個(gè)人信息安全須用規(guī)范“保駕”

洪延青 姚相振 何延哲

隨著信息技術(shù)的高速發(fā)展，個(gè)人信息的搜集變得越來(lái)越容易，信息泄露問(wèn)題也越來(lái)越嚴(yán)重。8月19日，山東省臨沂市高考錄取新生徐玉玉被不法分子冒充教育、財(cái)政部門(mén)工作人員詐騙9900元，徐玉玉在報(bào)案回家途中暈厥，心臟驟停，不幸離世。9月9日，公安部公布徐玉玉案詐騙細(xì)節(jié)，嫌疑人通過(guò)攻擊“山東省2016高考網(wǎng)上報(bào)名信息系統(tǒng)”，盜取了包括徐玉玉在內(nèi)的大量考生報(bào)名信息。電信詐騙惡性事件的頻發(fā)，也引發(fā)公眾對(duì)個(gè)人信息保護(hù)的關(guān)注。

如何保護(hù)個(gè)人信息安全？加快出臺(tái)個(gè)人信息安全規(guī)范、保護(hù)指南等網(wǎng)絡(luò)安全國(guó)家標(biāo)準(zhǔn)是當(dāng)務(wù)之急。近日，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組辦公室、國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局、國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)聯(lián)合發(fā)布了《關(guān)于加強(qiáng)國(guó)家網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化工作的若干意見(jiàn)》（以下簡(jiǎn)稱《意見(jiàn)》），《意見(jiàn)》的第二部分《加強(qiáng)標(biāo)準(zhǔn)體系建設(shè)》中提出“推進(jìn)急需重點(diǎn)標(biāo)準(zhǔn)制定”，并明確將制定“個(gè)人信息保護(hù)”方面的標(biāo)準(zhǔn)列為近期工作重點(diǎn)之一。

上網(wǎng)如履薄冰只因遍布“荊棘”

當(dāng)下，我國(guó)個(gè)人信息保護(hù)現(xiàn)狀亟待改進(jìn)。僅2014年，中國(guó)就有多家知名電商、快遞公司、招聘網(wǎng)站、考試報(bào)名網(wǎng)站等發(fā)生信息泄露事件，其中由于用戶管理模塊存在漏洞，某知名手機(jī)廠商論壇包括賬號(hào)、密碼和社交賬號(hào)等800萬(wàn)用戶個(gè)人信息遭泄露；最新發(fā)布的《2015年我國(guó)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢(shì)綜述》顯示，過(guò)去的一年我國(guó)同樣發(fā)生了嚴(yán)重的數(shù)據(jù)泄露事件：約10萬(wàn)條應(yīng)屆高考考生信息泄露事件、某票務(wù)系統(tǒng)近600萬(wàn)用戶信息泄露事件等等。

在2016年4月19日召開(kāi)的網(wǎng)絡(luò)安全和信息化工作座談會(huì)上，習(xí)近平總書(shū)記高屋建瓴地對(duì)網(wǎng)信工作六大重點(diǎn)問(wèn)題進(jìn)行了系統(tǒng)性論述，提出了“以人民為中心”的網(wǎng)信發(fā)展思想，并做出了“網(wǎng)絡(luò)安全為人民、網(wǎng)絡(luò)安全靠人民”的重要指示。顯然，現(xiàn)實(shí)狀況和總書(shū)記提出的要求有明顯差距。如果個(gè)人信息遭未經(jīng)授權(quán)的訪問(wèn)、使用、披露、破壞、修改等的局面不加改善，網(wǎng)絡(luò)空間依舊荊棘遍布、陷阱重重，老百姓上網(wǎng)、用網(wǎng)不放心，互聯(lián)網(wǎng)如何能成為人們學(xué)習(xí)、工作、生活的新空間，獲取公共服務(wù)的新平臺(tái)？

正如《意見(jiàn)》指出，“網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化是網(wǎng)絡(luò)安全保障體系建設(shè)的重要組成部分，在構(gòu)建安全的網(wǎng)絡(luò)空間、推動(dòng)網(wǎng)絡(luò)治理體系變革方面發(fā)揮著基礎(chǔ)性、規(guī)范性、引領(lǐng)性作用”，為實(shí)質(zhì)性地改善收集、使用個(gè)人信息的組織機(jī)構(gòu)的行為，急需一套科學(xué)、先進(jìn)并且符合現(xiàn)實(shí)需求、具有操作性的個(gè)人信息保護(hù)行為規(guī)范。

