美國聯邦商務部修訂出口管制規則,對可用於惡意網路活動之項目出口、再出口與移轉進行管制

  美國聯邦商務部(Department of Commerce, DOC)下之工業及安全局(Bureau of Industry and Security, BIS)於2021年10月20日公布一暫行最終規則(interim final rule),對出口管制規則(Export Administration Regulation, EAR)進行修訂,其於商品管制清單(Commerce Control List)中增訂「可用於監視、間諜活動或其他破壞、拒絕、降低網路及其設備性能之工具」相關之出口管制分類編碼(Export Control Classification Number, ECCN)項目及說明文字,並增訂「授權網路安全出口(Authorized Cybersecurity Exports, ACE)」的例外許可規定(15 CFR §740.22),該暫行最終規則將於2022年1月19日生效。

  被列入商品管制清單內的項目,原則上即不允許出口(或再出口、於國內移轉,以下同),惟透過ACE之例外許可,使前述項目可出口至大多數國家,僅在下列「再例外」情況需申請出口許可:

  1. 出口地為反恐目的地:出口目的地為15 CFR §740補充文件一所列類別E:1和E:2之國家時,須申請出口許可。
  2. 出口對象為國家類別D之政府終端使用者(Government end user):政府終端使用者係指能提供政府功能或服務之國家、區域或地方之部門、機關或實體,當政府終端使用者歸屬於國家類別D時,須申請出口許可。惟若類別D之國家同時被歸類於類別A:6(如賽普勒斯、以色列及台灣),在特定情況下,如為弱點揭露、犯罪調查等目的,出口予該國之電腦安全事件回應小組;為犯罪調查、訴訟等目的,出口可展現資訊系統上與使用者相關、對系統造成危害或其他影響活動之數位製品(digital artifacts)予警察或司法機關;或出口數位製品予前述政府,而該數位製品涉及由美國公司之子公司、金融服務者、民間健康和醫療機構等優惠待遇網路安全終端使用者(favorable treatment cybersecurity end user)擁有或操作資訊系統相關之網路安全事件時,不適用ACE之再例外規定,而不須申請出口許可。
  3. 終端使用者為國家類別D:1、D:5之非政府單位:結合上述第二點之說明,不論出口至國家類別D:1、D:5之政府或非政府單位,皆受ACE之「再例外」拘束,而須申請出口許可。僅當出口特定之ECCN網路安全項目予優惠待遇網路安全終端使用者、基於弱點揭露或網路事件回應之目的出口予非政府單位,或對非政府單位的視同出口(deemed export)行為,方不適用再例外規定,而不須申請出口許可。
  4. 終端使用者限制:已知或可得而知該物品將在未獲授權之情況下,被用於影響資訊系統或資訊之機密性、完整性或可用性時,須申請出口許可。

     

本文為「經濟部產業技術司科技專案成果」

相關連結
你可能會想參加
※ 美國聯邦商務部修訂出口管制規則,對可用於惡意網路活動之項目出口、再出口與移轉進行管制, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8777&no=57&tp=1 (最後瀏覽日:2026/05/02)
引註此篇文章
你可能還會想看
IBM同意中國大陸政府檢視部份產品原始碼

  近年來中國大陸政府為了資安考量,制訂相關法規要求外國科技公司進入中國大陸市場時必須提供程式原始碼,避免他方非法(例如利用病毒)透過電腦軟體進入中國大陸的系統和資料。   IBM公司近日發表聲明,允許特定國家在其嚴格的監控下,檢視其部份產品的軟體原始碼,確保產品沒有資訊安全的漏洞,中國大陸也在這些特定國家之列。這是美國重要的科技大廠,首次公開同意遵守中國大陸政府對於外國技術的資訊安全審查,然而此舉讓美國政府與其他矽谷科技公司頗有微詞。   IBM開放檢視其程式碼的對象為中華人民共和國工業與信息化部。IBM在聲明中表示,原始碼的檢視必須在IBM公司內,於無網路連線並受IBM安全應用程式監控的環境下進行,並保證這些軟體原始碼不會被釋出、被複製,或以任何方式改作。在嚴格的環境和時間限制下,IBM不會讓中國大陸政府有機會接觸其客戶資料庫,也不會涉及後門程式(back door)。至於會提供哪些產品的原始碼檢視,或中國大陸官方可檢視的時間有多長,IBM尚無明確說明。事實上IBM並非唯一提供程式碼的科技公司,微軟公司早在2003年即允許中國大陸、俄國、英國等國家檢視微軟Windows部分產品的原始碼。   有市場分析公司指出,IBM為降低智慧財產權被複製的風險,所釋出的原始碼可能只涉及基本功能,不包含專有的演算碼,且像IBM此類的公司,應該擁有閉源軟體(closed-source)或特別的軟體以嚴密地維護底層的原始碼,避免中國大陸政府藉由檢視原始碼執行反向工程(Reverse Engineering)。   IBM公司願意提供中國大陸政府檢視部分產品原始碼,目的在於展示其產品安全性,試圖擴展IBM在中國大陸的商業版圖。IBM旗下的雲端運算平台Bluemis未來將與中國大陸的數據中心服務公司—北京世紀互聯寬帶數據中心有限公司合作。該公司同時也是微軟在中國大陸的合作夥伴。

