2026年4月30日 星期四

五代時〈遼太宗立石敬瑭為大晉皇帝冊〉之聯想(五之四)

(續前篇)

CC BY-SA 40

內文引用人工智慧網路平臺提供資訊,經由整合篩選與文字調整。



五、世界史結構性變遷

1. 中原歷史定位

936年石敬瑭正式將燕雲十六州(今北京、天津北部、河北北部、山西北部)割讓給契丹。此非一般的邊疆領土喪失,而是中原農耕文明的「北部門戶」從此永久敞開。

地理後果:

l   失去燕山、軍都山、太行山東麓這一連串天然屏障,華北平原從此再無險可守。

l   937年到20世紀初的近千年時間裡,所有來自草原的征服者(契丹、女真、蒙古、滿洲)幾乎都沿著同一條「燕雲走廊」長驅直入。這條走廊成為歐亞草原通向東亞心臟的固定「高速公路」。

政治後果:

l   這是中國歷史上第一次由漢人政權主動、永久地把戰略要害讓給草原政權,開啟了「征服王朝」合法化的先例。

l   後晉之後的歷屆朝代,遼(9161125)、金(11151234)、元(12711368)、清(16441912)四個草原/森林起源的征服王朝相繼完全統治或部分統治中原,總計時間超過700年。這在秦漢至唐的1200年中是不可想像的。

2. 歐亞歷史世代

契丹在1012世紀並非王夫之想像的那樣只是「羯胡」「夷狄」,而是歐亞草原-農耕交界地帶最具創新性的帝國之一。(五代十國圖)

l   契丹建國邏輯本質上是「二元帝國」(dual empire):耶律阿保機自稱「天皇帝」,兼有草原可汗(Khan)與中原式皇帝(Huangdi)雙重身份。石敬瑭的「兒皇帝」地位,實為契丹「宗藩制度」中的一環——類似突厥汗國對附庸部族首領的「子弟」稱謂(見《周書·突厥傳》)。

l   此類安排在內亞政治傳統中極為常見:回鶻可汗曾稱唐肅宗為「兒」;黠戛斯首領亦被唐朝冊為「宗子」。關鍵不在年齡或血緣,而在權力等級的儀式化確認。

l   石敬瑭的行為,並非「賣國」,而是五代藩鎮邏輯的極致延伸:自安史之亂後,河北藩鎮「父子相襲,不奉朝命」已成常態。石敬瑭不過將此邏輯跨出長城,引入更強大外援以爭奪中原正統。

石敬瑭引契丹跨越長城,從而建立跨生態帶政權的文明整合能力,正始開創了後來金、元、清三朝所繼承的「征服王朝模式」:

l   雙重行政制度(北面官用契丹法,治理契丹與遊牧部眾、南面官制仿唐,治理漢人與定居農業);

l   以「共主」身份統領草原諸部,同時向宋朝索取巨額歲幣(澶淵之盟後每年銀10萬兩、絹20萬匹,后增至銀20萬兩、絹30萬匹);

l   保留本族語言文字(契丹大字、小字並行),同時高度利用漢字與漢人官僚系統;

l   幽州(遼南京)成為漢人、粟特、回鶻、渤海商人混居的國際都會;

l   保護佛教、景教、祆教多元信仰。

l   燕雲十六州的割讓,實為「長城地帶」治理權的轉移:自漢至唐,中原王朝耗巨資維持長城防線,卻始終無法有效控制漠南。契丹以「因俗而治」策略,使該區成為稅收來源而非軍事負擔。將中原財富轉化為草原軍事優勢的長期機制。 

遼的這些制度創新,使「草原政權統治中原」從短暫的軍事佔領(如同匈奴、鮮卑前期)變成長期穩定的政治現實。契丹由實踐中展示:長城(The Great Wall)並非文明邊界,而是可被內亞帝國轉化為經濟—文化整合生態地帶。元、清兩朝幾乎是直接代入遼的既成架構。

