美國最大加密貨幣交易平臺Coinbase宣布收購Paradex，Paradex平臺讓用戶能夠直接互相交易虛擬貨幣，而加入Coinbase後Paradex表示，將會改進技術並開始服務美國以外的地區。雙方對這項併購都沒有公開財務細節。

Paradex僅有10位員工，並以名為0x的協定發展其分散式加密貨幣交易服務，這項服務不需要如Coinbase或是納斯達克這類中央集權式的交易所，分散式交易依靠的是智慧合約技術，投資者能直接從自己的加密貨幣錢包中，與其他人交易各種貨幣，並在區塊鏈上標記交易紀錄。

由於過去Coinbase在納入加密貨幣種類上，比起競爭對手相對來說保守很多，目前也只有比特幣（Bitcoin）、以太幣（Ethereum）、比特幣現金（Bitcoin Cash）和萊特幣（Litecoin）4種加密貨幣。Coinbase提到，Paradex是一個複雜而安全的中繼平臺。而併購Paradex後，可以預期Coinbase客戶能交易的貨幣種類將增加。

過去一年中，加密貨幣種類大幅增加，現在已經超過1,600種，由於擔心這些首次代幣發行（Initial Coin Offering，ICO）存在未經註冊的安全性問題，且上市的ICO被要求經過監管機構認可，因此交易所對於ICO上市態度越趨謹慎。

不過，在今年3月，美國證券交易委員會公開警告投資者，加密貨幣交易平臺需要向監管機構註冊，因此市場也預測，Coinbase解決其法遵問題後，才會讓Paradex服務上線。

另外，Coinbase也宣布將在6月29日正式以Coinbase Pro這個品牌名稱，取代現存的交易所GDAX，原有的客戶將被轉移至Coinbase Pro上。Coinbase Pro將有全新設計以及圖表功能，並提供大量歷史資料供投資者參考。

全球風險諮詢管理顧問公司勤業（Deloitte）於今年2月，進行一份全球勤業GDPR（歐盟通用資料保護規則）標竿調查（Benchmarking Survey）發現，歐洲、中東以及非洲地區（EMEA）的企業，其中有將近4成（39％）的企業，花不到10萬歐元（新臺幣360萬元）因應GDPR，卻有15％的組織，花了超過500萬歐元（新臺幣1.8億元）因應。

或許有人會質疑，因應GDPR的花費和員工規模有關係？但實際上，從調查中卻發現到，員工人數、公司規模和花多少錢因應GDPR，並沒有正相關。調查指出，有員工人數少於1萬人的組織花了超過250萬歐元（新臺幣8,750萬元）來因應GDPR，但也有員工人數破5萬的組織只花不到25萬歐元，顯見企業因應GDPR應該支出的金額，和員工人數多寡沒有絕對關係。

儘管臺灣企業對於因應GDPR的速度較慢，但從該份調查發現，歐盟企業目前也只有15％的受訪企業，可以在GDPR正式實施前，完全合乎規定而已。調查中發現，有45％的企業有專責的隱私部門，有32％企業有兼職的隱私部門，但最終，則有23％的企業，還沒有制定任何隱私部門單位。

從調查中也可以進一步顯示，哪些是因應GDPR的挑戰呢？包括徵求當事人同意，以及當事人權利中的資料刪除，開發和維護個人資料寄存器（Register），資料可攜性和個人資料控管者的當責（Accountability）性。

臺灣勤業眾信風險管理諮詢顧問公司副總經理林彥良則指出，企業因應GDPR不僅是一份合規的工作，更重要的是，也可以變成商業資產和推動者，甚至可能是企業的競爭優勢。因此，企業在因應GDPR所面臨的挑戰，如果可以順利克服，也將可望成為企業的另一種商業資產。

也就是說，GDPR不僅是歐盟對於人權隱私保障的新指標，全球企業國家往來互動，都必須符合相關的規範外，更有甚者，GDPR甚至是歐盟和全球業者商務往來時，另類的貿易壁壘，「想要和歐盟做生意，就得搞懂歐盟對人權隱私的保障程度，進而從中了解歐洲人的商業運作邏輯。」他說。

圖片來源／KPMG

想要快速了解GDPR這個最嚴格個資規範，企業要先掌握GDPR七大核心精神，包括：展現適法決心，設立資料保護官，建立合宜的政策、流程與技術，進行個資盤點與隱私衝擊分析，以及，從設計與內建著手保護隱私等。

攝影／洪政偉

臺灣勤業眾信風險管理諮詢顧問公司副總經理林彥良提醒，企業因應GDPR不僅是一份合規的工作，更重要的是，也可以變成商業資產，成為企業的競爭優勢。

GDPR對企業帶來衝擊不只是法規層面

臺灣安侯企管顧問公司執行副總經理謝昀澤表示，目前而言，GDPR對於B2C業者帶來的衝擊影響比較大，包括：使用大數據分析與雲端服務的企業；進行跨境資料處理的企業；控制或處理歐盟消費者資料的企業；或者是控制或處理歐盟特種個資的企業。

但相對而言，他也認為，GDPR對於B2B業者帶來的衝擊相對小，例如：使用一般電子系統處理個資的企業；於歐盟當地處理個資的企業；僅有歐盟員工資料的企業；以及只有處理基本個資的企業。

因此，要評估GDPR對企業帶來的衝擊程度，謝昀澤指出，只有單純從GDPR法條內容看該法對企業帶來的衝擊是不夠的，嚴格說來，該法對於全球企業帶來嚴格法規遵循要求產生的貿易壁壘，將直接或間接影響各國國際貿易的往來情況。

舉例而言，不論是由美國聯邦政府出面，代表各州政府與歐盟28國及瑞士簽訂和美國往來的隱私盾協議（Privacy Shield Framework）；或者是，在2017年由歐盟執委會推出的ePrivacy Regulation（電子隱私條例草案），就是要將目前原本只適用於電信通訊服務業者的隱私保護規定，進一步擴展到新型態的電子網路和通訊服務業者。

甚至是，即將於明年三月完成脫歐程序的英國，透過制定新版的資料保護法（Data Protection Bill，DPA）接軌歐盟GDPR；最後是，由亞太區的亞太經合會和21個成員國與地區之間簽訂的亞太經合會跨境隱私保護規則（APEC Cross Border Privacy Rule，CBPR），上述這些法規命令的出爐，都會影響歐盟與各國貿易往來的情況。

再者，他也認為，各種隱私保護通用規則或是指引等，都會成為產業基準（Baseline），像是以歐盟資訊安全局（ENISA）因應GDPR要求時，也同時推出多個可供企業參考的資訊安全與數據應用保護建議的參考指引，例如，「Privacy And Data Protection By Design From Policy to Engineering」，或者是「Privacy By Design on Big Data」，甚至是「Recommendation On European Data Protection Certification」等，都是很好的參考工具指南。

圖片來源／KPMG

想要與歐盟做生意的臺灣，該如何因應GDPR，KPMG提供了一個三階段因應策略，建議政府從輔導產業的角度來介入，例如：輔導產業取得歐盟相關驗證與標準，以降低臺灣企業因應GDPR的門檻。

