美國國家公路交通安全管理局公布車輛網路安全最佳實踐，呼籲業界遵循
美國國家公路交通安全管理局（National Highway Traffic Safety Administration, NHTSA）於2022年9月9日公布2022年最新版本之當代車輛網路安全最佳實踐（Cybersecurity Best Practices for the Safety of Modern Vehicles），強化政府對先進聯網車輛網路安全之把關。
文件將網路安全實踐項目區分為「一般網路安全最佳實踐」及「車輛技術網路安全最佳實踐」兩塊，前者主要為公司整體組織網路安全文化與監管機制之建立；後者則偏重於技術性的建議內涵。
「一般網路安全最佳實踐」共有45項要點，核心概念為：公司應訂定明確的網路安全評估程序，由領導階層負責相關監督責任，定期執行網路安全之風險評估及第三方公正稽核，並對其所發現之風險弱點採取保護措施並持續監控，同時應妥善保存所有網路安全相關之紀錄文件，並鼓勵與車輛同業聯盟彼此分享學習經驗。對於組織成員應適當提供網路安全教育訓練。於產品設計時，應將產品使用者、售後服務維修商，以及可能的外接式電子設備所帶來之風險一併納入安全設計考量。
「車輛技術網路安全最佳實踐」共有25項，核心理念為：對於產品開發人員，應建立存取權限管理，避免有心人士濫用權限。產品所使用的加密技術應隨時更新，若車輛具備診斷功能，應慎防遭到不當利用，且應防止車輛所搭載之感測器遭到惡意干擾或改動，感測器所收集到之資料則應能免於網路攻擊或竊取。應特別注意無線網路設備、空中軟體更新（Over-the-air, OTA）以及公司作業軟體所產生之風險漏洞。
本文件屬於自願性質，無法律強制力。但NHTSA期望在現有的車輛產業網路安全標準上，例如國際標準組織與國際汽車工程師協會（International Standards Organization, ISO/SAE International, SAE）先前所訂定的車輛網路安全標準ISO/SAE 21434的基礎前提下，進一步提出政府對車輛網路安全要求的努力。
本文為「經濟部產業技術司科技專案成果」
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
楊至善
法律研究員 編譯整理
NATIONAL HIGHWAY TRAFFIC SAFETY ADMINISTRATION, Cybersecurity Best Practices for the Safety of Modern Vehicles (2022), https://www.nhtsa.gov/sites/nhtsa.gov/files/2022-09/cybersecurity-best-practices-safety-modern-vehicles-2022-pre-final-tag_0_0.pdf (last visited Oct. 4, 2022).
楊至善，〈英國法律委員會提出75項自駕車修法具體建議，突破框架建構新體系〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8798&no=64（最後瀏覽日：2022/10/5）
江敔菲，〈美國交通部發布國家道路安全戰略，建立五大核心目標期待實現道路零死亡願景〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8785&no=64（最後瀏覽日：2022/10/5）
張雅婷，〈加拿大運輸部發布自駕系統測試指引2.0，為建立全國一致的實驗準則〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8781&no=64 最後瀏覽日：2022/10/5）
科法觀點
