信息外泄如何防止？

泄密的一個重要原因是硬盤、光盤等的被盜或丟失。據日本網絡安全協會2004年的調查，大約有35%的失密原因在于硬盤、光盤等被盜、21%屬于丟失

網絡上發生的個人信息泄密事件層出不窮。2005年3月，日本觀光俱樂部、東方樂園公司等內部信息流失的消息傳出，4月日本開始實施個人信息保護法，5月kakaku.com、6月阿迪克公司息均發生了信息被盜事件。

7月，日本最大的網上商店——樂天成為個人信息丟失的當事者。好在只是丟失了樂天網上商店中心大街的相關商店的信息。估計不是樂天的網絡出現了問題，可能是中心大街商店的網絡出現了漏洞。但顧客是因為信任樂天品牌才在這里購買東西的，樂天網上商店出了問題，自然人們開始對樂天市場上的所有商店都開始抱懷疑態度。

過去，紙張、軟盤能夠造成一些泄密事件，但那樣的流失大多不致于造成數萬人信息的失竊。但到了網絡時代，取得這個規模的信息易如反掌。防火墻等網絡安全產品方面的大企業，美國Checkpoint（檢查站）公司總裁杰爾說：“我們的日常商務越來越依靠網絡，也正是因為這個原因，世界各地都發生了信息泄露事件，如何防止泄密，已經是企業經營中的一個非常重要的課題。”

并不是泄露了被媒體炒作的信息才算泄密，信息泄露事件天天都在發生。比如今年7月，某著名軟件公司向客戶發送新聞稿時，收件人欄中一共有559個郵址。收件人可以從這些郵址中，推測出該公司的客戶，這樣的信息流失實際上也是一種泄密，只不過企業不那么重視而已。寄一封電子信，搞不好能讓大量的郵址信息丟失。

企業害怕風險，開始向網絡安全投資

隨著個人信息保護法的實施，在個人信息處理上，企業為了防范信息泄露或損壞，開始建立安全監視系統。保護法實施以后，企業對信息保護除了有直接的法律上的風險外，還在信息流失后，需要對被泄密的消費者等賠償損失，需要在股東大會上應付股東的訴訟。

但更致命的是，企業業務會因此停滯。網絡公司kakaku.com就因此完全停止了工作，停工期間沒有一分錢的收入。而且隨著該公司泄密事件的披露，其品牌形象已經一跌到底，股票價格一落千丈。

泄密事件的先后曝光，讓很多企業開始注意防止個人信息的泄露，采取了強化安全的對策。企業對網絡安全投資多少才算合適？網絡安全方面的專業公司——拉克公司董事西本逸郎說：“這要看出現問題時，企業在金錢上受多大的損失了。這個可以計算，把算出的結果記到賬外債務欄里去。在企業經營時，可以參考這個賬外債務，考慮網絡安全對策。我估計要拿出一筆相當大的投資來。但具體投資時不一定一下子就全部投資到位，可以按輕重緩急，一步一步地投資。”

日本也出現了一些過激現象。比如一些企業拆除了保管信息的硬盤（HDD），為了強化網絡安全而使用了沒有硬盤的計算機。NEC市場營銷推進本部長藤岡忠昭說：“我們公司開發的沒有硬盤的計算機，在4月后的短短幾個月內，大約有三百多家企業來詢價。其中不少企業準備淘汰過去的所有計算機，使用這種新型產品。也有些企業準備根據各個部門的需要，適當地引進新型產品。我覺得淘汰所有的舊式計算機是有些過分了。”藤岡本部長接著說：“要想提高網絡安全，就會出現工作效率下降的問題，網絡安全與工作效率成反比。我個人認為，應該調整好網絡安全與工作效率的關系。”

但也并不是說各個部門可以按自己的意志去做或不做網絡安全方面的工作。需要公司有一個整體規劃，根據網絡安全的需要采取對策。目前日本大多數企業由總務部負責管理人員進出相關科室，而顧客的信息管理則屬于營業部，計算機問題由信息系統部管理，法務部管掌合同簽署及保存，研發等機密情報歸專利部統括，各個部實施的安全措施也大不一樣。如果公司整體，或者是集團整體沒有一個橫向的聯系，信息就會從最脆弱的部分（安全漏洞）上泄露出去。從過去眾多的失敗教訓上，我們總能找到公司整體上缺少一個管理體制的漏洞。