遼朝被視為一個成功的 「內亞邊疆帝國」 ,它完美地體現了如何同時統治草原與農耕地帶。歷史學者給出的遼帝國複合式描述為:《統治範圍涵蓋內亞東部(蒙古高原東部)、滿洲(中國東北),並在獲取燕雲十六州後,延伸至華北北部》。學術上的概括性名稱為《東亞北疆的契丹帝國(遼朝)」 或 內亞東部與滿洲的遼帝國》。以二元帝國性質考量的簡短描述《一個兼有內亞游牧傳統與中原漢文化的二元帝國》或《橫跨草原與農耕的內亞-華北二元帝國》。 

【內亞視角下的石敬塘】短文https://www.facebook.com/share/p/187szoJwcu/


3. 中亞貿易路線與歐亞交流

燕雲十六州的割讓與遼朝的興起,對中亞與東亞的貿易格局產生了革命性影響:

草原絲綢之路的完全復興(1013世紀)

遼控制了從營州(今朝陽)經中京(內蒙古寧城)到上京(巴林左旗)的「遼西走廊」,從唐末吐蕃、回鶻崩解後,河西走廊—漠南路線中斷。契丹恢復這條南線的「草原之路」。

遼、金時期,中亞粟特商人、回鶻商人、阿拉伯商人大量經經陰山南下,經雲州(大同)、幽州(北京)的草原路線,直達中原進入華北,比海上絲路更快、更安全。

考古證據:在內蒙古、遼寧、黑龍江出土了大量波斯玻璃、阿拉伯銀幣、拜占庭金幣。

宋遼馬茶貿易的制度化

宋朝每年向遼輸出數百萬匹茶葉、數十萬匹絲綢,換取遼的數十萬匹優質戰馬。這是人類歷史上第一次由國家主導的大規模「工業品換畜產品」貿易,極大增強了草原騎兵的持續戰鬥力,也為蒙古的崛起提供了物質基礎。

宋朝被迫轉向海上絲路,間接推動泉州、廣州港市興起,但陸路貿易主導權落入遼—喀喇汗王朝—薩曼王朝系統。

技術與物種的跨歐亞傳播

遼作為中亞與東亞的中介,使火藥、金屬活字印刷、蒸餾酒技術更早傳入中亞與中東;同時也將中亞的醫學、天文學(特別是回回曆法)、金銀器工藝帶入東亞。

契丹獲得燕雲漢人步兵、攻城器械與冶鐵技術,組建「鐵林軍」,又稱「精銳重裝騎兵」;

宋朝失去戰馬產地(幽薊、雲朔),被迫以「步兵方陣+弩機」對抗騎兵,軍費飆升(養兵佔財政70%);

此種武備、科技、後勤等有形無形的戰力失衡催生火藥武器軍事化(《武經總要1044年載火藥配方,含有硝石(即硝酸鹽/硝)、硫黃、木炭等成分),提供理論/技術資料,逐步推動軍事、火藥、武器的革命。

4. 軍事史的典範轉移

石敬瑭以10萬精銳契丹鐵騎換取帝位,開啟了「農耕政權主動借草原騎兵建立王朝」的惡例。從此之後:

l   女真(金)參照遼的既成模式滅遼、滅北宋;

l   蒙古借金、遼的經驗滅金、滅南宋、橫掃歐亞;

l   滿洲借蒙古的經驗滅明、入關;

這是一條清晰的軍事技術與政治合法性傳承鏈條,而石敬瑭正是這條鏈條的第一個「自願環節」。

同時期比較:

l   西歐:西元911年,法國加洛林王朝(Carolingian dynasty)查理三世(King Charles the Simple)代表的西法蘭克王國,與羅洛(又稱 Rollo,一位維京首領)訂立了《聖克萊薩普特條約(Treaty of Saint-Clair-sur-Epte)。將塞納河下游(含魯昂 Rouen 等地)的一部份土地賜予羅洛,羅洛則同意皈依基督教、效忠查理、並防禦其他維京人的入侵。是為北法(後來的《諾曼底Normande》)建立的起點。;

l   西亞:阿拔斯王朝的哈里發從9世紀起,大量引進來自中亞/草原地帶的突厥語族或突厥背景的奴隸/軍人(軍奴/ ghulāmmamlūk)作為其軍隊主力。這種「軍奴制」的制度,使得阿拔斯王朝中央政權對地方貴族或部落勢力的依賴減少,但也帶來新的軍事與政治權力結構。突厥/奴兵勢力亦成為王朝衰弱的一個作用環節。

