歐盟資通安全局發布《物聯網安全準則－安全的物聯網供應鏈》
歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年11月發布《物聯網安全準則－安全的物聯網供應鏈》（Guidelines for Securing the IoT – Secure Supply Chain for IoT），旨在解決IoT供應鏈安全性的相關資安挑戰，幫助IoT設備供應鏈中的所有利害關係人，在構建或評估IoT技術時作出更好的安全決策。
本文件分析IoT供應鏈各個不同階段的重要資安議題，包括概念構想階段、開發階段、生產製造階段、使用階段及退場階段等。概念構想階段對於建立基本安全基礎非常重要，應兼顧實體安全和網路安全。開發階段包含軟體和硬體，生產階段涉及複雜的上下游供應鏈，此二階段因參與者眾多，觸及的資安議題也相當複雜。例如駭客藉由植入惡意程式，進行違背系統預設用途的其他行為；或是因為舊版本的系統無法隨技術的推展進行更新，而產生系統漏洞。於使用階段，開發人員應與使用者緊密合作，持續監督IoT設備使用安全。退場階段則需要安全地處理IoT設備所蒐集的資料，以及考慮電子設備回收可能造成大量汙染的問題。
總體而言，解決IoT資安問題，需要各個利害關係人彼此建立信賴關係，並進一步培養網路安全相關專業知識。在產品設計上則須遵守現有共通的安全性原則，並對產品設計保持透明性，以符合資安要求。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
許嘉芳
法律研究員 編譯整理
EUROPEAN UNION AGENCY FOR CYBERSECURITY [ENISA], Guidelines for Security the Internet of Things (2020), https://www.enisa.europa.eu/publications/guidelines-for-securing-the-internet-of-things/at_download/fullReport (last visited Nov. 26, 2020).
IoT Security: ENISA Publishes Guidelines on Securing the IoT Supply Chain, ENISA, https://www.enisa.europa.eu/news/enisa-news/iot-security-enisa-publishes-guidelines-on-securing-the-iot-supply-chain (last visited Nov. 26, 2020).
張腕純，〈歐盟資通安全局（ENISA）提出資通安全驗證標準化建議〉，2020年5月，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8459&no=64（最後瀏覽日：2020/12/07）。
吳采薇，〈物聯網產品之消費者保護法制趨勢〉，《科技法律透析》，第32卷第11期，https://stli.iii.org.tw/legal-details.aspx?no=65&d=7323&i=9248（最後瀏覽日：2020/12/07）。
有鑑於線上市集（如Google Play）、訂房網站等線上平台提供了迅速進入國際消費市場之機會， 因此成為了數百萬企業提供服務的首選之地。然而，存在於「平台對商家」（platform–to-business, P2B）之間的某些結構性問題，卻導致了企業之間的不公平交易行為。是以，歐洲議會、歐盟理事會與歐盟執委會於2019年2月14日就「提升線上中介服務商業用戶的公平性與透明性規則」（Regulation on promoting fairness and transparency for business users of online intermediation services），達成政治協議，歐洲議會並已於2019年4月17日批准。 該規則為全世界第一個針對線上平台與商業用戶訂定之規則，係數位單一市場策略（Digital Single Market Strategy）的一部分，預計適用於整個線上平台經濟，亦即，目前在歐盟境內營運的7000個線上平台或市集都包含在內，無論是科技巨擘，抑或是規模雖小但對商業用戶具重要議價能力的新創公司（small start-ups）皆屬之。此外，新規則中涉及搜尋結果排序透明度之部分，亦將適用於搜尋引擎。 其中，由於數以百萬計的中小企業是構成歐盟經濟的重要支柱，是以此番訂定的新規則，係專門針對此些較無議價能力的中小企業而設計。中小企業可自新規則中獲益之項目主要有四： 1. 禁止特定不公平行為 (1) 不得突然且未附理由的暫停帳號使用權 線上平台不得在無明確理由或未提供申訴可能性之情況下，暫停或終止賣家帳戶。 (2) 條款與條件需簡明易懂且變更時須提前通知 條款與條件需易於取得且以簡明易懂之文字書寫，當條款與條件有所變更時，線上平台需在15天之前通知，使賣家得即時調整業務，並可視業務調整複雜度適時延長通知期間。 2. 提升線上平台透明度 (1) 排序透明化 市集與搜尋引擎需揭露其排序商品或服務的主要參數，以利賣家進行適度優化。 (2) 強制揭露線上平台的部分商業行為 由於部分線上平台除了提供市集促進交易進行，更在該市集中身兼賣家之角色，是以，為維護公平競爭的環境，新規則強制此些線上平台全面揭露任何可能給予自家產品的優勢。此外，該等線上平台還需揭露所蒐集之資料及使用方式，尤其是與其他商業夥伴共享之資料。當涉及個人資料時，則有一般資料保護規則（General Data Protection Regulation, GDPR）之適用。 3. 增設爭端解決機制 (1) 建立投訴處理系統 線上平台應建立內部投訴處理系統以對商業用戶提供適當協助。 (2) 設置調解程序 線上平台應提供調解之協助，以助賣家在法庭外解決爭議，有效節省時間與金錢。 4. 規則之實施 商業公會能對違反規則之線上平台提起告訴，以降低賣家對平台報復行為的恐懼，並降低個別賣家的訴訟成本。 在歐洲議會批准後，一旦歐盟理事會同意，新規則將在公布後12個月後正式施行，且為了確保新規則與時俱進，歐盟將在適用後的18個月內進行檢視，並設立專門的線上平台觀測站（Online Platform Observatory），以監控市場的變化，並確保新規則有效施行。
任意丟棄客戶資料 英國銀行因而違法有鑑於英國14家銀行及金融公司被發現有任意丟棄客戶個人資料而違反「資料保護法」（Dada Protection Act）的情形，英國資訊官辦公室（Information Commissioner´s Office，ICO）於2007年3月17日要求其中11家銀行及金融公司簽署一份承諾書，保證其將來在處理客戶資料時必當遵守資料保護法的規定。 資訊官辦公室次長表示，銀行及金融公司應該以嚴肅的態度來處理客戶資料安全性的問題，否則，他們不但要接受資訊官辦公室更進一步的資訊安全審核，而且還會失去客戶對其之信賴。再者，若這些組織仍不遵守其簽署的承諾書，除了可能對遭到行政罰外，甚至還可能需要負擔違反資料保護法的刑事責任。 除了資訊官辦公室，英國的金融服務局（Financial Services Authority，FSA）亦有權針對違反資料保護法規定之金融公司加以執法。今年2月，英國房屋抵押貸款協會（Nationwide Building Society）便在金融服務局的資訊安全審核中，因為其使客戶資料暴露在可能遭竊的風險下而被處以1百萬鎊的罰金。
美國聯邦通訊委員會修改廣播電視業者對於兒童關看電視的保護義務美國聯邦通訊委員會（ The Federal Communications Commission /FCC ）在 2006 年 9 月，修改並解釋 2004 年一項課與廣播電視業者對兒童觀看電視保護義務之指令。在 2004 年提出的指令中對廣播電視業者有許多規定，包括：電視業者被要求提供兒童適當比例基準之核心（ core ）教育及資訊節目，並於該類型節目中全程播放中標示 E/I 的符號；允許在節目中出現網站網址，但限制兒童節目中顯示非與節目相關以及有商業目的之網站網址；原兒童節目之插播限制規定；以及修改所謂商業內容定義等。 這次對該指令的再修改，則是希望透過確保提供適當比例的兒童教育資訊節目、將廣告及其他兒童節目之行為納入商業內容定義，以及顯示網站網址之新限制規定，讓邁向數位化世界下之公眾利益能獲得保障。特別是在同時確保不過份削減廣播電視業者以及有線電視業者節目時間編排彈性下，保護兒童免於在廣播電視以及有線電視節目中，接收過多商業訊息。
申請專利時請注意：網頁內容亦可能成為「先前技術」(prior art)日前英國智慧局 (UK Intellectual Property Office) 裁定一則刊登描述銀行用於網路交易時辨識方法的新聞網頁可以做為「先前技術」的有效證據。該局的副局長，同時亦是專利總審查官 Ben Micklewright 指出，網頁上的日期以及內容應該以英美法民事案件中的「機率的平衡」(on the balance of probabilities) 來衡量其證據力。 法國匯豐銀行(HSBC France) 於2005年7月以一項辨識使用者身份的方法對英國智慧局提出專利申請。該方法包含使用者登入時需輸入一組特定的密碼以辨明身份。HSBC France 於申請時以2004年7月2日在法國的申請日期主張優先權。然而英國智慧局的審查官卻依2項證據核駁了 HSBC France 的上述申請，當中一項即為一篇於2004年2月20日刊載於知名雜誌 Computer Magazine 的網站上的文章。該文章描述了一項由 Lloyds TSB提案的身份辨識方法，與HSBC France 提出專利申請的方法有異曲同工之處。 對此 HSBC France 提出抗辨，指出該文章有電子版與紙本，然審查官卻無法提出紙本來證明其公開發表日期。同時HSBC France 亦主張英國智慧局應追隨一件由歐洲專利局 (EPO) 上訴庭的判決，該判決中指出對於網路上電子文章的證據負荷度應高於傳統文件，即應負「無可懷疑」(beyond reasonable doubt)的舉證力。然而 Ben Micklewright 副局長表示英國智慧局無須追從歐洲專利局的判決，並且因為已存在「先前技術」所以該申請案喪失進步性。他更進一步指出上述申請案無論如何皆無法取得商業方法專利，因為該方法不具備技術的本質(“is not technical in nature”)。