基于個人信息利用的安全管理研究

收稿日期：2014-12-15

作者簡介：賀洪明，男，中共貴州省委黨校圖書館館長，研究館員。賀洪明

（中共貴州省委黨校，貴陽550028）

摘要：在網絡環境下，個人信息利用的安全管理成為一個重要的社會問題，深入研究個人信息利用與安全管理勢在必行。文章分析了個人信息利用的不安全因素，對加強個人信息利用的安全管理提出了對策建議。

關鍵詞：個人信息；信息利用；安全管理

中圖分類號：G647；D923文獻標識碼：A文章編號：1009-5381（2015）03-0088-04

在網絡環境下，個人信息的安全管理成為一個重要的社會問題。雖然公眾對個人信息管理的重要性有一定認識，但主動加以保護的意識并不高，有關機構在處理個人信息時，也未能盡職盡責。由于個人信息主體保密意識淡薄，個人信息受到其他主體的過失侵權，甚至受到詐騙和敲詐勒索等惡意侵權的情況時有發生，嚴重威脅到個人信息的安全。個人信息頻頻受到侵犯的現象已引起廣大民眾的極大反感，因此，深入研究個人信息利用的安全管理勢在必行。

一、個人信息概述

所謂個人信息，“是指自然人的姓名、性別、出生時間、像貌特征、身份證號、指紋、婚姻、家庭、住址、學歷、職業、職務、職稱、健康、病歷、財務情況、社會活動及其他足以用來識別該個人的信息總和”[1]。個人基本信息主要有：一是個人的自然情況，包括姓名、性別、民族、出生時間、身高、體重、血型、身份證號碼、社會保險卡號碼、家庭電話號碼、醫療記錄、財務信息、人事檔案、可識別個人的圖像或聲音等；二是與個人相關的社會背景，包括受教育程度、工作經歷、宗教及其他信仰、政治觀點和傾向、社會關系等；三是家庭基本情況，包括婚姻狀況、配偶、父母、子女等；四是其他，如計算機儲存的個人資料等。

在網絡環境下，“個人信息利用就是在尊重信息所有人的信息決定權、信息保密權、信息查詢權、信息更正權、信息封鎖權、信息刪除權和報酬請求權的前提下，在信息收集過程中做到限制收集、保持完整正確以及目的明確的限制利用，同時要采用各種措施，在保證個人信息安全這一前提下對個人信息進行充分的利用”[2]。個人信息利用主要涉及到提供、委托、交易三個方面的內容：①提供。在個人信息提供中，存在三方相互制約的關系，包括個人信息主體、個人信息管理者和第三方個人信息管理者。個人信息提供是個人信息管理者將合法擁有的個人信息主體的個人信息，以各種形式提交、供給第三方使用。個人信息管理者對合法擁有的個人信息主體的個人信息負有管理的責任和義務，因而，提供第三方使用時，附帶相應的責任和義務。②委托。在委托合同關系中，接受委托方稱受托方，委托處理事務方稱為委托方。在服務外包中，發包方可以稱為委托方，承包方可以稱為受托方。個人信息管理者在特定、明確、合法的目的范圍內，經個人信息主體同意，委托第三方處理、使用個人信息。個人信息委托包括三種形式：一是委托第三方收集、處理個人信息，二是在委托業務中涉及相關個人信息，三是受托方接受委托后（與個人信息相關）的再委托行為。個人信息委托同樣附帶相應的責任和義務。③交易。個人信息交易是以個人信息為標的物的交易，交易雙方必須存在權利、義務關系，即必須履行個人信息管理者的責任和義務，保證個人信息的安全。個人信息交易行為包括：基于某種利益關系的個人信息交換行為和基于某種利益關系的個人信息買賣行為。

二、個人信息利用的不安全因素

（一）個人信息主體保密意識淡薄

存在個人信息主體保密意識淡薄的因素主要表現在以下五個方面：一是密碼和用戶名設置不當。密碼給信息提供了最基本也是最重要的保護，但一些網民用自己的生日、電話號碼或只用單一的數字等作為密碼，這會給不法分子帶來可乘之機，對個人信息的保護非常不利。除了密碼之外，很多人習慣在所有的網站用同一用戶名，使得自己在各個網站的信息有了一個緊密的聯系，別人可以通過該用戶名將這些分散的、零星的信息綜合起來，得到原本無法獲得的新信息。二是個人信息存儲空間選擇不當。相對于傳統的信息存儲載體來說，人們越來越習慣利用網絡進行個人信息的管理，但應注意的是，有些網站并不規范、合法，在進行存儲空間的選擇時應該謹慎，避免進入一些陷阱。例如，一些網站正是通過出售網民的資料獲利，他們將網民的資料出售給交友網站、廣告公司、中介所等。三是個人信息空間訪問權限設置不當。訪問權限一般有完全私密、僅對好友公開、對所有人公開等選擇，但用戶往往忽略該項設置，而默認的情況下一般是對所有人公開。等到信息通過網絡傳播開來的時候，用戶才想起來去更改權限或刪除消息，但已是亡羊補牢了。四是對電子郵件來源不加確認。有一種網絡詐騙叫“網絡釣魚”，這些通常偽裝成金融服務供應商的郵件會讓人們更新賬戶號或密碼，甚至是冒充人們的某個朋友要求更新聯系方式。絕大多數人往往會直接回復這類郵件，其結果就是郵箱被蜂擁而至的大量廣告郵件填滿，而重要的郵件卻被淹沒或覆蓋。五是忽略網站的隱私保護條款。網民們常常忽略閱讀網站上的一些隱私條款，有些網站會非常坦誠地告訴你，他們會在你默認的情況下與保險公司、旅行社、百貨商場共享你的資料，你可以選擇不共享或者只與其中的部分機構共享。