共同邏輯:中世紀政權在合法性危機中,常以「讓渡邊疆主權」換取軍事生存。石敬瑭的應對策略不過是此種全球性現象在東亞的案例。

王夫之痛斥「敬瑭不知恥」,卻忽略:五代軍閥本無「民族國家」意識,其忠誠對象是「節度使—牙兵」集團,而非抽象「中國」。石敬瑭的選擇,在當時是高度理性的權力計算。 

5. 超越道德譴責的結構性視角

王夫之說「敬瑭之惡,通於天矣」,這在情感上是完全可以理解的。但若從世界歷史與中亞史的長時段來看,936947年的這十年,只是歐亞大陸從古典時代(秦漢-唐)進入中古晚期/征服王朝時代(宋遼金元明清)的關鍵轉捩點之一。

石敬瑭的個人無恥固然可鄙,但更重要的結構性後果是:

ü   中原農耕文明永久失去北方戰略屏障

ü   草原政權第一次獲得了長期、穩定統治中原的制度模板

ü   歐亞大陸的東西交流從唐代的「唐-阿拉伯」軸心,轉向宋元時期的「草原軸心

這一切的起點,正是王夫之痛罵的「兒皇帝」與燕雲十六州的割讓。它不是單純的道德崩壞,而是歐亞大陸歷史世代更替的關鍵節點之一其意義遠大於中國一隅,影響了後來整整一千年的世界格局。

附記此處未偏抑民族主義史觀,而是借由Christopher I. BeckwithNicola Di Cosmo、姚大力、杉山正明等內亞史學者的研究共識而從另一視角探討該事件的影響。

(見續篇)

2026年4月29日 星期三

歐盟網路資訊安全法規初探(七之一)

 EU Regulation 2019/881 (Cybersecurity Act)

適合讀者:大學以上程度|法規、資訊、資安、工程、產業界從業人員
此文僅供個人參考與資訊喚回,尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊,經由整合篩選與文字調整。法規內容可能隨時間修訂,具體符合決策宜諮詢歐盟專業法律顧問或驗證機構。文中提及之市場資料係基於公開報告及邏輯估算,實際數值可能隨時變動。參考法規資訊截至2026年3月,後續修訂請查閱ENISA官方網站和EUR-Lex資料庫。
© All Rights reserved。 版權聲明。CC BY-SA 4。0。

摘要(Executive Summary

歐盟《網路資訊安全法》(EU Cybersecurity Act,即歐盟條例Regulation (EU) 2019/881)於2019627日正式生效,是歐盟在資通訊技術(ICT)安全領域的重大立法里程碑。CSA條例建立了兩大核心支柱:其一,強化並永久授權歐盟網路資訊安全局(ENISA)的職能;其二,建立歐盟統一的ICT產品、服務及流程網路資訊安全驗證架構European Cybersecurity Certification Framework,簡稱ECCF)。

短文遵循「撰寫修訂」三步驟品流程,涵蓋法規背景、關鍵術語定義、適用標準、驗證機制、市場監督、相關法規連動(GDPRNIS 2EU AI Act等)、主要利害關係人義務、專業職人、國際比較分析,實際案例,以及弱點暨改進建議事項,旨在協助產業界、學術界、驗證業及政策制定者全面理解以資遵循該項歐盟CSA條例

🔑 五大核心要點

① ENISA獲得永久授權,成為歐盟網路資訊安全核心機構

建立自願性(部分強制性)ICT安全驗證架構,取代碎片化的各國既有方案

三級保證等級(基本顯著/高)對應不同產品風險

驗證架構GDPRNIS 2AI Act、無人機歐盟法規等形成法規生態系統

⑤ 2024年後強制驗證範疇持續擴大,預估2031年市場規模達750億歐元




一、背景與立法沿革

1.1 立法動

隨著數位化進程加速,物聯網 (IoT)、雲端運算(Cloud Computing) 5G 技術普及,2013年至2015 年之歐盟網路安全策略已指出,缺乏統一的驗證機制導致市場信任度不足,增加了跨國貿易的合規成本。2013年至2017年間,歐盟各成員國資安事件頻發,網路攻擊的頻率與破壞力急遽上升2017WannaCry勒索軟體攻擊造成全球損失逾40億美元,波及歐盟多個關鍵基礎設施;2016Mirai殭屍網路攻擊則凸顯物聯網(IoT)裝置安全嚴重不足。與此同時,各成員國各自發展網路資訊安全驗證方案,造成以下問題:

