淺談美國與日本遠距工作型態之營業秘密資訊管理 資訊工業策進會科技法律研究所 2022年05月18日 根據2021年5月日本總務省所公布之《遠距工作資安指引》第5版,近年來隨著科技的進步,遠距工作在全球越來越普及,過去將員工集中在特定辦公場所的工作型態更是因為COVID-19帶來的環境衝擊,使辦公的地點、時間更具有彈性,遠距工作模式成為後疫情時代的新生活常態。 因應資訊化時代,企業在推動遠距工作時,除業務效率考量外,更需注意資安風險的因應對策是否完備,例如員工使用私人電腦辦公時要如何確保其設備有足夠的防毒軟體保護、重要機密資訊是否會有外洩的風險等。 本文將聚焦在遠距工作型態中,因應網路資安管控、員工管理不足,所產生的營業秘密資訊外洩風險為核心議題,研析並彙整日本於2021年5月由日本總務省所公布之《遠距工作資安指引》第5版[1],以及美國2022年3月針對與遠距工作相關判決Peoplestrategy v. Lively Emp. Servs.之案例[2]內容,藉此給予我國企業參考在遠距工作模式中應注意的營業秘密問題與因應對策。 壹、遠距工作之型態 遠距工作是指藉由資訊技術(ICT Information and Communication Technology),達到靈活運用地點及時間之工作方式。以日本遠距工作的型態為例,依據業務執行的地點,可分為「居家辦公」、「衛星辦公室辦公」、「行動辦公」三種: 1.居家辦公:在居住地執行業務的工作方式。此方式因節省通勤時間,是一種有效兼顧工作與家庭生活的工作模式,適合如剛結束育嬰假而有照顧幼兒需求的員工。 2.衛星辦公室(Satellite Office)辦公:在居住地附近,或在通勤主要辦公室的沿途地點設置衛星辦公室。在達到縮短通勤時間的同時,可選擇優於居住地之環境執行業務,亦可在移動過程中完成工作,提高工作效率。 3.行動辦公:運用筆記型電腦辦公,自由選擇處理業務的地點。包含在渡假村、旅遊勝地一邊工作一邊休假之「工作渡假」也可歸類於此型態。 貳、遠距工作之風險及其對策 遠距工作時,企業內外部資訊的交換或存取都是透過網際網路執行,對於資安管理不足的企業來說,營業秘密資訊可能在網路流通的過程中受到惡意程式的攻擊,或是遠距工作的終端機、紀錄媒體所存入的資料有被竊取、遺失的風險。例如商務電子郵件詐欺(Business Email Compromise,簡稱BEC)之案例,以真實CEO之名義傳送假收購訊息,藉此取得其他公司之聯絡資訊。近年來BEC的攻擊途徑亦增加以財務部門等資安意識較薄弱的基層員工為攻擊對象的案例[3]。 由於員工在遠距工作時,常使用私人電腦或智慧型手機等終端機進行業務資料流通,若員工所持有的終端機資安風險有管控不佳的情況,即有可能被間接利用作為竊取企業營業秘密資訊之工具。例如2020年5月日本企業發生駭客從私人持有之終端機竊取員工登入企業内網的帳號密碼,再以此做為跳板,進入企業伺服器非法存取企業之營業秘密資訊,造成超過180家客戶受到影響[4]。 關於遠距工作網路資安的風險對策,在技術層面上,企業可使用防毒軟體或電子郵件系統的過濾功能,設定遠距工作之員工無法開啟含有惡意程式的檔案,或是透過雲端服務供應商代為控管存取資料之驗證機制,使遠距工作的過程中不用進入企業内網,可直接透過雲端讀取資訊。另外,建議企業將資訊依照重要程度作機密分級,並依據不同分級採取不同規格的保密措施。例如將資料分成「機密資訊」、「業務資訊」、「公開資訊」 三個等級[5],屬營業秘密、顧客個資等機密資訊者,應採取如臉部特徵辨識、雙重密碼認證等較高規格的保密措施[6]。在內部制度面上,企業則可安排定期遠距工作資安教育訓練、將可疑網站或郵件資訊刊登在企業電子報、公告提醒員工近期資安狀況;甚至要求員工在連結企業内網或雲端資料庫時,須使用資安管理者指定的方法連結,未經許可不得變更設定。 除上述網路資安的風險外,員工管理問題對於企業推動遠距工作是否會導致營業秘密資訊洩漏有關鍵性的影響。因此,企業雇主與員工在簽訂保密協議時,雙方皆需要清楚了解營業秘密保護的標準。以美國紐澤西州Peoplestrategy v. Lively Emp. Servs.判決為例,營業秘密案件的裁判標準在於企業是否已採取合理保密措施[7]。如果企業已採取合理保密措施,而員工在知悉(或應該知悉)有以不正當手段獲得營業秘密之情事,則企業有權要求該員工承擔營業秘密被盜用之賠償責任[8]。