日本文部科學省於2022年3月發布「教育資訊安全政策指引」(教育情報セキュリティポリシーに関するガイドライン)修訂版本,該指引於2017年10月訂定,主要希望能作為各教育委員會或學校作成或修正資訊安全政策時的參考,本次修訂則是希望能具體、明確化之前的指引內容。本次修訂主要內容如下。
(1)增加校務用裝置安全措施的詳細說明:
充實「以風險為基礎的認證」(リスクベース認証)、「異常活動檢測」(ふるまい検知)、「惡意軟體之措施」(マルウェア対策)、「加密」(暗号化)、「單一登入的有效性」(SSOの有効性)等校務用裝置安全措施內容敘述。
(2)明確敘述如何實施網路隔離與控制存取權的相關措施:
對於校務用裝置實施網路隔離措施,並將網路分成校務系統或學習系統等不同系統,若運用精簡型電腦技術(シンクライアント技術)則可於同一裝置執行網路隔離。另外,針對校務用裝置攜入、攜出管理執行紀錄,並依實務運作調整控制存取權措施,例如安全侵害影響輕微者則可放寬限制以減輕管理者負擔。
美國政府近年來為預備恐怖活動積極部署國家安全相關措施,包括運用出口管理規則(Export Administration Regulations)監控軍商二用技術及產品(dual-use items)之輸出;然而在維護國家安全的同時,美國仍然希望能持續鞏固其經濟及技術領先地位,以及避免全球高科技及市場遭到稀釋。美國總統因此於今(2008)年初,提出一系列有關軍商二用出口管制之行政新措施,欲藉此強化軍商二用出口管制制度(dual-use export control system)。其主要目標如下: (1)適當管制外國終端用戶(Foreign End-Users):美國政策作法是,未來軍商二用出口管制制度將要著重在美國高科技產品外國終端用戶之管理,除了保持其拒絕將敏感性科技輸給武器擴散份子、國際恐怖分子和習慣進行違背美國國家安全及外交政策與利益之國家對象之宗旨外,美國一方面將擴大受管制實體清單(Entity List)對象範圍,嚴格審查曾從事違背美國國家安全和外交政策及利益活動之外國夥伴;另方面,美國則將妥善使用所謂正當使用者計畫(Validated End User(VEU) program),免除這些受信賴之使用對象在輸出產品時受制於嚴格的出口申請程序。例如港商Manufacturing International Corporation(SMIC)最近即被納入VEU初始清單。 (2)增進國家競爭能力:美國將以維持經濟競爭力和創新研發為目標,建立一道檢討受管制軍商二用標的之常規程序,藉此重新評估並適時修正商業控制清單(Commerce Control List)所列產品及對象。 (3)透明化:為求達到資訊公開、共同促進國家安全及競爭之目的,美國商業部還會在網站上公開受到高度審查之外國夥伴清單。 最後,美國行政主管機關亦表示,為了有利於行政機關有效執行國家軍商二用出口管制政策,高度支持透過出口管理法(Export Administration Act)修正之再授權,更新違法之刑罰規定,並提升行政機關之執行權限。
愛爾蘭資料保護委員會發布《控制者資料安全指引》,提供資料控制者關於個人資料安全措施之依循指引愛爾蘭資料保護委員會(Ireland's Data Protection Commission)於今(2020)年2月公布控制者資料安全指引(Guidance for Controllers on Data Security),愛爾蘭資料保護委員會表示本指引亦適用於資料處理者。指引內針對17個面向說明控制者於資料處理時應考量之安全措施,分別為:(1)資料蒐集與留存政策(Data Collection and Retention Policies);(2)存取控制(Access Controls);(3)螢幕保護程式(Automatic Screen Savers);(4)加密(Encryption);(5)防毒軟體(Anti-Virus Software);(6)防火牆(Firewalls)(7)程式修補更新(Software Patching);(8)遠端存取(Remote Access);(9)無線網路(Wireless Networks);(10)可攜式設備(Portable Devices);(11)檔案日誌及軌跡紀錄(Logs and Audit Trails);(12)備份系統(Back-Up Systems);(13)事故應變計畫(Incident Response Plans);(14)設備汰除(Disposal of Equipment);(15)實體安全(Physical Security);(16)人為因素(The Human Factor);(17)認證(Certification)。 此外,愛爾蘭資料保護委員會還強調,歐盟一般資料保護規則(General Data Protection Regulation, GDPR)第25條與第32條有關資料控制者之義務,可透過「從設計與預設機制著手資料保護(Data protection by design and by default)」,與適當的技術及組織措施等方式,並考量現有技術、執行成本、處理之本質、範圍、脈絡及目的與對當事人權利及自由之風險可能性與嚴重性等因素,以確保其安全措施符合相應資料風險之安全等級。 最後,愛爾蘭資料保護委員會表示資料控制者更應確保其組織內員工瞭解該等安全措施並確實遵守,資料控制者應於制定其資料安全政策時考量到本指引所列各項目,以履行其保護資料安全之義務。
