新加坡正式推動金融服務與市場法案，加強對新型態金融服務產業之監管力度
新加坡為全球性商務金融重鎮，影響全球金融市場甚鉅，其法制變革具有指標性意義，近年來新加坡政府針對電子支付、數位代幣領域加強監管，於2017年新加坡金管局（Monetary Authority of Singapore, MAS）發布「數位代幣發行指引」；2019年通過「支付服務法」（Payment Service Act），規定從事付款業務之單位，皆須先取得許可執照。新加坡國會更於2022年4月5日三讀通過「金融服務與市場法」 （Financial Services and Markets Act），旨在促使金管局得更有效率因應、監管當今變化快速、逐漸數位化之金融市場。
該法規主要著眼於金管局對於金融業中數位代幣及加密貨幣業者之控管，並使合法之加密貨幣業者更具競爭優勢。首先明定受規範之相關金融機構或特定個人，若其具違法情事，金管局得對其發布禁制令（Prohibition Order）；對於得受禁制令之主體及其涵蓋範圍，相較於過去其他法案更為擴張。
在主體方面納入「數位代幣服務供應商」（Digital Token Service Providers），以防止洗錢、進行資助恐怖主義之活動或其他金融犯罪行為，禁制令可視違法者之情節嚴重程度，而區分禁制期間為特定時間或至永久。此外，金管局亦得於特定情形下，評估要求相關金融機構進行強制股份轉讓或重組。
綜上，可以知悉新加坡當局有意對新興型態之金融模式進行有效監管，雖可能被認定與過去寬鬆、開放市場之控管機制背道而馳，惟面臨如此多元且發展快速之金融市場，著實有不斷將法規進行修正，以靈活配合當下金融趨勢及發展之必要性。
趙奕縣
法律研究員 編譯整理
Explanatory Brief for Financial Services and Markets Bill 2022, MAS.GOV, https://www.mas.gov.sg/news/speeches/2022/explanatory-brief-for-financial-services-and-markets-bill-2022 (last visited Aug. 23, 2022).
LENA NG, New Omnibus Act for Singapore's Financial Sector – Financial Services and Markets Act 2022, Clifford Chance, Apr. 18, 2022, https://www.cliffordchance.com/briefings/2022/04/new-omnibus-act-for-singapore-financial-sector.html (last visited Aug. 23, 2022).
Hagen Rooke, Nina Carlina Sugianto, Johnny Lim, Bryan Tan, Bernice Tian, The Singapore Financial Services and Markets Bill – what you need to know, ReedSmith, Mar. 16, 2022, https://www.reedsmith.com/en/perspectives/2022/03/the-singapore-financial-services-and-markets-bill (last visited Aug. 22, 2022).
.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union，下稱NIS 2）的第一個實施條例（下稱「實施條例」）。NIS 2要求企業發生重大事件（Significant incident）後24小時內，應向會員國主管機關通報，依實施條例之規定，符合以下任一條件會被視為重大事件： 1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。 2. 造成商業機密洩漏。 3. 已造成或能造成自然人死亡。 4. 對自然人健康已造成或能造成大量傷害。 5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。 6. 反覆發生的事件。 7. 符合第5條至第14條特定資訊服務的事件。 實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條，定義「反覆發生」的要件，包含：(1)6個月內發生兩次；(2)有相同的根本原因；(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件，而其他資訊服務則包含DNS（domain name system）服務、TLD（top-level domain）網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等，對於不同服務可能造成的影響各別列舉視為重大事件的條件。 歐盟委員會發布該實施條例確立何謂重大事件，並依歐盟考量資訊安全威脅所制定的NIS 2，將公共電子通訊網路或服務、會員國等進行連結，要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務，建立資訊安全通報機制，確保歐盟有整體的資訊安全戰略及框架，阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準，其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響，以及資通系統運作遭中斷對可用性的影響為依據，但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義，可做為我國相關主管機關參考對象，研擬更準確的資通安全事件標準。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
