日本經產省發布《促進資安攻擊受害資訊共享檢討會最終報告書》，以加速資安情資共享
日本經濟產業省（下稱經產省）於2023年11月22日發布《促進資安攻擊受害資訊共享檢討會最終報告書》（サイバー攻撃による被害に関する情報共有の促進に向けた検討会の最終報告書），主張共享資安攻擊受害資訊，掌握資安攻擊全貌，防止損害範圍擴大。經產省提出具體建議如下：
1.促進各專門組織間之資訊共享：藉由專門組織間的資訊共享，及早採取適當因應措施，避免損害持續擴大，並降低受害成本。所謂專門組織包含資安廠商、資安監控中心(Security Operation Center, SOC)營運商、防毒廠商，與依法令成立從事資安事件諮詢與分析之非營利組織，例如：一般社團法人日本電腦網路危機處理暨協調中心（一般社団法人JPCERTコーディネーションセンター），以及一般財團法人日本網路犯罪對策中心（一般財団法人日本サイバー犯罪対策センター）等。
2.共享無從識別受害組織之資訊：為加快資訊共享，經產省建議將資料去識別化至無從識別受害組織之程度，即可不經受害組織同意而共享資訊。
3.提出《攻擊技術資訊處理與活用指引草案》（攻撃技術情報の取扱い・活用手引き（案））：為提升專門組織共享資訊成效，經產省於指引中彙整受害組織資料去識別化作法，以及各專門組織間共享攻擊技術資訊之具體策略。
4.於保密協議中加入免責條款：經產省建議於受害組織與專門組織簽訂之保密協議中，加入專門組織免責條款，使專門組織具有利用或揭露攻擊技術資訊裁量權，對於利用或揭露資訊，致生受害組織被識別等損害時，非因故意或重大過失不須負擔法律責任，以利推動資訊共享。
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
鄭岱宜
法律研究員 編譯整理
〈産業サイバーセキュリティ研究会「サイバー攻撃による被害に関する情報共有の促進に向けた検討会」の最終報告書等を取りまとめました〉，経済産業省，https://www.meti.go.jp/press/2023/11/20231122002/20231122002.html（最後瀏覽日期：2023/12/21）。
陳政陽，〈新加坡物聯網產品網路安全防護之初探〉，科技法律研究所，2023/10，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9061&no=64（最後瀏覽日︰2023/12/21）。
鄭岱宜，〈日本經產省發布中小企業開發IoT機器之產品資安對策指引〉，科技法律研究所，2023/10，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9063（最後瀏覽日︰2023/12/21）。
2016年11月8日印度新德里（New Delhi），在英國首相德蕾莎‧梅伊（Theresa May）及印度總理納倫德拉‧莫迪（Narendra Modi））見證下，由英國智慧財產局（UK Intellectual Property Office；簡稱UK IPO）及產業政策與推廣部（Department of Industrial Policy and Promotion）共同簽署智慧財產權備忘錄。 雖然學術上就智慧財產權之保障強度，對於促進創新領域是否具有正面效益，似乎仍然是意見分歧，反思者主要論點在於模仿或抄襲對於某些產業發展，如：時尚設計、金融產品或程式開發等，反而有益於保持源源不絕之創造力，甚且適度開放更有促進市場競爭與減少社會成本，如：避免專利蟑螂崛起或企業壟斷，其中著名案例就是Linux；然而，雖有前述反思浪潮，但目前國際間仍是普遍相信藉由協議或備忘錄形式，試圖架構完善且強健之智慧財產權保護體系，維護權利人之權益，將有助於提升企業或一般民眾投入創新領域之意願。此番論點可見諸於英國所指派至印度擔任高級專員之多米尼克‧阿斯奎斯（Dominic Asquith），即是認為英國與印度簽署智慧財產權備忘錄，對於兩國創新及創意領域之發展，具有高度重要性。 針對該備忘錄之重點，內容摘錄如下： 1、相互交流智慧財權領域管理優化方式，如：簡化專利、商標、工業設計之註冊處理流程。 2、技術交流，此包括主管機關支援及智慧財產權紛爭之司法替代方案。 3、宣傳活動，此含有智慧財產權評價與維護之業務諮詢。 4、針對公眾舉行教育活動，以提高其對智慧財產權之認識與尊重。
