美國參議院提出「2019年物聯網網路安全促進法」草案

  自2016年Mirai殭屍網路攻擊事件後,物聯網設備安全成為美國國會主要關注對象之一,參議院於2017年曾提出「2017年物聯網網路安全促進法」(Internet of Things Cybersecurity Improvement Act of 2017)草案,防止美國政府部門購買有明顯網路安全性漏洞之聯網設備,並制定具體規範以保護聯網設施之網路安全,然而該法案最終並未交付委員會審議。

  2019年4月,美國參議員Mark Warner提出「2019年物聯網網路安全促進法」草案(Internet of Things Cybersecurity Improvement Act of 2019),再度嘗試建立物聯網網路安全監管框架。本法將授權主管機關建立物聯網設備所應具備之安全性條件清單,而該清單將由美國國家標準與技術研究院(National Institute of Standards and Technology)擬定,並由管理與預算局(Office of Management and Budget, OMB)負責督導後續各聯邦機關導入由美國國家標準與技術研究院所制定之網路安全指引。本法草案相較於2017年的版本而言雖較具彈性,惟網路安全專家指出,清單之擬定與執行管理分別交由不同單位主責,未來可能導致規範無法被有效執行,且聯邦各層級單位所需具備之資安防護等級不盡相同,如何制宜亦係未來焦點。

本文為「經濟部產業技術司科技專案成果」

你可能會想參加
※ 美國參議院提出「2019年物聯網網路安全促進法」草案, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8234 (最後瀏覽日:2024/02/26)
引註此篇文章
你可能還會想看
自由軟體運動燒向BIOS

  BIOS是「基本輸出/輸入系統」(Basic input/output systems)的簡稱,這種在所有應用底層的軟體,過去以來PC廠商一向自我保護相當嚴密,而且還需要用到專門設計BIOS的公司。而現在,一些批評開始希望逼迫業界放棄其機密,這些批評宣稱,客戶應該可以自由發開自己的選擇方案,確保可以控制自己的裝置──也就是說,可以讓他們自由取得BIOS資訊。   「我們需要自由的BIOS,因為如果我們無法控制BIOS,就無法控制電腦。」自由軟體基金會(Free Software Foundation)總裁Richard Stallman表示。BIOS自由軟體計畫開始於BIOS史上的第一波改革──當時軟體程式碼希望轉向新的「可延伸式韌體界面」(Extensible Firmware Interface,或簡稱EFI)。另一方面,PC硬體安全功能的一些計畫也讓Stallman等一類團體批評指出,消費者對於自己的裝置缺乏主控權,希望能夠公開BIOS撰寫規格,可讓消費者能夠自行安裝、修改,及再發佈BIOS軟體──雖然不見得會是免費的。更重要的是,將可讓使用者避開未來一些可能的安全強化功能,例如廠商用控制文件使用方式的數位版權管理功能。   已有許多廠商宣稱,BIOS的自由軟體純粹只是為了自由而自由,對於電腦使用者沒什麼意義。BIOS廠商的高層及晶片巨子英特爾都表示,由於目前業界對BIOS的控管嚴密,也才能夠保有PC的安全和穩定,同時可藉由對一些廠商IP(智慧財產權)的保護以促進市場競爭。有些人則認為,對於BIOS的嚴密保護,有助於防止駭客攻擊。   英特爾則已經提出了折衷的方案──名為Tiano的開放原始碼技術。Tiano是為了取代BIOS的一種框架工作,希望透過EFI,讓PC零件以自己的驅動程式來啟動零件。英特爾的這項計畫為BIOS的汰換工作建立了一個框架,因此可能成為BIOS自由軟體的基礎。但是它把PC零件初始化用的程式碼撰寫工作留給了軟體的下載者。但Stallman依然宣稱英特爾做得不夠,且BIOS廠商其實是多餘的,他希望看到資訊釋出。

