何謂「專利審查高速公路」?
「專利審查高速公路(Patent Prosecution Highway, PPH)」係指專利審查機關加速專利審查之程序。藉著各國專利局間合約之簽署，當某專利申請在第1間專利局取得至少1請求項(claim)之核准後，申請人得請求加速第2間專利局就該已經核准之請求項之審查程序。申請人得縮短取得專利之期間，參與之專利局亦得藉著利用第1間審查之專利局已有資料，降低審查工作之負荷。但此並不代表於第1間專利局獲准之專利之發明於第2間專利局亦會當然獲准。
台灣目前已與美國、日本、韓國及西班牙簽署備忘錄進行專利審查高速公路之計畫，日後專利申請人得利用此機制，縮短取得專利之時程，專利局的審查速度亦會加快。根據智財局之統計，至2016年6月底，平均首次OA(office action)期間(自PPH文件齊備至首次OA平均期間)為57.6天，平均審結期間(自PPH文件齊備至審結平均期間)則為136.6天。
本文為「經濟部產業技術司科技專案成果」
蔡佳穎
法律研究員 編譯整理
資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。
世界經濟合作暨發展組織(OECD)修正「隱私保護及個人資料之國傳輸指導指引」1980年09月發布的「隱私保護及個人資料之國傳輸指導指引」，當中的8大原則對個人資料保護的法制產生深遠的影響，但隨技術發展，資料傳遞所產生的風險遠較於1980年代來得複雜。2013年所發布的內容，風險管理及為全球資料流通的互動性為兩大主軸，因此，在指引中納入新的概念，包含1.國家隱私策略：有效的隱私法制是不可或缺的，但在今日國家應該將隱私保護放在更高的戰略位置、2.隱私管理程序：（以個人資料）為核心服務的機制應系統化的保護隱私、3.資料安全漏洞通知:涵蓋有權者及各別個體的通知。 在指引第一章附件的第三部份-責任的履行，增加資料控制者（data controller），應有管理程序以符合上述的原則，該管理程序需包含資料風險的評估、內部監控、通知主管機關等要求;第五個部份-國家實施則新增加隱私主管機關的設立、考量不同角色(如:資料控制者)所應遵循的行為、考量其它的配套措施，如技術、教育訓練等。 在OECD的成員國，如:日本，已開始向該國國內說明2013年版的指引，但亦有部分會員國，如:加拿大，由於指引涵蓋公部門及私部門，加拿大亦討論如何與該國的資訊近用法(Access to Information Act) 及隱私權法 (Privacy Act)建構一個完善的適用模式。指引對於未來國際資料傳輸及管理程序的建置，必然產生結構性的影響，值得持續關注。
發展階段支出可列為資產過去高科技企業或生化公司的研發專案，公司經常認為專案已成熟，可認列為無形資產，以分成幾年攤銷，不致影響損益；但會計師卻可能認為，其無技術可行性或者無使用和出售可能，仍主張認列為費用。 第三十七號會計公報 「無形資產的會計處理」 新近出爐，就無形資產清楚給予定義，並解釋如何進行會計處理與鑑價。其中最特別的是，第三十七號公報首次區分「研究」和「發展」階段的不同，發展階段有可能資本化。資本化最大的影響是，支出可以列為資產，不會影響損益，研究型企業的資產負債、損益表也將更為精準。 舉例來說，生化、製藥業者因研究期很長，所有研發期間的投入，過去都須列為費用，導致獲利被明顯稀釋；未來根據三十七號公報，企業專案計畫接近商品化的發展階段，就可以資本化，此時的損益表上費用項目，就不會那麼高， 因此，「發展」階段可列為資產，有助鼓勵科技業者增加研究發展經費的投入。 至於企業併購所產生的購買價格和被併公司淨值之間的溢價，過去通常以商譽處理，不過在 37 號公報上路後，會計師建議不應再把溢價直接當作商譽來處理，此乃因第 37 號公報所稱的無形資產，並不包含商譽，且必須具有「個別可辨認性」。因此，併購溢價應該區分為商譽和無形資產兩者，其後續評價對企業也較為有利。 此外會計業者也表示，促產條例中對研發投抵的認列，有可能受到三十七號公報的影響，需要做調整，這部分有待財政部進ㄧ步規範清楚。
