中國大陸知識產權海關保護措施與因應對策

中國大陸知識產權海關保護措施與因應對策

資策會科技法律研究所
法律研究員 林宜臻
104年12月30日

  中國大陸是仿冒品的產銷大國,仿冒品除了於中國大陸盛行之外,更有可能於中國大陸製造後出口至海外銷售。若仿冒品不慎從中國大陸市場擴散至海外市場,將增加企業監控打擊仿冒品的成本。中國大陸為因應仿冒品的進出口,設置了知識產權(台灣稱為智慧財產權,以下同)海關保護規範和配套措施。企業可透過海關保護的行政力量,達到監控、扣留(台灣稱為查扣,以下同)仿冒品進出口的效果。甚至當仿冒品案件的損害達到一定金額時,海關會主動將案件移送刑事公安部門,權利人可利用公安部門介入調查仿冒案件的契機,找出整個仿冒製假鏈,進而從製假源頭開始打擊仿冒品。建議企業可妥善利用知識產權海關保護措施,以達成降低仿冒品擴散海外的風險。

壹、事件摘要

  企業啟動知識產權海關保護措施有兩種方式,其一為事先將欲受保護之知識產權於「知識產權海關保護系統」中備案,其二為由企業自行監控仿冒品進出口情形,針對個案提出扣留申請。

  第一種方式,權利人將知識產權在海關備案系統中登錄後,海關在日常監控進出口貨物時會依照權利人的備案內容檢查進出口貨物。當海關發現有疑似侵權的產品欲通關時,會主動將貨物扣留並通報權利人,權利人可立即知悉有仿冒品欲進出口並派員處理。若確認貨物的確有侵權疑慮,再向海關申請扣留該批貨物。扣留後海關即會調查貨物是否構成侵權,若發現案件侵害情節重大,即會將案件移送公安部門進行刑事立案。

  第二種方式,若企業未事先於知識產權海關保護系統中備案,則可於發現仿冒貨品進出口的資訊後,個案向海關提出扣留申請[1]。權利人申請海關扣留,應繳納與貨物等值的擔保金[2],提出申請書、證明文件[3]及足以證明侵權事實明顯存在的證據,證明貨物即將進出口且未經許可使用了其知識產權,始可向海關申請扣留貨物。海關依權利人的申請而扣留貨物後,不會調查該批貨品究竟侵權與否,而是留待權利人自行調查並該批仿冒品的相關業者起訴。若權利人在一定期限內沒有在法院起訴,則海關將放行貨物。

  對企業而言,自行花時間成本監控是否有仿冒貨物進出口是較為困難且成效有限的。中國大陸各地關口甚多,可能因無法確切掌握仿冒品進出口的口岸和貨物進出口資訊而錯失申請查處的良機。根據中國海關總署的統計,查獲仿冒品的方式中,經權利人登錄備案而海關依職權扣留仿冒品的比例為99%,大幅超過依申請扣留的1%[4]。由此可知,有備案而海關主動依職權查緝扣留仿冒品的成效,遠超過企業自行查緝仿冒品進出口後申請扣留的成效。而若為海關依職權扣留,更有可能由海關移送公安部門而啟動刑事調查,降低企業自行蒐證調查的困難。

  建議企業可積極執行知識產權海關備案,讓海關主動依職權查扣仿冒品,為企業減少日常監控所花費的人力資源等成本,並有效提升查扣成效。另外,即使於系統中完成備案,亦應於企業內部建立備案的相關因應機制,避免因未及達成海關扣留程序上的要求,而讓海關放行仿冒品,無法達成海關備案的目的。本文以下介紹企業執行備案採取知識產權海關保護措施時,企業內部應注意的事項及應建立的因應流程。

