綠色行銷與商標風險:從節能產品案例看企業應對策略

綠色行銷與商標風險:從節能產品案例看企業應對策略

資訊工業策進會科技法律研究所
2024年09月16日

我國經濟部智慧財產局於2024年8月29日發布「我國綠商標產業布局分析」。所謂「綠商標[1]」,是針對商標申請案所指定使用於尼斯分類的各類商品或服務名稱加以分析,該商品或服務中,只要包含至少一個綠色商品或服務則將其視為「綠商標」,並歸納為「能源產品」、「運輸」、「節約能源」、「再利用/回收利用」、「污染控制」、「廢棄物管理」、「農業」、「環保意識」、「氣候變遷」等九大類別群組。其中,美商蘋果公司、統一企業股份有限公司、開曼群島商阿里巴巴集團控股有限公司及日商任天堂股份有限公司等企業已成為綠色商標申請的主要代表,特別是在「節約能源」、「污染控制」及「能源產品」等領域中[2],表示企業對減碳、低碳及綠能相關意識逐漸抬頭並意識到綠商標的重要性,使得綠商標註冊申請案持續成長。然而,隨著綠商標的廣泛應用和推廣,企業在進行綠色品牌商品或服務行銷時,也面臨潛在的商標侵權風險。本文將透過分析AGA Rangemaster Group Limited公司(下稱AGA公司)與UK Innovations Group Limited(下稱UK公司)之間的商標侵權案件,深入探討企業在綠色品牌產品行銷過程中可能遇到的商標挑戰和應對策略,並提供可以實踐的商標管理策略建議,助力企業推廣綠色商品或服務。

壹、案件背景

來自瑞典的AGA公司自1929年便在英國各地生產並行銷「AGA Cookers」,是一款透過將燃氣、燃油或固態燃料儲存為熱能,再將熱源、兩個大熱板和兩個烤箱組合產生的一款持續性開放燃氣爐灶[3]。相對地,成立於2020年的UK公司在推出自家爐灶「Stone Cooker」時,搭配一款自行研發的電控系統「eControl System」(下稱「eControl 系統」),用以將傳統爐灶的燃料使用從固態燃料轉換為電力,隨後更是單獨銷售該系統給購買AGA 爐灶的消費者,以及公開對外轉售預先安裝電控系統「eControl System」的優化版AGA 爐灶(下稱「eControl Cookers」)。

對此AGA公司表示,儘管對UK公司前述的行為無異議,仍對其「轉售安裝有『eControl 系統』的AGA品牌爐灶及行銷活動」表示異議,主張其轉售帶有「AGA品牌商標」的行銷行為,使用與自家相同的商標「AGA」,對一般消費者有混淆誤認商品來源之可能,更表示安裝於「eControl Cookers」的「eControl 系統」,使用品質不佳的材料,進而導致消費者在社群媒體發表負面評價,有損「AGA」品牌商標聲譽,主張違反英國商標法第10條第1至3項[4],並對其旗下6個商標[5]造成侵權,於2023年向英國智慧財產企業法院(Intellectual Property Enterprise Court,下稱IPEC)提起商標侵權訴訟。

UK公司則對該主張表示不服,對AGA公司所異議的「使用相同商標、對消費者產生混淆」提出英國商標法第12條「權利耗盡[6]」之反訴,表示AGA公司作為商標所有人已同意將帶有商標的商品投入英國市場,轉售商除了可以自由轉售這些商品外,亦可自由使用該商標以向公眾宣傳這些商品的再次銷售[7];並表示使用「AGA」文字於「eControl Cookers」,僅作為說明eControl系統「可用於優化AGA 爐灶」的「描述性」商標使用,主張應受同法第11條第2項(b)款或(c)款[8]之保護,更進一步否認其產品優化有造成AGA公司商標聲譽的減損。IPEC判決認為,儘管UK公司的「優化」有使用品質不佳的材料,相關消費者也不會對轉售商品有等同「第一手商品的品質」期待,不認為有構成聲譽減損。然而,考量UK公司在官方網站與發票上的行銷方式以及使用售後混淆概念,認為UK公司已有讓消費者誤認為AGA公司相關企業的可能,並表示「eControl Cookers」商品標示的「AGA」文字,有區分商品來源之效,並非「描述性說明」,最終作成UK公司商標侵權的認定。以下將詳細闡述IPEC對於本案有關「聲譽減損」、「混淆誤認」與「描述性商標使用」之爭點判斷,其揭示合法、正確使用他人品牌商標的重要性。