從企業與政府角度因應GDPR

因應GDPR可以從企業和政府兩種不同角度來看，謝昀澤指出，政府身為主管機關，應該要從法規制定、制定標準、衝擊評估、國際協商、區域合作、政策指導、認知提升和資源籌措等角度，來協助企業有能力因應GDPR；而他說，針對受到GDPR影響的企業，則可以從角色與責任、治理架構、教育訓練與人員認知、政策角度，協助企業更有能力因應GDPR對企業帶來的衝擊。

另外，謝昀澤表示，企業也可以從協助企業從作業流程面，包括：資料洩漏通報、資料保護衝擊評估、隱私需求設計（Privacy By Design）、同意和告知管理、協力廠商管理、用戶管理、資料主體權利和資料移轉等；以及資料隱私核心資料庫（處理記錄），例如：隱私資料的類型、處理的目的、資料擁有者和限制等；加上稽核、控制、通報等風險管理的角度，都有助於受到GDPR影響的企業，慢慢有能力正向因應GDPR帶來的衝擊。

臺灣不在歐盟允許跨境傳輸名單中，企業得自行申請核准

不過，臺灣整體產業在因應GDPR時，主要面臨有三大挑戰，謝昀澤說，首先，缺乏單一個資主管機關，因為GDPR是國際條約，臺灣沒有實質主管機關作為統一協調的窗口，也沒有當責機構（Accountability Agent）擔任聯絡窗口徵詢產業意見，並發佈相關準則、補充GDPR還未明確規範的空間，進一步訂定國內一致性的符合性要求。

其次，「各產業個資保護水準不一，」他說，雖然GDPR罰則很高，但在臺灣個資法相對寬鬆的前提下，許多企業缺乏因應GDPR的誘因，普遍處於觀望的態度。

主要可以從幾個面向來看，謝昀澤指出，像是個資定義、安全措施以及委外監督的落差；或者是雲端服務或是跨國業務的適用，仍有不同的認定空間；加上臺灣個資法適用的地域較窄、罰則較輕；以及告知義務寬鬆、個資處理較不透明；加上當事人權利、撤回同意應用狀況不一時，都是各個產業對於個資保護程度不一樣的主因，如同金管會對金融業個資處理的要求嚴格程度，就會比其他產業要求更嚴格一樣。

最後，謝昀澤認為，因為臺灣對資料保護的意識不足，歐盟認為，臺灣對於跨國傳送個資採用負面表列的作法，相較於歐盟正面表列、需事前申請獲准的作法，顯得過度寬鬆，且對於轉送機制（Onward Transfer）規定較為寬鬆，加上沒有有效的保護機制，都使得歐盟認定，臺灣在個資跨境傳輸的風險較大，所以，臺灣並不在歐盟允許跨境傳輸的名單之中。

因為，臺灣不在歐盟允許GDPR跨境傳輸的名單中，也同樣不在APEC的CBPR的名單中，所以，在5月25日GDPR正式實施後，臺灣企業想要將自家手上的大批歐盟民眾個資，進行跨境傳輸（例如轉移到其他國家，或從其他國家回傳臺灣）的行為，得自己另行申請GDPR的核准才行，或是想辦法讓使用者自行上傳（使用者自己把資料上傳到其他國家不違法），否則都會是違反GDPR的行為。

攝影／洪政偉

臺灣安侯企管顧問公司執行副總經理謝昀澤觀察，GDPR對於B2C業者的衝擊較大，包括：用大數據分析與雲端服務的企業、跨境資料處理的企業，以及控制或處理歐盟特種個資的企業。

國發會將打造因應GDPR平臺

臺灣的各個中央目的事業主管機關，對於因應GDPR也都動起來了。國家通訊傳播委員會（NCC）主要是臺灣電信業者的主管機關，NCC法律事務處副處長黃文哲指出，原始臺灣使用網路沒有任何規範，但隨著網路現在已經成為每個人生活不可或缺的一部分，也兼具內容供應商時，未來在修正數位通傳法時，也必須納入經營者資訊，並且提供相關的隱私保護政策以及資安政策等。

黃文哲強調，隨著GDPR在今年5月25日正式實施，臺灣的個資法也必須要配合思考GDPR，進行相關的修法，例如，GDPR強調當事人擁有個資的所有權，從資料自主性來看，未來臺灣的個資法修法也應該納入「被遺忘權」，以及提供並確保「當事人可以行使相關的個資權利義務」等內涵，都應該是臺灣未來個資法修法時的方向。

GDPR和臺灣個資法一樣，不只是保護人權個資，還有發展產業的功能。國家通訊傳播委員會平臺事業管理處專門委員喬建中表示，歐盟打造的是單一數位市場，要如何平衡人權與經濟發展是挑戰。未來這些個資如何落地，就必須做到跨境資料傳輸，建立在以歐盟為主的資訊體系中，而中央目的事業主管機關也將不得不解決「臺灣沒有個資專責主管機關」的問題。

國家發展委員會參事兼法制協調中心主任林志憲表示，目前各個目的事業主管機關也都有因應GDPR，包括會建立一個平臺，彙集所有與GDPR相關的基本資料和內容，先前聯徵中心也曾經針對GDPR條文進行翻譯，也會思考如何透過授權方式，將這樣的內容對外公開，而且，目前臺灣政府已經要求各部會都必須要設置諮詢窗口。再者，他指出，GDPR很重要的精神就是，所有的個資使用都必須徵得當事人同意，尤其面對到個資的跨境傳輸，對於許多非歐盟國家的企業而言，更是必須克服的困難之一。

林志憲也以臺灣先前從《電腦處理個人資料保護法》修法成為《個人資料保護法》時，剛好任職於金管會保險局，同步經歷當時各個中央目的主管機關為了因應新版個資法，先行修正保險法中對於個資保護的相關條文，新增當事人同意的條款等修正內容。

臺灣政府將和歐盟談安全適足性認定

政府如何協助企業因應GDPR的挑戰？林志憲指出，政府將跟歐盟進行安全適足性的談判，會由國發會和歐盟建立談判的窗口，但是，歐盟GDPR的規範比臺灣個資法更嚴格的情況下，加上，在此之前，臺灣雖然有個資法的條文，但因為缺乏個資的獨立機關，要與歐盟進行GDPR的安全適足性的談判前，則必須先有設置相關的個資獨立機關，才有利於和歐盟的談判。「最終，臺灣應該如何與歐盟完成安全適足性的談判，是一大挑戰。」他說。

什麼是GDPR安全適足性？環奧國際驗證公司總經理梁日誠指出，主要就是申請者當地整體個資保護的環境，例如法規、人權、自由、國防安全、公共安全，甚至是主管機關對於個資存取得法規保護、安全措施等規範，都和歐盟會員國的GDPR保護環境可以對應。當申請者該國對於個資保護的安全性獲得歐盟認可後，該國企業就可以進行歐盟民眾個資的跨境傳輸，而不會被認定是違法行為。

他強調，這其中又有一個必要的關鍵機構，那就是，申請者必須具備有效的資料保護權責機構，該國實施的個資保護法案和定期審查可被接受，而且，相關的要求都與第三國政府相關，必須由政府的主政機關協調各對應相關機構，了解要求與現階段的差距，才能找出符合性證據與配套方案。

