本文為「經濟部產業技術司科技專案成果」
開放台資過半持股取得ICP經營許可證之初步評估-以遊戲產業為主- 科技法律研究所 2013年06月25日 壹、背景說明 根據海基會、海協會於102年6月21日共同簽署的兩岸服務貿易協議[1] ,其就電信服務類之增值電信服務,以「在線數據處理與交易處理(僅限於經營性電子商務網站)」為範圍,開放「允許臺灣服務提供者在福建省設立合資企業,提供在線數據處理與交易處理業務,臺資股權比例不超過 55%」。 貳、簽署前中國大陸對台遊戲業設置經營網站之限制說明 一、電子商務網站經營者皆須取得ICP證、SP證(本次開放重點) (一)互聯網信息服務增值電信業務經營許可證(ICP證) 依照中國大陸「互聯網信息服務管理規定」第3條、第4條規定,互聯網信息服務依照是否有償提供信息服務活動,區分為經營性互聯網信息服務及非經營性互聯網信息服務。並依照「互聯網信息服務管理規定」第7條規定,透過互聯網向互聯網上網用戶有償提供信息服務活動者,須向地方電信管理機構或工信部申請,取得「互聯網信息服務增值電信業務經營許可證」(大陸簡稱ICP證)[2]取得ICP經營許可證者,才能從事:網上廣告、代製作網頁、出租服務器內儲存空間、主機託管、有償提供特定信息內容、電子商務及其它網上應用服務等。 在外商申辦ICP證的情況中,依照中國大陸「互聯網信息服務管理規定」第17條規定,應事前經中國大陸國務院信息産業主管部門審查同意,且外商投資的比例應符合相關規定。對此,中國大陸在加入WTO後,僅承諾有限度地開放電信業務市場。 在中國大陸商務部發布的「外商投資產業指導目錄」中,電信公司增值電信業務屬於「限制外商投資」項目,包括組織型態、業務活動範圍、投資比例等投資條件與審批程序,皆有一定的規範。根據中國大陸國務院「外商投資電信企業管理規定」[3]第2條規定,外商投資電信企業,只能以「中外合資經營」形式[4],共同投資經營電信業務。同時「外商投資電信企業管理規定」第6條規定,外商投資電信企業,在增值電信業務部分,外方投資者在企業中的出資比例,最終不得超過50%[5]。亦即,在一般外商投資電信企業的情況中,受限於股權比例上限,外商通常無法掌握企業經營權。 (二)增值電信業務經營許可證 在網站經營涉及增值電信業務時,根據中國大陸「電信業務經營許可管理辦法」[6],亦需取得「增值電信業務經營許可證」(大陸簡稱SP證)[7]。其中業務覆蓋範圍在兩個以上省、自治區、直轄市的,須經國務院資訊產業主管部門審查批准,取得「跨地區增值電信業務經營許可證」。若業務覆蓋範圍在一個省、自治區、直轄市行政區域內的,須經省、自治區、直轄市電信管理機構審查批准,取得「增值電信業務經營許可證」[8]。且同樣地,依據「電信業務經營許可管理辦法」第9條第3項規定,外商投資電信企業申辦電信業務經營許可證亦須根據「外商投資電信企業管理規定」辦理。亦即,一般而言在外商投資者出資比例不得超過50%。 在本次兩岸服務貿易協議中,爭取到台資得以試點方式在福建地區以過半股權提供「在線數據處理與交易處理業務」,依據中國大陸「電信業務分類目錄(2003版)」規定,亦屬於增值電信業務一種。此業務是指「利用各種與通信網絡相連的數據與交易/事務處理應用平臺,通過通信網絡為用戶提供在線數據處理和交易/事務處理的業務」。簡言之,包括交易處理業務、電子數據交換業務和網絡/電子設備數據處理業務。 二、網路遊戲網站經營尚需取得其他經營許可證 在中國大陸除上述ICP證外,還必須經過相關主管機關審批,取得相對應的主體資格與許可證後,始得經營線上遊戲業務。也就是除ICP證外,還必須取得:「網絡文化經營許可證」、「互聯網出版許可證」。 (一)網絡文化經營許可證 有關「網絡文化經營許可證」,依據中國大陸文化部「互聯網文化管理暫行規定」,網路遊戲屬於一種互聯網文化產品,因此要經營網路遊戲前,就必須先申請設立「經營性互聯網文化單位」,通過審批同意設立後,方可領取「網絡文化經營許可證」(大陸簡稱文網文)。並依照「關於文化領域引進外資的若干意見(文辦發[2005]19號)」及「經營性互聯網文化單位申報指南」規定,除香港和澳門服務提供者可設立由中國大陸控股的經營性互聯網文化單位外,不受理外商投資互聯網信息服務提供者申請從事互聯網文化活動。亦即由台灣業者投資設立之企業無法取得網絡文化經營許可證。 (二)互聯網出版許可證 其次,根據中國大陸的「互聯網出版管理暫行規定」第5條規定,互聯網信息服務提供者將自己創作或他人創作的作品經過選擇和編輯加工,登載在互聯網上或者通過互聯網發送到用戶端,供公眾瀏覽、閱讀、使用或者下載的在線傳播行為稱為互聯網出版,包括,圖書、報紙、期刊、音像製品、電子出版物等出版物內容或者在其他媒體上公開發表的內容。對此,根據「互聯網出版管理暫行規定」第6條規定,需先經過新聞出版總署的批准,具備合法互聯網出版機構的資格,並領有「互聯網出版許可證」,方可從事網路遊戲的線上營運業務。同時,依據中國大陸新聞出版總署發出「關於貫徹落實國務院〈“三定”規定〉和中央編辦有關解釋,進一步加強網絡遊戲前置審批和進口網絡遊戲審批管理的通知」規定,外商禁止以獨資、合資、合作等方式在中國境內投資從事網絡遊戲運營服務,任何外商不得通過設立其他合資公司、簽訂相關協議或提供技術支持等間接方式實際控制和參與境內企業的網絡遊戲運營業務。亦即,由台灣業者投資設立之企業亦無法取得網絡文化經營許可證。 