美國商務部產業安全局對半導體成熟節點晶片的使用進行評估調查
美國產業安全局（Bureau of Industry and Security，下稱BIS）於2024年1月18日，針對直接或間接支持美國國家安全和關鍵基礎設施，全面評估供應鏈中成熟節點半導體設備的使用情況。本次調查將根據《1950年國防生產法》（Defense Production Act of 1950）第705條進行，以評估在美國關鍵產業（如電信、汽車、醫療設備和國防工業基地）的供應鏈中使用由中國公司生產的成熟節點晶片的程度和影響力。
BIS同時提供常見問答予各界參考，主要包括如下內容：
（1）本次評估調查為一次性的資訊蒐集；不排除未來也可能依指示再次進行類似的評估。
（2）本次評估將提供後續政策制定的參考，以加強半導體供應鏈，促進傳統晶片生產的公平競爭，並降低中國對美國帶來的國家安全風險。
（3）自1986年以來，BIS已就造船、戰略性材料、太空和航空、火箭推進、彈藥和半導體等廣泛項目進行過約60多項評估以及150多項調查。
（4）商務部可能會公開一份主要調查結果的摘要說明。
（5）本次評估並非根據《2021年國防授權法案》（National Defense Authorization Act for Fiscal Year 2021，即俗稱之《晶片法》）第9902節規定進行。個別對調查的答覆不會影響申請《晶片法》或其他政府資助的資格或考量。
（6）本次評估並非BIS對於高階運算晶片規範的一部分，而是著重成熟節點或傳統晶片的舊技術。
本文為「經濟部產業技術司科技專案成果」
陳奕夫
專案經理 編譯整理
Bureau of Industry & Security, BIS Deploys Assessment On The Use Of Mature-node Chip (2024), https://beta.bis.gov/press-release/bis-deploys-assessment-use-mature-node-chip (last visited Apr. 29, 2024).
吳彬詣，〈歐盟啟用半導體供應鏈示警系統，監測各成員國半導體供應鏈狀況〉，資訊工業策進會科技法律研究所，2023年6月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9007&no=64（最後瀏覽日：2024/04/29）。
許祐寧，〈美國商務部提出CHIPS護欄條款，對受補助者實施限制以維護國家安全〉，資訊工業策進會科技法律研究所，2023年6月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8992&no=64（最後瀏覽日：2024/04/29）。
瑞士洛桑國際管理發展學院（International Institute for Management Development, IMD）於2022年6月15日公布《2022年世界競爭力年報》（IMD World Competitiveness Yearbook）（以下簡稱本報告）。本報告以「經濟表現」（Economic Performance）、「政府效能」（Government Efficiency）「企業效能」（Business Efficiency）和「基礎建設」（Infrastructure）四大指標（含333項子標）評比63個經濟體。評比結果：全球競爭力前5名依序為丹麥、瑞士、新加坡、瑞典與香港；而其他重要經濟體之排名，如臺灣第7、美國第10、中國第17、南韓第27與日本第34。 丹麥34年來首次位列第一，去（2021）年居首的瑞士則跌至第2名。究其原因，丹麥因公共債務與政府赤字的減少，其「經濟表現」大幅提升。至於新加坡，雖於2019年與2020年皆居於榜首，去年則滑落至第5名。對此，IMD主管Arturo Bris表示，新加坡嚴格的防疫政策，限制了國際服務與人員流動，致使去年的全球競爭力排名下滑。然新加坡今年排名上升係因「經濟表現」強勁，其「國內生產總值」增長，「國內經濟」、「國際貿易」和「科技基礎建設」等子標皆位居全球第一，但「經營管理」卻排名第14、「科學基礎建設」排名第16、「健康與環境」更排名第25，仍處於相對較後的位置。若欲提升排名重回榜首，新加坡政府需設法應對外部經濟發展所帶來的挑戰（如全球供應鏈中斷、商品價格上漲等）、協助仍受COVID-19疫情影響的行業復甦經濟，並幫助企業走向低碳未來等永續發展方面作改善。 而我國，由去年第8名進步至今年第7名，突顯我國在全球COVID-19疫情肆虐之情況下，整體競爭力仍獲國際肯定。政府亦將以本報告之評比結果為鑒，協助企業加強全球布局，並積極推動前瞻基礎建設、六大核心戰略產業、2050淨零排放等產業轉型升級，期盼能持續提升我國競爭力。
韓國公布監理沙盒施行半年成果報告 將加強社會共識與區域衡平發展韓國政府在今（2019）年1月立法施行四種監理沙盒機制（규제샌드박스），包含「金融監理沙盒」、「資通訊（ICT）監理沙盒」、「產業融合監理沙盒」及「地方專業化特區」機制，於施行半年後在同年7月16日公告成果報告，未來監理沙盒將加強尋求社會共識與區域衡平發展。 韓國為推動「製造業創新3.0」（제조업혁신 3.0）政策，強化產業創新與競爭力、重點發展人工智慧及物聯網，並打造友善法制環境來減少監管障礙。因此以鬆綁法規與鼓勵創新為目的，由韓國國務總理室於2018年初統籌各相關部會機關規劃全國性之監理沙盒機制，而於同年年底國會修正通過以下法律，泛稱「管制創新五法」（규제혁신 5법）： 《資通訊融合法》（정보통신융합법），由「科學技術資訊通訊部」主管，建立「ICT監理沙盒」，鬆綁資通訊相關規範為主要範圍。 《金融創新支援法》（금융혁신지원 특별법），由「金融委員會」主管，建立「金融監理沙盒」，作為金融規範鬆綁之依據。 《地區特區法》（지역특구법），由「中小企業創業部」主管，主要由地方政府提出並建立具地方特色的專業化特區，如共享經濟特區、能源特區等，透過特區鬆綁地方與中央法規，由地方政府主導、中央協助推動當地產業發展。 《產業融合促進法》（산업융합 촉진법），由「產業通商資源部」主管，就前述以外之產業建立監理沙盒機制。 《行政管制基本法》（행정규제기본법은），鬆綁上述四個監管與行政程序相關法律。 在施行半年以來，成果顯示已受理81件申請案例，企業規模以中小企業佔80%為大宗，而申請之產業領域多集中於金融科技領域（46%）、其次為非特定領域（32%）、資通訊領域（22%），並以共享經濟、區塊鏈、大數據、物聯網、人工智慧、虛擬實境（VR）、5G等創新產品或服務為主。在申請時程上，從受理案件至批准進行實證或發給臨時許可證允許在市場販售，僅須約44個工作天。而在法規鬆綁上，多數涉及法規命令與機關行政函釋層級。另外為鼓勵創新業者申請監理沙盒，針對實證完成之產品或服務，將給予「優良採購產品」（우수 조달물품）證明，政府機關可於採購平台上優先採購該產品或服務。 另外成果報告說明，由於許多創新實證與現行社會體制與規範造成破壞式衝突，例如「共享廚房」與現有《食品衛生法》規定餐廳須有獨立廚房有違，或者消費者直接在家進行基因檢測（Direct-to-Consumer Testing, DTC）創新服務與現有醫療規範與體制不符等，韓國政府將透過客觀實證數據與宣導來尋求社會共識或使用其他替代方案來降低衝突。同時將於今年下半年由中央主導指定特定區域作為專業化特區，以衡平區域發展。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).