貳、爭點說明

一、UK公司的優化行為沒有構成AGA公司的品牌商標聲譽減損

AGA公司主張,UK公司因優化而使用於「eControl Cookers」的部分替換零件,品質比原產品內含零件更為劣質,甚至對消費者有安全上的隱患,不僅沒有對產品產生「優化」的效果,反而因此使得購買二手轉售的消費者在社群媒體上發表對其負面之評價,造成對AGA 品牌聲譽的減損。對此,UK公司駁斥AGA公司對「零件品質」有關的指控,表示AGA公司用作比較性能的型號「AGA eR7」為「較新的型號」,與優化後的傳統AGA爐灶相較是不公平的比較,不應做為品質優劣的考量。

IPEC表示,儘管認同用於優化的替換零件品質不應低劣到有損害AGA商標聲譽的程度,但認為替換零件的品質「在不同的情況下應有不同程度的接受彈性」。考量傳統AGA 爐灶已在市場上存在相當時間,二手轉售傳統AGA 爐灶的市場亦相對廣泛,購買二手轉售的消費者不應存在「對二手轉售之商品有等同一手商品品質」之期待,亦不會將該二手商品之品質與原商品之商標做成關聯性之聯想;除此之外,針對消費者在社群媒體發表的負面評論,IPEC認為因欠缺實質的證據而僅得做為「聽證證據」,欠缺構成實質傷害之證據效力。綜上理由,駁回AGA公司對UK公司有關聲譽減損之指控。

二、UK公司在商標的行銷使用有構成消費者混淆誤認之虞

(一)官方網站與發票上的行銷呈現方式

AGA公司亦指控UK公司於2022年10月在其官方網站及收據上展示具有誤導消費者識別商品來源的行銷方式,其中包括將文字「The eControl System – Why even seasoned Aga lovers are flipping the switch - Buy an eControl Aga」(eControl系統—讓忠實的AGA愛好者也開始轉向購買eControl AGA的理由)陳列在一張同時使用「AGA」與「eControl System」文字的爐灶展示圖,以及在發票上將「eControl Cookers」產品以「AGA eCONTROL」、「supply and fit of AGA in white」(供應和安裝白色AGA)、「eContol AGA」、「Conversion to AGA GC」(轉換為AGA GC)、「AGA Cooker eControl」、「AGA 100」、「AGA 100 - eControl」等文字代稱,有使消費者產生混淆誤認之意圖。UK公司對此則主張購買「eControl Cookers」的消費者都是「有經過與銷售人員廣泛討論」且「因商品之高價而有較高注意力」,可以認識到所購買商品為「安裝有『eControl系統』的優化/二手轉售AGA品牌爐灶」,對商標間之差異較敏感,而無對商標有混淆誤認之可能。

然而,IPEC並沒有採信UK公司的說詞,認為UK公司不僅沒有在官方網站上明確以任何方式說明「eControl Cookers」與AGA 爐灶的區別,官方網站上的行銷呈現方式更可能使消費者認為所購買的「eControl Cookers」是來自AGA公司所生產;發票上的代稱文字更是有將「eControl Cookers」、「eControl 系統」與AGA品牌爐灶存在商業關聯性的印象,有造成消費者增加市場混淆的風險。

(二)售後混淆概念

所謂售後混淆,係指儘管消費者於購買商品或服務當下,基於銷售地點、銷售價格、商標外觀等因素,能夠明確認知該商品或服務並非源自於主張被侵權的商標,但是該消費者在不同情形下使用該商品或服務時,可能導致潛在第三人在接觸該商品或服務時,誤認該商品或服務源自於主張被侵權的商標[9]。本案中,AGA公司主張未來第三方消費者在接觸到「eControl Cookers」時,看到「AGA」與「eControl 系統」的文字標示後,可能誤以為是「聯合品牌的AGA爐灶」,而使第三方消費者以為二企業之間存在商業關係,UK公司亦承認有此可能。對此,IPEC作成UK公司的商標行銷使用有構成消費者混淆誤認之決定。

三、UK公司使用「AGA」商標的方式非屬「描述性」合理使用

依據英國商標法第11條第2項(b)與(c)款,符合誠信原則的商業第三人在使用他人商標時,若涉及將他人商標用於描述商品或服務的種類、品質、數量、用途、價值、地理來源、商品或服務的生產或提供日期,或商品或服務其他特徵等的描述,或在必要時為說明某一商品或服務的用途,皆不構成對他人註冊商標的侵權行為[10]。UK公司主張使用「AGA」商標文字是用以說明「eControl系統可以用來優化AGA爐灶」,是一種輔助性的說明,應符合英國商標法第11條第2項(b)或(c)款之適用。

