英國法律委員會提出75項自駕車修法具體建議，突破框架建構新體系
英格蘭與威爾斯法律委員會(The Law Commission of England and Wales)與蘇格蘭法律委員會(The Scottish Law Commission)於2022年1月26日聯合提出¬「自駕車修法建議報告（Automated Vehicles: joint report）」，總結其自2018年來三次公眾意見諮詢之回應分析，提出75項法律修正建議，提交英格蘭及蘇格蘭議會決議是否採納並修法。
修法建議範圍涵蓋廣泛，重要突破性建議包含：
（1）整合英國原有之《2018自動與電動車法（Automated and Electric Vehicles Act 2018）》中自駕車之認定標準，訂定一套雙階段自動駕駛認證許可制度，於第一階段審驗「整車」之規格是否符合國際或國內車輛型式安全審驗標準，並於第二階段審驗¬¬¬「個別自駕功能」是否能符合國內交通法規。
（2）提出「主責使用者（User-In-Charge, UIC）」概念，若車輛設計為在某些情形下需要人工接手駕駛，則自動駕駛系統（Automated Driving System, ADS）啟動時，坐在車內駕駛座之自然人即為UIC。
（3）對於不需要UIC車輛（No User-In-Charge, NUIC）營運平台業者，以及合法自駕車業者（Authorized Self-Driving Entities, ASDE），提出資格條件要求，包含必須具備良好名聲、財務穩健，必須向主管機關提交安全案例（safety cases）等。
（4）因《2018自動與電動車法》中已有要求自駕車均須投保保險，因此當自駕車造成車禍及損傷，不需先經確認有無人為故意過失，即可先行以保險進行賠償。事後若保險公司認為自駕車設計製造者有責任，得再依商品責任規範轉向車廠求償。
（5）而為了幫助事故調查、釐清責任，自駕車相關資料之持有者（如ASDE）應將相關資料保存3年又3個月，以配合侵權行為之法律請求權時效。
本分報告綜合各方意見，以務實之態度提出具體修法建議，深具參考價值，值得我國深入研析。
本文為「經濟部產業技術司科技專案成果」
楊至善
法律研究員 編譯整理
THE LAW COMMISSION OF ENGLAND AND WALES, THE SCOTTISH LAW COMMISSION, Automated Vehicles: Joint Report (2022), https://s3-eu-west-2.amazonaws.com/lawcom-prod-storage-11jsxou24uy7q/uploads/2022/01/Automated-vehicles-joint-report-cvr-03-02-22.pdf (last visited Mar. 7, 2022).
THE LAW COMMISSION OF ENGLAND AND WALES, THE SCOTTISH LAW COMMISSION, Summary of Automated Vehicles: Joint Report (2022), https://s3-eu-west-2.amazonaws.com/lawcom-prod-storage-11jsxou24uy7q/uploads/2022/01/AV-Summary-25-01-22-2.pdf (last visited Mar. 7, 2022).
柯亦儒，〈美國交通部提出自駕車全面性計畫，以促進自動駕駛系統規範環境之整合、透明性與現代化〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8638（最後瀏覽日：2022/03/7）
羅文妗，〈德國聯邦政府內閣通過自駕車草案〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8637（最後瀏覽日：2022/3/7）
張雅婷，〈加拿大運輸部發布自駕系統測試指引2.0，為建立全國一致的實驗準則〉，資訊工業策進會科技法律研究所，最後瀏覽日：2022/3/7）
科法觀點
由於網際網路之普及造成違法侵權著作廣泛流通，迫使著作權利人將矛頭轉向ISP業者，請求法院對網路服務業者(以下簡稱：ISP)發出阻斷網路連線禁制令，使用戶無法接近侵權著作。 瑞典Svea法院（Patent- och marknadsöverdomstolen）於今年2月13日就一上訴案件中向ISP發出禁制令（föreläggande），推翻斯德哥爾摩地方法院（Stockholms tingsrätt）於前年11月27日之決定。成為瑞典法院第一次針對ISP業者發出阻斷網路連線禁制令之確定判決（Domen går inte att överklaga）。該案是由華納、新力、聯合音樂、北歐電影與瑞典電影中心聯合提起，請求法院命一瑞典ISP（Bredbandsbolaget）阻斷二個涉及著作權侵害之網站連結（The Pirate Bay, Swefilmer）。 本案原告於一審主張，被告ISP向其使用者提供網路連接到侵害著作權網站之行為，已構成侵害行為的參與（medverkar），據此請求法院發出禁制令以禁止被告繼續參與侵害行為。一審法院未採納原告請求，認為所謂參與必須是瑞典刑法客觀上對侵權行為人有幫助行為，而ISP單純提供其顧客網路連結到侵權網站並非參與侵權行為。惟上訴審Svea法院認為所謂著作權法上之參與侵權行為認定，需考量歐盟法（Infosoc-directivet）下之解釋。而依據歐盟法院現行實務認定，在歐盟資訊社會指令下（Infosocdirektivet 2001/29/EG），即使ISP只提供網路連結到侵權網站，仍得向ISP發出禁制令，非以刑法上對侵權行為人有幫助行為為要件。因此法院認定本案已具備發出禁制令之條件而推翻一審認定。 然而目前法院發出禁制令之作法仍存有諸多問題。其一，禁制令是否真得能夠達成使ISP用戶不接近違法內容之目的，其有效性仍待考驗。其二，法院禁制令是否需就阻斷措施為指定，或是可委由ISP自行決定，只要ISP能達成阻斷目的即可，目前此問題仍有爭論。
