美國商務部產業安全局對半導體成熟節點晶片的使用進行評估調查
美國產業安全局（Bureau of Industry and Security，下稱BIS）於2024年1月18日，針對直接或間接支持美國國家安全和關鍵基礎設施，全面評估供應鏈中成熟節點半導體設備的使用情況。本次調查將根據《1950年國防生產法》（Defense Production Act of 1950）第705條進行，以評估在美國關鍵產業（如電信、汽車、醫療設備和國防工業基地）的供應鏈中使用由中國公司生產的成熟節點晶片的程度和影響力。
BIS同時提供常見問答予各界參考，主要包括如下內容：
（1）本次評估調查為一次性的資訊蒐集；不排除未來也可能依指示再次進行類似的評估。
（2）本次評估將提供後續政策制定的參考，以加強半導體供應鏈，促進傳統晶片生產的公平競爭，並降低中國對美國帶來的國家安全風險。
（3）自1986年以來，BIS已就造船、戰略性材料、太空和航空、火箭推進、彈藥和半導體等廣泛項目進行過約60多項評估以及150多項調查。
（4）商務部可能會公開一份主要調查結果的摘要說明。
（5）本次評估並非根據《2021年國防授權法案》（National Defense Authorization Act for Fiscal Year 2021，即俗稱之《晶片法》）第9902節規定進行。個別對調查的答覆不會影響申請《晶片法》或其他政府資助的資格或考量。
（6）本次評估並非BIS對於高階運算晶片規範的一部分，而是著重成熟節點或傳統晶片的舊技術。
本文為「經濟部產業技術司科技專案成果」
陳奕夫
專案經理 編譯整理
Bureau of Industry & Security, BIS Deploys Assessment On The Use Of Mature-node Chip (2024), https://beta.bis.gov/press-release/bis-deploys-assessment-use-mature-node-chip (last visited Apr. 29, 2024).
吳彬詣，〈歐盟啟用半導體供應鏈示警系統，監測各成員國半導體供應鏈狀況〉，資訊工業策進會科技法律研究所，2023年6月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9007&no=64（最後瀏覽日：2024/04/29）。
許祐寧，〈美國商務部提出CHIPS護欄條款，對受補助者實施限制以維護國家安全〉，資訊工業策進會科技法律研究所，2023年6月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8992&no=64（最後瀏覽日：2024/04/29）。
Twitpic公司為提供圖像分享服務軟體服務的公司，於2008年成立，2009年起，提供Twitter(微博)社群網站平台使用者，透過運用Twitpic的即時圖像分享功能，將照片及影像同時上傳至微博的服務；截至2014年6月已提供使用者此項微博平台的分享服務至少6年。Twitpic於2013年10月3日，以公司名稱「TWITPIC」為名稱，向USPTO(美國專利商標局)提出國際分類第42類之電腦服務之商標註冊案，並於2014年6月24日核准公告。 微博公司於知悉Twitpic商標申請資訊後，除了以Twitpic商標近似於先前註冊商標Twitter而提出商標異議外，並威脅Twitpic公司放棄商標申請，否則將切割Twitpic可直接連結照片至Twitter平台的服務。 同時，微博公司發言人表示，為了確保公司品牌及商譽不被侵害及淡化，故除了對於Twitpic公司提出商標異議外，並為了確保使用者能持續使用將照片及影像即時上傳至微博的服務，將由微博平台自行提供相關功能，以減少使用者無法運用Twitpic服務之不便。 因此，Twitpic公司負責人 Noah Everett於2014年9月初宣布，在無足夠的資源對抗大公司如微博的脅迫下，被迫於9月底關閉Twitpic服務。 依據Twitpic於微博上發布之最新消息顯示，Twitpic已被其他買家收購，將持續經營，但有關商標爭議案之後續發展，將持續觀察。
監視器無鉛製程 冠捷導入歐盟RoHS、WEEE政策實施在即，出身歐洲第一大品牌的飛利浦（Philips）率先響應，今年所有LCD監視器符合RoHS全面無鉛化，代工夥伴冠捷（AOC）隨第二季正式合併飛利浦顯示器事業部，也將導入無鉛製程。國內兩大LCD監視器製造大廠明基、光寶也已防患未然，製程無鉛化製程提早開跑。 飛利浦今年在台灣LCD監視器策略，其中之一是全面推展無鉛化產品線，W、P、B、S四大系列全面符合歐盟RoHS規定，鉛含量在○‧一％（1000ppm）以下，可說領先各品牌率先推出無鉛產品。 監視器製造大廠冠捷（AOC）已和飛利浦已簽訂顯示器事業部併購意向書，第二季起將正式啟動合併機制，而飛利浦在台灣僅留下採購、行政、台灣行銷業務部門。因此這套無鉛製程，也將如期導入至AOC的產線之中。至於國內製造大廠光寶、明基也已如期順利切換到無鉛製程。光寶目前綠色採購達成率已約七成，今年底則將達九成，因應製程無鉛化需要，還添購五部X光檢測設備，以期達到滴水不漏效果；至於明基明年起工廠端也不再生產舊款機種，一律符合無鉛化作業。 儘管無鉛製程難度相當高，不過對LCD監視器而言，挑戰最高卻是無汞化，因為冷陰極管（CCFL）內必含汞，所以歐盟規定裡則將CCFL燈管、投影機燈泡列為例外條款，不過隨著環保意識抬頭，LCD監視器業者已有以LED背光模組取代冷陰極管（CCFL）計畫。