     市場碎片化Market Fragmentation:德國BSI-C5、法國ANSSI-CSPN驗證互不承認,企業需重複取證,增加成本

     監管套利:廠商傾向在標準較低的國家取得驗證,再於全歐銷售

     消費者信任缺失:終端用戶無法判斷ICT產品、服務、流程的安全等級

     數位單一市場阻礙:歐盟數位單一市場策略(Digital Single Market, DSM)的落實受到碎片化驗證的牽絆 

1.2 立法沿革時間軸

時間節點

重要事件

20132

歐盟委員會發布首部《網路資訊安全策略

20167

《網路與資訊系統安全指令》(NIS 1, 2016/1148)生效

20179

委員會提出《網路資訊安全法》草案(COM(2017) 477

201812

歐洲議會與理事會達成三方協議(trilogue

2019417

歐洲議會正式通過(P8_TA(2019)0189

2019627

《歐盟網路資訊安全法》(EU Regulation 2019/881正式生效

2021128

ENISA開始依新架構運作

2022127

NIS 2指令(2022/2555)取代NIS 1,與CSA條例深度連動

20243

首批候選驗證架構(EUCC for ICT products)草案諮詢

歐盟正式通過 EUCC 作為第一個驗證計畫實施條例 (Implementing Regulation 2024/482)

2025年起

國家級認可機構 (NCCA) 可開始授權 CAB,並正式核發 EUCC 證書,部分強制性驗證預計逐步生效

2025-2027

預期 EUCS EU5G 陸續實施。隨著《網路韌性法》(CRA) 預計於 2027 年全面施行,CSA 的基礎將被大量引用,將許多自願性驗證轉為強制性驗證


1.3歐洲的網路資訊安全產品策略 (European Product Strategy for Cybersecurity)

1. 核心在於「數位主權 (Digital Sovereignty)」與「設計即安全 (Security by Design)」,包含多項核心企圖:

l   安全設計 (Security by Design):要求產品在開發階段即內建安全機制。

l   韌性 (Resilience):不僅防範攻擊,更強調受攻擊後的恢復能力。

l   信任標籤化 (Trust Labeling):透過驗證標籤讓消費者與企業用戶能快速識別產品安全等級。

2. 統一市場與互相承認機制,促成互操作性 (Interoperability): 透過建立歐盟級別的資安驗證架構,實現「一國驗證,全歐盟通行」,降低企業合規成本。

3. 提升全球標準制定權: 歐盟企圖透過 CSA 結合 GDPR,將「布魯塞爾效應 (Brussels Effect)」延伸至資安領域,迫使全球 ICT 供應商(包含美、中、台製造商)為了進入歐洲市場而提升供應鏈透明度,強化對ICT 產品、服務及流程建立可信賴的安全基準,確保產品安全穩定地立足在最高層級。

4. 從自願到強制的過渡: 雖然 CSA 初期多屬自願性驗證,但配合新版《網路資訊安全韌性法案》(Cyber Resilience Act, CRA) NIS2 指令,未來針對關鍵基礎設施的 ICT 產品,CSA 驗證將成為實質上的強制市場准入條件。

此項資訊安全策略與《歐洲晶片法案》(European Chips Act) 及《網路韌性法案》(Cyber Resilience Act, CRA) 相輔相成,構成歐盟硬體與軟體安全的雙重防護網。 

1.4條例的雙重支柱結構

歐盟2019/881條例的核心結構可分為兩大支柱,站穩立場,相輔相成:

支柱

核心內容

支柱一:

強化ENISA

ENISA從臨時性機構轉型為永久授權機構,增加預算,擴大職責至涵蓋驗證、事件應對協調、市場情資、歐洲CERT網路協調等

支柱二:

驗證架構ECCF

針對 ICT 產品、服務與流程,建立統一的驗證方案(Schemes

採三級保證等級(Assurance Levels) 基本 (Basic)、顯著 (Substantial)、高 (High)

