個人信息安全保障能力建設研究

倪惠康，何 菲

(1.上海市信息安全測評認證中心，上海 200011; 2.華東理工大學信息辦，上海 200237)

0 引言

當今,互聯網的大規模應用使得數據信息開始充斥于個人生活中，開啟了整個社會的信息化數字化轉型。互聯網原本具有極強的匿名性，但當大數據時代來臨，經年累月沉淀在互聯網中的無數的個人信息性也變得不堪一擊。個體被細化成為一個個數據包的集合體，被各種數據不停畫像，最終將成為大數據時代的“透明人”。

個人信息保護問題在大數據時代里備受關注。在法律層面，2017年6月《中華人民共和國網絡安全法》正式實施[1]，對個人信息保護問題給予極大關切；2018年9月，《十三屆全國人大常委會立法規劃》已將個人信息保護法列入議事日程，相關立法呼之欲出；2019年6月，國家互聯網信息辦發布《數據安全管理辦法(征求意見稿)》[2]，對“利用網絡開展數據收集、存儲、傳輸、處理、使用等活動”提出要求。在市場監督層面，2019年1月中央網信辦、工信部、公安部、市場監管總局等部門聯合發布《關于開展APP違法違規收集使用個人信息專項治理的公告》[3]，針對各類應用程序中存在強制授權、過度索權、超范圍收集個人信息，違法違規使用個人信息等突出問題，展開全國范圍的專項治理。

1 個人信息泄露造成廣泛影響

個人信息泄露后造成的影響比較復雜，在各方面影響都呈耦合狀，主要影響目前可以歸納為五類，后期隨著智能化技術的發展，利用個人信息產生的影響將越來越大。一是商業環境下的廣告精準投放。定向廣告是互聯網企業借助用戶行為數據分析目標用戶的偏好或需求，進而針對不同類型的用戶投放不同的廣告。中國互聯網協會發布的《2016中國網民權益保護調查報告》表示，84%的網民曾經遭受過因個人信息泄露帶來的不良影響，比如廣告推銷等。二是電信精準詐騙。個人信息的泄露讓犯罪份子實施精準詐騙有機可乘，根據中國銀聯公布相關數據顯示，超過90%的電信詐騙是由于個人信息泄露引致的。三是互聯網環境人肉搜索。人肉搜索一直是法律的灰色地帶，其途徑主要依靠個人信息泄露，對社會和個人造成一定的影響。四是賬號密碼泄露造成經濟損失。2018年底發布的《網絡空間安全藍皮書：中國網絡空間安全發展報告(2018)》顯示，從2017年下半年到2018年上半年，網民因個人信息泄露等造成的經濟損失高達上千億元。五是造成公眾信息安全感的缺失。2018年12月發布的《公共安全感藍皮書：中國城市公共安全感調查報告(2018)》稱，中國城市居民對信息安全感最低，信息安全感指數在全部城市公共安全感分項指標中倒數第一，這與電信詐騙的發案率密切相關。反言之，公眾信息安全感可提升的空間較大，迫切需要加強對個人信息的保護。

2 信息泄露原因分析

敏感信息是指用戶或企業單位所獨有的不可公開的隱私信息，一般包括：個人信息、鑒別信息和商業信息三種。個人信息指的是用戶身份的相關屬性，如姓名、手機、身份證號、郵件等信息，在部分行業(如政府、金融行業)的系統中往往具有強實名信息。鑒別信息是指用戶進入系統所使用的認證信息，如用戶名、密碼、動態口令等信息。商業信息是指用戶在系統中的商業操作記錄，如采購信息、競價信息等。此三類信息一般均統一存儲于信息系統的數據庫中，是大部分信息泄露的總源頭。但是這三類信息分別具有不同的用途，泄露后產生的風險也不盡相同，具體如表1所示。

表1 敏感信息泄露風險情況

此外，在了解泄露源和泄露風險的情況后，還應深入分析敏感信息泄露的其他三個重要因素，分別為泄露原因、泄露方式和泄露渠道。敏感信息泄露的總體情況如圖1所示。

圖1 敏感信息泄露示意圖

目前大部分機構存在信息泄露的脆弱點。如有些互聯網系統存在SQL注入、跨站腳本等漏洞，可能被惡意人員從互聯網發起攻擊，獲取數據庫權限導致信息泄露等。部分系統雖然為內部系統，但內部業務終端可訪問互聯網，一旦該終端受到病毒木馬的攻擊，則導致系統中的敏感信息遭泄露。