貳、重點說明

一、備案啟動海關知識產保護

  在中國大陸註冊取得的商標權、專利權或符合著作權法中的著作權皆可登錄備案,有權登錄備案者為知識產權權利人。目前海關總署不接受知識產權的被許可人(台灣稱為被授權人,以下同)提出的備案申請,但是被許可人可以作為代理人代表權利人申請備案。中國大陸地區以外的權利人,則必須委託境內的自然人、法人或者其他組織(例如境外權利人在境內設立的辦事機構)向海關總署申請備案。備案系統為線上申請,於系統註冊成功後根據欄位填入對應資料[5]並隨附權利證明[6],填寫並上傳完成相關證明文件後,系統即會提交至海關總署審核。海關總署將在收到申請後的30個工作日內作出准駁決定。備案申請費用一案為人民幣800元[7],備案有效期為十年,於知識產權權利有效期限內可續展備案,每次續展十年。知識產權失效者或無續展者,海關備案失效。

  因海關查緝仿冒品係依據備案內容審核進出口貨物,故備案時提供的資料與仿冒品查緝成效有相當程度的關聯,例如若備案時未詳細填寫合法授權人名單,將可能會導致合法經銷授權人進出口貨物遭海關扣留,延誤通關時間,或可能遭仿冒業者假冒為經銷授權人的名義進出口貨物,使海關誤認而放行。是故企業於備案系統中填寫資料時應力求詳盡完備,備案完成後若相關資料有所變更(例如經銷/代理商等授權名單變動),應及時於備案系統中更新。

二、扣留流程中的注意事項

  海關在監控進出口貨物時,若發現貨物有侵犯備案知識產權疑慮者,將書面通知備案權利人。權利人自通知送達日起3個工作日內需提出確認扣留申請並繳納擔保金,始可扣留該批貨物。申請扣留需出具扣留申請書、侵權鑑定書,並繳納擔保金。易言之,自收到海關扣留通知起只有3個工作天的時間可準備申請書、鑑定書和籌措擔保金,假設企業內部事先未建立相關處理流程,很容易因時間延誤而無法提出扣留申請,平白喪失扣留仿冒品的機會。建議企業在收到海關通知後,盡快派員前往海關現場處理侵權鑑定事宜,並應事先作成鑑定侵權貨物時的侵權檢視要點,避免人員特地到現場鑑定卻無功而返,反而浪費寶貴的時間。有備案的情形下,扣留所需的擔保金上限為十萬元[8],建議企業可事先編列經費支付申請海關扣留擔保金的來源,避免無法在期限內籌措擔保金而錯過扣留機會。權利人逾期未提出申請或未提供擔保者,海關不得扣留貨物[9]

  海關扣留貨物後,自扣留之日起30個工作日內完成貨物侵權調查認定,不能認定是否侵權者亦會書面通知權利人[10]。海關調查時,若認定仿冒案件侵害情節重大[11],會將案件移送公安部門刑事立案,立案成功後公安即介入以刑事案件調查仿冒貨物。若仿冒貨物可藉由海關刑事移送而轉以刑事案件調查,將可藉由公安部門的刑事力量降低企業自行蒐證上的困難。故在海關調查的階段,建議企業可積極提供侵權事證給海關,並確認海關核算的侵害金額是否合理,以確保可達刑事移送的標準。海關扣留的同時,權利人應積極向法院起訴,否則若海關調查完畢認定不侵權或無法認定是否侵權,且又未收到法院發出的協助執行通知,即會放行該批貨物[12]。另外,待案件結束後可向海關請求返還擔保金,返還的金額應為繳納的擔保金金額扣除處理仿冒貨物所發生的倉儲或侵權貨物銷毀等費用。但因擔保金返還的時程並未明文規定於知識產權海關保護相關條文中,故建議企業在案件結束後可積極向海關跟催擔保金返還進度,以免因延宕過久而不了了之。

