歐盟智慧財產局(European Union Intellectual Property Office)於今(2020)年第三季公布最新智財侵權狀況報告,研究報告為其智庫「歐盟智慧財產權侵權觀察平台(The European Union Observatory on Infringements of Intellectual Property Rights)」所執行,並結合經濟合作暨發展組織(Organization for Economic Cooperation and Development)之數據資料,每年以不同主題呈現當年世界智財侵權狀況。今年以「智財權為何重要、智財侵權與打擊仿冒之戰爭」為主題,重點如下:
尤其進入AI與5G時代後,智財密集產業對世界經濟貢獻度可望逐年上升,但侵權狀況恐怕亦同,咎因於該產業之興盛與背後龐大的潛在利益。因此持續推動建立企業的智財意識與防護能力,有其必要性,以助於提升產業發展潛力與整體營運獲利。
開放原始碼協會(Open Source Initiative,簡稱OSI)的新任總裁Russ Nelson在3月2日提出了一項新的提案,希望解決一項重大的問題:開放原始碼授權的擴增問題。亦即,只要符合該組織的10點開放原始碼定義,OSI可提供正式開放原始碼授權(licenses,或稱「許可」)身份。 在寄給開放原始碼社群的一份聲明裡,Nelson表示,新的條款規定:授權不可與既有的授權重覆;必需以清楚、簡單,而容易了解的方式撰寫;以及把個人、專案或組織的名稱通通移至隨附的附件中,以便讓授權書可重複使用。 Nelson在接受專訪時表示,新條款要由OSI董事會通過才可生效。董事會成員已經過過該提案,但還未安排好投票的議程。OSI並不打算取消已經通過的授權認證,Nelson表示。他認為,推出「OSI Gold」升級認證應該可達到同樣的效果。他進一步表示,新的條款是否能夠有效減少授權數量,還要看執行是否有力。
歐盟於2020年3月提出「歐洲氣候法」草案以實踐零碳排願景歐盟執委會(European Commission)於2020年3月6日提出「歐洲氣候法」(European Climate Law)草案,執委會提出該草案之目的,係為實現2019年「歐盟綠色新政」(European Green Deal)所確立的目標,以敦促歐盟所有政策及公、私部門,皆能為零碳排願景共同努力。歐盟期望在2050年前成為世界第一個碳中和地區,並轉型為一個經濟成長卻不損及資源消耗與開採的綠色經濟體。該法性質屬於「規則」(regulation)的法律位階,具有普遍性規範效力,得直接適用於歐盟成員國,意即歐盟成員國必須遵守及實施歐洲氣候法的規範內容。「歐洲氣候法」草案全文共11條條文,其規範重點及法制架構,簡要整理如下: 氣候法草案之法律框架應與歐盟現行政策保持一致性,例如再生能源、綠色新政下的投融資計畫、產業戰略及循環經濟行動計畫等,並審查歐盟能否將原先2030年與1990年相比減少40%的減量目標,提高至減少50至55%。 法律基礎應奠基於維護、保護及改善環境品質,輔助及加強國家與地方因應氣候變遷的行動措施;在符合比例原則下,要求歐盟成員國針對氣候中和目標採取必要保護措施。 依據歐盟基本權利憲章第37條環境保護之要求,有關高標準之環境保護及環境品質改善,必須納入歐盟政策及符合永續發展原則;透過氣候法來促成及凝聚社會轉型的共識,該法要求執委會應促進利害關係人及公民社會的參與,增強公民參與的交流,透過社會參與達成廣泛的永續發展共識,並規劃多層次氣候與能源的社會對話。 考量歐盟內部公平且團結的重要性,執委會於2023年9月開始,每隔5年將監測與評估歐盟及各會員國之綱要政策與保護行動,並針對不一致行動或保護不足情形,將提供適當的改善建議及具體措施,藉以確保歐盟成員國彼此間氣候政策與歐盟框架保持一致。 歐盟執委會期望透過具有強制約束力的法制框架,除實現巴黎協定之承諾(2050年前達到零排放之願景)外,更是為了結構性脆弱與抵禦氣候變遷能力不足的成員國,提供一個公平的轉型框架。目前該草案已於2020年5月完成公眾意見徵集,歐盟執委會雖未明確公布預計通過的日期及相關規劃,但其將於2021年6月前盤點相關規範,藉以整體性調修法制規範與氣候治理行動。