泄露的方式卻有多種情況，一般分為內部泄露和外部泄露兩種。外部泄露是指機構以外的人員利用系統漏洞通過互聯網攻擊或布置釣魚網站欺騙用戶等手段，獲取用戶的敏感信息。隨著日愈猖獗的黑客盜取數據庫行為，從2011年爆發CSDN的600萬用戶信息泄露，至相繼而來的京東商城、美團網等電商淪陷，外部泄露危害的頻繁度與嚴重性可見一斑。另一種為內部泄露，是指機構人員及外包人員等能夠接觸內部系統的職工發生的信息泄露。國內70%的泄密事件均為內部泄密，這是由于內部人員擁有天然的合法權限訪問信息數據。如果內部人員信息安全意識不高，可能遺失存有明文敏感信息的移動介質，造成大量信息泄密。又或者內部業務人員甚至是系統管理人員出于個人利益目的將用戶敏感信息泄露給數據中間商，他們不僅可以將自己所擁有的系統權限范圍內的信息泄露，還可以通過內部攻擊系統，得到更多的用戶敏感信息，這類攻擊容易得手是由于系統往往對內防護較弱而導致的。另外，有些機構對系統的開發或運維采取外包的方式，且對賦予外包商較大的權限去訪問系統，使得外包商可接觸到系統內的敏感信息，一旦外包商的管理不完善也會造成大量敏感信息的泄露。敏感信息泄露的渠道一般為：第一手由外部黑客或內部人員非法獲取、轉至數據中間商、最終到達買家。泄露渠道每個環節的相關情況如表2所示。

表2 敏感信息泄露渠道情況

3 個人信息保護解決措施

個人信息保護是個龐大的系統性工程，做到真正防護要做到三個“不”，即“拿不到”、“用不了”、“逃不掉”。“拿不到”是指惡意人員無法通過非正常手段獲取大規模的個人信息；“用不了”是指惡意人員對已拿到的個人信息無法進行非法使用；“逃不掉”是指惡意人員進行個人信息的違法使用后將受到法律的制裁。

3.1 加強信息安全防護

監管部門加強整體監督，政府部門建立基礎保障平臺，企業采取全面防護措施以及用戶提高信息保護意識。

(1)監管部門加強整體監督應積極開展信息盜取的專項研究，對機構采取合規支撐、培訓認證、技術檢查的方法指導其盡量避免發生敏感信息泄露事件。合規支撐是個人信息保護的制高點，監管部門可以根據國家法律法規加強監督，根據不同的業務條線對所管轄的機構進行特殊規范，通過專項個人信息保護的研究，明確業務開展范圍。健全企業自查匯報機制、群眾舉報機制以及風險共享機制。培訓認證是為了喚醒與提高機構和用戶對信息安全，尤其是敏感信息保護的意識，明確信息管理的重要性。監管部門可聯合行業協會等單位共同舉辦相關的培訓，開展相關考試和認證。技術檢查是一種強制監督手段，進行定期檢查。具體方式可針對信息系統的脆弱點作一個深入的檢查，如敏感信息分類、加密存儲與傳輸、敏感信息訪問控制、非授權復制等，深入挖掘信息泄密重要的脆弱點，同時也針對整個信息系統的業務邏輯進行排查，基于業務流程的方法判斷系統存在的邏輯漏洞及相關風險，有效保障敏感信息在業務處理過程中能得到一定的隱匿與保護。

(2)政府部門首先可通過引入新技術新應用的方式，提供全新的基礎保障平臺。在生物識別方面，由于個人生物信息(如人臉、指紋、虹膜等)的不可更改性，一旦泄露可能導致無法彌補的后果。故可建立統一的個人生物信息特征庫。當企業需要個人信息進行比對時，只能統一通過向政府購買服務的方式，才能完成生物特征值的比對，而不能通過私自收集個人生物信息完成識別。再如區塊鏈技術的應用，可利用區塊鏈的特性(如保密性、可追溯性等)將個人信息控制權重新交回到用戶。基于區塊鏈技術普通個人能夠在建立數字身份的同時親身參與實現個人信息的保護，自行控制是否允許特定組織或個人訪問、儲存、分析或分享自己個人信息。

其次，可采用可信環境思想，采用可信計算、可信網絡等技術實現個人信息保護，如目前廣泛采用的手機TEE方式，能夠有效保障個人信息存儲在一個安全可靠的環境中。同時打造一個擁有可信用戶、可信網絡、可信終端、可信業務系統平臺等各方面安全可靠的整體可信網絡體系。

最后，政府部門還可將個人信息保護作為對各單位的重要績效考核指標之一，提高單位領導對于個人信息保護的重視程度，以加強各方面管理要求和技術要求的落實，提高單位整體的個人信息安全保護意識。