CODEX增訂低量摻雜重組DNA植物成分之食品安全評估準則

  經過兩年的研議溝通,由國際食品標準委員會(Codex Alimentarius Commission,CODEX)生技衍生食品小組(Task Force on Foods Derived from Biotechnology,TFFBT)所研擬的「重組DNA植物成分低量摻雜之重組DNA植物來源食品安全評估準則之附件草案」(Draft Annex to the Guideline for the Conduct of Food Safety Assessment of Foods Derived from Recombinant-DNA Plants on Low-Level Presence of Recombinant-DNA Plant Material,LLP草案),終於日前送交CODEX大會決議通過。   關於植物來源食品內基改物質低量呈現(Low-Level Presence)的問題之所以受到國際間高度關切,其背景因素,其實是來自於全球各地域對於基因改造食品之食品安全審查進度狀態不一之情況使然。以最明顯的美國和歐盟為例,因為,對於植物來源食品而言,其所使用的植物原料,例如穀物、豆類、油菜種子等,在種植、運送至成品途中,尤其是在採收過程中,無可避免地均有可能會混雜到某些鄰近的合法基改植物原料;而目前國際現況是,許多在美國已通過食品安全評估之基改食品植物原料,在歐盟卻遲未獲得許可,而那些意外混雜了在美國為合法基改植物原料的食品,出口至尚未核准那些經混雜基改原料食品之國家時,則會因此被拒絕進口,而形成貿易上阻礙。   針對此問題,自2006年起,TFFBT特別召集成立一個工作小組,由美國出任小組主席,並與德國及泰國擔任共同主席,負責研擬LLP草案,以提供一套較簡易評估程序,專門針對這些混雜了低量的在出口國家已經合法、但在進口國家尚未通過食品安全檢驗之重組DNA植物成分食品之情形,提俱一套安全評估方法供進口國家政府參考,藉此,一方面確保這些摻雜低量重組DNA食品之安全性,另方面也不致令進口者因其產品含有低度摻雜而銷耗掉太過的貿易利益。   LLP草案對於摻雜低量重組DNA成份之進口國家而言,其較重要具實質意義的部份,係在於資料庫之建立、共享資訊之快速使用(rapid access)等機制的導入。研議期間,工作小組即表示會與相關國際組織聯繫,搭配建立適當之資訊資料庫。而負責籌設該資料庫的國際糧農組織(FAO)則表示,其除將運用其已建立的「國際食品安全及動植物健康入口網」(International Portal on Food Safety, Animal and Plant Health,IPFSAPH)外,並計劃與經濟合作發展組織(OECD)進行合作,引用「OECD生物追蹤產品資料庫」(OECD BioTrack Database)內依CODEX「重組DNA植物來源食品安全評估準則」(Guideline for the Conduct of Foods Safety Assessment of Foods Derived from Recombinant-DNA Plants (CODEX Plant Guideline),CODEX植物準則)所蒐羅之資訊,彙集各類相關資訊為一整合網站,並開放給公眾使用。

歐盟公布資料保護相關指令適用意見書

  由歐盟二十七個會員國資料保護主管機關組成的第二十九條資料保護工作小組(The Article 29 Working Party)最近公布其應適用何國資料保護法規之意見書。   歐盟資料保護指令(EU Data Protection Directive)第四條對於蒐集或處理個人資料所應適用之法規有所規範,依該條規定,機構必須依其成立之國別適用該國資料保護法規;機構若於其他國家裝置設備處理資料,則須遵守設備所在地之法令。   隨著全球化的趨勢與新興科技的發展,目前處理資料機構之運作方式已與當初制定指令時有所不同,許多機構在世界各國設置營運點,向全球各地提供各類型服務,尤其是網際網路的發展,使得遠端服務及在虛擬環境下分享個人資訊更為容易,但同時也增加辨識資料處理所在地之困難度,因此工作小組提出該意見書,希望藉此釐清資料保護指令第四條之適用。   工作小組於該意見書中指出,資料保護指令所指的應適用法規,並非資料控制者(data controller)所在地之法規,而是附屬於該資料控制者並實質進行資料處理之機構的所在地法規。蓋因同一資料控制者可能在數國成立附屬機構,在此種狀況下判別適用法規的標準,應視實際上相關資料處理活動的發生地,亦即處理資料機構所在地。   而針對處理個人資料所使用之設備,工作小組表示,即使處理資料之機構並未擁有設備,而使用該設備處理個人資料時,亦可適用指令第四條之規定,需遵守設備所在地之相關法規;但工作小組同時特別釐清,以電信電纜或郵政服務等方式傳輸資料並不會落入資料保護法規之範疇。

日本啟動大規模自動駕駛實證測試,聚焦高精度圖資與人機介面

  設置於內閣府內之SIP(跨部會戰略創新推動方案Cross-ministerial Strategic Innovation Promotion Program)「自動駕駛系統」計畫分項,於2017年10月3日起啟動大規模之自動駕駛實證測試。為加速實現系統之實用化,超過20個以上之國內外汽車製造商等機關,預計於東名高速道路、新東名高速道路、首都高速道路及常磐自動車道及東京臨海地區之一般道路,參加之大規模實證實驗。   SIP自動駕駛系統係從2013年開始,以早日實現自動駕駛系統實用化、透過技術普及以減少交通事故和實現次世代交通系統為目標,並協調產官學各界共同領域工作,和將研究開發推進之重點聚焦於自動駕駛用 Dynamic Map高精度3D地圖(由日本7家相關公司共同出資成立之Dynamic Map Platform= DMP 開發之3D地圖)、人機界面 (Human Machine Interface, HMI)、資訊安全、降低行人事故、次世代都市交通等5種技術領域。   研究開發由汽車製造商於公開場合下進行,並接受大眾檢視,於研究開發成果公布同時,也因海外製造商的參與促進國際合作與國際標準化。本次有超過20個機關參加規模,係日本自動駕駛最大規模實證實驗。

TOP