美國國家寬頻計畫簡介 從中國大陸第四次專利修訂草案初評我國廠商專利布局建議從中國大陸第四次專利修訂草案初評我國廠商專利布局建議 資訊工業策進會科技法律研究所 法律研究員 方玟蓁 106年06月13日 壹、事件摘要 自2015年起「中華人民共和國專利法」進入第四次修正(以下簡稱草案)，「中國國家知識產權局」（SIPO）也對外公布了送交國務院審議的修訂草案送審稿[1]。雖因部分條款極具爭議性，各方意見尚未底定，然而由其修法動機，能見其積極因應市場變化的迫切需求，且將該需求直接反應在專利法律制度上，提出更新更高的要求。 因我國企業於中國大陸市場經營的比例偏高，故產業之專利布局及其策略上，也需持續瞭解中國大陸相關修法趨勢。有鑒於此，本文嘗試以其草案之部分新增條文，提供我國廠商於中國大陸布局時的建議參考。 貳、專利權的強化保護： 一、草案明訂專利間接侵權的法律責任 由於專利侵權現象在群體侵權、重複侵權較為嚴重，中國大陸為積極防止該種專利權侵害的發生，對於明知有關產品係專門用於實施專利的原物料、中間物、零部件、設備，未經專利權人授權，為生產經營目的將該產品提供給他人實施了侵犯專利權的行為，應當與侵權人負連帶責任；或對於明知有關產品、方法屬於專利產品或者專利方法，未經專利權人授權，為生產經營目的誘導他人實施了侵犯該專利權的行為，應當與侵權人負連帶責任[2]。雖法條目前的適用性仍有爭議，但從其修法說明[3]的精神可推知，此修正係為加強當侵權行為發生時，相關人所應負的侵權連帶責任。 對於我國在中國大陸經營之上游(供應原物料或設備等)業者而言，因難以判定其提供之產品是否為專門用於實施專利之特定原物料、中間物、零部件或設備，因此，若為中國大陸經營之我國上游業者，可於提供產品(原料、設備等)給下游業者時，簽訂禁止利用所提供之該產品去實施侵犯專利權的行為。 同理，對於我國在中國大陸經營事業，委託代工來說，也應避免「誘導」代工業者實施侵犯專利權的行為，以維護自身的權利。 二、草案明訂網路服務提供者的法律責任 草案修訂之目的係為解決在快速的互聯網產業發展中，於涉及專利侵權時，若等待司法程序判斷，恐會導致難以估計的損害。當網路服務提供者知道或應當知道其所提供之網路被用於專利仿冒或侵害時，該網路服務提供者須立即採取刪除、屏蔽、斷開侵權產品連結等必要措施予以制止；再者，當專利權人、利害關係人舉證證明並通知網路服務提供者時，或專利行政部門認定侵犯或假冒專利並通知網路服務提供者時，網路服務提供者若未及時採取必要措施，對於損害的擴大部分須與該網路用戶負連帶責任[4]。 在行動通訊與網路技術的快速發展下，除了在實務上常見的，透過網路服務提供者的管道侵害著作權，使用者亦可能經由網路服務提供者的平台，公開販售未經授權的仿冒或侵害專利權之產品，進而再被傳輸、流通的風險也隨之攀升。 然而，關於專利侵害之認定，判斷者需具備足夠的專利法學知識與專利相關之技術背景，這對於網路服務提供者來說，要自行判斷網路使用者的行為是否侵權，實屬困難。因此，對於專利權侵害的事前預防，我國網路服務相關業者可採取事先通知的方式，例如在會員條款上增加嚴禁侵害專利權的規定、或當使用者上傳或下載時跳出「禁止使用或散播侵害專利權之行為」的視窗；再者，對於專利侵權的監控與處置，網路服務相關業者可提供第三人通報的聯絡窗口，並搭配接獲通報後的處理流程，例如暫時取下或暫時停權後通報相關單位等措施；上述建議ㄧ方面係為減少侵權行為的擴大，另一方面係有助於網路服務提供者，當其在實際監督使用者行為時，減少其需自行認定使用者是否侵權的責任。 三、草案明訂延長設計專利的權限及完善設計專利標的 草案修訂之目的係為完善設計專利之保護標的。此次擴大納入「局部」[5]設計專利，以及延長保護期間從10年改為15年[6]。草案的修訂可改善以往於我國提「部分」設計專利[7]保護時，於中國大陸仍只能提「全部」設計的問題；此外，我國目前的修法方向亦為延長設計專利的權限從12年改為15年[8]。企業將來布局規劃時，可同步參考我國及中國大陸在設計專利上的修法趨勢，有助於專利布局上的策略擬訂。 參、專利實運用的促進 一、草案引進「當然授權」(中國大陸用語為當然許可)制度 在英國、德國、法國、印度、巴西、泰國、俄羅斯均有專利當然授權制度的規定[9]，雖然草案尚未有相關施行細則，但其主要特徵[10]如下： 專利權人事先以書面方式，向專利行政部門聲明其願意授權任何人實施其專利，經專利行政部門審查通過後公告實行授權；任何人意欲實施該當然授權之專利，應以書面方式通知專利權人，並支付授權費。 專利權人不得授予專屬授權、獨家授權[11]，僅得授予非專屬授權。因當然授權之立意在於可增進專利權之技術實施流通，此規定是欲避免專屬授權或獨家授權與當然授權之立意產生矛盾。 專利權人有權撤回已經公告的當然授權，同樣以書面方式向專利行政部門聲明，但撤回不具有溯及力，不影響先給予的當然授權效力。 我國現行專利法雖有關於強制授權的規定，但該強制授權之主要目的在於避免國家遭受緊急危難時受專利權之限制，例如在重大傳染性疾病期間，可能會強制相關的醫藥、醫材專利授權(專利法第87條[12])，而我國強制授權尚有實際運用於一般民間之企業競爭，其結果備受爭議的情況(飛利浦與國碩之強制授權案[13])。至於民間自願授權的部分仍屬申請人自行媒合技術，並個別簽訂授權合約，並無當然授權之相關規定及概念，使得專利權技術推廣的範圍受到限制。 草案所引進之「當然授權」制度，對於持有中國大陸專利權但難於尋找授權對象的企業而言，將多一種授權選擇方式。當然授權制度可減少搜尋、聯繫、簽訂合約的來回延宕，增加其專利授權之成功率，達到立即發揮專利在產業利用上的價值，亦有利於持有中國大陸專利權的企業發掘潛在需求市場而搶占先機。再者，對於欲在中國大陸實施專利技術的企業來說，亦可減少斡旋的時間，僅需依法定流程支付權利金後，即能實施當然授權的技術，進而有效率地將技術商品化並提早獲利。 二、草案明訂隱瞞標準必要專利的默許授權 標準制訂組織對於標準必要專利(Standard Essential Patent，SEP)的授權，分為有償、無償，其最重要的精神在於公平、合理且非歧視性(Fair, Reasonable And Non-Discriminatory，簡稱FRAND)。當企業在參與標準制訂時，若選擇以FRAND授權，則係指標準必要專利擁有者，其具有「意願」[14]授權標準使用者使用該技術。因此，草案修訂之目的除具體體現FRAND精神，更進一步規範參與國家標準制定者，若未揭露其擁有之標準必要專利，則視為其同意授權其他標準使用者使用該技術[15]，換言之，其企圖透過強制授權之法律效果，降低標準必要專利擁有者，利用隱瞞其標準必要專利之方式參與標準訂定，而於競爭中獲得不當之壟斷地位。 