歐盟發布新版「向第三國傳輸個人資料標準契約條款」

  歐盟執委會以(EU)2021/914號執行決定(Implementing Decision)所發布的新版「向第三國傳輸個人資料標準契約條款(New Standard Contractual Clause for the transfer of personal data to third countries,下稱SCC)」已於9月27日起正式取代舊版條款。

  新SCC發布於2021年6月27日,旨在滿足歐盟法院(the Court of Justice of the European Union, CJEU)以2020年7月Schrems II判決所訂定之資訊保護需達「足夠充分(substantially sufficient)」標準。該版SCC為因應不同情境之跨境資料傳輸,而設計採取4種模組之規範條款供涉及歐盟境外之第三方資料傳輸者(控制者與接收者)依循參採,包括:

  1. 規範模組一:從資料控制者(Data Controller)到資料控制者的資訊傳輸(Transfer from controller to controller, C2C)
  2. 規範模組二:從資料控制者到資料處理者(Data Processor)的資料傳輸(Transfer from controller to processor, C2P)
  3. 規範模組三:從資料處理者到資料處理者的資料傳輸(Transfer from processor to processor, P2P)
  4. 規範模組四:從資料處理者到資料控制者的資料傳輸(Transfer from processor to controller, P2C)

  本次執行決定亦設立了轉換期以利各方進行合規審查與契約調整:雖然舊版已於2021年9月27日廢止不再適用,原已適用舊版SCC之契約,至遲仍得實施至2022年12月27日止。(亦即新版SCC公佈後的18個月內)。

  在此執行決定下,歐洲資料保護委員會 (European Data Protection Board)亦發布「關於如何確保對個人資料傳輸採取適當保護措施建議(Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data)」釐清GDPR「傳輸影響評估(Transmission Impact Assessment, TIA)之機制流程 。

  隨著資通科技之快速崛起跨境個資傳輸已成為企業常態,而此種現象近期甚至在交通自動化的科技發展下逐漸擴及交通業別,其中全球航運和物流公司在全球範圍內傳輸個資,其中甚至包括用於履行和營銷目的之乘客資料、員工個人資料和客戶業務聯繫資訊等敏感個資已成為常態,應儘速因應相關法制之發展,解決全球範圍內快速發展的隱私合規問題。

本文為「經濟部產業技術司科技專案成果」

相關連結
你可能會想參加
※ 歐盟發布新版「向第三國傳輸個人資料標準契約條款」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8759 (最後瀏覽日:2024/02/29)
引註此篇文章
你可能還會想看
美國白宮發布「美國就業計畫」說明文件,加強投資基礎建設與科技研發

  美國白宮於2021年3月31日發布「美國就業計畫」說明文件(FACT SHEET: The American Jobs Plan),針對美國當前所面臨基礎建設老舊、失業率攀升、氣候變遷與來自中國的技術競爭等問題,預計在未來八年內每年投資約GDP的1%,共投入約2兆美元(約合新台幣56兆元)於修復與升級國家基礎建設、振興製造業、投資基礎科學研究、支持供應鏈、推動能源轉型、幼兒教育及長照醫療等項目上。   本說明文件指出,雖然美國為世界上最富裕的國家,但許多基礎建設都逐漸變得老舊或不合時宜,部份人民仍無法享有高速網路與價格可負擔的房屋,而在疫情的衝擊下不僅導致工作機會喪失,更威脅到國家經濟安全。除此之外,美國在科技研發、製造與人才培育上開始落後於最大的競爭對手,顯示政府有必要加快在基礎建設與科技研發的投資,以重建美國的國家競爭力並創造更多的就業機會。   針對投資基礎建設部分,包含交通基礎建設如修復高速公路、橋樑,並升級港口、機場及運輸系統,並改善飲水、電力與網路布建,提供全體人民可負擔、可靠的高速寬頻服務;除了提高基礎建設在面對氣候變遷危機時的韌性,也提供美國人民更安全、可靠、便利的生活條件。在更新基礎建設的同時,將採用符合永續性及創新性的建築材料,並優先使用在美國製造與販售的零組件,以支持國內產業與創造就業機會。   而在投資科技研發部分,相對於中國大陸正大力投資於研發,其研發支出為世界第二,美國在投資科技研發占GDP比率卻持續下降,為了支持研發團隊克服高度創新(high-innovation)技術的障礙,有必要提高對於國內研究人員、實驗室及大學院校的投資。因此白宮呼籲國會支持國家科學基金會(NSF)投資500億美元設立技術局(technology directorate),用於整合國家研究資源,投入半導體及高級通訊技術、高級能源技術及生物技術的研發,並預計投資400億美元於全國實驗室研究設施與網路的升級。   除此之外,白宮規劃投資350億美元於研發克服氣候變遷危機的技術解決方案,包括開發減少排放和建立氣候適應力的新方法,並呼籲國會投資100億美元於傳統黑人大學(HBCUs)、弱勢族群教育機構(MSIs)的科技研發以避免種族與性別落差,投資200億美元於區域創新中心及社區再生基金,向國家標準技術協會(NIST)投資140億美元推動產官學合作研發,以及規劃310億美元用於中小企業信貸、創投及研發資金,特別是地區型的小型孵化器及創新聚落,以支持有色人種及弱勢族群的新創事業成長。