管理視界每個欄目名稱賀洪明：基于個人信息利用的安全管理研究（二）個人信息受到其他主體的過失侵權

相比較個人信息主體自身的疏忽大意來說，其他主體的行為更加難以控制。首先是親友疏忽大意泄密。以開心網為代表的社交型類網站越來越受到年輕網民的歡迎?？梢娤胍诰W絡上獲取他人的信息并不難，這就意味著信息很容易由于朋友、親人、同事等關系密切的人的疏于防范而被泄漏出去。其次是相關機構未盡妥善保管義務。很多時候用戶在網上發布信息是基于某一目的只向特定的主體發布的，但實際情況往往是，用戶在網上發布信息之后，這些信息就處于失控狀態，用戶無法按照自己的意愿去管控它們。如果登錄—些招聘、交友、購物等信息類網站，就能看到需求者留下的聯系方式，這些網站并不會為你的信息保密，相反，公開用戶的這些信息就是他們的活廣告。還有政府機關因為工作關系，也經常大量持有人們的個人信息，因為信息社會和服務型政府的建設，離不開各種數據的收集、統計、分析，這些信息有助于政府了解社會、管理社會和服務社會。但是，目前政府對這些信息的保護還不盡完善，往往沒有人告知這些個人信息的留存期限、保護政策、適用范圍、如何更新、權利和相關責任人是誰。

（三）不法分子惡意侵權

網絡信息技術的發展，使人們管理個人信息的方法越來越多，但也使人們的個人信息變得越來越不安全。網絡出現的各種數據竊取惡意型軟件讓人膽戰心驚，它會通過網絡入侵個人計算機，不知不覺地竊取他人的隱私信息，如網上銀行證書、信用卡號碼、社會安全號碼、各種密碼，然后將這些信息轉入地下市場中倒賣，或用于從事其他違法活動?！案鶕厔菘萍糡rendlabs的調查數據顯示，木馬是數據竊取惡意型軟件中發展速度最快的軟件”[3]。木馬中的信息反饋機制會將被感染的網絡和個人電腦里的信息通過電子郵件、ICQ等方式告知控制端用戶，使人們的個人信息處于不法分子的控制之中。這種侵權行為常常表現為：未經個人信息主體同意或授權，擅自在網上公開、宣揚、散布、泄漏、轉讓他人的或與他人之間的個人信息；竊取、復制、收集他人傳遞過程中的電子信息；擅自侵入他人的電子郵箱，發送垃圾郵件、郵件炸彈、惡意病毒等；擅自侵入他人的個人信息系統，收集、破壞、竊取他人的個人信息等。

三、加強個人信息安全管理的對策

（一）堅持個人信息管理安全原則

個人信息安全意識是個人信息素養的重要組成部分，也是個人信息管理活動的重要內容。它既包括保護自己不受侵害，也包括讓自己不要侵害他人。因此，在實際的管理活動中應堅持三項原則：①熟悉原則。盡量選擇以前用過的比較熟悉的或是很多人都在使用的信息來源。對于那些不熟悉的東西，如郵箱中出現的來歷不明的郵件、從某個不知名網站上下載的程序或是別人發給你的陌生網址等，需要提高警惕。建議在確定安全性之前，不要去碰它們。②謹慎原則。對于信息安全問題，沒有有效的、通用的解決辦法，但個人的信息安全意識和習慣無疑非常重要，而且有些信息安全問題是軟件不能解決的，如網上需要你填寫個人信息，就需要謹慎。填寫之前思考一下，為什么網站需要我的這些信息？與網站為我提供的服務有關系嗎？對于可選的項目，盡量選擇不填。③保護原則。并不是所有的個人信息都需要小心保護的。對于一些核心的重要信息，如身份證號碼、銀行賬號和密碼、手機號碼等信息，建議無論在何種情況下，都不要輕易透露；對于一些不重要的信息就不需要小心謹慎。

