美國聯合其盟友成立全球跨境隱私規則論壇

美國“商務部”官網2022年4月21日刊文稱，當日，美國商務部長吉娜·雷蒙多發表聲明稱, 美國、加拿大、日本、韓國、菲律賓、新加坡、中國臺灣七個經濟體共同發布《全球跨境隱私規則聲明》，正式對外宣告成立全球跨境隱私規則（CBPR）論壇，致力促進數據自由流通與有效的隱私保護。這一舉動本質上是將亞太經合組織（APEC）框架下的CBPR體系轉變成一個全球所有國家都可以加入的體系。

全球CBPR論壇旨在建立CBPR和處理者隱私識別（PRP）系統認證，這是同類首創的數據隱私認證，可證明公司符合國際公認的數據隱私標準。通過推廣全球CBPR和PRP系統，支持數據的自由流動以及有效的數據隱私保護，同時定期審查成員的數據保護和隱私標準，以確保全球CBPR和PRP計劃要求符合最佳實踐，促進與其他數據保護和隱私框架的互操作性。同時，新論壇將促進貿易和國際數據流動，促進全球合作，在共同的數據隱私價值觀基礎上，承認國內保護數據隱私方法的差異。通過這種基于創建實用合規工具和合作的獨特方法，可以讓數字經濟為各種規模的消費者和企業服務。

雷蒙多稱，“全球CBPR論壇的成立反映了多邊合作新時代的開始，以促進對我們現代經濟至關重要的可信賴的全球數據流。論壇將促進貿易和國際數據流動，促進全球合作，在我們共同的數據隱私價值觀基礎上，承認我們國內保護數據隱私方法的差異。”

（王楚譯）

歐盟EDPB發布關于新《跨大西洋數據隱私框架》的聲明

“歐盟數據保護委員會（EDPB）”官網2022年4月7日消息，4月6日，EDPB發布關于新《跨大西洋數據隱私框架》的聲明，支持美國做出的承諾，即當歐洲經濟區（EEA）的個人數據轉移到美國時，美國將采取“前所未有的”措施保護其隱私和個人數據。但EDPB指出，該聲明并不構成EEA數據出口商向美國轉移數據的法律框架，數據出口商必須繼續采取必要行動，遵守歐盟法院（CJEU）的判例法，特別是施雷姆斯第二案（Schrems II）決定。

EDPB稱，將在收到歐盟委員會的所有支持文件后，根據歐盟法律、歐盟法院判例法和委員會之前的建議，仔細評估新框架可能帶來的改進。特別是將分析為國家安全目的收集個人數據是否限于嚴格必要和適當的范圍。此外，EDPB還將審查獨立補救機制如何尊重EEA個人獲得有效補救和公平審判的權利。EDPB將調查該機制的新權力部門在執行任務時，是否可查閱有關資料，包括個人資料，以及是否可以作出對情報機構有約束力的決定。EDPB也會考慮是否有司法補救措施來對抗權力部門的決定或不作為。

（張文遠譯）

Trellix發布全球網絡就緒報告評估全球網絡防御狀況

美國網絡安全公司“Trellix”網站2022年4月14日在其官網發布《全球網絡就緒報告》，分析美國、澳大利亞、法國、德國、印度、日本和英國的網絡安全、政府和關鍵基礎設施提供商之間的技術采用和公私合作狀況。

報告稱，美國77%的負責緊急服務的州和地方政府機構尚未完全實施端點檢測和響應、擴展檢測和響應解決方案；美國石油和天然氣行業的75%尚未完全部署多因素身份驗證，導致惡意行為者更易遠程訪問系統；美國醫療保健74%受訪者尚未完全實施軟件供應鏈風險管理政策和流程；超過一半的美國州和地方政府關鍵基礎設施供應商（51%）、石油和天然氣（55%）將缺乏內部網絡技能歸咎于沒有充分實施網絡安全措施。

報告顯示，德國、法國和英國等北約國家87%受訪者認為政府主導的網絡安全防護舉措可在加強國家網絡防御方面發揮關鍵作用；全球82%受訪者認為軟件供應鏈風險管理對國家安全具有高度或至關重要的意義；只有德國的40%、英國的39%和法國的36%受訪者，聲稱已完全實施了適當的軟件供應鏈風險管理政策和流程；來自這些國家的受訪者認為，在網絡防御協調、威脅信息共享和軟件供應鏈完整性等領域，他們與政府的伙伴關系亟待改善。