日本專利法中舉發和異議制度之沿革及現況

日本專利法中舉發和異議制度之沿革及現況 資策會科技法律研究所 法律研究員 蘇彥彰 104年11月30日   日本於2014年基於「促進創新以催生優秀技術和商品,作為產業競爭力的源頭」之目的,在兼顧國際化和中小企業使用需求的前提下,就整體智慧財產法制包括發明專利法(特許法)、新型專利法(実用新案法)、設計專利法(意匠法)、商標法、國際專利申請法、專利師法等進行相當程度的修正,而其中專利法的修正重點之一為重新建立專利[1]的異議程序,並修正原有舉發程序之主體資格。由於日本產業種類和專利法制均與我國相近,其產業界對於專利之運用策略亦為值得我國業者參考之對象[2],因此我國對於日本在相隔超過十年後再次恢復異議程序,使專利撤銷重新回歸異議和舉發雙軌制度之修正背景和具體作法,應有進行了解之必要。 一、日本專利撤銷制度沿革   日本於2003年時,基於以下原因[3],廢除了原已實行超過80年的專利異議制度,將異議制度的功能整合於專利舉發制度中: (1)異議和舉發在制度設計上的區別性不足,以致於實務上同樣都被視為解決私權紛爭的方式; (2)當時的異議制度,在過程中並未能充分給予異議人具夠的意見表達機會,使整體異議人對處理結果滿意度低落; (3)異議和舉發實際上常同時繫屬於專利廳(特許庁),且由於制度結構不同無法合併處理;又或者異議人在異議被駁回後再提出舉發,造成紛爭解決時程的拖延,增加當事人之負擔且不利專利之安定性。   然而日本廢除異議程序後發現,以言詞審理為原則的專利舉發程序,對於當事人間的人力、時間、金錢負擔較過去異議程序為大,尤其對於非都會區的使用者,或是偏向研發而不進行製造的大學單位更不易進行運用,造成專利撤銷制度的受使用數下降。如此一來雖然短時間內專利核准數量和速度可因而提昇,但長此以往恐將增加有瑕疵的專利在市場上存在和流通的可能性,而更令日本方面憂心的是若事業者於獲得專利後已大舉進行投資,經過相當時日與競爭者間發生侵權糾紛後才被專利廳或法院認定專利無效,將可能對事業造成致命的損害[4]。因此在商業活動全球化,國際專利也透過專利高速公路而加快取得速度的現在,提高專利權安定的必要性也與日俱增。   基於上述背景,日本於2014年修正之專利法中,重新納入了異議制度,允許任何人(包括利害關係人及其他第三人在內),在專利公告後六個月內以不符專利要件、不符權利互惠原則、不應核發專利之發明、重複核發專利、欠缺說明書支持等涉及公眾利益之理由,向專利廳聲明異議並進行書面審查。若專利廳審查後初步認定異議有理由,將向專利權人發出撤銷理由通知,專利權人則可在縮限專利申請範圍、訂正誤記誤譯、就不明瞭記載進行釋明等不使專利範圍擴大的前提下,提出專利內容的更正;另一方面,異議人也可就專利廳的撤銷理由通知以及專利權人的更正請求提出意見書。此作法除可有效落實異議制度提昇專利品質、排除不適當專利外,亦可提高異議人對於異議結果的滿意度;此外在恢復異議程序的同時,新制也針對舉發程序進行修正,將發動舉發程序的權利主體限於利害關係人。 二、修正後日本專利異議和舉發程序分析   修正後的日本專利法,針對已公告核准的專利權再次設有異議和舉發兩道事後審查程序   (1)異議程序[5]   異議程序之目的在於就已成立之專利權儘早進行內容檢討修正,因此除限於公告後六個月內提出、異議理由限於與公眾利益有關之事項外,並採取完全書面審查方式,以加快審查速度且減低程序上支出。若專利廳認為異議有理由並撤銷專利時,專利權人可向高等智財法院起訴尋求救濟,但若專利廳認為異議無理由時,異議人不得聲明不服。附帶一提,雖然異議人具備利害關係人身份時可另行發動舉發程序,但就制度設計目的和精神而言,舉發並非異議結果之救濟程序。   (2)舉發程序   相較於以公益為目的之異議程序,修法後舉發程序之目的更加明確導向解決當事人間的具體權利紛爭。新制下,舉發主體限縮為利害關係人,但相對在時點方面,則容許於專利公告後任何時點提出(包括專利權期滿消滅後),理由亦不限於公眾利益事項,包括專利權人實際上並非專利申請權人之權利歸屬事項在內亦可作為舉發之理由,且審查過程以言詞審查為原則,若當事人對舉發結果不服,無論權利人或舉發人,均可向高等智財法院起訴尋求救濟。 三、小結:對我國專利撤銷制度之啟發 (1)以舉發程序取代異議程序之成效似乎有限   我國於2003年修正專利法之規定,廢除異議制度,整合原有異議與舉發之法定事由,期望能簡化程序並使權利及早確定[6]。   