信息安全何處安放？

■丨劉 銳

信息安全何處安放？

■丨劉 銳

潘義軍/圖

毋庸諱言，當前個人信息泄露已成一大公害。隨著現(xiàn)代信息技術的迅猛發(fā)展，個人信息安全所受到的威脅和侵害越來越多。用法律利劍保護自己，是現(xiàn)代公民的合理選擇。公民個人信息保護納入法制化軌道，是法治社會的必然選擇。只有做到有法可依，才能對侵犯公民個人信息的行為予以更有力的懲罰。

7月以來，有多名網友爆料稱，國內各地多名艾滋病感染者接到針對感染者的詐騙電話。詐騙人員自稱是政府部門工作人員，會給發(fā)放補助。隨后，詐騙人員要求感染者提供身份證號和銀行卡信息，轉而以領取補助需要銀行轉賬為由要求感染者去銀行ATM機操作，隨后，詢問感染者卡內余額并遙控感染者操作，讓其選擇英文界面進行轉賬，進而盜轉受害者的卡內資金。

詐騙人員能夠掌握到感染者的真實姓名、身份證、聯(lián)系方式、戶籍信息、確診時間、隨訪的醫(yī)院或區(qū)縣疾控等信息，無疑可以證明這些艾滋病感染者的個人信息已遭到泄露。《中國網絡空間安全發(fā)展報告(2015)》指出，國內外個人信息泄露事件頻發(fā)，非法采集、竊取、販賣和利用網絡個人信息的黑色產業(yè)鏈不斷成熟壯大，呈現(xiàn)產業(yè)化、集團化、跨境化、智能化的趨勢，我國個人信息保護面臨失控態(tài)勢。

隨著個人信息泄漏而來的是網絡侵犯公民個人信息犯罪持續(xù)高發(fā)、屢打不絕，呈現(xiàn)網絡信息泄露源頭多樣、數(shù)額巨大、形成利益鏈條及黑色產業(yè)等特點，滋生電信詐騙、網絡詐騙、敲詐勒索等下游犯罪，社會危害嚴重，群眾反映強烈，已經成為社會各界廣泛關注的重大社會現(xiàn)實問題。

個人信息泄漏“泛濫成災”

據(jù)公安部披露，當前網絡侵犯公民個人信息犯罪活動的一大特點，是非法獲取的公民個人信息種類多樣、涉及人員眾多。非法獲取的公民個人信息已經從簡單的身份信息、電話號碼、家庭地址等,擴展到手機通訊錄和手機短信、網絡賬號和密碼、銀行賬號和密碼、購物記錄、出行記錄等,被侵害的人員涉及各地各行各業(yè)，個人信息泄漏已經“泛濫成災”。

當前網絡侵犯公民個人信息犯罪活動，已經形成了“源頭——中間商——非法使用人員”的交易模式。各層級人員身份既相對獨立又相互交叉,形成非法獲取、販賣、使用的利益鏈條以及以牟取不法利益為目的、市場化運作、專業(yè)分工實施、交易金額巨大的黑色產業(yè)。從公安部發(fā)布的一些網絡侵犯公民個人信息犯罪典型案例中可以看出，多個案例涉及團伙作案，且作案方式與目標人群越來越“精細化”。

被抓獲的一些犯罪嫌疑人交代，隨著市場競爭越來越激烈，“精細化”對于公司企業(yè)尤其是一些不法企業(yè)來說非常重要，而掌握大量公民個人信息后，就相當于有了“導航儀”，想推銷什么樣的商品就找什么樣的消費者，事半功倍。

河北某特大公民個人信息泄漏案中涉及33名犯罪嫌疑人。據(jù)在深圳被抓獲的一名中間商、犯罪嫌疑人周某介紹，他最初在一家保險公司上班，由于老完不成業(yè)務量，就花1400元在網上買了幾萬條與保險業(yè)相關的個人信息，結果工作業(yè)績直線上升。后來跳槽到一家證券公司后，覺得自己以前掌握的個人信息沒用了，就想賣掉。