梁日誠表示，目前和歐盟已經完成安全適足性（Adequacy）認定的國家包括：安道爾、阿根廷、加拿大（以商業組織通過認定）、法羅群島、格恩西、以色列、馬恩島、澤西島、紐西蘭、瑞士、烏拉圭以及美國等12國家或組織。而日本與韓國，也在2017年G7高峰會的時候，積極和歐盟協商，希望可以通過安全適足性的認定。他認為，由於歐盟是臺灣第五大貿易夥伴，臺灣更應該積極與歐盟協商，儘快降低或免除個資跨境傳輸對臺灣企業帶來的影響。

梁日誠也說，目前安全適足性認定的申請，可以用第三國或第三國中某一個地域（Territory）；一個或多個特定領域（Sector）；或國際組織的方式來進行。目前加拿大則是以商業組織（Commercial Organization）作為特定領域的方式達成，臺灣則可以思考以目前參與的國際組織方式，作為和歐盟進行安全適足性認定的申請。

圖片來源／環奧國際

環奧國際驗證公司總經理梁日誠指出，歐盟是臺灣第五大貿易夥伴，臺灣政府更應該積極與歐盟協商，儘快降低或免除個資跨境傳輸對臺灣企業帶來的影響。

企業得選擇申請BCR，才進行個資跨境傳輸

除了由國家出面，和歐盟進行安全適足性認定的談判之外，臺灣勤業眾信風險管理諮詢顧問公司總經理萬幼筠指出，企業還可以在以下四種條件下，進行個資跨境傳輸。他進一步解釋，首先就是，個資離境至歐盟認為，可以提供充分隱私保護的地區，或被歐美隱私保護盾覆蓋的國家或地區；其次，離境傳輸符合GDPR的豁免條件；第三，隱私資料輸出方與接收方，簽訂歐盟認可的標準合約條款；最後則是，申請Binding Corporate Rules（約束性公司規章，BCR）。

萬幼筠表示，BCR是供跨國公司採用的內部規則，它對同一集團內、不同地區實體之間的個人隱私資料傳輸，提供全球性的資料保護政策，其中包括對隱私資料類別、資料處理形式、資料處理目的、將受影響的資料主體等規定。

他也說，BCR可對同一集團成員間的隱私資料傳輸提供充分保護，因此，企業就不需要每次簽署標準合同條款，也有助於節省資料當地語系化處理的成本，增強隱私資料保護當責制，並將資料保護和安全管理融入公司原有的制度體系中。

攝影／洪政偉

儘管臺灣不在歐盟允許GDPR跨境傳輸名單中，但臺灣勤業眾信風險管理諮詢顧問公司總經理萬幼筠建議，跨國公司可申請BCR（約束性公司規章），就能在同一集團內傳輸隱私資料。

除了安全性、管理複雜度，儲存架構設計也是企業導入容器技術的一個痛點，Pure Storage前首席架構師兼共同創辦人John Hayes就曾表示：「Docker容器架構最大儲存挑戰是，你根本不知道資料存在何處。」他認為，過去10年發展的儲存技術，大多將不適用於容器。而John Hayes現已離開自己創辦的公司，現在是Pure Storage顧問。

不過即使靈魂人物出走，Pure Storage在去年也開始搶進容器儲存市場，讓Purity//FA作業系統支援Docker Persistent Volumes，讓快閃儲存陣列能夠延伸到容器化應用程式。在今年Accelerate用戶大會中，推出了容器儲存即服務（Container storage as a service），Pure Storage表示，要把公有雲的敏捷特色帶到本地環境，「讓開發者能更快速建置、部署及擴充微服務應用程式。」

而這次釋出的容器儲存即服務Pure Service Orchestrator，整合了調度工具Kubernetes，作為虛擬層的中控中心，除了能提供隨需儲存、自我修復功能外，也能支援多陣列的檔案（File）、區塊儲存（Block），讓本地容器環境也可導入儲存即服務。

IT基礎架構的發展，從實體機、虛擬機，到當今雲端、容器基礎架構，技術的演進，以更為輕量、減少相依性，以及加強模組化演進，「這也無怪乎，容器技術的採用率爆炸成長」，Pure Storage表示，IDC估計，在2021年，有80％雲端應用，都會採用微服務架構，而其中的95％，又會部署在容器中執行。從2017年，Pure Storage就正式開始布局容器儲存，透過介接Docker、Kubernetes及FlexVolume Driver套件，讓容器應用也可以支援持久儲存，「不過我們馬上就了解，支援儲存套件還不足夠」，由於容器基礎架構環境過於複雜，按照其任務屬性，不僅有生命周期、所需儲存格式的差異，容器快速布建的特性，更容易把儲存系統逼到極限。

這次Pure Storage推的容器儲存即服務Pure Service Orchestrator，總共有三個重要特色。首先，該平臺提供智慧建置功能，以使用者預先設定的政策，提供隨需儲存服務。Pure Storage表示，根據效能表現、儲存空間使用率、儲存系統健康狀況等變數，系統可以根據每個請求，布建相對應的儲存，簡化系統管理員的工作。

再者，該平臺除了相容支援快閃儲存陣列、刀鋒儲存陣列，也能支援檔案、區塊儲存，在儲存服務下子儲存系統，配置相異的組態設定，「只要一個指令，就可以擴充儲存規模。」Pure Storage表示。最後是提供自我修復功能，確保服務穩定性，Pure Service Orchestrator會確保各個Kubernetes節點，不會重複連接到同一Volume。目前Pure Storage也已經和紅帽合作，結合OpenShift、Pure Service Orchestrator，釋出了參考架構。

這次釋出的容器儲存即服務Pure Service Orchestrator，整合了調度工具Kubernetes，作為虛擬層的中控中心，除了能提供隨需儲存、自我修復功能外，也能支援多陣列的檔案（File）、區塊儲存（Block），讓本地容器環境也可導入儲存即服務。圖片來源：Pure Storage

在2016年，雲端儲存服務商Box推出了Box Zones服務，讓企業內部資料也能符合資料落地（Data residency）法規，除了加強安全性外，也提升組織對自家資料的掌握度。而近日Box近一步加強Box Zones服務規模，讓企業選擇儲存資料的地點，能夠橫跨該公司在全球布局的8處資料中心，目前在該公司分別在美國、加拿大、英國、愛爾蘭、德國，及亞太區的新加坡、東京及澳洲，設有營業據點。

Box表示，這一次的產品服務升級，讓企業可以加強掌握內部資料，落實資料落地性。而該公司也列出，Box Zones升級後的新特色。首先，可以協助企業，適應當地的資料法規。Box舉例，企業可以根據員工需求，加開單一儲存空間，或者指定單一服務區域，作為該組織資料預設儲存的地點。如果員工有調派他區域的需求，該員的儲存空間，也能隨時搬遷至其他的服務區域，「資料也會被搬遷至其他服務區域。」

再者，利用單一管理介面，系統管理員也可以一次掌握組織內儲存空間的部署位置。Box也提供自助式的即時報表服務，管理者可以自行下載相關報告，方便進行企業進行稽核工作。

