日本發布《IoT產品資安符合性評鑑制度建構方針》順應國際IoT產品資安政策趨勢
日本經濟產業省於2024年8月23日發布《IoT產品資安符合性評鑑制度建構方針》（IoT製品に対するセキュリティ適合性評価制度構築方針），以順應國際IoT產品資安政策趨勢，因應日益嚴重的資安威脅。
本制度為自願性認證制度，由情報處理推進機構（情報処理推進機構，簡稱IPA）擔任認證機構進行監督。以IoT產品為適用對象，制定共通因應資安威脅之最低標準，再依不同產品特性需求，制定不同符合性評鑑等級，依評鑑結果進行認證，授予認證標章。不同評鑑等級差異如下：
1.等級一：為共通因應資安威脅之最低標準，可由供應商進行自我評鑑，並以評鑑結果檢查清單申請認證標章，IPA僅會針對檢查清單進行形式確認。
2.等級二：係考量產品特性後，以等級一為基礎，制定應加強之標準，與等級一相同係由供應商評鑑，自我聲明符合標準，IPA僅會針對檢查清單進行形式確認。
3.等級三：係以政府機關或關鍵基礎設施業者為主要適用對象，須經過獨立第三方機構評鑑，並以IPA為認證機構進行認證，確保產品值得信賴。
本制度可協助採購者及使用者依資安需求，選用合適的IoT產品，亦有助於日本與國際IoT產品資安符合性評鑑制度進行協作，達成相互承認，減輕IoT產品供應商輸出海外之負擔。
- 零售業個資保護及資訊安全教育講習
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
鄭岱宜
法律研究員 編譯整理
〈IoT製品に対するセキュリティ適合性評価制度構築方針〉，経済産業省，https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/20240823.html（最後瀏覽日期：2024/10/14）。
〈IoT製品に対するセキュリティ要件適合評価・ラベリング制度を開始します〉，独立行政法人情報処理推進機構，https://www.ipa.go.jp/pressrelease/2024/press20240930.html（最後瀏覽日期：2024/10/14）。
周晨蕙，〈日本立法保護及促進重要經濟安全資訊之利用〉，科技法律研究所，2024/08，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9233（最後瀏覽日︰2024/10/14）。
澳洲聯邦法院封鎖境外網站侵權對我國的啟示 資策會科技法律研究所 法律研究員 盧藝汎 106年10月25日 壹、背景說明 福克斯澳訊（Foxtel）及威秀影視（Village Roadshow）主張其等為電影所有權人及專屬被授權人，境外網站Gomovies、RARBG，1337x及EZTV等非所有權人，未經授權而重製電影，並在境外透過相對人Telstra、Optus、Vocus、TPG等「傳輸服務業者(Carriage Service Providers，下稱CSP)」，使境內網路使用人得以接取該網站內容。該等境外侵權網站在澳洲以電子方式散布未經授權之重製物，已侵害電影所有權人及專屬被授權人著作權，且相對人符合1997年電信法所稱之「設定服務提供者」，遂依澳洲著作權法第115A條（對CSP提供境外網路位置入口之假處分）對相對人提出聲請[1]。2017年8月18日澳洲聯邦法院由不同庭的法官，分別依福克斯澳訊（Foxtel）及威秀影視（Village Roadshow）的聲請，命上述相對人封鎖境外侵害著作權的網站[2]。 反觀我國曾有統一製藥股份有限公司（下稱統一製藥）主張其為「我的美麗日記及圖」商標權人，並於其官網設有「我的美麗日記」面膜之防衛查詢。然「Tenghoo」竟以統一製藥官網之「beautydiary」ㄧ字之差改為「beautydairy」向財團法人台灣網路資訊中心（下稱資訊中心）註冊網域名稱，且其網頁內容與統一製藥官網幾乎相同，並使用「我的美麗日記」註冊商標。為此，統一製藥股份有限公司（下稱統一製藥）主張其為「我的美麗日記及圖」商標權人，並於其官網設有「我的美麗日記」面膜之防衛查詢。