淺談美國與日本遠距工作型態之營業秘密資訊管理
淺談美國與日本遠距工作型態之營業秘密資訊管理
資訊工業策進會科技法律研究所
2022年05月18日
根據2021年5月日本總務省所公布之《遠距工作資安指引》第5版，近年來隨著科技的進步，遠距工作在全球越來越普及，過去將員工集中在特定辦公場所的工作型態更是因為COVID-19帶來的環境衝擊，使辦公的地點、時間更具有彈性，遠距工作模式成為後疫情時代的新生活常態。
因應資訊化時代，企業在推動遠距工作時，除業務效率考量外，更需注意資安風險的因應對策是否完備，例如員工使用私人電腦辦公時要如何確保其設備有足夠的防毒軟體保護、重要機密資訊是否會有外洩的風險等。 本文將聚焦在遠距工作型態中，因應網路資安管控、員工管理不足，所產生的營業秘密資訊外洩風險為核心議題，研析並彙整日本於2021年5月由日本總務省所公布之《遠距工作資安指引》第5版[1]，以及美國2022年3月針對與遠距工作相關判決Peoplestrategy v. Lively Emp. Servs.之案例[2]內容，藉此給予我國企業參考在遠距工作模式中應注意的營業秘密問題與因應對策。
壹、遠距工作之型態
遠距工作是指藉由資訊技術(ICT Information and Communication Technology)，達到靈活運用地點及時間之工作方式。以日本遠距工作的型態為例，依據業務執行的地點，可分為「居家辦公」、「衛星辦公室辦公」、「行動辦公」三種：
1.居家辦公：在居住地執行業務的工作方式。此方式因節省通勤時間，是一種有效兼顧工作與家庭生活的工作模式，適合如剛結束育嬰假而有照顧幼兒需求的員工。
2.衛星辦公室（Satellite Office）辦公：在居住地附近，或在通勤主要辦公室的沿途地點設置衛星辦公室。在達到縮短通勤時間的同時，可選擇優於居住地之環境執行業務，亦可在移動過程中完成工作，提高工作效率。
3.行動辦公：運用筆記型電腦辦公，自由選擇處理業務的地點。包含在渡假村、旅遊勝地一邊工作一邊休假之「工作渡假」也可歸類於此型態。
貳、遠距工作之風險及其對策
遠距工作時，企業內外部資訊的交換或存取都是透過網際網路執行，對於資安管理不足的企業來說，營業秘密資訊可能在網路流通的過程中受到惡意程式的攻擊，或是遠距工作的終端機、紀錄媒體所存入的資料有被竊取、遺失的風險。例如商務電子郵件詐欺（Business Email Compromise，簡稱BEC）之案例，以真實CEO之名義傳送假收購訊息，藉此取得其他公司之聯絡資訊。近年來BEC的攻擊途徑亦增加以財務部門等資安意識較薄弱的基層員工為攻擊對象的案例[3]。
由於員工在遠距工作時，常使用私人電腦或智慧型手機等終端機進行業務資料流通，若員工所持有的終端機資安風險有管控不佳的情況，即有可能被間接利用作為竊取企業營業秘密資訊之工具。例如2020年5月日本企業發生駭客從私人持有之終端機竊取員工登入企業内網的帳號密碼，再以此做為跳板，進入企業伺服器非法存取企業之營業秘密資訊，造成超過180家客戶受到影響[4]。
關於遠距工作網路資安的風險對策，在技術層面上，企業可使用防毒軟體或電子郵件系統的過濾功能，設定遠距工作之員工無法開啟含有惡意程式的檔案，或是透過雲端服務供應商代為控管存取資料之驗證機制，使遠距工作的過程中不用進入企業内網，可直接透過雲端讀取資訊。另外，建議企業將資訊依照重要程度作機密分級，並依據不同分級採取不同規格的保密措施。例如將資料分成「機密資訊」、「業務資訊」、「公開資訊」 三個等級[5]，屬營業秘密、顧客個資等機密資訊者，應採取如臉部特徵辨識、雙重密碼認證等較高規格的保密措施[6]。在內部制度面上，企業則可安排定期遠距工作資安教育訓練、將可疑網站或郵件資訊刊登在企業電子報、公告提醒員工近期資安狀況；甚至要求員工在連結企業内網或雲端資料庫時，須使用資安管理者指定的方法連結，未經許可不得變更設定。
