新加坡物聯網產品網路安全防護之初探

新加坡物聯網產品網路安全防護之初探

資訊工業策進會科技法律研究所
2023年06月30日

壹、事件摘要

近年物聯網(Internet of Things,簡稱IoT)產品蓬勃發展,伴隨著資通安全之威脅卻也日益加增,新加坡為此陸續訂定國內法規,以強化保障新加坡人民資訊流通之自由,並確立了網路安全標籤機制,藉以提高消費者對於物聯網產品資安的認識。另一方面,標籤制度能於消費者使用物聯網產品時,將產品受到不同層級之網路安全防護,或有別於一般用途使用等資訊,迅速傳達給消費者。據此,本文觀測新加坡近年主要的物聯網產品驗證制度與相關法規,供我國參考與借鏡。

貳、重點說明

一、新加坡物聯網網路安全法規

新加坡於2015年成立新加坡網路安全局[1](CSA),陸續為新加坡建立完善之物聯網產品網路安全防護機制,且新加坡於2018年訂定《網路安全法》[2],法案的第一部分已明示將「網路安全」列為實質保障內涵[3],並明訂須透過識別與分析威脅,以有效降低網路安全威脅帶來的風險。另為提高物聯網安全性,首先於亞太地區推出物聯網產品等級評估機制,即新加坡網路安全標籤機制[4](Cybersecurity Labelling Scheme, CLS),致力於保障新加坡的網路空間,並使消費者能夠識別符合網路安全規定之物聯網產品,以利消費者辨認選購。此外,CLS架構下設有驗證中心、通用標準以及標籤分級等措施,以強化物聯網產品資安防護為目的,也能落實《網路安全法》保障新加坡網路安全之精神。

(一)設置網路安全驗證中心[5](Cybersecurity Certification Centre, CCC):為驗證資安相關產品與服務之權責機關,透過CSA建置的驗證標準,成為新加坡企業採用資安產品之參考依據。

(二)建立通用標準(Common Criteria, CC):最初是由加拿大、法國、德國、荷蘭、英國與美國等多個國家安全標準組織聯合提出,以國際標準ISO/IEC 15408(Common Criteria for Information Technology Security Evaluation)作為替代其現有安全評估標準的通用標準。由於通用標準已於國際上受多國承認,資訊服務業者若經過相關驗證時,較易被新加坡企業採用。

(三)建立網路安全標籤機制(Cybersecurity Labelling Scheme, CLS):CSA針對智慧裝置推出網路安全標籤機制CLS,是以《網路安全法》做為上位精神而訂,但並不具強制力,而是以計畫推行之自願性認驗證機制。新加坡政府將物聯網設備根據其網路安全規定之級別進行評估分級,使消費者能夠識別符合較高等級網路安全規定的產品,並做出明智的決定。CLS共可分為4個等級(Level 1~4),第1級為產品滿足相關之基本要求(如密碼要求、提供軟體更新);第2級為該產品係使用安全設計原則進行開發(如進行相關之威脅評估、審驗程序);第3級為該產品經過第三方測試實驗室評估;第4級則經過第三方實驗室之滲透測試。此外,值得注意的是,新加坡亦與德國、芬蘭簽署備忘錄,以相互承認,也因此新加坡CLS網路安全標籤機制與德國的網路安全標籤制度(IT-Sicherheitskennzeichen)、芬蘭的網路安全標籤制度(Finnish Cybersecurity Label),可以進行互通使用。

參、事件評析

新加坡透對於物聯網產品之資安,透過訂定法規、成立權責機關與建立國際通用之標準與標籤機制,針對物聯網產品資安進行不同層次的保障。此外,採「驗證」方式保障人民生活不受網路威脅侵害,同時提高消費者對於物聯網產品資安之意識,可謂一舉數得之作法。而我國於物聯網產品發展以來,有政府以計畫支持「行動應用資安聯盟」提供相關物聯網產品之資安檢測認驗證標章,以供企業或消費者識別,物聯網產品經由實驗室檢測並由行動應用資安聯盟[6]審核通過後,核發合格證書及資安標章,並依照資安風險高低及安全技術實現複雜度,區分三個等級(L1~L3),分為適合一般家庭、商業用途與最高防護強度。於此認驗證機制下,已推出6項產品系列之驗證[7],並且採消費者導向之標章,足見我國政府同樣致力於提高消費者對於物聯網產品資安防護識別之意識;但此認驗證機制或有優化空間,今後可以參考新加坡作法,擴增可進行驗證的產品項目,持續提升保障消費者選購物聯網產品之資訊知悉權,同時可參酌國際上其他重點國家之風險評估方式,以系統性建置物聯網產品資安之風險評估通用標準,以確保該制度未來有機會被其他國家直接或間接承認,為國際接軌做準備,作為今後精進物聯網產品資安之目標,方可促使我國與國際產業鏈、海外市場逐步銜接,提升產業競爭力。