然IPEC就UK公司於官方網站與發票上的行銷呈現文字,如「eControl AGA」、「AGA Cooker eControl」或「Controllable AGA Cookers」(可控制的AGA爐灶)等,認定其使用方式具有商品或服務來源的「區別性」,具備作為消費者識別商品或服務來源的功能,有使消費者誤認「eControl Cookers」、「eControl 系統」與AGA品牌爐灶之間存在商業關聯性的認知。更進一步表示即便UK公司使用「AGA」文字是作為描述被出售的商品,原本的AGA爐灶在經過加裝與AGA公司無關的「eControl系統」後已不是原本的AGA爐灶,不符合誠信原則。綜上所述,最終駁回UK公司有關描述性商標的合理使用主張。

參、事件評析

AGA公司與UK公司之間的商標糾紛與IPEC的判決揭示了企業正確行銷使用品牌商標的重要性。企業在推廣綠色商品時,若有使用他人商標的需求,除了需要獲得合法的商標授權外,在使用他人商標時,亦應對行銷過程中的用語與呈現方式保持謹慎的態度,避免不正確的商標使用引發商標侵權爭議。具體建議如下。

一、獲取授權與合規要求

從本案可知,節能產品的誕生時可能建立在既有商品或服務之下。企業在使用他人商標或相關品牌標識時,必須確保有合法取得商標授權。本案UK公司在未取得AGA公司的授權下,使用其商標進行市場行銷,進而引發一系列的商標侵權爭議。即使企業有「權利耗盡」之適用,亦應在進行商標使用前與原商標權利人簽訂授權協議,明確約定授權標的、時間、地區等範圍、使用方式等相關條款,以確保商標的合法使用,避免引發潛在風險。

二、商標的描述性合理使用

其次,企業在商標的行銷使用過程中,若欲主張商標描述性的合理使用,亦應留意在符合「誠信原則」情況下使用他人商標於描述商品或服務之種類、用途或品質,並不使其他消費者對該商標所描述的商品或服務之來源有疑義。本案中,UK公司應在行銷過程中明確表示「eControl系統適用於AGA爐灶」以告知消費者該系統是用以「改良」而非「替代」AGA公司的產品,亦可在市場行銷材料中清楚標示其產品的獨立性,如在官方網站和發票上以「由UK公司設計的eControl系統,專為AGA爐灶優化」作為行銷用語,以避免消費者誤認兩者有商業關聯,從而確保符合商標合理使用及區分商品來源的效果。

在綠色產品的行銷情境中,企業可能會面臨來自商標描述性合理使用的風險,特別是在使用他人商標以描述自家產品用途或品質時。這種風險可能包含消費者誤認商品來源,或誤解該產品與原商標擁有者之間的商業關聯。為避免此類商標風險,企業除了應確認有合法取得商標授權,亦應確保在行銷過程中,明確區分產品的來源。例如,UK公司在行銷其eControl系統時,應強調該系統專為AGA爐灶優化,而非取代原產品,並在其行銷材料中清楚標示產品獨立性,如在網站和發票上明示其產品屬於UK公司的設計。如此操作可有效降低商標混淆的風險,並確保企業在遵守商標法及誠信原則的前提下,合法且有效地進行商標合理使用。

本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。

本文同步刊登於TIPS網站(https://www.tips.org.tw

[1] 經濟部智慧財產局商標權組,〈我國綠商標產業布局分析〉,頁1-2(2024)。

[2] 同前註,頁24。

[3] AGA Rangemaster Group, AGA Cooking For Beginners: The Ultimate Guide (2023), https://www.agaliving.com/blog/aga-cooking-beginners-ultimate-guide (last visited Sept. 5, 2024).

[4] Trade Marks Act 1994 s.10 (1), 10 (2), 10 (3).

[5] 英國商標註冊號UK00000523495、UK00000543075、UK000002425088、UK000002425089、UK000001433271、UK000003044627。

[6] Trade Marks Act 1994 s.12.

[7] Parfums Christian Dior SA v. Evora BV, EUECJ C-337/95, 38 (1997).

[8] Trade Marks Act 1994 s.11 (2) (b), s.11 (2) (c).

[9] Montres Breguet S.A. v. Samsung Electronics Co. Ltd, EWCA Civ 1478, 84 (2023).

