美國證券交易委員會針對上市公司提出網路安全風險管理、治理及網路安全風險事件揭露規則
美國證券交易委員會（United States Securities and Exchange Commission, SEC）於2022年3月9日提出關於上市公司網路安全風險管理、治理及相關事件揭露規則，希望加強上市公司的網路安全風險管理以及網路安全事件之揭露監管，其提案核心內容有二，第一係要求國內上市公司於確定發生重大網路安全事件後四個工作日內，揭露有關資訊，且揭露內容必須包含以下五大項，(1)事件何時發現、目前是否持續中、(2)事件性質與其範圍簡要說明、(3)是否有任何資料被洩漏、竄改或被不當使用、(4)該事件對於公司之營運影響、(5)公司是否已著手進行補救及處理。
該提案的第二個核心內容係定期報告公司的網路安全風險管理及治理資訊，例如公司是否具有網路安全風險評估計畫，其內容為何、公司是否有政策及程序監督第三方服務提供商之網路安全風險、當公司發生網路安全事件時，是否具備應變程序及網路攻擊復原計畫、網路安全相關風險對於營運結果及財務狀況將可能產生何種影響等等。
該提案的公眾諮詢期間為提案發布後60天，鑒於網路安全風險增加，美國證券交易委員會期望藉由此提案，更明確的告知投資者上市公司的網路安全風險管理及治理相關資訊、並且可以即時通知投資者重大網路安全事件，給予上市公司投資者及其他資本市場參與者更周延之保障。
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
蘇偉綸
副法律研究員 編譯整理
SEC Proposes Cybersecurity Rules for Public Companies, HUNTON ANDREWS KURTH(Mar. 11, 2022), https://www.huntonprivacyblog.com/2022/03/11/sec-proposes-cybersecurity-rules-for-public-companies/#more-21127 (last visited Mar. 14, 2022).
USA: SEC proposes rules on cybersecurity risk management for public companies, OneTrust DataGuidance, https://www.dataguidance.com/news/usa-sec-proposes-rules-cybersecurity-risk-management (last visited Mar. 14, 2022).
SEC Proposes Rules on Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure by Public Companies, U.S. SECURITIES AND EXCHANGE COMMISSION, https://www.sec.gov/news/press-release/2022-39 (last visited Mar. 14, 2022).
從2006年開始，FCC所推出的「偏遠地區醫療照護領航計畫」 (Rural Health Care Pilot Programs)，扶植其國內50個不同的醫療照護寬頻網路。此計畫不僅強化了美國對於遠距醫療照護技術的需求，更被寄望發展成為一高效能之寬頻服務。而計畫中「聯盟」 (consortium-focused)的概念，更促進了城鄉醫療團隊的合作(rural-urban collaboration)。除了減低申請普及服務補助時所需花費之行政成本外，更提升了醫療業者購買所需頻寬時的議價地位。 不過美國政府並不以此為滿足，為進一步改善整體計畫的實施效益， FCC於2012年12月再次針對醫療照護普及服務進行新階段的革新，並提出「醫療照護網路基金」 (Healthcare Connect Fund)，以取代原有之領航計畫(Pilot Program)。「醫療照護網路基金」規劃的目的，在於提供計畫參與者更多的彈性，以規劃其本身的網路。業者可透過購買所需之寬頻服務、自行佈建寬頻基礎建設或混合上述兩種方式，取得所需之頻寬。