在本案中,原告Peoplestrategy公司除了要求員工須簽屬保密協議外,同時有採取保護措施,禁止員工將公司資訊存入筆記型電腦,並且要求員工離職時返還公司所屬之機密資訊,並讀取資訊的過程中,系統會跳出顯示提醒員工有保密義務之通知,故法院認定原告有採取合理的保護措施,保護機密資訊的秘密性[9]。與之相反,Maxpower Corp. v. Abraham案例中,原告僅採取一項最基礎的保密措施(設置電腦設備讀取權限並要求輸入密碼),且與其員工簽訂保密協議中缺乏強調保密之重要性、未設立離職返還資訊之程序,故法院認定原告所採取之管控機制未能達到合理保密措施[10]之有效性。 藉由前述兩件判決案例,企業在與員工簽屬保密協議時,應向員工揭露企業的營業秘密保密政策,並說明希望員工如何適當處理企業所屬的資訊,透過定期的教育訓練宣導機制,以及員工離職時再次提醒應盡之保密義務。理想上,企業應每年與員工確認保密協議內容是否有需要配合營運方向、遠距工作模式調整,例如員工因為遠距工作使工作時間、地點的自由度增加,是否會發生員工接觸或進一步與競爭對手合作的情形。對此,企業應該在保密協議中訂立禁止員工在企業任職期間出現洩露公司機密或為競爭對手工作之行為[11]。 參、結論 以上概要說明近期美國和日本針對遠距工作時最有可能產生營業秘密資訊管理風險的網路資安問題、員工管理問題。隨著後疫情時代發展,企業在推動遠距工作普及化的過程中,同時也面臨到營業秘密管控的問題,以下以四個面向給予企業建議的管控對策供參。 (一)教育宣導:企業可定期安排遠距工作資安教育訓練,教導員工如何識別釣魚網站、BEC等網路攻擊類型,並以企業電子報、公告提醒資安新聞。另外,規劃宣導企業營業秘密保密政策,使員工清楚應盡的保密義務,以及如何適當處理企業的資訊。 (二)營業秘密資訊管理:企業應依照資訊重要程度作機密分級,例如將資訊分成「機密資訊」、「業務資訊」、「公開資訊」三個等級,對於機密資訊採取如臉部特徵辨識、雙重密碼等較嚴謹的保密措施。其中屬於秘密性高的營業秘密資訊則採取較高程度的合理保密措施,以及對應其相關資料應審慎管理對應之權限、存取審核。 (三)員工管理:企業在最理想的狀況下,應每年與員工確認保密協議的約定內容是否有符合業務營運需求(例如遠距工作應執行的保密措施),並確保員工知悉要如何有效履行其保密義務。要求員工在處理營業秘密資訊時,使用指定的方式連結企業内網或雲端資料庫、禁止員工在職期間或離職時,在未經許可之情況下持有企業的營業秘密資訊。 (四)環境設備管理:遠距工作時在技術管理上最重要的是持續更新資安防護軟體、防火牆等阻隔來自於外部的網路攻擊,避免直接進入到企業內部網站為原則。同時,需確認員工所持有的終端機是否有資安風險管控不佳的風險、以系統顯示提醒員工對於營業秘密資訊應盡的保密義務。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]〈遠距工作資安指引〉第5版,總務省,https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/ (最後瀏覽日:2022/04/27)。 [2]Karol Corbin Walker, Krystle Nova and Reema Chandnani, Confidentiality Agreements, Trade Secrets and Working From Home, March 11, 2022, https://www.law.com/njlawjournal/2022/03/11/confidentiality-agreements-trade-secrets-and-working-from-home/ (last visited April 27, 2022). [3]同前揭註1,頁99。 [4]同前揭註1,頁103。 [5]同前揭註1,頁73。 [6] Amit Jaju ET CONTRIBUTORS, How to protect your trade secrets and confidential data, The Economic Times, March 05, 2022, https://economictimes.indiatimes.com/small-biz/security-tech/technology/how-to-protect-your-trade-secrets-and-confidential-data/articleshow/90010269.cms (last visited April 27, 2022). [7]Sun Dial Corp. v. Rideout, 16 N.J. 252, 260 (N.J. 1954). Karol Corbin Walker et al., supra note 2 at 3. [8]18 U.S.C.