英國金融科技未來政策展望英國為眾多國家中致力發展金融科技的佼佼者，其相關政府部門-英國金融行為監理總署（Financial Conduct Authority, FCA）早於2016年即推出世界首例金融監理沙盒（Financial Regulatory Sandbox）制度，同時也與英格蘭銀行致力發展開放銀行業務、金融創新項目以及監管措施改革等等。也因為英國為金融科技提供了良好的環境以及養分，使目前英國金融科技佔全球市場總額10%，並有71%的英國公民至少接受一間金融科技公司提供服務；2020年金融科技為英國吸引了41億美元的投資，遠超德國、瑞典、法國、瑞士和荷蘭的總和。 為使英國金融科技持續成長，英國財政大臣於2020年要求針對英國金融科技現況及未來發展進行獨立性研究，該研究並於2021年2月公布。根據研究報告指出，英國金融科技正面臨下述三大問題： 其他國家紛紛仿效英國之成功模式，致使英國金融科技不再具有獨占地位。 英國脫離歐盟導致監管措施的不確定性。 新冠肺炎的來襲，迫使各國均快速發展並靈活運用金融科技，導致英國金融科技優勢地位逐漸喪失。 為了解決上述三大問題，研究報告提出了五項建議計畫： 針對政策以及監管方式之持續進步 雖然英國目前仍處於金融科技政策以及監管的領先地位，但隨著業務、科技等發展，必須確保政策以及監管方式繼續保護金融消費者，同時創造鼓勵創新和競爭的環境。因此建議的方案包含：實施新型態監理沙盒（Scalebox）；建立一個數位經濟工作小組以確保政府各部門之一致性；確保金融科技成為貿易政策的一部分。 培養人才 英國需要確保金融科技擁有充足的國內和國際人才供應，以及因為預計在2030年，英國有90%勞動者需要學習新技能，因此也需要培訓和提升現有和未來勞動力技能的方案。因此建議的方案包含：辦理針對成年人進行再培訓和提高技能之短期課程；創建一個新的簽證類型，以提高獲得全球人才的機會；為學習金融科技的學生以及創業者建立媒合平台，設置金融科技人才管道。 建立友善的投資環境 英國雖然透過私募基金成功地為英國金融科技事業募資，但英國仍應該持續加強金融科技事業從初創到公開發行的一系列融資過程，尤其是融資的後期階段。因此建議的方案包含：擴大金融科技獎勵措施以及便利金融科技事業籌資（包含：擴大研發稅收抵免額度、企業投資計畫、風險投資信託）；英國應該另行增設一個約10億英鎊之基金供金融科技發展使用；放寬英國上市公司限制（例如：雙層股權結構）；創設一個全球金融科技指數以擴大金融科技事業知名度。 與國際合作 雖然英國目前取得金融科技的成功和未來數位貿易崛起的機會，但仍應採取更多的措施用以獲得更多國際支持，這將會成為英國在脫離歐盟後針對國際開放性作出的重大表態。因此建議的方案包含：針對金融科技提出國際行動方案；推動設立金融、創新和技術中心，並成立國際金融科技工作小組；推出國際金融科技認證組合。 英國國內整合 金融科技在國家的支持下，英國各地皆分布大量的金融科技人才。為了保持英國作為金融科技中心的地位，英國須注重規模和支持區域專業，尤其是大學正在創造的重要的智慧財產權。因此建議的方案包含：培育十大金融科技重鎮，而每個重鎮均應設置一個以強化金融科技、培養專家以及增加國家競爭力為目的的三年目標；通過金融、創新和技術中心協調國內金融科技發展策略；通過進一步的投資計畫加快金融科技重鎮的發展以及成長。