然「Tenghoo」竟以統一製藥官網之「beautydiary」ㄧ字之差改為「beautydairy」向財團法人台灣網路資訊中心（下稱資訊中心）註冊網域名稱，且其網頁內容與統一製藥官網幾乎相同，並使用「我的美麗日記」註冊商標。為此，統一製藥以「Tenghoo」及「資訊中心」為相對人向智財法院聲請定暫時狀態假處分，請求「Tenghoo」停止使用網域名稱及網頁內容，及「資訊中心」停止使用「Tenghoo」網域名稱。法院最後「Tenghoo」應停止其於「資訊中心」註冊之網域名稱；然「資訊中心」的聲請確予以駁回[3]。 自澳洲法院與我國法院的裁定結果以觀，可明顯看出二者適用上有所不同，然澳洲法令及司法實務與我國有何不同，此為本文探討的重點，並期待可藉由澳洲法令或司法實務見解尋求我國對境外侵權網站主張定暫時狀態假處分之可行性。 貳、澳洲封鎖境外侵權網站規範及法院見解 澳洲著作權法第115A條為對CSP提供境外網路位置入口假處分之規定（Injunctions against carriage service providers providing access to online locations outside Australia），依該規定第1項、第2項及第4項規定，如境外網站以侵害著作權或促進著作權侵害為主要目的，而CSP提供接取服務使境外網站得侵害著作權或促進著作權之侵害，著作權人經向CSP及境外網站營運者為通知後，得對CSP聲請假處分。法院經審查符合要件，得命CSP對境外網路之禁止使用採行合理措施。但對境外網站營運者之通知，經法院認著作權人已盡合理努力仍無法確認營運者之身分或地址，或無法寄送通知至該營運者之情形，如符合其他要件，法院仍得為假處分裁定[4]。 該條復規定，如符合該法第134條第1項第(f)款之特定行為[5]，即提出著作權之著作或標的未經所有權人授權或專屬授權而為特定行為之證據，得適用第134A條宣誓證據（affidavit evidence）之規定[6]。法院於審理時並須就境外侵權網站其侵權行為惡性、有無善盡注意、是否經他國法院基於同一理由或相關著作權侵害而禁止使用、個案禁止是否符合比例原則及公益原則等事項予以審查[7]。 福克斯澳訊及威秀影視主張境外網站以線上串流（Streaming）、連結（Linking）、連結搜索（Linking Searching）及對等式網路（P2P）四種方式進行侵權，法院認為依據聲請人律師所提出之宣誓證據認為，聲請人有意透過律師通知境外侵權網站之營運者，且以電子郵件及平信寄送通知，依常情可認境外侵權網站營運者對其網路活動會進行交流，聲請人已符合善盡通知義務之要件。又法條雖明定著作權人方可提起聲請，惟專屬授權人依照該法第119條，除著作權人另有反對意思外，專屬授權之被授權人與著作權人救濟權利同。故其雖非權利人，仍得成為本案之聲請人。另相對人未對聲請人於本案是否有著作權或聲請人是否為著作權人提出異議，且本案未有證據可證明聲請人非著作權人，依照同法第126條可推定其聲請人主張之著作權存在，且為著作權人。 依據宣誓證據顯示相對人有提供境外網站提供接取（access）之行為，且境外網站以侵害著作權或促進著作權侵害為主要目的，而有侵害著作權或促進著作權之侵害之行為。再者，境外網站以公然方式為著作權的侵害，足徵無視著作權人之權利，且以其中一個境外網站為例，其透過「istole.it」的網域名稱（domain name）及其他通知方式鼓勵使用者使用該技術以防止著作權人採取法律措施的可能。另外，已有許多境外網站於其他管轄法院已對相關網站位置有封鎖假處分。 法院綜合以上判斷，命相對人須於15個工作日內對境外網站為合理的阻斷措施，即至少對境外侵權網站之DNS、IP、URL與網域名（domain name），或其他兩造以書面協議可阻斷網路位置之替代手段擇一進行執行，倘僅擇一行使應於15個工作日通知聲請人已為之執行。 參、我國封鎖境外侵權網站規範及法院見解 我國智慧財產權遭到侵害或有被侵害之虞時，權利人尚未向法院提請排除該侵害之訴訟前，就雙方爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類似之情形而有必要時，得按民事訴訟法第538條第1項規定，向法院聲請定暫時狀態假處分。