參、小結

  企業妥善利用知識產權海關保護措施,可更及時地阻止仿冒品進出口,避免仿冒侵權損失進一步擴大至其他市場。啟動知識產權海關保護措施可分為事先備案,和企業自行監控發現仿冒品欲進出口後向海關個案申請扣留兩種方式。若企業有執行海關備案,不需自行監控仿冒品的進出口,海關即會根據備案資料針對進出口貨物進行侵權與否的比對,發現有疑似侵權的貨品欲通關,即會扣留該批貨品並通知權利人處理,確認扣留後海關更會主動調查貨物的侵權情形。而透過知識產權海關保護措施的執行,企業更有機會藉由海關行政查處或移送刑事部門立案後的調查,取得更多仿冒品的相關資訊和證據,進而有效且徹底的打擊整個仿冒產業鏈,降低仿冒再發的風險。

  除了事先於海關備案系統登錄備案外,企業亦應於企業內部建立海關扣留仿冒品的因應流程,以確保知識產權海關保護措施可發揮最大的效益。權利人在海關備案系統登錄欲受保護的知識產權後,海關即會於日常審閱報關單時依據權利人在備案系統中登錄的資料扣留有侵權疑慮的貨品。建議企業應盡可能詳盡填寫備案系統中的欄位並提供相關佐證資料,若備案完成後資料有任何更動也應即時在系統中更新,以提升海關查緝扣留仿冒品的機率。收到海關扣留通知後因提出確認扣留申請的時間很短,建議應事先做成侵權檢視要點清單,提高現場人員的鑑定效率,並預先編列支付擔保金的預算,以免超過支付期限而無法扣留。海關調查期間則應積極提供仿冒貨物的侵權證據給海關,並確保仿冒貨品的侵害金額計算無誤,以促成海關將案件移送刑事公安部門立案。同時建議企業應盡快向法院提起訴訟,避免海關因誤判貨物未侵權而放行。案件結束後應注意積極跟催擔保金返還進度,以免擔保金石沉大海。除此之外,因從收到海關通知到企業提出扣留申請的期限很短,建議企業應提早在企業內部建立海關扣留應對處理流程(包含權責主管及人員、處理時限、經費來源、外部合作顧問單位等),以及時因應侵權案件的處理,使知識產權海關保護措施發揮最大效益,盡可能降低仿冒品擴散到海外市場的風險。


[1]中華人民共和國知識產權海關保護條例第12條:「知識產權權利人發現侵權嫌疑貨物即將進出口的,可以向貨物進出境地海關提出扣留侵權嫌疑貨物的申請。」

[2]中華人民共和國知識產權海關保護條例第14條:「知識產權權利人請求海關扣留侵權嫌疑貨物的,應當向海關提供不超過貨物等值的擔保,用於賠償可能因申請不當給收貨人、發貨人造成的損失,以及支付貨物由海關扣留後的倉儲、保管和處置等費用。」
未備案而依申請扣押的情形中,企業需負擔與貨物等值的擔保金金額,亦即擔保金金額無上限。而若有備案而依職權扣押,則擔保金支付最高上限為十萬元,大幅限縮了企業的負擔,是故此亦為建議企業事先備案的原因之一。

[3]中華人民共和國知識產權海關保護條例第13條:「知識產權權利人請求海關扣留侵權嫌疑貨物的,應當提交申請書及相關證明文件,並提供足以證明侵權事實明顯存在的證據。
申請書應當包括下列主要內容:
(一)知識產權權利人的名稱或者姓名、註冊地或者國籍等;
(二)知識產權的名稱、內容及其相關資訊;
(三)侵權嫌疑貨物收貨人和發貨人的名稱;
(四)侵權嫌疑貨物名稱、規格等;
(五)侵權嫌疑貨物可能進出境的口岸、時間、運輸工具等。」