對於我國通訊相關業者而言，其在中國大陸經營時，通常為符合當地通訊規格，均避免不了去使用到標準必要專利技術，因此，草案的擬定方向，將有助於降低惡意隱瞞之標準必要專利的比例。換言之，若草案通過後，當我國通訊相關業者在中國大陸經營時，遭遇到標準必要專利的專利權人，以隱瞞其為標準必要專利的方式，進而提出不合理的授權金或拒絕授權時，我國企業將有機會於中國大陸依法請求國務院專利行政部門裁決，以保障自身的權利。 三、草案明訂職務發明的範疇 從草案將原條文中屬職務發明的「主要是利用本單位的物質技術條件」移除，看似為擴大實際從事發明之受雇人權利，然而於中國大陸《職務發明條例草案》[16]中關於職務發明的認定仍包含「主要利用本單位的資金、設備、零部件、原材料、繁殖材料或者不對外公開的技術資料等物質技術條件完成的發明，但是約定返還資金或者支付使用費，或者僅在完成後利用單位的物質技術條件驗證或者測試的除外」[17]；因此，目前中國大陸於職務發明的範疇認定上仍容有疑義，但若比較兩者的修法精神，或可推知其共通的部分，即關於專利權人的認定上主要仍依合約約定為主[18]。 對於我國在中國大陸經營的企業而言，因現階段關於職務發明的範疇仍於修法階段，我國企業除了需持續關切中國大陸有關職務發明認定的修法動向外，尚可先於合約上，針對「主要是利用本單位的物質技術條件」作明確、合理的界定和權利歸屬約定，並於合約約定當受雇人從事非職務發明時的告知義務[19]，以減少關於專利申請權、專利權所有人的爭議問題。 肆、專利執法的效率提升及透明化 一、草案明訂增設設區的市級及法律授權的縣級專利行政部門 草案增設專利行政部門係為加強專利行政部門對於故意侵害專利權行為之調查權力，且增加專利行政部門之專利侵權取締、專利市場監督、專利訊息大眾化之職權。其中部門除原省級外，另增設區的市級及法律授權的縣級專利行政部門[20]，以達積極掃蕩仿冒與侵害專利權行為之目的。 草案修訂的方向試圖協助專利權人維權，持有中國大陸專利權的我國企業也可更積極保護自身權利免於被仿冒或侵害機率，同理，我國企業於中國大陸經營時，也應極力避免對於他人專利權的侵害。 二、草案明訂全國信用訊息平台 由於專利權具有無形性，以及侵權行為具有隱蔽性的特點，導致專利維權舉證難、週期長、成本高、賠償低、效果差[21]；因此，草案修訂係透過專利行政部門建立的專利權保護信用訊息檔案，以納入全國信用訊息共享交換平台[22]，進而杜絕侵權行為人重複侵害專利權。該全國信用訊息共享交換平台係用於將各企業之行為訊息登錄其中，以此公開揭露各企業之專利侵權之相關信用，以增加各企業對於預防專利侵權之積極性。 我國企業未來可透過該信用平台，輔助其於選擇對象上(如選擇供應商或客戶)的判斷。此外，為避免侵害他人權利，從開始研發、申請專利、取得專利權、具體實施的過程中，企業都應持續確認有關專利權利的合法性、有效性，以及是否有涉及他人專利保護範圍的可能性，倘因誤觸他人權利範圍而被公開不良記錄，恐將減損企業之商譽。 伍、總結 由此次中國大陸專利法修正草案的方向可推知，其係為預防侵權、加強取締專利侵權的執行力，並提升專利權的授權實施率。倘若草案通過，則我國在中國大陸市場經營的企業將首當其衝，故企業需密切追蹤中國大陸專利法法令的修正趨勢，以擬定相應的專利布局策略。 對於我國在中國大陸經營的上游原料或設備供應業者、委託代工業者、代工業者、網路服務相關業者、及通訊相關業者而言，草案皆有與其相對應的修法趨勢，可參考本文依據草案修訂之各部分所提供對於我國企業之建議。 有鑒於此，建議我國企業應盡早落實智財教育訓練、權利歸屬約定、完善內部智財管理制度、極力減少於源頭端的侵權情事等，以利於專利制度與企業運作的正向循環，進而提升我國企業於中國大陸發展之競爭力。 [1]《中華人民共和國專利法修訂草案（送審稿）》，(國務院法制辦公室2015.12.2)，可參見http://www.sipo.gov.cn/ztzl/ywzt/zlfjqssxzdscxg/xylzlfxg/201512/t20151202_1211994.html (最後瀏覽日：2017/06/13)。 [2]《中華人民共和國專利法修訂草案（送審稿）》，第62條，(國務院法制辦公室2015.12.2)。 [3] 中華人民共和國國家知識產權局，<國家知識產權局關於“中華人民共和國專利法修訂草案（送審稿）”的說明> ，http://www.sipo.gov.cn/ztzl/ywzt/zlfjqssxzdscxg/xylzlfxg/201512/t20151202_1211994.html (最後瀏覽日：2017/6/13)。 [4]《中華人民共和國專利法修訂草案（送審稿）》，第63條，(國務院法制辦公室2015.12.2)。 [5]《中華人民共和國專利法修訂草案（送審稿）》，第2條，(國務院法制辦公室2015.12.2)。 [6]《中華人民共和國專利法修訂草案（送審稿）》，第42條，(國務院法制辦公室2015.12.2)。 [7]智慧財產局，<何謂部分設計？>，https://www.tipo.gov.tw/ct.asp?xItem=504152&ctNode=7633&mp=1 (最後瀏覽日：2017/06/13)。 [8]智慧財產局，< 106年度智慧財產權業務座談會自6月28日起舉辦，歡迎各界踴躍報名>，https://www.tipo.gov.tw/ct.asp?xItem=624733&ctNode=7127&mp=1 (最後瀏覽日：2017/06/13)。 [9]張洋，《我國專利當然授權制度的適用性及完善》，《知識產權》，第6期，頁120(2016)，可參見http://www.pkulaw.cn/fulltext_form.aspx?Db=qikan&Gid=1510164167 (最後瀏覽日：2017/06/13)。 [10] 中華人民共和國國家知識產權局，<我國引入專利當然許可制度的必要性>，http://www.sipo.gov.cn/zlssbgs/zlyj/201703/t20170331_1309183.html (最後瀏覽日：2017/06/13)。 [11]智慧財產局，<何謂專屬授權？何謂非專屬授權？何謂獨家授權？>，https://www.tipo.gov.tw/ct.asp?xItem=504364&ctNode=7633&mp=1 (最後瀏覽日：2017/06/13)。 [12]我國專利法第87條：「為因應國家緊急危難或其他重大緊急情況，專利專責機關應依緊急命令或中央目的事業主管機關之通知，強制授權所需專利權，並儘速通知專利權人。有下列情事之一，而有強制授權之必要者，專利專責機關得依申請強制授權： (一)增進公益之非營利實施。 (二)發明或新型專利權之實施，將不可避免侵害在前之發明或新型專利權，且較該在前之發明或新型專利權具相當經濟意義之重要技術改良。 (三)專利權人有限制競爭或不公平競爭之情事，經法院判決或行政院公平交易委員會處分。 就半導體技術專利申請強制授權者，以有前項第一款或第三款之情事者為限。 專利權經依第二項第一款或第二款規定申請強制授權者，以申請人曾以合理之商業條件在相當期間內仍不能協議授權者為限。 專利權經依第二項第二款規定申請強制授權者，其專利權人得提出合理條件，請求就申請人之專利權強制授權」。 [13]智慧財產局，<智慧局作成廢止國碩公司特許實施飛利浦公司5項CD-R專利權之處分>，https://www.tipo.gov.tw/ct.asp?xItem=316777&ctNode=7123&mp=1 (最後瀏覽日：2017/06/13)。 [14]姚玉鳳，《標準必要專利的產生流程及實踐中的若干問題》，中國電信集團公司，北京出版社，頁164-166(2016)，可參見http://www.infocomm-journal.com/dxkx/CN/article/openArticlePDFabs.jsp?id=157479 (最後瀏覽日：2017/06/13)。 [15]《中華人民共和國專利法修訂草案（送審稿）》，第85條，(國務院法制辦公室2015.12.2)。 [16]《職務發明條例草案(送審稿)》，(國務院法制辦公室2015.4.2)，可參見http://www.sipo.gov.cn/ztzl/ywzt/zwfmtlzl/tlcayj/201504/P020150413381965255411.pdf (最後瀏覽日：2017/6/13)。 [17]《職務發明條例草案(送審稿)》，第7條，(國務院法制辦公室2015.4.2)。 [18]《職務發明條例草案(送審稿)》，第9條，(國務院法制辦公室2015.4.2)。 [19]《職務發明條例草案(送審稿)》，第10條，(國務院法制辦公室2015.4.2)。 [20]《中華人民共和國專利法修訂草案（送審稿）》，第3條，(國務院法制辦公室2015.12.2)。 [21]中華人民共和國國家知識產權局，<國家知識產權局關於“中華人民共和國專利法修訂草案（送審稿）”的說明> ，http://www.sipo.gov.cn/ztzl/ywzt/zlfjqssxzdscxg/xylzlfxg/201512/t20151202_1211994.html (最後瀏覽日：2017/6/13)。 [22]中華人民共和國國家知識產權局，<國家知識產權局專利訊息服務平台試驗系統>，http://www.sipo.gov.cn/wxfw/zlwxxxggfw/hlwzljsxt/hlwzljsxtsyzn/201406/t20140624_970340.html (最後瀏覽日：2017/06/13)。
美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介 科技法律研究所 102年04月01日 壹、事件摘要 根據一項網路入侵案件的統計分析，約有80%的案件事來自於機關或企業內部人員，或是至少與內部人員有關。[1]然而，對於資通訊安全與機密資訊的維護，機關單位與人員把大部分的重心放在防範外來的入侵者，也就是外部威脅，反而忽略了內部員工對於資訊可能產生的潛在危害。[2]這些入侵案件的行為人大部分擁有合法存取控制資訊系統的權限，也就是因為這樣，內部威脅不易被發現。這就好比擁有大門鑰匙一般，正當合法從大門出入，以及從事本來就可以做的事，而不易被發覺。美國由於維基解密（WikiLeaks）事件的爆發，使政府對於機密維護的焦點，從外在攻擊的防止，轉聚焦於內部威脅的防範。 在美國，內部威脅並不是一個新的概念，公務機關本具備一定的管理措施；惟在維基解密案爆發後，帶給美國政府極大的衝擊，美國也全面檢討與創制新的因應作法，並於政策面、制度面與技術面等不同面向，進行積極的研究與合作。以下將引介美國之制度設計，藉此提供公務機關因應內部威脅議題之政策之參考。 貳、重點說明 一、內部威脅的定義與事件 有關資訊的價值，近來因內部威脅所帶來的損害類型已經隨著對於財產的定義與價值觀而產生變化。以產業為例，智慧財產權與企業機密，儼然成為內部人員所竊取的主要類型。企業可能因為智慧財產權或企業機密的外洩，導致企業喪失競爭力或甚至破產而關閉。如果把企業模型放大至國家或公務機關，「機密」對內部人員即成為最有價值的財產與籌碼，而公務機關可能因為內部威脅將機密外洩，造成對於國家、機關或人民產生公共安全，甚至是國家安全的危機。 （一）內部威脅的定義 外部威脅（External threat）」[3]係與內部威脅相對應之概念；外部威脅係指該威脅非由組織內部發生，而是由組織外部之人員或其他組織，透過一般的網際網路、互聯網系統，以未經授權之方式，對該組織之資訊設備，以植入惡意程式、或以駭客入侵等方式，進行侵入式的資訊系統攻擊，其目的係在於由外部取得該組織「有價值」的資訊。 為因應威脅，「威脅識別（Threat Identification）」成為威脅防禦之首要任務，按形成威脅的原因加以區分，大抵可分為「外部威脅（External Threat）」與「內部威脅（Insider Threat 或Internal Threat）」兩類。內部威脅係指例內部竊盜、系統失敗、惡意破壞、不遵守安全準則或是使用非法軟體等；相對外部威脅，係指自然災害，例如火災與地震，以及來自外部的惡意攻擊，例如盜賊、駭客、惡意程式，以及網路病毒等。[4] 「內部威脅」雖然被認知為威脅的一個種類，但是我國目前尚無對於「內部威脅」一致的定義。檢視外國對於「內部威脅」的定義，通常係指員工(含約聘僱人員)、或委外廠商為了個人利益、間諜活動或報復之意圖（「惡意（Malicious）」），對於資訊進行不正當之存取控制。