[1] 新加坡網路安全局CSA(Cyber Security Agency),隸屬於總理辦公室(Prime Minister’s Office, PMO),由新加坡通訊暨新聞部(Ministry of Communications and Information)管理,https://www.csa.gov.sg/,(最後瀏覽日:2023/6/30)。

[2] Cybersecurity Act 2018, Singapore Statutes Online, https://sso.agc.gov.sg/Acts-Supp/9-2018/Published/20180312?DocDate=20180312, (last visited June 30, 2023).

[3]Cybersecurity Act 2018, Part 1 PRELIMINARY, 2.—(1), (i)providing advice in relation to cybersecurity solutions, including—
(i) providing advice on a cybersecurity program; or
(ii) identifying and analysing cybersecurity threats and providing advice on solutions or management strategies to minimise the risk posed by cybersecurity threats.

[4] Cybersecurity Labelling Scheme (CLS), CSA, https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes/cybersecurity-labelling-scheme, (last visited June 30, 2023).

[5] SINGAPORE CSA, Certification and Labelling Schemes, About the Cybersecurity Certification Centre (CCC), https://www.csa.gov.sg/our-programmes/certification-and-labelling-schemes, (last visited June 30, 2023).

[6] 行動應用資安聯盟(Mobile Application Security Alliance),關於我們〈推動架構〉,https://www.mas.org.tw/about/background,(最後瀏覽日:2023/6/30)。

[7] 包含:影像監控系統、智慧巴士、智慧路燈、空氣品質微型感測裝置、消費性網路攝影機、門禁系統等項目。行動應用資安聯盟(Mobile Application Security Alliance),IoT Q&A〈聯盟負責的物聯網資安檢測認證項目有哪些?〉,https://www.mas.org.tw/iot/questAndAnswer,(最後瀏覽日:2023/6/30)。

你可能會想參加
※ 新加坡物聯網產品網路安全防護之初探, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=9061&no=55&tp=1 (最後瀏覽日:2026/03/15)
引註此篇文章
你可能還會想看
從歐盟、新加坡固網法規檢視台灣高速寬頻環境發展困境

中國大陸修定「網絡交易管理辦法」,課與第三方交易平台多項經營責任

  中國大陸國家工商行政管理總局為加強網路交易消費者保護,在2014年03月15日起實施「網絡交易管理辦法」,就企業經營者責任新設多項規定。特別是針對第三方交易平台業者,辦法要求其建立交易規則、消費資訊保存、不良訊息處理、消費糾紛調解管道等管理制度,以確保平台服務品質。同时要求平台業者建立審查制度,對申請進入平台從事經營活動之賣家,進行身分審查與建檔,透過以網管網,達成有效率的網路身分管理。   另外,為確保網路交易市場秩序、公平競爭,本辦法亦例示多項不公平競爭行為態樣,包括任意調整信用評價、傷害他人商譽等影響交易秩序之欺罔行為,皆受到明文禁止。甚至在商標侵權情況中,平台在接收到侵權通知時,必須積極採取必要措施,否則就因此損害擴大部分,將與侵權行為人共同承擔連帶責任。   考量在兩岸近期簽署之「海峽兩岸服務貿易協議」中,陸方已承諾對台開放「在線數據處理與交易處理業務」之電子商務網站經營,待將來協議完成相關程序生效後,台灣電子商務業者在進入大陸市場經營交易平台時,勢必受到本辦法規範,實應留意相關要求以避免觸法。