“應聲蟲”現(xiàn)象也被稱為“yesman”現(xiàn)象[8]，所謂“應聲蟲”主要是指針對上級的應聲。在委托代理模型中，代理人或具有代理人資格的那部分中間階層，為了得到上一級的認可，不顧實際情況作決策，對委托人不負責任。“地方政府往往會隱蔽行為，在政策的制定、決策的執(zhí)行、方案的選取等方面不是真正從當?shù)氐膶嶋H出發(fā)，而是看上級政府眼色行事，滿足上級主觀偏好，表現(xiàn)出一種討好取巧的代理人機會主義傾向。”[9]

“我先在網上搜索一些關鍵詞，加入特定的QQ聊天群，發(fā)現(xiàn)里面可熱鬧了，買賣個人信息跟趕集似的，你出個價，我出個價，你有老板信息，我有官員信息。過去花1400元買來的信息，賣了十多次后，凈賺八萬多元。” 周某說。

嘗到甜頭后，周某把販賣個人信息當成了“職業(yè)”。他有45個聊天號，加入了204個聊天群，建立信息文檔2286個，擁有個人信息325萬條。他把個人信息細分成“白領名錄、股民信息、車主名錄、電視購物名錄、高端名錄、老板手機號碼”等，甚至還有“手機高端用戶、高爾夫會員名單、銀行高管名錄、CEO培訓班名錄、北京各高檔俱樂部會員資料、學生家長、學校名錄”項目……

周某掌握的他人個人信息中，分有車主、電視購物、酒店會員、全球通客戶資料等類別，內容包含個人姓名、住址、電話等。信息買賣全部通過網絡完成，雙方不會有任何接觸。

通過中間商再往上挖，就可以找到泄露個人信息的多處源頭。其中一名源頭犯罪嫌疑人王某是山東某電信公司的網絡維護人員，一位朋友希望他提供部分撥打某“400”專屬號碼電視購物人群的呼叫記錄，他就把一些個人電話號碼賣掉，一條信息四毛錢。

在警方查獲的個人信息泄露源頭中，有電信公司人員，也有快遞公司、銀行、醫(yī)院、學校、工商局等部門工作人員，都是方便獲得個人信息的部門。辦案民警說，這些源頭犯罪嫌疑人利用自身崗位的特殊性，無須成本就能獲得個人信息然后售賣，是無本取利。下家購得這些信息后，既可以供自己營銷，還能再多次賣給另外的下家，一本萬利。

重拳，守護安全

據(jù)公安部網站消息,為嚴厲打擊網絡侵犯公民個人信息犯罪活動,有效遏制此類違法犯罪活動發(fā)展蔓延勢頭,公安部自今年4月起部署全國公安機關開展為期半年的打擊整治網絡侵犯公民個人信息犯罪專項行動，對侵害公民個人信息安全犯罪施以重拳。截至今年7月,全國公安機關累計查破刑事案件750余起,抓獲犯罪嫌疑人1900余名,繳獲信息230余億條,清理違法有害信息35.2萬余條,關停網站、欄目610余個,專項行動取得明顯成效。

按照公安部統(tǒng)一部署,各地公安機關精心組織、迅速行動,抽調精干警力,成立工作專班,多措并舉、多管齊下,深入開展打擊網絡侵犯公民個人信息犯罪、整治網絡秩序等專項工作。廣東公安機關開展了打擊整治網絡侵犯公民個人信息犯罪“安網1號”系列專案收網行動,抓獲犯罪嫌疑人379名,打掉犯罪團伙78個,偵破案件130起,帶破詐騙、盜竊、敲詐勒索等案件832起。山東公安機關集中力量、重點攻堅,破獲網絡侵犯公民個人信息案件126起,抓獲違法犯罪嫌疑人339名,打掉泄露公民個人信息的源頭30個,摧毀網上販賣公民個人信息的網站、論壇18個。北京公安機關針對屬地網站多、數(shù)據(jù)量大等特點,堅持打擊與整治并舉,在查破案件的同時,清理違法有害信息2萬余條,刪除、關停發(fā)布侵犯公民個人信息的違法有害信息賬號1000余個。

公安部網絡安全保衛(wèi)局有關負責人表示,下一步,公安機關將繼續(xù)保持嚴打高壓態(tài)勢,不間斷地開展打擊行動,通過及時查處、有效打擊、清理整治,全力推進專項行動向縱深發(fā)展,最大限度遏制網絡侵犯公民個人信息犯罪活動。同時,公安機關也提醒廣大群眾,要切實增強個人信息安全保護意識,防止個人信息被不法分子侵害造成損失。