美國參議院於2022年4月提出《演算法問責法案》對演算法治理再次進行立法嘗試《演算法問責法案》（Algorithmic Accountability Act）於2022年4月由美國參議院提出，此法案係以2019年版本為基礎，對演算法（algorithm）之專業性與細節性事項建立更完善之規範。法案以提升自動化決策系統（automated decision systems, ADS）之透明度與公平性為目的，授權聯邦貿易委員會（Federal Trade Commission, FTC）制定法規，並要求其管轄範圍內之公司，須就對消費者生活產生重大影響之自動化決策系統進行影響評估，公司亦須將評估結果做成摘要報告。 《演算法問責法案》之規範主體包括：（1）公司連續三年平均營業額達5000萬美元，或股權價值超過2.5億美元者，並處理或控制之個人資料超過100萬人次；以及（2）公司過去三年內，財務規模至少為前者之十分之一，且部署演算法開發以供前者實施或使用者。ADS影響評估應檢視之內容包括： 1.對決策過程進行描述，比較分析其利益、需求與預期用途； 2.識別並描述與利害關係人之協商及其建議； 3.對隱私風險和加強措施，進行持續性測試與評估； 4.記錄方法、指標、合適資料集以及成功執行之條件； 5.對執行測試和部署條件，進行持續性測試與評估（含不同群體）； 6.對代理商提供風險和實踐方式之支援與培訓； 7.評估限制使用自動化決策系統之必要性，並納入產品或其使用條款； 8.維護用於開發、測試、維護自動化決策系統之資料集和其他資訊之紀錄； 9.自透明度的角度評估消費者之權利； 10.以結構化方式識別可能的不利影響，並評估緩解策略； 11.描述開發、測試和部署過程之紀錄； 12.確定得以改進自動化決策系統之能力、工具、標準、資料集，或其他必要或有益的資源； 13.無法遵守上述任一項要求者，應附理由說明之； 14.執行並記錄其他FTC 認為合適的研究和評估。 當公司違反《演算法問責法案》及其相關法規有不正當或欺騙性行為或做法時，將被視為違反《聯邦貿易委員會法》（Federal Trade Commission Act）規定之不公平或欺騙性行為，FTC應依《聯邦貿易委員會法》之規定予以處罰。此法案就使用ADS之企業應進行之影響評估訂有基礎框架，或可作為我國演算法治理與人工智慧應用相關法制或政策措施之參酌對象，值得持續追蹤。
英國、新加坡領導全球發布供應鏈勒索軟體防護指引在勒索軟體攻擊快速進化、供應鏈弱點成為主要攻擊途徑的背景下，英國於10月24日發布「全球性供應鏈勒索軟體防護指引」（Guidance for Organisations to Build Supply Chain Resilience Against Ransomware），該指引係由英國與新加坡共同領導的「反勒索軟體倡議」（Counter Ransomware Initiative, CRI）框架下推動，旨在協助各國企業降低勒索軟體事件的發生率與衝擊。該指引獲得CRI 67個成員國與國際組織的支持，標誌國際社群在供應鏈資安治理上的最新進展。 英國內政部（UK Home Office）指出，勒索軟體已成全球關鍵基礎設施與企業最主要的威脅之一。根據IBM發布之2025年資料外洩報告（Cost of a Data Breach Report 2025）估計，單一勒索攻擊的全球平均成本高達444萬美元。隨著攻擊手法演進，勒索攻擊已由單點入侵擴大為透過供應鏈滲透，攻擊者常以第三方服務供應商為跳板，一旦供應商遭入侵，即可能向上或向下影響整體產業鏈。英國2024年醫療檢驗服務供應商Synnovis遭勒索軟體攻擊事件，即造成數千次門診與手術延誤，凸顯供應鏈風險的實質衝擊。 該指引從供應鏈角度提出四大防護方向，英國政府與CRI強調，企業應在營運治理、採購流程與供應商管理中系統性導入相關措施，包括： 一、理解供應鏈風險的重要性 在高度互聯的數位環境中，供應鏈已成為勒索軟體攻擊的主要目標，企業應將供應鏈資安視為營運韌性與組織治理的核心要素。 二、辨識關鍵供應商與其資安成熟度 企業應建立完整的供應商清冊，評估其資安控管措施、過往資安事件紀錄、營運與備援能力、保險安排，以及其可存取之系統與資料範圍。 三、在採購與合約中落實資安要求 企業應要求供應商具備基本資安控制措施，包括多因素驗證、系統更新與修補管理、網路分段、安全設定及惡意程式防護等。 同時，合約中應納入資安事件通報義務、稽核權限、營運復原計畫及違規處置機制，並鼓勵供應商採用國際資安標準，例如Cyber Essentials與ISO/IEC27001。 四、持續檢討並更新防護措施 企業應與供應商共同檢討已發生事件及未實際造成損害但已暴露潛在風險之情形（Near Miss，即近乎事故），不論是否構成正式資安事件，均應納入檢討範圍；並定期進行資安演練、共享威脅情資，依攻擊趨勢滾動修正合約與內部規範。 指引同時指出，供應鏈常見弱點包括過度依賴少數供應商、缺乏供應鏈可視性，以及資安稽核與驗證機制不足。英國政府與CRI亦強調，雖然網路保險可作為風險管理工具之一，但無法取代基本且持續的資安防護措施。 該指引適用範圍涵蓋科技、資訊服務、能源、公用事業、媒體與電信等多個產業，顯示供應鏈資安已成全球營運安全的共同課題。英國與新加坡呼籲企業及早建立制度化的供應鏈資安治理架構，以強化全球數位經濟的整體韌性，降低勒索軟體攻擊帶來的系統性風險。