歐盟資通安全局公布《提升歐盟軟體安全性》研究報告
歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年4月25日以歐盟網路安全驗證框架（EU cybersecurity certification framework）檢視現行安全軟體開發及維護之方式與標準，並公布《提升歐盟軟體安全性》（Advancing Software Security in the EU）研究報告。歐盟資通安全局後續將以該研究報告協助產品、服務及軟體開發之驗證，並期望能夠成為執行歐盟網路安全驗證框架相關利害關係人之非強制性參考文件之一。
本報告指出由於安全軟體已普遍應用於日常商品與服務當中，但目前針對軟體安全事故並無相對應之安全守則及技術，故為提高軟體安全層級並緩解目前已知之軟體安全威脅，應針對安全軟體開發及維護進行規範並驗證。
報告中除了針對軟體安全提出其應具備之要素、概述現行安全軟體開發方式及標準之缺點外，亦提出若以歐盟網路安全驗證框架針對軟體開發方式進行驗證時可考量之一些實際做法，包括：
- 已驗證之資訊與通訊科技（Information and Communication Technology, ICT）產品、服務或流程供應商或製造商，針對資料庫之部署及維護，除探討防止資料洩漏之方式外，尚應考量產品、服務或流程驗證過程中，進行資料共享會面臨之安全威脅以及緩解之方式。
- 應與歐洲標準組織（European Standards Organizations, ESOs）及標準制定組織（Standards Developing Organization, SDOs）合作。
- 建立一些針對軟體開發、維護及操作準則以補充現有歐盟網路安全驗證方案（EU cybersecurity certification schemes）。
- 針對現行不一致之軟體開發及維護規範，應考量建立較寬鬆之合規性評估（conformity assessment）標準。
- 借鏡現有經驗和專業知識，促進歐盟網絡安全驗證框架之適用。
本文為「經濟部產業技術司科技專案成果」
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 美國聯網車監管制度與合規實務說明會
- 長照系統相關資服業個資線上宣導說明會
何穎欣
研究助理 編譯整理
許祐寧，〈數位歐洲計畫（Digital Europe Programme）〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8268（最後瀏覽日：2020/08/04）。
為實施公共安全網路計畫，美國國會在2012年二月通過「2012年中產階級稅收減免及創造就業法案」(Middle Class Tax Relief and Job Creation Act of 2012)，將700MHz頻段中既有存在之公共安全寬帶頻譜(763-769 MHz/793-799 MHz)與相鄰的D block的頻段(758-763MHz與788-793MHz)規劃成 「互通公共安全寬頻網路」(interopertable public safety broadband network)，進行頻譜拍賣。 雖FCC經本法案授權執行D Block頻段的拍賣，但也限縮其職權規定FCC不得限制任何特定業者參與競標。針對FCC職權受到限制，業者認為可避免FCC在拍賣期間逕自訂定特別規則之情形。但法案仍保留FCC執行「普遍適用性的規定」(rules of general applicability)之權利，以頻譜聚合(spectrum aggregation)的規定促進市場競爭。對此，主導業者擔心FCC可能藉採取「頻譜上限」 (spectrum cap)的管制手段來限制其獲得大量頻譜的機會。 另外，面對全國性公共安全寬頻網路部署之需要，國會將授權行政部門建立「緊急救難管理局」(First Network Authority, FirstNet)來進行整體網路之開發規劃。在FirstNet尚未成立之前，FCC將暫時承擔此一過渡期間管理全國公共安全寬頻網路之責任。但FirstNet在未來是否能依照國會所期待順利掌管整體公共安全寬頻網路之運作，並達成建構一跨機關、部會以及區域的無縫互通寬頻網路平台(a nationwide interoperable public safety broadband network)之期望，FCC認為該局所任命之委員會委員所具備之專業度，以及各聯邦機構是否充分的支持將是成功之關鍵。