新加坡個人資料保護委員會（Personal Data Protection Commission, PDPC）於2019年7月17日發布資料保護專員之職能與培訓準則。基於新加坡個人資料保護法（Personal Data Protection Act 2012, PDPA）明文規範非公務機關必須設立至少一名資料保護長（Data Protection Officer, DPO），負責個資保護政策之制定落實、風險評鑑及個資事故處理等工作。為了使資料保護專業人員增強能力並於企業組織有效履行其職責，新加坡個人資料保護委員會就此特別發布此準則，將資料保護專員分為三種工作職能，九項專業能力，進而規劃相關培訓課程。 此準則使企業組織能就工作職能聘僱合適之資料保護專員，亦使相關專業人員能掌握清晰之職業生涯，確定自我能力與培訓課程之落差，進而調整有效實施組織之個人資料保護管理政策與流程。其分為資料保護專員、資料保護長、區域資料保護長，依據工作職能與職責區分如下： 一、 資料保護專員 需監視與評估組織之個人資料保護管理政策與程序，並確保其遵循新加坡個人資料保護法。 識別個人資料之風險，並提出風險管控之措施。 提供組織個人資料保護政策之實施與實踐證據。 定期檢視審核，分析現況並矯正改善。 識別並規劃利害關係人之需求與利益。 二、 資料保護長 制定並審查個人資料管理計劃。 根據組織職能，視需求與流程，執行個人資料保護與風險評鑑，並解決相關業務風險。 制定培訓計劃，舉辦個人資料保護政策與流程之教育訓練。 確保組織內部個人資料保護之意識。 根據業務營運與個資法遵要求之落差評估，並建立合規性流程。 透過客戶對隱私與個人資料保護之要求，做為日後促進資料創新之實施。 三、 區域資料保護長 監督資料傳輸活動，並提供個人資料保護法之領導指南。 建立區域創新之資料保護策略。 減少區域內之個資事故。 於資料創新之運用提供戰略性，為組織創造業務價值。 評估新興趨勢與科技，如隱私增強技術、雲端運算、區塊鏈、網絡安全之風險與可行性。 針對上述工作職能與職責，結合所需之專業能力，包括個人資料管理、風險評鑑管理、個資事故緊急應變、利害關係人管理、個人資料稽核認證、個人資料治理、個人資料保護之倫理、資料共享與創新思維，規劃基礎個人資料保護相關課程與進階資料創新課程，使其個人資料保護制度更專業具有規模。目前我國對於資料保護專員並無相關立法規範，若未來修法新加坡個人資料保護委員會之做法亦值參酌。
歐盟將研修REACH有關規定 強制含有奈米物質產品之標示隨著奈米產品的日漸普及與多樣化，歐盟考慮近期法制化奈米產品的標示要求，未來將於歐盟「化學物質登記評估授權及限制規則」（Registration, Evaluation, Authorisation and Restriction of Chemicals，簡稱REACH）中有關化學物質登記事項強制要求奈米消費產品的標示，以確保奈米物質的可追溯性（traceability）。 歐盟會員國部長級會議—歐盟理事會（The Council of the European Union，亦以拉丁文簡稱Consilium）作為歐盟層級主要的決策機關，為了政策協調的一致性與長期穩定性自2007年起採三國為一組的方式輪值擔任主席國（trio presidencies），每一國負責六個月的期間，主席國扮演推動立法與政策決定的推手角色並負責歐盟會員國共識的達成，2010年7至12月由比利時擔任歐盟理事會的主席。有關奈米物質產品管理政策，可由日前比利時氣候與能源部長並負責消費者與環境保護的Paul Magnette公開表示的談話中窺見未來歐盟法規調整的大方向：「奈米物質逐漸普及於消費產品與各種日常用品，但是我們對奈米物質的了解卻很匱乏。雖然對於在歐盟日益增加的奈米物質使用無須過渡緊張，但是我們仍有義務在最小限度內做到應有的檢視以確保環境與健康安全。因此，目前缺乏事前警告與標示其成分及潛在毒性的奈米技術發展是無法令人接受的」。 奈米產品製造商宣稱目前尚無任何證據顯示奈米產品對人體有危害，因此，歐盟官方在採取強制標示相關規定以前如擬暫停奈米產品的生產亦可能遭遇極大阻力，然而Magnette同時表示，如對奈米產品採取「沒有（安全）證據就沒有市場（no data, no marke）」的政策也可能太過限制，但是目前對於奈米產品只是宣稱其優點的產業現況，確實太過扭曲消費者應被充分告知資訊的權利。他強調，如生產方不盡力將奈米產品的潛在風險降到最低，奈米產品可能如同基改作物（GMO）一樣被民眾摒棄於歐盟市場之外。 在2011年底以前歐盟執委會（The European Commission）將完成第二輪的歐盟法規檢視，執委會企業與工業委員會主管化學政策官員Maila Puolamaa表示，奈米物質的管理將會納入REACH有關法制中，這部分將會成為現階段法規檢視的重點之一。年產量一公噸以下的奈米物質登記將會簡化，奈米產品上市也應自動標示其成分。Magnette表示比利時推動REACH法規檢視會以幾個方向為重點：第一，要求奈米產品強制標示以使消費者了解其所購買產品含有奈米物質；第二，確保生產鏈的可追溯性以能追溯奈米物質的源頭；第三，確立歐盟的適當的風險管理與評估法規；第四，鼓勵各國儘速自行負責建立自己的評估、管理與資訊監控作法以因應此波奈米快速發展時期的變化；第五，奈米產品標示的項目法制化等。