除上述網路資安的風險外，員工管理問題對於企業推動遠距工作是否會導致營業秘密資訊洩漏有關鍵性的影響。因此，企業雇主與員工在簽訂保密協議時，雙方皆需要清楚了解營業秘密保護的標準。以美國紐澤西州Peoplestrategy v. Lively Emp. Servs.判決為例，營業秘密案件的裁判標準在於企業是否已採取合理保密措施[7]。如果企業已採取合理保密措施，而員工在知悉(或應該知悉)有以不正當手段獲得營業秘密之情事，則企業有權要求該員工承擔營業秘密被盜用之賠償責任[8]。在本案中，原告Peoplestrategy公司除了要求員工須簽屬保密協議外，同時有採取保護措施，禁止員工將公司資訊存入筆記型電腦，並且要求員工離職時返還公司所屬之機密資訊，並讀取資訊的過程中，系統會跳出顯示提醒員工有保密義務之通知，故法院認定原告有採取合理的保護措施，保護機密資訊的秘密性[9]。與之相反，Maxpower Corp. v. Abraham案例中，原告僅採取一項最基礎的保密措施(設置電腦設備讀取權限並要求輸入密碼)，且與其員工簽訂保密協議中缺乏強調保密之重要性、未設立離職返還資訊之程序，故法院認定原告所採取之管控機制未能達到合理保密措施[10]之有效性。
藉由前述兩件判決案例，企業在與員工簽屬保密協議時，應向員工揭露企業的營業秘密保密政策，並說明希望員工如何適當處理企業所屬的資訊，透過定期的教育訓練宣導機制，以及員工離職時再次提醒應盡之保密義務。理想上，企業應每年與員工確認保密協議內容是否有需要配合營運方向、遠距工作模式調整，例如員工因為遠距工作使工作時間、地點的自由度增加，是否會發生員工接觸或進一步與競爭對手合作的情形。對此，企業應該在保密協議中訂立禁止員工在企業任職期間出現洩露公司機密或為競爭對手工作之行為[11]。
參、結論
以上概要說明近期美國和日本針對遠距工作時最有可能產生營業秘密資訊管理風險的網路資安問題、員工管理問題。隨著後疫情時代發展，企業在推動遠距工作普及化的過程中，同時也面臨到營業秘密管控的問題，以下以四個面向給予企業建議的管控對策供參。
（一）教育宣導：企業可定期安排遠距工作資安教育訓練，教導員工如何識別釣魚網站、BEC等網路攻擊類型，並以企業電子報、公告提醒資安新聞。另外，規劃宣導企業營業秘密保密政策，使員工清楚應盡的保密義務，以及如何適當處理企業的資訊。
（二）營業秘密資訊管理：企業應依照資訊重要程度作機密分級，例如將資訊分成「機密資訊」、「業務資訊」、「公開資訊」三個等級，對於機密資訊採取如臉部特徵辨識、雙重密碼等較嚴謹的保密措施。其中屬於秘密性高的營業秘密資訊則採取較高程度的合理保密措施，以及對應其相關資料應審慎管理對應之權限、存取審核。
（三）員工管理：企業在最理想的狀況下，應每年與員工確認保密協議的約定內容是否有符合業務營運需求(例如遠距工作應執行的保密措施)，並確保員工知悉要如何有效履行其保密義務。要求員工在處理營業秘密資訊時，使用指定的方式連結企業内網或雲端資料庫、禁止員工在職期間或離職時，在未經許可之情況下持有企業的營業秘密資訊。
（四）環境設備管理：遠距工作時在技術管理上最重要的是持續更新資安防護軟體、防火牆等阻隔來自於外部的網路攻擊，避免直接進入到企業內部網站為原則。同時，需確認員工所持有的終端機是否有資安風險管控不佳的風險、以系統顯示提醒員工對於營業秘密資訊應盡的保密義務。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
[1]〈遠距工作資安指引〉第5版，總務省，https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/ (最後瀏覽日：2022/04/27）。
[2]Karol Corbin Walker, Krystle Nova and Reema Chandnani, Confidentiality Agreements, Trade Secrets and Working From Home, March 11, 2022, https://www.law.com/njlawjournal/2022/03/11/confidentiality-agreements-trade-secrets-and-working-from-home/ (last visited April 27, 2022).
