【2020十大资安趋势7：法规遵循】资安法适用范围扩及关键基础设施，个资法为了因应GDPR将修法

法遵议题是组织单位赖以生存的基本，2020年台湾组织和企业面对重要的法遵要求，对内有资通安全管理法适用、个人资料保护法的再修订，对外受影响的法遵规范，包括2020年1月实施的美国加州物联网法案、美国加州消费者隐私法，以及中国加密技术法等，台湾高科技业者都深受影响。

台湾资安法完成CI指定程序，个资法需考虑设独立个资专责机构

2019年对于-机关及特定非公务机关最大的影响，就是从元旦起，必须适用资通安全管理法，但是，关键基础设施业者（CI）因为须完成指定的流程，行政院资安处处长简宏伟表示，预计在2020年1月初，会完成所有八大关键基础设施业者的指定程序，被指定的关键基础设施业者，都必须符合规范。

安侯建业顾问服务部执行副总经理谢昀泽指出，随着CI指定程序的完成，资安法也正式进入收网期，被规范机构的资安要求须陆续在2020年完成，其他像是5G产业、承接关键基础设施业者相关专案的系统整合业者等，也同时都受到资安法的规范，不可轻忽。

在此同时，已历经多次修法的“个人资料保护法”，也面临再度修法的迫切性。主要是因为，日前国发会代表台湾与欧盟进行GDPR（通用资料保护规则）适足性认定的技术协商，但目前的障碍有两大议题，分别是欧盟最在意也是最关键的“独立个资保护专责机构”，以及“个资跨境传输如何兼顾当事人个资保护权益与产业发展”。

国发会主委陈美伶先前表示，2018年与法务部商议过后，便由国发会成立个资保护专责办公室，但面对欧盟要求个资保护机关必须是“独立”且“专责”的机关，“还必须持续沟通协商”。

再加上，台湾的个资法分成公务及非公务机关，面对GDPR必须一视同仁的重视个人资料保护。陈美伶坦言，因为非公务机关都有不同的个资主管机关，对个资保护的宽严不一，也必须透过修法，破除个资法公务及非公务机关适法性的差异，台湾才有机会在两年内，完成与欧盟GDPR适足性认定的谈判。

谢昀泽也同时观察到，台湾金融业因为开放银行的趋势，金管会要求所有参加开放银行（Open banking）和开放API（Open API）的生态链业者，都必须落实“Open API业务安全控管作业规范”在这个前提之下，也将成为金融业在2020年一定要面对的法遵要求。

美国加州推出物联网装置安全及个资保护的法规，冲击全球高科技业

台湾一直是许多资讯科技产品的制造商，包含大量的物联网（IoT）商品在内，谢昀泽指出，2018年9月通过全美第一个加州物联网装置安全法案（SB-327），会在2020年1月正式生效。由于这个加州物联网装置安全法案的规定，所有物联网装置的制造商都必须提供合理的安全功能，包括每一个物联网装置使用的预设密码必须是独特的；也必须要在使用者首次设定该物联网装置时，提醒使用者要设定自己的密码。对于许多负责品牌代工的台湾高科技业者而言，都必须优先符合相关法遵要求。

为了抗衡欧盟在2018年5月正式施行、号称全球最严格的GDPR（通用资料保护规则），美国加州也在同年6月，通过加州消费者保护隐私法（CCPA），于2020年1月正式生效。

不过，CCPA赋予个资当事人有权了解个资被搜集、处理和利用的状况，对方必须征得个资当事人同意，才可以搜集个资且必须告知用途，不得在个资当事人不同意的情况下使用个资；一般人不仅可以拒绝贩售个人讯息，也可以要求删除个人资料。这项法案对于个资当事人贩售个资，也有年龄限制，原则上，16岁以下未成年人，禁止贩售其个资；13岁到16岁可正面授权企业销售，而13岁以下当事人的个资贩售，须征得父母或监护人同意授权销售个资才行。

至于哪些企业必须符合CCPA的规范呢？包括：年营收超过2,500万美元；交易处理超过5万个消费者、家庭或设备讯息；或者是，销售个资当事人个资可以赚取期年收入的50％或更多的企业，都要受到加州消费者保护隐私法规范。如果是拥有超过4百万名个资当事人个资的企业，还会受到法律额外要求。业者如果违法，也将面对个资当事人的诉讼。

虽然CCPA是加州的法律，但因为也限制加州以外公司出售个资的权利，所以，实际效力涵盖全美国。谢昀泽说，由于台湾许多公司都在美国加州设立分公司或有往来，因此，都可能会直接或间接受到该法的规范或保护。

中国密码法规范当地使用的加密技术，也影响未来科技与隐私保护

谢昀泽表示，中国在2019年10月通过的中国密码法，并预计在2020年1月实施，许多人误以为是规范中国民众使用的密码，但其实是规范对资讯进行加密保护、安全认证的技术、产品和服务。

面对两岸关系紧张及中美贸易大战迟迟看不到终点，未来中国-规范限制的核心或商用的加密技术，也同时会影响未来所有科技技术的发展，以及个资隐私保护程度的深浅。

 相关报导  2020年10大资安趋势预测