歐盟網路與資訊安全局發布「行動支付與電子錢包安全防護」報告為因應探討並強化網路安全環境，歐盟網路與資訊安全局（European Union Agency for Network and Information Security , ENISA）2016年12月發布「行動支付與電子錢包安全防護」研究報告（Security of Mobile Payments and Digital Wallets）。歐盟網路與資訊安全局ENISA主要係因，近來行動支付興起，利用行動支付方式買賣貨品，係象徵著朝向數位化轉換趨勢，消費者希望透過更便捷的方式購物避免帶著實體錢包和一堆卡片，增加購物的不便。但是使用電子錢包和行動支付並非全然沒有安全疑慮，根據2015年的一項調查，有百分之20的美國消費者對於行動支付的過程中可能遭到有心人士擷取個人資料，這就表示此乃使用行動支付的主要擔心重點，有13%使用者擔心自己的電話遭到駭客入侵。此外根據另一項調查，針對九百名資安專家所做的調查顯示，僅有23%的的人員認為目前現有的安全機制足以防範個資外洩，但有47%的人員認為現有的機制缺乏安全性，但當中也有百分之30的回覆認為現在的安全機制是否安全不能確定。因此，目前而言，安全防護可謂是消費者最關心的重點，且對於安全的疑慮亦使得行動支付沒有辦法大量推行採用。 因此歐盟網路與資訊安全局ENISA於此報告提出了目前經確認的主要威脅有： 行動用戶的安全威脅：任意裝設惡意軟體、釣魚軟體、社交工程軟體。 行動設備威脅：行動設備遭竊或遺失與不當近用。 行動支付與電子錢包威脅：逆向工程、竄改支付軟體、使用在滲透到系統之後，會隱藏登錄項目、檔案或處理序等資源的一種軟體。 消費者威脅：POS惡意軟體、MiTM、重放攻擊。 付款服務提供者威脅：付款系統與資料連結崩潰的疑慮。 支付網路提供者威脅：代碼服務崩潰、拒絕服務。 發行商威脅：付款授權流程崩潰與代碼資料崩潰。 行動支付軟體提供者威脅：機敏個資外洩、雲端客戶資訊管理遭到入侵、代碼服務拒絕。 因此有鑑於行動支付產業目前仍在新興階段，欠缺明確標準，業者間的自主管理顯得相當重要，所以網路與資訊安全局ENISA提出了一些得以遵循的建議與標準： 消費者在使用行動支付的服務軟體時，必須採取多項最低安全防護措施。 行動主機提供業者應該確保軟體定時更新，並且修補安全上的漏洞，針對安全性與近用用戶資料的可能性部分加強。 行動支付的應用程式提供者，應該再提供服務給消費者時，同時提供消費者資訊，本應用軟體做了何種安全防護，供消費者知悉。 行動支付業者應當建立詐騙監控機制。 網路與資訊安全局ENISA提出上述建議與標準，主要係希望業者採用這樣的標準或好習慣的建議後，可以對於消費者、零售商、銀行等業者產生益處。
歐盟執委會發布《歐盟晶片調查報告》提出四點發現以利未來晶片法相關計畫制定歐盟執委會（European Commission）於2022年8月2日發布《歐盟晶片調查報告》（European Chips Survey Report，下稱調查報告），調查結果顯示業界至2030年為止，對晶片之需求將倍數成長。調查報告於2022年2月啟動，其目的在收集有關晶片和晶圓（wafer）現行及未來需求的初步資訊，作為了解晶片供應危機對歐盟產業影響的第一步。調查報告總共收到141份來自半導體供需雙方廠商之回饋意見，其中有54.9％來自大型企業、17.3％來自中型企業、19.5％來自小型企業、8.3％來自微型企業。調查報告對上述意見進行分析，以提供來自半導體價值鏈洞察與預測的觀點。 調查報告主要包括以下四點： （1） 預計2022年至2030年間晶片需求將倍增，未來對領先半導體技術的需求將顯著增加。 （2） 在選擇製造地點時，建立新晶片製造設施的公司將著重合格的勞工及遵循政府法令。 （3） 供應危機影響所有生態系統，預計至少會持續到2024年，迫使企業採取代價較高的緩解措施。 （4） 半導體研發資金主要與供應方相關，但補助計畫（support initiatives）也與需求方相關。 2022年2月8日歐盟執委會提出《歐盟晶片法草案》，旨在處理半導體短缺以及加強歐洲技術領先地位。隨著歐洲半導體專家小組開始研究監控與盤點架構，調查報告的結果可以協助制定《歐盟晶片法草案》與相關計畫。