然而如同日本方面經過統計後得知,其國內舉發案件量在異議程序廢除前後幾乎沒有區別。若分析我國智慧財產局自1996年至2014年所進行之專利統計資料後可發現,1996年至2003年間每年約有近2000件異議案件及600餘件之舉發案件提出,自2004年起,異議案件提出量當然完全歸零,但舉發案件之數量雖在初期大量增加,隨後便如同日本情形,舉發案件量呈現快速減少之趨勢,近兩年已回歸2003年異議程序廢除前每年約600餘件之舉發量[7]。在異議案件量完全歸零,而舉發案件量無明顯成長的情況下,原本以舉發程序取代異議程序之目的是否有效達成,實不無疑問。 (2)區別權利主體設計不同的專利撤銷制度   與日本較強調當事人間紛爭解決功能、強化當事人程序上保障、甚至專利法中明文準用民事訴訟法上證據調查之相關規定[8]相比,我國舉發制度或因從職權撤銷專利權制度逐步補充而形成,故較著重於原處分之糾正和撤銷不合法之專利權,對當事人紛爭解決的關注度程度較低[9]。   就此,近來即有實務意見指出,公眾審查制度的設計可依請求審查對象區分為任何人(不包含專利權人)與利害關係人兩種。其中,不涉及利害關係的第三人僅能在專利公告後一段期間內提出無效請求,而利害關係人只要在專利權存續期間均能提起無效請求,甚至在專利權消滅後亦能提出,使得無效爭議案件集中限制在現行涉訟優先審查的專利舉發案,如此可促使專利無效案件審查的加速化、高品質化。且無論該專利無效爭議案件的審理結果是否確定,均可作為智慧財產法院在審理專利有效性的依據,使得第一次判斷權回歸至專利專責機關。同時,也能保障專利權人的救濟機會與審級利益[10],此一意見實與日本2014年專利法之修正方向一致。我國在專利法制研擬上或可參考之,就專利撤銷制度以權利主體和程序目的為出發點,再次進行類型化的區分。 [1] 和我國將發明專利、新型專利、設計專利均置於單一「專利法」中規範的作法不同,日本的「特許法」、「実用新案法」、「意匠法」均為個別獨立之法規,故本文中之所稱「專利」均係指我國之「發明專利」,不包括「新型專利」和「設計專利」在內。 [2] 莊榮昌,〈從日本企業的立場看專利無效審判〉,《專利法制與實務論文集(95年)》,頁545(2007)。 [3] 高畑豪太郎,《新・特許異議申立制度の解説―平成26年特許法改正―》,経済産業調査会,初版,頁37(2014)。 [4] 同前註,頁5。 [5] 「特許異議の申立」規定於2014年修正後日本專利法第113條以下。 [6] 〈歷年專利相關法規〉,經濟部智慧財產局,https://www.tipo.gov.tw/fp.asp?fpage=lp&ctNode=6678&CtUnit=3205&BaseDSD=7&mp=1(最後瀏覽日:2015/12/14) [7] 〈歷年統計〉,經濟部智慧財產局網站,https://www.tipo.gov.tw/lp.asp?ctNode=6721&CtUnit=3231&BaseDSD=7&mp=1(最後瀏覽日:2015/09/25) [8] 特許法(昭和三十四年四月十三日法律第百二十一号)第百五十一条「第百四十七条並びに民事訴訟法第九十三条第一項 (期日の指定)、第九十四条(期日の呼出し)、第百七十九条から第百八十一条まで、第百八十三条から第百八十六条まで、第百八十八条、第百九十条、第百九十一条、第百九十五条から第百九十八条まで、第百九十九条第一項、第二百一条から第二百四条まで、第二百六条、第二百七条、第二百十条から第二百十三条まで、第二百十四条第一項から第三項まで、第二百十五条から第二百二十二条まで、第二百二十三条第一項から第六項まで、第二百二十六条から第二百二十八条まで、第二百二十九条第一項から第三項まで、第二百三十一条、第二百三十二条第一項、第二百三十三条、第二百三十四条、第二百三十六条から第二百三十八条まで、第二百四十条から第二百四十二条まで(証拠)及び第二百七十八条(尋問等に代わる書面の提出)の規定は、前条の規定による証拠調べ又は証拠保全に準用する。」 [9] 蔡鴻仁,《發明專利舉發之研究》,輔仁大學法律學研究所碩士論文,頁22至23(2004)。 [10] 陳政大,〈我國專利公眾審查制度之調整初探〉,廣流智權事務所,http://www.wipo.com.tw/wio/?p=4316(最後瀏覽日:2015/09/30)

