因應虛擬貨幣發展，日本內閣通過修法草案，允許創投基金得持有加密資產
日本經濟產業省（METI）2024年2月16日於官網公布，內閣已審議通過《產業競爭力強化法》（Act on Strengthening Industrial Competitiveness）、《投資事業有限合夥契約法》（Limited Partnership Act for Investment, LPS法）等法律修正案。修法目標係為驅動企業投資新創、促進新創事業發展，其中允許創業投資基金（Venture Capital Fund, VC）得持有加密資產（crypto assets）即為本次修法亮點之一。
根據本次《投資事業有限合夥契約法》修正案，加密資產將被增列到「投資事業有限合夥」（Investment limited partnership, Investment LPS）得收購和持有的資產清單中。實務上日本創投基金多依《投資事業有限合夥契約法》規定，採投資事業有限合夥之組織型態存在。故若修正案最終能落實，將使新創事業得以透過向創業投資基金發行加密資產之方式進行籌資，可以大幅提高「加密貨幣與區塊鏈領域」之Web3新創獲得國內創業投資基金投資的機會，有助於日本建立更強大的區塊鏈技術（Blockchain Technology）和去中心化金融（decentralized finance, DeFi）市場。
日本本次修法，同時兼顧保護投資者利益與金融創新，頗值得我國借鏡。我國金管會雖已相繼公布「虛擬通貨平台及交易業務事業防制洗錢及打擊資恐辦法」以及「管理虛擬資產平台及交易業務事業（VASP）指導原則」，惟相關規範尚未完成細節。金管會主委今年初（2024年1月30日）表示，將朝設置專法強化投資人保障及管理之方向進行委外研究，草案預計今年9月出爐。面對區塊鏈技術暨加密資產快速發展帶來的監理挑戰，我國應持續積極關注國際組織及各國主管機關之監理發展方向，以研擬合適之法制規範。
陳怡廷
法律研究員 編譯整理
〈「新たな事業の創出及び産業への投資を促進するための産業競争力強化法等の一部を改正する法律案」が閣議決定されました〉，経済產業省，https://www.meti.go.jp/press/2023/02/20240216001/20240216001.html（最後瀏覽日：2024/03/28）。
Japan moves to allow investment funds to hold crypto, THE BUSINESS TIMES, Feb. 19, 2024, https://www.businesstimes.com.sg/international/japan-moves-allow-investment-funds-hold-crypto (last visited Mar. 28, 2024).
Jared Kirui, Japan's Venture Capital Sector Nears Approval for Crypto Asset Holdings, Finance Magnates, Feb. 19, 2024, https://www.financemagnates.com/cryptocurrency/japans-venture-capital-sector-nears-approval-for-crypto-asset-holdings/ (last visited Mar. 28, 2004).
朱啟文，〈東京大學活用有限合夥組織制度扶植新創〉，資策會科技法律研究所，2015年09月，https://stli.iii.org.tw/article-detail.aspx?no=66&tp=3&i=94&d=7006（最後瀏覽日：2024/03/28）。
楊筱筠、廖珮君，〈虛擬資產專法草案Q3登場 金管會表示正在確認可行性〉，經濟日報，2024/01/31，https://money.udn.com/money/story/5613/7744146（最後瀏覽日：2024/03/28）。
解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
歐洲議會於2022年初通過數位服務法（DSA）歐洲議會（European Parliament）於2022年1月20日通過數位服務法（Digital Services Act），該法旨在監管線上服務提供者（online service providers），為線上服務接受者提供更安全線上空間，包含要求線上平臺應（1）打擊線上非法服務或內容；（2）提供通知並刪除/下架（notice and action）機制，不得有差別性或任意性對待；（3）提供無廣告追蹤（tracking-free ad）選項，和禁止將未成年人資料用於定向廣告（targeting advertising）；（4）對於線上平臺課以行政責任，如：超大型線上平臺（very large online platforms, VLOP）若故意或過失違反義務，最高罰鍰可被處以前一會計年度總營業額6%，或按日連續處罰最高可處前一會計年度平均每日營業額5％。若可能致危害生命或人身安全，主管機關亦可勒令其停止提供服務；（5）強制性風險評估和提高演算法透明度，以打擊有害內容（harmful content）和虛假資訊。 