歐盟委員會發布NIS 2實施條例以定義資安重大事件
歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union，下稱NIS 2）的第一個實施條例（下稱「實施條例」）。NIS 2要求企業發生重大事件（Significant incident）後24小時內，應向會員國主管機關通報，依實施條例之規定，符合以下任一條件會被視為重大事件：
1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。
2. 造成商業機密洩漏。
3. 已造成或能造成自然人死亡。
4. 對自然人健康已造成或能造成大量傷害。
5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。
6. 反覆發生的事件。
7. 符合第5條至第14條特定資訊服務的事件。
實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條，定義「反覆發生」的要件，包含：(1)6個月內發生兩次；(2)有相同的根本原因；(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件，而其他資訊服務則包含DNS（domain name system）服務、TLD（top-level domain）網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等，對於不同服務可能造成的影響各別列舉視為重大事件的條件。
歐盟委員會發布該實施條例確立何謂重大事件，並依歐盟考量資訊安全威脅所制定的NIS 2，將公共電子通訊網路或服務、會員國等進行連結，要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務，建立資訊安全通報機制，確保歐盟有整體的資訊安全戰略及框架，阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準，其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響，以及資通系統運作遭中斷對可用性的影響為依據，但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義，可做為我國相關主管機關參考對象，研擬更準確的資通安全事件標準。
- EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024)
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）
毛定瑜
副法律研究員 編譯整理
EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024),https://ec.europa.eu/newsroom/dae/redirection/document/109217 (last visited Nov. 07, 2024).
Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union, https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX:32022L2555 (last visited Nov. 07, 2024).
英國政府於2025年1月31日發布「人工智慧網路資安實務守則」（Code of Practice for the Cyber Security of AI，以下簡稱「實務守則」），目的是提供人工智慧（AI）系統的網路資安指引。該實務守則為英國參考國際上主要標準、規範後所訂定之自願性指引，以期降低人工智慧所面臨的網路資安風險，並促使人工智慧系統開發者與供應商落實基本的資安措施，以確保人工智慧系統的安性和可靠性。 由於人工智慧系統在功能與運作模式上與傳統網路架構及軟體有明顯的不同，因此產生新的資安風險，主要包含以下： 1. 資料投毒（Data Poisoning）：在AI系統的訓練資料中蓄意加入有害或錯誤的資料，影響模型訓練結果，導致人工智慧系統產出錯誤推論或決策。 2. 模型混淆（Model Obfuscation）：攻擊者有意識地隱藏或掩飾AI模型的內部運作特徵與行為，以增加系統漏洞、引發混亂或防礙資安管理，可能導致AI系統的安全性與穩定性受損。 3. 輸入間接指令（Indirect Prompt Injection）：藉由輸入經精心設計的指令，使人工智慧系統的產出未預期、錯誤或是有害的結果。 為了提升實務守則可操作性，實務守則涵蓋了人工智慧生命週期的各階段，並針對相關角色提出指導。角色界定如下： 1. 人工智慧系統開發者（Developers）：負責設計和建立人工智慧系統的個人或組織。 2. 人工智慧系統供應鏈（Supply chain）：涵蓋人工智慧系統開發、部署、營運過程中的的所有相關個人和組織。 實務守則希望上述角色能夠參考以下資安原則，以確保人工智慧系統的安全性與可靠性： 1. 風險評估（Risk Assessment）：識別、分析和減輕人工智慧系統安全性或功能的潛在威脅的過程。 2. 資料管理（Data management）：確保AI系統整個資料生命週期中的資料安全及有效利用，並採取完善管理措施。 3. 模型安全（Model Security）：在模型訓練、部署和使用階段，均應符合當時的技術安全標準。 4. 供應鏈安全（Supply chain security）：確保AI系統供應鏈中所有利益相關方落實適當的安全措施。 「人工智慧網路資安實務守則」藉由清晰且全面的指導方針，期望各角色能有效落實AI系統安全管控，促進人工智慧技術在網路環境中的安全性與穩健發展。
