大规模用户隐私泄露事件又一次被爆出：万豪国际集团旗下酒店客房预订数据库被黑客入侵，约5亿名客人的信息或被泄露。业界称，这是自之前雅虎30亿用户信息被窃以来规模最大的一次。
今年以来，用户隐私泄露事件时有发生。从支付宝年度账单事件、Facebook（脸书）用户数据泄露，到携程大数据“杀熟”、华住酒店集团信息泄露案，每一次都引发各界持续热议。“电子商务迅速发展，增加了个人信息泄露风险；互联网金融新业态涌现，带来了许多网络诈骗新形式；中国移动支付全球领先，伴随的风险不容忽视；共享单车、网约车等也易引发信息泄露。”中国工程院院士邬贺铨说。
接连发生的用户数据泄露事件带来哪些反思？大数据时代，如何为网民的隐私上一把“安全锁”？
防御黑客攻击，严查身边“内鬼”
前段时间，国家信息中心国信卫士网络空间安全研究院技术发展研究室副主任邓子健在网络电商平台上买了一款耳麦，后来他发现，电脑打开的网页，基本都在推送某品牌的耳机广告。
邓子健这个因数据泄露带来的困扰，引起不少业界人士的共鸣。“大数据特别是个人信息数据在黑色产业中已被看作是高价值资源，数据泄露一大元凶是外部黑客的攻击。”大数据协同安全技术国家工程实验室副主任左英男说。
360企业安全集团董事长齐向东表示，互联网从出现就伴随着网络攻击，有了网络攻击才产生了网络安全技术。“随着电商等业务发展，黑客要窃取的就是用户隐私数据。”
此外，从近年来查处案例来看，很多坚固的“堡垒”都是从内部开始被攻破的。“很多客户信息一般只有内部员工才能接触，少数利欲熏心的‘内鬼’作祟，导致用户信息流入黑色产业，成为被交易的对象。”天空卫士网络安全专家杨明非说。
但对于“内鬼”的描述，很多只是轻描淡写。“毕竟‘家丑不外扬’，内部威胁少有披露，并不代表没有。”一位大型连锁汽车销售集团信息安全人员透露，对于内部数据泄露场景，除邮件发送这一主渠道外，还有网盘上传、终端操作等，尤其对于存有大量客户信息的企业来说，防“内鬼”压力非常大。
多数用户不知数据流向何方
“通过某位明星的几张微博图片，只用了40分钟，就推理出了明星住址……”去年一位网友的发帖曾一度引人咋舌。“人们在微博、朋友圈等发布位置、照片时，常认为这些信息无关紧要，但不法分子可以多方面重复交叉收集信息，让这些数据之间互相对照，一旦与其他数据组合，就会得到有价值的信息。比如，了解一个人到过的四个位置，就可以识别出很多精准信息。”邬贺铨说。
“从最早的‘bug’到后来的黑客职业化、漏洞攻击专业化、市场开拓产业化，漏洞带来巨大的地下经济产业，形成了完整的产业链。公开资料显示，中国网络黑色产业从业人员已超过150万人，市场规模高达千亿级。”齐向东说。
在美创科技相关负责人沈武林看来，与酒店信息泄露相关的电信诈骗、敲诈勒索、恶意营销等，已成为社会的一大顽疾，“黑市上很多个人数据明码标价，甚至几百块钱就能买到，获取隐私数据后再进行精准诈骗等”。
然而，隐私数据究竟怎么被收集，收集后流向何方，很多用户都对此一脸茫然。“至少70%以上的人不知道自己数据在哪儿，有的人大致知道，但对数据的详细分布也不了解；另外，多数企业无法为用户提供一份‘数据地图’，更别说给出‘数据地图’中重要数据、敏感数据的分布，以及数据之间的关系。”沈武林说。
完善立法，促进企业内生机制建立
“一家企业如果没有安全，就谈不上发展。用户个人数据保护应该纳入企业安全管理的范畴，并且要建立跨部门业务线的安全保护体系。也就是说，‘安全’必须无缝隙地与每一条业务线，每一个新产品、新应用相融合。”中国社科院法学研究所研究员周汉华坦言，过去说“合规”，往往是产业线下游或末端的合规，但用户信息保护要从源头开始。“从近年来爆出的数据泄露案例看，只要企业机构设置有效的内生机制，其实都是可防可治的。”
在用户数据保护方面，企业作为数据的收集者、控制者，既做“运动员”又做“裁判员”显然难以解决问题。“因此不能光靠企业自律，要让法律推动内生机制生成。尤其通过以个人信息保护法为核心的一整套机制作为保障，形成有效的外部威慑。”周汉华说。
“我们已经步入了‘数权’时代。一次次数据泄露付出的代价，让我们更加明白用户隐私保护的重要性，也感受到数据安全法律制度改进与完善的紧迫性。”大数据战略重点实验室主任连玉明说。
在连玉明看来，数据保护方面的立法要从数据全生命周期出发，包括数据的采集、存储、流通、应用等环节，思考如何做到有效地防攻击、防泄露、防窃取、防篡改、防非法使用，并通过最大限度地限制公权和保护私权，推动大数据安全管理的标准化、规范化。
信息安全“攻防战”永无止境
近年来，手机应用、智能摄像头、WiFi等泄露用户隐私现象让人防不胜防。如今，支撑智能时代的大数据、云计算、人工智能等技术，既是创新发展的助推器，也是滋生网络安全问题的催化剂。“智能时代，新技术是帮凶，也是克星。信息安全的这场‘攻防战’永无止境。”齐向东说。
一家互联网企业的技术架构师透露，现在不少企业的IT部门已被弱化，虽然也有云服务提供商，但整个数据的传输、存储、分享，以及数据处理和管理流程的链条过长，涉及中间环节太多，“技术上做不到位，无法谈信息安全和隐私保护”。
如何做到“魔高一尺，道高一丈”？“网络攻击已是不可避免，数据集中也是未来趋势，我们能做的就是改变数据保护的方法和技术体系，让攻击者哪怕攻进来，也不会盗走数据，还要以最快的速度把网络威胁检测出来，并做出快速响应。”齐向东说。
国家密码行业标准化技术委员会主任委员徐汉良建议，利用密码技术与数据标识相结合，通过信任管理、访问控制、数据加密、可信计算、密纹检索等措施，构建传输、分析、应用为一体的数据安全体系，解决隐私保护、数据源真实、防身份假冒等问题。
“在数据流通方面，建议通过使用匿名化，让脱敏数据去掉标签；也可通过‘差别隐私’机制，在数据里加入一些‘噪音’，以保护数据的外部识别。”英国励讯集团全球副总裁Flavio Villanustre说。 |