報告還顯示，印度、澳大利亞和日本等國家正面臨著對提供關鍵基礎設施服務的政府機構和組織日益復雜的攻擊；印度、澳大利亞和日本89%的受訪者認為政府主導的正式舉措可在改善其國家對網絡威脅的保護方面發揮重要作用；日本74%的受訪者、印度65%的受訪者和澳大利亞63%的受訪者認為軟件供應鏈風險管理政策和流程難以實施；印度近60%的受訪者和日本45%的受訪者認為缺乏實施專業知識是實施的最大障礙之一，這反映了網絡技能和網絡人才的全球短缺狀態。

（張運洪譯）

美國國務院成立網絡空間和數字政策局

美國“ABC57”網站2022年4月4日消息，美國國務院正式成立網絡空間和數字政策局，將數字權利問題作為美國外交政策的一個固有部分。在美國參議院提名該局“巡回大使”之前，該局由職業外交官詹妮弗·巴丘斯臨時領導。

報道稱，網絡空間和數字政策局的成立其實是恢復當初特朗普政府否定的一個官僚機構。該局旨在為國務院的優先事項提供更多外交人員和專業知識，如制定網絡空間政府行為規范，幫助美國盟友加強自己網絡安全計劃等。該局成立的第一年將直接向副國務卿報告。美國國務卿安東尼·布林肯在描述新的網絡空間和數字政策局的角色時表示，烏克蘭和俄羅斯正在發生的事情表明，各國之間的競爭本質就是定義數字未來的規則、基礎設施和標準。布林肯稱，民主國家必須共同回答這樣一個問題，即普世權利和民主價值觀是否將成為我們數字生活的中心，數字技術是否能為人們的生活帶來真正的好處。美國國務院最后一任的網絡事務協調員克里斯托弗·佩因表示，成立網絡空間和數字政策局可以讓國務院在討論網絡問題時擁有更大的影響力。

（薛春竹譯）

SAM Seamless Network報告顯示2021年物聯網攻擊超過10億次

美國“VentureBeat”網站2022年4月25日消息，根據以色列網絡安全公司SAM Seamless Network的一份最新報告，2021年發生了超過10億次網絡攻擊，其中超過9億次是與物聯網相關，該報告中的數據來源于1.32億個活躍的物聯網設備和73萬個安全網絡。報告顯示，安全攝像頭、游戲平臺、電視、家電、門鈴等智能設備正日益成為個人和企業的攻擊載體。在所有被分析的遭受網絡攻擊的設備中，路由器占了46%。其他常見的易受攻擊設備包括擴展器和網狀網絡（17%）、接入點（17%）、NAS（5%）、VoIP（4%）、攝像頭（3%）和智能家居設備（3%）。

值得關注的是，自2016年以來，Mirai和Mozi惡意軟件的活躍度持續上升，Mirai僵尸網絡的變種經常以物聯網設備和家庭路由器為目標開展網絡攻擊。在2021年，Mirai和Mozi僵尸網絡還在持續增加重要的新功能，并擴大攻擊范圍，以攻擊更多設備。大量基于物聯網的攻擊可以歸因于多種因素。一方面，物聯網生態系統普遍缺乏安全性，尤其是對于消費者或微型企業來說，他們可能沒有意識到這些設備構成的威脅。另一方面，在物聯網生態系統中，原始設備制造商和操作系統存在很大差異，這通常會導致安全更新的方法碎片化。

（王鈺鎣譯）

印媒刊文分析2022年亞太地區四大網絡安全趨勢

印度“CRN”網站2022年4月6日消息，近年來，亞太地區（APAC）對網絡犯罪分子的吸引力越來越強。以下是2022年亞太地區的四大網絡安全趨勢：

一是重新關注數據隱私和數據安全。歐盟《一般數據保護條例》（GDPR）促使亞太地區各國相繼出臺數據保護相關的網絡安全法案，引入強制性數據泄露通知法。例如孟加拉國出臺《網絡安全戰略草案》；印度提出《個人數據保護法案》；新加坡《網絡安全法》要求11個關鍵行業的組織必須在事件發生后3天內向新加坡網絡安全局報告所有關鍵基礎設施的違規行為。二是打擊勒索軟件即服務（RaaS）。Thales《2022年數據威脅報告》稱亞太地區的組織平均每周遭受51次攻擊；亞太地區更有可能支付高達100萬美元的贖金。這推動亞太地區領導者制定勒索軟件防御計劃，優先創建網絡彈性。三是協作式網絡安全的興起。鑒于日益增加的威脅和挑戰，許多企業和政府正在信息分享和最佳實踐方面展開協作，并開發新的網絡安全解決方案。四是網絡安全教育。世界經濟論壇發布的2021年報告顯示亞太地區的網絡安全人才短缺在全球占比66%，高達204.5萬人。為解決網絡安全勞動力缺口，組織、機構和政府正在開展專門的網絡安全培訓計劃。

（文娟譯）