歐盟資通安全局發布《物聯網安全準則－安全的物聯網供應鏈》
歐盟資通安全局（European Union Agency for Cybersecurity, ENISA）於2020年11月發布《物聯網安全準則－安全的物聯網供應鏈》（Guidelines for Securing the IoT – Secure Supply Chain for IoT），旨在解決IoT供應鏈安全性的相關資安挑戰，幫助IoT設備供應鏈中的所有利害關係人，在構建或評估IoT技術時作出更好的安全決策。
本文件分析IoT供應鏈各個不同階段的重要資安議題，包括概念構想階段、開發階段、生產製造階段、使用階段及退場階段等。概念構想階段對於建立基本安全基礎非常重要，應兼顧實體安全和網路安全。開發階段包含軟體和硬體，生產階段涉及複雜的上下游供應鏈，此二階段因參與者眾多，觸及的資安議題也相當複雜。例如駭客藉由植入惡意程式，進行違背系統預設用途的其他行為；或是因為舊版本的系統無法隨技術的推展進行更新，而產生系統漏洞。於使用階段，開發人員應與使用者緊密合作，持續監督IoT設備使用安全。退場階段則需要安全地處理IoT設備所蒐集的資料，以及考慮電子設備回收可能造成大量汙染的問題。
總體而言，解決IoT資安問題，需要各個利害關係人彼此建立信賴關係，並進一步培養網路安全相關專業知識。在產品設計上則須遵守現有共通的安全性原則，並對產品設計保持透明性，以符合資安要求。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
許嘉芳
法律研究員 編譯整理
EUROPEAN UNION AGENCY FOR CYBERSECURITY [ENISA], Guidelines for Security the Internet of Things (2020), https://www.enisa.europa.eu/publications/guidelines-for-securing-the-internet-of-things/at_download/fullReport (last visited Nov. 26, 2020).
IoT Security: ENISA Publishes Guidelines on Securing the IoT Supply Chain, ENISA, https://www.enisa.europa.eu/news/enisa-news/iot-security-enisa-publishes-guidelines-on-securing-the-iot-supply-chain (last visited Nov. 26, 2020).
張腕純，〈歐盟資通安全局（ENISA）提出資通安全驗證標準化建議〉，2020年5月，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8459&no=64（最後瀏覽日：2020/12/07）。
吳采薇，〈物聯網產品之消費者保護法制趨勢〉，《科技法律透析》，第32卷第11期，https://stli.iii.org.tw/legal-details.aspx?no=65&d=7323&i=9248（最後瀏覽日：2020/12/07）。
美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
國際能源總署發布CCUS（碳捕捉、利用及封存）法律與管制框架指引文件，協助各國建立相應法制國際能源總署（International Energy Agency, IEA）於2022年7月發布「CCUS法律與管制框架：IEA CCUS指引」（Legal and Regulatory Frameworks for CCUS: An IEA CCUS Handbook），協助各國建構碳捕捉、利用及封存（carbon capture, utilisation and storage, CCUS）相關法制。CCUS是有助於實現2050年全球淨零目標的重要除碳技術，可以捕捉空氣中或大型排放源裡的二氧化碳，將捕捉到的二氧化碳進行再利用，或將二氧化碳注入深層地質構造當中永久封存，藉此減緩全球氣候變遷。 建立健全的CCUS管制架構對於達成全球氣候目標至關重要，IEA於該報告中進一步探討25項法制優先議題，大致可依開發階段區分為資源評估（如二氧化碳及地下空隙空間所有權歸屬）、場址開發、施工、營運、開發、關閉與關閉後防止碳洩漏之法律問題。 由於CCUS在各國發展情況有所差異，IEA提出數種立法模式，例如（1）修改既有廢棄物法律規範以管理CCUS活動，但可能無法涵蓋地下權等其他議題；（2）修正部分既有廢棄物規範並結合環境法規既有之管理面向（如環評等）以形成管制框架；（3）在既有的礦產或石油開發規範建立相關二氧化碳注入與儲存等活動規範，將可包含地下權、開發許可程序、營運及關閉等完整生命週期之立法。（4）制定專法以涵蓋CCUS所有面向之活動。 在國際經驗中，立法者與管制機關於建構CCUS法律框架時，經常遭遇下列問題，包含：（1）CCUS在滿足國家能源需求方面的預期作用為何？（2）CCUS法規如何與現有規範進行調適？（3）是否已有可用的監管指導原則？（4）誰是主要的利害關係人？應如何與之進行溝通？（5）未來是否有審查或修正框架之相關程序？（6）監管機構是否有足夠資源監督CCUS活動？IEA建議釐清上述議題，逐步形塑CCUS管制架構。
美國於六月十二日全面關閉無線電視類比訊號美國的無線地面電視於今（2009）年6月12日起關閉類比訊號，全面進行數位播送。聯邦通訊委員會（The Federal Communications Commission, FCC）預期政府雖已進行大規模宣傳，但仍有部分家庭尚未完成準備。依尼爾森（Nielsen）公司調查，至6月14日止，尚有兩百五十萬用戶無法接收數位電視訊號；此外，相較於全部家庭中僅2.2％未完成數位轉換的準備，非洲裔與西班牙裔家庭未完成的比例則分別達4.6％與3.6％。 目前美國多數家庭是收看付費的有線電視與衛星電視，數位轉換對此部分觀眾並無明顯影響，但仍有數百萬家庭收看免費的無線電視。在數位轉換後，舊型電視機須加裝數位轉換盒，方能接收數位訊號；對此，美國政府已發放優待券補助用戶購買轉換盒（至7月底為止）。FCC表示，部分家庭裝置轉換盒與電台改善傳輸訊號，尚須花費數週時間，而民眾利用FCC的協助專線進行諮詢時，最普遍的問題則是有關優待券方案與轉換盒的安裝。 此外，電視台原本擔心在數位轉換後，部分受影響的人口（特別是年輕觀眾）將可能不再觀看電視，而選擇利用網路收視電視節目。但尼爾森公司的調查指出，數位轉換後整體收視率僅有些微下滑，除了數位化外，亦可能是受到天氣較佳或重要運動賽事轉播較少等因素影響。
德國「新車輛及系統技術」補助計畫第二期「新車輛及系統技術」（Neue Fahrzeug- und Systemtechnologien）補助計畫係德國為確保汽車產業能夠在未來保持其技術領先地位所規劃的研究補助方案，該計畫從2015年6月起為期4年，聚焦車輛本體設計及車聯網技術解決方案；2018年11月，有感數位化變革所帶來的壓力，以及聯網自動駕駛顛覆未來交通面貌的潛力，德國聯邦經濟及能源部（BMWi）決定將前述計畫延長4年至2022年12月31日，並追加補助金額至每年6000萬歐元，促進聯網自動化駕駛及創新車輛領域的相關研發，具體鎖定的項目包含：（1）創新感測技術與傳動系統（2）高精度定位技術（3）迅速、安全、可靠的通信協作技術（4）創新資料融合及資料處理程序（5）人車互動技術（6）配套的測試程序與認證（7）電動車搭載自動駕駛功能的具體解決方案（8）透過輕量化提升能源效率技術（9）空氣動力學優化技術（10）創新動力推進技術。聯邦政府希望藉由第二輪的「新車輛及系統技術」補助計畫，協助歷來引以為傲的汽車工業克服資通訊技術革新、氣候保護趨嚴及能源效率要求所帶來的挑戰，全力避免此一德國重要經濟命脈淪為數位化浪潮下的犧牲者。