美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
生技藥品是植基於活體生物的原理所開發出來的治療藥品，自第一批生技藥品上市以來，其專利在最近幾年已陸續到期，因此生技業者對於推出這些生物製品的學名藥版本（generic versions of biologics，以下簡稱生技學名藥），躍躍欲試。然而，美國當前的學名藥法規—藥品價格競爭及專利回復法（Drug Price Competition and Patent Restoration Act, 又名Hatch-Waxman Act, HWA），乃是針對化學藥品的學名藥版本所制定的法規，此類學名藥與生技學名藥並不相同，因此既有的學名藥法規並不能適用於生技學名藥，生技業者無不引頸企盼政府部門通過新的法規，以使生技學名藥儘速上市。 美國參議院最近提出一項生技學名藥法案—生技製品價格競爭與創新法（Biologics Price Competition and Innovation Act, BPCIA），一如HWA，BPCIA的內容也呈現出各種利益折衝的色彩，法案一方面賦予FDA對生技學名藥進行審核的新權限，並藉由減少臨床試驗之進行，加速生技學名藥的上市；另一方面，為避免低價的生技學名藥會對品牌藥的銷售產生衝擊，法案也有針對生技研發公司的研發誘因設計，以鼓勵其持續投入資金，開發更多的生技治療藥品。未來生技學名藥廠需要配合FDA所規劃的風險管理計劃（該計劃的相關立法目前尚待眾議院審議），故生技學名藥廠於其生技學名藥上市後，仍有進行臨床試驗之義務。 法案中最具爭議的條文在於，究竟應給予生技研發公司多長的銷售獨家銷售權（market exclusivity），始得允許生技學名藥廠加入市場競爭，生技研發公司與生技學名藥廠對此的歧見甚大，前者主張十四年，後者則認為五年的時間已足，目前法案訂為十二年。另一個不易處理的議題，則是藥師如何處理此類的生技學名藥，根據目前的法案內容，未來藥師亦可不經徵詢醫師而以生技學名藥代替之。
基改小麥事件爆發 基改標示議題再上火線基因改造食品的安全性，向來引起全球關注，各界爭議不休。美國農業部在上（5）月29日公開表示，在奧勒岡州（Oregon）的私人農場中發現基因改造小麥，這是否屬於單一個案，還是意味著基改防線已有所瓦解，對於美國基改管理體系具有重大意義。以目前而言，美國尚未核准任何基因改造小麥。 美國是全球最大的小麥供應國，每年有4000萬噸小麥輸入亞洲；其中，日本更是美國最重要的海外市場。在本案爆發之後，日本於第一時間暫停來自美國西北的小麥進口至美國境內，這股緊張氣氛預計將快速漫延至其他亞洲國家。 事實上，在這事件同時，於綠色和平（green peace）及其他NGO團體串聯下，全球200萬民眾走上街頭，抗議美國孟山都（Monsanto）及其研發的基因改造食品，包括美國、加拿大、阿根廷等，估計共有52國、436個城市響應，一齊表達對於基因改造食品的不安感。在基因改造食品的長期爭議下，美國有若干州考慮採取立法管制，特別是要求基因改造作物或產品必須要標示清楚，以保護消費者的權益。最新的進展是，在本（6）月4日，康乃迪克州（Connecticut）議會以134比3，通過基因改革食物法案，要求各項食物必須明確標示是否含有基因改造成分。在這之後，緬因（Maine）州也立即跟進，以141比4通過類似的基改標示法案。而案件爆發地–奧勒岡州，則還沒有進一步消息。