復按智慧財產案件審理法第22條第2項規定，聲請定暫時狀態之處分時，聲請人就其爭執之法律關係，為防止發生重大之損害或避免急迫之危險或有其他相類之情形而有必要之事實，應釋明之；其釋明有不足者，法院應駁回聲請。從而，法院審理智財權案件之定暫時狀態假處分須符合以下要件：㈠有爭執法律關係存在；㈡聲請人釋明[8]有定暫時狀態之必要性[9]。 在前述的統一製藥「我的美麗日記」面膜侵權案，法院以統一製藥未積極「釋明」[10]資訊中心與境外侵權人「Tenghoo」有何共同或幫助侵權之情事，且該中心亦陳明如經法院裁定「Tenghoo」禁止使用命令後，亦會停止「Tenghoo」之使用，聲請人目的亦可達成而欠缺聲請必要性，是對該中心聲請部分予以駁回[11]。故網路服務使用者（即直接侵權人）如有侵害智慧財產權之行為，且符合前揭定暫時狀態假處分之要件，法院雖得裁定命使用者暫停使用。然而，相關之網路服務提供者是否有間接侵權，則需由被害人「釋明」與其是否有「爭執之法律關係」，且如法院已命使用者暫停使用，則對間接侵權人聲請亦欠缺「必要性」之要件。換言之，權利人對間接侵權人聲請定暫時狀態假處分必要性之有無，與對網路服務使用者有無定暫時狀態假處分具有程度上的依從關係；此外，權利人尚需就「爭執法律關係」及「必要性」雙重要件為「釋明」。 肆、澳洲法與我國法之差異 依照前述澳洲聯邦法院裁定，可以將澳洲法院審查順序排列為：是否已為通知→著作權存在且為所有權人→ＣＳＰ是否使境外網路位置得以為境內接取→網路位置是否侵害著作權或促進著作權侵害→網路位置有侵害意圖→其他注意事項。本文將從網路服務提供者「幫助」之認定要件、專屬授權人是否得提起假處分聲請、以證人作成之書面得否作為證據及裁定合理措施等項目作為我國參考： (一)網路服務提供者「幫助」之認定要件 澳洲規定境外網站須有侵權行為及主觀上的認知，而CSP僅須有使境外網站得以進入境內之事實即可。我國則需要對「爭執法律關係」及「必要性」兩個要件釋明，而爭執法律關係係指網路服務提供者「共同」或「幫助」境外網站之行為及認知。從而，在網路服務提供者方面，我國較為嚴格，考量網路服務提供者使境外侵權網站進入我國，難想像其有共同或幫助境外侵權網站主觀認知，要求聲請人應釋明網路服務提供者主觀意思，無疑造成有規定卻無法使用的窘境。 (二)專屬授權人是否得提起假處分聲請 專屬授權之被授權人依澳洲著作權法規定，除著作權人另有反對意思外，其與著作權人救濟權利同。該國法院依前開規定認為法條雖僅規定「著作權人」，然依該規定當然可成為聲請人，而我國著作權法第37條第4項[12]亦有類似規定。換言之，在我國著作權專屬之被授權人自亦得成為聲請人。 (三)以證人作成之書面得否作為證據 從澳洲聯邦法院的裁定來看，多係以宣誓證書作為裁定與否的證據。然我國民事訴訟法無宣誓證據之明文，證人如未出席僅提出書面文件是否得採為證據，過去實務採否定見解[13]，而在民國89年民事訴訟法於第305條修正第2項及第3項後，法院於適當時得命兩造會同證人於公證人前作成陳述狀，或經兩造同意，證人亦得於法院外以書狀為陳述。從而，在我國境外侵權封鎖之情形，依前開規定仍有可能以證人作成之書面有證據能力，而得作為裁定封鎖與否之基礎。 (四)裁定合理措施 澳洲法院在裁定中命相對人對境外侵權網站之DNS、IP、URL與網域名（domain name），或其他兩造以書面協議可阻斷之替代手段擇一或二者以上進行執行，倘未全部執行，相對人應於裁定後15個工作日內通知聲請人已為執行之行為。我國依現行規定，法院僅得命網路服務提供者封鎖網站，不若澳洲因明定「合理措施」，使得澳洲法院得命相對人有未執行全部手段之情形時，有通知聲請人之義務。 伍、結論 我國與澳洲均有得向法院聲請網路服務提供者封鎖境外侵權網站之規定，惟就聲請要件來看，我國需釋明網路服務提供者主觀要件顯較澳洲嚴格，且實務上亦欠缺可行性；而對於境外網站營運者之通知，澳洲法院僅須認定著作權人已盡合理努力，即得為假處分裁定，使得假處分裁定發出更具可能性；另就封鎖效果而言，我國亦缺乏如同澳洲得命網路服務提供者回報執行情形，無法使被侵權人知悉執行情形。