[4]海關總署政策法規司(2013),《中國海關知識產權保護狀況及備案名錄(2013)》,北京:中國海關出版社

[5]中華人民共和國知識產權海關保護條例實施辦法第6條:「知識產權權利人向海關總署申請知識產權海關保護備案的,應當向海關總署提交申請書。申請書應當包括以下內容:
(一) 知識產權權利人的名稱或者姓名、註冊地或者國籍、通信地址、連絡人姓名、電話和傳真號碼、電子郵箱位址等。
(二) 註冊商標的名稱、核定使用商品的類別和商品名稱、商標圖形、註冊有效期、註冊商標的轉讓、變更、續展情況等;作品的名稱、創作完成的時間、作品的類別、作品圖片、作品轉讓、變更情況等;專利權的名稱、類型、申請日期、專利權轉讓、變更情況等。
(三)被許可人的名稱、許可使用商品、許可期限等。
(四)知識產權權利人合法行使知識產權的貨物的名稱、產地、進出境地海關、進出口商、主要特徵、價格等。
(五)已知的侵犯知識產權貨物的製造商、進出口商、進出境地海關、主要特徵、價格等。
知識產權權利人應當就其申請備案的每一項知識產權單獨提交一份申請書。知識產權權利人申請國際註冊商標備案的,應當就其申請的每一類商品單獨提交一份申請書。」

[6] 權利證明文件如商標註冊證、著作權自願登記證明或可證明為著作權人的資料、專利證書等。其他文件如授權他人使用的合約、權利人合法行使知識產權的貨物及包裝照片、已知侵權貨物進出口資訊等。

[7]費用以「權利」計案。例如,五個專利使用在一個商品上,需提出五件備案申請;一個專利用在五種商品上,只需提出一件備案申請。

[8]中華人民共和國知識產權海關保護條例實施辦法第23條:「有事先備案之知識產權權利人請求海關扣留侵權嫌疑貨物的,應當按照以下規定向海關提供擔保:
(一)貨物價值不足人民幣2萬元的,提供相當於貨物價值的擔保;
(二)貨物價值為人民幣2萬至20萬元的,提供相當於貨物價值50%的擔保,但擔保金額不得少於人民幣2萬元;
(三)貨物價值超過人民幣20萬元的,提供人民幣10萬元的擔保。」

[9]中華人民共和國知識產權海關保護條例第16條

[10]中華人民共和國知識產權海關保護條例第20條

[11] 例如侵害金額達十五萬元以上、著作權盜版光碟達五百片以上者。

[12]中華人民共和國知識產權海關保護條例第24條:「有下列情形之一的,海關應當放行被扣留的侵權嫌疑貨物:
(一)海關依照本條例第十五條的規定扣留侵權嫌疑貨物,自扣留之日起20個工作日內未收到人民法院協助執行通知的;
(二)海關依照本條例第十六條的規定扣留侵權嫌疑貨物,自扣留之日起50個工作日內未收到人民法院協助執行通知,並且經調查不能認定被扣留的侵權嫌疑貨物侵犯知識產權的;
(三)涉嫌侵犯專利權貨物的收貨人或者發貨人在向海關提供與貨物等值的擔保金後,請求海關放行其貨物的;
(四)海關認為收貨人或者發貨人有充分的證據證明其貨物未侵犯知識產權權利人的知識產權的;
(五)在海關認定被扣留的侵權嫌疑貨物為侵權貨物之前,知識產權權利人撤回扣留侵權嫌疑貨物的申請的。」

※ 中國大陸知識產權海關保護措施與因應對策, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=57&tp=1&d=7119 (最後瀏覽日:2024/07/27)
引註此篇文章
你可能還會想看
經濟部擬推動太陽能與生質能技術,發展成為新雙星產業

