美國財政部外國資產控制辦公室更新發布與勒索軟體支付相關之制裁風險諮詢
美國財政部外國資產控制辦公室（The US Department of the Treasury’s Office of Foreign Assets Control, OFAC）於2021年9月21日更新並發布了與勒索軟體支付相關之制裁風險諮詢公告（Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments）。透過強調惡意網絡活動與支付贖金可能遭受相關制裁之風險，期待企業可以採取相關之主動措施以減輕風險，此類相關之主動措施即緩減風險之因素（mitigating factors）。
該諮詢認為對惡意勒索軟體支付贖金等同於變相鼓勵此種惡意行為，故若企業對勒索軟體支付，或代替受害企業支付贖金，未來則有受到制裁之潛在風險，OFAC將依據無過失責任（strict liability），發動民事處罰（Civil Penalty制度），例如處以民事罰款（Civil Money Penalty）。
OFAC鼓勵企業與金融機構包括涉及金錢存放與贖金支付之機構，應實施合規之風險管理計畫以減少被制裁之風險，例如維護資料的離線備份、制定勒索事件因應計畫、進行網路安全培訓、定期更新防毒軟體，以及啟用身分驗證協議等；並且積極鼓勵受勒索病毒攻擊之受害者應積極聯繫相關政府機構，例如美國國土安全部網路安全暨基礎安全局、聯邦調查局當地辦公室。
蘇偉綸
副法律研究員 編譯整理
1. The US Department of the Treasury’s Office of Foreign Assets Control [OFAC], Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments(2021), https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf (last visited Oct. 19, 2021).
2. Publication of Updated Ransomware Advisory; Cyber-related Designation, U.S. DEPARTMENT OF THE TREASURY, https://home.treasury.gov/policy-issues/financial-sanctions/recent-actions/20210921 (last visited Oct. 19, 2021).
3. Alex Koskey and Matt White, Ransomware state of the union: regulations, trends and mitigation strategies, REUTERS, Oct.14,2021, https://www.reuters.com/legal/legalindustry/ransomware-state-union-regulations-trends-mitigation-strategies-2021-10-14/ (last visited Oct. 19, 2021).
美國線上服務(AOL)找到改善公司資金短缺的問題。主要出售該公司800項並將其他相關專利授權予微軟(Microsoft)使用，共獲得總價10.6億美元。這也使得AOL的生存獲得機會，但也同時減低AOL的價值。 AOL出售專利主要是因為公司股東認為AOL無法利用專利為公司賺得應有的利益，因此出售大多數的專利給微軟，且將留下300項專利權，同時授權予微軟使用，其技術主要為廣告、搜尋、網際網路、多媒體等其他相關專利。 AOL將出售專利所獲得現金收入，大部分提供給股東。消息公佈後，雖微軟股價下降1.1%，而AOL股價卻上漲43%，每股26.2美元。整體而言，微軟期望透過此專利交易，比起AOL更有效率獲取收益，而AOL出售專利的同時，也喪失未來透過這些專利獲得收入的機會；當AOL的股東看似獲得龐大的回饋金，他們也同時失去未來無法預期的更大的利益回饋。 微軟將透過這800件專利新武器迎戰正在進行的科技競爭訴訟。當然微軟不是唯一提出訴訟的公司。近幾年幾家科技公司，谷歌(Google)、甲骨文公司(Oracle)、及蘋果公司(Apple)亦捲入專利訴訟。小型公司在訴訟中往往比較弱勢，但亦有成功的案例。如，微軟需支付專利訴訟賠償金額加上判決訴訟費用，共2.9億美元給I4i公司。