世界經濟論壇發布《人工智慧公平性和包容性藍圖》白皮書

  世界經濟論壇(World Economic Forum, WEF)於2022年6月29日發布《人工智慧公平性和包容性藍圖》白皮書(A Blueprint for Equity and Inclusion in Artificial Intelligence),說明在AI開發生命週期和治理生態系統中,應該如何改善公平性和強化包容性。根據全球未來人類AI理事會(Global Future Council on Artificial Intelligence for Humanity)指出,目前AI生命週期應分為兩個部分,一是管理AI使用,二是設計、開發、部署AI以滿足利益相關者需求。   包容性AI不僅是考量技術發展中之公平性與包容性,而是需整體考量並建立包容的AI生態系統,包括(1)包容性AI基礎設施(例如運算能力、資料儲存、網路),鼓勵更多技術或非技術的人員有能力參與到AI相關工作中;(2)建立AI素養、教育及意識,例如從小開始開啟AI相關課程,讓孩子從小即可以從父母的工作、家庭、學校,甚至玩具中學習AI系統對資料和隱私的影響並進行思考,盡可能讓使其互動的人都了解AI之基礎知識,並能夠認識其可能帶來的風險與機會;(3)公平的工作環境,未來各行各業需要越來越多多元化人才,企業需拓寬與AI相關之職位,例如讓非傳統背景人員接受交叉培訓、公私協力建立夥伴關係、提高員工職場歸屬感。   在設計包容性方面,必須考慮不同利益相關者之需求,並從設計者、開發者、監督機關等不同角度觀察。本報告將包容性AI開發及治理整個生命週期分為6個不同階段,期望在生命週期中的每個階段皆考量公平性與包容性: 1.了解問題並確定AI解決方案:釐清為何需要部署AI,並設定希望改善的目標變量(target variable),並透過制定包容性社會參與框架或行為準則,盡可能實現包容性社會參與(特別是代表性不足或受保護的族群)。 2.包容性模型設計:設計時需考慮社會和受影響的利益相關者,並多方考量各種設計決策及運用在不同情況時之公平性、健全性、全面性、可解釋性、準確性及透明度等。 3.包容性資料蒐集:透過設計健全的治理及隱私,確定更具包容性的資料蒐集路徑,以確保所建立之模型能適用到整體社會。 4.公平和包容的模型開發及測試:除多元化開發團隊及資料代表性,組織也應引進不同利益相關者進行迭代開發與測試,並招募測試組進行測試與部署,以確保測試人群能夠代表整體人類。且模型可能隨著時間發展而有變化,需以多元化指標評估與調整。 5.公平地部署受信任的AI系統,並監控社會影響:部署AI系統後仍應持續監控,並持續評估可能出現新的利益相關者或使用者,以降低因環境變化而可能產生的危害。 6.不斷循環發展的生命週期:不應以傳統重複循環過程看待AI生命週期,而是以流動、展開及演變的態度,隨時評估及調整,以因應新的挑戰及需求,透過定期紀錄及審查,隨時重塑包容性AI生態系統。   綜上,本報告以包容性AI生態系統及生命週期概念,期望透過基礎設施、教育與培訓、公平的工作環境等,以因應未來無所不在的AI社會與生活,建立公司、政府、教育機構可以遵循的方向。