Google成功阻擋GOOGLEBAY商標註冊

  日前在澳洲GoogleInc(Google)成功的阻擋DmitriRystk(Rystk)以GOOGLEBAY申請註冊於第35類消費者市場情報服務(consumermarketinformationservices)的商標。   根據澳洲商標法規定,提出異議者,即商標權人-Google,必須要能立證其所註冊的服務或商品中與爭議商標申請人Rystk所申請註冊的商標所指定的服務,至少有包含一項跟消費者市場情報服務類似的服務或商品;並且GOOGLE與GOOGLEBAY有足以令人混淆誤認之虞。   Google提出的訴因為: 1) GOOGLEBAY乃是與GOOGLE有“欺矇性的”相似(deceptivelysimilar)商標 2) Rystk提出註冊申請(2006年06月16日)時,GOOGLE已經在澳洲有相當知名度   澳洲商標審查員認為消費者市場情報服務是一個很廣義的範圍,可以想見其中必然包括廣告服務。因此,它所指定的服務即包含類似於Google第1049124號註冊商標所包含的服務,其中包括透過網際網路散佈廣告。   澳洲商標審查員亦同時提到GOOGLE此造字的特殊性,及另一個造字EBAY皆無字典上的解釋,並且這兩個造字都跟網際網路有強烈的關聯。根據這個見解,消費者即有可能將GOOGLEBAY視為GOOGLE跟EBAY的結合造字,加上並沒有其他字義解釋的情況下,想當然爾會認為GOOGLEBAY與Google的事業有關,比如認為GOOGLEBAY是GOOGLE關係家族的商標之一。加上GOOGLE商標在澳洲亦有十足的知名度*,更能讓商標審查員同意如此“欺矇性的”相似商標有足以令人混淆誤認之虞。   在此特別一提的是澳洲的商標法修正後,在對商標註冊提出異議時,對以與著名商標有疑似混淆誤認的訴因中“欺矇性的”相似已不再是前提要素。因此,商標審查員核駁了Rystk的GOOGLEBAY註冊申請。 *註1:根據澳洲聯邦商標法第60條第1項,商標註冊可以因另一商標在註冊的優先權日前即已在澳洲獲得相當知名度而遭到異議