美國加州公共事業委員會通過可再生能源招標機制

  日前,美國加州公共事業委員會(California Public Utilities Commission, CPUC)一致投票通過「可再生能源招標機制」(Renewable Auction Mechanism, RAM)。該委員會期待藉由此種招標機制的上路實施,在加州境內發展各種中小型可再生能源企劃案,並且針對此種企劃案下所生產之再生能源開放最高收購電力為20MW的採購標準。   可再生能源招標機制之實行方式為欲參與該招標機制之企劃案業者,在一年兩次的拍賣期間提出不可議價之拍賣出價,以爭取相關招標企劃案之補助經費。該種企劃案具有1. 符合加州可再生投資組合標準(Renewable Portfolio Standard, RPS)下之20% 投資比例,2.得標企劃案之相關設施地點位於加州境內三大投資人擁有(investor-owned utilities, IOUs)的電力事業服務範圍內,和3. 最高收購再生能源電力為20MW的特性。拍賣出價期間結束後,美國加州公共事務委員會會選擇最小花費之出價企劃案,並與得標之企劃案業者簽署長程契約,而該企劃案業者也會被列於快速發展建設計劃之名單中,以進行後續的計畫發展與相關設備建設。   目前加州相關當局針對小型可再生能源企劃案,傳統上適用一固定費率之電力收購制度(feed-in tariff, FIT)。然而,即便可再生能源招標機制之實施方式與FIT類似,卻沒有能源價格因立法管轄權和其他因素所造成之不確定性存在。故此,在可再生能源招標機制下之企劃案業者可依其所能負擔之價格參與競標,此外亦可防止如西班牙和其他地方所發生之FIT市場過熱之情況產生。   對於可再生能源招標機制之推行及實施,加州公共事業委員會希望其能產生促進競爭、提供最低花費與促進發展相關資源之結果。

美國政府部門共同推動多項鼓勵住宅節能優惠措施

  美國能源部於去年 (2012) 12月21日宣布將投入九百萬美元挹注數項住屋節能科技。除此之外,美國國會亦於今年元旦通過美國納稅人緩稅法案 (American Taxpayer Relief Act of 2012),而其中第四章能源稅延展的第408款將2005年能源政策法案 (Energy Policy Act of 2005) 第1332條所創設的能源效率新屋抵免 (Credit for Energy-efficient New Homes),展期到2013年年底。   據美國能源部長朱隸文 (Steven Chu) 表示,該國家庭平均每戶每年花費近兩千美元於能源相關開銷,而其中有大部分皆因諸如住屋的屋頂、閣樓或牆壁間的空氣洩漏而流失浪費。相關研究並顯示,百分之四十二的能源都喪失於建築外殼(building envelope),包括門、屋頂、閣樓、牆、地板和地基之中。該部於是決定投資建築圍護科技 (building envelope technology)的改進,包涵有高效能的窗戶、屋頂及冷暖器設備。   另方面,國會所通過的美國納稅人緩稅法案展延了包括能源效率新屋抵免(Credit for Energy-efficient New Homes)等十二項能源相關抵免或獎勵措施。其中第408條的展延將使美國國民得其於就其符合能源之星(Energy Start)認證標準之隔熱保溫工程、外部窗戶及門等2005年後所產生裝修支出 (含勞務承攬) 的百分之十,申報最高五百美元的賦稅減免。   2005 能源政策法法案所創設的能源效率新屋賦稅減免原定於2007年終止,之後由2006年的稅收抵免與醫療保健法案 (Tax Relief and Health Care Act of 2006) 延長至2008,再由08年的能源改進與延長法案 (The Energy Improvement and Extension Act of 2008) 展延至2009。其後,10年的減稅、失業保險再授權及工作機會增進法 (The Tax Relief, Unemployment Insurance Reauthorization, and Job Creation Act of 2010) 將其延伸至2011年年底,而目前通過美國納稅人緩稅法案再將其延至2013年12月31日。

美國能源部加強推動智慧電網之網路安全,並提供自我評估調查工具

  美國能源部於今年(2012)6月28日發布一套新的網路安全自我評估調查工具(Cybersecurity Self-Evaluation Survey Tool),以強化保護公共事業的業者避免遭受網路安全的攻擊,這套工具也是能源部為施行其於5月31日公布的網路安全能力成熟度模型(Cybersecurity Capability Maturity Model)的一部分,同時此模型的發展也是為了支持白宮的電力網路安全風險管理成熟度倡議( Electricity Subsector Cybersecurity Risk Management Maturity Initiative)。   網路安全成熟度模型的發展乃係由能源部與國土安全部共同領導,並且與業界、其他聯邦機構以及卡內基大學軟體工程研究所合作進行,該模型的四個目標在於:加強電力網路安全能力、使相關業者可以有效並持續設立網路安全能力的基準、分享知識、解決的方法與其他相關的參考資料、使業者得以排定對於改善網路安全的行動以及投資上的優先順序,以幫助業者發展並且評估他們的網路安全能力。   此次發佈的評估工具則是以問卷的方式,著重在情境式的認知與威脅及弱點的管理,而後能源部將針對自願提供評估結果的業者提供個案報告,幫助業者改善其網路安全能力,同時,能源部也建議業者,建立優先行動方案,以解決差距的問題,並且定期評估追蹤網路安全能力的改善進度,能源部也提醒業者注意網路威脅環境上與技術上的改變,以進行應變的評估。

TOP