日本政府擬修法加強交友網站管制以保護未成年人有鑑於未滿18歲青少年透過交友網站而遭受性侵害等事件頻傳，日本警察廳專家研究會議，建議增訂課以交友網站業者應向地方政府公安委員會提出申請，以及嚴格確認會員年齡等義務。警察廳在接受前述意見後，將進行「交友網站規範法」修法作業，並於徵求各方意見後，向國會提出修正法案。 日本政府於2003年施行「利用網路異性介紹事業引誘兒童行為規範法」（簡稱「交友網站規範法」）後，被害兒童人數逐年減少；但自2006年起再度呈現攀升趨勢。依據現行法規定，引誘未滿18歲兒童利用交友網站而進行性行為或援助交際者，將處以六個月以下拘役或100萬日圓以下罰金。對於交友網站業者，除應明示禁止兒童利用外，並課以確認使用者非兒童之義務。然而，在該法施行後，警察廳雖得對特定業者進行警告，卻因交友網站使用海外伺服器或利用免費網站，伺服器管理者無法確認交友網站業者的資料，而引發許多問題。因此，警察廳認為現行規範法實施四年後，規範效果已經遞減，而開始著手進行修法。 日本警察廳根據專家研究會議之建議，提出「網站經營者責任明確化」、「防止兒童利用」以及「排除資格不符的業者」等三大因應策略。未來「交友網站規範法」之修法方向，將課以交友網站業者向地方政府公安委員會提出申請，並應嚴格確認會員年齡等之義務。如業者發現使用者為兒童，或得知大人對兒童留下買春的邀約時，業者必須刪除該文字，並應要求該使用者退出會員。此外，「交友網站規範法」也將增訂停止命令，對於不遵從改善命令之業者，將可以強制停止業務外，並應審查是否為黑道等不良份子，以排除不適格的業者。為使停止命令具有實效性，也將檢討是否對不服從命令之業者科以刑事罰則。另一方面，從保護兒童的觀點來看，監護人與行動電話業者亦扮演重要角色，故也擬增訂加強電信業者應負限制連結或過濾交友網站等之責任。
華碩因路由器資安漏洞遭起訴一案與美國聯邦貿易委員會達成和解美國聯邦貿易委員會（Federal Trade Commission, FTC）於2014年間以路由器(Router)與雲端服務的安全漏洞，導生消費者面臨資安與隱私風險之虞，而依據《聯邦貿易委員會法》第5條（Federal Trade Commission Act, 15 U.S.C. § 45(a)）委員會防止不公平競爭違法手段（unfair methods of competition unlawful ; prevention by Commission）之規定，即華碩涉嫌行使不公平或詐欺的手段致影響商業活動之公平競爭為由，對我國知名全球科技公司華碩電腦股份有限公司(ASUSTeK Computer, Inc.)進行起訴 。 本案歷經FTC近二年的調查程序後，華碩公司於2016年2月23日同意FTC的和解條件，即華碩公司應針對部分存在資安疑慮的產品依計畫進行改善，並且於未來20年期間內須接受FTC的獨立稽核(independent audits)。 FTC於該案的起訴報告中指出，華碩於銷售其所生產的路由器產品時，曾對消費者強調該產品具許多資安保障措施，具有得以防止使用者不受駭客攻擊等效果；然而，該產品實際上卻具有嚴重的軟體設計漏洞，使駭客得以在使用者未知的情況下，利用華碩路由器的網頁控制面板(web-based control panel)之設計漏洞，任意改變路由器的安全設定；更有專家發現駭客於入侵華碩製造之路由器產品後，得以強佔使用者的網路頻寬。 此外，華碩允許使用者沿用路由器產品的預設帳號密碼，再加上華碩所提供的AiCloud與AiDisk雲端服務功能，讓使用者得以隨身硬碟建立其私有的雲端儲存空間，使得駭客得藉由上述華碩路由器的設計漏洞直接竊取使用者於隨身硬碟內所儲存的資料。FTC並於起訴聲明中指出，駭客利用華碩路由器產品與相關服務的漏洞，於2014年間成功入侵超過12,900多位產品使用者的雲端儲存空間。除此之外，使華碩更加備受譴責的是，當該漏洞被發現之後，其並未主動向產品的使用者強調產品存在該資安問題，更未告知使用者應下載更正該設計漏洞的軟體更新，因此FTC始決定對華碩進行起訴。