澳洲法令對言論自由侵害由公正第三人法院加以判斷，並符合網路服務提供者執行實務，以兼顧著作權人及境外網站之保障，應值我國未來對此類定暫時狀態假處分修法之參考。 [1] Roadshow Films Pty Ltd v Telstra Corporation Limited [2017] FCA 965, http://www.judgments.fedcourt.gov.au/judgments/Judgments/fca/single/2017/2017fca0965; FOXTEL MANAGEMENT PTY LTD v TPG INTERNET PTY LTD, https://www.comcourts.gov.au/file/Federal/P/NSD663/2017/3787886/event/29056799/document/1018339(last visited Oct. 20, 2017). [2] Court Orders Aussie ISPs to Block Dozens of Pirate Sites , https://torrentfreak.com/court-orders-aussie-isps-to-block-dozens-of-pirate-sites-170818/(last visited Oct. 20, 2017). [3] 參智慧財產法院102年度民暫字第3號裁定。 [4] See Copyright Act 1968 §115A, http://www.austlii.edu.au/cgi-bin/viewdoc/au/legis/cth/consol_act/ca1968133/s115a.html(last visited Oct. 20, 2017). [5] See Copyright Act 1968 §134A, http://www.austlii.edu.au/cgi-bin/viewdoc/au/legis/cth/consol_act/ca1968133/s134a.html(last view 2017.10.20) [6] 該條第2項規定，除以作成宣誓書之人為證人詰問，或於訴訟程序審理中，雖作成者未出席，法院得依情形准予使用宣誓書外，就宣誓書於程序中詰問，得不予使用。原文同前註。 [7] 法條共列出11項參考事項，參註4。 [8] 釋明則係指當事人提出證據，使法院產生較薄弱之心證，相信其主張之事實大致可信之行為，最高法院99年度台抗字第768號、98年台抗字第913號裁定參照。 [9] 必要之有無實務上以利益衡量原則為判准，最高法院98年度台抗字第359 號裁定意旨參照。另可參智慧財產案件審理細則第37條第3項規定「法院審理定暫時狀態處分之聲請時，就保全之必要性，應審酌聲請人將來勝訴可能性、聲請之准駁對於聲請人或相對人是否將造成無法彌補之損害，並應權衡雙方損害之程度，及對公眾利益之影響。」 [10] 對網路服務提供者提起定暫時狀態假處分，實務上另有智財法院105年度民暫字第11號裁定，聲請人向法院聲請臉書、google、露天等公司應將其廣告放置網路上，然經法院認因聲請人未釋明與該等公司有何法律關係之爭執而駁回聲請。 [11] 參智慧財產法院102年度民暫字第3號裁定。 [12] 專屬授權之被授權人在被授權範圍內，得以著作財產權人之地位行使權利，並得以自己名義為訴訟上之行為。著作財產權人在專屬授權範圍內，不得行使權利。 [13] 最高法院20年上字第2490號判例。
日本對於中小企業之智財協助措施—以知的財產推進計畫2018之具體實施內容為例日本對於中小企業之智財協助措施—以知的財產推進計畫2018之具體實施內容為例 資策會科技法律研究所 陳昱宏 法律研究員 107年11月12日 一、前言 日本知的財產戰略本部在2013年6月決定「知的財產政策願景」，作為日本推動智財計畫之政策主軸。5年來，隨著時間推移，社會環境及科技亦快速變化，日本知的財產戰略本部即於2018年6月12日推出新版「知的財產政策願景」。不論新舊版「知的財產政策願景」，均以強化中小企業智財戰略作為計畫推動目標之一，此係因日本內閣認為中小企業肩負起地方經濟之重責大任，為能使其活用智財能量，從2016年起即推出各種協助措施，如「活化地方智慧財產行動計畫」、「智財綜合協助窗口」等等。