美國及其他CRI成員共同發布國際反勒索軟體倡議聯合聲明，說明其關鍵成果與未來展望
美國及其他參與國際反勒索軟體倡議（International Counter Ransomware Initiative, CRI）之50個成員（含國家及國際組織），於2023年10月31日至11月1日召開第三次大會，並且發布聲明表示：應積極建立對抗勒索軟體之集體韌性（collective resilience）、共同合作降低勒索軟體之散布能力、追究相關行為人之法律責任、制裁非法資助勒索軟體之組織、與私部門合力防止勒索軟體攻擊。
CRI於2023年之關鍵成果主要可分以下三個面向：
一、加強資安管理能力
對CRI新成員提供指導及戰術培訓，例如由以色列督導約旦，以確保新成員之資通安全。此外，亦發起利用人工智慧打擊勒索軟體之計畫。
二、促進資訊共享
設立可即時更新之資訊共享平台，使CRI成員得以迅速分享資安威脅指標。如立陶宛之惡意軟體資訊共享計畫（Malware Information Sharing Project, MISP）、以色列及阿拉伯聯合大公國之水晶球平台（Crystal Ball platforms）。
三、反制勒索軟體使用人
CRI發布前所未有之共同政策聲明，闡明成員不應支付贖金，且創設成員間共享之加密貨幣錢包黑名單（blacklist of wallets），以便揭露勒索軟體使用人之非法帳戶，並公開與犯罪組織之金流紀錄。另，CRI於2024年起將持續致力發展前述聲明提及之目標，並優先向潛在成員進行宣導，透過提供量身訂做之資安應變能力培訓，滿足潛在成員之需求。
本文為「經濟部產業技術司科技專案成果」
鄒雅蓓
副法律研究員 編譯整理
International Counter Ransomware Initiative 2023 Joint Statement, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/statements-releases/2023/11/01/international-counter-ransomware-initiative-2023-joint-statement/ (last visited Dec. 20, 2023).
陳政陽，〈G7發布金融機關因應勒索軟體危脅之基礎要點〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8949&no=64（最後瀏覽日：2023/11/10）
經濟合作暨發展組織（簡稱經合組織、Organization for Economic Cooperation and Development,下稱 OECD）於今年6月30日表示「2019年已有近百個國家/地區進行了稅務資訊自動交換，使其稅務機關可以獲得其居民在海外所持有的8,400萬個金融帳戶的數據，涵蓋的總資產達10兆歐元。相較於2018年（交換了4,700萬個金融帳戶資訊，約5兆歐元）有了顯著增長。」且「共同申報準則（亦稱共同申報及盡職審查準則、Common Reporting Standard, 下稱CRS）要求各國和各司法管轄區每年自動交換其金融機構提供的非居民的金融帳戶資訊，以減少境外逃漏稅的可能性。許多發展中國家已加盟其中，預計未來幾年會有更多國家加入。」 OECD秘書長Angel Gurría亦表示「由OECD創建並由全球論壇管理的這種多邊交換制度，此刻正為世界各國（含發展中國家）提供大量的新資訊，使各國稅務管理部門能夠確保境外帳戶被正確申報。尤在目前COVID-19危機中，各國正籌集急需的收入，一個無處藏富的世界，此點遂至關重要。 事實上，我國財政部於2017年11月16日所發布（民國109年4月28日修正）之「金融機構執行共同申報及盡職審查作業辦法」(簡稱CRS作業辦法)，正是為了使我國接軌OECD發布及主導的CRS，藉由提高金融帳戶資訊透明度，據此與其他國家/地區進行金融帳戶資訊自動交換，以利我國與各國稅捐機關能正確且完整地掌握其境外納稅義務人的金融帳戶資訊。值得注意的是，我國第一波稅務資訊自動交換將於本年度9月份與我國32個稅捐協定國進行。
德國聯邦內政部提出「資訊科技安全法」(草案)，保障關鍵基礎設施及資訊安全德國聯邦內政部繼與德國聯邦經濟暨能源部與交通暨數位基礎設施部共同擬定之「數位議程2014 - 2017」(Digitale Agenda 2014 – 2017)政策裏，於本年8月19日提出資訊科技安全法(草案)(IT-Sicherheitsgesetz)。該草案的提出目的為保障德國公民與企業使用的資訊系統安全，特別是在全國數位化進程中，攸關國家發展的關鍵基礎設施。德國內政部長de Maizière在新聞發表會上，宣稱要讓德國成為全球資訊科技系統及數位基礎設施安全的先驅與各國的模範。除外，亦欲藉此強化德國資訊科技安全企業的競爭力，提升外銷實力。 該草案的主要對象係關鍵基礎設施營運者(Kritische Infrastrukturbetreiber)，例如在能源、資訊科技、電信、運輸和交通、醫療、水利、食品、金融與保險等領域的企業。「關鍵基礎設施」的定義並未涵蓋德國聯邦政府部門之間使用的數據通信系統。不過，究竟係在這些基礎設施領域的哪些企業該受到資訊科技法的約束，德國內政部將陸續與各相關部會研討後再以行政法規的方式明確表列出來。 關鍵基礎設施企業必須採取適當的保護措施以保障關鍵基礎設施的正常運行。所採取的保護措施可符合同業或同業公會裡所認可的最新資訊安全標準，且得符合一定的付出成本比例。