美國修法通過，未來必要時可強制旅客接受AIT掃描近來美國運輸安全管理局（Transportation Security Administration, TSA）修訂隱私衝擊評估(Privacy Impact Assessment, PIA) 規章，規定機場安全檢查於必要時，可以針對某些特殊旅客強制進行AIT掃描。 美國運輸安全管理局根據航空運輸安全法(Aviation and Transportation Security Act, ATSA) 負責運輸之安全、評估威脅及強制執行安全相關的規定和要求，並且確保機場等交通設備是否有充足的安全措施。 由於國際恐怖攻擊行動頻傳，美國運輸安全管理局於2013年開始採行AIT掃描技術以強化旅客通關之安全檢查，並將會顯示出近乎裸照的3D透視影像全身掃描機器（body scanning machines）淘汰。 所謂的AIT（Advanced Imaging Technology）掃描技術，即係高階圖像技術，可偵測旅客是否有攜帶危險性、威脅性物品，它所顯示出來的影像僅係一個大致輪廓，如有違禁品則會在該部位產生色塊，警告安檢人員應採行進一步檢查措施。 一般而言，雖然旅客可拒絕AIT掃描，選擇讓海關人員進行身體檢查，但是為確保運輸安全，近來運輸安全管理局更新隱私衝擊評估(Privacy Impact Assessment, PIA) 規章，規定於必要時可以針對某些特殊旅客強制進行AIT掃描，旅客不再有拒絕之權利。 此一政策施行，勢必遭受侵害「隱私權」之質疑，運輸安全局表示，AIT掃描係採用「自動目標辨識」 (Automatic Target Recognition , ATR) 軟體，亦即非直接顯示個人影像，僅顯示特殊物體在一般影像上的所在位置，發出警訊後再由安檢人員進行詳細檢查。現今AIT掃描技術已提升，掃描出的人體圖像會被模糊處理，且掃描後機器不會儲存任何可識別個人之資訊，更加確保旅客的隱私權不受侵害。
主權專利基金近期發展-由法、韓、日三國說起主權專利基金(Sovereign Patent Fund，以下稱SPF)是一個由國家政府設立的投資型基金(含民間/企業資金投入)，目的在於取得專利資產，進行全球專利布局，以提升國家經濟利益。目前，全球3大具領導地位的SPF實體為:法國France Brevets (以下稱FB)、韓國Intellectual Discovery (以下稱ID)，及日本IP Bridge (以下稱IPB)。 今年5月，加拿大Digital Entrepreneurship & Economic Performance Centre針對FB、ID，及IPB的發展發佈了一份報告，「Mobilizing National Innovation Assets: Understanding the Role of Sovereign Patent Funds」，分析了3家SPF所擁有的專利資產以及專利佈局趨勢，主要有以下重點: 一、 3家SPF之專利資產多為美國專利，分別佔IPB 92%、ID 82%、FB 48%。 二、 FB的專利讓與案件數量最少，顯示法國傾向以授權方式營運。 三、 IPB在專利組合上最大貢獻者為Panasonic及其關係企業，83%專利組合是來自Panasonic；FB最大貢獻者是Nemoptic；ID是Electronics & Telecommunications Research Institute 。 四、 從科技發展的角度觀察，3家SPF的專利布局重心在國際專利分類(Intellectual Patent Classification，IPC)中的電學(electricity)和物理(physics)；FB、IPB著重電器通信技術(electric communication techniques)，ID著重基本電器元件(basic electric elements)。 整體而言，3家SPF從以往專注於取得專利資產、吸引投資，到近期開始利用侵權訴訟與授權獲得經濟回饋，SPF模式已越受全球關注。除了加拿大政府的智庫DEEP建議其政府應設置SPF以拓展智慧財產權政策外，印度也將SPF納為智財政策討論重點，韓國也將再設立一個由國內開發銀行全力資助的SPF。 根據上述SPFs的觀察，對於我國而言，無論是創智智權管理顧問公司，或其他型態之智財投資基金，都必須先選定專利布局的核心對象，才能有效取得、收購國內、外相關專利資產，以全球性的智財戰略帶動國家發展。 本文同步刊登於TIPS網站（https://www.tips.org.tw）