臺商拓展海外市場之法規遵循-以印尼食品登記程序與清真認證為核心

臺商拓展海外市場之法規遵循-以印尼食品登記程序與清真認證為核心 資訊工業策進會科技法律研究所 法律研究員 詹喨嵎 2018年5月10日 壹、概說:臺商投資印尼食品業利基與困難   據統計,印尼包裝食品總銷售額在2012年為223兆印尼盾(約合新台幣4億7千萬元),直至2017年成長到390兆印尼盾(約合新台幣8億3千萬元) [1]。食品作為印尼民眾最主要的消費類別,約占一般家庭收入的53%,而快速即食的加工食品更占家庭收入的11% [2],顯見印尼食品市場所具有之龐大商機。此外,華裔印尼人雖僅占印尼總人口數之3%至4%,約700萬人上下,但仍是華人數量最多之非華語國家,且華人控制大部分印尼經濟,屬具有高消費能力之族群 [3]。近年來伴隨現代化通路如量販店、超級市場及購物中心逐漸普及,部分我國餐飲連鎖品牌如鼎泰豐、日出茶太,亦成功將具我國特色之餐點或飲品拓展至印尼市場,增加印尼當地對於我國食品的認識與接受度 [4]。故印尼食品業對於我國廠商而言,可說是極具利基之投資產業。   然而,我國廠商投資印尼食品業所會面臨的第一個困難,即是印尼食品進口、食品安全及相關認證的法規遵循問題。由於印尼對於本土產業的保護主義,包裝食品若未依法取得相關註冊號碼或進口准證,將無法進入印尼市場;另外基於宗教族群分布的特殊性,印尼具有龐大的穆斯林人口,故為了符合伊斯蘭教義的生活需求,亦有相關認證制度。本文以下將從印尼相關主管機關出發,分別介紹印尼食品進口販售最重要的食品登記程序(BPOM認證),以及拓展穆斯林國家市場所必須的清真認證制度。 貳、印尼食品登記程序 一、印尼食品藥物管理局(BPOM)簡介   印尼食品藥物管理局(Badan Pengawas Obat dan Makanan, BPOM,下稱印尼食藥局),其地位如同我國衛生福利部食品藥物管理署。依照印尼政府於2017年第80號總統令第2條之規定,作為職掌監督食藥之中央主管機關,印尼食藥局主要負責制定食品藥物之管理政策,亦對於食品藥物及相關有害物質的測試技術進行研究與指導[5]。   其管理食品藥物之客體包含:藥物、原料藥、成癮物質、傳統草藥、化妝品以及包裝加工食品[6]。若為家畜肉品、家禽、乳製品等未經加工、包裝之原料,則以農業部(Ministry of Agriculture)作為主管機關,並經不同之規範程序進口[7]。 二、食品登記程序簡介 (一) 法源與效力   印尼政府於2012年公布法律第18號之《食品法》,作為食品之一般性規範,食品法主要提供下述各食品管理面向之法律正當性:食品營養與消費、食品安全、食品標示與廣告、食品資訊系統等,並包含食品進口之基礎規定 [8]。惟如食品添加物、農藥殘留量、食品包裝與標示及食品登記註冊等具體事項要求,尚須遵守印尼衛生部、國家標準署及食藥局等有關機關所制定之法律、法規命令及國家標準[9]。   此外,為確保包裝食品符合印尼《食品法》的食品安全、品質、營養與標示規範,印尼食藥局基於《食品法》公布2016年第12號條例規範食品登記程序 [10]。未經食品登記之包裝食品,不得在印尼國內零售通路合法販售,故取得印尼食藥局之食品登記註冊號碼,可說是拓展印尼食品市場最基本的前提要件 [11]。又為了強化包裝產品之管控,2016年第12號條例進一步規定,即便是相同的食品,但零售包裝大小、標示設計、生產地址甚或進口商及經銷商若有不同,皆須重新申請登記[12]。 (二) 風險分級與基本程序   依照印尼食藥局規範,食品登記依其目的可分為三種類型:針對全新產品之「新登記」、涉及產品相關資料改變之「變更登記」及到期前為延長效期之「再登記」程序;另依食品風險等級高低,分成一般申請及快速申請程序[13]。   一般申請程序適用被認為具有較高風險、含有添加物或特殊營養成分之食品,例如孕婦專用食品、減肥食品等 [14]。申請人應備文件包含委任書(letter of appointment, LoA)、自由銷售證明(free sale certificate, FSC)、實驗室檢驗結果、印尼文之食品成分表及規格標示等文件。經過書面審核通過後,即可經線上申請系統取得效期五年之註冊號碼(ML number)[15]。   