彭博上周引述消息人士報導臉書（Facebook）延攬Google自有晶片開發部門主管Shahriar Rabii，而從他的背景來看，臉書可能要開發用於自有硬體的晶片。

根據Rabii的LinkedIn專頁，他從今年7月加入臉書擔任副總裁暨晶片部門主管。而在此之前， 他在Google待了將近4年，最後職位為晶片工程部門主管， 產出的產品包括機器學習及影像用的Pixel Visual Core晶片、安全晶片Titan、以及一些影片處理技術等。 其他成果還包括用於Google手機、筆電、Google Home、Nest、AR/VR配件的核心技術的開發。

臉書與Google皆拒絕做出評論。

Google此時正在開發下一代Pixel手機。市場傳言新Pixel手機將會具有窄邊框大螢幕、相機規格也將更提高。

這項消息也印證了4月間媒體的猜測。當時臉書被發現刊出職缺，對外徵求ASIC開發部門經理， 此外該公司也正向具有AI ASIC及FPGA晶片開發晶片的工程師招手， 使得外界猜測臉書可能籌組晶片部門。

消息人士指出，Rabii將向臉書硬體部門最高主管Andrew Bosworth報告， 他可能會協助開發臉書現有及傳聞中的數項硬體產品，包括VR頭戴裝置Oculus及Building 8部門的智慧喇叭裝置Aloha、智慧眼鏡等。

此外臉書也可能計畫開發可過濾仇恨、血腥影片及假新聞的AI晶片。

臉書並不是第一次為了開發自有硬體產品而挖Google牆角。2016年臉書高調請來Google先進科技與專案部門（ATAP）主管Regina Dugan成立硬體部門，不過Dugan已在2017年底離職。

《The Information》上周報導，Amazon旗下雲服務部門Amazon Web Service (AWS)考慮要銷售企業用網路交換器設備，挑戰現有主流廠商思科、Juniper的地位。

AWS希望利用它在雲端服務市場超過4成的市佔優勢作為其銷售利基。報導指出，AWS的交換器將整合白牌硬體及開源軟體，再內建介接AWS運算及儲存雲服務的功能而成，而且價格比思科產品便宜70%-80%。AWS的交換器產品可能在18個月後問世。

消息傳來，不僅衝擊思科周五股價下挫5%，其他網路業者Juniper、Arista Network股價也下跌4%。Amazon及思科都未對此發表評論。

有分析師認為，AWS如果真的賣那麼低價，將對整體網路設備市場帶來不利影響。但Business Insider引述野村證券分析師指出，AWS對思科的影響並不如想像中得大。一來大型企業多半採用多雲策略，涵括AWS、Microsoft Azure、Google Cloud Platform或其他業者，需要能整合不同雲環境的產品。

此外，分析師相信，打入大型企業需要強大的售後服務部門，這並不是AWS的擅長。因此即使AWS真的要賣交換器，也會鎖定中小企業，而非思科、Juniper等業者經營的大型企業。

這也是Amazon為市場投下的最新一顆震撼彈。Amazon 6月底買下線上藥局Pillpack，正式進軍健康照護業已經嚇趴CVS、Walgreens等藥局通路股價。在此之前，這家電子商務大廠買下超市連鎖Whole Foods也讓整個實體零售流通業繃緊神經，進入備戰狀態。

Google於上周四（7/12）宣布，與資料整合軟體供應商Informatica合作，共同推出API管理和整合平臺Informatica Integration Cloud for Apigee，提供使用者能開發、管理和整合API，且允許用戶能更快利用部署在混合雲和多種雲端環境上的資料和應用程式。

Apigee是Google於2016年所併購的API管理平臺服務供應商，現在與Informatica合作，整合Google的API管理平臺Apigee Edge和Informatica整合雲端服務Integration Cloud，也就是在Apigee Edge平臺上，提供使用者Informatica的工具和服務。

Informatica Integration Cloud for Apigee平臺允許使用者能開發存取應用程式、資料和中繼資料（Metadata）的API，並能使用企業整合流程來協調資料服務和應用程式，且能直接在Apigee平臺上發布API。另外，該平臺也提供用戶以人工智慧（AI）技術為基礎的預測分析與建議服務Claire Engine。

（圖片來源／Google）

此外，Google也宣布，Apigee Edge平臺現在可以存取Google雲端服務，如雲端儲存服務Cloud Storage、雲端關聯式資料庫Cloud Spanner、資料串流擷取服務Cloud Pub/Sub等。同時，Google也與Informatica計畫，未來將整合更多Informatica的SaaS應用程式、託管資料庫服務等。

（圖片來源／Google）

Google大腦與MARCO倡議組織共同合作，以電腦視覺找出重要的蛋白質晶體加速新藥開發。雖然這些蛋白質的實驗配置以及成像都是自動化的，但是辨識蛋白質晶體的工作仍然落在人類身上，也由於這些蛋白質可能非常的稀少微小，人類辨識的正確率成為了蛋白質實驗的瓶頸，透過電腦的幫忙，可以更快更正確地找出這些蛋白質晶體。

MARCO倡議組織首席研究員Patrick Charbonneau表示，每次錯過的蛋白質結晶，都代表錯失重要生物醫學發現的可能性，因為這些結晶非常罕見。

由於蛋白質結晶是生物醫學，研究複雜生物分子結構的關鍵步驟，這些結構決定著分子的功能，科學家能用於開發新藥。但是這些蛋白質結晶很少見也很難找到，實驗室通常都會對每一種蛋白質進行上百次的實驗，配置以及成像的過程都是自動化的，但是發現單個結晶的過程卻需要透過目視過程，人為錯誤無可避免，不過這些錯誤卻可能錯失重要的生物醫學發現。

由於成像技術以及資料採集方法非常多種，晶體可能在很大的影像中顯得非常微小，這些因素都使得辨識工作變得困難。Google大腦與MARCO倡議組織研究人員合作，他們使用深度卷積網路架構，應用電腦視覺辨識蛋白質晶體，讓正確率高達94％。研究人員提到，現代深度卷積網路非常適合處理外觀極端變化的視覺圖像，他們修改了基本的Inception V3模型，使其能夠更快地處理更大的圖像。

MARCO倡議組織是數間製藥公司以及學術單位組成的研究計畫，目的在匯集和託管大型策畫的晶體學圖像，以幫助開發出更好的圖像分析工具，而Google大腦與MARCO合作的研究資料集，便是使用該組織內的50萬張標記圖像。為促進這領域的發展，他們決定釋出實驗資料集，並開源TensorFlow研究模型儲存庫。

學術界於ICRAC（International Committee for Robot Arms Control）網站發表公開信給Amazon以及美國政府，除了要求AWS即刻停止提供美國政府臉部辨識技術外，也要求科技公司應建立道德準則，來規範臉部辨識技術的應用。而微軟總裁兼首席法務長Brad Smith在自家部落格發文，除了敦促政府應該制定相關法令外，也提及科技公司有其道德責任維護人權。

公開信提到，人臉辨識技術嚴重影響公民隱私以及自由，即便是以最嚴謹的傳統監管方法，都無法消除該技術帶來的威脅，而Amazon有義務權衡其產品所使用的攝影機、臉部資料庫以及生物辨識資料等基礎設施，對於隱私以及人權造成的傷害。

信中開頭特別點名Amazon創辦人Jeffrey Bezos、AWS人工智慧總監Hassan Sawaf以及AWS人工智慧總經理Matt Wood三個人，要他們好好傾聽學術界的聲音，不要再說Amazon沒有收到Rekognition服務被執法濫用的報告。因為相對的，外界也沒有獲得足夠的證據證明，Rekognition服務沒有遭到濫用，而且也沒有系統紀錄，來防止Rekognition服務在非法歧視、侵犯人權、公民權或隱私權等領域被濫用。信中指出，Amazon有責任確保這類技術被販售時，在開發以及部署上，提供透明的問責制度。

