精品珠寶業者攻防戰-卡地亞控訴蒂芙尼竊取營業秘密
今（2022）年2月28日卡地亞（Cartier）控訴精品珠寶領域的競爭對手蒂芙尼（Tiffany & Co.），聲稱其在卡地亞前員工的幫助下，竊取獨家商品的營業秘密。
歷峰北美公司（Richemont North America Inc.）旗下的卡地亞今年2月28日於美國紐約州法院起訴蒂芙尼和卡地亞前襄理（Junior Manager）梅根瑪莉諾（Megan Marino），控訴瑪莉諾於跳槽前下載卡地亞的高級珠寶業務機密資訊， 並於去年11月加入蒂芙尼後將資訊傳送給新同事。蒂芙尼發言人發出否認聲明，卡地亞的指控毫無根據。
根據訴訟聲明，蒂芙尼聘請瑪莉諾負責包括單價高達1000萬美元（約新台幣2.8億）的高級珠寶系列，蒂芙尼法律部門從卡地亞獲得通報後，於今年2月份解僱瑪莉諾，但卡地亞聲稱，蒂芙尼的高階主管已經獲得大量的卡地亞機密和營業秘密資訊。
這並非卡地亞第一次指控跳槽至蒂芙尼的前員工試圖竊取營業機密。2014年，卡地亞起訴一名前廣告主管，據稱其試圖讓她的前助理隨身攜帶機密資訊一同加入蒂芙尼，該訴訟於次年和解。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
劉宥妤
副法律研究員 編譯整理
Bob Van Voris, Cartier Sues Tiffany for ‘High Jewelry’ Trade Secrets Thefts, Bloomberg (Mar. 1, 2022, 7:15 a.m.), https://www.bloomberg.com/news/articles/2022-02-28/cartier-sues-tiffany-for-stealing-high-jewelry-trade-secrets (last visited, Mar. 29, 2022).
為迎接數位貨幣此種新興產業所帶來的挑戰，在企業經營者與立法者的同意下，北卡羅萊納州於2016年6月通過H.B. 289法案，擴大該州貨幣傳輸法（Money Transmitters Act ）的適用對象，將虛擬貨幣交易所納為貨幣移轉服務商，其須向主管機關申請特定執照，並繳納保證金，立法者更於2017年追加繳納保險金的規定，以避免資安危機。法案內對虛擬貨幣的定義為，一種能表彰價值的數字，可經由電子交易並具有交易媒介（medium of exchange）、計價單位（unit of account）和價值儲存（store of value）等功能，但虛擬貨幣並不是美國政府所承認的法定貨幣（legal tender status）。 又虛擬貨幣的經營業務，範圍包含建立於區塊鏈的虛擬貨幣活動，但排除挖礦者、使用區塊鏈技術的軟體公司，像是智能合約平台（smart contract platforms）、智能資產（smart property）等適用對象。申請貨幣移轉業務執照，須繳交1500美金的費用，再加上每年至少5000美元的評估費用。此外，為保障使用者所要求的保證金部分，貨幣移轉金額若低於100萬美元者，必須提出15萬美元作為擔保，若超出100萬美元者，則須提出更高的保證金。此項法案的出爐強化了法律的明確性，為該州經營虛擬貨幣的業者，提供一項可預見的規範，該法案未來是否能成為其他州成立新法的指標，仍有待後續發展。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
2024年保護美國人資料免受外國對手侵害法案即將於2024年6月生效，為美中資料傳輸增加限制2024年保護美國人資料免受外國對手侵害法案（Protecting Americans’ Data from Foreign Adversaries Act of 2024, PADFA）於2024年6月生效。該法案為美國國家安全補充法案（H.R. 815, the National Security Supplemental）的一部分。美國總統拜登在2024年4日24日簽署通過國家安全補充法案以及該法案所包含的PADFA，而PADFA將於簽署日後60天發生效力。 PADFA禁止資料經紀人將美國人民的敏感個資（personally identifiable sensitive data）傳輸到指定的外國對手國家，以及由這些國家控制的實體，如公司等。 PADFA所指之資料經紀人（data broker），是指以出售、授權、租賃、交易、轉讓、發布、揭露、提供存取權或其他方式，將個人資料提供給特定實體，並收取對價者。而該法所稱之敏感個資，定義則相當廣泛，從個人日常活動資料如行事曆資訊、電子郵件，到個人醫療、財務資料皆包含在內。 目前PADFA指定之外國對手國家，是引用自美國法典第十編4872（d）（2）條（4872（d）（2）of title 10, United States Code.），包含中華人民共和國、朝鮮民主主義人民共和國、俄羅斯聯邦、伊朗伊斯蘭共和國。而外國對手國家控制的實體則包含以下幾類 : 1.前述國家擁有20%以上所有權的實體。 2.主要營業據點、總部、住所位於前述國家的實體。 3.依前述國家法律建立的實體。 4.受前述國家指導、控制之人。 由於PADFA適用範圍廣泛，未來美中兩國資料傳輸將受更多限制。該法案生效後將由美國的聯邦貿易委員會（Federal Trade Commission）執行，該委員會將有權對違規者進行民事處罰。
美國著作權局發布2022–2026策略計畫美國著作權局於2022年1月20日提出2022–2026五年策略計畫，以培養創造力及豐富文化為主軸，並闡明四個總體目標：著作權服務普及、提升效率、公正專業及增進資料使用。相關內容值得持續關注後續發展，說明如下： 一、著作權服務普及 隨著數位網路技術興起，著作權局已展開如製作溝通素材、回答公眾問題、提供各式主題教育計畫等活動。後續將更專注於讓所有人盡可能了解其服務，如著作權賠償委員會（Copyright Claims Board, CCB）等，創造一個屬於大眾的著作權系統，並豐富公眾可使用創意內容的數量與多樣性。 二、提升效率 著作權局進行包括建立企業著作權系統（Enterprise Copyright System, ECS）使其服務數位化、透過改進公共資訊聯絡中心、倉庫管理和財務系統以提升效率等工程。除持續更新ECS等系統外，未來將以用戶為中心來滿足著作權界的需求。 三、公正專業 著作權局長期以來擔任國會的著作權法律顧問，處理相關立法、政策與實踐問題，並與其他行政機關、法院合作處理各式著作權疑義。除了持續透過立法推動、規則制定及研究來衡平著作權法及政策之外，著作權局將繼續在國際舞台上參與政策討論及提供教育，發揮積極作用，成為全球著作權界的資源。 四、增進資料使用 在提供服務的過程中，著作權局蒐集了各類有價值的著作權相關資訊。此外，其亦網羅與內部運營績效、網路指標有關的其他資料。著作權局將加強資料的開發和使用，並以此作為決策的論證基礎、改進組織績效衡量標準，並使內、外部受眾更容易取得該等資料。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」