快速申請程序則限於少數被評估為具有一般或低風險之食品方得申請(例如罐頭食品),相較於一般申請程序,約可節省二個月左右之時間。無論採取何種程序或類型,有資格申請食品登記者,僅限印尼本土之進口商或經銷商,故如何選擇合格可信賴之當地業者合作,為我國廠商的重要課題。 (三) 其他要求:印尼國家標準(SNI)與食品進口准證(SKI)   透過前述食品登記程序取得註冊號碼之法律效果有二,一為使包裝食品取得零售端合法販賣之資格,二為進口包裝食品之必要標示。但特定食品如瓶裝水、即溶咖啡、麵粉等,尚須符合國家標準署制定之印尼國家標準(SNI),方能取得食品登記註冊號碼[16]。   此外,印尼食藥局為了確實掌握進口食品流向,於2017年第4號及第5號條例規定,包含加工食品、食品原料、食品添加物、相關食品配方等食品及相關產品。我國廠商若透過進口方式將食品輸入印尼市場,則必須在每一船運航次取得印尼食藥局之食品進口准證(SKI)[17] ,作為海關進口之前階段程序。食品進口准證係獨立於食品登記之外的另一程序,申請人必須提交包含進口人姓名、地址及產品名稱種類等內容之申請函、產品規格及完稅證明等相關聲明書,經過書面審核通過方可取得食品進口准證(SKI)[18]。 參、印尼清真認證 一、 清真認證簡介與印尼穆斯林商機   印尼全國總人口數為2億5千萬,其中超過2億人為穆斯林,約佔總人口數的85%以上,符合伊斯蘭國家合作組織(Organization of Islamic Cooperation, OIC)對穆斯林國家之定義。為了顧及國內廣大穆斯林教徒之需要,印尼屬於國際間較早推行清真認證制度者,原本由民間之印尼伊斯蘭宗教理事會(MUI)建立並實施清真認證制度,印尼政府於2014年通過公布第33號法律之《清真產品保證法》,已在2017年成立相關主管機關,將清真認證制度正式納入國家行政的一環 [19]。   所謂「清真(Halal)」,原意為合法的,代表符合伊斯蘭教法之事物,具體而言則指穆斯林於日常生活中不得接觸不潔之物,例如豬狗等雜食性動物、酒精及動物血液等[20]。特別是與身體直接接觸者如衣物、飲食、美妝,皆為穆斯林於生活中會特別注意是否符合伊斯蘭教法之產品 [21]。由於穆斯林生活方式所帶來的特別需要,加之現代加工食品種類及其他產品製程複雜,為了避免違反伊斯蘭教法,因此穆斯林多會選購經清真認證之產品,形成以穆斯林為目標客群的特殊商機,於穆斯林占絕大多數的印尼市場更是如此 [22]。 二、 清真認證程序簡介   目前東協國家如馬來西亞、印尼及新加坡,與中東海灣國家如阿拉伯聯合大公國等國有不同的清真認證制度,惟其基本精神皆在保障規範產品符合清真,僅於執行程序略有差異 [23]。   印尼之清真認證制度原以印尼伊斯蘭宗教理事會進行審查與證書核發。在2014年公布第33號法律《清真產品保證法》後,印尼政府並於2017年10月設立「清真產品認證局(BPJPH)」,並計劃相關法規命令修訂完成後,將由清真產品認證局進行認證 [24]。惟目前印尼清真認證程序仍依照印尼伊斯蘭宗教理事會(MUI)之制度,故以下介紹將以印尼伊斯蘭宗教理事會(MUI)之程序為主。   清真認證之產品範疇,主要是以穆斯林食用或接觸之產品為主,如肉品、加工食品、化妝品等,且認證範圍不僅限於製造過程,包含原物料、工廠設備、倉儲、物流甚至零售端賣場都必須符合清真要求,故清真認證係一套溯源驗證之制度 [25]。   在申請流程部分,無論是印尼國內外食品製造商,皆可於線上網站登記公司相關資料,上傳相關文件提供審查,並於繳交費用後,始可進入驗證最為重要的工廠實地檢查階段 [26]。在實地檢查階段,印尼伊斯蘭宗教理事會將會派遣教法與技術領域共兩名稽核員進行檢查,若是海外廠商,則須負擔相關交通及食宿費用,稽核員將檢查結果回覆給評議委員會,經審議通過後即可取得清真認證,每次認證效期為2年,到期仍須重新申請驗證 [27]。 肆、結語   拓展印尼食品市場,取得食品登記程序之註冊號碼為必不可少之前置作業,又若採取食品進口至印尼販售之商業途徑,另須依相關條例規範取得食品進口准證(SKI)並遵守後續海關進口程序。申請食品註冊號碼時必須注意,有資格申請者為印尼本土進口商或經銷商,故尋求合格可信賴之當地代理業者,並簽訂權利義務明確之商業合作契約,對於能否順利進入印尼市場實屬關鍵。