「美國電腦緊急應變團隊（Computer Emergency Readiness Team, CERT）」認為內部威脅係指一位或多位具備存取控制（Access）的個人，意圖利用弱點侵入公司、組織，或企業的系統、服務、產品或設施，對於內部造成傷害。[5]「美國國防部減緩內部威脅計畫結案報告（Final Report of the Insider Threat Integrated Process Team, US Department of Defense, DoD Insider Threat Mitigation）」，內部威脅係指未經授權存取控制國防部資訊系統的人員，可能為軍事人員員工（Military Member）、國防部一般僱員（Civilian Employee ）、其他聯邦機構員工，以及私部門等。[6] 由上述定義可得知，內部威脅係來自於組織單位的「內部」，如以行為人之意圖區分，又可細分為「惡意（Malicious）」與「過失」。因人員之過失所造成之內部威脅，大部分原因為人員對於資訊系統與之使用與管理不當所造成，例如，人員使用Email或即時通訊軟體，受到社交工程之攻擊，導致電腦被植入惡意程式或間諜軟體。另一則為本文所要研究的「惡意的內部威脅（Malicious Insider）」，係指內部人員利用合法存取權限，為超出於其授權使用之對象、時間、範圍、目的，與用途等之行為，並意圖對於單位組織或是特定人、事、物等造成傷害，或是謀取不當利益。 依據惡意內部威脅事件，大約可分為以下各類型：[7] 1.IT破壞（IT Sabotage） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，意圖損害一個具體的個人或組織，或該組織的數據、系統或日常業務之運作。 2.為經濟利益而進行盜竊或修改（Theft or Modification for Financial Gain） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，為經濟利益意圖竊取或修改機密或專有資訊。 3.為取得業務優勢而進行竊盜或修改（Theft or Modification for Business Advantage） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，為取得業務優勢而進行竊盜或修改機密或專有資訊。 4.其他（Miscellaneous） 現任或前任僱員、承包商，或業務合作夥伴，以故意超過或誤用授權級別，而存取控制網路或資訊系統或資料的方式，為非基於經濟利益或業務優勢，而進行竊盜或修改機密或專有資訊。 或通常會涵蓋二種以上的類型，例如：員工先行對於IT系統進行破壞，然後再試圖敲詐僱主，以協助他們恢復系統為條件換取金錢。另曾有案例為，一名前副總裁於結束工作前，複製客戶數據庫與銷售手冊，再向其他外單位組織兜售。[8] （二）內部威脅事件的發生與所造成的損失 依據CERT於2011年4月對於內部威脅控制的報告指出，以報告中123件資訊科技破壞（IT Sabotage）事件進行統計，內部威脅發生的時間為26%件事件發生於上班時間，35%發生於下班時間，另外39%件事件發生於不確定的時間。另外一項以內部威脅受到攻擊的地點來看，54%事件發生於進行遠端連線時，27%發生於公司所在地，另外19%發生於不特定之地點或場所。[9] 有關內部威脅對於公務機關機密維護所造成的危害嚴重程度很難估計，可能是因為內部威脅事件提報執法單位或是司法機關得比例較低。內部威脅事件通常因為證據不足、損害程度與花費於司法程序之時間、人力與費用無法平衡，或是因為提報對於公務機關的形象與信譽可能產生極大的負面影響，所以通常對於事件大抵只有表面上概略之描述。[10] 二、美國歐巴馬政府面對內部威脅之政策規範 美國傳統對於機密資訊由軍事單位依照軍事規定處理，不過，自從羅斯福總統於1940年發布第8381號行政命令，改變了這個機制。第8381號行政令，授權政府官員保護軍事與海軍基地。爾後，歷任總統以發布行政命令的方式，建置聯邦政府的機密分級標準。不過，羅斯福總統以經特定法規授權為由，後續總統則是以基於一般法律與憲法授權。[11]國會則不停的以其他立法，[12]設法平衡總統權利。 歐巴馬總統上任前歷經2001年911事件的壓力，[13]以及2010年維基解密等機密外洩事件，致使歐巴馬團隊對於資訊安全以及機密維護非常重視，除了推動開放政府（Open Government），促進政府政策更公開透明的民主治理外，對於資通訊安全（Cyber Security）、機密資訊外洩的通報機制，以及內部人員（Insider）所帶來的威脅，更是採取積極的作法。[14] 針對內部人員對於國家安全與機密外洩的問題，歐巴馬政權立即採取相對應的措施，於2011年發布第13587號行政命令：「增進機密網路安全與機密資訊有責分享及安全維護的結構性改革（Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information）」，與因應第13587號行政命令所規範之「內部威脅」議題，於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準（National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs）」的總統備忘錄。 部會或機關紛紛對於內部威脅採取相關防範措施，例如國務院（Department of State）對於涉及機密的網路，採用新的審查與監控的工具，而在國防部（Department of Defense）也開始開發自動偵測內部威脅的辨識系統。在情報系統方面，商務部（Department of Commerce）國家標準與技術中心（National Institute of Standards and Technology, NIST）與司法部（Department of Justice）聯邦調查局（Federal Bureau of Investigation, FBI）也訂立內部威脅指引，提供企業與機關單位遵循。情報系統委託Carnegie Mellon University的電腦緊急應變團隊（Computer Emergency Readiness Team，以下簡稱CERT）內部威脅中心（CERT Insider Threat Center）進行多項內部威脅的研究。 