今年1月成立的中華資安國際公司，是由中華電信切割出來的資安子公司，也是臺灣「資安即國安」政策推動下，發展並提升臺灣資安產業的代表業者之一。擔任中華資安國際董事長陳振楠，以往也是政府許多部會資安專案的審查委員之一，面對《資通安全管理法》已經於日前在立法院三讀過關，陳振楠認為，落實該法的關鍵在於，首先要界定出哪些是資安法的執行單位；接下來，便是要訂出執行單位合理的KPI（關鍵績效指標）；最後，就是落實執行單位執行過程的審查標準與結果。

陳振楠進一步指出，《資通安全管理法》也鼓勵政府應該要推動發展臺灣資通安全產業，並且協助制定資通安全軟硬體技術規範，發展相關服務與審驗機制，而相關的事項推動也都會透過國家資通安全發展方案制定。因此，政府在發展臺灣資安產業時，他表示，除了要可以帶出臺灣的資安自主研發能力之外，如何落實審查，讓整各產業推動可以按照計畫逐步落實，則是非常重要的關鍵。

過往，陳振楠也長期關注在臺灣各大關鍵基礎設施（CI）的資安議題，他指出，關鍵基礎設施其實是OT（維運科技），強調的是：A（可用性）、I（完整性）、C（機密性），與一般IT系統強調的：C（機密性）、I（完整性）、A（可用性）並不同，但是，透過《資通安全管理法》的制定，政府納管這些重要的關鍵基礎設施後，就是希望可以透過整合的方式，將OT與IT結合在一起。

「國營事業單位更應該率先負起責任，了解如何落實關鍵基礎設施的資安防護措施，也可以進一步做到資安攻防演練。」陳振楠表示，從實務作業層面來看，許多重要的關鍵基礎設施業者，其實，都是國營事業，而在政府仍有股權、還有影響力的前提下，將這些業者作為推動資安防護，以及攻防演練的範例，接著，我們可以進一步推動到其他非國營事業的關鍵基礎設施業者身上。

他也說，《資通安全管理法》未來正式實施後，政府機關應該還是要從策略面，訂出幾個重要的關鍵里程碑，以及應該要執行的KPI，作為政府推動策略上的指標。

 相關資料  資通安全管理法立院三讀通過條文

臺灣日前剛剛在立法院三讀通過《資通安全管理法》，裡面也綱要列舉政府應該要提供資源，推動資安產業發展。不過，臺灣趨勢科技總經理洪偉淦有感而發說：「臺灣真的要推動資安產業的發展，終究還是要靠自己爭氣，不能一直期待政府協助。」資安法將關鍵基礎設施（CI）納管，至少提高相關產業業者對資安的認知。

不過，這兩年來，金融業爆發多起金融資安事件，也讓監管單位採用高度管理手法，最終透過打造資安資訊情資分享系統（ISAC），就是希望可以藉由法律的規範，讓彼此同業有信心去交換資安情資，「知道同業遇到的資安事件，藉此提醒自己多注意。」洪偉淦說，因此，資安法特別針對遭駭知情不報的單位加重處罰，罰金從原本10萬到100萬元，加重為30萬到500萬元，就是希望改善資安事件揭露及資安情資分享。

洪偉淦也提到，資安事件通報應該是一個信任養成的過程，如何做到受害單位願意向主管機關通報資安事件，這必須有很好的信任基礎，而相關的主管機關也不能一接到通報的資安事件，好像中獎一樣，開始思考怎麼開罰，在這樣信任基礎太薄弱的環境下，是無法讓大家願意卸下心防、通報資安事件的。

但他也說，政府制定面對要求業者符合法規遵循，但這並不等同於「防駭」，資安已經對營運衝擊造成重大衝擊，更是所有政府和企業必須要做的事情。從整個國家整體資安戰略而言，本土業者產品技術能力提升有其必要性之外，但因為仍有部分重要的資安技術，臺灣目前還沒有能力掌握的情況下，如何協同國際資安大廠與臺灣資安業者，構築完善的資安產品策略藍圖，是從政府到民間資安業者都必須努力的方向。

「至於資安人才不足，是臺灣各個產業的痛。」洪偉淦表示，資安人才除了高階有能力挖掘漏洞的人，還有更多是日常維運所需的人，透過良好的資安維運以降低企業資安風險，並規畫良好資安架構，才能發揮資安人才最大效益。

他也說，企業內部需要各種人才，從網路、應用程式、資料庫到IT維運等等，如何讓這些第一線IT人員都有資安思維，才能對整體政府和企業帶來最大效益，「資安不是企業內部擁有一位資安高手，就可以解決所有資安問題。」他說。

洪偉淦也以臺灣趨勢科技為例，全部1,600多名員工，研發人員高達1,200多人，但真正懂資安威脅的專家約200人。他認為，軟體工程背景的IT人員，對於資安較容易上手，但資安最終還是要融入管理、研發，以及開發等流程。

他也說，以趨勢科技協助臺灣企業2百多名客戶、處理過5百多起資安事件的經驗來看，僥倖的心態和「我不會這麼倒楣」的心態，才是企業發生資安事件的主因。「魔鬼藏在細節裡，」從網路架構到防火牆規則和白名單的權限控管等，才是讓企業資安可以真的做到安全的關鍵。

 相關資料  資通安全管理法立院三讀通過條文

作為《資通安全管理法》重要的產業諮詢顧問之一，臺灣勤業眾信風險管理諮詢顧問公司總經理萬幼筠認為，該法歷經多時終於順利完成三讀，其中，帶來最大的價值就是，該法將CI（關鍵基礎設施）及CII（關鍵資訊基礎設施）納入該法管理中，而納管關鍵基礎設施的作法，也是歐美各國在制定相關資安法規中的共同方向。

尤其他說，現在網路已滲透到所有民眾生活、軍事上，網路更成為所謂的第五領域，這都意味著，《資通安全管理法》是臺灣資安防護的新起點。他進一步解釋，這次修法仍有許多妥協之處，雖無法畢其功於一役，但整體而言，「有」過這個法，總比沒有過這個法要好，「至少這是開始。」萬幼筠說道。

接下來，就是《資通安全管理法施行細則》在內總共6個子法的討論。萬幼筠指出，原本為了加速後面子法的修訂，還是有一些子法的討論，但後來因為有黨團立委認為，在《資通安全管理法》母法還沒有通過之前，不應該討論子法的情況下，所以暫時停止子法討論。但施行細則的部分，大致上，主要是希望可以規範到更多層面，應該落實《資通安全管理法》的方式與作為，例如，將資安預算以及相關的稽核納入《資通安全管理法施行細則》中，就是一例。

他也強調，《資通安全管理法》將具有一定的法律位階，所有受規範的公務機關及特定非公務機關，都有法規遵循的責任和義務，千萬不可以輕忽，而這個法也仰賴目前臺灣既有資訊基礎架構的穩定，才足以提供相對應的資訊服務。

「政府重視CI以及CII的安全性，也挹注許多的預算在內，」藉由《資通安全管理法》三讀過關，把行政院資安處現在所做與資安相關的事情，以及針對《第五期資安發展方案藍圖》正在推動的事情，賦予足夠法律位階。

