新闻链接：http://www.dbappsecurity.com.cn/safe/t/1305_30_03.html
新闻时间：2013-05
新闻正文：

个人隐私泄露的风险及其对策
在今年的315晚会当中，我们看到安卓手机用户会被一些App软件收集个人的手机号码、手机串号、位置信息、邮件帐号甚至其它App软件的帐号和密码，还有些恶意的App软件服务提供商会恶意地收集用户的通信录，甚至窃取用户的SD卡的数据。我们又看到当我们上网时，会有许许多多的公司在采集跟踪和分析我们的上网行为，甚至对我们的行为进行监控和窃取用户帐号和密码等重要信息。我们还看到象网易这样的公共邮箱服务提供商在偷穿窥我们的邮件……，所有这些问题都涉及到个人隐私保护的问题。

1.  什么是个人隐私

在生活中，每个人都有不愿让他人知道的个人生活的秘密，这个秘密在法律上称为个人隐私，如个人的私生活、日记、照相薄、生活习惯、通信秘密、身体缺陷等。个人隐私是指公民个人生活中不愿为他人公开或知悉的秘密。隐私权是自然人享有的对其个人的、与公共利益无关的个人信息、私人活动和私有领域进行支配的一种人格权。自己的秘密不愿然他人知道，是自己的权利，这个权利就叫隐私权。我国公民依法享有不愿公开或不愿让他人知悉的不危害社会的个人秘密的权利。

个人隐私的保护首先要提高自己的信息安全意识，加强个人隐私数据的保护，防范个人隐私数据的泄露。比如，要管理好含有自己隐私的物品，谨慎使用智能手机和互联网；发现有人披露自己的个人隐私，要依法制止，学会运用法律的武器维护自己的隐私权；还要尊重他人的隐私权。

其次，个人隐私的保护也是政府机构和各个企事业单位的重要责任，国际上普遍的做法是给个人隐私保护立法，规范政府机构和企事业单位保护收集到的敏感信息。例如，美国已经颁布了1974年的联邦隐私法案（Federal Privacy Act），1999年的金融现代化法案（Grammar-Leach-Bliley Act of 1999）和联邦健康保险法案（HIPAA），以满足人们对保护个人隐私的越来越高的要求。

我国首个个人信息保护国家标准《信息安全技术 公共及商用服务信息系统个人信息保护指南》将于2月1日起正式实施。这标志着我国个人信息保护工作正式进入“有标可依”阶段，使公民对个人信息保护的诉求得到有效解决。《信息安全技术 公共及商用服务信息系统个人信息保护指南》要求网络服务提供者和其他企业事业单位在业务活动中收集、使用公民个人电子信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意，不得违反法律、法规的规定和双方的约定收集、使用信息。并要求网络服务提供者和其他企业事业单位收集、使用公民个人电子信息，应当公开其收集、使用规则。

2.  个人隐私泄露的主要风险

从315反映的个人隐私泄露问题来看，针对不同的主体会有不同的风险，首先针对个人来说，存在的风险主要有：

单纯从利用Cookies跟踪用户上网行为来说，给用户带来的风险并不是很大，主要是互联网广告提供商会根据个人的喜好精准投放广告到自己访问的互联网页面而已。

但是由于互联网运营商对嵌入的代码管理不严，缺乏安全的控制和审计，很有可能被互联网广告运营商嵌入恶意代码，非法监控用户的上网操作、获取用户的其它应用系统（如网银）用户名和密码，以及其它敏感数据等，这个风险还有可能会被黑客利用侵入用户所在的单位的网络，从而造成更严重的泄密事件。

对于智能手机的个人隐私泄露问题，这需要看手机用户本人的重要性程度，以及智能手机上的数据重要性程度。例如，现在的手机普遍能够将通讯录上传给App应用，如微博、微信等，如果这些通讯录中保存有重要人物的通讯信息，将可能会造成一个比较严重的泄密事件。还有许多人对于公共邮箱未授权访问的风险在于如果用邮箱传递敏感信息，将会有较严重的泄密问题，其次就是邮箱运营商可以根据邮件的内容判断邮箱主人的职业、个人爱好、收入状况……等诸多个人情况。

其次，个人信息的泄露还可能影响到个人工作的企事业单位，现在很多人的信息安全意识不强，用个人的智能手机、移动存储设备以及个人电脑等处理工作事务，这给企业单位带来极大的安全隐患：

