惇安智財快訊第150期

主編：鄭志玲
訊息快遞

1. [國際] 世界智慧財產權組織推出新的業務服務：WIPO PROOF，提供智慧資產存在的證據　<作者:林玄原/鄭志玲>

2020年5月27日，世界智慧財產權組織（World Intellectual Property Organization，WIPO）推出一項新的線上服務工具，稱為WIPO PROOF，提供包括資料集(data sets)在內的任何格式之數位檔案存在於某一時間點之防篡改證據(tamper-proof evidence)。

現今日益數位化的世界中，創新及創意活動往往採用全球協作的形式，產生大量資料檔案，其中含有可能輕易遭受濫用或盜用的寶貴內容，包括可能從商業秘密、劇本、曲譜及其他創意作品，甚至是研究成果、大型資料集、人工智慧演算法或任何商業記錄。

藉由產生數位檔案的日期時間戳記指紋，WIPO PROOF提供某種形式的數位公證服務，為可信、符合經濟效益及高效率之全球性服務。WIPO PROOF加入WIPO對專利、商標、工業設計、地理標示、仲裁與調解的市場導向的智慧財產服務。

WIPO PROOF為一種容易使用的全球線上服務，可快速生成防篡改證據，以證明數位檔在某一特定時間點已存在且未經修改過。該服務會產生一WIPO PROOF標誌（token），即檔案或資料的日期時間戳記數位指紋，可用作法律爭訟中之證據。使用者可一次購買一個標誌，或是在兩年內以折扣價一次購買多個標誌。

WIPO PROOF標誌可用來確立先前已存在之證據，有助於預防濫用和盜用，並能從概念到商業化的每個發展階段，不論其最終是否取得正式智慧財產權利，用於保障其智慧資產。WIPO PROOF有許多應用，包括在營業秘密策略上，利用WIPO PROOF證明檔案或資料在特定時間點已存在為標記其價值的具體行為，也顯示對其已採取保護措施。對於創意作品而言，證明一項作品在某個時間點已經完成創作之證據能力為防止他人可能盜用或侵權的根本。WIPO PROOF亦可用於管理具有價值之資料集（如科學研究資料或用於訓練人工智慧模型的資料），因為資料集一數據之每個反覆運算的存在及擁有(existence and possession)在數秒內即可以正式記錄下來。

任何人皆可進入WIPO PROOF的安全線上網站，請求獲得特定數位文件的WIPO PROOF標誌。WIPO既不查看檔案內容，亦不儲存檔案。WIPO PROOF的安全、單向演算法與申請人的瀏覽器互動，為檔案建立一個獨一無二的數位指紋。此外，任何人（甚至是第三方）都可以在網站上依照簡單的幾個步驟，對WIPO PROOF標誌進行驗證。

WIPO PROOF採用公開金鑰基礎架構（Public Key Infrastructure，PKI）技術建立WIPO PROOF標誌。PKI技術為一種成熟可靠的加密技術，是國際上最被廣泛接受和認可的數字認證方法之一。此外，WIPO PROOF係根據歐盟電子身分認證與信賴服務規章（Electronic Identification, Authentication and Trust Services，eIDAS）標準設計及開發，該標準為世界上最健全、最嚴格的標準之一。WIPO PROOF標誌可高度保證標誌之日期和時間之真確性及其未經篡改過。

全文下載:http://www.lexcelpartners.com.tw/…/%E6%83%87%E5%AE%89%E6%99…

歐盟的電子身份識別法（eIDAS）在去年9月施行，最近安全廠商SEC Consult揭露其eIDAS節點軟體存在驗證繞過漏洞，研究人員通報歐盟eID負責團隊後，已釋出修補好的2.3.1版。否則，將可讓駭客有機會冒充公民身份

【內政委員會】新式數位身分識別證-停、看、聽! 質詢稿
鄭秀玲 委員
2019/09/25

在數位化趨勢下，世界上已有越來越多國家採用數位身分識別，例如德國和愛沙尼亞。而我國則由國發會規畫。內政部辦理全面性的「數位身分識別證」換發作業，計畫整合報稅、各種政府補助、車籍資料、勞健保等各種橫跨財政部、內政部、交通部、衛福部等各個不同部會的服務作業。
但在參考歐盟執行經驗，以及考量我國推動現況上在法令與技術層面仍有需要加強之處，我希望數位身分識別證在補強後再予以發行。說明如下。

一、歐盟經驗

歐盟推動eID上，訂定〈電子身分認證與信賴服務法〉(the EU electronic identification and trust services (eIDAS) Regulation)規範，而在該法中明定主管機關要與個人資料機構合作，並要確保符合個資相關法令，亦即〈歐盟一般資料保護法〉(EU General Data Protection Regulation, GDPR)。

以愛沙尼亞為例，根據法律由各相關部會如資訊部、內政部、經濟事務與通傳部等，隨時機動因應。他們的eID本身並未存取任何資料，並建立備援機制。
在我國目前New ID的規劃裡，雖然內政部表示並沒有保留全民數位痕跡，也就是紀錄留存僅於提供服務的機關，並且依法不得作「目的外之利用」，內政部也沒有蒐集紀錄。

但國內對於發行New ID，仍對「現行法規完備程度」，以及「隱私保護與資安防護」有所疑慮。

二、 現行法規不夠完備

現行法制對可能發生的損害，無法提供令人滿意的答案。例如〈戶籍法〉並無明確條文限制身分證及身分證在公、私領域的使用範圍與條件。若個人資料遭公部門以個資法為名進行目的外利用，而人民亦不具有退出「目的外利用」的「拒絕權」，讓該法喪失保障人民資訊安全的精神。除此之外，我國並未設立〈個資法〉保護專責機關的安全閥，而〈個資法〉對於每人每一事件又僅有最高2萬元賠償。

二、隱私保護與資安防護疑慮

正當國發會正為歐盟GDPR適足性修〈個資法〉，根據GDPR，對個人自由權利可能帶來重大風險的資訊作為，在採行之前應進行「隱私影響評估」。政府推動New eID是否完成隱私影響評估與建立因應措施？

再者，以數位身分識別證進行政府跨部門的各個網絡服務的憑證，「方便性」確實讓人心動，但是這種集中式設計所帶來的單點失效資安風險，使得數位身分識別證將可能成為造成國家級的資訊安全風險。也就是說，當單一民眾的數位資產受到駭客攻擊、竊取，受害的可能不只是單一個人，當然也為國家級駭客滲透竊取全國民眾的個資隱私開啟便利門。

為消除上述疑慮，我建議政府應速採取下列補強措施：
首先，進行小規模發行與測試（如當年於澎湖測試健保卡），確認資安風險與管理面問題再全面實施New eID 。其次為釐完善法源，或參酌歐盟作法，發展專責法規與成立獨立專責機構，以回應國人疑惑。

面對數位科技的創新發展，我們肯定政府積極推動國家數位轉型與發展的用心與努力、積極規劃為民服務之創新作為，但是必須基於完善的法規與堅強的資訊安全基礎之上，才有可能達成智慧政府的目標、提升民眾滿意度與國家競爭力。