聯署人來自資訊科技領域的教授以及研究人員，並聯合超過70個公民團體，與Amazon的員工站在同一陣線，即刻要求Amazon停止提供政府臉部辨識技術，並且取消與Palantir這類提供警方以及軍方，資料分析與人工智慧服務的中介公司合作。另外，還要求AWS應制定道德準則，嚴格禁止侵犯人民權利，並禁止技術被武器化與軍事化。

呼應這封公開信，微軟總裁兼首席法務長Brad Smith在7月13日發表了文章，討論了臉部辨識技術現存的問題，以及政府與企業需要補足的部分。他認為，臉部辨識技術有其優點，適當的應用可以幫助協尋走失的小孩、幫警方捉拿恐怖份子，甚至可以幫助盲人認識參與會議的人等。但是被濫用也會造成嚴重的問題，像是當政府未經許可紀錄國人旅行的地點，或是紀錄參與社運集會成員的身分，而日常一點的應用，可能是未經許可的收集消費習慣。

Brad Smith認為，雖然還不至於發生像是電影關鍵報告所演的情況，但是現在正處在邊緣的時刻。

目前人臉辨識技術處在不受監管的狀態，Brad Smith提到，美國是一個法治國家，政府需要在監管臉部辨識技術扮演重要的角色。當整個社會擔心這項技術被部署的狀況以及濫用的情形，他認為，政府應該主動介入管理這項技術。或許對於一間企業來說，要求政府主動監管一項技術不太尋常，但是Brad Smith提到，嚴謹且經過仔細研擬的監管方法，反而能為生產者與消費者帶來更健康的環境。

不過，政府的管理並無法免除科技公司的道德責任，Brad Smith話鋒一轉提到，整個科技業的發展，都應該與社會價值觀方向一致。有三點是科技公司現在應盡的義務，首先，企業有責任修正人臉辨識技術的辨識偏差，像是降低該技術對於女性或是有色人種的辨識錯誤率。第二，人臉辨識技術的開發及應用，應該制定道德原則並且採用開放透明的方法。最後，他提到，許多技術都要求快速大規模的部署，但是當社會對於人臉辨識技術存在擔憂時，反而應該放慢速度，確保人們的基本權利受到保障。

針對這個議題，紐約時報詢問了微軟發言人April Isenhower相關的問題，但是他拒絕回答微軟是否有向其他政府機關，提供人臉辨識的服務，也拒絕討論微軟對於消費者同意臉部辨識應用的立場。

在經過連續6年的衰退後，Gartner及IDC分別公佈報告，顯示Windows 10帶動企業換機，促使2018年第2季全球PC出貨終於出現首度正成長。

根據Gartner報告，今年第2季全球PC出貨共6,210萬台，較2017年同期成長1.4%，是自2012年衰退以來第一次出現正成長。Gartner分析師Mikako Kitagawa指出，PC市場回溫主要動能來自Windows 10帶動商用市場換機，這部份抵消了消費機種的持續低迷。個人及家庭用戶由於資訊設備使用習慣改變，以智慧型手機取代PC上網、購物、理財及管理日常排程，分析師認為仍會持續削減家用PC的需求。

Gartner分析師也警告，這次市場回溫稱不上是整個市場的復甦，等這波Windows 10 商用PC換機潮高峰消褪後，接下來二年PC市場可能又將陷入停滯，因此廠商必須設法延續這股買氣。

IDC同時發佈第二季的數據指出，上季全球PC出貨6,230萬台，比去年成長2.7%，也是2012年第一季4.2%的成長率以來最強勁的一季。IDC認為，延續前幾季，企業用戶擴大採購桌機和筆電為成長主因。值得注意的是，受到顯示卡貨源充足及價格漂亮原因所致，不論是平價的Chrome OS裝置、頂級筆電或電玩等級PC、全部表現亮眼。

兩家分析機構在前五大廠商排名意見略有不同。Gartner將聯想、HP以21.9%市佔並列第一，在IDC數據中，HP以23.9%為市場一哥，聯想則以22.1%居第二。但三到五名皆為Dell、蘋果及宏碁。

此外，Gartner及IDC的數據中，所有區域市場都較去年有所增長。其中美國從連續多季的低迷不振中隨同整體景氣復甦企業增加支出，反彈力道最大。亞洲市場方面，印度消費及商用PC銷售暢旺，但IDC指出，中國市場雖然表現超越預期，不過主要動力來自消費機種的促銷，當地中小企業及公部門需求仍然疲弱。

延宕許久的《資通安全管理法》（簡稱《資安法》）終於在今年5月11日立法院三讀過關，總統府也於6月6日正式公布該法。不過，《資安法》本身是一個提綱挈領的資安大原則，行政院資安處處長簡宏偉表示，有許多更細部的規範，則有賴6個子法進一步闡述說明。

對此，行政院資安處也在今年7月9日，正式對外公布包括：《資通安全管理法施行細則草案》、《資通安全責任等級分級辦法草案》、《資通安全事件通報及應變辦法草案》、《特定非公務機關資通安全維護計畫實施情形稽核辦法草案》、《資通安全情資分享辦法草案》以及《公務機關所屬人員資通安全事項獎懲辦法草案》等6個子法的草案內容，並依法對外預告60天。

簡宏偉指出，在預告的二個月內，也會在八月和九月同步舉辦多場座談會，如果各界對於子法有疑慮或建議，可以在公開的座談會中提出相關的看法外，也可以上國發會「眾開講」的平臺表達意見；在彙整各界意見後，則會將這6個資安法相關的子法，送交立法院備查。

《資安法》第23條規定，施行日期將由主管機關訂定，簡宏偉表示，依照子法預告以及規範適法機關所要面對的程序和作法，參照目前適法機關的準備時間，暫定將於2019年1月1日正式施行。

行政院資安處處長簡宏偉表示，資安法的6個子法終於在7月9日對外預告，對於條文內容有意見或想法的民眾，都可以在舉辦的座談會中提出看法，也可以直接到國發會「眾開講」的公共平臺表達意見。 （攝影／洪政偉）

根據母法資安法制定6大子法，資安處也會提供文件範本參考

《資安法》今年3月～5月時，舉辦二階段、共計14場座談會，也事先收集各界對於《資安法》及其6大子法的建議，而在7月9日，行政院針對6個資安法子法，進行為期60天的預告期間，也會在8月、9月陸續舉辦其他的座談會。

簡宏偉表示，除了持續蒐集各界對於資安法子法的建議外，還會針對公務機關以及特定非公務機關，舉辦到底該如何因應資安法規範的座談會，就是從實作面來看，希望讓這些適用資安法的機關單位，可以知道後續在適法性上有哪些文件要準備、哪些作為要執行，未來，行政院資安處也會準備相關的程序和相關文件範本，作為機關的參考。

簡宏偉表示，《資安管理法》就規定要明訂6個子法，而《資通安全管理法施行細則草案》主要是，針對資通安全維護計畫實施情形的稽核結果，提供相關的改善報告，包含委外和客製化系統的建置、維運和相關服務提供等，藉由稽核或其他適當的方式，確認受委託的業務執行狀況。

資安責任列公務員獎懲參考，「應做未做才罰」是核心精神

若以適用對象來看，資安法主要適用的對象，可以分成公務機關以及特定非公務機關，前者包含中央與地方政府以及公法人外，後者主要是以關鍵基礎設施提供者、公營事業以及政府捐助的財團法人為主；其中，針對公務機關所屬人員，也制定資通安全事項獎懲辦法，就是希望可以提升公務人員對於維護資訊安全的責任和意識。

至於對於罰則的部份，有許多公務人員認為，許多機關在沒人、沒錢甚至長官不支持的前提下，將資安落實與否列為公務人員獎懲的範圍，其實並不妥當，也無法收到正面效果。

簡宏偉則重申，「應做未做的部份才會處罰，」並不是有出事、發生事情就會處罰，他認為，主管機關如果只會一昧指責、懲處這樣的作法，對於提升適法機關的資安意識與強化資安相關的作為，並沒有幫助。而人事總處也表示，未來這些資安相關的指標，都只是公務人員獎懲的參考之一，也降低公務人員的憂心。