  國內半導體產業及面板產業等科技產業,近年發展瀕臨瓶頸,尤其是面板產業,投資動輒上千億元,但這些資金密集產業,受景氣循環波動很大,半導體本質上又是代工型產業,面對全球化浪潮,必須思考如何走出代工微利宿命,太陽能光電及生質能是台灣最具發展潛力的明星產業,發展潛力更足以凌駕半導體及面板雙星產業,成為台灣未來的產業雙星。   目前半導體及面板產業,產值達兆,再生能源產業短期內難取代,不過,如果技術可以有所突破,爆發力將相當大。當前除經濟部大力推動休耕的農田轉作向日葵、大豆等能源種植,推廣生質柴油外,中研院研究團隊已可以從稻桿的纖維素提煉酒精核能所也有煉製酒精汽油技術,一旦跨部會研究團隊機制整合,並透過基因改造提升煉油技術,將可獲致驚人的突破。

歐洲生技產業協會促請降低中小型生技產業之專利申請費用

  在專利領域,歐盟層級目前尚未有任何整合全體會員國內國專利法之有效法規, 1973 年訂定之歐洲專利公約( European Patent Convention, EPC )並非歐盟層級的法律,且 EPC 僅就歐洲專利的申請、審核及取得予以規定,至於專利權之保護,專利權人仍必須在受侵害國家自行尋求救濟,故自 1972 年起,歐盟即一直試圖整合共同體之專利規定,持續催生「共同專利規則」(草案)( Proposal for a Council Regulation on the Community Patent ),目的是希望在歐洲層級,除了可以有統一受理及發給共同體專利之機制外,關於涉及共同體專利實體法上之解釋,亦能予以統一審理、解釋。   目前歐盟各國紛歧的專利制度,使產業維護與保護其專利權益之成本極高,且受到嚴重影響的往往是那些中小型的新創與研發行公司,若再加上其他必要費用及語言隔閡(當前翻譯費用占歐洲專利的所有申請成本的比率可能高達 20 %)等因素一起比較,即可發現歐洲中小型企業處於競爭劣勢;相較於此,美國對雇用員工少於 300 人的企業的專利申請費用,提供高達 80 %的補助。   由於生技產業多為中小型規模的企業,為確保這些企業的競爭力,歐洲生技產業協會( EuropaBio )建議歐盟參考去( 2005 )年 12 月 15 日 通過的「歐盟醫藥品管理局協助中小型公司發展之規則」( Commission Regulation (EC) No 2049/2005 )減免中小型生技製藥公司新藥上市申請規費的方式,對中小型企業之專利申請費用,亦給予折扣。   這項建議獲得歐盟執委會的支持,執委會並打算在 10 月重新提出的共同體專利規則( Regulation on Community Patent - London Protocol )中納入考量根據 London Protocol ,未來歐洲專利得僅以三種語言(英文、德文及法文)提出,該 Protocol 必須至少有八個國家簽署,包括法國、德國及英國,始能生效 截至目前為止,已經有十個國家(包括德國及英國)的國會同意接受該協議,其中七國並已經相關文件交存,因此一般認為 London Protocol 通過的機率極大。

專利權利耗盡原則是否適用於具複製能力之專利基改種子? 待美國最高法院判定

  美國最高法院於今年10月5號受理來自印第安那州種植大豆農民(Vernon Hugh Bowman)之上訴,該農民於2011年9月被美國聯邦巡迴上訴法院判定侵害Monsanto 公司的種子專利權,須賠償美金84,456元。   Monsanto 公司的專利種子”Roundup Ready Seed”為一種經基因改造能夠抵抗除草劑之種子。藉由此種技術讓Monsanto 公司成為世界最大的種子公司。為了確保農民每年度必須重新經由合法受權經銷商購買專利種子,而非使用上一季收成後所留存的種子,想要種植Monsanto 公司受專利保護的基因改造種子的農民必須同意不會將收成後取得的種子再用來種植。   於此案中,Monsanto 公司認為上訴人Bowman種植由糧倉(grain elevator)所買來的種子含其專利基因,因而侵害其基改種子專利權。Bowman則抗辯當他購買種子時, Monsanto 公司之基改種子專利權即已耗盡。美國聯邦巡迴上訴法院認同Monsanto 公司,認為Bowman種植含蓋Monsanto 公司專利種子的行為即是製造一個新的侵權物品,侵害Monsanto 公司的種子專利。Bowman不服上訴至美國最高法院。   美國最高法院不顧歐巴馬政府的反對受理此案,預計其結果除了將對農業生技造成重大影響,對於其他應用自行複製技術如基因改造細胞、幹細胞等生技產業都可能造成影響因而被受大眾關注。