若與不肖代理業者合作,又未簽訂可保障權益之契約,不僅可能無法進入印尼市場,甚或有商標等智慧財產權遭到搶註及商品被仿冒的隱患存在。   此外,印尼行政機關在執行上亦存有行政流程不夠透明及行政怠惰之問題。根據印尼當地台商之訪問調查,印尼行政流程緩慢,且不會主動通知受審文件是否缺漏,廠商往往必須就單一產品重複申請數次方能取得註冊號碼,且耗時達半年至一年以上 [28]。造成相當時間與金錢成本的損失,故廠商應在申請前明確瞭解須備妥之相關文件,節省行政流程之往返。   關於清真認證制度方面,目前無強制規定食品必須進行清真認證,始可在市場銷售,惟若取得清真認證,將可提升穆斯林消費者的購買意願。印尼政府於2014年公布第33號法律《清真產品保證法》,除了透過設立主管機關「清真產品認證局(BPJPH)」,將清真認證制度正式納入行政機關管轄外,影響更重大的即為「強制清真認證」規定。根據《清真產品保證法》相關規範,2019年後在印尼境內販賣、流通與交易之產品,包含食品飲料、化學產品及醫藥品等皆有進行清真認證之義務,若非屬清真亦應標示「非清真」,縱然是進口產品亦適用前述規範 [29]。然而強制清真認證的相關法規命令尚未修訂完成,且印尼國內亦有不同意見,有主張強制清真認證將對印尼相關產業造成嚴重打擊者,亦有認為影響不大 [30],目前並未有明確之發展方向 [31] ,惟對有意進入印尼市場的廠商而言,強制清真認證屬關鍵之法規遵循問題,其未來動向值得關注。 [1] 胡婉玲,〈食品進軍印尼 八個準備不能少〉,經濟日報,2018/03/18, https://money.udn.com/money/story/5612/3037116 (最後瀏覽日:2018/03/22)。 [2] 經濟部投資業務處編,《印尼投資環境簡介》,頁48,經濟部,2017年。 [3] 同前註,頁2。 [4] 同前註,頁56。 [5] 〈BPOM主要職掌〉,BADAN POM官方網站, http://www.pom.go.id/new/view/direct/job(最後瀏覽日:2018/4/20)。 [6] USDA Foreign Agricultural Service, Indonesia Food and Agricultural Import Regulations and Standards – Narrative (2017). [7] Id. [8] Id. , at 3. [9] 印尼食品進口法規簡介,行政院經貿談判辦公室, https://www.moea.gov.tw/Mns/otn/content/ContentDesc.aspx?menu_id=25481(最後瀏覽日:2018/4/20)。 [10] 同前註。 [11] European Union, The Food and Beverage Market Entry Hand book: Indonesia 28-31 (2016). [12] Supra note 6. [13] 同註9。 [14] Supra note 6. [15] Id. [16] 同註9。 [17] Supra note 6. [18] Id. [19] 同前註,頁5。 [20] 經濟部投資業務處,《印尼投資環境簡介》,頁56-60,2017年8月。 [21] 同前註。 [22] 同前註。 [23] 同註20,頁7。 [24] 同註22。 [25] 同註20,頁6。 [26] 同註22,頁61。 [27] 同註20,頁8。 [28] 〈印尼食品與藥物管理局(BPOM)簡介〉,優質平價新興市場資訊網, https://mvp-plan.cdri.org.tw/regulations;jsessionid=51E00524C4F5E47D6EE98246B3B9460A?panel=0(最後瀏覽日:2018/4/20)。 [29] LAW OF THE REPUBLIC OF INDONESIA NUMBER 33 2014 ABOUT HALAL PRODUCT CERTIFICATION §§4, 67. [30] 印尼伊斯蘭宗教理事會認為強制清真認證縱然會影響到部分中小企業,但對於規模較大之國際企業,進行清真認證並不會因成本而受到影響。 [31] 同註20,頁18-19。

TOP