資安事件通報依情節輕重，分成第一級～第四級

另外，機關落實資安法也可以分成「事前」、「事中」和「事後」有不同因應措施，並制定相對應的資安法子法作為應變的參考基準。

簡宏偉表示，在「事前」，所有的適法機關一定要制定的規範，除了資安法施行細則中，針對公務機關以及特定非公務機關要求一定要制定的「資通安全維護計畫」之外，就是針對如何訂定通報應變機制而制定的《資通安全事件通報及應變辦法草案》。

目前資通安全事件分成四級，依照事情的嚴重性，從輕到重，分別是第一級到第四級。第一級和第二級主要是非核心業務資訊系統，依照洩漏程度分輕重，這也是目前政府部門最常面對到的資安事件種類；第三級和第四級則通常會涉及到，核心業務資訊系統有沒有遭到輕微或嚴重的資訊洩漏，輕微者列為第三級，嚴重者列為第四級。以去年度政府遭遇到的資安事件種類來看，政府機關還沒有遭遇到第四級、最嚴重的資安事件。

資安事件的通報應變方式，一定都必須在「事前」完成規畫與制定，一旦「事中」遇到第一級～第四級的資安事件時，才能夠依照相關的通報應變辦法進行通報。

資通安全事件分級一覽表

公務以及特定非公務機關發生資通安全事件，依照情節輕重分成第一級到第四級，如果是非核心業務資訊遭到洩漏，通常列為最輕微的第一級或第二級資安事件，這也是政府部門最常發生的資安事件類型；如果是核心業務資訊遭到外洩，輕微者列為第三級資安事件，嚴重者是第四級資安事件。去年政府還沒發生第四級資安事件。

資料來源：行政院資安處，2018年7月

公務機關資安事件通報應變流程

公務機關如果發生資安事件，必須要在1小時內通報上級監督機關以及主管機關，資安事件等級重大者，必須在36小內；非重大者，則在72小時內，完成損害控制與復原狀況

資料來源：行政院資安處，2018年7月

《資通安全管理法》演進歷程

 2015年5月21日 

資通安全管理法草案提出（由資通安全辦公室召開資通安全管理法草案專家座談會）

 2016年8月1日 

行政院資通安全處成立（取代資安辦，成為政院資安專責機構，首任處長為簡宏偉）

 2016年8月31日 

行政院資安處完成資安管理法草案初稿（9月將舉辦了6場法案座談會，並上網徵求全民意見）

 2017年4月27日 

行政院版的資通安全管理法草案通過（送請立法院審議）

 2017年11月6日 

立法院司法及法制委員會審查資通安全法草案（共有行政院、時代力量黨團、親民黨團、民進黨立委陳亭妃、余宛如、國民黨立委許毓仁等6個版本）

 2018年5月11日 

資通安全管理法完成立院三讀（六月中旬總統正式公布，正式施行日期由行政院另定）

 2018年6月6日 

總統府公布資通安全管理法

 2018年7月9日 

行政院預告《資通安全管理法施行細則草案》、《資通安全責任等級分級辦法草案》、《資通安全事件通報及應變辦法草案》、《特定非公務機關資通安全維護計畫實施情形稽核辦法草案》、《資通安全情資分享辦法草案》以及《公務機關所屬人員資通安全事項獎懲辦法草案》等6個子法草案內容

 2018年8月～9月 

舉辦多場座談會

 2018年9月6日 

資安法6個子法草案預告期滿，文字條文修正後，送立法院備查

 2018年10月 

資安責任等級主管機關備查

 2019年1月1日 

暫定資安法管理正式施行

資料來源：行政院資安處，iTh­ome整理，2018年7月

 相關報導  資安法六大子法草案出爐：翻新責任分級架構，全套法遵執行要求曝光

 相關報導  資安法立院三讀通過

資安法6大子法當中，除了有施行細則補足資安法本身規範或說明不足之處外，最重要的子法應該就是「資通安全責任等級分級辦法」，分成A、B、C、D、E總共5個等級，依照業務機密程度以及牽涉民眾範圍而制定相關的標準。這也是面對資安事件時，「事前」應該完成的任務目標之一。

資安責任分成A級到E級總共5級，首度列出不納管單位

行政院資安處指出，像是健保署、財政資訊中心或者是內政部等這幾個單位或部會，業務與資訊系統牽涉全國民眾，重要性勢必得提升，所以直接列為A級機關。但是，目前所有的機關分級，還是需要進行後續的評估以及公告程序，這三個例子則是目前，少數已經可以很明確確定業務與資訊系統重要性的單位。

行政院資安處處長簡宏偉也說，簡單的概念來看A、B、C、D、E級機關，事涉全國性的業務或系統，大致可以列為A級機關；如果是跨縣市的區域性業務或系統，則可以列為B級機關；若是單一縣市提供的業務或系統，可以列為C級機關；如果是有提供資訊相關業務或服務，但相關的系統都由上級或是主管、監管機關代為管理的話，就是D級機關。

他強調，現在政府也針對各級機關有做業務重要性的分級，但目前只有列為A、B、C、D等四級，不過，在針對資安責任等級的分級時，其實會發現，還是有一些單位並沒有提供相關的資訊服務，相關的資訊系統也都委由上級或主管、監管機關代勞的情況下，就不需要一定要求這樣的業務單位，承擔所謂的資通安全責任，便首度規範了一個E級機關，就是不納管「不具備任何資安責任」的單位，納入資安責任等級的分級制度中。

但簡宏偉指出，未來這些機關資通安全責任等級，除了會由機關單位自行評估重要性外，也會加入主管機關、上級機關或監督機關的看法，最後進行統一公告。這次制定責任等級的過程中，因為等級的規定不同於現有的規定，如何制定一個有彈性又符合現況需求的責任等級分級標準，對於主管機關行政院而言，的確是一大考驗。

資安責任等級分5級，A～C級都得2年內取得臺版CNS 27001認證

在資安法6大子法中，簡宏偉認為，最重要的子法，除了資安法施行細則之外，就是「資通安全責任等級分級辦法草案」最重要，因為，機關的資安責任等級一旦分錯，對於防護的強度就立即減弱，就可能對機關組織，帶來立即性的資料外洩，或遭到針對性APT攻擊的威脅。

若從資安責任等級中所規定的應辦事項來看，不論是公務機關或者是特定非公務機關，A級到C級機關的資安管理，都必須同時著重管理面與技術面，差別會因為等級高低的不同，而有管理強度的不同。

以A級公務機關應辦事項為例，條文中要求，當機關初次核定或等級變更後的一年內，必須依照機密性、完整性、可用性以及法律遵循性等四個構面，針對防護等級高、中、低的差別，確保相關資通系統防護需求的分級原則；而在定義相關的防護需求等級時，都以等級需求最高者為主要的等級標準。

從條文中也規定，不論是A級、B級和C級的公務或是特定非公務機關，都必須要在2年內取得臺版CNS 27001或是ISO 27001的資安認證；同時，針對A級～C級公務機關，也強制要求配置4人、2人和1人的資安專職人員。

簡宏偉表示，政府可以強制機關投入某類資源，例如人力，放在資安領域上，但政府無法強迫非公務機關也必須如法炮製，仍須尊重非公務機關對於營運的自主性。

在技術面上，包括防毒軟體、網路防火牆以及郵件過濾機制等，是從A級到D級機關，共有的資安防護設備，保持定期的軟硬體更新則是落實資安防護的基本功。另外，資安教育訓練則是不管哪一個等級都必須具備的基本防護概念，A級～C級機關有專職的資安人員，每年都必須接受12小時以上的資安專業訓練，但若是一般的使用者或是主管，則必須要接受3小時的資安教育訓練。