萬幼筠認為，資安處雖然是行政院的幕僚機關，但是，透過《資通安全管理法》賦予法律位階，讓資安處把目前包括攻防、鑑識、教育訓練以及政策制定等作為，可以「法制化」，也促使資安處能夠參與經濟部的產業資安人才培訓，可以鼓勵更多實務面的推動，包括各種App或物聯網驗證實驗室的成立，即為一例；其他像是，針對教育部的校園資安人才培育，可協助學生延續資安技能，甚至在研究所的階段，還可以接觸高端資安技術；另外，對於國防部的軍事資安人才培養，也可以配合相關政策提供對應協助。

透過法制化的基礎，就可以讓資安處名符其實地參與相關的政策制定與專案執行，也可以做到跨部會的橫向協調，以及與上級機關的的策略制定溝通討論等，針對上述這些部分的工作，都能夠做到「師出有名」。至於子法的討論，他也說，在資安處的規畫下，對於包括如何資安委外等作為，都有相關的分類與作法，該如何進行，以及所要從事的部分，都會在相關的《資通安全管理法施行細則》等6個子法中，分別有詳細的規範。

 相關資料  資通安全管理法立院三讀通過條文

Google與電子支付業者Paypal周四宣佈強化整合，美國用戶只要在任一Google app中登入過一次PayPal，之後在所有Google服務中，包括Gmail、Youtube，不用登出，也可利用Paypal支付或轉帳。

之前雙方就已經合作，讓雙方共同用戶可以在實體店家、網路及app內購物以Google Pay、或是在Chrome瀏覽器行動購物時使用Paypal付款，不過雙方都不是專屬合作夥伴。在最新的整合下，雙方的關係更為緊密；不久後只要在任何一項Google服務，包括Google Store、Google Play中，將Paypal加入Google帳號後，Paypal帳號就會自動連結其Google旗下其他服務，包括常用的Gmail、Youtube等。未來使用者不必再登入Payapal，直接在例如Google Store或Youtube app中付款購物，或是Gmail下和親友點對點轉帳。

不過這項整合功能必須在接受Paypal為收付款工具的地區，目前也僅在美國開放。是否會推向其他地區則不得而知。

Google和Paypal最新合作消息，對Google來說，可減少使用者為付款而離開Google 環境的可能，增加站內消費的機會。
 
對Paypal而言則有助於拉抬Paypal不利的局面。一月底全球最大拍賣網站eBay宣布與Adyen簽署合作，取代PayPal成為eBay平台主要的支付處理服務，PayPal則退居成為支付選項之一，預計於2020年中完成轉換，消息一出，致使PayPal股價大跌超過11%。

美國地方媒體Kiro7周四報導，Amazon 人工智慧助理Alexa疑似竊聽用戶家中對話，並傳送給了通訊錄中的友人。但Amazon說這全然是巧合。

報導指出，一名住在俄勒岡州波特蘭市的用戶Danielle表示二周前接到遠在西雅圖市的友人來電，對方是她丈夫的員工。友人說他接到Danielle家人的談話錄音檔。友人根據錄音內容說出該使用者談話的情境，並判斷置放在家中的Amazon Echo Dot被駭，而暗中錄下對話並傳到聯絡人名單。

在嚇得拔掉家中所有Echo Dot之後，使用者趕緊連絡Amazon。Amazon客服人員數度道歉。

Amazon事後向多家媒體證實此事，並表示該公司十分重視用戶隱私，這件事十分罕見，該公司也已著手調查，並採取措施防止此離奇事件再發生。

Amazon強調這不是一樁被駭事件、或是Alexa有了人性開始竊聽用戶，而是一連串的巧合造成的誤會。The Verge引述Amazon解釋這件事發生的原因，Echo因為周遭環境有類似Alexa的聲音而被喚醒，然後疑似聽到「傳送訊息」的指令，此時Alexa會大聲問道「傳給誰」？如果剛好環境中有聲音被Alexa解讀為某個人的名字，這個AI人工助理會再確認「傳送給XXX，對嗎？」此時若又聽到「Right」等確認字眼，就會執行Alexa被指派的任務。

這不是Amazon Alexa第一次發生嚇人的烏龍事件。今年三月有用戶反映家中的Echo會莫名其妙發出令人毛骨悚然的女性笑聲。

事實上，即使Echo、Google Home這類連網裝置被駭也不是新鮮事。例如本月初有資安業者揭露， Alexa存在隱私漏洞，可讓遠端駭客控制她保持持續聽取命令，藉此暗中監聽使用者的日常對話內容。

區塊鏈內容平臺Contentos 24日發布區塊鏈技術暨數位內容產業協定，並攜手中國獵豹科技旗下的LiveMe直播、Cheez短影片及PhotoGrid圖片等社交平臺，要讓區塊鏈應用落地。LiveMe目前是以直播打賞來測試，Cheez則使用代幣吸引用戶啟用App，或是使用代幣啟動特殊功能。Contentos共同創辦人蔡昌傑說道，透過目前的測試，要先培養用戶對代幣的概念，讓他們更能接受整個區塊鏈內容生態系的發展。

「區塊鏈的應用要真正落地，取決於要有大規模用戶使用。」蔡昌傑認為，區塊鏈產品要到實用的地步，有3大要素，包含海量的用戶群，因為沒有用戶群支持，一切都是空談。而正常的產品體驗，以及用戶的教育與認知，都是要讓大眾更能理解區塊鏈帶來的應用。「我們不想只是透過區塊鏈收割完韭菜就走人，而是希望能為全球創作者做些有意義的事。」蔡昌傑說。

蔡昌傑提到，中心化的內容平臺有4大問題，包括數位資產無法確認著作權，也讓版權問題無法追溯。再者，流量分配被平臺控制，用戶看到的內容、廣告也只能受制於平臺。第三，創作者與平臺間的收入分配不均，廣告收益把持在平臺手中，為平臺帶來流量的創作者，卻僅能拿到少部分的收入。他舉例，YouTube規定YouTuber的粉絲訂閱數未達一定標準，是拿不到任何廣告收益。而信譽體系不公開透明，也導致侵權、違規等行為無法跨平臺追溯。

Contentos區塊鏈技術架構，結合以太坊區塊鏈與IPFS （InterPlanetary File System，星際檔案系統）的技術推動去中心化的生態鏈，創作者能夠永遠保存個人資訊與內容作品的記錄，若作品的版權受侵害，也能有憑據進行追溯。而為了打破許多中心化內容平臺長期握有廣告收益與支配權，Contentos要透過區塊鏈底層架構，讓收益回歸到創作者本身，為粉絲、創作者、廣告主三者，以智能合約與數位貨幣，推出一套新的商業模式應用。

蔡昌傑提到，透過Contentos區塊鏈技術平臺，創作者可與粉絲連結，進行點對點的支付，例如創作者可自行設定訂閱費用以及可觀看內容的次數，這也是Contentos最快會啟動的項目。廣告主也可透過此平臺找到創作者進行合作，並依照創作者的作品所帶來的廣告效益，來決定支付的酬勞。例如，廣告主可在智能合約上設定廣告影片的點閱數，若達到廣告主設定的目標，創作者就能獲得更高的酬勞，而酬勞也會自動支付給創作者，除了免去繁冗的簽訂合約與匯款流程，也可激勵創作者達到目標，為自己爭取更高的效益與酬勞，而廣告主也能更確保付費後的廣告效益。而對許多創作者彼此之間來說，不管是做動畫、音樂，也可在此平臺一起合作創作，並可達到自動化分潤。