不過FCC亦訂定資格限制以及審查機制。目前僅有具備一定經濟規模的醫療聯盟，可自行佈建寬頻基礎建設，獨立醫療業者並不具佈建之資格。另外，FCC亦要求醫療業者須提出詳細證明，以供主管機關審查。審查文件中需證實所得頻寬資源，是透過公正的招標機制後，所採行最具成本效益之決定。 普及服務的延伸就如同規劃渠道，將水源引向一片匱乏與困境的孤島。美國在面對偏遠地區醫療資源的匱乏，以及該地醫療業者的困境時，運用寬頻網路來傳遞病患所需的服務，也透過城鄉醫療業者的結盟，讓城市醫療團隊所發展的技術，得以與偏遠地區藉提供服務後所得的實證資料，透過網路互通流通，甚至允許醫療業者佈建基礎寬頻建設，以提供更完善的服務。普及服務的概念，不應該偏離電信基礎建設的佈建，但更上一層樓的是以滿足人民基礎生存權利之必須所主導的概念。
美國衛生部門公布個人健康資訊外洩責任實施綱領美國健康與人類服務部（Secretary of Health and Human Services；以下簡稱HHS），於2009年4月17日公布「個人健康資訊外洩通知責任實施綱領」（Guidance Specifying the Technologies and Methodologies That Render Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals for Purposes of the Breach Notification Requirements under Section 13402 of Title XIII (Health Information Technology for Economic and Clinical Health Act) of the American Recovery and Reinvestment Act of 2009; Request for Information；以下簡稱本綱領）。本綱領為美國迄今唯一聯盟層級之資料外洩通知責任實施細則，並可望對美國迄今四十餘州之個資外洩通知責任法制，產生重大影響。 本綱領之訂定法源，係依據美國國會於2009年2月17日通過之經濟與臨床健康資訊科技法（Health Information Technology for Economic and Clinical Health Act；以下簡稱HITECH），HITECH並屬於2009年「美國經濟復甦暨再投資法」（America Recovery and Reinvestment Act；簡稱ARRA）之部分內容。 HITECH將個人健康資訊外洩通知責任的適用主體，從「擁有」健康資訊之機構或組織，進一步擴大至任何「接觸、維護、保留、修改、紀錄、儲存、消除，或以其他任何形式持有、使用或揭露安全性不足之健康資訊」的機構或組織。此外，HITECH並規定具體之資料外洩通知方法，即必需向當事人（資訊主體）以「即時」（獲知外洩事件後60天內）、「適當」（書面、或輔以電話、網站公告形式）之方式通知。不過，由於通知之範圍僅限於發生「安全性不足之健康資訊」外洩，故對於「安全性不足」之定義，HITECH即交由HHS制定相關施行細則規範。 HHS本次通過之實施辦法，將「安全」之資料定義「無法為第三人使用或辨識」，至於何謂無法使用或辨識，本綱領明定有兩種情形，一是資料透過適當之加密，使其即使外洩亦無法為他人辨識，另一則是該外洩資訊之儲存媒介（書面或電子形式）已被收回銷毀，故他人無法再辨識內容。 值得注意的是，有異於美國各州法對於加密標準之不明確態度，本綱領已指明特定之技術標準，方為其認可之「經適當加密」，其認可清單包含國家標準與技術研究院（National Institute of Standards and Technology）公布之Special Publication 800-111，與聯邦資訊處理標準140-2。換言之，此次加密標準之公布，已為相關業者提供一可能之「安全港」保護，使業者倘不幸遭遇資料外洩事件，得主張資料已施行適當之加密保護，即無需承擔龐大外洩通知成本之衡平規定。