目前，《個(gè)人信息安全規(guī)范》標(biāo)準(zhǔn)制定項(xiàng)目已經(jīng)在全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)立項(xiàng)，并被列為今年的重點(diǎn)標(biāo)準(zhǔn)項(xiàng)目。參加該標(biāo)準(zhǔn)制定工作的單位包括北京信息安全測(cè)評(píng)中心、頤信科技有限公司、中國(guó)信息安全研究院、中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、公安部第一研究所、四川大學(xué)、上海國(guó)際問(wèn)題研究院、騰訊、阿里巴巴等。

立足國(guó)情接軌國(guó)標(biāo)制定“攻略”

《個(gè)人信息安全規(guī)范》標(biāo)準(zhǔn)將針對(duì)處理個(gè)人信息的各類組織（包括機(jī)構(gòu)、企業(yè)等），提出具體的保護(hù)要求，定位為我國(guó)個(gè)人信息保護(hù)工作的基礎(chǔ)性標(biāo)準(zhǔn)文件，為今后開(kāi)展與個(gè)人信息保護(hù)相關(guān)的各類活動(dòng)提供參考，為制定和實(shí)施個(gè)人信息保護(hù)相關(guān)法律法規(guī)奠定基礎(chǔ)，為國(guó)家主管部門(mén)、第三方測(cè)評(píng)機(jī)構(gòu)等開(kāi)展個(gè)人信息安全管理、評(píng)估工作提供指導(dǎo)和依據(jù)。

首先，《個(gè)人信息安全規(guī)范》將把握好以下四方面價(jià)值中的平衡：一是個(gè)人隱私權(quán)和信息自決權(quán)，包括在一定程度上控制個(gè)人信息的收集、使用、流轉(zhuǎn)，以及控制基于數(shù)據(jù)作出的各項(xiàng)決定對(duì)個(gè)人的影響；二是發(fā)展利益，即企業(yè)和產(chǎn)業(yè)充分利用個(gè)人信息，提供、改進(jìn)、創(chuàng)新產(chǎn)品和服務(wù)的合理訴求；三是公共利益，政府相關(guān)部門(mén)利用個(gè)人信息完成公共管理，以及社會(huì)發(fā)展所必須的信息自由流動(dòng)和公眾知情權(quán)；四是國(guó)家利益，個(gè)人信息跨境流動(dòng)對(duì)國(guó)家主權(quán)、國(guó)家安全、國(guó)家競(jìng)爭(zhēng)力等方面造成的正面、負(fù)面影響。

其次，《個(gè)人信息安全規(guī)范》將立足于我國(guó)現(xiàn)有的法律、法規(guī)、規(guī)章、標(biāo)準(zhǔn)，包括全國(guó)人大常委會(huì)《關(guān)于維護(hù)互聯(lián)網(wǎng)安全的決定》、全國(guó)人大常委會(huì)《關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》《刑法修正案（五）》《刑法修正案（七）》《刑法修正案（九）》《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》（GB/Z28812-2012）、《信息安全技術(shù)信息技術(shù)產(chǎn)品供應(yīng)方行為安全準(zhǔn)則》（報(bào)批稿）等。除此之外，《個(gè)人信息安全規(guī)范》將參考個(gè)人信息保護(hù)方面最先進(jìn)的國(guó)外立法。例如，OECD隱私框架、APEC隱私框架等國(guó)際規(guī)則，歐盟《通用數(shù)據(jù)保護(hù)條例》、歐美“隱私盾”協(xié)議、美國(guó)“消費(fèi)者隱私權(quán)法案”等歐美個(gè)人信息保護(hù)方面的立法。