（二）做到自我保護與技術支撐相結合

哈佛法學院憲法學教授 Charles Feied 指出，“信息隱私的理念，似乎不應該只局限于不讓他人取得人們的個人信息，而是應該擴展到由人們自己來控制個人信息的使用與流向。因此，做好網絡個人信息保護工作不能依賴于他人的道德或者法律的救濟，必須要從源頭抓起——要提高網絡用戶自身的信息保護意識，從日常的個人信息管理習慣著手，控制好個人信息的使用和流向，做好自我保護?！盵4]因此，個人信息應從以下幾方面做好自我保護：一是對重要信息加密，不訪問存在不安全因素的網站；二是不與來歷不明的人共享信息，重視網站的隱私保護條款和設置個人信息的訪問權限；三是勤于給自己的計算機更新殺毒軟件的病毒庫和安裝系統補丁，防止郵件炸彈或惡意病毒的侵入而使個人信息受到破壞、竊取。在做好自我保護的前提下，建議國家應該支持和鼓勵信息技術行業研發出既簡單又安全、易操作的大眾化軟件，在軟件的安裝方面采用自動化操作；成立公益性的、專門的個人信息安全咨詢服務組織，為公眾提供技術支持服務。這樣就能使眾多非計算機專業的用戶也能擁有保護網絡個人信息的武器，自我保護個人信息才能在廣大民眾中普遍實現。

（三）完善個人信息保護立法與行業自律相結合

目前，在我國個人信息缺乏有效的立法保護的情況下，行業自律自然就成為一種有效的保護模式，行業自律在實現個人信息的保護上，不但比法律來得更為便捷、迅速，而且成本低廉、保護面又廣泛。只有在相關行業自律加以救濟下，個人信息用戶的權利才能全面、及時地得到維護。但是，僅僅靠行業自律加以救濟是不夠的，必須要有法律來作保障。筆者建議加快我國《個人信息保護法》立法的進程， 該法的基本原則應該是平衡個人信息權與國家利益、行業利益之間的關系，即既要考慮到個人信息安全又要保障信息的正常利用；政府在立法時，不但要制定相關的保證公眾知情權的配套法律，還應在司法實踐中與網絡個人信息保護相制衡，逐漸達到一個既不背離原則又不脫離現實的平衡，真正達到個人信息保護法律的不斷完善。

（四）制定個人信息物理安全防護措施

個人信息安全管理與整體信息安全防護體系是密不可分的，在建立整體信息安全防護體系時，要從物理、技術、管理等角度采取相應的個人信息安全保護措施。一是環境安全。在環境安全中不但要加強環境安全設施（如門禁系統、監控系統、消防設施、員工個人工作場所及與之相關的周邊環境的物理設施等），還要善于防備環境安全的不利因素（包括防火、防盜及自然災害、意外事故、人為因素等）。二是與管理措施結合。保證個人信息的物理安全，應建立相應的管理機制，如制定安全策略、安全管理規范、人員約束機制等。三是技術保障。保證個人信息的物理安全，應利用相關的技術保障。物理安全保障需要將安全管理與安全技術有效銜接，強調人、技術和管理的有機結合。

（五）建立個人信息安全管理機制

在制定個人信息物理防護措施的基礎上，應從兩個方面來建立個人信息安全管理機制。一是完善管理機構。為保證個人信息保護體系的正常運行，約束個人信息管理行為，需要建立相應的個人信息管理機構，賦予相應的職能、所需資源和一定的職權。政府部門、事業單位應由分管人事機要的領導負責，企業、公司由總經理任命一名副總經理，全面負責個人信息管理機構的工作，包括個人信息保護體系的構建、實施和運行。管理機構工作人員必須明確職責，清晰理解并實踐所負責的個人信息安全的相關活動，保證個人信息安全相關活動的質量和效果。二是健全各項管理制度。注意工作環境內所有與個人信息相關的資料的保護，防止未經授權的、無意的、惡意的使用、泄漏、損毀、丟失；出入工作場所時，對可能通過電子設備、資料文件等電子、紙質文檔攜帶的個人信息，可以采取出入登記制度，并說明保密規定；與個人信息相關的資料的使用、借閱，應采取登記備案制度；對含有個人信息的各類電子、紙質文件及計算機系統中的文件夾等應采取相應的防護措施；在與外部網絡、電子郵件等的信息交換過程中，應特別制定強有力安全措施；應明確與個人信息相關人員的權限、責任，加強人員管理，防止未經授權的對個人信息的訪問；涉及個人信息處理的計算機系統，對使用權限、啟動設置等使用功能應注意采取安全措施。

參考文獻：

[1]季雪梅.簡論個人信息的合理利用[J].情報探索，2011（11）：20-21.

[2]趙明輝.電子病歷的個人信息保護研究[D].黑龍江大學碩士論文，2012.

[3]Britta.網絡犯罪幕后黑手：數據竊取型惡意軟件[EB/OL].2009-07-02[2014-11-25].http：//security.ctocio.com.cn/securitynews/228/8956228.shtml.

[4]劉帥.歐美網絡個人信息保護的啟示[J].淮北師范大學學報，2012（6）：26-27.

責任編輯：孔九莉