三、針對內容本身,亦須完成相關審批作業 台灣線上遊戲產品進口中國 ,除須向中國新聞出版總署提出「引進版互聯網遊戲出版物出版申請」審批同意、取得「中國標準書號(業界一般俗稱版號)」,版號每年有總量管制,核發過程容易受技術性操作而影響取得版號時間。另依據中國文化部「關於加強網絡遊戲產品內容審查工作的通知」(2004)第十點規定:「進口中國香港、澳門特別行政區和臺灣地區的網路遊戲產品參照外國網絡遊戲產品辦理相關手續」。也就是說,臺灣的線上遊戲上市前填具「文化部進口遊戲產品內容審查申請表」、「文化部進口網絡遊戲產品材料登記表」等,向中國文化部提出遊戲產品內容審查。 本次協商,線上遊戲業管機關在徵詢業者意見後,努力向陸方爭取其承諾「在申請材料齊全的情況下,對進口臺灣研發的網絡遊戲產品進行內容審查(包括專家審查)的工作時限為2個月」。 附件、遊戲出版相關審批 ‧電子出版物出版單位與境外機構合作出版物之審批:《外商投資產業指導目錄》,電子出版物(含電子遊戲、網路遊戲等產品)的出版、製作和進口屬於「禁止外商投資項目」,因此台灣遊戲業者要進入中國大陸市場,僅能透過與當地廠商以合作的方式出版遊戲產品,而合作案也須先經過新聞出版總署的審批程序,方可進行。 ‧電子出版物出版許可證:根據《出版管理條例》第41條與《電子出版物出版管理規定》第38條規定,出版遊戲的企業必須具備電子出版物出版單位的資格,並領有電子出版物出版許可證,才是合法的出版單位。 ‧電子出版物專用書號:根據中國大陸《出版管理條例》第29條規定,出版物須載明書號、刊號或版號等,此處所指「書號」係指「電子出版物專用書號」。遊戲產品亦屬於電子出版物一種,按規定必須要申請到「電子出版物專用書號」方可出版。 ‧出版物進口經營許可證:依據其《出版管理條例》第41條規定,只要是出版物(報紙、期刊、圖書、音像製品、電子出版物)之進口,都必須透過領有「出版物進口經營許可證」的出版物進口經營單位。 ‧文化部進口網絡遊戲產品內容審查:根據中國大陸文化部2004年發布《關於加強網絡遊戲產品內容審查工作的通知》規定,外國網路遊戲產品須經文化部之內容審查通過後,方可上線營運。因此,一款境外的網路遊戲產品應由具備《網絡文化經營許可證》及營業執照之互聯網文化單位,向文化部提出內容審查的申請。 ‧出版境外著作權人授權的互聯網遊戲作品審批:台灣的網路遊戲若要進口到中國大陸,除須經過其文化部有關網路遊戲的內容審查程序外,尚須經過向其新聞出版總署提出「引進版互聯網遊戲出版物出版申請」,通過「出版境外著作權人授權的互聯網遊戲作品審批」的審查程序。 ‧圖書、期刊、音像製品、電子出版物重大選題備案:根據2011年甫修訂之《出版管理條例》第20條規定,在中國大陸從事出版行為,若有涉及國家安全、社會安定的重大選題,一律向其中央新聞出版總署申請「重大選題備案」程序,待備案通過後,方允許出版含有該內容之出版物。 ‧複製經營許可證:根據《出版管理條例》、《電子出版物出版管理規定》,電子出版物的複製業務係採許可制度,即須向其新聞出版總署提出電子出版物複製單位的設立申請;且電子出版物亦應委託經領有《複製經營許可證》之複製單位複製。若屬於境外委託複製之出版物,尚須持著作權人授權書,向著作權行政部門進行登記。 ‧出版物經營許可證:臺灣業者若在中國大陸申請設立電子出版物發行單位,便須按照其預計從事的業務活動範圍(例如:總發行、批發、零售)提出審批申請,經批准許可後,皆領取《出版物經營許可證》,但會在證書上註明准予從事的業務活動範圍。 ‧出版境外著作權人授權的電子出版物審批:臺灣作者可將作品內容授權給中國大陸電子書業者置入電子書閱讀器出版,惟依據《電子出版物出版管理規定》,應由當地業者備妥相關文件,提出「出版境外著作權人授權的電子出版物審批」的申請程序。 [1]兩岸服務貿易協議,頁35,http://www.mac.gov.tw/public/Attachment/362114511675.pdf(最後瀏覽日102/06/22)。 [2]互聯網信息服務管理規定第7條:「从事经营性互联网信息服务,应当向省、自治区、直辖市电信管理机构或者国务院信息产业主管部门申请办理互联网信息服务增值电信业务经营许可证(以下简称经营许可证)。」 [3]《外商投资电信企业管理规定》(国务院令第333号2001.12.11)(2008.09.10修訂) [4]《中外合资经营企业法》第4條第1項(主席令第48号2001.03.15):「合營企業的形式為有限責任公司」,故具有中國大陸法人資格。 [5]且根據《中外合资经营企业法》(主席令第48号2001.03.15),在「中外合资经营企业法」的註冊資本中,外國合資經營者的投資比例不得低於25%。 [6]《电信业务经营许可管理办法》(工业和信息化部令第5号2009.03.01) . [7]參考《电信条例》第9條(國務院令第291號2000.09.20):「经营增值电信业务申请许可流程:业务覆盖范围在两个以上省、自治区、直辖市的,须经国务院资讯产业主管部门审查批准,取得『跨地区增值电信业务经营许可证』;业务覆盖范围在一个省、自治区、直辖市行政区域内的,须经省、自治区、直辖市电信管理机构审查批准,取得『增值电信业务经营许可证』。」 [8]參考《电信条例》第9條(國務院令第291號2000.09.20):「经营增值电信业务申请许可流程:业务覆盖范围在两个以上省、自治区、直辖市的,须经国务院资讯产业主管部门审查批准,取得『跨地区增值电信业务经营许可证』;业务覆盖范围在一个省、自治区、直辖市行政区域内的,须经省、自治区、直辖市电信管理机构审查批准,取得『增值电信业务经营许可证』。」