從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制

從美國「聯邦風險與授權管理計畫」看我國促進政府部門導入雲端運算之策略與機制 科技法律研究所 2013年07月03日   資訊科技的發展,從早期「超級電腦/大型電腦」、近期「個人電腦」,到即將邁入以超大規模數量電腦主機虛擬集結的「雲端運算」時代。雲端運算將電腦集中運用,未來電腦運算設施就像是水、電;資料儲存與應用就像是銀行,只要連上網路就可以使用,不必各自投資發展。因此,「雲端運算」未來將成為每個國家的重要基礎建設。   將雲端運算列為重要的產業發展重心,已是各國的趨勢,而運用雲端運算所帶來的效益,如節省經費、提升效率等,亦為普遍地承認,再加上公部門相較於民間,其擁有較多的經費及資源來進行雲端運算的導入,而藉由公部門導入雲端運算,可以帶動雲端運算產業的發展以及雲端運算應用的普及化。因此,各國均皆致力於促進公部門導入雲端運算。   然而,在雲端運算帶來龐大經濟效益的同時,伴隨而來的,是新的資訊管理議題,雲端安全防護聯盟(Cloud Security Alliance, CSA)提出了雲端運算可能遭遇的九大安全威脅 : 一、資料外洩(Data Breaches) 二、資料遺失(Data Loss) 三、帳號被駭(Account Hijacking) 四、不安全的APIs程式(Insecure APIs) 五、拒絕服務(Denial of Service) 六、惡意的內部人員(Malicious Insiders) 七、濫用雲端服務(Abuse of Cloud Services) 八、審慎評鑑不足(Insufficient Due Diligence) 九、共享環境議題(Shared Technology Issues)   面對前述的安全威脅,政府部門在考量導入雲端服務時,首先面對的就是要探討如何在導入雲端運算後仍能維持資訊安全的強度,以及政府部門要從何尋找符合其需求的業者。 壹、事件摘要   美國政府在2010年12月發表了25項聯邦IT轉型重點政策,其中一項核心的政策便是「雲優先政策」(cloud first policy)。根據「雲優先政策」,聯邦機構必須在三個月內找出三項轉移到雲端的政府服務,並且要在一年內導入其中一項。   然而,此種新型態的雲端運算服務為聯邦機構帶來資安管理的新挑戰,傳統由各機關分頭洽談所導入資訊系統與應用規格之方法,並實施個別的資訊安全需求與政策的作法,對服務商而言,其所提供的相同服務,在各機關導入時,卻必須將受各個機關的審查,造成各機關投入過多的資源在審查程序上,導致政府資源的浪費,不但耗費時間、審查重複,且無法達到建構妥善操作程序的效果。   2012年6月6日,聯邦政府總務管理局(General Service Administration, GSA)宣布「聯邦風險與授權管理計畫」(Federal Risk and Authorization Management Program,以下稱FedRAMP)開始正式運作,GSA並表示,「FedRAMP」的正式運作,將解決美國政府在雲端產品及服務需求上,因各自導入之標準不一致所導致的系統相容性問題、重複投資浪費,並可降低各政府機關自行進行風險評估及管理相關系統所耗費的人力、金錢成本。預估該計畫可為美國政府節省高達40%的預算及費用,預期效益相當可觀。   「FedRAMP」的目的是要為全國政府機關針對雲端產品與服務的風險評估、授權管理以及持續監控等標準作業規範,建立一套可遵循之依據。未來所有雲端產品的服務提供者,都必須遵守及達到該計畫的標準規範,才能為美國政府機關提供雲端產品及服務。 