[3]同前揭註1，頁99。
[4]同前揭註1，頁103。
[5]同前揭註1，頁73。
[6] Amit Jaju ET CONTRIBUTORS, How to protect your trade secrets and confidential data, The Economic Times, March 05, 2022, https://economictimes.indiatimes.com/small-biz/security-tech/technology/how-to-protect-your-trade-secrets-and-confidential-data/articleshow/90010269.cms (last visited April 27, 2022).
[7]Sun Dial Corp. v. Rideout, 16 N.J. 252, 260 (N.J. 1954). Karol Corbin Walker et al., supra note 2 at 3.
[8]18 U.S.C. §1839(5). Karol Corbin Walker et al., supra note 2 at 3.
[9]Peoplestrategy v. Lively Emp. Servs., No. 320CV02640BRMDEA, 2020 WL 7869214, at *5 (D.N.J. Aug. 28, 2020), reconsideration denied, No. 320CV02640BRMDEA, 2020 WL 7237930 (D.N.J. Dec. 9, 2020).
Karol Corbin Walker et al., supra note 2 at 3.
[10]Maxpower Corp. v. Abraham, 557 F. Supp. 2d 955, 961 (W.D. Wis. 2008)
Karol Corbin Walker et al., supra note 2 at 3.
[11]Megan Redmond, A Trade Secret Storm Looms: Six Steps to Take Now, JDSUPRA, March 07, 2022, https://www.jdsupra.com/legalnews/a-trade-secret-storm-looms-six-steps-to-6317786/ (last visited April 27, 2022).
李佳軒
副法律研究員 編譯整理
2021年10月13日G20第4次財長會議正式批准了數位經濟課稅最終政策協議，確立了136個國家和司法管轄區，應於2023年底前實施跨國企業利潤再分配制及全球最低稅賦制的改革計畫。 有關跨國企業利潤再分配制，以跨國公司平均收入達200億歐元且高於10%利潤率的量化特徵，打破了過往國際稅法以業務型態為依據的課稅權分配基礎。根據協議公報，200億歐元的課稅門檻將在未來8年內下修至100億歐元，以逐步實現公平的數位經濟課稅環境；至於跨國企業母國所在地、子公司所在地之分配比例，將於2022年初公布。 新的全球最低稅賦制，係以全球（相對於境內）為課稅範圍設定15%的標準稅率，針對年收入達7.5億歐元之跨國公司，衡量所在地國之有效稅率與標準稅率，補足稅率之差額以打擊跨國租稅套利。根據協議公報，制度預設8%有形資產與10%工資的扣除額，將於10年內逐步調降，以符合數位經濟低邊際成本的特性；至於有效稅率的計算，預計將於2021年11月公布。 此次最終政策協議的批准，不僅是取得愛爾蘭等原先反對國家的共識，同時確立了新制度計算公式與配套措施的提出時程，顯示出疫情後數位經濟課稅的急迫性再度受到重視。而我國雖積極發展數位經濟，然因目前尚未透過多邊協定框架加入改革計畫，因此在此數位經濟課稅方案確定前，我國如何接軌和因應國際制度將是重要課題。
