人物檔案

　　高熾揚，工業(yè)和信息化部計算機與微電子發(fā)展研究中心副主任。

　　對話背景

　　4月12日，工業(yè)和信息化部宣布《信息安全技術(shù)：公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》(下稱“《指南》”)已編制完成、通過審議，上報至國家標(biāo)準(zhǔn)化管理委員會。該《指南》預(yù)計將于今年出臺。

　　近年來，國務(wù)院、銀監(jiān)會、保監(jiān)會等多部門已先后發(fā)布個人信息保護有關(guān)規(guī)章近200部，但個人信息泄露案件仍在近期呈集中爆發(fā)之勢。在此背景下，《指南》的出臺有何意義、還需填充哪些細(xì)化標(biāo)準(zhǔn)？立法滯后成因何在？公眾的自我保護訴求及保護意識現(xiàn)狀如何？近日，中國青年報記者專訪了《指南》主要起草人高熾揚。

　　中國青年報：如何看待《指南》出臺的意義？

　　高熾揚：即將出臺的《指南》是一個整體的標(biāo)準(zhǔn)、框架。這樣一來，個人用戶和相關(guān)機構(gòu)都有了參照標(biāo)準(zhǔn)，行業(yè)主管部門也可以通過這些指標(biāo)梳理和評價行業(yè)的發(fā)展現(xiàn)狀。

　　《指南》是個人信息領(lǐng)域的國家標(biāo)準(zhǔn)。在這一基礎(chǔ)上，還要根據(jù)各個相關(guān)行業(yè)的性質(zhì)、需求出臺具體的管理要求、技術(shù)要求、評估準(zhǔn)則。和個人信息打交道的行業(yè)包括醫(yī)療、保險、銀行、房屋中介、婚戀網(wǎng)站等等。各行業(yè)對個人信息保護的需求不相同，標(biāo)準(zhǔn)自然各異。比如對醫(yī)院而言，用戶的身高、體重等屬于一般信息，但是在婚戀網(wǎng)站上，這些就屬于敏感信息。所以，未來在基本框架的基礎(chǔ)上，還有很多細(xì)節(jié)需要填充。

　　中國青年報：為何該領(lǐng)域的立法停滯不前？

　　高熾揚：我認(rèn)為，法律出臺需要兩個前提：其一是法律條文基礎(chǔ)，這需要法學(xué)界和行業(yè)主管部門、社會各界的共同認(rèn)可。目前在這一領(lǐng)域，法律學(xué)術(shù)上的很多基本概念、立法角度、依據(jù)都尚未理清。

　　其二是出臺時機，即法律的出臺是否有需求。個人信息泄露案件頻發(fā)、用戶保護訴求增強都是近兩年集中出現(xiàn)的，因此造成了法律的滯后。但我認(rèn)為，目前立法時機已經(jīng)逐漸成熟了。我們要防止信息安全問題制約未來信息化的發(fā)展。

　　中國青年報：也有觀點認(rèn)為，個人信息保護、采集涉及諸多相關(guān)領(lǐng)域和部門。正是各個行業(yè)、部門間的利益關(guān)系仍未理清，才導(dǎo)致了立法的停滯不前。對此你怎么看？

　　高熾揚：不同的行業(yè)、部門必然有各自的考慮和需求，有爭論是客觀存在的。在個人信息領(lǐng)域劃清其各自的權(quán)利和義務(wù)界限，需要一些時間。

　　中國青年報：對一些用戶而言，個人信息泄露會帶來哪些危害，仍是個比較抽象的概念。公眾的防范和自我保護意識仍較弱。你能舉例說明住址、財務(wù)狀況等信息泄露會給個人帶來哪些具體傷害嗎？

　　高熾揚：比如手機詐騙是常見的犯罪手段。近幾年，這一犯罪手段衍生出了新的方式。犯罪分子在獲得了該號碼用戶的姓名及手機內(nèi)聯(lián)系人的號碼后，往往會用一個新號碼短信通知聯(lián)系人：我換號碼了，我是某某某，請惠存。收到這樣的信息后，我們通常不會進一步確認(rèn)短信的發(fā)送人是誰。這樣一來，犯罪分子使用的號碼就替代了原用戶的號碼。