Sir Tim Berners-Lee呼籲，開放政府資料（Open Government Data）的持續發展需要政府兌現其承諾開放政府資料（Open Government Data）從2009年美國發起開放政府倡議開始，在全球颳起一陣的旋風，主張公民享有政府資料的權利。這開放資料的浪潮，在2013年由G8工業國簽署開放政府資料憲章（Open Data Charter），約定將以開放為預設（open by default）推動開放政府資料，承諾致力於開放公部門資料、以不收取費用，並採用可再利用格式提供。隨後，G20工業經濟體於2014年跟進，以推動開放政府資料做為反貪腐的利器；聯合國也同時認知，現時亟需資料革命（Data Revolution）以做為實現全球發展的目標。 然而，依據網際網路基金會（World Wide Web Foundation）繼2013年所發布的Open Data Barometer（第一版），於2015年1月再度發布Open Data Barometer（第二版），以開放政府資料的整備、落實、與影響程度三大要素，來檢視與評估86個國家於2014年間對於開政府資料推動的狀況，結果發現仍有90%的資料還是閉鎖在政府機關。 從在資料內容方面來看，僅8%的國家採用開放格式與開放授權釋出核心資料，例如政府預算支出、公共服務執行資料集等，大部分國家仍未真正釋出多數核心資料集，不然就是雖已釋出但卻很難使用；更不用提用得以打擊貪腐和促進公平競爭的資料，如公司註冊、政府契約、土地所有權資料等。在法制與政策規範面，僅17%的國家具有公民對於資料主張權利（the right to information）的相關法制，大多數國家尚未以法律或政策做為課與機關主動積極（proactive）釋出資料的義務（mandated）、實現公民對於資料主張權利的依據，而且多數國家在開放政府資料的規範與程序上，對於個資隱私的保護仍然不足，或仍處於非常不確定的狀態。 為確保資料革命達成通透度和政府的性能，Open Data Barometer研究報告提出下列關鍵步驟，提供各國政府參採： ‧由政府高層承諾將主動積極釋出公部門資料，尤其是得促進問責（accountability）的關鍵資料 ‧持續投入支援與提供培訓，使多數公民社會與企業理解與有效率地使用資料 ‧因應各國需求開發開放資料的工具和方法，例如於在識字率較低的國家，採用視覺化方式呈現資料 ‧支持地方層級開放資料的倡議，以補強國家層級開放政府資料的方案 ‧進行法規調適，以確保公民對於資料主張權利，並於開放資料倡議中加強對於個資隱私保護的基礎 網路發明者與網路基金會創始人Sir Tim Berners-Lee依Open Data Barometer的調查結果，批評政府仍持續迴避開放可用於增強問責與信任的資料，並強調開放資料的強大力量，在於資訊的權利還給公民。 備註： Open Data Barometer群組排名如下： 已開發國家 新興市場國家 開發中國家 1）英國 21）巴西 36）印尼 2）美國 22）墨西哥 39）印度 3）瑞典 33）匈牙利 46）迦納 4）紐西蘭 33）秘魯 46）盧安達 4）法國 36）阿根廷 49）肯亞
美國衛生及公共服務部提出雲端服務適用健康保險可攜與責任法之相關指引美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。 於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。 該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。