貳、重點說明   「聯邦風險與授權管理計畫」主要由預算與管理辦公室(Office of Management and Budget, OMB)負責組織預算與管理;聯邦資訊長(the Federal Chief Information Officer,CIO)負責跨部門的整合;國土安全部(Department of Homeland Security, DHS)負責網際網路的監控與分析;總務管理局(General Services Administration, GSA) 則建立FedRAMP之架構與程序,並成立計畫管理辦公室( Program Management Office, PMO)負責FedRAMP之操作與管理;以及國家科技研究所(National Institute of Science and Technology, NIST)負責提供技術分析與標準;最後由國防部(Department of Defense, DoD) 、國土安全部、總務管理局,組成共同授權委員會(Joint Authorization Board, JAB),負責對服務提供者的授權與定期檢視。   FedRAMP制度的精神在於「作一次並重複使用」(Do once ,Use Many Times),同一內容的雲端服務,透過FedRAMP,僅須經過一次的評估與授權,即得被多個機關所採用。早期各機關重複檢驗同一廠商的同一服務之安全性,造成資源浪費的問題,將可獲得解決。當其他機關欲採用雲端服務時,可透過FedRAMP,免去再一次的評估與驗證。   FedRAMP主要由第三方評估機構、對服務提供者的評估、以及持續監督與授權等三個部份所構成,簡單介紹如下: 一、第三方評估機構的認證   FedRAMP的特殊之處,在於雲端服務提供者應由通過FedRAMP認證的第三方評估機構(3PAO)來進行審查,而第三方評估機構欲通過認證,除了要符合FedRAMP的需求外,還必須具備雲端資訊系統的評估能力、備妥安全評估計畫、以及安全評估報告等,另外亦同時引進了ISO/IEC17020作為評估機構的資格。其認證程序如下: (一)申請檢視   機構首先必須符合ISO/IEC 17020 檢驗機構的品質與技術能力,並且自行檢視FedRAMP網站上的申請表,自行檢視是否合乎要求,然後決定是否提出申請。 (二)完成要求   機構須分別完成申請表所要求的系統安全計畫(system security plan, SSP)、系統評估計畫(system assessment plan, SAP)、安全評估報告(security assessment report, SAR)。於完成後向計畫管理辦公室提出申請。 (三)審查   在接受申請後,總務管理局會與ISO網路安全專家共同組成「專家審查委員會」(Expert Review Board , ERB),審查該申請。 (四)決議   審查完畢後,FedRAMP計畫管理辦公室(PMO)會檢視ERB的意見,決議是否通過該申請。   於通過申請後,該機構將會被列入FedRAMP官方網站(www.FedRAMP.gov)的第三方評估機構名單,目前為止,陸續已有十五個機構通過共同授權委員會的授權,日後得對雲端服務商進行評估。 二、對雲端服務提供者的評估   在「聯邦風險與授權管理計畫」的機制設計中,政府機關或雲端服務提供者任一方,皆可提出申請(Request)啟動雲端服務的安全性評估(Security Assessment)程序,此程序中共有四個主要階段: (一)提出申請   在申請人將所須文件初步填寫完畢之後,計畫管理辦公室(PMO)即會指派資訊系統安全官(Information Systems Security Officer, ISSO)進行指導,使之得進行安全控制、出具必要文件、並實施安全測試。之後,PMO會與雲端服務提供者簽署協議,並要求相關機關實施對雲端服務系統的安全性測試。 (二)檔案安全控管   雲端服務提供者必須作成系統安全計畫(System Security Plan, SSP),表明安全控制之實施方法,及其相關文件如IT系統永續計畫(IT Contingency Plan)、隱私衝擊調查(Privacy Impact Questionnaire),並送交ISSO進行審查,再由雲端服務提供者就對審查意見予以回覆之後,由ISSO將案件送至共同授權委員會(Joint Authorization Board, JAB)進行審查,以確認所提交的SSP安全措施符合雲端系統所需。 (三)進行安全測試   服務提供者與第三方評估機構(Third Party Assessment Organization, 3PAO)簽約,且由PMO約集雲端服務提供者與3PAO,確認雙方對於安全測試實施的期待與時程,再由3PAO獨立進行該雲端系統測試,並完成安全評估報告(Security Assessment Report, SAR),闡述評估結果並確認所暴露的風險。雲端服務提供者針對此評估結果,作成行動與查核點報告(Plan of Action & Milestones (POA&M)),以提出矯正弱點與殘餘風險(residual risks)的措施、資源與時程規劃。   雲端服務提供者再將前述SAR與POA&M提交予PMO,由JAB決定是否接受該弱點及其修正計畫,或者提出修正建議。倘若JAB可接受該弱點及其他因應措施,則由ISSO通知雲端服務提供者即將進入安全評估的最後階段。 (四)完成安全評估   雲端服務提供者將所有安全控制相關文件彙成單一的安全評估方案,並提出證明將確實執行其安全控制措施。由JAB檢視此方案,並作出最終決定是否授予「附條件之授權」(Provisional Authorization)。得到此授權的雲端服務提供者名單,將會被列在FedRAMP官方網站上。倘若雲端服務提供者未獲得此授權,PMO會指導如何進行重新申請。 三、持續的評估與授權   持續的評估與授權(ongoing Assessment and Authorization, A&A)通常也被稱為持續監控(Continuous Monitoring),在FedRAMP中第三個也是最後一個流程,透過持續的評估與授權機制,來確保雲端服務提供者持續的安全性授權。其中包含了三個主要層面: (一)操作的能見度   操作能見度的目標,是藉由自動化的方式來減少政府機構在監督作業上的行政耗費。亦即雲端服務提供者透過自動化的資料提供、定期提交具體控制的證據文件、以及年度自我認證報告等安全控制措施來說明操作的能見度,而不必政府機構另行要求。 (二)變更控制程序   雲端服務提供者更新她們的系統是常有的事,此處的變更控制程序並非針對例行性的維修或變更,而是要求若有發生影響臨時性授權或的顯著變更時,服務提供者必須提供此種具衝擊性變更的有效資訊,使FedRAMP得以評估此變更的影響與衝擊。 (三)事件回應   事件回應方面聚焦於新風險和漏洞的因應,服務提供者在發現影響授權的新風險或漏洞時,應向機構說明其針對保持系統安全的因應對策與作法。 參、事件評析   在各國紛紛投入雲端運算的推動熱潮中,我國也不能在此項產業推動中缺席。2010年4月,行政院科技顧問組(現已改組為行政院科技會報)責成經濟部,研擬「雲端運算產業發展方案」;2011年5月,行政院研究發展考核委員會亦公布了「第四階段電子化政府計畫」,在內部運作管理面向,將運用新興雲端運算技術推動以全國性的政府雲端應用服務,減少機關重複開發成本,並達成節能減碳效果。   雲端的安全問題,無論在私人企業或政府部門,均為選擇導入雲端服務的第一要務,「第四階段電子化政府計畫」中亦指出第四階段電子化政府將以雲端資安防護推動為重點,運用雲端運算技術,創新資安服務價值,確保政府資通安全防護。   然而,在服務提供者的安全性方面,我國並沒有像美國FedRAMP計畫般適度地提供服務提供者的安全性保證。對此,我國可借鏡各國的作法,適度的以透過公正第三方機構驗證,來消除雲端服務安全性的疑惑,並推動一個公開的平台,將通過驗證的廠商公布出來,提供公部門甚至私人企業作選擇,不僅可免去同一服務廠商不斷重複驗證的麻煩,亦可削減選擇上的難題,並藉此發展雲端資安技術與推動雲端產業,使我國的雲端環境能夠更臻成熟。

TOP