美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
日本內閣府網路安全戰略本部（サイバーセキュリティ戦略本部）於2017年7月13日第14次會議中提出對2020年後網路安全相關戰略案之回顧（2020年及びその後を見据えたサイバーセキュリティの在り方（案）－サイバーセキュリティ戦略中間レビュー－），針對網路攻擊嚴重程度，訂立網路安全判斷基準（下稱本基準）草案。對於現代網路攻擊造成之嚴重程度、資訊之重要程度、影響範圍等情狀，為使相關機關可以做出適當之處理，進而可以迅速採取相應之行動，特制訂強化處理網路攻擊判斷基準草案。其後將陸續與相關專家委員討論，將於2017年年底發布相關政策。 本基準設置目的：為了於事故發生時，具有視覺上立即判斷標準，以有助於事故相關主體間溝通與理解，並可以做為政府在面對網路侵害時判斷之基準，成為相關事件資訊共享之體制與方法之基準。 本基準以侵害程度由低至高，分為第0級至第5級。第0級（無）為無侵害，乃對國民生活無影響之可能性；第1級（低）為對國民生活影響之可能性低；第2級（中）為對國民生活有影響之可能性；第3級（高）為明顯的對國民生活影響，並具高可能性；第4級（重大）為顯著的對國民生活影響，並具高可能性；第5級（危機）為對國民生活廣泛顯著的影響，並具有急迫性。除了對國民及社會影響，另外在相關系統（システム）評估上，在緊急狀況時，判斷對重要關鍵基礎設施之安全性、持續性之影響時，基準在第0級至第4級；平常時期，判斷對關鍵基礎設施之影響，只利用第0級至第3級。 本次報告及相關政策將陸續在一年內施行，日本透過內閣府網路安全戰略本部及總務省、經濟產業省與相關機構及單位之共同合作，按照統一之標準採取措施，並依據資訊系統所收集和管理之資料作出適當的監控及觀測，藉由構建之資訊共享系統，可以防止網絡攻擊造成重大的損失，並防止侵害持續蔓延及擴大，同時也將為2020年東京奧運會之資訊安全做準備。我國行政院國家資通安全會報目前公布了「國家資通安全通報應變作業綱要」，而日本以國民生活之影響程度標準列成0至5等級，其區分較為精細，且有區分平時基準及非常時期基準等，日本之相關標準可作為綱要修正時之參考。
Apple Inc. 因販售個人資料面臨團體訴訟三位來自Massachusetts州的州民，以Apple Inc.（下稱Apple）為被告，於該州地方法院提起團體訴訟。其等主張在2012年至2013年間，透過信用卡於Massachusetts州Apple的零售商店購買該公司相關商品時，Apple有過度蒐集與不當利用個人資料之情形。據Apple網站指出，消費者得選擇透過信用卡的方式購買商品，然若選擇信用卡方式付費，必須提供個人相關識別訊息，包含完整的郵政編碼，如果提供不完整，Apple將不會允許使用消費者使用信用卡方式付費；且Apple亦在網站上聲稱保有允許提供該類訊息予提供產品和服務的合作夥伴，或得利用該類訊息幫助行銷的權利。故原告等透過信用卡消費後，收到不必要的市場行銷資訊；又Apple將原告等人可識別的個人資訊銷售第三方公司，並在未顧及原告等權益下，挪用了該具有經濟價值的個人可識別資訊。基於上述理由，原告等請求至少500萬元美金之損害賠償，其中不包含訴訟費用以及相關利息等其他費用。 依據Mass. Gen. Laws ch. 93 §105 規定，不論是個人、商號、合夥、公司或一切營業人，當接受信用卡交易模式時，並不能要求消費者填寫任何個人可識別的資訊。若法院同意原告們的訴求，Apple將因「不公平且欺騙之貿易行為」而被認定違反該州法律而必須負擔賠償責任，且Apple也將被要求停止蒐集全州的個人可識別資料。
日本新型態旅宿模式下誕生的民泊新法隨著以網路平台經營仲介事業的Airbnb服務開始流行，鎖定國外觀光客的個人住宅和投資型不動產出租產生一種新型態的商機，加上近年旅日遊客增加及2020東京奧運即將來臨，日本政府預期將會有短暫性遊客人數激增。為解決訪日旅客居住設施問題以及特定期間過後旅館閒置造成之資源浪費或倒產問題，日本將在明年（2018）六月施行住宅宿泊事業法（民泊新法）採取鬆綁民宿短期經營之法規限制。該法變革重點包含： 行政程序：原先依據旅館業法採取許可制，民泊新法施行後為申報制。 營業日數：層級化區分旅館與民泊限制年營業180日。 宿泊日數：解除住宿日限制（例如大阪民泊條例須三天兩夜以上）。 建物用途：原本必須為許可旅館，施行後住宅、公寓及招待所皆可。 營業地區：限制在住居專用地營業。 本法施行後將可明顯區分旅館業與民泊業強化管理，並且呼應日本政府的經濟振興計畫，帶動兼業、副業及提供自營作業者從事經濟活動的管道。另外，因新法施行後合法民泊增加產生的新型態商機成為吸引大型平台或企業投入政府經濟再興計畫之誘因，進而提供協助個人民泊經營者申報、環境改善、及代理管理等業務，有利於政府推動相關社會安全網建置。