Contentos的獎勵機制來自於特有的雙幣經濟體，蔡昌傑表示，將發行COS、CONC兩種幣別，要平衡使用者短期波動收益與長期穩定收益。蔡昌傑說明，COS（ContentOS token）是基於ERC-20所發行的加密貨幣，主要為外部交易貨幣，並預計在今年第三季上到交易所，但因為上到交易所後，價格會隨著市場而波動，所以適合做為長期激勵生態、內容或者是創作者的驅動力。

CONC（CONtentos Cash）則是有價值恆定的特性，他提到，會透過一些穩定機制將價格錨定在0.01美元，適合計算創作者的勞務、消費者付費購買內容或是產品功能，確保創作者有穩定的收入。Contentos表示，COS、CONC將以各50％的比例給予創作者獎勵。

其實，用區塊鏈解決內容產業的痛點，Contentos並不是第一家，KKFARM在今年4月發表了區塊鏈創意產業協定Muzeum，也同樣是要透過區塊鏈技術架構，讓所有數位資產都能在此基礎下受到保障，並大幅縮短授權與分潤的流程，讓文創產業有更多新的商業模式出現。蔡昌傑表示，Contentos的優勢來自於已跟既有的產品合作，包括LiveMe、Cheez、PhotoGrid這些已經擁有大量用戶的App。

他透露，若測試順利，之後Contentos也會開始導入獵豹科技旗下的其它應用程式，包含遊戲、清理工具等等，光是單月活躍用戶，就有6億人在支撐。他也表示，這些海量的用戶未來都可能成為Contentos的潛在用戶，這也是Contentos的優勢，也希望透過LiveMe、Cheez、PhotoGrid等社交平臺的直播主，將真實的用戶帶進區塊鏈技術的應用中。

美國國家運輸安全委員會（National Transportation Safety Board，NTSB）釋出Uber自動駕駛測試車撞人致死的初步報告，經調查顯示Uber的自動駕駛系統運作正常，輔助駕駛員也沒有明顯疏失，系統在撞擊前6秒鐘發現行人，目前可能原因指向視線不明，事故發生於晚上9點且行人穿著黑色衣物，自行車側邊沒有反光板，而且行人甲基安非他命與大麻測試結果為陽性，錄影發現其反應遲緩。

在2018年3月18日晚上9點58分，一名49歲的女性牽著自行車在穿越馬路時遭到Uber自動駕駛測試車撞擊致死。根據自動駕駛系統的資料，在事故發生前，車輛以約時速70公里的速度前進，該自動駕駛系統首先在撞擊前6秒鐘，其搭載的雷達與光達系統皆偵測到行人的出現，隨著車輛與行人距離越來越近，自動駕駛從一開始判斷為未知物體，到識別為車輛，隨後便確認其為行徑路線無法確定的自行車。

在撞擊前1.3秒，自動駕駛判斷應該以緊急煞車制動系統減緩衝擊，不過，根據Uber的說法，在電腦控制的情況下，緊急煞車制動系統預設關閉，以減少車輛不可預期的行為。而輔助駕駛員在撞擊前不到1秒鐘，接管方向盤並緊急煞車，但是撞擊到行人時，車輛時速仍超過60公里。NTSB表示，自動駕駛系統在事故發生當下，所有功能正常且沒有任何故障的診斷訊息。

雖然車內攝影機記錄到輔助駕駛員多次低頭，但他表示，一直監視著自動駕駛系統介面。也沒有證據顯示輔助駕駛員分心使用手機，因為無論是公司或是個人手機，都在撞擊發生後，才有撥打給救護單位的紀錄。雖然事發當時沒有對輔助駕駛員做毒物測試，但根據當時處理事故的警察表示，輔助駕駛員表現正常，沒有任何精神恍惚等情況。

而在車外攝影機的紀錄中，行人穿著黑色衣物，雖然自行車前方裝有大燈，後方有反光鏡，但方向皆與Uber自動駕駛測試車行徑方向垂直，自行車側邊沒有任何反光物，而且行人處在路燈沒有直接照明的地方。行人在被撞擊前才注意到來車，而NTSB也收到他身上甲基安非他命與大麻測試結果為陽性的資料。

所有的調查仍在進行中，一方面NTSB除了仍要確定輔助駕駛員的行動裝置，在事故發生前有無被使用的證據外，另一方面，也繼續收集行人在被撞擊前，任何與他有關的活動資訊。NTSB欲取得所有可能造成事故的原因，並發布防範建議，以防止這類事件再次發生。

Windows 10四月更新釋出後問題頻傳。微軟周四釋出最新更新，以修補造成搭載英特爾及東芝特定固態硬碟（SSD）的PC開機問題。

昨日釋出的更新程式KB4100403 將使Windows作業系統升級為Build 17134.81版本，它並未包含新的作業系統功能，最主要的是解決英特爾、東芝SSD PC安裝Windows 10 1803版的狀況。之前版本造成搭載英特爾SSD 600p系列、SSD Pro 6000p系列PC當機且重開機後，重覆進入UEFI畫面。此外，它也造成搭載東芝XG4、XG5 和BG3 系列SSD的PC電池續航力下降及電腦發燙的問題。兩者原因微軟僅提供「不相容」的解釋。
 
微軟會開始透過Windows Update部署更新。進階用戶則可從5月25日起，手動下載最新更新程式。方法是從「設定」頁的「更新&安全性」-進入「Windows Update」，再經由「檢查最新更新」下載安裝。

KB4100403其他還改善了一些功能的品質，包括IE及Microsoft Edge的 web通訊及穩定性、時區資訊更新問題、特定搭載dGPU的硬體上Windows Hello無法使用、以及搭載某些廠牌NVMe 硬體時，重開機後系統無法恢復（power regression）的問題等。

Windows 10四月更新上周還發生其他問題，疑似因為和Avast防毒軟體不相容，讓部份用戶安裝後PC多次重開機、電腦桌面黑掉。

在2016年，Docker公司為容器技術標準化做出的重要貢獻，就是將Docker引擎中的Runtime元件containerd開源釋出，而雲端服務四大龍頭AWS、微軟、Google及IBM，都承諾要投入該專案。事隔一年，Kubernetes開始支援Containerd，還推出了容器Runtime介面（Container Runtime Interface，CRI），讓Kubernetes可以相容不同的容器Runtime，而在近日Kubernetes宣布，該調度工具要正式支援containerd，現在正式環境中的Kubernetes叢集，也要可以執行containerd 1.1版了。只要是版本序號在1.1版後的Kubernetes，都能相容containerd。

原先支援containerd 1.0版時，Kubernetes的設計架構，Kubelet與containerd間，夾著cri-containerd，而該Daemon程式，會負責Kubelet傳來的需求，並使用containerd，管理容器及容器映像檔。雖然該機制比Docker設計的更為精簡，不過Kubernetes認為，這樣設計仍不利於開發者進行部署工作，也會帶來不必要的訊息傳輸成本。