簡介「歐洲共同資料空間」簡介「歐洲共同資料空間」 資訊工業策進會科技法律研究所 2022年09月30日 壹、前言 歐盟為促進數位經濟的發展，於2015年5月發布「數位單一市場(Digital Single Market)」政策，並指出資料(data)對於發展數位經濟的重要性 [1]。經過了5年的規劃，歐盟於2020年2月發布了「歐洲資料戰略(European Data Strategy)」，勾勒出建立歐洲「單一資料市場(single data market)」的具體措施與進程。 歐盟執委會(European Commission)在「歐洲資料戰略」中指出，為確保歐洲數位經濟的競爭力，應採取相關措施創造一個有吸引力的市場環境，其目標就是建立「歐洲共同資料空間 (Common European data space)」[2] 。本文以下將介紹「歐洲共同資料空間」的發展背景與現況。 資料來源：作者自繪 圖一 「歐洲共同資料空間」的政策發展脈絡 貳、「歐洲共同資料空間」的發展背景 一、源起 歐盟期待能建立一個真正單獨且對全世界開放的資料市場，各類資料能安全地存放其中，企業可輕易地近用高品質的產業資料，以加速企業的成長並創造更高的經濟價值[3]。在此資料空間中，資料的使用需要符合歐盟的法規，且所有資料驅動(data-driven)之服務和產品應符合歐洲「數位單一市場」的規範。因此，歐盟陸續制定相關法律和標準，建設相關基礎設施，期望能促進更多的資料在歐盟境內儲存和處理[4] 。歐盟執委會初期以「歐洲開放科學雲(European Open Science Cloud, EOSC)」的經驗為基礎[5] ，聚焦9個重點產業領域發展資料空間，其介紹如下表： 表一：「歐洲共同資料空間」9個重點產業領域 產業/領域 發展資料空間的目標 1 工業/製造業資料空間 挖掘「非個人資料」的潛在價值，以強化歐盟工業的競爭力，預計在2027年可以創造1.5兆歐元的產值 2 綠色協議(Green Deal)資料空間 支持氣候變遷、循環經濟、零污染、生物多樣性等行動 3 交通移動(Mobility)資料空間 強化運輸和交通移動資料庫的近用、整合、共享，確保歐盟的智慧運輸系統在全球的領先地位。 4 健康資料空間[6] 提升疾病預防、檢測、治療的發展，促進實證醫學發展的加速 5 金融資料空間 提升金融領域的資料共享、創新、市場透明度、永續金融 6 能源資料空間 透過安全和可信任的方式進行跨部門的資料共享，提升資料的可利用性，促進低碳的落實 7 農業資料空間 透過對農業生產等資料的分析，提升農業部門的競爭力。 8 公行(Public administrations)資料空間 提高政府支出的透明性和問責，強化政府科技、法遵科技、法律科技的應用 9 技能(Skills) 資料空間 降低教育培訓體系和勞動市場需求的落差 資料來源：整理自歐盟執委會2022年2月發布的工作報告 二、設計原則 歐盟執委會原訂於2020年第4季提出「歐洲共同資料空間」的具體規劃，但進度有所延遲。2021年3月歐盟理事會（European Council）認為需要加速建立共同資料空間，並請歐盟執委會說明各產業領域資料空間的進展及未來需要採取的必要措施。[7] 根據歐盟執委會2022年2月出版的工作報告指出，所謂的資料空間可以定義為相互信任夥伴間的一種資料關係，參與夥伴在儲存和共享資料時必須適用相同的標準和規則[8]。此外，在資料空間中，資料並非中心化儲存，而是儲存在其來源處，只有在必要時才會透過語義互操作性（semantic interoperability）共享資料[9]。而「歐洲共同資料空間」將根據以下的原則進行設計[10]： 1.資料控制（Data control） 資料空間可以促進資料工具的開發，以彙集、近用、使用、共享各種類型的資料。