美國發布了「消費者隱私權法」草案美國白宮在2015年2月27日發布了「消費者隱私權法」（Consumer Privacy Bill of Rights Act）草案，目的在於擴大消費者資料的保護範圍。 該草案的重點分列如下： 透明性：受規範主體必須提供資訊主體簡潔、明顯、易懂的公告，公告內容必須提供簡潔、明瞭及即時的隱私與安全運作，包含資訊保存、揭露以及個人資料存取機制。 個人控制：受規範主體應該在合理範圍內提供機制，讓資料主體能控制其個人資料之處理，同時也規範應讓消費者撤銷個人資料使用的同意。 注重資料蒐集與合理使用：受規範的公司機構必須依據其清楚、合理的說明規則來進行個人資料的蒐集、保存與利用。同時，在資料蒐集之特定目的完成後的合理時間內，必須針對所蒐集的個人資料進行刪除或是去識別化。 安全性的維護：為了維護個人資料之安全性，以防止其遺失、陷入危險、改變以及未經授權之使用或是揭露，公司機構必須進行安全風險評估，並且採取合理的資訊安全防護措施。 存取與正確性：受規範的公司機構必須提供資訊主體合理的存取權利，同時也應該採取合理的步驟，來維護資料的正確性。 擔負隱私維護的責任：受規範的公司機構必須針對員工實施資安教育訓練、進行隱私評估、隱私設計、遵守隱私保護義務以及採取適當的措施來遵循本草案之規定。 不受本草案規範之公司機構： 25名員工以下的小型公司，且其處理者僅限於員工與求職者之個人資料。 未刻意蒐集、處理、使用、保存或揭露個人病史、原生國籍、性傾向、性別、宗教信仰、資產狀況、精確的位置資訊、獨一無二的生物識別資料或是社會安全號碼，並符合以下要件之一者： 在12個月內蒐集個人資料筆數在10,000筆下； 5名員工以下。 除了要求產業發展處理消費者資料的標準或規則，該草案也要求「聯邦貿易委員會」（Federal Trade Commission, FTC）確認產業所制定的標準或規則必須符合「消費者隱私權法」的規定，包括提供消費者有關其資料如何被收集、使用與分享的明確通知。如果進行消費者資料收集的公司機構違反了「消費者隱私權法」，將會面臨FTC或是州檢察長所發起的法律行動。 該草案引起了產業界極大的反彈，隱私團體也批評該草案太過寬鬆，留給產業界太多自由空間，同時目前國會由共和黨所主導，因此後續立法工作的進行將會面臨極大的挑戰。
FCC正式將新版網路中立命令提交予美國聯邦政府公報刊登美國聯邦通訊委員會（Federal Communications Commission, FCC）於2015年2月26日公布了新版的網路中立命令後，由於新版方案揭櫫了禁止提供快車道（fast lane）予特定服務業者的重要原則，因此被外界預測將遭到各大網路服務供應商的反彈，一如外界所預期的，美國電信協會（United States Telecom Association, USTelecom）於2015年3月23日在美國華盛頓特區聯邦巡迴上訴法院對FCC的新版法案提起訴訟，USTelecom認為，新版的網路中立法案中，賦予監理機構──亦即FCC太多裁量權限，將使得FCC的權力難以控制，在此同時，德州的一家網路服務業者Alamo （Alamo Broadband Inc.）也基於相類似的理由，於美國紐奧良聯邦巡迴上訴法院對FCC提起訴訟。而實際上，在前開電信業者向法院提起訴訟時，FCC的新版網路中立方案甚至尚未刊登於美國聯邦政府公報（Federal Register），自然也無從討論法律生效時點的問題，這個訴訟程序的瑕疵也立即引起各界的注意，論者咸認這些訴訟都將會遭到法院的駁回，但USTelecom宣稱他們的訴訟標的是生效後的法案。 對於各大電信業者、網路服務供應商的大動作，FCC似乎已經準備好面對這些法律論戰，2015年4月1日，FCC正式將新版的網路中立方案提交予美國聯邦政府公報刊登，依據相關規定，此項行政命令將會在刊登2個月後正式產生法律效力，這也意味著在命令生效後，前開訴訟標的之爭議將不復存在，此後再行提起的訴訟，勢必也將正式地透過司法途徑解決。
美國聯邦通訊傳播委員會將表決是否開放閒置頻譜為釐清開放閒置頻譜(white space)予業者使用是否會產生干擾問題，美國聯邦通訊傳播委員會(Federal Communication Commission, FCC)所屬工程科技辦公室(Office of Engineering and Technology, OET)於上個月就閒置頻譜(white space)開放進行干擾測試，並在2008年10月15日公布結果報告。 工程科技辦公室表示，同時具有頻譜感測(spectrum sensing)以及定位(geo-location)功能之設備在測試中顯示對於既有使用者並不會造成干擾，是以，當美國於2009年2月17日完成無線電視數位化之後，閒置頻譜設備(white space devices, WSDs)應被允許使用於閒置頻譜。於此同時，聯邦通訊傳播委員會主席 Kevin Martin 在記者會中公開表示支持開放閒置頻譜，並宣布美國聯邦通訊傳播委員會將於2008年11月4日的公開會議中就此一議題進行表決。 美國國家廣播業者協會(National Association of Broadcasters, NAB)旋即在2天後向聯邦通訊傳播委員會提出緊急請願(emergency petition)，希望聯邦通訊傳播委員會延後其表決時間，並就此一議題進行公共諮詢。國家廣播業者協會同時指出，該報告摘要對於測試過程所蒐集之資料解讀錯誤，國家廣播業者協會認為，根據該測試結果，未經取得執照且僅以頻譜感測技術避免干擾之閒置頻譜設備將會干擾既有的使用者。而非如該報告摘要所稱，應可開放同時具有頻譜感測技術及定位功能之閒置頻譜設備。截至目前為止，聯邦通訊傳播委員會尚未正式決定是否接受國家廣播業者協會之請求延後表決時間。