 
美國總統拜登於2022年10月簽署了《強化美國訊號情報活動行政命令》(Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities),指示美國將採取哪些步驟以落實歐盟與美國間資料隱私架構下的承諾。其目的在於解決歐盟法院(Court of Justice of the EU)在2020年7月的Schrems II判決中宣布隱私盾協議(EU-U.S. Privacy Shield framework)無效時所提出的疑慮與問題。
新的行政命令為美國的情報監視活動規定了某些「隱私和公民自由保護措施」,並且為非美國人制定了一種新的權利救濟管道,該行政命令主要規定了以下幾點:
  1.規定美國的訊號情報活動應為必要的,並且符合有效的情報優先事項。
  該行政命令規定,美國的訊號情報只有在「促進有效情報優先事項所必需」,並且「只有在與授權事項相襯的範圍與方式下」才能進行。該命令規定,基於了解或評估對美國、其盟友或夥伴的國家安全構成當前或潛在威脅的國外組織的能力、意圖或活動;防止由外國政府、外國組織或外國個人實施或代表其實施的恐怖主義、劫持人質;以及了解或評估影響全球安全的跨國威脅等目的,可以對某些合法目標進行情報偵察活動。且不得對與新聞自由、異議、思想或政治觀點的自由表達造成限制或使其立於不利地位,也不得蒐集商業訊息;這些訊息的蒐集僅限用於美國、其盟友或夥伴的國家安全。
  2.規定訊號情報活動蒐集到的個人資料之處理方式。
  針對通過訊號情報活動所蒐集的個人資料,美國情報系統在處理資料的每個環節必須建立制度和相關程序,以盡量減少個人資料的傳輸和保存環節。且只有在適用法規允許蒐集、保留美國人特定類型的資訊之情況下,才能夠保留非美國人的該類型訊息,不得因被蒐集資料的對象並非美國人而有所差異。並要求資訊處理的單位人員保持適當的培訓,以確保相關人員能夠理解規範的要求。
  3.規定非美國人的權利救濟程序,以審查美國情報界的訊號情報活動。
  在此行政命令頒布後60天內,國家情報總監(DNI)在與美國司法部和情報界各部門協商後,針對非美國人「藉由相應國家機構所移轉符合資格之投訴」建立處理程序。而美國的司法部長可以與國務卿、商務部長和DNI進行協商,將一個國家或是經濟區域、組織指定為符合資格的國家或是國際群體,其人民可以進行權利救濟。DNI的公民自由保護辦公室(Civil Liberties Protection Officer, CLPO)將對這些非美國人的申訴進行審查,並於必要時進行適當的補救措施,包含刪除未經合法授權獲得的資料,或是將合法蒐集資料的訪問權限限制於經過適當培訓的人員。
  4.建立資料保護審查法院,以審查CLPO對於合格申訴的判定結果。
  新成立的資料保護審查法院應任命針對資料隱私和國家安全法領域具備適當經驗的法律從業人員來擔任法官。投訴人可於CLPO做出決定後,向該法院申請審查CLPO的決定。
歐盟執委會(European Commission, EC)於2022年4月13日提出欲修正歐盟「地理標示」(Geographical Indication, GI)制度之提案(Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on geographical indication protection for craft and industrial products and amending Regulations (EU) 2017/1001 and (EU) 2019/1753 of the European Parliament and of the Council and Council Decision (EU) 2019/1754,下稱本提案),擬在歐盟GI制度原僅保護農產品、食品及葡萄酒、蒸餾酒產品外,新增對於工藝品和工業產品之保護。 所謂工藝品和工業產品如義大利的穆拉諾玻璃(Murano glass)、愛爾蘭的多尼戈爾花呢(Donegal tweed)和波蘭陶(Boleslawiec pottery)等,皆係源於特定地區,產品品質和相關特色皆係依於原產地技藝之原創性及傳統作法。儘管此等產品在歐洲或全世界享有不錯聲譽,其製作者一直以來卻未能享有歐盟層級GI的保護,以更可將其原產地名與聲譽、品質相連結。 本提案將使消費者更易於辨識該等產品之品質,以可在更得知產品資訊的狀況下,作出消費選擇;亦可宣傳各原產地的技術工藝,使當地技藝被保存,並創造工作機會,達到經濟成長。 本提案主要包含: (1)將工藝品和工業產品納入歐盟GI保護: 將為工藝品和工業產品建立一個橫跨全歐盟的GI保護,而非僅目前部分區域或國家所有者,以更保障製作者之智慧財產權。本提案亦將促進打擊仿冒品的行為,包含在網路上所銷售者。 (2)為工藝品和工業產品的GI制度建立經濟的註冊程序: 將建立「兩階段申請程序」,製作者先向其所屬歐盟會員國當局提出申請,再由該當局轉交符合第一階段資格者之資料至歐盟智慧財產局(European Union Intellectual Property Office, EUIPO),以進行評核。 本提案將可使製作者提出「其產品有符合原產地製作特點」的聲明,以使整體註冊程序較簡易且節省成本。 (3)與國際上其它GI保護制度相容: 本提案將使成功取得歐盟GI註冊之工藝品和工業產品製作者可在「關於保護原產地名及GI的日內瓦協定」(Geneva Act on Appellations of Origin and Geographical Indications under the World Intellectual Property Organisation (WIPO))之簽署國實施和保護其產品的權益;蓋此協定亦有包括工藝品和工業產品。而由於歐盟於2019年簽署該協定,故在歐盟境內亦將保護他簽署國工藝品和工業產品之GI。 (4)保存原產地技藝,並造就歐洲鄉村和其他地區的發展: 藉由提供製作者(尤其是中小企業)誘因,以投資於新的原創產品及創造其他利基市場(niche markets)。本提案並將使歐洲若干地區(尤其是鄉村及較低度開發區域)將失傳的技藝得以被保存,因此將可重振其知名度以吸引遊客或創造其他工作機會,達到經濟復甦。