美國第二大連鎖商信用卡資料外洩美國第二大連鎖商塔吉特（Target）在12月19日正式發出郵件通知客戶，表示公司資訊系統因遭駭客入侵，從2013年11月27日至12月15日期間內的刷卡記錄可能遭竊，約莫共4千萬筆，遭竊內容包含姓名、卡號、卡片到期日和卡片驗證碼。目前美國的塔吉特連鎖店推出全面9折的優惠來挽回消費者的信心，並對資料外洩的個別民眾提供免費的信用監督作為補償。 每當資安事件發生時，所有防毒軟體公司及資安管理服務都會跳出來大肆評論，並宣稱這是因為沒有購買自家資安服務或產品的關係，但在塔吉特事件，此番事後諸葛的批判方式顯然不再行得通。 塔吉特的資訊系統先前接受過檢驗，完全符合「支付卡產業資料安全標準（PCI DSS）」，有專家評析不太可能是在銷售點管理（POS）設備上（指擁有收銀、進銷存作業功能的機器）植入惡意軟體，比較可能是從授權與結算的交換系統竊取資料。 塔吉特的信用卡資料外洩事件，引發了一連串的訴訟案件及犯罪調查，目前加州提起了兩件團體訴訟、奧勒岡州一件，損害賠償額估計高於5百萬美元；另外，目前至少有四州的州檢察長（Attorney General）展開了聯合調查，直接要求塔吉特配合提出信用卡資料遭竊事件的相關資訊，民眾和調查機關最關注的在於塔吉特何時得知資料遭竊事件的發生、花了多久時間進行應變以及是否有盡到立即通知當事人的義務。同時間，從塔吉特流出去的數百萬筆信用卡和簽帳卡資料已經開始在黑市中販售每筆價格20至100美元不等。
WTO判澳洲素面菸品包裝一案勝訴WTO爭端小組於2018年6月28日裁決澳洲「素面菸品包裝案」（Australia—Tobacco Plain Packaging）由澳洲勝訴，本案歷時長達5年，係由古巴、宏都拉斯、多明尼加共和國及印尼4個WTO成員針對澳洲2011年實施「素面菸品包裝法案」（Plain Packaging Act）向WTO爭端解決機構提出控訴。 澳洲系爭法案要求菸盒外觀應採統一規格之外觀，禁止使用具識別性鮮明的顏色，不得出現任何具有宣傳效果之商標或印記，僅能以單調的橄欖色為主色，品牌名稱需以小型標準字體印刷，健康警示圖片需占菸盒面積正面75%，背面90%，以達降低國內吸菸人口、保護國民健康之目的。 原告方認為法案侵害菸商使用商標權利，能否有效達到減緩菸害之目的仍有疑義，主張該法制造成不必要之貿易障礙。爭端小組檢視原被告主張與證據，認定澳洲法律係透過減少菸品使用、改善公眾健康目的，手段與目的之間具合理關聯性，駁回原告主張其他替代措施具同等效果的訴求、侵犯商標違反智慧財產權的論點。 此案被視為全球公共健康衛生政策與貿易衝突之指標性案件，目前法國、匈牙利、愛爾蘭、紐西蘭、挪威、斯洛維尼亞、英國均已通過此類包裝規定，而比利時、加拿大、哥倫比亞、印度、巴拿馬、土耳其、新加坡與馬來西亞等國亦有意比照辦理。惟國際菸草產業質疑此項裁定，將使其他欲實施嚴格管制菸品、酒類與垃圾食品的國家開先例，不利於商標權保護與發展。
英國發布出口軍用與軍民兩用技術定義與範圍之指南英國國際貿易部（Department for International Trade, DIT）於2021年3月22日發布《出口軍用與軍民兩用技術定義與範圍之指南》（Exporting military or dual-use technology Guidance: definitions and scope），以協助使用者定義「技術」與「轉讓軍用或軍民兩用技術的法規範圍」。指南中說明，出口管制目的旨在防止出口技術及技轉可能導致開發或製造武器而危及國家安全，而非禁止合法貿易或知識傳播。任何管制技術的永久或暫時性出口或技轉（Technology transfer）均應取得出口許可證，包括展演、海外招標或投標、履約等行為。 首先在適用主體上，指南說明適用出口管制規範，為所有在英國國境內之人（不論國籍）和組織以及特定情況下的海外英國人，向外國人或海外地區為出口、技轉、或是使海外人員取得受管制技術之情況。 指南中所謂技術者，包含《英國戰略出口管制清單》（UK Strategic Export Control Lists）、《2008年出口管制命令》（The Export Control Order 2008）與歐盟理事會第428/2009號規則（Council Regulation No 428/2009）之內容。有些管制技術會以不同形式呈現，例如藍圖、計畫、模型、程式、指導手冊等，其呈現的形式亦屬管制範圍。此外，部分技術若與大規模破壞武器（Weapon of Mass Destruction, WMD）、武器貿易禁令（arms embargoes）以及未經授權的軍事出口有關者，亦可能屬於受管制之技術，因此定義上十分廣泛。因應科技和網路發展，出口和技轉亦會以不同方式呈現。指南中說明，技轉包含（1）以有形的物理文件或存載於媒體的方式技轉，例如隨身碟、硬碟、筆電或平板等；（2）以電子式等無形形式技轉，例如電子郵件傳送等。無論受管制技術之技轉是否加密，均需取得出口許可證。 針對前述定義之出口和技轉方式，指南中也例示技術移轉或出口的不同態樣，例如（1）電話會議及視訊會議；（2）電子郵件；（3）筆電、手機等可記憶之設備；（4）跨國公司內部傳送；（5）雲端儲存；（6）在國外下載使用管制技術；（7）員工在海外使用/存取內部網路；（8）第三方在海外使用/存取公司內部網路或雲端服務；（9）IT系統維護與測試。以上方式均應個別判斷是否需要申請出口許可證。此外，技術所有者應主導出口管制規範之法遵，故應了解客戶、供應商、分包商等第三方服務業者之詳細資訊，且於契約中明訂各方的出口管制責任及相關條款，並隨時確認接受者或第三方是否得自不同管道取得管制技術及相關訊息，並於可能出口和或技轉管制技術時，立即申請出口許可證。