而現在支援containerd 1.1後，cri-containerd被重新設計結構，變成containerd CRI套件，不僅內建在containerd中，也預設啟用。如此一來，Kubelet就能直接與containerd溝通，「讓整合變得更穩定、有效率。」Kubernetes表示。

而這個翻新的架構，也改善了Kubernetes的效能，「包含Pod啟動效能，以及Daemon程式資源使用效率。」Kubernetes也比較了使用Docker 18.03 CE版，和containerd 1.1版的效能。相比使用Docker，使用containerd，能改善Pod的啟動延遲性（Startup Latency）。如果在單一叢集內，開啟105個Pod（目前單一叢集可容納的最大數量），「無論是CPU、記憶體的使用，containerd 1.1版都比Docker 18.03 CE版更好。」Kubernetes舉例，像是runtime CPU使用量，containerd比Docker少了68.13％。

不過也有不少開發者好奇，這樣是否代表，未來就不能在Kubernetes環境，使用Docker引擎。而Kubernetes表示，由於Docker引擎是建置在containerd之上，而下一個社群版Docker，也會整合containerd 1.1版。由於Kubelet、Docker引擎都會使用containerd這個元件，Kubernetes表示，使用者除了能受益於Kubernetes的功能、效能改進外，也能保留既有使用Docker引擎的應用。

而現在支援containerd 1.1後，cri-containerd被重新設計結構，變成containerd CRI套件，不僅內建在containerd中，也預設啟用。如此一來，Kubelet就能直接與containerd溝通，讓整合工作變得更穩定、有效率。圖片來源：Kubernetes

Kubernetes表示，由於Docker引擎是建置在containerd之上，而下一個社群版Docker，也會整合containerd 1.1版。由於Kubelet、Docker引擎都會使用containerd這個元件，Kubernetes表示，使用者除了能受益於Kubernetes的功能、效能改進外，也能保留既有使用Docker引擎的應用。圖片來源：Kubernetes

Pinterest旗下熱門的書籤服務Instapaper在歐盟新個資法GDPR正式生效前一天，突宣布其服務從5月24日起，暫時停止服務歐洲用戶，直到他們完成調整系統，確認符合GDPR後才會重新服務歐洲地區。

Instapaper給用戶的E-mail中提到，從2018年5月24開始，歐洲居民將開始無法存取Instapaper，但用戶可以向官方請求平臺資料的輸出，而他們仍持續的改善服務直到符合GDPR為止。官方提到，他們很快就會恢復歐洲的服務。

此舉引來了用戶抱怨，科技作家Owen Williams就在推特上抱怨，Instapaper竟然在通知用戶不到24小時，就逕行關閉歐洲用戶的服務，他認為，GDPR也不是現在才突然宣布，無法理解怎麼會發生這種情況，而Pinterest產品工程經理Brian Donohue，也在貼文下回覆，他們正積極的解決這些問題，但他無法對外公開他們遭遇到的問題。

彭博社於本周引述消息來源報導，由Android之父Andy Rubin於去年初所創辦的Essential Products已終止新一代手機的開發，並考慮出售。

Google在2005年買下Rubin所成立的Android公司，Rubin則順勢進入Google，主導Android平台的開發，迄今Android已是全球市佔率高達8成的行動作業系統。2014年離開Google的Rubin於隔年創立了Essential，去年初正式發表採用Android的Essential Phone智慧型手機。

由Android之父開發的Essential Phone手機備受市場矚目，且宣稱要挑戰iPhone與Samsung Galaxy，並在2017年獲得騰訊、Amazon與鴻海集團的3億美元資金挹注，然而，去年8月上市的Essential Phone卻叫好不叫座，10月就將售價從699美元調降至499美元，10月底再推出促銷專案，最低可以299美元購得，據傳Essential Phone的銷售量只有1.5萬支左右。

報導指出，Essential已終止第二代Essential Phone的開發，相關工程師轉為開發智慧家庭產品，並已聘請瑞士信貸（Credit Suisse Group AG）代為處理潛在的出售事宜，且至少已有一名買家。

當媒體向Essential求證時，該公司並未正面回答是否已終止Essential Phone 2的開發，僅說他們同時在開發多項產品，也會取消某些產品，以追求未來可能改變形勢的產品，包含行動與家用產品。

加州聯邦陪審團判定三星因侵犯蘋果的5項專利，必須賠償蘋果近5.39億美元，還高於三星在上訴前被判賠的3.99億美元。

蘋果在2011年控告三星侵犯iPhone專利，隔年法院即宣判蘋果勝訴。三星在2015年12月的判決中已支付了5.48億美元的賠償金，其中的1.5億美元是因三星侵犯了蘋果的兩指縮放（pinch-to-zoom）技術專利，另外的3.99億美元則是與iPhone設計及公用專利有關，也是後來重審的部份。其中，三星對於侵犯兩項蘋果公用專利的530萬美元賠償金額並無異義，主要是挑戰侵犯蘋果3項設計專利的賠償計算方式。

本周聯邦陪審團認定三星在侵犯蘋果3項設計專利上必須支付5.33億美元的賠償，侵犯蘋果2項公用專利則判賠530萬美元，總額接近5.9億美元，還超越了三星原本已經支付的3.99億美元。

事實上，雙方對設計專利之價值的看法落差很大，光是三星所侵犯的3項設計專利，蘋果即要求10億美元的賠償金，而三星卻認為最多只應賠償2.8億美元，這幾年來雙方於法院的攻防戰都只聚焦於這3項設計專利的賠償金額，涵蓋iPhone的矩形圓角外型，以及黑色螢幕上的彩色方格顯示介面。

在該判決出爐後，蘋果於聲明中表示該公司深信設計的價值，iPhone帶動了智慧型手機的革命而三星卻公然抄襲蘋果設計，此一訴訟案的重要性並非在於金錢，而在於保護蘋果的努力與創新。至於三星則說會考慮所有選項以取得不危及創意與公平競爭的結果。從三星的聲明來看，這起訴訟似乎尚未落幕。

臉書（Facebook）於周四（5/24）宣布，即日起美國地區的臉書與Instagram上的政治廣告將增列一「Paid for by」標籤，點擊後即可檢視廣告主身分與廣告資訊，同時也建立一資料庫，保留這些廣告資訊，且效期長達7年。

臉書表示，增進透明化將可提高臉書與廣告主的責任，未來要在美國臉書或Instagram平台上刊登政治廣告的廣告主都必須先經過身分及所在地的驗證。

當使用者點選政治廣告上的「Paid for by」標籤之後，即可檢視廣告主身分、廣告預算、已有多少次的曝光，以及受眾的年齡、地區與性別，也能藉由臉書所設立的政治廣告資料庫搜尋廣告主最近7年來於美國所刊登的政治廣告。

倘若使用者看到無標籤的政治廣告，即可向臉書舉報，由臉書負責審核，假使發現它違反了政治廣告政策，就會撤下該廣告，將它添至資料庫，並封鎖該廣告主直至對方完成驗證程序。

儘管「Paid for by」標籤是本周才上線，但臉書自5月7日就開始蒐集該站的政治廣告，並納入資料庫中。該資料庫將允許使用者檢視所有的政治廣告，其中有些可能根本未曾出現在自己的臉書或Instagram上，只因用戶並非該廣告的目標族群。