　　這只是前期鋪墊。過了幾周后，犯罪分子便會用這個號碼向聯(lián)系人借錢。這樣一來，整個詐騙環(huán)節(jié)的可信度就增強了很多。這個事例僅僅是個人信息泄露危害性的冰山一角。還有許多數(shù)目巨大的商業(yè)詐騙也都源自個人信息泄露。

　　中國青年報：目前，個人信息泄露的主要渠道是什么？

　　高熾揚：在調(diào)研中，我們發(fā)現(xiàn)近八成的個人信息泄露源自信息所有者的內(nèi)部作案。但調(diào)研還發(fā)現(xiàn)，在內(nèi)部泄露事件中，泄露主體大多是員工個人，而非相關(guān)機構(gòu)。原因在于，對于某一機構(gòu)而言，出售用戶信息所獲得的回報和因此造成的經(jīng)濟及名譽損失不成比例。大部分企業(yè)還是能夠做好自律工作的。但對于某些個人員工而言，出售用戶信息帶來的收入確實可觀。

　　這暴露了一個問題：正因作為信息管理者的相關(guān)機構(gòu)并未有效履行自身職責(zé)，才使得技術(shù)和管理制度上存在漏洞，導(dǎo)致客戶信息泄露。因此，如何彌補這些漏洞，才是相關(guān)機構(gòu)應(yīng)當(dāng)反思的。

　　在近年調(diào)研中，我們發(fā)現(xiàn)作為信息的管理者，一些機構(gòu)缺乏起碼的防范意識。比如在其內(nèi)部手機、電腦等電子設(shè)備的使用，應(yīng)當(dāng)嚴(yán)格限制；比如存貯個人信息電腦的安裝位置要有所注意，不能屏幕直接沖外；比如用戶信息在使用之后，應(yīng)當(dāng)做到及時徹底刪除；比如應(yīng)嚴(yán)格限制可能接觸到用戶信息的人群，等等。

　　中國青年報：在當(dāng)前技術(shù)、法律保護缺失的背景下，個人用戶應(yīng)當(dāng)具備哪些防范意識？

　　高熾揚：目前，個人用戶對信息保護的訴求很強烈，但保護意識普遍薄弱。比如復(fù)印身份證后，我們應(yīng)當(dāng)在四周寫上“本身份證用于某某用途”，以防別人拿作他用。對于無用的個人信息，我們應(yīng)當(dāng)做到自行粉碎或?qū)⒅匾畔澣?。在被要求填寫住址、年齡、單位、身份證號等信息時，我們腦海中要有所警惕：我需要提供這些信息嗎？比如在商場辦會員卡，其實只需填寫姓名就足夠了，其他信息理應(yīng)拒絕提供。

　　對個人而言，最為重要的信息包括身份、財產(chǎn)、位置三方面。還有，信息的加工和處理環(huán)節(jié)，個人用戶無法參與和控制，但收集和刪除環(huán)節(jié)則是我們可以改善的。

　　個人信息豈能成為“黑色商品”

　　據(jù)媒體報道，《河北省信息化條例(草案)》已正式提交河北省人大常委會審議。針對非法獲取、出售或以其他方式提供他人個人信息的公共機構(gòu)，草案規(guī)定最高將處以五十萬元罰款。構(gòu)成犯罪的，將依法追究刑事責(zé)任。

　　該草案的出臺之所以備受關(guān)注，源自近段時間，國內(nèi)集中爆發(fā)多起個人信息泄露事件。不久前，銀行內(nèi)部員工泄露并出售客戶信息牟利事件曝光。2011年年底，我國互聯(lián)網(wǎng)史上最大規(guī)模的用戶信息泄露事件爆發(fā)，多家社交網(wǎng)站幾千萬用戶賬號及密碼遭到泄露……

