澳洲發布國家身分韌性戰略
所謂「身分」（Identity）是「特徵」（characteristics）或「屬性」（attributes）的組合，可讓個人在特定環境中與其他人區分開來，以證明自己的身分，例如出生日期和地點、臉部圖像等。澳洲政府有鑑於數位經濟的快速成長，線上身分驗證比實體身分驗證更為頻繁，促使犯罪人竊取和濫用身分資訊與資格證明（credentials），使得越來越多人面臨網路犯罪和詐欺的風險，澳洲在2021年時更因為身分竊盜事件橫行，造成超過18億美元的經濟損失。
為此，澳洲資料和數位部長會議（Data and Digital Ministers Meeting, DDMM）於2023年6月23日發布「國家身分韌性戰略」（National Strategy for Identity Resilience），以取代2012年國家身分安全戰略（National Identity Security Strategy），宣示澳洲政府加強身分基礎設施和對身分竊盜的韌性與復原力，推動澳洲各州、領地（territory）和聯邦（Commonwealth）採用全國一致的身分韌性方法，使得個人身分難以被竊取，縱然不幸遭竊取，受害人亦能夠輕易自身分犯罪中恢復身分。
該戰略由十項原則組成，包含：(1)無縫接軌的聯邦、州和領地數位身分系統；(2)具包容性的身分辨識機制；(3)個人與公私部門都有各自角色；(4)制定國家實體與數位資格證明標準；(5)建立生物辨識和經同意的身分驗證；(6)便利個人跨機構更新身分資訊；(7)更少的資料蒐集與保存；(8)明確的資料分享協議；(9)資格證明的一致撤銷和重新簽發；(10)明確的問責與責任。搭配短、中、長期的實施規畫，循序漸進地加強與一制化澳洲跨司法管轄區的身分安全管理機制。
阮韻蒨
副法律研究員 編譯整理
Australian Government, National Strategy for Identity Resilience(2023), https://www.homeaffairs.gov.au/criminal-justice/files/national-strategy-for-identity-resilience.pdf (last visited Aug. 22, 2023).
蔡芷茵，〈紐西蘭通過數位身分服務信任框架，如經簽署將於2024年施行〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9022&no=64（最後瀏覽日：2023/09/18）。
林秉澤，〈越南公布關於電子身份識別和驗證的新法令草案〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8845&no=64（最後瀏覽日：2023/09/18）。
阮韻蒨，〈歐盟數位身分框架政策之相關推動措施概要〉，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8721&no=64（最後瀏覽日：2023/09/18）。
科法觀點
英國於今年5月26日通過「隱私及電子通訊規範」（The Privacy and Electronic Communications Regulations），實現隱私監督之責，以管控cookies或是侵害個人資料之行為。 新法納入歐盟於2009年e隱私指令中所決定之改變，旨在讓網路使用者自行決定資訊服務業或其他事業能儲存多少使用者之紀錄。但業者對此項新要求表示困惑，因此英國之隱私權主管監督機關資訊專員公署（Information Commissioner's Office，ICO）最近出版一份指引，指導網站如何遵守新法使用cookies功能之規定及履行告知義務之要求。然而指引中並未強制規定告知內容與方式，因此業者仍可自行決定如何最有效地履行告知義務。 ICO本週表示新法尚有一年之緩衝期間，讓業者調整使用cookies功能之方式。政府表示目前仍在與瀏覽企業者討論，如何透過瀏覽器頁面之設置取得當事人之同意，而此部分尚未規定在新法中。 「政府的指引太晚公布了，並且缺乏明確性，又無法確定新法是否能允許以瀏覽器技術作為解決之方法，這樣會讓業界無所適從」，任職於Pinsent Masons法律事務所的科技法律專家Clarie McCracken說，「此種非決定性之指引會使業者無法找到標準作法以避免觸犯新法。」。 ICO認為企業在新法正式施行前，最好趕快表明其如何使用cookies功能並制定相關規定以遵守新法。 新法同時要求特定企業當其所蒐集之個人資料遭受駭客攻擊或外洩時，其必須要告知消費者。根據新法，個人資料遭受侵害之定義為：某種安全狀態遭受攻擊，導致與公共電子通訊服務有關之個人資料被故意或不法毀損、滅失、竄改、越權揭露或存取、傳遞、儲存或其他相關利用。當上述情事發生時，公司必須通報ICO，說明大致情況及可能產生之結果，並提出公司將採取之因應措施，同時告知受害之消費者。