§1839(5). Karol Corbin Walker et al., supra note 2 at 3. [9]Peoplestrategy v. Lively Emp. Servs., No. 320CV02640BRMDEA, 2020 WL 7869214, at *5 (D.N.J. Aug. 28, 2020), reconsideration denied, No. 320CV02640BRMDEA, 2020 WL 7237930 (D.N.J. Dec. 9, 2020). Karol Corbin Walker et al., supra note 2 at 3. [10]Maxpower Corp. v. Abraham, 557 F. Supp. 2d 955, 961 (W.D. Wis. 2008) Karol Corbin Walker et al., supra note 2 at 3. [11]Megan Redmond, A Trade Secret Storm Looms: Six Steps to Take Now, JDSUPRA, March 07, 2022, https://www.jdsupra.com/legalnews/a-trade-secret-storm-looms-six-steps-to-6317786/ (last visited April 27, 2022).
日本總務省公布AI運用原則草案日本總務省於2016年10月起召開AI聯網社會推進會議(AIネットワーク社会推進会議),該會議於2018年7月17日公布「報告書2018─邁向促進AI運用及AI聯網化健全發展」(報告書2018-AIの利活用の促進及びAIネットワーク化の健全な進展に向けて-),提出「AI應用原則草案」(AI利活用原則案)。 「AI應用原則草案」制定目的在於促進AI開發及運用,藉由AI聯網環境健全發展,實現以人為中心之「智連社會」(Wisdom Network Society:WINS),其規範主體包括︰AI系統利用者、AI服務提供者、最終利用者(以利用AI系統和服務為業)、AI網路服務提供者、離線AI服務提供者、商業利用者、消費者利用者、間接利用者、資料提供者、第三者和開發者;草案內並根據上開規範對象間關係,整理各種AI運用情境,最終提出「適當利用」、「適當學習」、「合作」、「安全」、「資安」、「隱私」、「尊嚴自律」、「公平性」、「透明性」、「歸責」等十大AI應用原則。總務省表示將持續檢討完善AI應用原則草案細節,以「利用手冊」等形式公布,提供民眾參考。 行政院於2018年初推出「台灣AI行動計畫」,將整合5+2創新產業方案,由相關部會協助發展100個以上的AI應用解決方案,日本總務省所整理之AI應用情境與研提之應用原則,或可作為我國未來推動AI發展之參考。
歐洲議會批准提升線上平台商業行為公平性之新規則有鑑於線上市集(如Google Play)、訂房網站等線上平台提供了迅速進入國際消費市場之機會, 因此成為了數百萬企業提供服務的首選之地。然而,存在於「平台對商家」(platform–to-business, P2B)之間的某些結構性問題,卻導致了企業之間的不公平交易行為。是以,歐洲議會、歐盟理事會與歐盟執委會於2019年2月14日就「提升線上中介服務商業用戶的公平性與透明性規則」(Regulation on promoting fairness and transparency for business users of online intermediation services),達成政治協議,歐洲議會並已於2019年4月17日批准。 該規則為全世界第一個針對線上平台與商業用戶訂定之規則,係數位單一市場策略(Digital Single Market Strategy)的一部分,預計適用於整個線上平台經濟,亦即,目前在歐盟境內營運的7000個線上平台或市集都包含在內,無論是科技巨擘,抑或是規模雖小但對商業用戶具重要議價能力的新創公司(small start-ups)皆屬之。