“大數(shù)據(jù)”下“大風險”

“當大數(shù)據(jù)進行交易的時候，目前據(jù)不完全統(tǒng)計80%是個人信息。這個冰山還沒有浮出來，但是危害已經產生，所以在大數(shù)據(jù)交易的過程中最重要兩個環(huán)節(jié)一是清洗和脫敏，脫敏又叫匿名化，但全球都尚未形成脫敏的具體標準。”在北京強國知識產權研究院與北京理工大學聯(lián)合主辦的2016強國知識產權論壇“互聯(lián)網安全與治理模式創(chuàng)新”分論壇上，重慶大學法學院博士生導師齊愛民教授披露說。

全國律師協(xié)會信息網絡與高新技術委員會副主任陳際紅認為，由脫敏標準不統(tǒng)一造成的信息泄露問題，在大數(shù)據(jù)的跨境傳輸中很可能會被放大。對于已存儲的個人信息，即使交易方履行了保密義務，在大數(shù)據(jù)交易時也可能存在信息泄露的風險。

“很多交易方會說為了保護個人信息將采取漂白數(shù)據(jù)的脫敏技術，而目前的數(shù)據(jù)脫敏卻存在很大問題，由于沒有統(tǒng)一的脫敏標準，對脫敏的技術程序也沒有統(tǒng)一要求，有的數(shù)據(jù)交易中采用的是可恢復性脫敏，比如數(shù)據(jù)加密，有的則采用不可恢復性脫敏。而采取可恢復性脫敏的情況下就會存在可逆化，敏感信息的可逆將導致個人信息的泄露。”陳際紅說。

時下，手機已經成為我們離不開的工具。今年初，獵網平臺發(fā)布的《2015年網絡詐騙趨勢研究報告》顯示，社交工具是網絡詐騙信息傳播的最主要途徑，占59.3%。

360公司法律研究院副總監(jiān)趙軍說，設備7×24小時的聯(lián)網會帶來個人隱私數(shù)據(jù)的泄露。“你的行程、你的吃飯的信息、你買東西的信息可能都在手機上面體現(xiàn)，如果這些信息一旦泄露，個人基本是完全透明的人，隱私數(shù)據(jù)的泄露會帶來非常大的威脅。無線設備增多，網絡接入點多，攻擊面擴大。”趙軍介紹說。

北京師范大學管理學院副教授黃國彬分析說，目前關于個人數(shù)據(jù)引發(fā)的風險來源包括企業(yè)、個人和政府。很多企業(yè)現(xiàn)在通過APP來收集個人的行為數(shù)據(jù)的存儲信息，很多APP服務提供商的服務協(xié)議對個人信息和數(shù)據(jù)的處理做一些對企業(yè)更有利、對用戶并不是完全有利的格式合同的規(guī)定。如果用戶沒有進行很好的權限管理，很多APP可以看到通信錄、短信內容、攝像頭，導致更多方面的個人數(shù)據(jù)被隨時收集。此外，目前在在移動網絡、云存儲或者云服務環(huán)境下個人數(shù)據(jù)的保護方面，我國存在立法滯后和緩慢的情況。

據(jù)360互聯(lián)網安全中心相關負責人介紹，目前，因使用WiFi而引起的WiFi釣魚、掛馬盜取賬號、竊取隱私甚至盜用用戶銀行卡存款的行為時有發(fā)生。黑客實際掌握用戶數(shù)據(jù)庫的數(shù)量已超過1億條，中國黑客的黑色產業(yè)鏈規(guī)模或高達上百億元。

在趙軍看來，在目前高危的網絡安全事件頻發(fā)的情況下，網絡安全命運共同體已經形成，解決網絡安全不僅僅靠一兩家公司的問題，也不僅僅是靠政府的問題，而應該群防共治。尤其是給相關主體更多的法律保障。

