美國針對政府雲端運算應用之資訊安全與認可評估提案

  為建構政府雲發展的妥適環境,美國於今年度啟動「聯邦風險與認可管理計畫」(Federal Risk and Authorization Management Program, FedRAMP),由國家技術標準局(National Institute of Standards and Technology, NIST)、公共服務行政部(General Service Administration)、資訊長聯席會(CIO Council)及其他關連私部門團體、NGO及學者代表共同組成的跨部會團隊,針對外部服務提供者提供政府部門IT共享的情形,建構一個共同授權與持續監督機制。在歷經18個月的討論後,於今(2010)年11月提出「政府雲端資訊安全與認可評估」提案(Proposed Security Assessment & Authorization for U.S Government Cloud Computing),現正公開徵詢公眾意見。


  在FedRAMP計畫中,首欲解決公部門應用雲端運算所衍伸的安全性認可問題,因此,其將研議出一套跨部門共通性風險管理程序。尤其是公部門導入雲端應用服務,終究會歸結到委外服務的管理,因此本計劃的進行,是希望能夠讓各部門透過一個機制,無論在雲端運算的應用及外部服務提供之衡量上,皆能依循跨機關的共通資訊安全評定流程,使聯邦資訊安全要求能夠協調應用,並強化風險管理及逐步達成效率化以節省管理成本。


  而在上述「政府雲端資訊安全與認可評估」文件中,可分為三個重要範疇。在雲端運算安全資訊安全基準的部份,主要是以NIST Special Publication 800-535中的資訊安全控制項作為基礎;並依據資訊系統所處理、儲存與傳輸的聯邦資訊的敏感性與重要性,區分影響等級。另一部份,則著重在持續性的系統監控,主要是判定所部署的資訊安全控制,能否在不斷變動的環境中持續有效運作。最後,則是針對聯邦資訊共享架構,出示模範管理模式、方策與責任分配體系。

本文為「經濟部產業技術司科技專案成果」

相關連結
※ 美國針對政府雲端運算應用之資訊安全與認可評估提案, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=5356 (最後瀏覽日:2024/02/21)
引註此篇文章
你可能還會想看
資通安全法律案例宣導彙編 第2輯

FDA發佈「拒絕接受510(K)審查申請之政策」指導文件草案

  醫療器材在美國上市所需依循的途徑,為申請510(k)審查或上市前審查(Premarket Approval, PMA)。順序上第一步,必須在90天前向美國食品藥物管理局(U.S. Food and Drug Administration, FDA)提出「上市前通知」(Premarket Notification, PMN)申請。所謂的510(K),係指美國《食品、藥物及化妝品法》(Federal Food, Drug, and Cosmetic Act, FD&C Act)第510節之規定,在申請的流程中,FDA會審查廠商所提出的佐證,是否具備與已上市的相同器材一樣之「實質相等性」(Substantial Equivalence),若不具備「實質相等性」,即必須進入PMA申請程序。   FDA指出過往機關接受許多不適當的501(K)審查申請,而必須要求這些不適當的申請廠商進一步補充文件,以進行實質審查。FDA指出這樣的程序,進行過度頻繁的審查,而浪費不少寶貴的資源及人力。FDA於2012年8月10發佈「拒絕接受510(K)審查申請之政策」指導文件草案。作為改善與加強501(K)申請流程之效率與有效性。新的指導文件草案之改善目標,係要求廠商必須提出傳統(Traditional)、特殊(Special)、簡略(Abbreviated)三種不同的申請所需之審查文件,FDA會先進行審查文件是否具備的預先審核,始進行實質審查。廠商必須依照指導文件草案內含的核對表(Checklist)所規定必須提交之審查文件,FDA有15天的時間回應廠商是否完成繳交,或要求廠商在新的15天之內補件,而承認 (Acceptance)形式審查完備,始進行實質審查。廠商亦可針對缺繳之文件,說明不提供之理由,並提出相關證明。指導文件草案提供以下幾個準則,提供審查機關審視核對表完備與否: 該產品是否為器材; 該項申請之對象是否正確; 是否為適當合法510(k)申請; 是否有相同的器材經PMA程序核准上市; 所提出的臨床數據,申請者是否受限於「申請規範政策」(Application Integrity Policy, AIP)。   FDA透過這樣預先審查之方式,檢視廠商所提出之申請,是否符合形式的要件,而決定是否進行實質審查,以避免浪費行政機關的資源與人力進行不適當的審查,希冀改善FDA目前501(k)審查申請制度之效率與有效性。