至今為止，歐巴馬政權對於內部威脅的防範，於法制政策提出下列各項規範： （一）總統第13587號行政命令：「增進機密網路安全與機密資訊有則分享及安全維護的結構性改革」 由於維基解密事件的爆發，使美國將機密的維護，從對於防止外在的攻擊，轉聚焦於機密資訊的內部威脅。事件發生後，國家安全人員馬上成立跨機關小組，檢視處理機密資訊的政策與實務作法，希望可以提出解決行政部門可共用的機制，以減少類似的事件再度發生。 跨機關小組歷時七個多月的檢討後，對於機密資訊的保護，與涉及機密資訊人員或機關間合理使用與分享資訊提出下列原則：加強跨機關資訊有責共享的重要性；確保政策、流程與技術的安全解決方案，與監督和組織文化的發展；強調聯邦政府對於資訊必須實施一致的作法；與確保隱私、公民權和自由的保護。[15] 歐巴馬團隊將上述原則落實至第13587行政命令，[16]成立監督的架構，發展與落實涉及機密的網路與資訊共享的政策與標準。指示各機關必須負起安全與機密維護的責任，並加強跨機關資訊的流通與保護，包括電腦網路的安全，與內部威脅的機制，以減低未來國家安全機密外洩的風險。 第13587號行政命令大抵分為下列各大項，除此之外，聯邦政府同時已經採行增進機密資訊網路與人員的控管，例如拆卸式媒體、網路身分管理、內部威脅方案（Insider Threat Program）、存取控制的管控（Access Control）、機密網路的審核，[17]項目分為： 1.機密資訊電腦網路系統之安全維護各機關單位負擔重要的責任； 2.設置「資深資訊分享與安全維護推動小組（Senior Information Sharing and Safeguarding Steering Office）」； 3.成立「機密資訊流通與保護局（Classified Information Sharing and Safeguarding Office, CISSO）」； 4.設置「維護網路機密資訊執行秘書」(Executive Agent for Safeguarding Classified Information on Computer Networks)；與 5.設置「內部威脅專責小組（Insider Threat Task Force）」。 其中有關「內部威脅專責小組」的部分，跨機關的內部威脅專責小組將負責制定一個廣泛適用於公務機關內部威脅的方案。該方案的目標係為防止、檢測和減輕，包括利用、損害，或其他未經授權揭露機密資訊的內部威脅，並同時考量各機關單位所涉及的風險層級、業務與系統需求。解決方案亦應包含因應內部威脅的政策目標，建立和整合機關內部的安全與反間諜，用戶審查和監控等優先事項，以及其它機關的實作發展和保護能力。[18]除此之外，內部威脅專責小組還必須與相關單位合作，以促成政策的草擬與可行。[19] 專責小組的職責應包括下列： 1.制定並與行政機關協調，阻止、檢測和減輕內部威脅的政策，並提交至督導委員會檢閱； 2.與適當的機關合作，制定行政機關內部威脅方案的政策指引和最低標準，並於一年內發布，該相關指引和最低標準對於行政部門具拘束力； 3.如果有足夠的經費或經授權，繼續與適當單位合作，於一年之後，增修相關指引與最低標準； 4.如果沒有獲得足夠的經費或授權，建議由預算辦公室（Office of Management and Budget）或國家檔案與記錄管理局（National Archives and Records Administration）的資訊安全監督辦公室（Information Security Oversight Office, ISSO）於一年之後頒布相關指引與最低標準的增修版本； 5.如仍有任何未解決的問題，以致於延宕最低標準的公布，應將問題提交給督導委員會（Steering Committee）； 6.按照專責小組所制定之方案，獨立評估相關機關單位是否適當的落實既定的政策和最低標準，並將評估結果向督導委員會提報； 7.提供機關單位援助，包括提供最佳實作案例以供參考；與 8.提供美國政府所分析的內部威脅新的困難與挑戰。 由上可見，第18537號行政命令勾勒出美國政府對於增進涉及機密網路與機密資訊網路的結構性改革。不但成立跨機關的內部威脅專責小組負責草擬內部威脅的政策，機關亦必須依照指示時程，落實內部威脅政策的偵測方案，以及監控其運作是否符合政策的目標。 （二）「國家內部威脅政策和機關內部威脅方案的最低標準」總統備忘錄[20] 雖然第13587號行政命令規定機關針對內部威脅將組成跨機關內部威脅小組，負責偵測與避免內部威脅，以增進對於機密資訊的保護，以及減低機密資訊被未經授權的存取控制或揭露的潛在弱點。然而，機關應該如何施行的細項尚未有細緻規範，仍需等待歐巴馬團隊進一步制定，以落實於聯邦政府所屬的公務機關。 緣此，美國總統歐巴馬於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準的備忘錄（National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs）」，主要提供行政部門於防止、偵測與減低內部人員可能造成國家安全的威脅相關遵循方向與指引。因應內部威脅的能力將增進行政部門對於機密資訊的保護，並加強危及國家安全的敵對勢力或內部威脅的防禦。 這些威脅包括潛在的間諜活動，對國家或機關單位的暴力行為，以及未經授權揭露機密資訊，包括透過的美國政府互聯的電腦網路和系統處理的大量機密資料。該標準將提供機關單位建立有效的內部威脅所必要的要素。 目前標準的詳細內容尚未發布，不過，依據備忘錄大約可分為下列各項： 1.蒐集、整合、集中分析和應變主要威脅相關的資訊； 2.監控人員對於機密網路的使用； 3.提供人員對於內部威脅意識的培訓； 4.保護人員的公民、自由和隱私權。 參、事件評析 觀察美國一連串的改革，顯見維基解密事件對於美國政府產生非常大的衝擊，更加凸顯監控內部威脅對於國家與公務機關及其機密維護之重要性。歐巴馬團隊不但全面檢視其機密資訊管理與保護政策與法制，對機密資訊的管理與「內部威脅」的防範進行全面檢討，並對於配套標準及措施進行增修。 除對於傳統以人員監督威脅的存在外，應利用科技技術監控或查核人員的「異常」行為(如短期內大流量下載檔案/進入系統的紀錄、大流量轉出有附件的信件、近日來消費能力顯著高於所得或情緒異常低落或起伏極大等)或預定特定的現象作為潛在威脅的表徵證據，再進一步因應與確認內部威脅的存在。 