日本國會2024年5月10日通過、同月17日公布《重要經濟安全資訊保護及活用法》(重要経済安保情報の保護及び活用に関する法律,以下簡稱經安資訊保護法),建立安全許可(セキュリティ・クリアランス)制度,規範政府指定重要經濟安全資訊(以下簡稱經安資訊)、向業者提供經安資訊之方式,以及可近用經安資訊之人員資格等事項,以保護與重要經濟基礎設施有關,外流可能影響國家及國民安全之重要資訊,並同時促進此類資訊之利用。
根據經安資訊保護法規定,行政機關首長得指定機關業務相關之重要資訊,如與關鍵基礎設施、關鍵原物料相關,外洩可能影響經濟安全之資訊為經安資訊。並得於下列情形,向其他行政機關、立法機關及司法機關、特定民間業者提供經安資訊:
1.其他行政機關:有利用經安資訊之必要時。
2.立法機關及司法機關:提供資訊對經濟安全不會有顯著影響時。
3.特定民間業者:為促進有助於經濟安全保障之行為,必要時得依契約向符合保安基準之業者提供經安資訊。
此外,經安資訊保護法進一步規定近用、處理經安資訊者,須通過適格性評價(適性評価),評價重點包括當事人犯罪紀錄、藥物濫用紀錄、有無精神疾病、有無酗酒、信用狀況等。由於上述內容涉及當事人隱私,故行政機關進行適格性評價前,須取得當事人同意。
本文為「經濟部產業技術司科技專案成果」
美國國家安全局(National Security Agency, NSA)於2022年11月10日發布「軟體記憶體安全須知」(“Software Memory Safety” Cybersecurity Information Sheet),說明目前近70%之漏洞係因記憶體安全問題所致,為協助開發者預防記憶體安全問題與提升安全性,NSA提出具體建議如下: 1.使用可保障記憶體安全之程式語言(Memory safe languages):建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言,以取代C與C++等無法保障記憶體安全之程式語言。 2.進行安全測試強化應用程式安全:建議使用靜態(Static Application Security Testing, SAST)與動態(Dynamic Application Security Testing, DAST)安全測試等多種工具,增加發現記憶體使用與記憶體流失等問題的機會。 3.強化弱點攻擊防護措施(Anti-exploitation features):重視編譯(Compilation)與執行(Execution)之環境,以及利用控制流程防護(Control Flow Guard, CFG)、位址空間組態隨機載入(Address space layout randomization, ASLR)與資料執行防護(Data Execution Prevention, DEP)等措施均有助於降低漏洞被利用的機率。 搭配多種積極措施增加安全性:縱使使用可保障記憶體安全之程式語言,亦無法完全避免風險,因此建議再搭配編譯器選項(Compiler option)、工具分析及作業系統配置等措施增加安全性。
英國資訊委員辦公室(ICO)發布企業自行檢視是否符合歐盟一般資料保護規則之12步驟英國作為歐洲金融重鎮,不論各行業均有蒐集、處理、利用歐盟會員國公民個人資料之可能,歐盟一般資料保護規則(General Data Protection Regulation,簡稱GDPR)作為歐盟資料保護之重要規則,英國企業初步應如何自我檢視組織內是否符合歐盟資料保護標準,英國資訊委員辦公室(Information Commissioner's Office, ICO)即扮演重要推手與協助角色。 英國ICO於2017年4月發布企業自行檢視是否符合GDPR之12步驟(Preparing for the General Data Protection Regulation(GDPR)-12 steps to take now),可供了解GDPR的輪廓與思考未來應如何因應: 認知(Awareness):認知GDPR帶來的改變,與未來將發生的問題與風險。 盤點資料種類(Information you hold):盤點目前持有個人資料,了解資料來源與傳輸流向,保留處理資料的紀錄。 檢視外部隱私政策(Communicating privacy information):重新檢視當前公告外部隱私政策,並及時對GDPR的施行擬定因應計畫。 