預計今年8月在美國舉辦的DEF CON CTF駭客搶旗攻防賽，臺灣首度有兩個隊伍參賽，因為CTF比賽的熱潮，IBM X-Force也首度在臺灣舉辦CTF比賽，並和愛爾蘭和臺灣Honeynet Project分會以及臺灣駭客協會策略合作，邀請全臺灣學生和資安專家們組隊參賽。

此次參與的17個隊伍中，除了有高中生、大學生組隊參賽，臺灣HITCON戰隊成員也組隊共襄盛舉外，更有警政署受邀，推出三隊參賽。警政署資訊室主任蘇清偉表示，警政署派員參賽除了體驗CTF的比賽氛圍之外，也是為了幫國家培育未來科技警察、因應未來犯罪偵辦所需的嘗試。

CTF比賽題目來自IBM X-Force企業弱點資料庫

協助臺灣IBM舉辦CTF比賽的專家之一，就是愛爾蘭IBM資安遊戲化與模擬技術長Jason Flood，也是愛爾蘭Honeynet Project創辦人。他表示，IBM CTF比賽曾經在美國、歐洲和拉丁美洲舉辦過，也和OWASP合作舉辦CTF競賽，比賽題目的類型來自於IBM X-Force的企業弱點資料庫，包括從網頁前端到後端的弱點，以及存在作業系統和各種軟體的漏洞。Jason Flood認為，從企業面臨的資安弱點出題，也可以觀察現場參賽的駭客高手從什麼樣的邏輯思考，如何解決企業的資安難題。

此外，他表示，物聯網安全也是現在重要的資安風險之一，現場也提供物聯網安全的Maker題，必須手動插上晶片後，才有辦法解題。此次的比賽題目內容，主要考驗參賽者的技能包括：逆向工程、漏洞分析、封包流量分析、加解密以及團隊合作的能力等。除了鼓勵使用各種開源的資安工具外，他也強調，對企業資安而言，「道德」是白帽駭客很重要的關鍵因素，在「有所為、有所不為」的前提下，一旦攻陷不能攻陷的伺服器，直接踢出比賽。

現場部署資安設備，模擬企業的資安攻防態勢

IBM全球首席資安架構師李承達指出，IBM舉辦的CTF比賽和其他業者或者社群舉辦的CTF不一樣之處在於，現場參加CTF比賽的參賽者，如同企業的滲透測試團隊甚至是紅隊測試團隊（Red Team），而IBM團隊也透過在現場同步部署IBM的企業資安產品，視覺化的呈現企業面臨的資安風險現況。他也說，這種視覺化資訊的呈現，現場可以提供給觀賽者參考，也是一種讓企業用戶看IBM如何展示其相關資安產品的實證。

李承達指出，從IBM部署的QRadar IPS的設備中，可以透過各式各樣的Log資訊，看到各個參賽團隊的各種攻擊手法，例如，各種可疑的來源IP帶來的風險有多大；緊接著，透過IBM QRadar的SIEM（資安事件日誌平臺），彙整各種資安設備的Log（登錄檔），呈現比賽現場（或是企業）面臨的攻防狀態。

最後，他也說，企業可以透過IBM Watson for Cyber Security這套資安分析工具，可以進行各種關聯式分析，自動畫出不同主機之間的關聯圖，藉由視覺化方式，企業更容易掌握資安風險所在。「透過這個Watson資安分析工具，一直看到有一臺參賽者電腦，一直連到某個惡意IP，才發現，原來這個參賽者的電腦竟然中毒了。」李承達說。

IBM CTF賽制類似King of The Hill，部分參賽隊伍認題目設計不夠嚴謹

由於這次IBM CTF設計的CTF比賽賽制類似「King of The Hill」的比賽形式，類似搶灘遊戲，以占領服務的時間多寡來決定分數高低，可以占領伺服器的服務時間越久，得分也越高。這也和現實世界的資安威脅一樣，如果駭客可以長時間占領企業的伺服器，對企業的威脅也就越高。但現場有多組參賽者表示，主辦單位出題設計不夠嚴謹，第一個取得VM控制權的隊伍，因為沒有設計其他可以翻盤的機制，其他隊伍就再也無法奪回控制權。多個參賽隊伍成員認為，現實的企業資安環境中，不論攻防雙方呈現多久的對峙狀態，都應該都還是會有其他方式再度取得企業主機的控制權，而不是只靠搶快，慢了一步之後，就永無翻身之地。

Netflix宣布開源其雲端閘道器Zuul 2，Netflix稱它為前門，所有流量請求必會經過該服務。Zuul 2作為Netflix最重要的基礎建設之一，現在Netflix內部運行超過80個Zuul 2叢集，向後端百項服務每秒發送一百萬次的請求，以服務1.25億會員的需求。

Zuul 2中，過濾器的前端與後端都設置了Netty處理程序，用來負責處理網路協定、網頁伺服器、連接管理以及代理工作。Netflix提到，Zuul的功能相當於在過濾器設置的邏輯。Netflix將Zuul 2不只使用在所有外部流量進入Netflix雲端服務的入口，而同時也用於路由內部流量。

負責處理入站流量的過濾器用於驗證、路由以及修飾請求。而端點過濾器用於回傳靜態回應以及代理後端服務的請求。而出站流量的過濾器則用於壓縮、指標或是新增刪除自訂義標頭等內容。

目前Zuul 2開源的核心功能包括HTTP/2與TLS伺服器協定。在靈活性功能方面，適應性重試功能（Adaptive Retries），是Netflix用來增加服務可用性以及靈活性的核心重試邏輯。後端服務並行保護功能，則可用來配置並行限制以避免後端服務過載。

另外，在運作的功能上，除了提供Request Passport以追蹤每一個請求的生命週期事件外，狀態類別（Status Categories）可以列舉請求的所有可能成功或失敗的狀態，而Request Attempts用於追蹤代理狀態，這個功能對於除錯重試以及路由特別有用。

還有一些功能這次未來得及開源，但將依計畫不久後釋出，其中包括Websocket/SSE，以及流量控管功能，防止來自惡意客戶端的DDoS攻擊，而Brownout filters則能禁用特定CPU資源密集的應用，以防止Zuul過載。最後，可配置路由提供使用者以檔案設定路由規則。

有幾項Zuul 2功能尚未開源，但是在Netflix內部服務是很重要的應用，供欲使用Zuul 2的企業參考。Netflix提到，合作夥伴最常使用的功能就是自助路由（Self Service Routing），他們為用戶提供應用程式與API，根據請求的URL、路徑、查詢參數或是標頭等資訊創建路由規則，並將這些規則發佈到各Zuul實體中。

另一個重要的功能便是靈活的負載平衡，Netflix致力於使負載平衡智慧化，當數量龐大的節點中，出現故障或是緩慢的節點，他們的演算法會自動繞過這些問題，維持服務的可用性以及品質。

由於Netflix的彈性架構，允許任何人都可以啟動容器叢集並置於Zuul之後，因此Netflix發現，他們需要一個自動檢測並查明後端錯誤的服務。透過Mantis即時事件串流，他們建立了異常狀態偵測，以匯總每項服務的錯誤率，並在服務出現問題時主動發出通知。