透過稽核方式，強化對特定非公務機關監督管理之責

不論是公務機關或是特定非公務機關，「事前」都必須根據資安法施行細則來制定資安維護計畫，但後續相關的適法機關，就必須針對這份資安維護計畫，提出各自的施行狀況；並由主管機關、上級機關、監督機關或者是中央目的事業主管機關，針對該份計畫的執行程度，進行後續的稽核。簡宏偉認為，「事中」稽核最重要的目的，除了要確認整體計畫執行的符合程度，也可以提出「事後」相關的改善計畫。

他表示，公務機關只需要透過行政命令的方式，就可以進行相關稽核的要求與規範，「依法行政」是公務機關的本質；但對於特定非公務機關而言，為了不侵犯其相關的權力，一旦有任何的要求時，都必須制定相對應的法令才行。

為了強化主管機關對於特定非公務機關的監督與管理，也希望要協助這些特定非公務機關，可以及時發現資安維護計畫執行時的缺失，並適時進行修正。因此，行政院便透過制定《特定非公務機關資通安全維護計畫實施情形稽核辦法草案》，以現場實地查核的方式，稽核上述單位其資通安全維護計畫實施情況；一旦有發現缺失，受稽核機關也應該在指定時間內提出事後的改善報告；主管機關也可以要求受稽核機關在必要時，於指定時間內進行說明或調整。

資安情資分享應該避免營業秘密等資料外洩

事前針對《資通安全事件通報級應變辦法草案》制定通報應變機制後，一旦事中爆發任何資安事件，就可以依照規範進行通報。

不過，這些資安事件所產生的情資，如果可以善加利用，不論是對上級機關或者是平行或是下級機關，甚至是產業或是其他國際合作等，都可能帶來加乘的效果。

曾經有資安專家邱銘彰（網路暱稱鳥人）表示，臺灣長期作為許多網軍練兵的場所，遭受到的各種惡意程式攻擊，反而成為臺灣最珍貴的天然資源，都有助於臺灣資安產業未來進一步的發展。

因此，簡宏偉認為，不論是各種惡意程式或是漏洞通報等資訊，都是寶貴的資安情資，可以針對不同機關之間甚至是國際間進行情資交換合作，不僅有助於資安事件的現前預防和事中處理，甚至對於事後鑑識都可以發揮重要的關鍵效益。

但他也強調，所有的資安情資分享的過程中，都必須避免各種營業秘密、個資或隱私資料的外洩事件，也必須確保所分享的資安情資，不會在未經授權的前提下，遭到不當存取、外洩或竄改。

資安治理逐步向上集中，以資安成熟度作為評量標準

資安法這6個子法，補足資安法母法更多的細節，提供更多明確可以執行的參考步驟與方法。但是，要完全參照這6個資安法子法的規範，逐步完成所有應該準備的文件和程序，也並不是一件容易的事情。

簡宏偉認為，所有公務與特定非公務機關面對時間規畫的待辦任務，可以從IT盤點、制定資通安全維護計畫、制定通報級應變辦法以及提報機關資安責任等級著手。

尤其是，資安治理的目標就是希望可以逐步將資安業務做到向上集中，簡宏偉指出，透過分級分類的概念，讓沒有人沒有錢的單位，可以慢慢將資訊、資安業務向上一級單位集中。

若從資安責任等級的公務和非公務機關的應辦事項來看，A級、B級和C級機關，資安管理都必須兼顧管理面、技術面以及相關的教育訓練，但D級機關，只需要做到技術面與認知與訓練的面向即可。

至於機關資安責任等級分級問題，簡宏偉建議，目前要做到IT盤點外，也必須定義核心業務，再來找出核心系統，以及進行營運衝擊分析（BIA）以及風險評鑑（RA)，定義可以接受的風險後，就可以訂出機關的資安責任等級。

目前中央部會加上地方政府以及5院加上總統府，將近有70個機關單位，一般而言，上級加上中央目的事業主管機關通常會有表較多的資安資源，包括資安專責人力等。但以目前子法的規範，A級機關會有4個資安專職人力，B級機關會有2名資安專職人力，C級機關會有1個資安專責人力；至於特定非公務機關，因為要尊重公司營運的權力，並不強制規範是否要設置多少名資安人力。

「資安責任等級的訂定是最重要的，」簡宏偉說，未來相關稽核的目的不一樣，以前是偏重政策宣導性，以及管理面與技術；但未來，偏重資安治理，資安維護計畫強調的是完整性，基礎的運作是否符合維護計畫的規範，有法規遵循的概念在內，至少要做到依法行政、依法處理；另外也要針對資安維護計畫，要提出改善報告和相關的矯正措施。

在相關的資安人才培育上，可以參考「資安產業發展行動計畫」，但簡宏偉認為，臺灣資安發展現況，更適合用「資安成熟度」作為衡量的標準。其他的，對於資安產業的發展，他認為應該要看資安產業帶來的擴散效益，包括政府部門和特定非公務機關的關鍵基礎設施服務提供者等。

在2016年創造的資安產業產值大約3百多億元，如何產生「外溢效應」，從政府部門本身，外溢到關鍵基礎設施，再外溢到140萬家中小企業、2千家電商等，例如，可以透過產業一起進行團購資安服務等，都是可以參考的手段。

特定非公務機關資安事件通報應變流程

特定非公務機關一旦爆發資安事件，處理步驟和公務機關一樣，必須要1小時內，依照主管機關指定的方式，進行資安事件通報；如果是第一級或是第二級資安事件，主管機關在接獲通報8小時內進行資安事件等級的審核；若是第三級或是第四級資安事件，則必須在接獲通報2小時內完成。

資料來源：行政院資安處，2018年7月

資安情資分享方式一覽表

包括惡意程式或是系統漏洞，都是重要的資安情資，有效的情資分享可以做到事前預防，對於事中的事件處理，以及事後資安鑑識也都有幫助。但在情資分享時需注意，設計營業秘密或個資、隱私議題，原則不得分享；但如果法令有規定，或經當事人同意、去識別化後，例外就可以分享。

資料來源：行政院資安處，2018年7月

 相關報導  資安法六大子法草案出爐：翻新責任分級架構，全套法遵執行要求曝光

 相關報導  資安法立院三讀通過

總統府在今年6月6日正式公布《資通安全管理法》後，行政院資安處快馬加鞭，在7月9日對外預告包括《資通安全管理法施行細則草案》等6個子法草案，依法預告60天，未來包括公務機關以及特定公務機關對於該法的適用，將有更明確的作法外，資安處也會公布相關範本

面對人臉辨識技術帶來的隱私爭議，微軟總裁暨法務長Brad Smith上周五（7/13）指出，一家公司主動要求政府規範其產品並不常見，但所有的工具都有正反兩面，人臉辨識技術帶來了攸關隱私或言論自由等基本人權保護的核心問題，這些問題增加了建立這些產品的科技公司責任，因此呼籲政府應該對此訂定規則，同時發展可接受的使用範圍。

今年5月，美國公民自由聯盟（American Civil Liberties Union，ACLU）與民權組織聲稱Amazon已正式進入監控業務，發展強大且危險的Rekognition人臉辨識系統，以協助美國政府單立即時辨識、追蹤與分析民眾，侵犯了公民的自由與權利；隔月Amazon股東即要求Amazon停止開發與行銷Rekognition。

Smith說，人臉辨識技術在過去10年來進步神速，例如臉書或其它社交網路平台能在一張照片中標示某個人臉並提供名字的建議，且包括微軟等科技公司在內都已利用該技術將照片分類，它能利用雲端連結暨有照片的資料庫與人臉辨識技術，即時辨識由攝影機所捕捉的人臉，以用來協尋失蹤兒童或找出恐怖份子。

然而，微軟顧慮的是，想像一個政府在未經民眾同意就追蹤居民在過去一個月的行蹤，或是有一個資料庫存放了所有參加某個政治集會的民眾資料，也許是在購物中心中以人臉辨識系統分析與分享每個買家在商店內的購物行為，

