為促進歐洲的數位轉型,歐盟執委會(European Commission)在2023年3月24日於通過數位歐洲計畫(Digital Europe programme, DEP)下的2023~2024年工作計畫,預計投入12.84億歐元於「主要數位歐洲計畫工作計畫」(Main DEP programme)(下稱「主要工作計畫」)及「網路安全工作計畫」(Cybersecurity Work Programme),以延續之前投入之成果,並加強歐盟對抗網路威脅的集體韌性。
實際上歐盟於2018年即提出第一個數位歐洲計畫,並透過數位單一市場策略(Digital Single Market strategy)嘗試建立符合數位特性的監管框架,藉以提高歐盟的國際競爭力,發展及加強歐洲的數位能力。數位歐洲計畫包括五個重點領域:超級電腦(Supercomputers)、人工智慧(Artificial intelligence, AI)、網路安全及信任(Cybersecurity and trust)、數位技能(Digital skills),以及確保數位技術在經濟及社會中被廣泛使用。
前述所說的主要工作計畫,其投入資金為9.095億歐元,重要工作有三。首先,藉由關注氣候和環境保護技術、數據資料、人工智慧、雲端、網路安全、先進數位技能及部署此些技術之最佳方法,並加強歐盟的關鍵數位能力。第二,關注數位公共服務,強調具跨境互操作性(cross-border interoperability)的公部門解決方案(例如歐洲數位身份)。此外,也將透過歐洲數位媒體觀測站(European Digital Media Observatory, EDMO)打擊假訊息,並以InvestEU計畫下的策略數位技術投資平台,重點支持中小及新創企業關注網路安全。
其次,網路安全工作計畫的投入資金為3.75億歐元,由歐洲網路安全能力中心(European Cybersecurity Competence Centre)負責執行,將支援建立國家和跨境安全操作中心的能力,以打造最先進的威脅檢測及網路事件分析生態系統。網路安全工作計畫還將資助產業(特別是中小及新創企業)遵守網路安全法規要求的項目,特別是網路及資訊系統安全指令(Directive on Security of Network and Information Systems, NIS2)或網路韌性法案(Cyber Resilience Act)所要求的內容。
歐盟已在加強數位公共服務、數位技能及網路安全等方面投入許多資源,其中網路安全、資安威脅和打擊假消息等議題因其不受地區限制而更受到注目,未來仍待持續關注此些議題之發展。
日本建立物聯網產品資安符合性評鑑及標籤制度(JC-STAR),助消費者提升產品資安識別 資訊工業策進會科技法律研究所 2025年10月30日 壹、事件摘要 為因應物聯網(Internet of Things,簡稱IoT)產品日趨嚴重的資安威脅,日本陸續訂定針對物聯網產品資安之國內法規與政策方針,除了為強化物聯網產品之資安要求以外,藉由具體的資安評級要求,適用不同類型的物聯網產品,再透過資安標籤制度以區別產品,提升產品之資安識別,以供消費者選購時參考。據此,本文觀測日本近期建立的JC-STAR制度與其所適用國內法規,供我國未來參考與借鏡。 貳、重點說明 一、日本JC-STAR制度背景與目的 日本資訊處理推動機構(独立行政法人情報処理推進機構,Information-Technology Promotion Agency, Japan,簡稱IPA),依日本經濟產業省於2024年8月23日所公布之《IoT產品資安符合性評鑑制度建構方針》政策架構下[1],建立了《物聯網產品資安符合性評鑑及標籤制度》(セキュリティ要件適合評価及びラベリング制度,Labeling Scheme based on Japan Cyber-Security Technical Assessment Requirements,簡稱JC-STAR),並於2025年7月29日完成《物聯網產品資安符合性評鑑與標籤制度之基本規章》[2](セキュリティ要件適合評価及びラベリング制度の基本規程,簡稱本規章)之最終修訂,建立了JC-STAR制度的框架。本規章將物聯網產品的定義、產品所需的附隨服務(含數位服務等)、可提供驗證服務之單位、第三方監督、廠商自我宣告機制、資安符合性基準、評鑑與評鑑報告書、資安符合性標籤及分級機制等多種要件、適用對象與要求事項明確化,確立了以星等為評級的JC-STAR資安標籤制度框架。此外,JC-STAR制度針對物聯網產品採購方、使用方等不同的資安需求,透過附有資安標籤的產品以供各自選購時為考量,因此JC-STAR制度有以下二點優勢: (一) 較易滿足政府或企業的採購標準 針對政府機關或企業等所需採購的物聯網產品,事前已透過共通性的適用標準,將物聯網產品資安進行評鑑分級,並將評鑑流程可視化管理,不僅使產品符合各組織或單位的資安防護需求,同時使產品選購更加便利。 (二) 確保特定領域事業或行業等符合資安法規要求 基於特定領域事業或行業可能有特殊的資安需求,通過符合性評鑑的物聯網產品,因經第三方驗證後以最高等級的標籤呈現,故可確保符合特定領域事業團體之特殊資安需求,或配合指定使用,以確保其採購之物聯網產品均具備合規性。 二、日本JC-STAR框架與資安要求 日本JC-STAR制度是結合歐洲電信標準協會(ETSI)網路安全技術委員會於2022年6月所公布的《網路安全暨隱私保護標準》(ETSI EN 303 645),以及美國國家標準與技術研究所(NIST)於2022年9月公布的《消費者物聯網產品之核心基準》(NISTIR 8425)等適用標準,並經日本官方改定調整成為適用於日本國內之獨特制度。[3]JC-STAR是基於日本官方所定義之物聯網產品符合性標準(涉及資安技術要求事項等),確認物聯網產品是否符合資安要求以及進行可視化的管理。JC-STAR將物聯網產品區分成四種星級,詳述如下: (一) 一星級(★1) 物聯網產品須符合產品共通性之要求,並適用最低限度之資安要求事項,倘若產品已滿足相關要求事項,由產品供應商自我宣告即可。 (二) 二星級(★2) 視物聯網產品的類型、功能特徵等因素,於一星級以上增訂基礎的資安要求事項,倘若產品已滿足相關要求,仍由產品供應商自我宣告即可。 (三) 三星級(★3) 視物聯網產品的使用對象,包含政府機關、關鍵基礎設施或相關業者、地方政府或人民團體、大型企業之關鍵系統等,依產品類型、功能特徵等因素,訂定共通性之資安要件,並須由獨立第三方進行驗證,並須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。 (四) 四星級(★4) 適用程序上雖與三星級相同,依產品類型、功能特徵等因素,訂定共通性之資安要件,並由獨立第三方進行驗證,須取得評鑑機關作成的符合性評鑑報告書以及受相關單位賦予標籤。惟物聯網產品中,諸如通信設備等所適用的資安要求及相關風險層級較高,因此為最高防護等級。 值得注意的是,日本正積極與新加坡、英國、美國、歐盟等各國專責機關等交涉中[4],預計將JC-STAR制度與各國物聯網產品制度相互承認並使其與國際接軌。 參、事件評析 日本透過國內政策方針及訂定規章,結合其他先進國家的資安標準,建立了屬於日本自己的物聯網產品資安標籤JC-STAR制度。主要將各種不同類型的物聯網產品,賦予不同星等評級,供一般消費者或政府、企業法人等選購時參考,具體提升針對物聯網產品的資安識別。此外,依產品適用對象或風險層級不同,適用不同程度的資安要求事項。倘若涉及政府或企業法人等採購需求,則可能適用三星或四星等級,且產品均須經獨立第三方進行評鑑後,才能取得符合性評鑑報告書,並添附資安標籤。 因此,JC-STAR並非僅針對政府或公部門單位採購適用,而是擴及日本國內產業或是一般消費者,因此日常中物聯網產品的使用,均受到全面性的資安保障。另一方面,倘若未來日本JC-STAR制度受到其他各國承認,即代表物聯網產品可在已簽署承認的國家間受到信任而流通產品,故可望大幅降低日本國內物聯網產品供應鏈符合國際法規或契約要求的成本,有助於提升產業競爭力。據此,日本以資安標籤提升消費者識別,並有物聯網產品資安驗證機制之整體性規劃,均可供我國推動物聯網產品資安治理政策之未來借鏡與參考。 [1]〈IoT製品に対するセキュリティ適合性評価制度構築方針〉,経済産業省,https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/pdf/20240823_1.pdf (最後瀏覽日:2025/10/13)。 [2]〈セキュリティ要件適合評価及びラベリング制度の基本規程〉,独立行政法人情報処理推進機構,https://www.ipa.go.jp/security/jc-star/begoj90000003563-att/JSS-01.pdf (最後瀏覽日:2025/10/13)。 [3]〈IoT製品のセキュリティ確保に向けて ~セキュリティ要件適合評価及びラベリング制度(JC-STAR*)の紹介~〉,頁25,独立行政法人情報処理推進機構,https://www.ipa.go.jp/security/jc-star/begoj9000000gg60-att/JC-STARsetumeikai_1.pdf (最後瀏覽日:2025/10/13)。 [4]〈ファクトシート:岸田総理大臣の国賓待遇での米国公式訪問〉,日本外務省,https://www.mofa.go.jp/files/100652150.pdf (最後瀏覽日:2025/10/13)。