美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介

美國公務機關電子機密資訊系統面對內部威脅之政策規範簡介 科技法律研究所 102年04月01日 壹、事件摘要   根據一項網路入侵案件的統計分析,約有80%的案件事來自於機關或企業內部人員,或是至少與內部人員有關。[1]然而,對於資通訊安全與機密資訊的維護,機關單位與人員把大部分的重心放在防範外來的入侵者,也就是外部威脅,反而忽略了內部員工對於資訊可能產生的潛在危害。[2]這些入侵案件的行為人大部分擁有合法存取控制資訊系統的權限,也就是因為這樣,內部威脅不易被發現。這就好比擁有大門鑰匙一般,正當合法從大門出入,以及從事本來就可以做的事,而不易被發覺。美國由於維基解密(WikiLeaks)事件的爆發,使政府對於機密維護的焦點,從外在攻擊的防止,轉聚焦於內部威脅的防範。   在美國,內部威脅並不是一個新的概念,公務機關本具備一定的管理措施;惟在維基解密案爆發後,帶給美國政府極大的衝擊,美國也全面檢討與創制新的因應作法,並於政策面、制度面與技術面等不同面向,進行積極的研究與合作。以下將引介美國之制度設計,藉此提供公務機關因應內部威脅議題之政策之參考。 貳、重點說明 一、內部威脅的定義與事件   有關資訊的價值,近來因內部威脅所帶來的損害類型已經隨著對於財產的定義與價值觀而產生變化。以產業為例,智慧財產權與企業機密,儼然成為內部人員所竊取的主要類型。企業可能因為智慧財產權或企業機密的外洩,導致企業喪失競爭力或甚至破產而關閉。如果把企業模型放大至國家或公務機關,「機密」對內部人員即成為最有價值的財產與籌碼,而公務機關可能因為內部威脅將機密外洩,造成對於國家、機關或人民產生公共安全,甚至是國家安全的危機。 (一)內部威脅的定義   外部威脅(External threat)」[3]係與內部威脅相對應之概念;外部威脅係指該威脅非由組織內部發生,而是由組織外部之人員或其他組織,透過一般的網際網路、互聯網系統,以未經授權之方式,對該組織之資訊設備,以植入惡意程式、或以駭客入侵等方式,進行侵入式的資訊系統攻擊,其目的係在於由外部取得該組織「有價值」的資訊。   為因應威脅,「威脅識別(Threat Identification)」成為威脅防禦之首要任務,按形成威脅的原因加以區分,大抵可分為「外部威脅(External Threat)」與「內部威脅(Insider Threat 或Internal Threat)」兩類。內部威脅係指例內部竊盜、系統失敗、惡意破壞、不遵守安全準則或是使用非法軟體等;相對外部威脅,係指自然災害,例如火災與地震,以及來自外部的惡意攻擊,例如盜賊、駭客、惡意程式,以及網路病毒等。[4]   「內部威脅」雖然被認知為威脅的一個種類,但是我國目前尚無對於「內部威脅」一致的定義。檢視外國對於「內部威脅」的定義,通常係指員工(含約聘僱人員)、或委外廠商為了個人利益、間諜活動或報復之意圖(「惡意(Malicious)」),對於資訊進行不正當之存取控制。「美國電腦緊急應變團隊(Computer Emergency Readiness Team, CERT)」認為內部威脅係指一位或多位具備存取控制(Access)的個人,意圖利用弱點侵入公司、組織,或企業的系統、服務、產品或設施,對於內部造成傷害。[5]「美國國防部減緩內部威脅計畫結案報告(Final Report of the Insider Threat Integrated Process Team, US Department of Defense, DoD Insider Threat Mitigation)」,內部威脅係指未經授權存取控制國防部資訊系統的人員,可能為軍事人員員工(Military Member)、國防部一般僱員(Civilian Employee )、其他聯邦機構員工,以及私部門等。[6]   由上述定義可得知,內部威脅係來自於組織單位的「內部」,如以行為人之意圖區分,又可細分為「惡意(Malicious)」與「過失」。因人員之過失所造成之內部威脅,大部分原因為人員對於資訊系統與之使用與管理不當所造成,例如,人員使用Email或即時通訊軟體,受到社交工程之攻擊,導致電腦被植入惡意程式或間諜軟體。另一則為本文所要研究的「惡意的內部威脅(Malicious Insider)」,係指內部人員利用合法存取權限,為超出於其授權使用之對象、時間、範圍、目的,與用途等之行為,並意圖對於單位組織或是特定人、事、物等造成傷害,或是謀取不當利益。   依據惡意內部威脅事件,大約可分為以下各類型:[7] 1.IT破壞(IT Sabotage)   現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,意圖損害一個具體的個人或組織,或該組織的數據、系統或日常業務之運作。 2.為經濟利益而進行盜竊或修改(Theft or Modification for Financial Gain)   現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,為經濟利益意圖竊取或修改機密或專有資訊。 3.為取得業務優勢而進行竊盜或修改(Theft or Modification for Business Advantage)   現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,為取得業務優勢而進行竊盜或修改機密或專有資訊。 4.其他(Miscellaneous)   現任或前任僱員、承包商,或業務合作夥伴,以故意超過或誤用授權級別,而存取控制網路或資訊系統或資料的方式,為非基於經濟利益或業務優勢,而進行竊盜或修改機密或專有資訊。   或通常會涵蓋二種以上的類型,例如:員工先行對於IT系統進行破壞,然後再試圖敲詐僱主,以協助他們恢復系統為條件換取金錢。另曾有案例為,一名前副總裁於結束工作前,複製客戶數據庫與銷售手冊,再向其他外單位組織兜售。[8] (二)內部威脅事件的發生與所造成的損失   依據CERT於2011年4月對於內部威脅控制的報告指出,以報告中123件資訊科技破壞(IT Sabotage)事件進行統計,內部威脅發生的時間為26%件事件發生於上班時間,35%發生於下班時間,另外39%件事件發生於不確定的時間。另外一項以內部威脅受到攻擊的地點來看,54%事件發生於進行遠端連線時,27%發生於公司所在地,另外19%發生於不特定之地點或場所。[9]   有關內部威脅對於公務機關機密維護所造成的危害嚴重程度很難估計,可能是因為內部威脅事件提報執法單位或是司法機關得比例較低。內部威脅事件通常因為證據不足、損害程度與花費於司法程序之時間、人力與費用無法平衡,或是因為提報對於公務機關的形象與信譽可能產生極大的負面影響,所以通常對於事件大抵只有表面上概略之描述。[10] 二、美國歐巴馬政府面對內部威脅之政策規範   美國傳統對於機密資訊由軍事單位依照軍事規定處理,不過,自從羅斯福總統於1940年發布第8381號行政命令,改變了這個機制。第8381號行政令,授權政府官員保護軍事與海軍基地。爾後,歷任總統以發布行政命令的方式,建置聯邦政府的機密分級標準。不過,羅斯福總統以經特定法規授權為由,後續總統則是以基於一般法律與憲法授權。[11]國會則不停的以其他立法,[12]設法平衡總統權利。   