[10] 前揭註8。

你可能會想參加
※ 綠色行銷與商標風險:從節能產品案例看企業應對策略, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=9256&no=67&tp=1 (最後瀏覽日:2026/02/18)
引註此篇文章
你可能還會想看
歐盟發布人工智慧法、醫療器材法與體外診斷醫療器材法協同適用問答集

歐盟《人工智慧法》(Artificial Intelligence Act, AIA)自2024年8月1日正式生效,與現行的《醫療器材法》(Medical Devices Regulation, MDR)及《體外診斷醫療器材法》(In Vitro Diagnostic Medical Devices Regulation, IVDR)高度重疊,特別是針對用於醫療目的之人工智慧系統(Medical Device AI, MDAI)。為釐清三法協同適用原則,歐盟人工智慧委員會(Artificial Intelligence Board, AIB)與醫療器材協調小組(Medical Device Coordination Group, MDCG)於2025年6月19日聯合發布常見問答集(Frequently Asked Question, FAQ),系統性說明合規原則與實務操作方式,涵蓋MDAI分類、管理系統、資料治理、技術文件、透明度與人為監督、臨床與性能驗證、合規評鑑、變更管理、上市後監測、資安與人員訓練等面向。 過去,MDR、IVDR與AIA雖各自對MDAI有所規範,但始終缺乏明確的協同適用指引,導致製造商、監管機關與醫療機構在實務操作上常面臨混淆與困難。本次發布的指引透過36題問答,系統性釐清三法在高風險MDAI適用上的關聯,重點涵蓋產品分類原則、合規評鑑流程以及技術文件準備要點,具高度實務參考價值。此外,傳統醫療器材的上市後監測,難以有效因應AI系統持續學習所帶來的風險。AIA因此要求高風險MDAI建立強化的上市後監控系統,並評估AI系統與其他系統交互作用可能產生的影響。 整體而言,該指引的發布不再僅限於MDAI技術層面的合規審查,而是進一步擴展至資料正當性、系統可控性、使用者能力與整體風險治理等層面,體現歐盟對AI倫理、透明與責任的制度化落實。此文件亦為歐盟首次系統性整合AI與醫療器材監管原則,預期將成為MDAI產品研發與上市的重要參考依據。 本文同步刊載於stli生醫未來式網站(https://www.biotechlaw.org.tw)

日本電業節能義務之介紹

中國大陸政府持續就行動遊戲等出版物之行政審查流程進行簡化和加速

中國大陸政府持續就行動遊戲等出版物 之行政審查流程進行簡化和加速 科技法律研究所 法律研究員 蘇彥彰 2014年12月02日 壹、部分出版審批程序調整為「後置審批」制   繼今年8月取消和下放45項行政審批項目,取消11項職業資格許可和認定事項,並將31項工商登記前置審批事項改為後置審批[1]之後,11月24日時國務院再次對外公布決定取消和下放58項行政審批項目,取消67項職業資格許可和認定事項,並將82項工商登記前置審批事項調整或明確為後置審批[2];其中出版物批發業務許可、出版物零售業務許可、設立印刷品印刷經營等活動企業之審批、印刷業兼營包裝裝潢等印刷經營活動審批、音像製作單位設立審批、電子出版物製作單位設立審批、音像複製單位設立審批、電子出版物複製單位設立審批、設立可錄光盤生產企業審批等九項與新聞出版相關之項目,由前置審批調整為後置審批。所謂後置審批係指,企業可以先辦理工商營業執照後,再由主管部門申請審批,雖仍需在主管部門審批完後才可以正式展開經營活動,但企業可以在這段時間內進行公司設立的相關準備工作,提高投資主體進入市場及開展商業活動的速度。 貳、提出行動遊戲雙軌制審批程序以及擴編審查人員,以加速審批、落實管制   除了前述針對新聞、出版、印刷等項目就行政程序進行簡化和加速工作外,中國大陸國家新聞出版廣電總局亦於11月21日公開宣示將「貫徹落實國務院全面督查整改落實」[3],其中包括對移動網絡遊戲(下稱行動遊戲)審批制度進行改革,以改善目前審批時間過長、效率不高的問題。   依據該公告之內容,未來審批制度將朝向雙軌制方向發展,其中對於未涉及民族、宗教、歷史、政治、疆域等議題,且無故事情節或故事情節單純(如棋盤類等休閒益智遊戲)之中國大陸本地自製行動遊戲,將採取簡易審批制度以提高審查效率,同時將審查專家員額倍增至20名,以維持並提高審查品質。在上述改革推動下,目標將縮短審查時間,由現行30天初審、15天複審期限,分別壓縮至15天及5天。其進一步具體做法,中國大陸國家新聞出版廣電總局現正研擬「關於規範移動網絡遊戲出版審批管理的通知」,預計於2014年12月下旬發布施行[4]。 參、小結   近年來中國大陸國務院積極推行行政審核程序的改革,並自2002年起陸續進行了12次行政審核批准事項的取消、調整或下放,而國家新聞出版廣電總局除了持續就各項新聞、出版、發行業務的行政審查管控流程,進行簡化和加速的革新工作外,面對近幾年行動遊戲的興起,除一再重申行動遊戲須符合網路遊戲審批相關規定外,也積極處理行政審批時間過長、效率低落問題,以便落實管制。   惟應注意的是,行動遊戲審批制度的革新,目前係以其國產遊戲為主。對此,是否會間接形成對外國業者競爭上的不對等,我方行動遊戲開發業者宜留意相關發展,納入後續遊戲開發方向與市場策略布局之評估要素一環。 [1] 《国务院关于取消和调整一批行政审批项目等事项的决定》(国发〔2014〕27号) [2] 《国务院关于取消和调整一批行政审批项目等事项的决定》(国发〔2014〕50号) [3] 〈国家新闻出版广电总局贯彻落实国务院 全面督查整改落实进展情况〉,中华人民共和国国家新闻出版广电总局,http://www.gapp.gov.cn/news/1663/232219.shtml(最後瀏覽日:2014/12/01) [4] 大公網,〈廣電總局擬縮減移動網遊審批程序 12月底前實施〉,2014/11/24,http://finance.takungpao.com.hk/tech/q/2014/1124/2837153.html(最後瀏覽日:2014/12/01)