本文即欲以「2018知的財產推進計畫」中第5、8項之內容，介紹日本對於中小企業智財協助措施，提供我國未來在協助中小企業智財發展政策措施上不同思維。 二、中小企業等專利費用減免制度 2018日本知的財產推進計畫第5項為「為促進中小企業活用智財，除加強對於中小企業宣傳專利法修正後中小企業專利費用減半，及申請流程」。 日本特許廳官網即於2018年7月公布了「專利費等減免制度」之相關措施[1]，該制度係以個人、法人、研發型中小企業及大學為對象，在滿足一定要件之前提下，就專利申請費用及專利費（第1至10年）及與申請國際專利有關之調查手續費用，可申請減免。特許廳除附上相關規定之連結外，亦整理減免對象一覽表如下： 減免對象 法源依據 措施內容 中小新創企業 及小規模企業 產業競爭力強化法第66條 〈專利[2]〉 專利申請費用：減免1/3 專利費（第1至10年）：減免1/3 調查手續費、送件手續費：減免1/3 預備調查手續費：減免1/3 研發型中小企業 產業競爭力強化法第18條 中小製造業高度化法第9條 〈專利[3]〉 專利申請費用：減免1/2 專利費（第1至10年）：減免1/2 研發型中小企業 （亞洲據點化推動法） 亞洲據點化推動法第10條 〈專利[4]〉 專利申請費用：減免1/2 專利費（第1至10年）：減免1/2 經認定能帶動地方 經濟發展中小企業 促進地方發展強化法第21條 〈專利[5]〉 專利申請費用：減免1/2 專利費（第1至10年）：減免1/2 經認定之重點 推動計畫中小企業 福島再興條例第84條 〈專利[6]〉 專利申請費用：減免1/2 專利費（第1至10年）：減免1/2 針對相關措施特許廳製作手冊及問題集[7]供中小企業參考。然而減免措施琳瑯滿目，且減免條件多有不同，中小企業未必能確知自己是否符合減免條件，故特許廳設計了簡易選單協助個人及中小企業[8]及研發型中小企業自行檢視[9]。 三、智慧財產商業性評價書 知的財產推進計畫2018第8項說明「為了使金融機構在對企業進行商業性評估時，能充分考量企業所擁有之智財能量，所以在『智慧財產商業性評價書』，應考量金融機關之意見，強化對於中小企業製作評價書之支援」。 日本金融廳在2016年之年度金融行政方針中提及，為使金融機構充分發揮融資之機能，確保金融制度完善。所以希望建立一套不過度依賴擔保品或保證人之制度，透過往來企業之業務及發展性，為適當之評價（商業性評價），以此為融資或佐證之制度。如此除了提供金融機關一個持續可能之新型態業務選擇外，亦可活化地方經濟。企業所擁有之智慧財產權所具有之隱性價值，常為經營者所忽略，為能將此等資產加以活用，智財商業性評價書相關業務交由智慧財產主管機關特許廳主責辦理，並設有智財金融入口網站[10]，供金融機構查詢，評價書製作流程如下： 金融機構就往來之中小企業客戶，向特許廳委託機構申請評價。 特許廳委託機構(三菱UFJ研究及管理顧問股份有限公司)將評價書作成費用交付與有合作之調查公司（多家）及下達相關指示。 合作之調查公司向中小企業為調查，並聽取相關意見。 合作之調查公司將做成之調查評價書交予特許廳委託機構。 特許廳委託機構將調查評價書交予金融機構。 金融機構將調查評價書加以活用於融資 資料來源：圖1 圖解智財評價書 以下有幾個注意事項[11]： 重點一：只有金融機關（包括地方創投基金）可以申請。 重點二：金融機關申請前應向往來企業說明。 重點三：以持有商標、專利(發明、新型、設計)等智慧財產權之企業為評價對象 重點四：金融機關可於申請時，選擇調查公司 重點五：評價書在提供予金融機關一段時間後，相關事務局可向金融機關為事後追蹤。 該入口網站亦說明，此制度之優點在於手續簡單（無須檢附任何資料），無須費用費用完全由特許廳負擔。 四、我國展望 我國中小企業相對於大型企業而言，在智慧財產權之意識或保護上均屬相對弱勢，政府除持續宣導智慧財產制度之重要性及優點之外，亦應考慮是否能有相關之協助措施，幫助其充分活用智財能量。