歐巴馬總統上任前歷經2001年911事件的壓力,[13]以及2010年維基解密等機密外洩事件,致使歐巴馬團隊對於資訊安全以及機密維護非常重視,除了推動開放政府(Open Government),促進政府政策更公開透明的民主治理外,對於資通訊安全(Cyber Security)、機密資訊外洩的通報機制,以及內部人員(Insider)所帶來的威脅,更是採取積極的作法。[14]   針對內部人員對於國家安全與機密外洩的問題,歐巴馬政權立即採取相對應的措施,於2011年發布第13587號行政命令:「增進機密網路安全與機密資訊有責分享及安全維護的結構性改革(Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information)」,與因應第13587號行政命令所規範之「內部威脅」議題,於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準(National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs)」的總統備忘錄。   部會或機關紛紛對於內部威脅採取相關防範措施,例如國務院(Department of State)對於涉及機密的網路,採用新的審查與監控的工具,而在國防部(Department of Defense)也開始開發自動偵測內部威脅的辨識系統。在情報系統方面,商務部(Department of Commerce)國家標準與技術中心(National Institute of Standards and Technology, NIST)與司法部(Department of Justice)聯邦調查局(Federal Bureau of Investigation, FBI)也訂立內部威脅指引,提供企業與機關單位遵循。情報系統委託Carnegie Mellon University的電腦緊急應變團隊(Computer Emergency Readiness Team,以下簡稱CERT)內部威脅中心(CERT Insider Threat Center)進行多項內部威脅的研究。   至今為止,歐巴馬政權對於內部威脅的防範,於法制政策提出下列各項規範: (一)總統第13587號行政命令:「增進機密網路安全與機密資訊有則分享及安全維護的結構性改革」   由於維基解密事件的爆發,使美國將機密的維護,從對於防止外在的攻擊,轉聚焦於機密資訊的內部威脅。事件發生後,國家安全人員馬上成立跨機關小組,檢視處理機密資訊的政策與實務作法,希望可以提出解決行政部門可共用的機制,以減少類似的事件再度發生。   跨機關小組歷時七個多月的檢討後,對於機密資訊的保護,與涉及機密資訊人員或機關間合理使用與分享資訊提出下列原則:加強跨機關資訊有責共享的重要性;確保政策、流程與技術的安全解決方案,與監督和組織文化的發展;強調聯邦政府對於資訊必須實施一致的作法;與確保隱私、公民權和自由的保護。[15]   歐巴馬團隊將上述原則落實至第13587行政命令,[16]成立監督的架構,發展與落實涉及機密的網路與資訊共享的政策與標準。指示各機關必須負起安全與機密維護的責任,並加強跨機關資訊的流通與保護,包括電腦網路的安全,與內部威脅的機制,以減低未來國家安全機密外洩的風險。   第13587號行政命令大抵分為下列各大項,除此之外,聯邦政府同時已經採行增進機密資訊網路與人員的控管,例如拆卸式媒體、網路身分管理、內部威脅方案(Insider Threat Program)、存取控制的管控(Access Control)、機密網路的審核,[17]項目分為: 1.機密資訊電腦網路系統之安全維護各機關單位負擔重要的責任; 2.設置「資深資訊分享與安全維護推動小組(Senior Information Sharing and Safeguarding Steering Office)」; 3.成立「機密資訊流通與保護局(Classified Information Sharing and Safeguarding Office, CISSO)」; 4.設置「維護網路機密資訊執行秘書」(Executive Agent for Safeguarding Classified Information on Computer Networks);與 5.設置「內部威脅專責小組(Insider Threat Task Force)」。   其中有關「內部威脅專責小組」的部分,跨機關的內部威脅專責小組將負責制定一個廣泛適用於公務機關內部威脅的方案。該方案的目標係為防止、檢測和減輕,包括利用、損害,或其他未經授權揭露機密資訊的內部威脅,並同時考量各機關單位所涉及的風險層級、業務與系統需求。解決方案亦應包含因應內部威脅的政策目標,建立和整合機關內部的安全與反間諜,用戶審查和監控等優先事項,以及其它機關的實作發展和保護能力。[18]除此之外,內部威脅專責小組還必須與相關單位合作,以促成政策的草擬與可行。[19]   專責小組的職責應包括下列: 1.制定並與行政機關協調,阻止、檢測和減輕內部威脅的政策,並提交至督導委員會檢閱; 2.與適當的機關合作,制定行政機關內部威脅方案的政策指引和最低標準,並於一年內發布,該相關指引和最低標準對於行政部門具拘束力; 3.如果有足夠的經費或經授權,繼續與適當單位合作,於一年之後,增修相關指引與最低標準; 4.如果沒有獲得足夠的經費或授權,建議由預算辦公室(Office of Management and Budget)或國家檔案與記錄管理局(National Archives and Records Administration)的資訊安全監督辦公室(Information Security Oversight Office, ISSO)於一年之後頒布相關指引與最低標準的增修版本; 5.如仍有任何未解決的問題,以致於延宕最低標準的公布,應將問題提交給督導委員會(Steering Committee); 6.按照專責小組所制定之方案,獨立評估相關機關單位是否適當的落實既定的政策和最低標準,並將評估結果向督導委員會提報; 7.提供機關單位援助,包括提供最佳實作案例以供參考;與 8.提供美國政府所分析的內部威脅新的困難與挑戰。   由上可見,第18537號行政命令勾勒出美國政府對於增進涉及機密網路與機密資訊網路的結構性改革。不但成立跨機關的內部威脅專責小組負責草擬內部威脅的政策,機關亦必須依照指示時程,落實內部威脅政策的偵測方案,以及監控其運作是否符合政策的目標。 (二)「國家內部威脅政策和機關內部威脅方案的最低標準」總統備忘錄[20]   雖然第13587號行政命令規定機關針對內部威脅將組成跨機關內部威脅小組,負責偵測與避免內部威脅,以增進對於機密資訊的保護,以及減低機密資訊被未經授權的存取控制或揭露的潛在弱點。然而,機關應該如何施行的細項尚未有細緻規範,仍需等待歐巴馬團隊進一步制定,以落實於聯邦政府所屬的公務機關。   緣此,美國總統歐巴馬於2012年11月21日發布「國家內部威脅政策和機關內部威脅方案的最低標準的備忘錄(National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs)」,主要提供行政部門於防止、偵測與減低內部人員可能造成國家安全的威脅相關遵循方向與指引。因應內部威脅的能力將增進行政部門對於機密資訊的保護,並加強危及國家安全的敵對勢力或內部威脅的防禦。   這些威脅包括潛在的間諜活動,對國家或機關單位的暴力行為,以及未經授權揭露機密資訊,包括透過的美國政府互聯的電腦網路和系統處理的大量機密資料。