“世界上還沒有一個完全能防止信息泄露的方法。”杰爾總裁說。但是世界上的確存在能減少風險的方法，我們不妨看看一些企業是如何防范信息泄露的。

維薩/萬事達卡的“安全漏洞”：委托外部處理信用卡

概要

6月17日，維薩/萬事達卡泄密事件讓全世界都感到了震撼。兩家公司的處理數據工作都是委托外部企業做的，也正是在這里發生了泄密事件，大約4000萬個顧客信息被泄露。

據萬事達說，“幾個月前開始有小規模的盜用他人信用卡的事件，我們開始尋找泄密的根源。”結果發現是美國信用卡信息處理公司——信用卡系統解決方案公司出了問題。信用卡系統總裁約翰·佩里在議會上證言說，他們是在5月22日發現有人盜用的，第二天就向美國聯邦調查局通報了此事。萬事達在6月17日發現一些信用卡信息已經被泄露，在這一天他們向全世界使用該卡的公司發出了信息已經被泄露的通知。

這回的事件中，萬事達共有1390萬件顧客信息，維薩共有2200萬件顧客信息被泄露，萬事達信用卡共被盜用68000次。據經濟產業省調查，日本國內大概有77000人的信息被泄露，其中被盜用的數目大致為820件，經濟損失為1億3000萬日元（約1000萬人民幣——譯者注）。

原因

泄露的地點在美國亞利桑那州的信用卡系統數據處理中心。據佩里總裁在議會上證言說，去年9月，有人侵入該中心的系統室，把一個能向外部寄送信息的程序安裝到了系統里面。

按說信用卡公司應該要求數據處理企業裝防火墻，對往返的信息進行加密處理，對于這個過程，應該有專業公司實施監控。但是信用卡系統公司沒有遵守這個規定，也沒有對信息加密。這是信息泄露的最主要原因。

通過這次事件，人們才知道信用卡信息要通過好幾個企業才能轉到處理中心來，而這里面充滿了風險。通常人們使用信用卡后，使用信息從商店傳到信用卡發行公司，付款等是由信息處理公司來完成的。信用卡系統公司只是這一整套過程中的一個環節。

維薩卡說，他們的付賬業務的8成到9成是委托特定企業完成的，剩下的1成左右，是委托幾家處理企業做的，中小處理企業之間的競爭非常激烈，“他們不可能引進價格昂貴的網絡安全系統。”美國高科技調查公司IDC索非亞·羅貝爾說。

不單單是數據處理公司的網絡安全有問題，商店及信用卡發行企業的網絡安全如果是比較脆弱的話，也有可能泄露信息，但讓所有商店、發行公司都建立一套完備的網絡安全系統，大多數人認為，這是不太可能的。

對策

事件發生后，大的信用卡公司開始實施徹底的網絡安全規則，維薩卡及美國通用卡在10月31日以后，將不再使用信用卡系統公司為他們處理相關業務，萬事達卡也要求該公司在8月31日以前必須按網絡安全的規則辦事，改善相關的系統對策。按現行規則，如果出現了違反規則的現象，發卡企業可以向處理信息的企業要求支付一筆罰款，但今后懲罰將更加嚴厲。另外做監控的企業的責任也將更加沉重。

美國正在探討強化網絡安全規則。維薩卡已經在去年重新改定了安全規則。但是美國高科技調查公司的嘉德納說：“現行的法律只給了個粗的框架，有不少可以例外的地方。”可見對數據處理公司來說，逃避責任并非難事。雖然各家發卡企業都在說“我們準備隨時改定規則”，但從內容看還是缺乏具體性。

能夠發現信息泄露后被盜用的探知系統正在強化，維薩卡那里需要大約20分鐘，這套探知系統已經在6月中旬啟用。消費者每刷一次卡，該系統就記錄一次有可能是盜用的“分數”，分數隨時會被報告到發卡企業那里。出現“反復小數額的刷卡現象”、“在同一時間內反復出現了刷卡記錄”等時，分數會上升很多，根據分數的高低，發卡企業決定是否授予刷卡權。維薩卡說，“過去使用100美元，可能會有5至6美分是盜用的，但使用新系統后，被盜用的金額將下降到2至3美分。”

原文刊載于2005年8月20日日本《東洋經濟周刊》，陳言翻譯。

《東洋經濟周刊》授權《經濟》雜志獨家刊登中文譯稿。未經《經濟》雜志社許可，任何人不得轉載、摘錄、引用本文全部或部分內容。