取代各國零散驗證,提升數位單一市場互信


二、關鍵術語定義與特殊名詞解釋

以下術語均來自Regulation (EU) 2019/881或相關配套文件,並附實務解釋。

術語

定義與說明

ENISA

European Union Agency for Cybersecurity(歐盟網路資訊安全局)。CSA條例的核心執行機構,永久授權,總部設於雅典及赫拉克利翁。

ECCF

European Cybersecurity Certification Framework(歐洲網路資訊安全驗證架構)。針對特定類別產品所制定的具體驗證規則,提供統一的驗證架構,各驗證方案(Scheme)在此架構下建立。

驗證方案(Scheme

針對特定ICT產品類別訂定的驗證規則集,例如EUCCICT產品通用準則驗證方案)、EUCS(雲端服務驗證方案)。

保證等級(Assurance Level

分為「基本(Basic)」、「顯著(Substantial)」、「高(High)」三級,

對應不同的測試嚴格程度與安全需求。

Basic (基本)

抵禦已知、基本的網路攻擊。允許製造商「自我宣告符合性 (Self-assessment)

Substantial (顯著)

抵禦具備有限資源與技能的駭客。需由第三方機構進行審查

High ()

抵禦具備豐富資源與高超技能的國家級駭客 (APT)。強制要求由國家授權的高級第三方機構進行源碼級或滲透測試審查

ICT產品(ICT Product, 資通訊產品

指網路或資訊系統的任何元素或組件(硬體與軟體),包括硬體、軟體及其組合,例如路由器、作業系統、智慧裝置、工業控制系統等。

ICT服務(ICT Service

透過ICT系統提供的服務,例如雲端運算、受管安全服務、身分查證服務。

ICT流程(ICT Process

軟硬體開發、維護、供應等過程,重視安全生命週期管理。

符合性評鑑機構(CAB

Conformity Assessment Body,具資格對ICT產品進行驗證評估的機構。經國家認證,負責依照ISO/IEC 17025執行第三方測試的獨立實驗室,並依照ISO/IEC 17065執行產品驗證的機構

國家驗證機構(NAB

National Accreditation Body,如台灣的TAF,負責對CAB進行認證Accreditation)。

NCCA

國家網路資訊安全驗證主管機關National Cybersecurity Certification Authority:各成員國指定的政府單位,負責監督 CAB 並核發「高」級類別證書。

主管機關(Competent Authority

各成員國指定的監督機構,負責執行驗證架構、市場監督及處理違規。

供應商自我評鑑Vendor Self-Assessment

基本保證等級類別允許的評估方式,製造商自行聲明符合性。

同行評審Peer Review

成員國之間針對認證機構能力與認證結果進行的相互審查機制,以確保一致性。

網路資訊安全Cybersecurity

保護網路、資訊、系統、產品、服務及流程免受網路威脅之活動,確保其可用性、完整性、機密性。

網路資訊安全風險(Cybersecurity Risk

潛在損失或破壞的可能性,源於人為或非人為威脅對ICT資產的攻擊或利用。

歐洲網路資訊安全憑證(ECC

European Cybersecurity Certificate,依驗證方案頒發給符合要求的ICT產品/服務/流程的憑證。

CSIRT

Computer Security Incident Response Team,電腦資安事件應變小組,負責偵測、通報及協調處理網路資安事件

NIS 2

Directive (EU) 2022/2555,第二代網路與資訊系統安全指令,要求「重要實體」採取安全措施,與CSA條例驗證架構深度整合。

零信任架構(ZTA

Zero Trust ArchitectureENISA在政策文件中推廣的安全模型,強調持續查證而非隱性信任。

供應鏈安全

ICT供應鏈各環節(設計生產交付維護)的安全風險管理,為CSA條例重要政策目標。

漏洞揭露(VD

Vulnerability Disclosure,當ICT產品存在安全漏洞時,製造商、研究人員與主管機關的協調揭露機制。

通用準則(CC

Common CriteriaISO/IEC 15408,用於ICT產品安全評估的國際標準,為EUCC驗證方案的技術基礎。


(未完,見續篇)