　　近日，在某知名房屋中介公司登記售房信息后，業(yè)主李星的電話便一刻不得安寧?！胺慨a(chǎn)交易需要提供大量個人信息，包括我的單位、住址、貸款數(shù)額等 等。如果我的售房信息能夠被迅速共享，那么誰能保證其他信息不會？”她說，“更蹊蹺的是，房子剛一賣出，騷擾電話立刻停了。信息傳播之迅速讓人覺得后 怕?！?/p>

　　“這種感覺就像是‘不知何處有一雙監(jiān)視的眼睛’?！彼f。

　　有過類似經(jīng)歷的用戶不在少數(shù)，而涉及“泄密”的行業(yè)更是涵蓋了銀行、房屋中介、保險、醫(yī)療、社交網(wǎng)站、電信等近十種。

　　“對于技術(shù)原因造成信息泄露，管理者可通過技術(shù)升級補救、避免，比如增加密碼強度、嚴(yán)格禁止無關(guān)人員訪問數(shù)據(jù)庫等等。對于主觀故意性質(zhì)的行為，則必須用制度約束?！敝袊浖u測中心主任助理朱璇說。

　　據(jù)了解，近日在這一領(lǐng)域的制度建設(shè)過程中，除了河北省擬立法，我國首個個人信息保護專項國家標(biāo)準(zhǔn)亦呼之欲出?！缎畔踩夹g(shù)：公共及商用服務(wù)信息系統(tǒng)個人信息保護指南》(下稱“《指南》”)預(yù)計將于今年出臺。

　　“《指南》出臺最重要的意義是明確了個人信息保護相關(guān)的基本概念、原則和要求?！敝扈f。對于目前仍備受爭議的“個人信息”的定義，《指南》報 批稿中規(guī)定，“可為信息系統(tǒng)所處理、與特定自然人相關(guān)、能夠單獨或通過與其他信息結(jié)合識別該特定自然人的計算機數(shù)據(jù)。個人信息可以分為個人敏感信息和個人 一般信息?！?/p>

　　“通過這些信息能否識別并定位到具體個人？如果可以，就屬于個人信息的范疇。”朱璇說。

　　除此之外，根據(jù)信息泄露帶來的危害程度不同，《指南》進一步劃分為個人信息和個人敏感信息。

　　“如果對內(nèi)容敏感程度不加區(qū)分，會造成管理代價過高。在被獲取信息時，《指南》區(qū)分了‘明示同意’和‘一般同意’。前者是針對敏感信息而言；后 者針對普通個人信息，只需要個人用戶默許即可收集。這亦降低了個人用戶提供信息的時間、精力成本?！惫I(yè)和信息化部計算機與微電子發(fā)展研究中心副主任高熾 揚說。

　　概念明確后，《指南》還理清了參與主體、收集周期等內(nèi)容?！翱傮w而言，我將《指南》概括為明確并落實了‘三類人’在信息收集的‘四個階段’如何遵循‘八個原則’?！备邿霌P說。

　　朱璇認(rèn)為，出臺《指南》的意義是給收集和使用機構(gòu)提出規(guī)范要求，指導(dǎo)其從收集、加工、轉(zhuǎn)移到刪除各個階段如何保護個人信息。但是，《指南》中對于“泄露主體”及“信息泄露的危害程度”尚未明確定義。

　　“標(biāo)準(zhǔn)可以用來規(guī)范行為，但無法代替法律的約束力?！彼f，“法律的缺失不該成為相關(guān)機構(gòu)免責(zé)的借口?！l收集誰保護’，收集和使用個人信息的機構(gòu)必須負(fù)起責(zé)任。我們不應(yīng)要求個人用戶具備完整的法律和技術(shù)知識。在這個問題上，個人用戶本來就處于弱勢?！?/p>

　　對于日前河北省出臺的相關(guān)草案，朱璇表示，個人信息保護工作的推廣需要政策法規(guī)的推動?！斑@是對違法者的警示，讓他們有所收斂?！彼f，“隨著 信息化的飛速發(fā)展，信息泄露已經(jīng)傷害了很多消費者、用戶的利益。我們必須通過持續(xù)的制度修補，將個人信息的利用維護在合理的范圍內(nèi)，而不應(yīng)任其成為黑色產(chǎn) 業(yè)鏈上的商品?！?

    （編輯：Jesse）