，尚應考量產品、服務或流程驗證過程中，進行資料共享會面臨之安全威脅以及緩解之方式。
- 應與歐洲標準組織（European Standards Organizations, ESOs）及標準制定組織（Standards Developing Organization, SDOs）合作。
- 建立一些針對軟體開發、維護及操作準則以補充現有歐盟網路安全驗證方案（EU cybersecurity certification schemes）。
- 針對現行不一致之軟體開發及維護規範，應考量建立較寬鬆之合規性評估（conformity assessment）標準。
- 借鏡現有經驗和專業知識，促進歐盟網絡安全驗證框架之適用。
本文為「經濟部產業技術司科技專案成果」
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
何穎欣
研究助理 編譯整理
許祐寧，〈數位歐洲計畫（Digital Europe Programme）〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8268（最後瀏覽日：2020/08/04）。
美國上訴法院於八月於判決中指出，電子郵件服務提供者未經使用者同意對於其傳送、接收之電子郵件加以監視，應為犯罪行為，即使服務提供者僅利用使用者經由其伺服器傳送郵件時的自動暫存過程進行監視，亦構成未經使用者同意的「攔截」 (intercept) 行為，違反監聽法 (Wiretap Act) ，而構成犯罪，推翻該國法院過去所建立「電子郵件服務提供者未經使用者同意監視使用者電子郵件通訊，不屬違反監聽法之犯罪行為」的立場。 被上訴人 Bradford C. Councilman 是從事珍貴與絕版書籍網路建擋列表服務之 Interloc Inc. 的副總裁，該公司給與其顧客含有 "interloc.com" 網域名稱之電子郵件地址作為服務的一部份，並且提供如同電子郵件服務提供者之服務行為，本案起因於 1998 年 Bradford 指示該公司雇員透過修改郵件接收程序之方式，攔截並拷貝所有服務使用者與其競爭對手亞馬遜網路書店 (Amazon.com) 間的電子郵件通訊，亦即，所有來自 Amazon.com 的信件到達伺服器時，由於程式的運作，該信件於寄至使用者信箱前會先行複製，由 Interloc 公司員工加以閱讀。 本上訴法院之判決，乃針對電子郵件的傳送是否屬於監聽法中所謂的電子通訊 (electronic communication) 以及該公司之行為是否構成「攔截」皆作成肯定之解釋，對於電子郵件使用者隱私權之保護有指標性的影響。
英國資訊委員會將開始調查網站使用cookie是否取得同意根據歐盟隱私暨通訊保護指令（Privacy and Electronic Communications Directive）之規定，網站使用cookies時，應取得當事人之同意。英國於2011年5月，修正其隱私暨電子通訊規則（Privacy and Electronic Communication Regulations，PECR）將歐盟指令納入法律，並給予網站營運者一年之寬限期，更改網站設定以符合新規範。前述寬限期已於2012年5月26日屆至，目前已有320個網站，透過英國資訊委員會（ICO）的線上申報工具，向委員會提出報告，但尚未有任一網站受到稽查。 英國資訊委員會（ICO）指出，目前專案團隊已組成，最快將於9月份開始進行調查。專案團隊未來除針對網站使用cookies是否取得同意進行調查外，亦會針對隱私暨電子通訊規則（Privacy and Electronic Communication Regulations，PECR）規範之電子行銷以及垃圾郵件規範進行稽查。一旦網站經調查不符合法律要求，資訊委員會可處以最高500,000英鎊之罰款。
歐盟執委會提出ESG評鑑機構監管草案，以健全歐盟永續金融市場歐盟執委會（European Commission, EC）於2023年6月13日發佈「環境、社會與治理（ESG）評鑑透明度與誠信的規則草案（Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the transparency and integrity of Environmental, Social and Governance (ESG) rating activities，下稱本草案）」，以健全歐盟永續金融市場。 ESG評鑑係指評鑑機構向投資者和金融機構提供有關ESG的投資策略和風險管理等關鍵資訊，在歐盟永續金融市場扮演重要角色。因此本草案提出評鑑機構治理與利益衝突防免的規範，確保ESG評鑑機構誠信營運、提升評鑑的可靠性和透明度、並協助投資者作出更明智的永續投資決策。本草案要點如下： （1）授權許可：ESG評鑑機構原則上須取得歐洲證券與市場管理局（European Securities and Markets Authority, ESMA）的授權許可，始得於歐盟境內經營ESG評鑑業務。如為第三國ESG評鑑機構，則須申請取得同等認定（equivalence decision）後始得在歐盟經營ESG評鑑業務 （2）評鑑機構內部治理：要求ESG評鑑機構確保其獨立性、建立申訴處理機制、限制評鑑機構兼營金融與稽核業務等 （3）提升評鑑透明度：要求ESG評鑑機構公開揭露方法論、模型、主要假設與技術標準等 （4）授予ESMA監管權力：ESMA得要求評鑑機構與相關人士提供資料、詢問評鑑機構代表或職員、甚至實地查核等措施；就違反規定的評鑑機構，ESMA亦有要求暫停營運、課予罰鍰以及撤銷經營許可的權力
美國國家標準技術局（NIST）更新電子簽章標準美國國家標準技術局（National Institute of Standards and Technology, NIST）於近日（2013年7月）更新電子簽章的技術標準「FIPS (Federal Information Processing Standard) 186-4數位簽章標準」，並經商務部部長核可。NIST於1994年首次提出電子簽章標準，旨在提供工具可資促進數位時代的信賴性，後續也隨著技術進步與革新，而有多次修訂。此次修訂，主要是調合該標準，使之與NIST其他加密相關指引（如金鑰加密標準）一致，以避免將來可能產生的矛盾。 此次增訂，亦明列出三種可保護資料的簽章產製與確認技術：數位簽章演算法（Digital Signature Algorithm, DSA）、橢圓曲線簽章演算法（Elliptic Curve Digital Signature Algorithm, ECDSA）、以及RSA公眾金鑰演算法（Rivest-Shamir-Adleman Algorithm, RSA）。 其他修訂的部分，還包括語彙的明晰化，以及降低對於隨機號碼產生器的利用限制…等。