Syngenta位於巴西Parana的基改研究機構遭到當地政府沒收瑞士跨國種子及作物科技公司Syngenta AG (SYT)正與巴西政府為基改活動展開訴訟。去(2006)年11月9日,Syngenta在巴西境內基改作物研究機構被迫關閉,研究機構所在地的Parana州州政府並以Syngenta違反巴西聯邦環保法規為由,沒收其所有投資的資產。Parana州境內有一座自然保護區-伊瓜蘇國家公園,伊瓜蘇國家公園是舉世著名的伊瓜蘇瀑布(Iguacu Falls)的所在地。根據巴西聯邦環保法規規定,基改作物不得栽種於自然保育區的十公里以內。 Syngenta位於Parana州的基改研究機構佔地達123公頃,然而距離伊瓜蘇國家公園卻僅約有六公里。1986年以來,Syngenta即已擁有該研究區域的產權,目前Syngenta已向巴西聯邦法院提出告訴,主張其得以合法在研究機構所在地進行相關研究。Syngenta抗辯理由主要有二:其一,Syngenta在該地進行基改作物田間試驗的許可,是由巴西聯邦政府的生物安全主管機關CTNBio所核發;其二,2006年初,巴西總統已將前述10公里的栽種間隔距離更改為500公尺。Parana州政府、巴西環境保護局Ibama、主張農業改革的活動份子等則主張,新的500公尺間隔規定不適用於Syngenta,蓋該公司早在巴西總統簽署新規定以前即已展開相關的試驗活動,Parana州環保主管機關早已祭出處罰,但Syngenta迄今未繳納罰鍰。
澳洲政府通過身分核驗服務法及其相應修正案澳洲政府於2023年12月通過身分核驗法(Identity Verification Services Act 2023,以下稱IVS法)及其相應修正案(Identity Verification Services (Consequential Amendments) Act 2023,以下稱修正案)。聯邦政府考量IVS法案將影響既有法規,同時提交修正案,兩法案旨在建構身分核驗服務架構,促進驗證流程之監管與透明化。澳洲政府規劃之數位身分系統正逐步法制化,IVS法與同年11月通過之法定聲明修正案(Statutory Declarations Amendment Act 2023)將為該系統奠定基礎。修正案涉及2005年澳洲護照法,以下僅簡要介紹IVS法之驗證服務內涵。 該法規定三項聯邦政府部門可提供之身分驗證服務:文件核驗服務(Document Verification Service, DVS)、臉部核驗服務(Face Verification Service, FVS)與臉部識別服務(Face Identification Service, FIS),並授權相關部門發展對應之認證設施,以電子通訊方式確認身分核驗請求。請求身分驗證服務需獲個人明確同意並告知相關權利後方可進行,其驗證型態分為:核驗(Verification)與識別(Identification),前者涉及確認個人為所宣稱之身分的過程,以一對一比對回傳個人所稱是否為真;後者則為識別個人身分之過程,透由多人或多份文件逐一比對後回傳個人身分。文件核驗使用頻率及範圍最廣泛,公、私部門皆可申請使用;臉部核驗目前僅聯邦政府有使用權限,地方與州政府及私部門未來將可透過書面協議參與。臉部識別因其驗證方式涉及個資使用與隱私議題,請求者限於證人保護機構、執法或情報人員。 IVS法案及其相應修正案於2023年9月提送國會討論,同年12月經參、眾兩院通過。法案審議期間曾有倉促立法的爭議,有論者認為當局急於為公、私部門行之有年的身分核驗行為提供法規依據,並安排極短的法案辦論時間以限縮討論。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1],新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構,獲頒「2013雲端安全耀星獎」(2013 Cloud Security STAR Award),該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業,今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外,首度將獎項頒發給政府組織。究竟何謂雲端認證,其背景、精神與機制運作為何?本文以雲端運算相關資訊安全標準的推動為主題,並介紹幾個具有指標性的驗證機制,以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一,各國推展雲端運算產業之際,會以提出指引或指導原則方式作為參考基準,讓產業有相關的資訊安全依循標準。