韓國通過網路電視法案由於新興通訊技術的應用與網路頻寬的快速成長，透過網路收看電視已不再是遙不可及的科技願景。網路電視（Internet Protocol Television；IPTV）在許多國家都已經是逐漸應用成熟的服務，但是相對而言，法規的管制架構卻多仍處於追趕摸索的階段。 網路電視之相關法制爭議眾多，曾被提出討論者如攸關管制基準之網路電視定位，是否視同傳統廣播電視加以管制？相關之義務是否比照要求（如對於無線電視之必載義務）？網路電視市場之界定？市場力量之監督與公平競爭環境之維護等，皆為重要的關注焦點。 韓國國會傳播特別委員會於上月（11月）通過一項網路電視法案（IPTV Bill），對於重要之網路電視相關規範加以界定。此一國會傳播特別委員會所通過之網路電視服務法草案，對未來網路電視可能的市場主導者（包含廣播電視公司、網際網路服務提供者、電信公司等）之行為，事先加以規範。例如規定KT等重要電信公司提供網路電視服務並不需要另行成立附屬公司；另一方面，廣播電視公司未來將可提供全國性的網路電視服務，惟其市場佔有率將限於整體市場的三分之一以下。 未來的網路電視型態可能包含被動收視或主動要求播送，其他附加的服務更包含透過網路電視進行購物、遊戲、金融服務等，潛藏之商機已引起各界注意，也值得國內盡早思考整體管制架構，促進產業成熟發展。
歐盟議會通過「視訊媒體服務指令」歐盟議會於2007年5月24日正式通過「視訊媒體服務指令」 (Audiovisual Media Service Directive) 以取代原有的「電視無國界指令」(Television Without Frontiers Directive)。新指令對於視訊媒體服務的規範不僅包括傳統的電視服務，尚擴及至透過電腦網路及隨選服務系統等傳輸的視訊媒體服務。此外，新指令要求視訊服務提供者必須向閱聽人揭露置入性行銷手法的運用。 有關新指令是否應適用於播客(podcasting)與網路上非商業活動性質影片(如網路使用者上傳至YouTube網站上的短片)的爭辯。歐盟媒體委員會強調，新指令之主要目的雖在於將所有新興電視服務業納入規範，但並不是涵蓋所有在網路上播放的視訊媒體內容。執行長Viviane Reding認為新指令為視訊服務供應者奠定一個有利的競爭架構，以避免因過多的管制而妨礙電視技術與服務之匯流發展。 新指令具有幾項重要特點，首先是擬透過單一完整的法律架構規範所有視訊媒體服務業，以降低監管成本；其次，擬定現代化的電視廣告管理規則，以改善視訊媒體節目製作的資金籌措管道；最後，其他諸如鼓勵媒體服務供應者致力於提昇視覺與聽力障礙者的近用能力亦是本指令所重視者。 據新指令之規定，歐盟會員國有兩年時間將新指令落實為國內法，預期於2009年底在歐洲全面適用。
Apple獲得針對可攜式電子裝置之防竊系統的專利Apple Inc.成功取得一個防竊安全系統的專利權，該系統能簡單地藉由偵測外界環境而防止筆記型電腦、電話以及其他可攜式電子裝置遭竊。 於原始申請案中，申請人提到了許多竊案皆提供了某些非偶然的移動線索，例如快速且持續的移動。因此，藉由分析該裝置於一段期間內的移動，該防竊系統應可辨別出竊盜或合法使用者。因此，當使用者暫時離開時，他們能放心地將可攜式電子裝置留下，而不需要加裝纜線鎖或其它物理性安全裝置。 根據該專利，此防竊系統包含加速規(accelerometer)以及相對應的軟體。加速規可在某些位置或震動情況下自動傳送一訊號至該裝置核心的硬體，致使其觸發聲音或影像警報。此外，該裝置也能完全被鎖住，並且需要一組密碼使其回復到正常使用狀態。 雖然Apple很小心地避免在說明前述機制時指明特定的應用硬體，但藉由該專利說明書的描述，可以很清楚的了解Apple的構想是將該防竊系統安裝在iPod上。當然，手機以及筆記型電腦也是安裝該防竊系統的顯著標的。