這些原本隸屬於科幻小說或電影的情節即將成真。

包括Google、Amazon與Salesforce員工都曾要求所屬企業解除與政府的影像或人臉辨識技術的合作協議，但與其由企業決定，Smith認為，唯一能夠管理政府使用人臉辨識技術的有效方法即是由政府自己主動管理其用途，由政府規範人臉辨識技術的正當使用。

這些規範可能涵蓋了執法機構使用人臉辨識技術時應否受到監督？有哪些法律措施能夠避免人臉辨識侵犯民眾權利？是否應要求零售商在公共空間使用人臉辨識技術時張貼醒目的通知？是否應確保民眾有權利知道自己的照片已被蒐集而且可供辨識？

另一方面，Smith也建議企業應建立自己的道德責任，確保人臉辨識技術是個以人類為中心且符合社會價值，包括降低人臉辨識技術中所存在的偏見，在人臉辨識技術的開發與應用必須是透明且有原則的，以及放慢全面部署該技術的腳步，以避免危害人權。

ACLU旋即在同一天呼應了Smith的論點，督促國會應立即採取行動禁止政府暫停使用人臉辨識技術，因它尚未經過充份的辯論，也未得到明確授權。

美國商務部上周五（7/13）宣布，在中興支付了10億美元罰款與4億美元的保證金之後，已正式解除了對中興的出口禁令，中興除了證實此事之外，也公布了今年1到6月的業績預告，估計今年上半年的虧損金額介於70億元~90億元人民幣（約10.5億美元~13.5億美元），獲利比去年同期下滑超過400%，顯示出該禁令對中興的衝擊之大。

美國商務部旗下的工業及安全局（Bureau of Industry and Security，BIS）是在今年的4月15日將中興納入《禁止出口人員清單》，禁止美國業者出售商品予中興，當時中興即稱此一禁令將嚴重危及該公司的生存。

根據中興的半年度業績報告，自今年1月到6月底，估計該公司虧損了70億至90億元人民幣，相較於去年同期的22.9億元人民幣（約3.4億美元）的獲利，下滑了405.29%~492.52%。中興也說明業績的巨大變動源自於禁售令所造成的經營損失，以及支付給美國政府的10億美元罰款。

為了減輕外界對中興可能危害美國安全的疑慮，美國商務部長Wilbur Ross表示，儘管解除了對中興的禁令，但該部門仍會密切監控中興的行為以確保該公司遵循美國的法令與規定；緩刑中的禁令、4億美元的保證金，以及由商務部遴選的合規團隊等3個連動因素將讓商務部得以保障美國的國家安全。

美國司法部在上周起訴了12名俄羅斯情報局官員，指控他們在2016年的美國大選前針對候選人希拉蕊（Hillary Clinton）陣營展開網路攻擊，企圖干預美國總統大選，起訴書中也透露了這群駭客使用了諸如比特幣等加密貨幣來租賃伺服器或網域名稱等駭客設備，企圖隱藏身分，卻依然被識破。

這12名俄羅斯人都是俄羅斯軍事外交情報部門的官員，分別隸屬於Unit 26165與Unit 74455兩大單位。Unit 26165在2016年開始針對希拉蕊陣營發動魚叉式網釣攻擊，取得該陣營員工的憑證以竊取電子郵件內容或駭進其它電腦，且包括民主黨國會競選委員會（DCCC）與民主黨全國委員會（DNC）都受駭。

隨後Unit 26165與Unit 74455註冊DCLeaks.com網站以發表所竊來的電子郵件內容與文件，宣稱這些資料來自於「美國駭客主義者」，再以偽造的Twitter及臉書帳號推廣該站，另外還虛構了代號為Guccifer 2.0羅馬尼亞駭客，打算魚目混珠。

為了避免自己的行徑遭到追蹤，俄羅斯駭客使用了全球的電腦網路，並以挖擴取得的加密貨幣來支付各種費用，包括用加密貨幣來購買帳號、伺服器與網域名稱等，以遮掩資金來源。

調查發現，駭客利用挖礦行動所獲得的比特幣來註冊DCLeaks.com，同樣的資金也被用來添購魚叉式網釣攻擊所需的伺服器及網域名稱。

儘管加密貨幣理論上能夠維持使用者的匿名性，在交易時完全不必揭露個人資訊，然而加密錢包的位址卻會曝露在公開帳本上，因此只要該位址曾與可辨識使用者身分的任何資訊連結，匿名性即會蕩然無存。

在此一案例中，俄羅斯駭客所使用的比特幣錢包所連結的電子郵件帳號除了被用來購買VPN服務之外，也被用來登入Guccifer 2的Twitter服務，而該錢包亦被用來租賃位於馬來西亞、用來代管DCLeaks.com的伺服器。

該調查是由美國司法部所指派的特別檢察官Robert Mueller負責執行，今年初Mueller辦公室即曾指控13名俄羅斯人企圖操作社交網路輿論干預美國政治，不過，指控歸指控，這些俄羅斯人據信仍在俄羅斯逍遙。

近期微軟公有雲服務的網路功能不少新服務上架，包含Azure網路流量分析、服務連線監控功能都陸續正式推出，而在近日，該公司開始加強軟體定義網路功能布局，一次推出了Azure Virtual WAN及Azure防火牆這兩個新公開預覽版功能。

微軟Azure網路部門公司副總裁Yousef Khalidi表示，當今軟體定義網路、SDWAN發展趨勢，讓企業可以加強各地的分支辦公室的網路使用經驗，不過隨之而來的挑戰就是，如何一併管理這些分支網路，並且大規模部署統一的資安、網路管理政策。因此，微軟這次釋出的兩個新服務，互相輔助，透過Azure Virtual WAN簡化大規模網路部署，並且搭配Azure防火牆實行統一管理政策。

首先是Azure Virtual WAN，使用該公司雲端服務的企業，可以利用此功能，連接企業各分點的SDWAN、VPN設備，簡化設備組態管理，也讓連線功能更為自動化。企業可以選擇離分點最近的Azure公開區域，建立Virtual WAN及Virtual Hub。未來該辦公室與其他分支或Azure虛擬網路連接時，就能透過Virtual Hub作為中繼點。再者為連線自動化功能，利用企業自有客戶端設備作為SD-WAN Controller或VPN裝置，讓分點辦公室的網路建置、組態管理及連線設定可以變得更為自動化。

微軟表示，該公司目前在全球共有設置超過130個網路連接點（Points of Presence），根據辦公室所在位置，Azure Virtual WAN將其網路與最近的連結點串接。現在微軟此服務的生態系夥伴分別有Citrix及Riverbed，該公司表示，未來還有更多提供SDWAN、VPN服務的廠商要加入，下一波名單是Checkpoint、Nuage、Palo Alto Networks等。

而另外一個新預覽服務Azure防火牆，以Azure虛擬網路資源為基礎，提供狀態防火牆（Stateful native firewall）的防護功能，同時也內建高可用性、自動擴充服務。利用該服務，使用者可以利用連線管理政策，過濾應用程式及網路流量。

而Azure防火牆的公開預覽版功能，先瞄準了網路流量過濾、監控功能。第一個新功能是完整網域名稱（Fully Qualified Domain Name，FQDN）過濾功能，利用企業用戶的FQDN名單，限制外部網路的HTTP、HTTPS流量進入企業內部。再者是過濾規則設定功能，在該選單中，網路管理員可以利用目的地位址、Port及協定，作為過濾條件。同時，Azure防火牆也與Azure監控功能整合，系統會記錄允許進入、被阻擋進入流量事件，整合成Log紀錄後，使用者可以與Azure儲存帳戶串接，封存這些資料，做為日後分析使用。

此外，該防火牆服務也與Azure其他的雲端服務進行串接。第一個是網路安全性群組（Network Security Group，NSG），此功能可在虛擬網路環境過濾網路流量，而微軟認為，聯合NSG搭配Azure防火牆，可讓虛擬網路環境變得更加安全。再者，Azure防火牆也與該公雲的DDoS防禦服務整合，當企業遭受DDoS攻擊時，可利用Azure提供的網路作為緩衝，避免影響企業服務的可用性。