另一方面,相關的產業團體也會進行促成資訊安全標準形成的活動,直至資訊安全相關作法或基準的討論成熟之後,則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險,可從政策與組織、技術與法律層面來觀察[2],涉及層面相當廣泛,包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應(Lock-in)、以及雲端服務提供者內部控管不善…等,都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初,各先進國以提出指引的方式,作為產業輔導的基礎,並強化使用者對雲端運算的基本認知,並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關(European Network and Information Security Agency, ENISA)於2009年提出「資訊安全確保架構」,以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準,參考之依據主要是與雲端運算服務提供者及受委託第三方(Third party outsourcers)有關之控制項。其後也會再參考其他的標準如SP800-53,試圖提出更完善的資訊安全確保架構。 值得注意的是,其對於雲端服務提供者與使用者之間的法律上的責任分配(Division of Liability)有詳細說明:在資訊內容合法性部分,尤其是在資訊內容有無取得合法授權,應由載入或輸入資訊的使用者全權負責;而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時,例如個人資料保護相關規範,基本上應由使用者與服務提供者分別對其可得控制部分,進行適當的謹慎性調查(Due Diligence, DD)[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層,則決定了各自應負責的範圍與界限。 在IaaS(Infrastructure as a Service)模式中,就雲端環境中服務提供者與使用者雙方應負責之項目,服務提供者無從知悉在使用者虛擬實體(Virtual Instance)中運作的應用程式(Application)。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器,概由使用者所完全主控,因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS(Platform as a Service)模式中,通常由雲端服務提供者負責平台軟體層(Platform Software Stack)的資訊安全,相對而言,便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS(Software as a Service)模式中,雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式(Entire Suite of Application),因此該等應用程式之資訊安全通常由服務提供者所負責。此時,使用者應瞭解服務提供者提供哪些管理控制功能、存取權限,且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」(Cloud Controls Matrix, CCM),目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」,係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域(Domain)而來,著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照,例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前,CSA提出的CCM,十分完整而具備豐富的參考價值。 舉例而言,資訊治理(Data Governance)控制目標中,就資訊之委託關係(Stewardship),即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力(Resiliency)控制目標中,要求服務提供者與使用者雙方皆應備置管理計畫(Management Program),應有與業務繼續性與災害復原相關的政策、方法與流程,以將損害發生所造成的危害控制在可接受的範圍內,且回復力管理計畫亦應使相關的組織知悉,以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」,此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督,來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍,主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形,其資訊安全的管理議題;其指導原則之依據是以JISQ27002(日本的國家標準)作為基礎,再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言,在JISQ27002中關於資訊備份(Backup)之規定,為資訊以及軟體(Software)應遵循ㄧ定的備份方針,並能定期取得與進行演練;意即備份之目的在於讓重要的資料與軟體,能在災害或設備故障發生之後確實復原,因此應有適當可資備份之設施,並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境,使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性;而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」(Certificate