解析雲端運算有關認驗證機制與資安標準發展

解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言   2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1],新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構,獲頒「2013雲端安全耀星獎」(2013 Cloud Security STAR Award),該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業,今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外,首度將獎項頒發給政府組織。究竟何謂雲端認證,其背景、精神與機制運作為何?本文以雲端運算相關資訊安全標準的推動為主題,並介紹幾個具有指標性的驗證機制,以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。   資訊安全向來是雲端運算服務中最重要的議題之一,各國推展雲端運算產業之際,會以提出指引或指導原則方式作為參考基準,讓產業有相關的資訊安全依循標準。另一方面,相關的產業團體也會進行促成資訊安全標準形成的活動,直至資訊安全相關作法或基準的討論成熟之後,則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循   雲端運算的資訊安全風險,可從政策與組織、技術與法律層面來觀察[2],涉及層面相當廣泛,包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應(Lock-in)、以及雲端服務提供者內部控管不善…等,都是可能發生的實質資安問題 。   在雲端運算產業甫推動之初,各先進國以提出指引的方式,作為產業輔導的基礎,並強化使用者對雲端運算的基本認知,並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3]   歐盟網路與資訊安全機關(European Network and Information Security Agency, ENISA)於2009年提出「資訊安全確保架構」,以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準,參考之依據主要是與雲端運算服務提供者及受委託第三方(Third party outsourcers)有關之控制項。其後也會再參考其他的標準如SP800-53,試圖提出更完善的資訊安全確保架構。   值得注意的是,其對於雲端服務提供者與使用者之間的法律上的責任分配(Division of Liability)有詳細說明:在資訊內容合法性部分,尤其是在資訊內容有無取得合法授權,應由載入或輸入資訊的使用者全權負責;而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時,例如個人資料保護相關規範,基本上應由使用者與服務提供者分別對其可得控制部分,進行適當的謹慎性調查(Due Diligence, DD)[4]。   雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層,則決定了各自應負責的範圍與界限。   在IaaS(Infrastructure as a Service)模式中,就雲端環境中服務提供者與使用者雙方應負責之項目,服務提供者無從知悉在使用者虛擬實體(Virtual Instance)中運作的應用程式(Application)。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器,概由使用者所完全主控,因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。   在PaaS(Platform as a Service)模式中,通常由雲端服務提供者負責平台軟體層(Platform Software Stack)的資訊安全,相對而言,便使得使用者難以知悉其所採行的資訊安全措施。   在SaaS(Software as a Service)模式中,雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式(Entire Suite of Application),因此該等應用程式之資訊安全通常由服務提供者所負責。此時,使用者應瞭解服務提供者提供哪些管理控制功能、存取權限,且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6]   CSA於2010年提出「雲端資訊安全控制架構」(Cloud Controls Matrix, CCM),目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」,係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域(Domain)而來,著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照,例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前,CSA提出的CCM,十分完整而具備豐富的參考價值。   舉例而言,資訊治理(Data Governance)控制目標中,就資訊之委託關係(Stewardship),即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力(Resiliency)控制目標中,要求服務提供者與使用者雙方皆應備置管理計畫(Management Program),應有與業務繼續性與災害復原相關的政策、方法與流程,以將損害發生所造成的危害控制在可接受的範圍內,且回復力管理計畫亦應使相關的組織知悉,以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9]   日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」,此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督,來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍,主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形,其資訊安全的管理議題;其指導原則之依據是以JISQ27002(日本的國家標準)作為基礎,再就雲端運算的特性設想出最理想的資訊環境、責任配置等。   