日本內閣閣議決定2021年最新3年期網路安全戰略日本內閣於2021年9月28日閣議決定最新3年期《網路安全戰略》（サイバーセキュリティ戦略）。本戰略係根據網路安全基本法（サイバーセキュリティ基本法），針對日本應實施之網路安全措施進行中長期規劃。日本將從「以數位改革為基礎，推動數位轉型與網路安全」、「在網路空間朝向公共空間化與相互連繫發展下，縱觀全體以確保安全安心」、「加強風險管理措施」三大方向，推動網路安全措施。本戰略重點措施包括： 提升經濟社會活力，並推動數位轉型與網路安全：為達成數位改革，日本經濟社會須完成數位轉型改革。而在推動經濟社會數位化過程中，應將網路安全納入政策推動之考量。 實現國民得安全安心生活之數位社會：所有組織應確保完成任務，並加強風險管理措施。而數位廳將揭示並推動網路安全基本方針，以使政府提供網路安全環境保護國民與社會。 促進國際社會和平安定，並保障日本安全：為確保全球規模「自由、公正且安全之網路空間」，日本須制定展現該理念之國際規範，並加強國際合作。 推動橫向措施：在橫向措施方面，將進行中長期規劃，推動實踐性研究開發，並促進網路安全人才培育。此外，政府亦須與民間共同合作進行推廣宣傳，以強化國民對網路安全意識。
何謂「歐盟防禦基金」?歐盟防禦基金（European Defence Fund）係於2016年，由歐盟執委會主席Juncker所宣布成立，旨在促進成員國之技術與設備合作、鼓勵中小企業參與項目，促進突破性創新（breakthrough innovation）解決方案，俾達協調、供給並擴大國防設施投資、捍衛歐盟戰略自主之目的。 歐盟防禦基金之進程目前可分為兩階段。第一階段係於2017-2020年，透過「國防研究籌備行動」與「歐盟防禦工業發展項目」等兩個項目，對歐盟成員國間之防禦合作進行測試。其後，為進一步強化戰略自主與抵禦之能力，歐盟執委會於2018年6月13日決議增加基金2021-2027年之預算至130億歐元，與成員國共同進行防禦科技與設備之研發，是為第二階段。 於130億歐元之預算中，89億歐元將以共同投資之方式，讓歐盟與成員國共同投入發展計畫，包含原型（prototype）之開發（占20%）、認證與測試（占80%）。而為確保、鼓勵研發成果之可用性，共同投資係以成員國承諾採購研發成果為前提。具體而言，此一共同投資計畫具下述特點： 投資項目需有助於歐盟國防安全、符合《共同安全與防禦政策》（Common Security and Defence Policy）之優先項目，並經其成員國與NATO等國際組織同意。 以突破性創新為目標，提撥5%的資金專用於破壞式創新技術和設備之研發，以提升、鞏固歐盟長期之技術領先地位。 合作項目需有三個以上、來自不同成員國之參與者；並以優惠利率為誘因，吸引中小型企業跨境參與。 參與之成員國需承諾採購最終之研發成果。
G7發布金融機關因應勒索軟體危脅之基礎要點由於近年來勒索軟體對國際金融帶來重大影響，七大工業國組織G7成立網路專家小組CEG（Cyber Expert Group），並於2022年10月13日訂定了「金融機關因應勒索軟體危脅之基礎要點」（Fundamental Elements of Ransomware Resilience for the Financial Sector），本份要點是為因應勒索軟體所帶來之危脅，提供金融機關高標準之因應對策，並期望結合G7全體成員國已施行之政策辦法、業界指南以及最佳之實踐成果，建立處置應變之基礎，加強國際金融的韌性。該份要點內容著重於民營之金融機關（private sector financial entities），或關鍵之第三方提供商（critical third party providers），因其本身有遵守反洗錢和反恐怖主義之融資義務，但也可依要點訂定之原意，在減少自身受到勒索軟體之損害上，或在處置與應變上有更多的彈性。而日本金融廳於2022年10月21日公布該份要點之官方翻譯版本，要點所提列之重點如下： 1.網路安全策略與框架（Cybersecurity Strategy and Framework）： 將因應勒索軟體威脅之措施，列入金融機關整體的網路安全策略與框架之中。 2.治理（Governance）： 支付贖金本身可能於法不容許，也可能違背國家政策或業界基準，金融機關須在事件發生前，檢視相關法規，並針對潛在的被制裁風險進行評估。 3.風險及控制評估（Risk and Control Assessment）： 針對勒索軟體之風險，應建立控制評估機制並實踐之。因此可要求金融機關簽訂保險契約，填補勒索軟體造成的損害。 4.監控（Monitoring）： 針對潛在的勒索軟體，金融機關有監控其活動進而發現隱藏風險之義務，並向執法與資通安全機關提供該惡意行為之相關資訊。 5.因應處置、回覆（Response）： 遭遇勒索軟體攻擊之事件，就其處置措施，須依原訂定之計劃落實。 6.復原（Recovery）： 遭遇勒索軟體攻擊之事件，將受損之機能復原，須有明確的程序並加以落實。 7.資訊共享（Information Sharing）： 須與組織內外之利害關係人共享勒索軟體之事件內容、資訊以及知識。 8.持續精進（Continuous Learning）： 藉由過往之攻擊事件獲取知識，以提高應變勒索軟體之能力，建立完善的交易環境。 此要點並非強制規範，因此不具拘束力，且整合了2016年G7所公布的「G7網路安全文件之要素」（G7 Fundamental Elements of Cybersecurity document）之內容。綜上述CEG所提列重點，針對我國金融機關在抵禦網路攻擊之議題上，應如何完善資安體制，與日本後續因應勒索軟體之政策，皆值得作為借鏡與觀察。