企業可以選擇離分點最近的Azure公開區域，建立Virtual WAN及Virtual Hub。未來該辦公室與其他分支或Azure虛擬網路連接時，就能透過Virtual Hub作為中繼點。圖片來源：微軟

微軟舉例，在Virtual WAN使用選單中，根據企業分支據點所在地，系統會自行顯示最接近該地的連接入口，藉以提升企業網路使用品質的體驗。圖片來源：微軟

Azure防火牆也是一個新服務亮點，以Azure虛擬網路資源為基礎，提供狀態防火牆（Stateful native firewall）的防護功能，同時也內建高可用性、自動擴充服務。利用該服務，使用者可以利用連線管理政策，過濾應用程式及網路流量。圖片來源：微軟

 在Azure防火牆的過濾規則設定功的選單中，網路管理員可以利用目的地位址、Port及協定，作為過濾條件。圖片來源：微軟

Azure防火牆也與Azure監控功能整合，系統會記錄允許進入、被阻擋進入流量事件，整合成Log紀錄後，使用者可以與Azure儲存帳戶串接，封存這些資料，做為日後分析使用。圖片來源：微軟

企業IT營運穩定度已經是個產業都必須重視的議題，而近日IBM雲端資料庫服務Db2 on Cloud，就新增了災難復原功能，讓企業用戶可以在雲端環境中，部署隨需使用的災難復原節點，作為內部資料中心的備援架構。萬一發生了天災等事件，使用者可以馬上執行故障轉移的任務，將工作負載搬遷到備援節點上運作，確保服務不受影響。

因應這個新災難復原功能，IBM有推出一組專門的API，專門用於高可用性、災難復原情境，加速任務的自動化程度。IBM表示，先前雲端Db2資料庫服務僅有高可用性功能，會提供隨時在旁待命的節點，在同一資料中心內，持續同步備份主要伺服器的資料。而現在搭配此新功能，「使用者可以隨需建立災難復原節點，無論主要伺服器是否具備高可用性節點。」

該公司點出，如果企業只有建立高可用性架構，萬一發生火災、風災等天災，伺服器的連線可能暫時中斷，導致資料遺失，IBM認為，結合災難復原，將資料分散在各區域資料中心，才能確保其數據安全性。

在Db2災難復原節點選單中，使用者只需用滑鼠點擊操作，就能替主要伺服器建立災難復原節點。藉此，企業能將資料分散在各區域資料中心，確保其數據安全性，達到分散風險的目的。圖片來源：IBM

兩名美國參議員Edward Markey與Richard Blumenthal在上周發表了公開信，要求美國聯邦交易委員會（FTC）應深入調查坊間智慧電視擅自追蹤及蒐集用戶資料的隱私侵犯行為。

公開信中指出，有許多連網的智慧電視配備複雜的技術，能夠追蹤使用者所觀賞的內容，並利用這些資訊來建立用戶檔案以遞送目標式廣告；然而，用戶也許不知道自己的收視習慣已被紀錄。

其中一個例子是專為智慧電視或機上盒提供內容建議與收視追蹤的Samba TV軟體。Samba TV雖然允許用戶退出追蹤服務，但卻沒有提供可供用戶決策的充份資訊，如在推動消費者選擇Samba TV的互動電視服務時，只說選用該服務能獲得獨家內容與優惠，卻未詳細說明該服務所蒐集的使用資訊，及是否會將相關資訊用於遞送目標式廣告。

儘管不論是有線電視或衛星電視服務的資料蒐集業者都受到法令規範，必須明白揭露它們的資料蒐集與使用行為，但基於網路的資料蒐集業者或智慧電視並未受到同樣的規範。

Markey與Blumenthal認為，智慧電視迎來了創新與互動的新時代，但不能以犧牲消費者隱私為代價。消費者所觀賞的內容屬於隱私，不應假設消費者想要業者追蹤及使用他們的收視習慣資訊，因此要求FTC深入調查。

隨著智慧電視的普及，可能危及消費者隱私的案例也愈來愈多。2016年時，三星智慧電視的語音命令功能即引發了監聽的疑慮，因為該電視的語音辨識系統會紀錄使用者所說出的文字，並將它們上傳至第三方業者以進行分析及處理，電子前線基金會（EFF）質疑該功能將可監聽使用者所說出的任何個人或敏感的內容。

去年智慧電視製造商Vizio亦曾因暗中蒐集1,100萬名美國消費者的收視資料而遭到控告，最後Vizio同意以220萬美元與FTC和解。

GitHub上周四（7/12）宣布，將把原本只用來追蹤Ruby與JavaScript套件之安全漏洞的安全通知服務擴充到Python。

GitHub的安全通知是從相依關係圖所衍生的服務，在相依關係圖中可看出用戶專案與其它套件的相依關係，一旦某個專案所仰賴的套件含有安全漏洞，GitHub即會送出安全通知，根據估計，該站超過75%的專案都具備相依性。

去年11月，GitHub率先針對以JavaScript及Ruby撰寫的專案提供安全通知，迄今已辨識出數百萬個漏洞，亦催促開發人員修補，現在Python用戶也能存取相依關係圖，並在其軟體儲存庫所仰賴的套件出現安全漏洞時送出通知。

初期該服務將以較新的Python漏洞為主，之後即會在漏洞資料庫中補上更久遠的Python漏洞。

公開的軟體儲存庫可自動取得相依關係圖與安全通知，私有儲存庫則必須手動設定，除了管理員理所當然地會收到通知外，管理員也能新增其它可接收安全通知的成員。

 Kroger    自駕車送貨  

無人車送貨即將在美上路，美國連鎖超市Kroger將以自駕車幫顧客送貨到家門前

美國知名連鎖超市Kroger日前與加州矽谷的自駕車公司Nuro宣布合作，將以無人自駕車提供商品送貨服務。Nuro是由兩名前Google自駕車專案（現為Waymo）的首席工程師於2016年成立的自駕車新創。Nuro推出的送貨無人車，外型和Goolgle自製無人車很像，小巧可愛的車型，左右側門能和餐車一樣完全開啟裝入各種物品。Kroger以自家ClickList訂購系統整合Nuro的小型自駕車，顧客可藉由Nuro的App來訂購，自駕車收到商品訂單後就會能自動將物品送到顧客家門前，不用出門就能補充日常必需品。Kroger初期可能選定加州或亞利桑那州的超市，並將於今年秋天展開測試。（詳全文）

 百度   自駕巴士  

百度自駕車將於日本上路，明年還要推自駕巴士載客服務

中國搜尋龍頭百度日前在北京AI開發者大會宣布，將與日本軟銀旗下的自動駕駛公司SB Drive合作，於日本道路展開自動駕駛巴士上路測試，預計明年將推出自駕公車載客服務。這輛百度自駕巴士搭載百度Apollo自駕車系統，最多可載14人，初期將於東京或其他城市的特定區域，如觀光景點、公園或工業園區等來提供接駁。百度也與中國巴士製造商金龍合作，開始小規模量產自駕巴士，可望今年底前於北京、深圳、平潭、武漢等城市展開試營運。（詳全文）

 邊緣運算   微軟  

搶攻邊緣運算商機，微軟Azure IoT Edge終於推出正式版

微軟日前宣布於去年底公開預覽的Azure IoT Edge邊緣運算服務已邁入了正式版，可將IoT的雲端分析、應用移到邊緣裝置，讓企業可以更彈性開發邊緣應用。正式版的Azure IoT Edge也支援相容於Docker的Moby容器管理系統，還深入整合了Device Provisioning Service，能夠安全地配置數萬個裝置，另有可用來保護邊緣裝置及其元件的Azure IoT Edge安全管理員，而透過自動裝置管理（ADM）平臺則可依據裝置的元資料將IoT Edge模組大規模部署至裝置上。Azure IoT Edge亦支援了C#、C、Node.js、Python與Java等程式語言。微軟也同時透過GitHub開源Azure IoT Edge。 （詳全文）

