Internet of Things 物聯網安全 大數據分析 API GDPR 物聯網 IoT AI 雲端

遵循法規兼顧安全 萬物聯網資安有保障

2019-01-30
物聯網連結網際網路及相關應用程式後,將可廣泛應用在生活中的各式商品和服務。但由於使用到網際網路,該如何控管權限?如何利用現成的軟體工具保障安全?怎樣才能兼具法令遵循與安全防護並採行適當的安全措施?都必須再三深思。
物聯網(Internet of Things,IoT)主要係透過AI、雲端或大數據分析等技術,且運用裝置連線到網際網路的應用程式介面(Application Programming Interface,API),將分散於不同載具的資訊進行統整應用。如近期討論熱烈的車載診斷系統(On-Board Diagnostics,OBD)搭配無人載具的運用,逐漸實現如科幻電影內的場景,人類可以透過載具或App等預先設定,而逕行操作功能、取得所需資訊或服務,且無須親自駕駛或按鍵使用。

除前述無人載具屬較具體之運用情境外,由於物聯網搭配無所不在的網際網路及相關應用程式後,預計可廣泛使用在生活內的各式商品或服務,如廠商推出的物聯網電視、冰箱。但也因其可能影響人類的安全與權益,如美國聯邦貿易委員會(Federal Trade Commission,FTC)早在2015年1月間就提出物聯網安全相關指引(Careful Connection: Building Security in the Internet of Things),2018年6月間因美國消費產品安全委員會(CPSC)的詢問,提交一份報告,報告內向消費者重申物聯網的安全性。

他山之石可以攻錯美國FTC IoT安全指引

美國FTC下設有消費者保護局(Bureau of Consumer Protection,BCP),係其主管消費者保護之聯邦政府機關。經檢視該局網站,主要任務為保護消費者,避免遭受不公平、欺騙或詐欺行為之侵害。FTC BCP接受消費者之申訴,並將相關申訴資訊彙整成為資料庫,提供聯邦、州和地方政府等,進行刑事犯罪或民事案件調查,以及作為研析消費詐騙類型及趨勢等之參考,惟並不實際對消費者所申訴之消費爭議個案內容介入處理。有關消費爭議個案等,係由各州處理。

而2015年FTC物聯網安全之相關指引,主要內容包含:從基礎知識開始,透過專家之介紹,讓消費者了解物聯網商品相關安全性的知識。且提及在設計此類商品時,需要考慮身分驗證、保護商品與其他聯網設備或服務間接觸的端點,如API等。 此外,由於使用網際網路,其如何控管權限,或利用現成的軟體工具保障安全,或在啟動商品或服務前,進行安全測試,甚至預設安全選項做為出廠設定,並鼓勵製造商與消費者建立溝通管道,或加強宣導等。

聯網蒐個資GDPR規範隱私保護

各界關切之歐盟一般資料保護規則(the General Data Protection Regulation,GDPR)已於2018年5月25日施行。在個資保護部分,企業須注意自身是否為資料控制者、資料處理者(名詞定義詳見第4條)及相關義務,其重點包括:個人資料外洩事故之通報義務(72小時內,如第33條)、資料保護影響評估(Data Protection Impact Assessment,簡稱DPIA,如第35條)、設置資料保護專員(the Data Protection Officer,簡稱DPO,如第37條)、跨境傳輸個人資料(如第44、45條)等。

對於可能蒐集個資之物聯網相關商品或服務,GDPR第25條設有Privacy by design(隱私設計)或Privacy by default(隱私預設)相關規定。以隱私設計為例,歐盟GDPR要求資料控制者應採取適當之科技化且有組織性的措施,以有效方式將保護措施納入個資處理程序,以符合GDPR之要求並保護當事人的權利。

至於隱私預設,則是要求資料控制者應實施適當之科技化且有組織的措施,以確保在預設情況下,僅處理一特定目的且在必要範圍內之個資。例如對物聯網商品權限控管,確保非所有資料控制者的員工都能接取當事人的個人資料。或於安全通訊環境中運用端到端之加密通訊,於客戶端至伺服器建立加密通訊頻道,及驗證通訊方身分和匿名通訊等。

另,歐盟網路與資訊安全局(ENISA)亦曾於2015年1月間發布相關報告(Privacy and Data Protection by Design)。該報告提供當時可行之技術清單,協助廠商規劃或進行隱私設計策略,及其研究和開發所需之技術模組,如加密、匿名通訊協定等,目標在於縮小法律架構與技術措施間的落差,亦可供製造商參考。

除設計及開發須重視外法令遵循亦務必注意

關於物聯網之安全性,已非新議題,如2015年間歐美各國已提供相關指引或參考資訊,且其防護多著重於資訊安全,如以保護企業或組織的資訊資產為主,並透過相關軟、硬體協助,如系統監測、權限控管等方式,確保資料、資訊及資產的機密性、完整性與可用性,以維持組織之營運或將風險降低。但因其蒐集之資訊,有可能包含個人資料,依據我國個人資料保護法第2條的定義,指自然人之姓名、出生年月日、國民身分證統一編號等等,及其他得以直接或間接方式識別該個人之資料。

綜此,個資法要權衡的是避免人格權受侵害,以及促進資料的合理利用,與資訊安全透過軟、硬體之技術手段保護資產的角度不同,個資法更加強調法令遵循之管理與保護。

因歐盟GDPR施行後,第一起案例已於2018年11月下旬出現,德國個資主管機關對於聊天平台Knuddels.de,於2018年7月間遭駭客入侵致個資外洩,含約80萬筆E-mail Address及180萬筆帳號、密碼,因未採行第32條之適當安全措施(經查該公司內部資料庫以明碼方式保存帳號、密碼,且未有合理的保護措施),爰依違反GDPR第83條規定,對於營運該網站之公司裁罰2萬歐元。

有鑑於各國對於資訊安全及個資保護日益重視,且物聯網相關商品或服務所蒐集之資訊可能包含個人資料,如何兼具法令遵循與安全防護,並採行適當的安全措施,值得企業重視及深思。

<本文作者:陳宏志,現於資策會科法所擔任專案經理,目前專注在電子商務相關法律(如消費者保護法、電子簽章法、個人資料保護與管理)、反托拉斯法及協處我國廠商至國外營運遭遇之法制風險等議題。 資訊工業策進會科技法律研究所(資策會科法所)為國內首屈一指之科技及產業政策法制智庫,研究領域包含科技研發、科技專案、生物科技、個人資料保護、資通訊、資訊安全、文化創意及智慧財產權等法制議題,詳細資訊可參閱官網https://stli.iii.org.tw/。>


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!