該標準將提供機關單位建立有效的內部威脅所必要的要素。   目前標準的詳細內容尚未發布,不過,依據備忘錄大約可分為下列各項: 1.蒐集、整合、集中分析和應變主要威脅相關的資訊; 2.監控人員對於機密網路的使用; 3.提供人員對於內部威脅意識的培訓; 4.保護人員的公民、自由和隱私權。 參、事件評析   觀察美國一連串的改革,顯見維基解密事件對於美國政府產生非常大的衝擊,更加凸顯監控內部威脅對於國家與公務機關及其機密維護之重要性。歐巴馬團隊不但全面檢視其機密資訊管理與保護政策與法制,對機密資訊的管理與「內部威脅」的防範進行全面檢討,並對於配套標準及措施進行增修。   除對於傳統以人員監督威脅的存在外,應利用科技技術監控或查核人員的「異常」行為(如短期內大流量下載檔案/進入系統的紀錄、大流量轉出有附件的信件、近日來消費能力顯著高於所得或情緒異常低落或起伏極大等)或預定特定的現象作為潛在威脅的表徵證據,再進一步因應與確認內部威脅的存在。   最重要的是,該制度與措施要求全國公務機關一起合作落實,以及分享潛在內部威脅的異常警訊,才能真正達成減低公務機關對於內部威脅的防範。 [1]行政院退除役官兵輔導委員會,張維平,日晷第4期認識公務機關資訊安全問題,取自http://www.vac.gov.tw/files/Sundial-4Th_17.pdf(最後瀏覽日:2012年11月30日)。與公務機密維護宣導 --【從資安看如何防止公務機密資料外洩】近年來,隨著間諜軟體、木馬程式、釣魚網站等惡意攻擊日漸猖獗,世界各地傳出多起嚴重的資料外洩事件,當然台灣也不能倖免。外洩的資料包羅萬象,而其中最主要的內容是個人資料。資料外洩的起因不僅止於駭客所發動的各種資安攻擊,另外還有最令機關防不勝防的內賊。只要有心,要在機關內部竊取資料很容易,從辦公桌上亂放的機密文件、電子郵件、即時通軟體、網路硬碟、隨身碟,都可當作工具,如果機關(各單位)沒有危機意識,採取防範措施,資料外洩在所難免。鑑此,籲請各單位安全連絡員,加強單位自主管理,協助單位主管加強責任區安全檢查,共同維護機關公務機密與安全。 [2]中廣新聞網.海軍共諜案,國防部:才在發展階段,影響有限,(2012年10月29日),取自http://tw.news.yahoo.com/%E6%B5%B7%E8%BB%8D%E5%85%B1%E8%AB%9C%E6%A1%88-%E5%9C%8B%E9%98%B2%E9%83%A8-%E6%89%8D%E5%9C%A8%E7%99%BC%E5%B1%95%E9%9A%8E%E6%AE%B5-%E5%BD%B1%E9%9F%BF%E6%9C%89%E9%99%90-023752078.html(最後瀏覽日:2012年11月30日)。 國防部軍事發言人羅紹和表示,涉案的海軍大氣海洋局前政戰處長張祉鑫,在退役後透過友人介紹,認識中共官方人員,然後再透過軍中舊識,「謀取不法利益」,保防安全部門在今年三月間接獲檢舉,依法由反情報單位展開調查行動,並移請檢調單位協助調查,順利破獲本案。 [3]IT Law Wiki , External Threat , available at http://itlaw.wikia.com/wiki/External_threat (last accessed Jan. 12, 2013). [4]碁峰資訊,資訊安全概論與實務,取自http://epaper.gotop.com.tw/pdf/AEE030900.pdf(最後瀏覽日:2012年11月30日)。 [5]NIAC, The National Infrastructure Advisory Council's Final Report and Recommendations on The Insider Threat to Critical Infrastructure , (April 8, 2008), last available http://www.dhs.gov/xlibrary/assets/niac/niac_insider_threat_to_critical_infrastructures_study.pdf (last accessed Jan. 12, 2013). [6]US Department of Defense, DoD Insider Threat Mitigation-Final Report of the Insider Threat Integrated Process Team , available at http://www.dtic.mil/cgi-bin/GetTRDoc?AD=ADA391380 (last accessed Jan. 12, 2013). [7]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1, at 11, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [8]Dawn Cappelli, Andrew Moore, Randall Trzeciak, and Timothy J.Shimeall, Common Sense Guide to Prevention and Detection of Insider Threats, 3rd Edition-Version 3.1 , at 12, (Jan. 2009), available at www.cert.org/archive/pdf/CSG-V3.pdf(last accessed Jan. 12, 2013). [9]The Cyber Adviser, Invensys Critical Infrastructure & Security Practice, at 1, (Dec. 2011), available at http://iom.invensys.com/EN/pdfLibrary/CISP_Dec2011_vol3_Newsletter.pdf (last visited Jan. 10, 2013). [10]U.S. Secret Service and CERT/SEI, (Jan. 2008), Insider Threat Study: Illicit Cyber Activity in the Government Sector , at 5, available at www.cert.org/archive/pdf/ insiderthreat _gov2008.pdf (last visited Nov. 30, 2012) [11]Jennifer K. Elsea, The Protection of Classified Information: The Legal Framework, CONGRESSIONAL RESEARCH SERVICES, at 1, Jan. 10, 2011, available at www.fas.org/sgp/crs/secrecy/RS21900.pdf(last visited Nov. 30, 2012). [12]Id., at 2, 例如「1966年政府資訊公開法 (Freedom of Information, FOIA)」,「1995年情報授權法 (Intelligence Authorization Act)」、「2000年公共利益解密法 (Public Interest Declassification Act)」,與「2012年減少過度加密法 (Reducing Over-Classification Act)」。 [13]Paul Kenyon, The Enemy Within: Obama's Insider Task Force, Forbes, (Apr. 13, 2012), available at http://www.forbes.com/sites/ciocentral/2012/04/13/the-enemy-within-obamas-insider-threat-task-force/ (last visited Nov. 30, 2012). [14]FEDERATION OF AMERICAN SCIENTISTS, Obama Administration Documents on Secrecy Policy , available at http://www.fas.org/sgp/obama/index.html (last visited Nov. 30, 2012). 歐巴馬政權針對機密資訊發布多項正式文件,以年度區分,截至2012年11月30日止,包括下列:1.2009年:「機密資訊和受管控的非機密資訊的總統備忘錄 (Presidential Memorandum on Classified Information and Controlled Unclassified Information, May. 27, 2009)」、「第13526號行政命令-國家安全機密資訊 (Executive Order 13526: Classified National Security Information, Dec. 29, 2012)」,與「國家安全機密資訊施行令的總統備忘錄 (Presidential Memorandum on Implementation of the Executive Order on Classified National Security Information, Dec. 29, 2009)」;2.2010年:「第13549號行政命令-國家、地方、部落,和私部門實體的國家機密方案 (Executive Order 13549: Classified National Security Information Program for State, Local, Tribal, and Private Sector Entities, Aug. 18, 2010)」與「第13556號行政命令-受管控的非機密資訊 (Executive Order 13556: Controlled Unclassified Information, Nov. 4, 2010)」;3.2011年:「第13587號行政命令-增進機密網路安全與機密資訊有責分享及安全維護的結構性改革 (Executive Order 13587: Structure Reforms to Improve the Security of Classified Networks and the Responsible Sharing and Safeguarding of Classified Information, Oct. 7, 2011)」;4.2012年:「國家內部威脅政策和機關內部威脅方案的最低標準備忘錄 (National Insider Threat Policy and Minimum Standards for Executive Branch Insider Threat Programs, Nov. 21, 2012)」。 [15]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, (Nov.2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ (last visited Nov. 30, 2012). [16]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks- (last visited Nov. 30, 2012). [17]THE WHITE HOUSE, Fact Sheet: Safeguarding the U.S. Government's Classified Information and Networks, available at http://www.whitehouse.gov/the-press-office/2011/10/07/fact-sheet-safeguarding-us-governments-classified-information-and-networ(last visited Nov. 30, 2012). [18]Exec. Order No. 13,587 (2011), available at http://www.whitehouse.gov/the-press-office/2011/10/07/executive-order-structural-reforms-improve-security-classified-networks-(last visited Nov. 30, 2012). [19]Id. 專責小組應該與總檢察長(Attorney General)與國家情報局主任(Director of National Intelligence)或指定人共同擔任主席。內部威脅專責小組成員應該由國務院(Department of State)、國防部(Department of Defense)、司法部(Department of Justice)、能源部(Department of Energy)、國土安全部(Department of Homeland Security)部長所指定的人員,以及國家情報局主任(Director of National Intelligence)、中央情報局(Central Intelligence Agency),和國家檔案與記錄管理局(National Archives and Records Administration)的資訊安全監督辦公室(Information Security Oversight Office, ISOO)等所組成。工作人員必須由聯邦調查局和國家反情報辦公室長官(Office of the National Counterintelligence Executive, ONCIX)和其他機構,於法律所允許的範圍內配置。這些人員必須是官員,或是兼職或終身全職的美國員工。國家反情報辦公室必須提供內部威脅專責小組適當的工作場所,以及行政支援。 [20]美國總統依美國憲章擁有直接發布據法律效力的文件(Document),文件的種類根據事務類型之不同分為三大類:Executive orders(有連續編碼的行政命令)、Proclamation(公告)、Administration orders(無編號的行政命令),其下尚有不同的子分類,備忘錄則屬Administration orders下的子分類之一,總統所發布的文件效力相同,並無位階之分,http://www.archives.gov/presidential-libraries/research/guide.html(最後瀏覽日:2013年1月12日)。

TOP