初探物聯網的資通安全與法制政策趨勢初探物聯網的資通安全與法制政策趨勢 資訊工業策進會科技法律研究所 2021年03月25日 壹、事件摘要 在5G網路技術下,物聯網(Internet of Things, IoT)的智慧應用正逐步滲入各場域,如智慧家庭、車聯網、智慧工廠及智慧醫療等。惟傳統的資安防護已不足以因應萬物聯網的技術發展,需要擴大供應鏈安全,以避免成為駭客的突破口[1]。自2019年5月「布拉格提案[2]」(Prague Proposal)提出後,美國、歐盟皆有相關法制政策,試圖建立各類資通訊設備、系統與服務之安全要求,以強化物聯網及相關供應鏈之資安防護。是以,本文觀測近年來美國及歐盟主要的物聯網安全法制政策,以供我國借鏡。 貳、重點說明 一、美國物聯網安全法制政策 (一)核心網路與機敏性設備之高度管制 1.潔淨網路計畫 基於資訊安全及民眾隱私之考量,美國政府於2020年4月提出「5G潔淨路徑倡議[3]」(5G Clean Path initiative),並區分成五大構面,包括:潔淨電信(Clean Carrier)、潔淨商店(Clean Store)、潔淨APPs(Clean Apps)、潔淨雲(Clean Cloud)及潔淨電纜(Clean Cable);上述構面涵蓋之業者只可與受信賴的供應鏈合作,其可信賴的標準包括:設備供應商設籍國的政治與治理、設備供應商之商業行為、(高)風險供應商網路安全風險緩和標準,以及提升供應商信賴度之政府作為[4]。 2.政府部門之物聯網安全 美國於2020年12月通過《物聯網網路安全法[5]》(IoT Cybersecurity Improvement Act of 2020),旨在提升聯邦政府購買和使用物聯網設備的安全性要求,進而鼓勵供應商從設計上導入安全防範意識。本法施行後,美國聯邦政府機關僅能採購和使用符合最低安全標準的設備,將間接影響欲承接政府物聯網訂單之民間業者及產業標準[6]。 另外,美國國防部亦推行「網路安全成熟度模型認證[7]」(Cybersecurity Maturity Model Certification, CMMC),用以確保國防工程之承包商具備適當的資訊安全水平,確保政府敏感文件(未達機密性標準)受到妥適保護。透過強制性認證,以查核民間承包商是否擁有適當的網路安全控制措施,消除供應鏈中的網路漏洞,保護承包商所持有的敏感資訊。 (二)物聯網安全標準與驗證 有鑑於產業界亟需物聯網產品之安全標準供參考,美國國家標準暨技術研究院(National Institute of Standards and Technology, NIST)提出「物聯網網路安全計畫」,並提出各項標準指南,如IR 8228:管理物聯網資安及隱私風險、IR 8259(草案):確保物聯網裝置之核心資安基準等。 此外,美國參議院民主黨議員Ed Markey亦曾提出「網路盾」草案[8](Cyber Shield Act of 2019),欲建立美國物聯網設備驗證標章(又稱網路盾標章),作為物聯網產品之自願性驗證標章,表彰該產品符合特定產業之資訊安全與資料保護標準。 二、歐盟物聯網安全法制政策 (一)核心網路安全建議與風險評估 歐盟執委會於2019年3月26日提出「5G網路資通安全建議[9] 」,認為各會員國應評鑑5G網路資通安全之潛在風險,並採取必要安全措施。又在嗣後提出之「5G網路安全整合風險評估報告[10]」中提及,5G網路的技術漏洞可能來自軟體、硬體或安全流程中的潛在缺陷所導致。雖然現行3G、4G的基礎架構仍有許多漏洞,並非5G網路所特有,但隨著技術的複雜性提升、以及經濟及社會對於網路之依賴日益加深,必須特別關注。同時,對供應商的依賴,可能會擴大攻擊表面,也讓個別供應商風險評估變得特別重要,包含供應商與第三國政府關係密切、供應商之產品製造可能會受到第三國政府施壓。 是故,各會員國應加強對電信營運商及其供應鏈的安全要求,包括評估供應商的背景、管控高風險供應商的裝置、減少對單一供應商之依賴性(多元化分散風險)等。其次,機敏性基礎設施禁止高風險供應商的參與。 (二)資通安全驗證制度 歐盟2019年6月27日生效之《網路安全法[11]》(Cybersecurity Act),責成歐盟網路與資訊安全局(European Union Agency for Cybersecurity, ENISA)協助建立資通訊產品、服務或流程之資通安全驗證制度,確保資通訊產品、服務或流程,符合對應的安全要求事項,包含:具備一定的安全功能,且經評估能減少資通安全事件及網路攻擊風險。原則上,取得資安驗證之產品、服務及流程可通用於歐盟各會員國,將有助於供應商跨境營運,同時能協助消費者識別產品或服務的安全性。目前此驗證制度為自願性,即供應商可以自行決定是否對將其產品送交驗證。 參、事件評析 我國在「資安即國安」之大架構下,行政院資通安全處於2020年底提出之國家資通安全發展方案(110年至113年)草案[12],除了持續強化國家資安防禦外,對於物聯網應用安全亦多有關注,其間,策略四針對物聯網應用之安全,將輔導企業強化數位轉型之資安防護能量,並強化供應鏈安全管理,包括委外供應鏈風險管理及資通訊晶片產品安全性。 