智慧聯網時代巨量資料法制議題研析-以美國隱私權保護為核心 英國Ofcom公佈電視廣告交易機制的反競爭調查報告英國Ofcom在2011年12月15日公佈了有關電視廣告交易機制是否有限制或扭曲市場競爭、最終傷害消費者的反競爭調查報告。最後認定並無明確證據顯示英國當前的電視廣告交易機制妨礙競爭,因此決定不依「2002年企業法」(Enterprise Act 2002)所賦予之權限,移送競爭委員會(Competition Commission)進一步調查。 雖然英國的電視廣告市場一年仍有40億英鎊的產值,但廣電業者的收益實已長期且穩定減少中,故Ofcom同年6月啟動本諮詢與調查,並從以下三個角度檢視電視廣告市場是否存在流弊,而使廣告價格高漲、廣告獲利配置不效率、阻礙廣電業者之創新與不利閱聽眾之經驗: 1、價格不透明:電視廣告市場長期以來因聯合報價、股權交易或各類折扣,導致價格不透明,使廣告買主可能無法進行有意義的比價。但Ofcom認為廣告公司皆屬老練業者,熟悉交易內容與約款;而廣告主則可透過閱聽眾的行為反應判斷廣告成效,且證據亦顯示廣告主經常替換廣告公司以獲得更好的交易條件。 2、 捆綁銷售時段:廣電業者可能運用市場力搭售離峰時段(off-peak airtime)。但證據顯示廣告買主尚可分別購買時段;而英國每月有250萬個廣告開口,強制分別交易將造成交易成本顯著上升。 3、交易模式僵化:雖然英國的電視廣告交易模式已20年不變,但科技進步使頻道數目大增,連帶使閱聽眾分化與廣告開口爆增,證據顯示廣告部門對此適應良好。 最後Ofcom認為在有害競爭證據不明顯,且進一步調查會產生更多成本的情況下,決定仍維持商業機制,不介入管制電視廣告市場。
澳洲數位轉型局12月發布《政府負責任使用人工智慧政策2.0》,以強化公部門之AI風險管理2025年12月初,澳洲數位轉型局(Digital Transformation Agency,下稱DTA)發布《政府負責任使用AI政策2.0》(Policy for the responsible use of AI in Government 2.0),旨在進一步強化公部門在AI的透明度、問責性與風險管理能力,於2025年12月15日生效,取代 2024年9月實施的過渡版本。 一、適用範圍 政策適用於所有非企業型聯邦實體(Non-corporate Commonwealth entities),即不具獨立法人地位、直接隸屬於政府的機關或單位。企業型聯邦實體則被鼓勵自願遵循。政策定位為「補充與強化既有法制」,非另訂獨立規範,因此在實務中須與公務員行為準則、資安規範及資料治理制度併行適用。 二、政策重點 在政策施行的12個月內,適用機關須完成以下要求,以確保落實AI治理架構: (一)制度建置 1. AI 透明度聲明:機關須在政策生效後 6 個月內發布「AI 透明度聲明」,公開 AI 使用方法與現況。聲明中須說明機關風險管理流程、AI 事件通報機制及內外部申訴管道,確保使用過程透明、可追蹤。 2. 人員指定與培訓: 機關須指定制度問責人員(Accountable officials)以及AI使用案例承辦人(Accountable use case owners)。 所有員工皆須進行關於負責任使用AI的培訓,機關並依員工職務權責提供個別員工進階訓練。 3. 建立內部AI使用案例註冊清單(Internal AI use case register),以供後續追蹤 該清單至少包含: (1)使用案例負責人(Accountable use case owners):記錄並持續更新範疇內 AI 使用案例的指定負責人。 (2)風險等級(Risk rating):AI使用案例的風險等級資訊。 (3)異動紀錄:當使用案例的風險評級或負責人變更時,須即時更新清單。 (4)自定義欄位:各機關可根據其需求,自行增加欄位。 (二)AI 使用案例範疇判斷 機關須在評估所有新案例,依以下特徵判斷AI應用是否屬於「範疇內(In-scope)」的應用: 1.對個人、社群、組織或環境造成重大損害。 2.實質影響行政處分或行政決策。 3.在無人工審查的情況下,大眾將直接與AI互動或受其影響。 4.涉及個人、敏感資料等資訊。 (三)進階風險評估 依AI影響評估工具(Impact Assessment Tool)針對公眾近用權;不公平歧視;加重刻板印象;損害人、組織或環境;隱私顧慮;資料敏感之安全顧慮;系統建置之安全顧慮;公眾信任等8類別,加以判斷範疇內AI應用,若有任一類別被評為「高風險」,即判定為「高風險」;若所有類別中最高的分數為「中風險」,則整體判定為中風險。 判定為中、高風險之AI應用,均需進行全面審核。中風險須列出所有中風險項目及其控管措施,主要為內部控管;而高風險則要求向DTA報告,且每年至少進行一次全面審核與風險再評估。 澳洲欲透過發布AI透明度聲明、更新AI使用案例註冊清單、強制執行AI應用之風險評估及人員培訓,確保公部門對AI的負責任使用與問責。而我國企業可參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範(EDGS)》,落實AI資料管理與追蹤。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)