舉例而言,在JISQ27002中關於資訊備份(Backup)之規定,為資訊以及軟體(Software)應遵循ㄧ定的備份方針,並能定期取得與進行演練;意即備份之目的在於讓重要的資料與軟體,能在災害或設備故障發生之後確實復原,因此應有適當可資備份之設施,並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境,使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性;而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證   CSA所推出的「雲端安全知識認證」(Certificate of Cloud Security Knowledge, CCSK),是全球第一張雲端安全知識認證,用以表示通過測驗的人員對於雲端運算具備特定領域的知識,並不代表該人員通過專業資格驗證(Accreditation);此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展,因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版(英文版)」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式,供讀者得以認知如何評估雲端運算可能產生的資訊安全風險,並採取可能的因應措施。 二、CSA雲端安全登錄機制   由CSA所推出的「雲端安全登錄」機制(CSA Security, Trust & Assurance Registry, STAR),設置一開放網站平台,採取鼓勵雲端服務提供者自主自願登錄的方式,就其提供雲端服務之資訊安全措施進行自我評估(Self Assessment),並宣示已遵循CSA的最佳實務(Best Practices);登錄的雲端服務提供者可透過下述兩種方式提出報告,以表示其遵循狀態。   (一)認知評價計畫(Consensus Assessments Initiative)[12]:此計畫以產業實務可接受的方式模擬使用者可能之提問,再由服務提供者針對這些模擬提問來回答(提問內容在IaaS、PaaS與SaaS服務模式中有所不同),藉此,由服務提供者完整揭示使用者所關心的資訊安全議題。   (二)雲端資訊安全控制架構(CCM):由服務提供者依循CCM的資訊安全控制項目及其指導,實踐相關的政策、措施或程序,再揭示其遵循報告。   資安事故的確實可能使政府機關蒙受莫大損失,美國南卡羅萊納州稅務局(South Carolina Department of Revenue)2012年發生駭客攻擊事件,州政府花費約2000萬美元收拾殘局,其中1200萬美元用來作為市民身份被竊後的信用活動監控,其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。   另一方面,使用者也可以到此平台審閱服務提供者的資訊安全措施,促進使用者實施謹慎性調查(Due Diligence)的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度   由日本一般財團法人多媒體振興協會(一般財団法人マルチメディア振興センター)所建置的資訊公開驗證制度[13](安全・信頼性に係る情報開示認定制度),提出一套有關服務提供者從事雲端服務應公開之資訊的標準,要求有意申請驗證的業者需依標準揭示特定項目資訊,並由認證機關審查其揭示資訊真偽與否,若審查結果通過,將發予「證書」與「驗證標章」。   此機制始於2008年,主要針對ASP與SaaS業者,至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成   現國際標準化組織(International Organization for Standardization, ISO)目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017(草案)[14]係針對雲端運算之資訊安全要素的指導規範,而ISO/IEC 27018(草案)[15]則特別針對雲端運算的隱私議題,尤其是個人資料保護;兩者皆根基於ISO/IEC 27002的標準之上,再依據雲端運算的特色加入相應的控制目標(Control Objectives)。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省,クラウドサービスの利用のための情報セキュリティマネジメントガイドライン(2011),http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html,(最後瀏覽日:2013/11/20)。 [10]日本経済産業省,〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉,頁36(2011)年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/(最後瀏覽日:2013/11/20)。 [12]https://cloudsecurityalliance.org/research/cai/ (最後瀏覽日:2013/11/20)。 [13]http://www.fmmc.or.jp/asp-nintei/index.html (最後瀏覽日:2013/11/20)。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).

TOP