 無線網路   Wi-Fi聯盟  

無線通訊安全大升級！新一代WPA3加密標準正式出爐

Wi-Fi聯盟日前正式公布最新版Wi-Fi通訊加密標準WPA 3（Wi-Fi Protected Access），宣稱採用更安全的驗證，以及強度更高的加密技術。與前一版相距14年才公布的新版WAP3是在前代WAP2基礎上增加新功能以強化Wi-Fi安全，並分成個人版及企業版。WPA3個人版以對等實體同步驗證（SAE）標準取代之前使用的PSK金鑰驗證權限，更能抵禦離線字典攻擊，防止駭客破解密碼。WPA3企業版則升級加密協定（GCMP-256）、密碼金鑰產出（HMAC-SHA384）、金鑰驗證演算法及訊息安全協定（BIP-GMAC-256），並支援192-bit加密模式，也簡化連網技術讓智慧鎖、智慧燈泡等裝置更容易連網。採用WPA3標準的硬體則將於2019年下半年推出。 （詳全文）

 谷歌    物聯網平臺  

Google釋出Android Things客戶端函式庫，要讓Cloud IoT Core服務使用更容易

日前，Google於官方部落格宣布將替自家物聯網裝置作業系統Android Things釋出客戶端函式庫，讓開發者想要透過Android Things裝置使用Cloud IoT Core服務更容易。Cloud IoT Core是Google雲端平臺推出的物聯網託管服務，可用來連接、管理以及提取來自全球數百萬分散裝置的資料，Google表示，透過新的函式庫，只要幾行程式碼，就可以讓裝置輕鬆連接到IoT Core MQTT橋接器，進行驗證裝置、部署裝置遙測、狀態和訂閱配置更新，並且還強化偵錯、快取以及重新發送等動作，也支援物聯網裝置在極端環境的運作。（詳全文）

無人機   英特爾 &T  

用無人機編隊排出美國國旗！英特爾出動5百架無人機在美國慶日演出

從1777年開始，美國人就開始釋放煙火來慶祝國慶，但今年格外不同，為了慶祝7月4日美國獨立紀念日，英特爾在當天出動500架無人機，在美國特拉維斯空軍基地上演燈光秀，取代釋放高空煙火的傳統。雖然這次出動的無人機數量不比平昌冬奧開幕多，但技術挑戰也不小，因為不僅要以數百臺無人機在夜空排列出13道紅白相間條紋的超大美國國旗，甚至還能讓這面無人機組成的旗子隨風飄揚，而且動作整齊一致，相當令人眩目。（詳全文）

5G   中華電信 &T  

中華電信預告2018年底前將啟用5G實驗網路，最快明年中開放設備商測試

臺灣5G商用更往前一大步。中華電信近日預告今年底前將完成5G實驗網的建置，最快明年第2季就會開放給國內5G設備商來進行測試，以開發各種創新應用，目標2020下半年推出5G預商用。中華電信執行副總暨技術長林國豐表示，新啟用的5G實驗網將設置在桃園電信研究中心，初期會先以技術較成熟、建置成本較低的非獨立NSA 5G NR優先部署，以現有LTE架構來搭建5G實驗網路測試，之後也將加入獨立的SA 5G NR測試；他並預告，今年10月將在北部流行音樂中心展示相關5G影音應用，如360度全景VR實況轉播等，中華電信也宣布與臺北市政府的合作計畫，未來將把5G應用在智慧路燈等相關城市應用上。

NB-IoT    亞太電信  

挑戰電信三雄，亞太電信也推出自家NB-IoT商用服務

亞太電信最近推出自家NB-IoT商用服務，來與三大電信互別苗頭。目前電信三雄皆有屬於自己的NB-IoT商用服務。腳步最快的遠傳電信5月底率先完成全臺IoT網路的覆蓋，台灣大哥大也緊跟在後。中華電信則持續擴大自己的NB-IoT產業生態鏈，拉攏更多合作夥伴。亞太電信表示，目前NB-IoT訊號已經能夠像4G服務涵蓋全臺，將可用於水、電、瓦斯表或停車管理及環境監測等。它更祭出優惠方案來搶客，在8月31日前將提供企業用戶免費90天試用。（詳全文）責任編輯⊙余至浩

攝影／余至浩 圖片來源／Google、Nuro、英特爾、百度

 IoT近期新聞 

1.微軟新成立健康照護部門，更挖角Google生技部門大將Joshua Mandel掌舵

2.傳亞馬遜將於西雅圖開設第2家Amazon Go分店，店面更大、能容納更多商品

3.無人機不玩了！臉書決定終止Aquila連網無人機專案

4.引發Waymo與Uber官司大戰的前員工，傳另起爐灶創立了新自駕車公司

資料來源：iThome整理，2018年7月

先前，售票網站Ticketmaster在6月底傳出部分用戶個資外洩的事件。但美國的威脅鑑識公司RiskIQ研究發現，上述的攻擊，並非Ticketmaster初步調查報告所述的單一事件，影響範圍擴及旗下更多網站。

根據Ticketmaster在6月27日公布的資訊，他們於同月23日，在英國版網站上，發現第三方廠商Inbenta的提供客戶支援通訊程式裡，含有惡意軟體。隨後，該公司便停用旗下所有網站上的同款通訊軟體。Ticketmaster強調，僅有5%客戶受到上述攻擊事件影響，該公司也主動聯絡可能受到波及的客戶，請他們更換密碼。

Ticketmaster在網站上發出聲明，表示影響層面不大，只有大約5%用戶受到影響，並已經通知這些使用者更換密碼處理。然而，RiskIQ依據研究的結果指出，該公司宣稱的影響範圍只是其中的一小部分，面對這起攻擊事件不應如此樂觀。

然而，RiskIQ認為，Ticketmaster對於這起攻擊事件的公開說明，太過輕描淡寫，受害範圍遠超過該公司所宣稱的規模。從他們的調查結果中，指出發動攻擊的是Magecart駭客組織，他們擅長從電子商務網站上，竊取、側錄大量的信用卡資料，遇害網站已經超過800家。RiskIQ表示，他們在2016年時曾經警告，這個駭客組織利用指令碼滲透的方式，在電子商務網站上，側錄使用者輸入線上交易表單的內容。但值得注意的是，這個駭客組織如今下手標的，已經轉向這類網站整合的其他應用軟體，不再直接針對電子商務網站本身發動攻擊。這意味著，這些電子商務網站可能不易察覺Magecart入侵，防範也更加困難。

RiskIQ認為，Inbenta這間公司的程式碼早就遭到外洩。雖然，Ticketmaster宣稱，Inbenta提供他們的是專屬客製化程式碼，外洩事件是個案，不會影響到其他同樣採用這個通訊軟體平臺的網站，然而，根據RiskIQ的調查，他們發現該公司編寫的內容，已幾乎被駭客改寫，並非單純只有針對Ticketmaster。因此，他們認為，同樣使用Inbenta軟體平臺的線上交易系統，其中所含的用戶交易資訊，也可能面臨遭側錄的風險。

根據Ticketmaster公布的資料裡，旗下只有國際版與英國版Ticketmaster網站，以及GET ME IN!和TicketWeb等4個網站遭到波及。然而，但RiskIQ在報告中指出，從同樣採用Inbenta通訊軟體平臺的Ticketmaster網站中，還包含了紐西蘭與愛爾蘭的Ticketmaster網站，而同樣遭Magecart滲透程式碼、且受到Ticketmaster網站採用的軟體平臺，還有社群分析平臺SociaPlus，這個平臺他們在國際版、德國版，以及澳洲版Ticketmaster中使用。換言之，截至目前為止，RiskIQ發現，Ticketmaster旗下總共有8個網站的使用者資料，可能會遭到側錄。