資料持有者可使用這些資料工具，簡化資料上傳的流程、授予或撤銷其資料授權、更改資料近用權限等。 2.治理（Governance） 建立適當的治理結構，確保以公平、透明、符合比例、非歧視的方式，近用、共享、使用資料，此治理結構應遵守歐盟現有的相關規範，如《非個人資料自由流通框架（Framework for the Free Flow of Non-Personal Data in the European Union）》、《歐盟一般個人資料保護規則（GDPR）》、等。 3.尊重歐洲的規範和價值觀（Respect of EU rules and values） 資料空間應遵守相關的歐盟法律框架，如GDPR、網路安全、基本權利、環境保護、競爭法、歐盟關於提供資料服務相關的規則等；此外，應採取適當的技術和法律措施，防止未經授權的資料近用。 4.技術基礎設施（Technical data infrastructure） 鼓勵資料空間之參與者使用共通的技術基礎設施，並整合網路安全的設計原則，建構能確保資料彙集、近用、共享、處理、使用之安全和隱私保護的基礎設施。 5.互連接性及互操作性（Interconnection and interoperability） 為避免資料碎片化(fragmentation)、整合成本過高、產生資料孤島等問題，「歐洲共同資料空間」參考國際標準、歐洲空間資料基礎設施(INSPIRE[11]) 、FAIR原則[12]，強化資料空間的互操作性，並透過歐盟運算基礎設施[13]共享和近用資料，以達到相互連接和互相操作。 6.開放性（Openness） 只要願意遵守歐盟規範、尊重歐洲價值觀的使用者都可以利用「歐洲共同資料空間」。開放性將有助於創造不同產品和不同服務提供商間的競爭，避免因產品或服務製造商的特定協定(protocols)產生鎖定效應（lock-in）。 三、近期整體發展 首先，歐盟執委會強調，由於「歐洲共同資料空間」涉及各產業領域，每個產業領域都有其特性；即便是同一產業中，所涉及之利害關係人多元，其資料需求也會不同。因此，為避免對特定產業領域正在發展之資料共享解決方案產生影響，歐盟將著重於建立各產業共通的技術基礎設施和資料治理框架[14]。根據2022年5月歐盟正式發布的《資料治理法(Data Governance Act) 》，第六章中規定未來將成立「歐洲資料創新委員會(European Data Innovation Board, EDIB)」；依據該法第30條的規定，EDIB的任務之一是制定促進「歐洲共同資料空間」的指引，內容包含建立跨產業領域資料共享的標準、強化互操作性等[15]。 其次，根據歐盟執委會2022年8月出版的調查報告指出，截至2022年上半年為止，歐盟關於資料空間徵案的結果，主題不僅有最初規劃的9個產業領域[16]，還擴及智慧城市、文化資產、媒體、財政、語言、旅遊、公部門採購與安全執法等產業領域[17]。此外，與這些產業領域相關的公部門開放資料集部分已經編目並放在歐盟data.europa.eu[18]的網站上，譬如該網站上目前有48,000筆關於交通運輸的資料集，未來可能對於「交通移動」領域資料空間的建立有幫助[19]。 再者，歐盟執委會為了瞭解歐洲目前所有資料空間的發展現況，以國際資料空間協會（International Data Spaces Association, IDSA）的「國際資料空間雷達(International Data Space Radar)」、歐洲非營利組織所倡議的「歐洲雲和資料基礎架構專案(Gaia-X)」、「歐洲工業數位化開放平臺（Open DEI）」為調查對象。根據研究結果，這3個組織目前共有151個和資料空間有關的計畫或措施，但其中僅只有21個使用了開放資料，且僅19個計畫有公部門參與其中[20]。歐盟執委會認為開放資料社群和各國公部門長期以來，在推動開放資料與建立開放資料標準已經累積一定的經驗，未來可以對「歐洲共同資料空間」提供更多的建議[21]。 