歐盟為清潔能源轉型提出再生能源指令修正提案2016年11月30日，歐盟執委會正式推出了清潔能源轉型（Clean Energy Transition）包裹立法提案。這項又名為「全歐洲人的清潔能源」（Clean Energy for All Europeans）包裹立法提案有三個主要目標，分別為「能源效率優先」（putting energy efficiency first）、「讓歐盟於再生能源取得全球領導地位」，以及「提供消費者公平合理的方案」（providing a fair deal for consumers）。而整個包裹措施的內容，除了再生能源指令（2009/28/EC）的修正案的提出外，並包含能源效率指令（2012/27/EU）以及建築物能源績效指令（2010/31/EU）的修正規劃。 在再生能源指令的修正草案方面，根據執委會的說明文件 ，此次的修正大致延續2015年所提出公眾諮詢的架構，分為六個面向，分別為：（1）於電力部門創造可以促成再生能源進一步佈署之架構（2）供冷供熱部門再生能源的主流化（3）運輸部門的減碳與多元化（4）對於消費者之賦權與資訊之提供（5）強化歐盟對於生質能源的永續性門檻（6）確保歐盟層級的具拘束力目標（binding target）能及時並以符合成本效率之方式達成。 在「於電力部門創造可以促成再生能源進一步佈署之架構」方面，執委會指出，依照目前規劃，2030年時歐洲將有一半的電力來自再生能源。而因應上述規劃願景，此次的修正草案融入會員國在設計支持再生能源機制時所應遵循的一般原則，亦即除了確保相關支持機制對於投資人具透明性與安定性，系爭機制亦須符合成本效益且為市場導向。 在「供冷供熱部門再生能源的主流化」部分，執委會首先說明，供冷供熱佔歐洲能源需求的50%，但此部分再生能源的使用仍然發展遲緩。此次修正規劃的主要重點則首先在於讓會員國有機會以供冷供熱部門為選項來增加其再生能源佔比，以2030年為目標，預計每年增加1%。並在特定條件下，開放再生能源發電業者對於區域型供冷供熱系統的近用權利。 我國政府近來為推動能源轉型政策，亦致力提高再生能源配比，並由行政院核定諸如「太陽光電2年推動計畫」等配套方案，近來並將修正再生能源發展條例；歐盟所提出相關規劃內容，或亦有值得我國參酌之處。
美國國家標準與技術研究院公布物聯網設備核心網路安全基礎指南草案美國國家標準與技術研究院（National Institute of Standards and Technology, NIST）於2019年8月1 日公布「安全物聯網設備之核心網路安全特徵基準（Core Cybersecurity Feature Baseline for Securable IoT Devices）」指南草案，提出供製造商參考之物聯網設備網路安全基本要素，該指南草案中提出幾項重要核心要素如下： 設備辨識：物聯網設備必須有可供辨識之相關途徑，例如產品序號或是當連接網路時有具獨特性之網路位址。 設備配置：獲得授權之使用者應可改變設備的軟體以及韌體（firmware）之配置，例如許多物聯網設備具有可改變其功能或是管理安全特性之途徑。 資料保護：物聯網設備如何保障其所儲存以及傳送之資料不被未經授權者使用，應清楚可被知悉，例如有些設備利用加密來隱蔽其儲存之資料。 合理近用之介面：設備應限制近用途徑，例如物聯網設備以及其支持之軟體應蒐集並認證嘗試近用其設備的使用者資訊，例如透過使用者名稱與密碼等。 軟體與韌體更新：設備之軟體應可透過安全且可被調整之機制進行更新，例如有些物聯網設備可自動的自其製造商取得更新資訊，並且幾乎不需要使用者特別之動作。 網路安全事件紀錄：物聯網設備應可記錄網路安全事件並且應使這些紀錄讓所有人或製造商可取得，這些紀錄可幫助使用者與開發者辨識設備之弱點以近一步修復。
日本經產省公布產業版資料契約指引和資安手冊日本經濟產業省於2017年起提倡「Connected Industries」，其中一項重點任務為「平台、基礎設施安全」。為達成上述任務，經產省召開「平台資料活用促進會議」（プラントデータ活用促進会議），於2018年4月26日制定公布「資料契約指引產業保安版」（データの利用に関する契約ガイドライン産業保安版）及「物聯網安全對應手冊產業保安版」（IoTセキュリティ対応マニュアル産業保安版），以因應資料經濟時代資訊外洩及網路攻擊等風險。 日本經產省為促進業界資料流通與利用，已陸續於2015年、2017年和2018年制定「推動現有資料交易為目的之契約指引」（既存のデータに関する取引の推進を目的とした契約ガイドライン）、「資料利用權限契約指引」（データ利用権限に関するガイドラインVer.1.0）。本次「資料契約指引產業保安版」則進一步整理資料權利歸屬判斷方式，提供模範條款及說明各條款內容，並羅列作為資料提供者可能具備之優點。此外，隨著物聯網等資訊科技發展，資安風險逐漸受到重視，為提升物聯網產品安全防護，經產省亦以平台管理者為對象，制定「物聯網安全對應手冊產業保安版」，提供適當安全對策及案例。