歐盟執委會將修正ePrivacy指令ePrivacy指令修正背景 原資料保護指令將於2018年由一般資料保護規則所取代，在此一背景下，電子隱私指令除補充資料保護指令外，亦訂定關於在電子通訊部門的個人資料處理的具體規則。具體作法，如在利用流量和位置資訊於商業目的之前，應徵得用戶的同意。在ePrivacy指令未特別規定的適用對象，將由資料保護指令（以及未來的GDPR）所涵蓋。如，個人的權利：獲得其個人資料的使用，修改或刪除的權利。 歐盟執委會為進行ePrivacy指令（Richtlinie über den Datenschutz in der elektronischen Kommunikation）改革，於2016年8月4日提出意見徵詢摘要報告，檢討修正ePrivacy指令時著重的的幾個標的： (1)確保ePrivacy規則與未來的一般資料保護規則之間的一致性。亦即評估現有規定是否存在任何重複、冗餘、不一致或不必要的複雜情況。（如個人資料洩漏時的通知） (2)指令僅適用於傳統的電信供應商，而在必要時應該以新市場和技術的現實的眼光，重行評估更新ePrivacy規則。對於已成為電子通信行業新興創新的市場參與者，如：提供即時通訊和語音通話（也稱為“OTT供應商”），由於目前不需要遵守ePrivacy指令主要規定，而應納入修正對象。 (3)加強整個歐盟通訊的安全性和保密性。ePrivacy指令在規範上，確保用戶的設備免受侵入、確保通信的安全性和保密性。本指令第5條第3項，儲存資訊、或近用已存儲在用戶設備之資訊，需得其的同意。該條款的有效性已有爭論，因為新的追踪技術，如：指紋識別設備可能無法被現有的規則所涵攝。最後，有認需得同意的例外規定列表，有必要延伸到對資訊之其他非侵入性的儲存/近用：如網路分析等。這些都是應予以仔細評價和檢視之對象。 公眾諮詢摘要報告內容 經過4月13日到7月5日的公眾諮詢，歐盟執委會於8月4日提出報告。 諮詢意見主要來自德（25.9%）、英(14.3%)、比(10%)、法(7.1%)的回覆。 一、是否有必要在電子通訊部門訂定隱私特別規定？ 市民與公民團體咸認有必要在電子通訊部門，甚至流量資料和位址資訊也應該訂定新規（83%）、企業則認為無甚需要，只有在秘密性規則（31%）與流量資料（26%）有需要訂定；主管機關則咸認需要特別規定。 二、現行指令是否已足達成其立法目的？76%市民和公民團體認為未達立法目的，理由如下： ePrivacy指令的範圍太狹小，不包括即時訊息、語音通話（VoIP）和電子郵件應用服務。 規範太模糊，導致會員國之間適用結果和保護程度的差異、不一致。 法律遵循的程度展法程度太差。 三、是否應為新通訊服務訂定新規？ 76%市民和公民團體認為適用範圍應該涵蓋到OTT上。
日本下議會通過綠色法案為加強促進日本相關產業與政府政策對於太陽能和其他再生能源之投資比重，日本下議院（lower house of parliament）日前於8月23日通過綠色法案（目前未有正式名稱，外媒多以Green Bill稱之），該法案近日將由日本上議院（upper house of parliament）進行進一步的確認與審議。目前預計綠色法案和其他相關的配套法律措施將於2012年7月生效實施。 目前日本境內的總電力生產來源中，經由核能發電廠所生產之電力占日本總生產電量之30%，而日本政府預計於2030年將該種核能發電廠所生之電力提升至總生產電量比例之50%。然而，在日本福島於今年（2011）3月遭受地震和海嘯波及之後，其所衍生之核能發電廠輻射外漏事件，促使日本政府對於其現有之核能電廠興建計畫開始進行反思，且日本大眾對於此種原子能量之安全性，及相關的國家能源政策亦產生了質疑聲浪。日前，日本政府在思考其現有的能源政策走向，以及相關現況之檢視後，乃於2011年8月23日由其下議院通過綠色法案。 日本綠色法案的主要目的乃為減少當前日本主要電力生產來源為核能發電之現況，並且達成國際共同協議所訂定之減少溫室氣體排放目標。即便該綠色法案具有促進相關綠色能源電力發電設施的建置率升高，並且加速相關投資市場活絡的連帶效應，然而由於該法案目前針對各項綠色能源的使用收費價格細節尚未加以規範，因此對於未來消費者權益與鼓勵投資者投資各項新興綠色能源設施間之支出費用該如何加以平衡，仍為一個不確定的問題，而有待日後各相關部會加以討論規範。