法律“利劍”何時出鞘？

用法律利劍保護自己，是現(xiàn)代公民的合理選擇。可是現(xiàn)在這把“利劍”還未磨好。

在立法方面，我國目前尚未制定出臺個人信息保護法，因而如何界定個人信息，是一個重要問題。雖然《電信和互聯(lián)網用戶個人信息保護規(guī)定》《全國人大常委會關于加強網絡信息保護的決定》等法律文件對個人信息保護做出相關規(guī)定，但都存在系統(tǒng)性不足、可操作性不強等問題，難以滿足實際需求。《個人信息保護法》更是“只聽樓梯響，不見人下來”。早在2003年，國務院信息辦就委托中國社科院法學所承擔相關課題及草擬一份專家建議稿，課題組于2005年提交《個人信息保護法》專家意見稿。時至今日，這部法律仍處于草案提交階段。

另據(jù)統(tǒng)計，涉及個人信息保護方面的法律有將近40部，法規(guī)有30部，另外還有一些部門規(guī)章和一些地方法規(guī)。但是，這些散落各處的法律條文和規(guī)章，內容缺乏統(tǒng)一性，相互之間也缺乏銜接，不利于法律的適用。就法律的效力而言，大多數(shù)是一些位階比較低的行政法規(guī)、地方性法規(guī)、部門規(guī)章等，缺乏權威性，這些都難以成為信息保護的法律“利劍”。

法律的不完善，讓一些犯罪行為難以認定，給了不法分子鉆空子的機會。同時，由于沒有法律對個人信息的監(jiān)管部門進行明確，使我國個人信息保護處于多部門監(jiān)管狀態(tài)，“九龍治水”的局面普遍存在，看似很多部門都在管，結果哪個部門都沒有管好。雖然法律層面的問題是導致監(jiān)管不力的重要原因，但并不是說監(jiān)管部門只能束手無策。為避免多頭監(jiān)管產生的決策分散、監(jiān)管無序等問題，一方面，要通過法律明確個人信息保護的主管部門，將每個層級的責任落實到位。另一方面，要加強各相關部門的溝通協(xié)作，形成高效的監(jiān)管體系。

在具體做法上，對于個人信息保護，監(jiān)管部門完全可以按照“誰使用，誰負責”的原則，對采集個人信息的政府機構、企事業(yè)單位和個人等進行約束，無論是因為主觀違反相關規(guī)定的行為，還是因安全防護措施不到位等客觀原因導致信息泄露的，都應該進行嚴厲處罰。對此，還可以引入第三方安全評估與監(jiān)測機制，對個人信息存儲環(huán)境、流通渠道加強監(jiān)控和管理。

現(xiàn)在對個人信息的保護層級不夠，部門規(guī)章僅僅限定在部門業(yè)務范圍之內，無法管理職責范圍之外的東西，可網絡上的業(yè)務往往是超越目前部門的劃分。在保護個人信息時，不同的部門、不同的行業(yè)之間如何協(xié)調對接，如何分配各自的權利義務，法律應該有明確的規(guī)定。

名正則言順，綱舉則目張。涉及個人信息保護的問題有很多，尤其是互聯(lián)網技術的快速發(fā)展使得個人信息更復雜、更豐富，非常需要加速國家層級的立法進程。依法對個人信息進行嚴密的監(jiān)控和保護，提高不法分子的違法成本，加大不法行為的懲處力度，確保公民的個人信息安全，急切地需要呼喚“頂層設計”。

好在，個人信息保護立法越來越受到各界的重視。今年的全國兩會上，全國人大代表、南京郵電大學校長楊震再次提出議案，建議國家盡早啟動個人信息保護法立法。楊震表示，信息社會需要建立在對個人信息保護的基礎上，只有個人數(shù)據(jù)在法律保護下安全迅速地收集和流通，才能有利于促進我國社會的信息化進程，才能推動我國信息產業(yè)與世界接軌，這是信息時代發(fā)展的必然要求。

總之，將公民個人信息保護納入法制化軌道，是法治社會的必然選擇。有法律兜底才能做到有法可依，才能對侵犯公民個人信息的行為予以更有力的懲罰，并對各方不法行為實現(xiàn)源頭治理。法律的尊嚴，除了它的規(guī)范指引和教育作用外，最重要的是對違法犯罪者的嚴厲懲罰，這既是維護社會公平正義的底線，也是法律得以遵守、秩序得以維護的基本保證。