日本經產省發布《促進資料價值創造的新資料管理方法與框架（暫定）》之綱要草案徵求意見
2021年7月中旬，日本經濟產業省（下稱經產省）發布《促進資料價值創造的新資料管理方法與框架（暫定）（データによる価値創造（Value Creation）を促進するための新たなデータマネジメントの在り方とそれを実現するためのフレームワーク（仮））》之綱要草案（下稱資料管理框架草案），並公開對外徵求意見。
近年日本在「Society5.0」及「Connected Industries」未來願景下，人、機器與科技的跨界連接，將創造出全新附加價值的產業社會，然而達成此願景的前提在於資料本身須為正確，正確資料的自由交換，方能用於創造新資料以提供附加價值，因此正確的資料可說是確保網路空間連結具有可信性的錨點。為此，經產省提出資料管理框架草案，透過資料管理、識別資料在其生命週期中可能發生的風險，以確保資料在各實體間流動的安全性，從而確保其可信性。
該框架將資料管理定義為「基於資料的生命週期，管理各場域中資料屬性因各種事件而變化的過程」，由「事件（資料的產生／取得、加工／利用、轉移／提供、儲存和處置）」、「場域（例如：各國家／地區法規、組織內規、組織間的契約）」和「屬性」（例如：類別、揭露範圍、使用目的、資料控制者和資料權利人）三要素組成的模組。經產省期望未來能透過三要素明確資料的實際情況，讓利害關係人全體在對實際情況有共同理解的基礎上，能個別確保適當的資料管理，達成確保資料正確之目的。
「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
劉書妤
副法律研究員 編譯整理
Invitation for Public Comments on the Outline of “New Data Management Methods and Framework to Promote Value Creation through Data (Tentative)” (Draft), METI, Jul.15, 2021, https://www.meti.go.jp/english/press/2021/0715_002.html (last visited Sep.8, 2021).
美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
美國新一代公共安全無線寬頻的應用公共安全和國土安全局(PSHSB)局長傑米．巴尼特(Jamie Barnett)於2011年3月16日與美國聯邦通訊傳播委員會(Federal Communication Commission)分別先後宣示將更近一步加強國家寬頻計畫(The National Broadband Plan)中寬頻通訊科技在公共安全層面的應用。其具體落實在成立國家級的緊急反應互動中心(The Emergency Response Interoperability Center, ERIC)。該中心利用700 MHz頻段成立全國性的公眾安全無線網絡。 促進公共安全無線寬頻通訊的使用，是公共安全和國土安全局最主要的任務。透過建立互動式公共安全寬頻無線技術的操作框架，使警察、消防及緊急醫療人員可使用到最先進的數位式寬頻通訊技術。配備可在任何時間、地點即時傳輸資訊的薄型智慧電話，替代傳統上所使用的對講機。 其次為發展下一代的911通報網絡。目前大約70%的911通話來自手機，可是大多數的911電話通報中心，並沒有配備可接收目前主流行動通訊使用者所傳送的簡訊、電子郵件、視訊或照片的設備。新一代的查詢通知系統(Notice of Inquiry，NOI)可取代傳統的電話，使公眾透過先進的通訊科技獲得緊急救助。雖然精確定位裝置並不在整個系統之中，但通過行動通訊業者所提供的數據，仍可定位需救助者的方位。 美國將寬頻通訊科技落實在公共安全層面的應用，將有助於其提升整體緊急救護的效率。
美國著作權局拒絕人工智慧創作品之著作權申請2022年2月14日，美國著作權局（US Copyright Office）所屬之著作權審查委員會（Copyright Review Board），做出一件人工智慧（AI）創作作品不得申請著作權登記之決定，並聲明人類作者是著作權保護的必要前提。 本案申請人Stephen Thaler在2018年首次嘗試為AI「Creativity Machine」創作的藝術作品申請著作權登記，Stephen將Creativity Machine列為作者，並聲明其因擁有該AI而得透過美國著作權法第201條（b）項的受雇著作原則（work for hire）取得前述作品之所有權，且得為此作品申請著作權登記。然而，Stephen提出的申請沒有成功，著作權局認為依著作權法及相關判例，非出自於人類所作之作品不應受著作權保障，而本案AI之創作作品亦無人類的創意性投入或干預。在Stephen提出兩次複審後，著作權審查委員會在2022年做出機關最終決定，除重申僅人類之作品得受著作權保障以外，更進一步表示無權利能力的AI無法簽訂契約，故無受雇著作原則適用之可能。此外，著作權審查委員會亦指出受雇著作原則亦僅能表彰作品的所有權，並非作品是否得以受著作權保障之指標。 Stephen Thaler長年來不斷為AI之創作品爭取法律保護，除上述著作權外，其亦將名為DABUS的AI列為專利發明人，並以此就DABUS之發明在多個國家申請專利，而澳洲聯邦法院在2021年7月做出全球首個認為AI可作為專利發明人的判決。
歐盟發布「人工智慧白皮書」以因應人工智慧未來可能的機遇與挑戰人工智慧目前正快速發展，不論是在醫療、農業耕作、製造生產或是氣候變遷等領域上，均帶來了許多改變，然而在人工智慧應用之同時，其也存在許多潛在風險如決策不透明、歧視或其他倫理與人權議題。 歐盟為求在全球競爭激烈的背景下，維護其於人工智慧相關領域的領先地位，並確保人工智慧技術於改善歐洲人民生活的同時，亦能尊重(respecting)人民權利，乃於今年(2020年)2月發布「人工智慧白皮書」(White Paper on Artificial Intelligence)，將採投資及監管併用之方式，促進人工智慧應用與解決其相關風險，其對於未來促進人工智慧的應用(promoting the uptake of AI)與相關風險解決，計畫朝向建立卓越生態系統(An Ecosystem of Excellence)及信任生態系統(An Ecosystem of Trust)兩方面進行。 在建立信任生態系統中，歐盟提到因為人工智慧具有變革性的潛力，所以就信任的建立乃至關重要，未來歐洲人工智慧的監管框架除了須確保遵守歐盟法規外(包括基本權利保護與消費者權益維護之規範)，對於高風險性之人工智慧應用，其將強制要求需於銷售前進行合格評定(mandatory pre-marketing conformity assessment requirement)。而有關高風險性之定義，歐盟於該白皮書指出須符合以下兩個要件： 考量人工智慧應用之一般活動特徵，其預計會有重大風險的發生，例如在醫療保健、運輸、能源和可能屬於高風險的公共領域；以及 在預期用途或應用上都可能對個人(individual)或企業(company)帶來重大的風險，特別是在安全性(safety)、消費者權益(consumer rights)與基本權利(fundamental rights)上。 歐盟委員會目前針對於以上白皮書之內容與附隨報告，將向公眾徵詢意見至今年5月19日。