不過衡量標準，最後還是得由德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)〉做認定。上述之企業需兩年內完成安全防護措施的設置。為防止電信系統非法入侵，該草案也修增德國電信法(Telekommunikationsgesetz)為施予電信業者更高的資訊安全防護標準。針對網際網路服務提供者(Internet Service Providers, ISP)也特別施加設置防範駭客攻擊的尖端防護措施義務。 關鍵基礎設施業者的資訊安全系統均須透過德國聯邦資訊安全局(Bundesamt für Sicherheit in der Informationstechnik, BSI)每兩年定期審核，若沒通過則會被要求依德國聯邦資訊安全局的標準去處裡該安全漏洞。 若是上述業者的資訊安全系統有受損，並且可導致關鍵基礎設施的故障或損毀，該企業需通報德國聯邦資訊安全局，且該記錄可匿名化。但是，若是因駭客攻擊直接導致關鍵基礎設施的故障或損毀，該企業則需立即通報德國聯邦資訊安全局，不可匿名。
歐盟正式通過資料治理法（DGA），歐盟資料共享發展跨出一大步歐盟理事會（Council of the European Union）於2022年5月16日正式通過了資料治理法（Data Governance Act, 簡稱DGA），本法是歐盟執委會（European Commission）於2020年11月提案，經過一年多的意見徵詢與協商，歐盟議會（European Parliament）於今（2022）年4月6日以501票贊成通過，隨後由歐盟理事會通過公布，本法預計將於2023年8月正式生效。 DGA包含幾大面向，除了針對資料中介服務（data intermediation）、資料利他主義（data altruism）、歐盟資料創新委員會（European Data Innovation Board）等機制建立的規定外，在第二章特別針對公部門所持有之特定類別資料的再利用（reuse）進行規定。當公部門持有的資料涉及第三方受特定法律保護的權利時（如涉及第三方之商業機密、智慧財產、個資等），本法規定公部門只要符合特定條件下可將此類資料提供外界申請利用；若為提供符合歐盟整體利益的服務且具有正當理由和必要性的例外情況下，得授予申請對象專有權（exclusive rights），但授權期間不得超過12個月；歐盟應以相關技術確保所提供資料之隱私和機密性。 再者，各會員國應指定現有機構或創建一個新機構擔任提供上述資料類型的單一資訊點（Single Information Point, SIP），以電子方式公開透明地提供資料清單，包含可申請利用之資料的來源及相關描述（至少包含資料格式、檔案大小、再利用的條件等），以提供中小企業、新創企業便利、可信的資料查詢管道。此外，歐盟執委會應建立一個單一近用點（Single Access Point, SAP），提供一個可搜尋公部門資料的電子登記機制（a searchable electronic register of public-sector data），讓使用者得直接搜尋各會員國單一資訊點（SIP）中所提供的資料及相關資訊。 DGA是歐盟2020年2月發布歐盟資料戰略（European Data Strategy）後的第一個立法，歐盟希望透過本法建立一套能提升資料可利用性和促進公私部門間資料共享的機制，以創造歐盟數位經濟的更高價值。 「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
奈及利亞申請加入CBPR（跨境隱私規則體系），加強跨境傳輸及資料保護實力2025年4月30日，奈及利亞個資保護委員會（NDPC, Nigeria Data Protection Commission）的國家委員兼首席執行官Vincent Olatunji博士，在非洲資料保護機構網路（The Network of African Data Protection Authorities, NADPA）年會前的媒體發布會上宣布，奈及利亞已申請成為全球跨境隱私保護規則（Global CBPR, Global Cross-Border Privacy Rules）論壇的準會員（associate member），若申請通過，奈及利亞將成為非洲第二個加入全球CBPR論壇( Global CBPR Forum )的國家。 Olatunji博士提及：奈及利亞資料保護法已在奈及利亞的資料保護及隱私領域開闢了10億美元的商機，顯著提高該國的國內生產總值（Gross Domestic Product, GDP）因此，申請加入CBPR論壇將會成為達成Tinubu總統欲將奈國發展為3兆美元的數位經濟體的願景的重要一步。 Olatunji博士進一步指出：成為CBPR論壇會員將會促進跨境的資料流動，並且可以同時保障公民隱私權及國家的資料主權，而奈及利亞資料保護法為此類國際合作提供了堅實的法源基礎。加入CBPR論壇為奈國國內的組織在跨境資料傳輸方面提供更多的選擇，同時也確保奈及利亞資料保護法規範底下，可以更完善地落實個人資料的保護措施。 美國駐奈及利亞大使館代理副大使Christine Harbaugh稱讚奈及利亞申請成為CBPR準會員是重要里程碑，展現了該國在全球數位經濟的領導地位，並且高度肯定奈及利亞在數位成長及轉型方面的進步。 申請加入CBPR論壇，展現奈及利亞對於資料保護政策與國際接軌的決心，有望提高未來奈國在非洲資料保護及隱私領域的話語權。