此外,新規則中涉及搜尋結果排序透明度之部分,亦將適用於搜尋引擎。 其中,由於數以百萬計的中小企業是構成歐盟經濟的重要支柱,是以此番訂定的新規則,係專門針對此些較無議價能力的中小企業而設計。中小企業可自新規則中獲益之項目主要有四: 1. 禁止特定不公平行為 (1) 不得突然且未附理由的暫停帳號使用權 線上平台不得在無明確理由或未提供申訴可能性之情況下,暫停或終止賣家帳戶。 (2) 條款與條件需簡明易懂且變更時須提前通知 條款與條件需易於取得且以簡明易懂之文字書寫,當條款與條件有所變更時,線上平台需在15天之前通知,使賣家得即時調整業務,並可視業務調整複雜度適時延長通知期間。 2. 提升線上平台透明度 (1) 排序透明化 市集與搜尋引擎需揭露其排序商品或服務的主要參數,以利賣家進行適度優化。 (2) 強制揭露線上平台的部分商業行為 由於部分線上平台除了提供市集促進交易進行,更在該市集中身兼賣家之角色,是以,為維護公平競爭的環境,新規則強制此些線上平台全面揭露任何可能給予自家產品的優勢。此外,該等線上平台還需揭露所蒐集之資料及使用方式,尤其是與其他商業夥伴共享之資料。當涉及個人資料時,則有一般資料保護規則(General Data Protection Regulation, GDPR)之適用。 3. 增設爭端解決機制 (1) 建立投訴處理系統 線上平台應建立內部投訴處理系統以對商業用戶提供適當協助。 (2) 設置調解程序 線上平台應提供調解之協助,以助賣家在法庭外解決爭議,有效節省時間與金錢。 4. 規則之實施 商業公會能對違反規則之線上平台提起告訴,以降低賣家對平台報復行為的恐懼,並降低個別賣家的訴訟成本。 在歐洲議會批准後,一旦歐盟理事會同意,新規則將在公布後12個月後正式施行,且為了確保新規則與時俱進,歐盟將在適用後的18個月內進行檢視,並設立專門的線上平台觀測站(Online Platform Observatory),以監控市場的變化,並確保新規則有效施行。
OECD氣候行動監測與科學技術之挑戰經濟合作與發展組織(Organisation for Economic Co-operation and Development,簡稱OECD)於2022年11月7日發布《2022年氣候行動監測 幫助各國邁向淨零碳排》(The Climate Action Monitor 2022 Helping Countries Advance Towards Net Zero),係由國際氣候行動計畫(International Programme for Action on Climate,簡稱IPAC)團隊撰擬,提供全球氣候行動的重要見解。 IPAC提出之分析方法係本於OECD與聯合國環境規劃署(United Nations Environment Programme,簡稱UNEP)的「壓力–狀態–回應」(Pressure-State-Response,簡稱PSR)環境指標模型。與政策回應相關的潛在限制與障礙,可區分為四個關鍵領域:1、治理:有效率的執行脫碳政策或需有新的治理框架;2、關鍵材料:脫碳政策需使用的關鍵材料如銅、鋰等;3、技能、技術與創新:回應氣候變遷政策需個人和機構有新的能力和技術;4、財政:以政策回應需有充足的資金。 推動淨零在科學技術上面臨的挑戰為關鍵材料的應用。相較於化石燃料,綠能技術需更多的材料;特別是應用於電力系統的銅和鋁,或應用於電池的鋰、鈷和石墨。稀土對於風力發電機、電動與混合動力汽車、行動電話、電腦硬體、平面顯示器和電視機為重要材料。惟此些關鍵材料的取得集中於極少數的國家,以致於供應鏈易受單邊衝擊的影響,而使價格飆升,阻礙轉型。原材料占綠色技術大部分的成本,而緊張的材料市場可能會阻止對綠色技術的使用。氣候計畫與公告需考量關鍵技術的風險,實踐可信且穩定的淨零碳排,需於全球開發新的資源、新型的加工製程,與加速投資。並藉由新技術,與發展特定材料的回收鏈,以減緩對取得材料的依賴。 OECD提出「福祉透視」(the Well-Being Lens)的流程,以協助各國確認與考量淨零轉型的優先政策。此過程的步驟為:1、預設若為運作良好的系統所能達成的成果;2、理解現行系統無法達成的原因,以及如何重組和設計系統;3、確認行動與政策對於改善系統運作具有潛力。 本文同步刊登於TIPS網站(https://www.tips.org.tw)