本文所介紹日本2018知的財產推進計畫中兩項政策措施，前者透過專利費用之減免，使中小企業在不過度負擔之情形下，能善用專利制度，保障自己智慧財產之結晶，後者透過評價書之製作，使中小企業能獲得銀行在資金上之挹注。 我國對於中小企業雖已有專利費用減免措施，惟限於專利年費，且僅有6年[12]優惠期間；另，我國雖已形成無形資產評價產業，但金融機構對於智財融資，仍處於觀望階段，中小企業未必能透過無形資產評價取得資金需求，故若能適當取法日本對於中小企業在智慧財產取得面及融資面之協助，應能使我國中小企業對於智慧財產加以活用，提升我國整體競爭力。 [1] 〈特許料等の減免制度〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/genmensochi.htm（最後瀏覽日：2018/10/25）。 [2] 〈中小ベンチャー企業、小規模企業を対象とした審査請求料・特許料・国際出願に係る手数料の軽減措置について〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/chusho_keigen.htm（最後瀏覽日：2018/10/25）。 [3] 〈研究開発型中小企業に対する審査請求料及び特許料（第1年分から第10年分）の軽減措置について〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/chusho24_4.htm（最後瀏覽日：2018/10/25）。 [4] 〈研究開発型中小企業（アジア拠点化推進法）に対する審査請求料及び特許料（第1年分から第10年分）の軽減措置について〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/chushoasia24_11.htm（最後瀏覽日：2018/10/25）。 [5] 〈地域経済牽引事業の促進による地域の成長発展の基盤強化に関する法律に基づく審査請求料及び特許料（第1年分から第10年分）の軽減措置について〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/chiiki_kenin_shinsaryo_tokkyoryo.htm（最後瀏覽日：2018/10/25）。 [6] 〈福島復興再生特別措置法第84条に基づく審査請求料及び特許料（第1年分から第10年分）の軽減措置について〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/fukushima_genmen.htm（最後瀏覽日：2018/10/25）。 [7] 〈リーフレット「特許関係料金減免制度のご案内 概要版（対象：個人・中小企業等）〉，特許廳網站https://www.jpo.go.jp/shiryou/s_sonota/pdf/panhu/exemption_info.pdf（最後瀏覽日：2018/10/25）。 [8] 〈個人・中小企業向け特許料等減免制度の簡易判定ページ〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/hantei_kani.htm （最後瀏覽日：2018/10/25）。 [9] 〈簡易判定ページ〉，特許廳網站https://www.jpo.go.jp/tetuzuki/ryoukin/hantei_kani/kenkyu_00.htm （最後瀏覽日：2018/10/25）。 [10] 〈智財金融ポーダルサイト〉，智財金融入口網站http://chizai-kinyu.go.jp/ [11] 〈平成30年度中小企業等知財金融促進事業の意義・事業紹介〉，平成30年度中小企業等知財金融促進事業知財金融基礎研修会・公募説明会第二部，頁12（最後瀏覽日：2018/09/05）。 [12] 〈專利Q&A〉，經濟部智慧財產局網站https://www.tipo.gov.tw/ct.asp?xItem=504276&ctNode=7633&mp=1
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。
新加坡修訂「建築物資通訊設施實施條例」