of Cloud Security Knowledge, CCSK),是全球第一張雲端安全知識認證,用以表示通過測驗的人員對於雲端運算具備特定領域的知識,並不代表該人員通過專業資格驗證(Accreditation);此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展,因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版(英文版)」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式,供讀者得以認知如何評估雲端運算可能產生的資訊安全風險,並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制(CSA Security, Trust & Assurance Registry, STAR),設置一開放網站平台,採取鼓勵雲端服務提供者自主自願登錄的方式,就其提供雲端服務之資訊安全措施進行自我評估(Self Assessment),並宣示已遵循CSA的最佳實務(Best Practices);登錄的雲端服務提供者可透過下述兩種方式提出報告,以表示其遵循狀態。 (一)認知評價計畫(Consensus Assessments Initiative)[12]:此計畫以產業實務可接受的方式模擬使用者可能之提問,再由服務提供者針對這些模擬提問來回答(提問內容在IaaS、PaaS與SaaS服務模式中有所不同),藉此,由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構(CCM):由服務提供者依循CCM的資訊安全控制項目及其指導,實踐相關的政策、措施或程序,再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失,美國南卡羅萊納州稅務局(South Carolina Department of Revenue)2012年發生駭客攻擊事件,州政府花費約2000萬美元收拾殘局,其中1200萬美元用來作為市民身份被竊後的信用活動監控,其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面,使用者也可以到此平台審閱服務提供者的資訊安全措施,促進使用者實施謹慎性調查(Due Diligence)的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會(一般財団法人マルチメディア振興センター)所建置的資訊公開驗證制度[13](安全・信頼性に係る情報開示認定制度),提出一套有關服務提供者從事雲端服務應公開之資訊的標準,要求有意申請驗證的業者需依標準揭示特定項目資訊,並由認證機關審查其揭示資訊真偽與否,若審查結果通過,將發予「證書」與「驗證標章」。 此機制始於2008年,主要針對ASP與SaaS業者,至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織(International Organization for Standardization, ISO)目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017(草案)[14]係針對雲端運算之資訊安全要素的指導規範,而ISO/IEC 27018(草案)[15]則特別針對雲端運算的隱私議題,尤其是個人資料保護;兩者皆根基於ISO/IEC 27002的標準之上,再依據雲端運算的特色加入相應的控制目標(Control Objectives)。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省,クラウドサービスの利用のための情報セキュリティマネジメントガイドライン(2011),http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html,(最後瀏覽日:2013/11/20)。 [10]日本経済産業省,〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉,頁36(2011)年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/(最後瀏覽日:2013/11/20)。 [12]https://cloudsecurityalliance.org/research/cai/ (最後瀏覽日:2013/11/20)。 [13]http://www.fmmc.or.jp/asp-nintei/index.html (最後瀏覽日:2013/11/20)。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).