美國聯邦上訴法院維持地方法院之原判,判定暢銷藥物Plavix 所基於的關鍵專利為有效

  繼美國紐約南區地方法院於2007年6月判定暢銷藥物Plavix所基於的專利為有效後,美國聯邦上訴法院於2008年12月再次認定Plavix之專利為有效。此判決有助於阻止Plavix學名藥進入美國市場直至該專利於2011年到期。   Plavix為一降低血液黏稠度之藥物,乃Bristol-Myers Squibb Co. 公司最銷售之產品及Sanofi-Aventis公司第二銷售之產品。加拿大Apotex公司宣稱Plavix之專利為無效,於2006年開始在美國販售Plavix 之學名藥。Bristol-Myers Squibb 與Sanofi-Aventis於贏得訴訟後表示將要求Apotex Inc.支付於販售學名藥期間對兩家藥商所造成的損失。   澳美國聯邦上訴法院法官表示地方法院已徹底的討論Apotex 所提出的專利無效論點,否決Apotex所提出的該專利並未包含新發明及Sanofi-Aventis之科學家使用已知研究方法及已知化合物製成Plavix 之主要組成物。上訴法院法官表示於判斷非顯而易見上,使用「後見之明」(hindsight)是不適合的。   針對此判決,Apotex公司表示他們認為上訴法院之決定為錯誤的並將持續努力尋求於美國銷售有品質的且一般大眾負擔得起的Plavix 學名藥。

美國修正通過外國情報偵察法(FISA)

  美國近期通過「外國情報偵察法」(Foreign Intelligence Surveillance Act, FISA)之修正案,其中,原先於1月份到期的第七章(Title VII)702條款(Section 702),重新延長授權6年,直至2023年12月31日。   此法案於1978年生效,為美國第一個要求政府須先獲得法院許可,始能進行電子監視的法律。法案宗旨係為平衡國家安全以及人民權利,基於憲法第四修正案對人民的保障,使身處美國領土內的人民免於被恣意監視,國家在通常情況下,須獲得外國情報偵察法院(Foreign Intelligence Surveillance Court, FISC)搜索票(warrant)才可對人民進行搜查。   本次法案修正通過後,使聯邦調查局能夠持續使用情報數據資料庫,以獲取有關美國人的信息,但法案新增要求聯邦調查局在預測性刑事調查中(predicated criminal investigation)如要索取與國家安全無關的內容,必須事先經FISC法院審查許可(court order)。   因911恐攻事件後出現的反恐需要,2008年增訂第七章702條款為FISA的正式條款,原本在今年1月到期,法案修正通過後,此條款延長授權6年。目的為美國公民提供隱私保護,禁止政府針對美國公民和位於美國境內的外國人為監視對象;僅處於國外的外國人,涉及外國情報資訊才可被列為本條進行監視的目標。允許情報部門,在三個政府部門(外國情報偵察法院,行政部門和國會)的監督下,收集關於國際恐怖分子,武器散布者以及其他位於美國境外的重要外國情報。   此項修正案保留702條款的操作靈活性,並加入了一些增強隱私措施及要求。惟,受質疑且具爭議的是,702條款條文內容規範,允許美國政府的情報機構--國家安全局(National Security Agency, NSA)基於該條款,例外不需法院搜索票,可向Google、Apple、微軟、Facebook或電信業者等美國企業蒐集、調閱國外非美國人用戶的海外通訊內容(包含電子郵件、電話、其他私人信息等),當這些被監聽的國外用戶之通訊對象係涉及美國人時亦同;意即,若美國人曾接觸被鎖定的國外對象,也會被納入調查並取得通訊紀錄等個資,且禁止業者通知受影響的用戶。曾有國會參議員試圖修改此法案,加入隱私保護條款,但最終並未獲多數同意。

TOP