最后，《個(gè)人信息安全規(guī)范》將在參考個(gè)人信息保護(hù)方面的國(guó)際標(biāo)準(zhǔn)的基礎(chǔ)上做到與國(guó)際接軌。ISO/IEC JTC1/ SC27是國(guó)際標(biāo)準(zhǔn)化組織（ISO）和國(guó)際電工委員會(huì)（IEC）聯(lián)合技術(shù)委員會(huì)（JTC1）下屬專門(mén)負(fù)責(zé)信息安全領(lǐng)域標(biāo)準(zhǔn)化研究與制定工作的分技術(shù)委員會(huì)，SC27/WG5負(fù)責(zé)身份管理和隱私保護(hù)相關(guān)標(biāo)準(zhǔn)的研制和維護(hù)，目前最具代表性和體系性的屬I(mǎi)SO/IEC 29100系列標(biāo)準(zhǔn)，包括：ISO/IEC 29100《隱私保護(hù)框架》、ISO/IEC 29101《隱私體系架構(gòu)》、ISO/IEC 29190《隱私能力評(píng)估模型》、ISO/IEC 29134《隱私影響評(píng)估》、ISO/ IEC29151《個(gè)人可識(shí)別信息保護(hù)指南》等。此外，還有美國(guó)的保護(hù)個(gè)人身份信息機(jī)密性指南（NIST SP800-122）、聯(lián)邦信息系統(tǒng)隱私與安全控制（NIST SP800-53）；歐盟的數(shù)據(jù)保護(hù)審計(jì)實(shí)踐清單（CWA 15262：2005），管理者的自評(píng)估框架（CWA 16112：2010），個(gè)人數(shù)據(jù)保護(hù)良好實(shí)踐（CWA 16113：2010），等等。

順應(yīng)發(fā)展方讓個(gè)人信息“無(wú)虞”

當(dāng)今社會(huì)逐漸進(jìn)入大數(shù)據(jù)時(shí)代，習(xí)近平總書(shū)記2015年5月在給國(guó)際教育信息化大會(huì)的賀信中指出，“當(dāng)今世界，科技進(jìn)步日新月異，互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)等現(xiàn)代信息技術(shù)深刻改變著人類的思維、生產(chǎn)、生活、學(xué)習(xí)方式，深刻展示了世界發(fā)展的前景。”

大數(shù)據(jù)時(shí)代，數(shù)據(jù)正在成為一種生產(chǎn)資料，成為一種稀有資產(chǎn)和新興產(chǎn)業(yè)。任何一個(gè)行業(yè)和領(lǐng)域都會(huì)產(chǎn)生有價(jià)值的數(shù)據(jù)，而對(duì)這些數(shù)據(jù)的統(tǒng)計(jì)、分析、挖掘則會(huì)創(chuàng)造意想不到的價(jià)值和財(cái)富。

然而，大數(shù)據(jù)技術(shù)和應(yīng)用的迅猛發(fā)展也使得個(gè)人信息保護(hù)面臨更多挑戰(zhàn)：收集環(huán)節(jié)——移動(dòng)互聯(lián)網(wǎng)和物聯(lián)網(wǎng)的發(fā)展使對(duì)個(gè)人信息的收集日益密集、隱蔽；使用環(huán)節(jié)——多來(lái)源的個(gè)人信息組合，形成數(shù)字畫(huà)像、實(shí)時(shí)追蹤，數(shù)據(jù)挖掘增加個(gè)人信息和隱私暴露的風(fēng)險(xiǎn)，顯著影響個(gè)人權(quán)益；披露環(huán)節(jié)——數(shù)據(jù)流轉(zhuǎn)、交易形成鏈條，信息處理主體多元，流轉(zhuǎn)方式紛繁復(fù)雜，個(gè)人信息跨境流動(dòng)成為常態(tài)。

《個(gè)人信息安全規(guī)范》的編制工作將充分體現(xiàn)安全與發(fā)展的關(guān)系，在開(kāi)放發(fā)展的大環(huán)境下保護(hù)公民個(gè)人信息，既要順應(yīng)大數(shù)據(jù)等新技術(shù)新應(yīng)用的發(fā)展，也要建設(shè)科學(xué)有效的機(jī)制抵御其帶來(lái)的風(fēng)險(xiǎn)，研制出符合我國(guó)信息化發(fā)展現(xiàn)狀的個(gè)人信息保護(hù)標(biāo)準(zhǔn)。