最重要的是，該制度與措施要求全國公務機關一起合作落實，以及分享潛在內部威脅的異常警訊，才能真正達成減低公務機關對於內部威脅的防範。 [1]行政院退除役官兵輔導委員會，張維平，日晷第4期認識公務機關資訊安全問題，取自http://www.vac.gov.tw/files/Sundial-4Th_17.pdf（最後瀏覽日：2012年11月30日）。與公務機密維護宣導 --【從資安看如何防止公務機密資料外洩】近年來，隨著間諜軟體、木馬程式、釣魚網站等惡意攻擊日漸猖獗，世界各地傳出多起嚴重的資料外洩事件，當然台灣也不能倖免。外洩的資料包羅萬象，而其中最主要的內容是個人資料。資料外洩的起因不僅止於駭客所發動的各種資安攻擊，另外還有最令機關防不勝防的內賊。只要有心，要在機關內部竊取資料很容易，從辦公桌上亂放的機密文件、電子郵件、即時通軟體、網路硬碟、隨身碟，都可當作工具，如果機關（各單位）沒有危機意識，採取防範措施，資料外洩在所難免。鑑此，籲請各單位安全連絡員，加強單位自主管理，協助單位主管加強責任區安全檢查，共同維護機關公務機密與安全。 [2]中廣新聞網．海軍共諜案，國防部：才在發展階段，影響有限，（2012年10月29日），取自http://tw.news.yahoo.com/%E6%B5%B7%E8%BB%8D%E5%85%B1%E8%AB%9C%E6%A1%88-%E5%9C%8B%E9%98%B2%E9%83%A8-%E6%89%8D%E5%9C%A8%E7%99%BC%E5%B1%95%E9%9A%8E%E6%AE%B5-%E5%BD%B1%E9%9F%BF%E6%9C%89%E9%99%90-023752078.html（最後瀏覽日：2012年11月30日）。 國防部軍事發言人羅紹和表示，涉案的海軍大氣海洋局前政戰處長張祉鑫，在退役後透過友人介紹，認識中共官方人員，然後再透過軍中舊識，「謀取不法利益」，保防安全部門在今年三月間接獲檢舉，依法由反情報單位展開調查行動，並移請檢調單位協助調查，順利破獲本案。 [3]IT Law Wiki , External Threat , available at http://itlaw.wikia.com/wiki/External_threat (last accessed Jan. 12, 2013). [4]碁峰資訊，資訊安全概論與實務，取自http://epaper.gotop.com.tw/pdf/AEE030900.pdf（最後瀏覽日：2012年11月30日）。 [5]NIAC, The National Infrastructure Advisory Council's Final Report and Recommendations on The Insider Threat to Critical Infrastructure , (April 8, 2008), last available http://www.dhs.gov/xlibrary/assets/niac/niac_insider_threat_to_critical_infrastructures_study.pdf (last accessed Jan. 12, 2013). [6]US Department of Defense, DoD Insider Threat Mitigation-Final Report of the Insider Threat Integrated Process Team , available at http://www.dtic.mil/cgi-bin/GetTRDoc?AD=ADA391380 (last accessed Jan. 12, 2013). [7]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1, at 11, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [8]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1 , at 12, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [9]The Cyber Adviser, Invensys Critical Infrastructure & Security Practice, at 1, (Dec. 2011), available at http://iom.invensys.com/EN/pdfLibrary/CISP_Dec2011_vol3_Newsletter.pdf (last visited Jan. 10, 2013). [10]U.S. Secret Service and CERT/SEI, (Jan. 2008), Insider Threat Study: Illicit Cyber Activity in the Government Sector , at 5, available at www.cert.org/archive/pdf/ insiderthreat _gov2008.pdf (last visited Nov. 30, 2012) [11]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework, CONGRESSIONAL RESEARCH SERVICES, at 1, Jan. 10, 2011, available at www.fas.org/sgp/crs/secrecy/RS21900.pdf(last visited Nov. 30, 2012). [12]Id., at 2, 例如「1966年政府資訊公開法 (Freedom of Information, FOIA)」，「1995年情報授權法 (Intelligence Authorization Act)」、「2000年公共利益解密法 (Public Interest Declassification Act)」，與「2012年減少過度加密法 (Reducing Over-Classification Act)」。 [13]Paul Kenyon, The Enemy Within: Obama's Insider Task Force, Forbes, (Apr. 13, 2012), available at http://www.forbes.com/sites/ciocentral/2012/04/13/the-enemy-within-obamas-insider-threat-task-force/ (last visited Nov. 30, 2012). [14]FEDERATION OF AMERICAN SCIENTISTS, Obama Administration Documents on Secrecy Policy , available at http://www.fas.org/sgp/obama/index.html (last visited Nov. 30, 2012). 歐巴馬政權針對機密資訊發布多項正式文件，以年度區分，截至2012年11月30日止，包括下列：1.2009年：「機密資訊和受管控的非機密資訊的總統備忘錄 (Presidential Memorandum on Classified Information and Controlled Unclassified Information, May. 27, 2009)」、「第13526號行政命令-國家安全機密資訊 (Executive Order 13526: Classified National Security Information, Dec. 29, 2012)」，與「國家安全機密資訊施行令的總統備忘錄 (Presidential Memorandum on Implementation of the Executive Order on Classified National Security Information, Dec. 29, 2009)」；2.2010年：「第13549號行政命令-國家、地方、部落，和私部門實體的國家機密方案 (Executive Order 13549: Classified National Security Information Program for State, Local, Tribal, and Private Sector Entities, Aug. 18, 2010)」與「第13556號行政命令-受管控的非機密資訊 (Executive Order 13556: Controlled Unclassified Information, Nov. 4, 2010)」；3.2011年：「第13587號行政命令-增進機密網路安全與機密資訊有責分享及安全維護的結構性改革 (Executive Order 13587: Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information, Oct. 7, 2011)」；4.2012年：「國家內部威脅政策和機關內部威脅方案的最低標準備忘錄 (National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs, Nov. 21, 2012)」。 [15]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, (Nov.2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ (last visited Nov. 30, 2012). [16]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks- (last visited Nov. 30, 2012). [17]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ(last visited Nov. 30, 2012). [18]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks-(last visited Nov. 30, 2012). [19]Id. 專責小組應該與總檢察長（Attorney General）與國家情報局主任（Director of National Intelligence）或指定人共同擔任主席。內部威脅專責小組成員應該由國務院（Department of State）、國防部（Department of Defense）、司法部（Department of Justice）、能源部（Department of Energy）、國土安全部（Department of Homeland Security）部長所指定的人員，以及國家情報局主任（Director of National Intelligence）、中央情報局（Central Intelligence Agency），和國家檔案與記錄管理局（National Archives and Records Administration）的資訊安全監督辦公室（Information Security Oversight Office, ISOO）等所組成。工作人員必須由聯邦調查局和國家反情報辦公室長官（Office of the National Counterintelligence Executive, ONCIX）和其他機構，於法律所允許的範圍內配置。這些人員必須是官員，或是兼職或終身全職的美國員工。國家反情報辦公室必須提供內部威脅專責小組適當的工作場所，以及行政支援。 [20]美國總統依美國憲章擁有直接發布據法律效力的文件（Document），文件的種類根據事務類型之不同分為三大類：Executive orders（有連續編碼的行政命令）、Proclamation（公告）、Administration orders（無編號的行政命令），其下尚有不同的子分類，備忘錄則屬Administration orders下的子分類之一，總統所發布的文件效力相同，並無位階之分，http://www.archives.gov/presidential-libraries/research/guide.html（最後瀏覽日：2013年1月12日）。