最後，歐盟執委會將「歐洲共同資料空間」的利害關係人區分為四大類別，包含核心參與者、中介者、軟體/服務提供商、治理機構，並選定相關人士進行訪談，以聚焦「歐洲共同資料空間」未來的推動方向。根據訪談結果，所有受訪者皆指出目前「歐洲共同資料空間」發展的一個重大問題，亦即缺乏完整的資料集目錄。因此，受訪者建議未來「歐洲共同資料空間」的重點可放在發展資料集目錄[22]。 參、結論 從上述的整理可以發現，歐盟相當有系統性地推動「歐洲共同資料空間」，期待透過不同產業領域資料空間的互相連接，強化資料近用和互操作性，在促進資料共享和使用的同時，亦充分保護個人與企業的資料權利[23]。雖然歐洲各產業領域的資料空間仍在持續發展，但歐盟對於發展資料經濟的政策規劃，不管在基礎設施的建設、標準化的制定、法制面的配套，都值得我國持續關注。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1] A Digital Single Market Strategy for Europe, at 14-15, COM (2015) 192 final (May. 6, 2015). [2] A European strategy for data, at 4, COM (2020) 66 final (Feb. 19, 2020). [3] id. at 4-5. [4] id.. [5] 關於「歐洲開放科學雲」的介紹可參考蔡立亭 ，〈論臺灣科研資料治理機制推行之模型－以歐洲開放科技雲為例〉，《科技法律透析》，第33卷第5期，頁21，（2021）。 [6] 關於「歐洲健康資料空間」近期的發展可參考施雅薰，〈歐盟執委會發布「歐洲健康資料空間」規則提案，旨在克服健康資料利用之障礙〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=1&d=8858（最後瀏覽日：2022/09/27）。 [7] European Commission, Commission Staff Working Document on Common European Data Spaces 1（2022）。 [8] European Commission, data.europa.eu and the European Common Data Spaces 6（2022）。 [9] id. at 2. [10] European Commission, supra note7, at 3-4. [11] 關於「歐洲空間資料基礎設施」的介紹請參考INSPIRE KNOWLEDGE BASE，https://inspire.ec.europa.eu/(last visited Sep. 26, 2022). [12] Fair原則是可查找(Findable)、可近用(Accessible)、可相互操作(Interoperable)、可再使用(Re-usable) 的英文縮寫，相關介紹可參考GO FAIR，https://www.go-fair.org/fair-principles/(last visited Sep. 26, 2022). [13] 如歐洲雲服務或歐洲高效能運算(HPC)。 [14] European Commission, supra note7, at 4-5. [15] id. at 29-30. [16] 關於這9個產業領域2021-2023年間的規劃進度可參考European Commission, supra note 7, at 41-42. [17] European Commission, supra note 8, at 7. [18] 該網站設立於2021年4月，是整合European Data Portal及EU Open Data Portal兩個網站而成立。 [19] European Commission, supra note 8, at 8. [20] id. at 13. [21] id. at 5. [22] id. at 18. [23] European Commission, supra note 7,. at 2.