數位服務法所規範的服務主要有四種類型，四種服務提供者負擔累計義務（cumulative obligation），其中VLOP被賦予最多責任，因其對於散布非法內容並造成社會危害具有特殊風險，須具備風險減緩、獨立稽核等機制。相關服務定義如下： （1）中介服務提供（Intermediary Service）：提供網路基礎建設服務。 （2）託管服務提供（hosting service）：由服務接受者提供資訊並應其要求提供資訊儲存服務，例如：雲端儲存服務、網站主機代管等服務。 （3）線上平臺（online platform）：包含類型線上市集、應用程式商店、以及社群媒體平台。 （4）VLOP：每月平均歐盟境內活躍用戶達4500萬以上或人口10%之線上平臺。例如：Google、Facebook及YouTube。 此數位服務法草案最早在2019年年底提出，歐洲議會於今年投票通過後，尚待歐盟理事會（Council of the European Union）審查同意後，此法即正式發布施行。歐洲議會於審查所提出之修正建議，除針對前述五大重點外，還特別強調對於微中小型企業（MSMES）相關義務的免除，以及禁止線上平臺使用欺瞞（deceiving）或助推（nudging）方法影響消費者購物選擇。
美國環保署提出汽車廢氣排放新標準以加速電動汽車發展美國環保署（United States Environmental Protection Agency, EPA）為限制汽車廢氣排放污染物對環境造成的危害，根據美國《潔淨空氣法》（Clean Air Act, CAA）的授權，於2023年4月12日提出《2027年式輕型、中型商用車車型污染物排放標準》（Multi-Pollutant Emissions Standards for Model Years 2027 and Later Light-Duty and Medium-Duty Vehicles），以及《重型商用車溫室氣體排放標準－第三階段》（Greenhouse Gas Emissions Standards for Heavy-Duty Vehicles – Phase 3）這兩件汽車廢氣排放新標準，期加速電動汽車（Electric Vehicle, EVs）發展、加速潔淨交通轉型。 《2027年式輕型、中型商用車車型污染物排放標準》以及《重型商用車溫室氣體排放標準－第三階段》分別針對2027年到2032年所出廠的輕型商用車、中型商用車以及重型商用車的汽車廢氣排放標準做出更嚴格的新規範，預計將成為美國迄今為止最嚴格的汽車廢氣排放標準。目標是到2032年時，輕型商用車行駛每英里二氧化碳平均排放量下降至82公克，溫室氣體排放量相較於2026年車型年標準將減少56%；中型商用車行駛每英里二氧化碳平均排放量下降至275公克，溫室氣體排放量相較於2026年車型年標準則將減少44%。至於重型商用車，以重型拖曳機（heavy-haul tractors）為例，將從2027年車型年行駛每噸英里二氧化碳平均排放量48克，到2032年時下降至41公克左右。 根據這兩件汽車廢氣排放新標準，並未禁止化石燃料汽車的製造或銷售、亦未規範要求電動汽車的年製造量或年銷售量要達多少數量或比率，而是為汽車限定更嚴格的廢氣排放標準，因此，仍無疑地將迫使汽車製造商減少販售化石燃料汽車、加速推動電動汽車生產的腳步以符合新的排放標準規定。環保署預測汽車製造商在為符標準所採的相應作法之下將會大幅提高電動汽車在新車的銷售比率：到2032年時，電動汽車將佔輕型商用車新車銷量的 67%、中型商用車新車銷量的46%。而此累計可望到2055年時減少約100億噸的二氧化碳排放，相當於美國2022年二氧化碳總排放量的兩倍多。將有效減少有害空氣汙染、並大幅降低因空氣汙染所致的罹病風險以及過早死亡等危險。 藉由新的排放標準，將逐步淘汰化石燃料汽車的生產，加速潔淨交通轉型，有效應對氣候危機並提高全國各社區空氣品質。
韓國首爾高等法院部分駁回高通提出的行政訴訟韓國首爾高等法院第七行政庭（下稱：韓國高等法院）於2019年12月4日部分駁回高通對韓國公平交易委員會（Korea Fair Trade Commission，下稱：韓國公平會）提起的行政訴訟，高通仍需支付鉅額罰鍰。 韓國公平會於2016年12月28日，曾針對高通干涉數據機晶片組（Modem Chipset）的對手廠商之商業活動，進而破壞市場競爭一事，開出史上最高額的行政罰鍰共1.0311兆韓元。當時韓國公平會指出，高通的標準必要專利（Standards-Essential Patents, SEPs）授權不符合「公平、合理、非歧視原則」（Fair, Reasonable and Non-Discriminatory, FRAND），希望藉由開罰徹底矯正高通的商業模式，不讓高通透過該商業模式不合理地維持並擴張其數據機晶片的獨佔地位，進而壓迫數據機晶片業者（如：聯發科或英特爾）和手持裝置（Handset）業者。高通不滿韓國公平會之行政處分，逕向韓國高等法院提出撤銷行政處分之訴，並請求暫緩執行。然而，高通所提出的暫緩執行請求，於2017年11月27日即被韓國高等法院駁回。至於高通所欲提起的撤銷行政處分之訴，韓國高等法院則於本次駁回。 儘管韓國高等法院對韓國公平會的部分決議積極地表示贊同，並非照單全收，韓國高等法院於裁判要旨中指出：韓國公平會針對「全面性的專利組合授權」（Comprehensive Portfolio Licensing）請求矯正措施（Remedy）一事係屬違法，換言之，高通毋須逐一重啟授權談判。至於罰鍰和其他決議，韓國高等法院則認為有其合理性。