論ENUM服務推動與應用之法制議題 Uber所使用的移動定位軟體被控侵權運輸公司Uber在其行動應用程式(app)中使用的移動定位技術被控侵權。原告Fall Line專利有限公司於今(2017)年7月10日美國東德州聯邦地方法院泰勒分院向Uber提起專利侵權訴訟。系爭美國專利號9,454,748(以下簡稱’748專利)的權利範圍涵蓋一種收集特定定位資料及相容於各種裝置的軟體,從而不需要再為了各種裝置重新設計新軟體。 Fall Line專利有限公司在訴狀中聲稱:「Fall Line專利有限公司是’748專利的專利權人,擁有所有實體權利。實體權利包括獨佔權及排他權,故Fall Line專利有限公司得以’748專利主張權利、對抗侵權者,對Uber的侵權行為提起訴訟。」Fall Line專利有限公司控訴Uber的行動應用程式可協助使用者以智慧型手機叫車,前往他們所在位置,侵害其’748專利。Uber的侵權行為已經造成Fall Line專利有限公司的損害,應對Fall Line專利有限公司給予適當補償,且補償金額不得低於合理權利金,及法院判決確定的利息及費用,另亦請求禁制令及陪審團審理。 此外,根據一項美國地方法院資料庫的檢索結果顯示,Fall Line專利有限公司今年到目前為止已經提起五件專利侵權訴訟,其中包括對精品國際酒店集團(Choice International Hotel)的控訴,而本案已是Uber今年第三起被控專利侵權的案件。 「本文同步刊登於TIPS網站(https://www.tips.org.tw)」
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院(National Institute of Standards and Technology, NIST)所管轄的國家網路安全卓越中心(National Cybersecurity Center of Excellence, NCCoE),於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」(NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture)系列文件初稿共四份[1] ,並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中,要求聯邦政府採用現代化網路安全措施(Modernizing Federal Government Cybersecurity),邁向零信任架構(advance toward Zero Trust Architecture)的安全防護機制,以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展,生活型態因疫情推動遠距工作、遠距醫療等趨勢,透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業,皆使得傳統的網路安全邊界逐漸模糊,難以進行邊界防護,導致駭客可透過身分權限存取之監控缺失,對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」(Zero Trust Architecture, ZTA)標準文件[3] ,協助企業基於風險評估建立和維護近用權限,如請求者的身分和角色、請求近用資源的設備狀況和憑證,以及所近用資源之敏感性等,避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰,包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構;擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響;整個組織對ZTA 缺乏共識,無法衡量組織的ZTA成熟度,難確定哪種ZTA方法最適合業務,並制定實施計畫等,NCCoE與合作者共同提出解決方案,以「NIST SP 800-207零信任架構」中的概念與原則,於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份,包含: 一、NIST SP 1800-35A:執行摘要(初稿)(NIST SP 1800-35A: Executive Summary (Preliminary Draft)) 主要針對資安技術長(chief information security and technology officers)等業務決策者所編寫,可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案,實施ZTA所能帶來優點等。 二、NIST SP 1800-35B:方法、架構和安全特性(初稿)(NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)) 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫,闡述風險分析、安全/隱私控制對應業務流程方法(mappings)的設計理念與評估內容。 三、NIST SP 1800-35C:如何操作指引(初稿)(NIST SP 1800-35C: How-To Guides (Preliminary Draft)) 主要針對於現場部署安全工具的IT 專業人員所編寫,指導和說明特定資安產品的安裝、配置和整合,提供具體的技術實施細節,可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D:功能演示(初稿)(NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)) 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構,展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令,要求聯邦機構以導入ZTA為主要目標,並發布系列指引文件,透過常見的實施零信任架構案例說明,消除零信任設計的複雜性,協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構,未來可預見數位身分將成為安全新核心。 此外,NIST於2022年5月發布資安白皮書-規劃零信任架構:聯邦管理員指引[4] ,描繪NIST風險管理框架(Risk Management Framework, RMF)逐步融合零信任架構的過程,幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者,或欲降低遠端應用的安全風險者,宜參考以上標準文件與實務指引,以建立、推動和落實零信任架構,降低攻擊者在環境中橫向移動和提升權限的能力,與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).