當事人權利(Individuals'rights):檢視資料處理流程,確保已涵蓋GDPR賦予當事人如:告知權、接近權、更正權、刪除權、製給複本權、停止處理權、不受自動決策影響等相關權利。 處理客戶取得資料請求(Subject access requests):GDPR規定不能因為客戶提出取得資料請求而向其收費;限期於1個月內回覆客戶的請求;可對明顯無理或過度的請求加以拒絕或收費;如拒絕客戶請求則限期於1個月內須向其說明理由與救濟途徑等。 處理個人資料須立於合法理由(Lawful basis for processing personal data):可利用文書記錄與更新隱私聲明說明處理個人資料之合法理由。 當事人同意(Consent):重新檢視初時如何查找、紀錄與管理取得個人資料的同意,思考流程是否需要做出任何改變,如無法符合GDPR規定之標準,則須重新取得當事人同意。 未成年人(Children)保護:思考是否需要制定年齡驗證措施;對於未成年人保護,考慮資料處理活動是否需取得其父母或監護人的同意。 資料外洩(Data breaches):有關資料外洩的偵測、報告與調查,確保已制定適當處理流程。 資料保護設計與影響評估(Data Protection by Design and Data Protection Impact Assessments):GDPR使資料保護設計與影響評估明文化。 資料保護專責人員(Data Protection Officers):須指定資料保護專責人員,並思考該專責人員於組織中的角色與定位。 跨境傳輸(International):如執行業務需跨越數個歐盟會員國境域,企業則須衡量資料監管機關為何。
美國最高法院判決單離DNA片段不具專利標的適格性2013年6月13日美國最高法院(the Supreme Court of the United States)就備受矚目之Association for Molecular Pathology v. Myriad Genetics, Inc.一案做出判決,認定如乳癌易感基因BRCA1、BRCA2等經單離(isolated)的人類DNA片段不具美國專利法第101條(35 U.S.C. §101)所規定之專利標的適格性。 美國最高法院指出,雖然專利權人發現了BRCA1與BRCA2基因的位置與序列,但是其並未創造或改變BRCA1與BRCA2基因上的任何遺傳資訊,亦並未創造或改變該DNA片段的基因結構,所以即使其是發現了一個重要而有用的基因,但僅是將其從周遭其他基因材料中分離出來,並非為一項發明行為。亦即是說,突破性、創新或卓越的發現並不必然符合美國專利法第101條之要件要求。 不過,美國最高法院認為,cDNA片段可以具備專利標的適格性,因為其為從mRNA所創造出來、僅具備外顯子(exons-only)的分子,而非自然發生之自然產物。然而美國最高法院對於cDNA是否符合其他可專利要件之要求並不表示意見。 美國最高法院亦強調,本案判決並未涉及任何方法發明,亦未就將有關BRCA1與BRCA2基因之知識予以應用的發明做出判斷,且未判斷自然發生之核苷酸順序經改變的DNA片段是否具備專利標的適格性的問題。
歐盟訂定新規範 管理傳統草藥品上市近年來,歐洲市場對傳統草藥的接受程度逐漸上升。傳統草藥銷售市場在歐盟成員國正在快速成長,其中從中國進口的傳統中藥數量更以倍數上升。目前歐洲市場上的天然植物藥約略可分為三大類:第一類是處方藥,用於治療危重病症的植物藥針劑也包括在內;第二類是非處方植物藥;第三類是保健製藥,可在保健食品店購買。歐盟去年通過的傳統草藥品指令(EU Directive on Traditional Herbal Medicinal Products)自2005年10年31日起,已全面生效適用於歐盟地區。該指令為傳統植物來源藥品於歐盟境市場內銷售,開啟了依照簡化查驗程序上市的途徑,但也限制了部分草藥品的上市可能。 其中較具衝擊性的是:傳統使用要件之認定嚴格。根據指令第16c(1)條,此一傳統使用歷史必須是30年以上,且其中至少有15年是在歐盟境內的使用歷史,方可考慮其安全性及療效。「傳統使用」仍須有相關文獻及專家證明其:(1)已使用相當年限之客觀事實、(2)具有安全性與療效之可信度,因此,簡化程序並無法適用於”偏方”之傳統草藥。而「必須是在歐盟境內至少有15年的使用歷史紀錄或資料」,更大大限制了在1990年前尚未進入歐盟會員國的草藥品,將可能因此被擠出歐盟市場。 該指令規定了七年的緩衝限期,可讓歐盟會員國調整不符合簡化查驗程序申請資格、但在該指令生效前已在各會員國市面上銷售的草藥品。