(3)企業采取全面防護措施應從兩方面入手。第一，在技術上經常對系統各層面的漏洞進行檢測，并及時進行安全補丁更新，盡可能地杜絕來自外部的攻擊。此外，部署有效的安全防護設備、行為審計設備等，時刻關注來自外部和內部的異常行為。對于重要的敏感信息應該使用符合國家密碼管理規定的密碼技術進行加密存儲，以提高整體的防護力度。第二，在管理上建立完善的審計與制約機制，對內部人員的權限實現最小分配，并設置安全管理員、審計員等重要角色，實時監控內部人員的非法操作。同時制定嚴格的管理制度，對泄露內部資料的人員以實施嚴厲的懲罰措施。此外，對于外包服務商則需采取嚴格的審核措施，盡量避免其接觸到客戶的個人敏感信息。

用戶提高信息保護意識是關鍵的一環，因為個人數據采集的源頭在于用戶，讓用戶了解個人信息的價值、泄露方式、泄露危害等，才能有效提高用戶的個人信息防護意識，在源頭上將信息泄露的風險降到最低。

3.2 建立可信社會體系

實現“用不了”是我國建成可信社會體系的重要體現。違法人員即使拿到大量的個人信息也無處可使，再多的個人信息也只是燙手的山芋，量刑的證據。所以要做到這點需要運營系統對個人信息做到嚴格限制和政府采取全面征信體制。

(1)運營系統對個人信息的使用進行嚴格限制。個人信息被違法人員盜取后，主要通過通信方式進行利用，一般為打電話、發短信、發電子郵件等。而這些動作都需要依靠運營商進行。運營商可以通過目前的先進技術對非法使用個人信息的電話號碼進行甄別、限制和禁用。如檢測出單個電話號碼每日發送的短信數遠超出正常社交范圍，且該電話號碼不是企業備案的號碼，就可對內容進行判斷，若存在個人信息濫用的情況則可采取限制，嚴重時進行禁用，同時將這些黑名單或征信信息報送公共征信平臺。

(2)政府采取全面征信體制。建議政府推進信用信息基礎平臺的建設，對于個人信息的違法利用，主要通過運營商的風控手段進行甄別。同時整合互聯網絡、政府征信資源(如工商、稅務、法院、認證認可等)等數據信息，與公安、人民銀行等權威征信系統進行對接和數據共享，建設政府的征信平臺，提供統一、權威、可信的征信服務。

3.3 建立追溯機制

“逃不掉”是三個“不”中最后一環，是一種強烈的威懾力量。做到這一點需要法律明確懲戒立法保護個人信息，運營服務商進行實名驗證以及公安機關加大打擊力度。

(1)法律明確懲戒立法保護個人信息。建議對現有與個人信息保護相關的法律法規進行梳理，明確個人信息保護主體的責任與行為規范，并切實強化執行。另一方面，修訂現有法律體系中與個人信息保護沖突的條款，在各個行業完善信息犯罪、責任追究的法律規范，補充制定在不同領域有利于個人信息保護健康發展的相關法規。

(2)運營服務商進行實名驗證。在追查個人信息利用事件的調查方面，通信運營服務商起到至關重要的作用。在發生個人信息被大量利用的事件后，運營服務商應在事件發生后，利用自身業務的實名登記情況，查出使用者的相關信息并提交公安機關。對于存在不少惡意人員通過真實身份證辦理電話卡的情況，運營服務商可以定期對非實名制用戶或弱實名用戶做到不斷清理，建立可疑名單進行實時監控，一旦發現其發送違法信息后立即封鎖，以加強實名制的真實性和有效性。

(3)公安機關加大打擊力度。建議公安機關在收集到其他各部門提供的各類信息后，在個人信息侵犯的案件上加大辦案成本，及時按照相關法律法規對黑產鏈條上的相關人員進行抓捕，并給予嚴厲處罰，特別是針對大量個人信息泄露的特大事件要嚴懲不貸，堅決打擊各種類型的網絡犯罪，形成對個人信息安全犯罪的高壓打擊態勢，并逐步轉變常態化模式。使盜竊個人信息的違法人員無處可逃，使覬覦個人信息的觀望者退縮放棄，使企業和用戶從意識上提高警覺，更加重視維護自身的信息安全。

4 結論

綜上，個人信息安全不同于普通機構的網絡安全，其泄露的影響涉及面較廣，危害具有長期性，必須投入更大的成本進行保護。我國在信息技術快速發展的同時,需要充分認清面臨的個人信息泄露風險，需要政府、行業主管部門、企業、測評機構、信息安全服務提供商用戶等多部門、跨領域、跨行業的多方位合作才能夠給予個人信息較好的安全保障。