不只在Inbenta的軟體平臺發現遭到駭客植入的指令，RiskIQ也在社群分析平臺SoicaPlus找到相同的程式碼段落（紅框處）。

除了Ticketmaster採用的Inbenta和SociaPlus，RiskIQ也指出其他也遭到Magecart入侵的軟體平臺，包含市場調查平臺Annex Cloud、商務聯絡平臺Clarity Connect，以及網站分析平臺PushAssist等。他們在研究報告中，也指出Magecart的技術日益成熟，甚至在程式碼中搭配了恐嚇手法，要脅網站管理者不能刪除遭到植入的內容，否則要將整個網站加密。

此外，RiskIQ也宣稱彙整了前百大受害的線上交易平臺，不過並沒有進一步透露更多資訊。

根據RiskIQ分析這些網站應用程式供應商的JavaScript發現，Magecart竄改內容後，甚至還恐嚇網站管理員不能刪除他們埋入的程式碼（紅框處），否則就要加密整個網站，並嘲笑網站管理員是不好的管理者，行徑可說是相當猖狂。

業者蒐集使用者資料再傳資料濫用疑慮，電子前線基金會（Electronic Frontier Foundation，EFF）指控加州不動產公司Irvine旗下的購物中心，將建築物內部的攝影機所收集的車牌（Automated License Plate Reader，ALPR）資料，提供給監控技術供應商Vigilant，而Vigilant又將資料與各州與聯邦執法單位共享。Vigilant隨後發表聲明反擊，稱EFF指控不實，Vigilant不會主動分享資料，只有執法單位能夠決定是否與其他執法單位分享資料。而EFF再度發文回應，Vigilant這樣的描述並沒有區別，最好的做法就是把這些敏感資料刪除。

EFF指出，在加州擁有46家購物中心的不動產公司Irvine，一直以來向Vigilant提供ALPR敏感資料，而Vigilant又與一千多家執法機構共享資料，其中包括美國移民及海關執法局（U.S. Immigration and Customs Enforcement，ICE），可能被濫用來追蹤移民。Irvine在2016年底，開始委託其承包商Vigilant進行ALPR監控，但在網站上揭露的監控政策，並沒有說明在哪一個購物中心使用，而Irvine回應表示，他們只在奧蘭治郡的三個購物中心部署這個系統，而且資料僅提供給區域警察局，作為維護安全之用，並且強調Vigilant沒有分享ALPR資料給ICE使用。

加州在2015年通過法律，要求ALPR營運商必須在線上公開其政策，但EFF指出，Irvine與Vigilant的合作模式，不僅不透明也沒有取得被追蹤者的同意，且與政府的合作關係令人感到不安，2017年Vigilant與ICE簽署的合約，授權允許ICE存取其ALPR資料庫，而且根據Irvine與Vigilant的政策描述暗示，ICE其實能夠直接存取Irvine購物中心的ALPR資料。由於川普的零容忍移民政策，ICE積極遣返非法移民，使得這項與ICE的合作案格外引人關注。

不過，Vigilant隨後在官網大力抨擊EFF製造假新聞，並對於EFF指稱ICE能夠使用Irvine的資料，來監視購物中心的顧客，Vigilant強調，這是錯誤的指責，Vigilant和Irvine不與ICE共享在商場收集的ALPR資料，他們只與特定的執法機構合作，以確保商場的安全。

這些執法機構無法透過Vigilant的系統，以電子的方式複製資料，或是與諸如ICE等機構分享資料。因此EFF對於Vigilant在全美與多達一千家執法機構共享資料的描述，純屬猜想並非事實，Vigilant提到，執法機構擁有各自的ALPR資料，他們可以選擇分享給其他司法管轄區，但也可以不要。

在Vigilant反擊之後，EFF再次發文回應，他們認為既然Vigilant與Irvine在存取ALPR資料上有這麼多限制，那為什麼不直接公布詳細的運作政策，畢竟加州法律要求運營商必須公布ALPR系統使用與隱私政策，包括限制、銷售、共享或是轉讓ALPR資訊給其他人。

而且根據Irvine公開的隱私政策，反而與Vigilant聲明相反，Irvine的隱私政策提到，與Vigilant合作的系統為一個來自多來源的可搜尋資料庫，並且Vigilant在特殊情況可以分享這些資料，包括與執法機構合作、政府要求、傳票、法院命令或是其他法律程序要求時。因此代表這項政策並沒有限制ALPR僅能用於維護顧客安全，相反的，完全不需要法律程序，任意政府機構都可以要求並存取這些資料。

EFF同時也指出，Vigilant本身的政策規定也非常寬鬆，只要是執法機構用於執法目的，都可以授權使用ALPR系統。這些文字敘述都與Vigilant聲明稿描述相左，EFF認為，如果資料使用實際情形真如Vigilant聲明所說，那就應該更新並且公開ALPR政策。

而對於Vigilant在聲明稿中提及，他們不會主動分享任何執法資料，唯有執法單位可以選擇是否與其他執法單位，基於相同的ALPR政策共享資料。EFF抨擊，這個陳述有跟沒有一樣，這只說明了執法單位可以互相請求資料，但是Irvine又並非執法單位，因此當執法單位要求該購物中心的ALPR的資料時，無論Irvine願意與否，Vigilant都能夠與這些執法或是政府單位共享ALPR資料。

EFF表示，Irvine和Vigilant應該停止收集顧客的ALPR資料，並且全部銷毀，因為一旦其他政府機構包括ICE，透過各種法律程序要求存取這些資料，他們都難以拒絕，而這些大規模監控取得的敏感資料，就可能會被濫用，作為追蹤移民司機等用途。

在人工智慧中，增強學習以及自然語言理解都是重要的技術，但是這兩個項技術卻很難合適的應用在一起。微軟蒙特婁實驗室釋出了，用來製作文字遊戲的可擴充Python框架TextWorld，開發人員除了可以使用TextWorld來訓練或是測試人工智慧的語言理解、記憶或是規畫等能力外，也能進一步執行文字遊戲，用以評估人工智慧與人工設計環境互動的情況。

文字遊戲為遊戲環境與玩家的互動，僅由或是主要透過文字表現的遊戲，玩家可以透過遊戲的文字敘述，來理解遊戲世界的環境，並透過文字命令來進行操縱角色等遊戲控制。在典型的文字遊戲中，玩家需要解決一系列的問題，在過程中收集寶物並到達指定位置，目標可能是明確指定的，也可能需要玩家從遊戲過程取得的線索自行推理。

人工智慧要完全可以遊玩文字遊戲，除了需要有產生連貫的文字命令外，還被要求以正確的順序產生命令，只容許些微或是完全沒有錯誤發生。文字遊戲結合了以有限制的解析器（Parser ）探索空間以及積極回應玩家的遊戲世界，因此仔細觀察遊戲中文字提供的線索，並採具創造性的理解與行動，則是在遊戲中獲勝的重要能力。

增強學習以及自然語言理解剛好適合應用在這樣的素材上，TextWorld包含遊戲產生器和遊戲引擎兩個元件，遊戲產生器可以將高階遊戲設定轉換成文字遊戲語言Inform 7，諸如房間數量、物體數量、遊戲長度或是獲勝條件等。而遊戲引擎則是一個簡單的推理機器，透過簡單的演算法，產生合法的一連串往前往後等動作的遊戲控制鏈。

透過TextWorld可以來訓練和測試人工智慧的語言理解與探索等技能，同時研究人員也可以使用泛化以及轉移學習來進行研究，並讓TextWorld遊玩市面上的文字遊戲，以評估人工智慧在複雜人類設計環境中的表現。

微軟蒙特婁實驗室首席研究經理Geoff Gordon提到，增強學習與自然語言兩項技術都很重要，但事實上他們卻不那麼適合，而TextWorld確為這兩者找到了一個良好的結合方式。他表示，雖然增強學習在近年來已經有重大的進展，像是圍棋或是Ms. Pac-Man，但是這些相較於文字遊戲都是較簡單的應用，TextWorld的人工智慧需要同時閱讀並產生自然語言，在許多情況下，都需要面臨更為複雜的情況。