若進一步參考美國與歐盟的作法,我國後續法制政策,或可區分兩大性質主體,採取不同管制密度,一主體為受資安法規管等高度資安需求對象,包括公務機關及八大領域關鍵基礎設施之業者與其供應鏈,其必須遵守既有資安法課予之高規格的安全標準,未來宜完善資通設備使用規範,包括:明確設備禁用之法規(黑名單)、高風險設備緩解與准用機制(白名單)。 另一主體則為非資安法管制對象,亦即一般性產品及服務,目前可採軟性方式督促業者及消費者對於資通設備安全的重視,是以法制政策推行重點包括:發展一般性產品及服務的自我驗證、推動建構跨業安全標準與稽核制度,以及鼓勵聯網設備進行資安驗證與宣告。 [1]經濟部工業局,〈物聯網資安三部曲:資安團隊+設備安全+供應鏈安全〉,2020/08/31,https://www.acw.org.tw/News/Detail.aspx?id=1149 (最後瀏覽日:2020/12/06)。 [2]2019年5月3日全球32個國家的政府官員包括歐盟、北大西洋公約組織 (North Atlantic Treaty Organization, NATO)的代表,出席由捷克主辦的布拉格5G 安全會議 (Prague 5G Security Conference),商討對5G通訊供應安全問題。本會議結論,即「布拉格提案」,建構出網路安全框架,強調5G資安並非僅是技術議題,而包含技術性與非技術性之風險,國家應確保整體性資安並落實資安風險評估等,而其中最關鍵者,為確保5G基礎建設的供應鏈安全。是以,具體施行應從政策、技術、經濟、安全性、隱私及韌性(Security, Privacy, and Resilience)之四大構面著手。Available at GOVERNMENT OF THE CZECH REPUBLIC, The Prague Proposals, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/ (last visited Jan. 22, 2021). [3]The Clean Network, U.S Department of State, https://2017-2021.state.gov/the-clean-network/index.html (last visited on Apr. 09, 2021);The Tide Is Turning Toward Trusted 5G Vendors, U.S Department of State, Jun. 24, 2020, https://2017-2021.state.gov/the-tide-is-turning-toward-trusted-5g-vendors/index.html (last visited Apr. 09, 2021). [4]CSIS Working Group on Trust and Security in 5G Networks, Criteria for Security and Trust in Telecommunications Networks and Services (2020), https://csis-website-prod.s3.amazonaws.com/s3fs-public/publication/200511_Lewis_5G_v3.pdf (last visited Nov. 09, 2020). [5]H.R. 1668: IoT Cybersecurity Improvement Act of 2020, https://www.govtrack.us/congress/bills/116/hr1668 (last visited Mar. 14, 2021). [6]孫敏超,〈美國於2020年12月4日正式施行聯邦《物聯網網路安全法》〉,2020/12,https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8583 (最後瀏覽日:2021/02/19)。 [7]U.S. DEPARTMENT OF DEFENSE, Cybersecurity Maturity Model Certification, https://www.acq.osd.mil/cmmc/draft.html (last visited Nov. 09, 2020). [8]H.R.4792 - Cyber Shield Act of 2019, CONGRESS.GOV, https://www.congress.gov/bill/116th-congress/house-bill/4792/text (last visited Feb. 19, 2021). [9]COMMISSION RECOMMENDATION Cybersecurity of 5G networks, Mar. 26, 2019, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32019H0534&from=GA (last visited Feb. 18, 2021). [10]European Commission, Member States publish a report on EU coordinated risk assessment of 5G networks security, Oct. 09, 2019, https://ec.europa.eu/commission/presscorner/detail/en/IP_19_6049 (last visited Feb. 18, 2021). [11]Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA and on Information and Communications Technology Cybersecurity Certification and Repealing Regulation (EU) No 526/2013 (Cybersecurity Act), Council Regulation 2019/881, 2019 O.J. (L151) 15. [12]行政院資通安全處,〈國家資通安全發展方案(110年至113年)草案〉,2020/12,https://download.nccst.nat.gov.tw/attachfilehandout/%E8%AD%B0%E9%A1%8C%E4%BA%8C%EF%BC%9A%E7%AC%AC%E5%85%AD%E6%9C%9F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%99%BC%E5%B1%95%E6%96%B9%E6%A1%88(%E8%8D%89%E6%A1%88)V3.0_1091128.pdf (最後瀏覽日:2021/04/09)。
OECD公布「為中小企業永續發展提供資金—推動力、阻力和政策」研究報告OECD於2022年12月6日公布一份標題為「為中小企業永續發展提供資金—推動力、阻力和政策」(Financing SMEs for sustainability — Drivers, Constraints and Policies)的報告,報告中檢視現行支援中小企業參與永續金融的工具與政策,並指出政府在制定公共政策與支援措施時應考慮的要點,期能加速中小企業的綠色轉型。 報告中首先分析中小企業綠色轉型的阻力與推動力。在阻力方面,中小企業由於規模小,不易取得銀行的融資,也無多餘人力關注綠色議題與相關可用資源的發展,因此不敢貿然從事具有高度不確定性的綠色投資,綠色轉型意識普遍低落。更由於中小企業永續金融生態系的參與者廣泛,包括國際及國家法規和準則的制定者、政策制定者、永續資金提供者、ESG的中介機構等,這些永續機構、工具及實踐行動會隨著永續金融發展持續增加,令中小企業無所適從。在推動力方面,包含消費者的永續意識提升、越來越多金融機構與投資者將永續績效納入投資決策考量,以及氣候變遷與淨零轉型帶來的商機,皆使得中小企業有必要加強綠色轉型的努力,才能從淨零商機中獲利,免於陷入競爭劣勢。 為了提高中小企業綠色轉型的動機,OECD建議可透過財務性及非財務的支援,雙管齊下。目前財務性的支援以融資工具為主流,其它還有綠色基金、補助金、津貼、補貼、減稅、降低費用、股權或混合式的支援工具等。非財務性的支援則有與永續相關的技術支援、意見提供、諮詢服務和教育培訓等。這些主要是透過政府、金融機構、或是國際倡議進行,也有政府及民間機構獨自或合作建立的線上平台,提供一站式的服務,使得資源的取得更加便捷有效率。 中小企業永續金融仍存在許多問題需要進一步了解與因應,包括中小企業的淨零轉型意識與知識間的落差、永續金融資訊的不足、環境績效評量與報告能力的欠缺,以及該如何強化中小企業永續金融生態系,以增加永續金融的供需量等。OECD未來會繼續深入探究這些議題,支援落實「2022年G20/OECD更新中小企業融資高級別原則」(the 2022 Updated G20/OECD High Level Principles on SME Financing)中新增的「加強永續金融」原則,這顯示推動中小企業永續金融已是國際共識,我國政府與業者也應及早擬訂對策因應之。