澳大利亞提出政府資料共享法案澳大利亞總理及內閣部(The Department of the Prime Minister and Cabinet,PM&C)之國家資料委員辦公室(Office of the National Data Commissioner)於2020年12月9日提交「澳大利亞資料可用性及透明度法案」(Data Availability and Transparency Bill 2020)至澳大利亞國會(Parliament of Australia),國會並已完成一讀及二讀 。 該法案旨在建立一個新的公部門資料共享方案,將原先未開放的公部門資料,透過本法案所設計的共享公部門資料相關管理制度,以促進公部門資料的可存取性及保障措施的一致性,藉此提高公部門資料透明度和大眾利用公部門資料的信心。 該法案所設計的資料共享機制,係由作為「資料保管者」(Data custodians)的各聯邦部門和州政府,自行或透過「被認證的資料服務提供者」(Accredited data service provider,下稱ADSP)共享其所保管的政府資料,使「被認證的利用者」(Accredited user,下稱利用者)得以利用之。 另外,該法案要求資料保管者必須在符合資料共享要件的情況下,才能共享資料,要件包含: 1、資料共享目的:係指該法案只允許資料保管者基於「提供政府服務」、「通知政府政策和計畫」、「研究與開發」等三個目的分享資料。倘涉及國家安全及犯罪調查等需要特殊監督利用機制的政府資料,則不包含在內。 2、資料共享原則:包含符合公共利益或道德評估之計畫;具備適合共享資格的人員;安全環境;資料最小化;合目的產出等五個原則。 3、資料共享協議:資料保管者與利用者之間,必須簽定「資料共享協議」,該法案有規定資料共享協議的應記載條款。 滿足上述要求時,該法案使原先被法律限制共享,或單純未積極開放的資料,都得以在利用者提出要求後,於符合要件及資訊保密相關法規後共享。反之,若不符合法案的要求,則不得共享資料,回復到原先的法律狀態,適用原先的資料保護框架。 最後,該法案授權獨立監管機構「國家資料委員」(National Data Commissioner),負責認證ADSP及可利用共享資料之利用者,並監管所有的資料共享計畫,以及提供諮詢、指導和倡導資料共享計畫的最佳方案。
美國上訴法院:行為人不得以「主觀上對犯罪行為之無意識」阻卻著作權之侵害在電腦與網際網路普及與便利的今日,只要上網搜尋一些特定軟體,非常容易就能下載侵害智慧財產權的音樂或是影片,這樣的行為當然是非法的,但在美國出現爭議,若未成年人利用電腦非法下載,可否用「不知道這是犯罪行為」來抗辯侵權呢? 美國就發生了這樣的案例,現年22歲Whitney Harper,於2004年被美國唱片業協會(The Recording Industry Association of America,RIAA)控告其使用Kazaa分享軟體,下載阿姆(Eminem)、瑪麗亞凱莉(Mariah Carey)等37首歌曲,並將該37首歌曲透過線上分享軟體讓其他使用者亦得下載,RIAA認為此行為侵害了這些歌曲的智慧財產權,要求Whitney Harper每首歌曲需付750美元懲罰性賠償。 在訴訟中,唱片公司主張,其已於每張CD上貼上警示標籤;而Whitney Harper則抗辯自己不應該負擔如此高的罰款,係因當時她只有16歲,沒有意識到未經授權下載歌曲是違法行為,且認為下載就像利用網路聽收音機節目一樣,應該是免費的,認為自己無罪。 雖然有一些法官支持Whitney Harper的爭辯,不過第五巡迴上訴法院認為,無論Whitney Harper是否知悉其下載音樂之行為係屬違法,只要唱片公司有公告未經授權之重製行為即侵害著作權,與被告Whitney Harper之主觀意識無關。最後第五巡迴上訴法院確認Whitney Harper有罪,並判定 Whitney Harper共需賠償27,750美元。 Whitney Harper不滿其判決結果,向美國最高法院提起上訴,但法院拒絕其上訴。