恶意的个人上网行为跟踪者，可以通过收集同一地点的所有用户的上网行为，从而分析出这一地点（企事业单位）的各种情况，从而泄露企事业单位的秘密信息；

个人信息的泄露，如个人微博共享其地理位置信息，可能会被商业间谍发现其单位的重要情报；

用个人的智能手机、移动存储以及个人电脑等处理工作事务的人，可能存在泄露企业单位秘密的安全风险；

由于很多网站对互联网广告商嵌入的代码未作安全控制和审计，因此可能会存在恶意代码，这些代码可能能够侵入企事业单位的内网，从而窃取秘密数据；

如果员工使用公共邮箱发送企事业单位的业务信息邮件，那么很有可能会被邮箱运营商窃取秘密信息，或通过邮件内容分析出秘密信息，或直接泄密。

对于网站运营来说，存在的最大风险在于未对网站嵌入的代码进行安全控制和审计，如果通过其网站发生严重的信息安全泄密事件，将难辞其咎。这将招致监部门的重罚，并可能会直接影响到网站的信誉和道德形象。

对于互联网广告运营商和智能手机App提供商来说，存在的最大的风险是因为违反个人信息保护相关的法律法规，从而招致监管部门重罚，同时会因为违反社会责任和道德准则的原因，而失去其生存的价值。

3.  我国对个人信息保护的规定

2012年11月5日，工信部联合其他部门正式发布了GB/Z 28828-2012《信息安全技术公共及商用服务信息系统个人信息保护指南》(以下简称《指南》)，将于2013年2月1日起实施。另外，2012年12月24日，十一届全国人大常委会第三十次会议听取了《加强网络信息保护的决定(草案)》（以下简称《(草案)》的说明。《(草案)》在保护公民个人信息、治理垃圾电子信息、网络身份管理等方面从制度上做出了规定，其中特别提出了对个人信息安全管理的监管条款。

《指南》属国家标准“指导性技术文件”类，对利用信息系统处理个人信息的活动起指导和规范作用，目的是提高企业个人信息保护技术水平，促进个人信息的合理利用。从技术、信息系统上对个人信息保护提出安全管理要求：

《指南》规定个人敏感信息在收集和利用之前，必须首先获得个人信息主体明确授权。

《指南》明确要求，处理个人信息应有特定、明确和合理的目的，并在个人信息主体知情的情况下获得个人信息主体的同意，在达成个人信息使用目的之后删除个人信息。

《指南》将个人信息分为个人一般信息和个人敏感信息，并提出默许同意和明示同意的概念。对于个人一般信息的处理可以建立在默许同意的基础上，只要个人信息主体没有明确表示反对，便可收集和利用。对于个人敏感信息，则需要建立在明示同意的基础上，在收集和利用之前，必须首先获得个人信息主体明确的授权。

《指南》还提出了处理个人信息时应当遵循的八项基本原则，即目的明确、最少够用、公开告知、个人同意、质量保证、安全保障、诚信履行和责任明确。

《(草案)》从制度上提出个人信息保护的安全管理要求，主要内容包括：

《(草案)》明确：“国家保护能够识别公民个人身份和涉及公民个人隐私的电子信息。任何组织和个人不得窃取，不得出售或者非法向他人提供公民个人电子信息。”

《(草案)》规定：“未经电子信息接收者同意或者请求，不得向其手机或者个人电子邮箱发送商业性电子信息。”

4.  个人隐私保护的解决方案

个人隐私保护的解决方案应该分别从个人、企事业单位、互联网广告运营商、互联网网站运营商、智能手机App应用软件提供商以及国家的行业监管部门分别提出要求和加强管理。

首先，个人隐私保护最重要的是个人的信息安全意识，防范个人隐私的泄露。着重要注意以下几个问题：

在任何时候，任何地方，凡是需要提供自己身份信息、位置信息、健康及医疗信息、金融信息，……等个人信息，应对提供的对象及方式进行深入的了解，确保安全可靠；

在互联网浏览时，应使用可靠的计算机，并对浏览器和Flash Player的隐私设置进行加固，特别是禁止第三方和互联网提供商的Cookies。

禁止使用智能手机存放敏感数据，重要人物的联系方式不要存放在手机通讯录中，并且将通讯录的信息尽可能的简化；

严格审查您将要安装的智能手机软件，仔细阅读智能手机软件的隐私政策，确认其安全可靠，不安装任何可疑软件；

禁止通过公共邮箱和即时聊天软件传输敏感数据，万一要传输时，请对数据进行加密。

对于企事业单位来说，除了帮助员工增强其信息安全意识以防范其个人的隐私泄露的风险外，还需要加强信息安全管理并通过必要的信息安全技术来防范个人信息安全意识缺乏所引发的企业单位的秘密信息泄露的问题，主要需要注意以下几个方面：

应详细评估员工的各类活动所可能造成的情报泄露的风险，根据评估的结果制定单位的信息安全策略，规范员工的个人上网行为，以防范单位重要情报的泄露，必要时可以采用信息安全技术以加强信息安全管理的效果；

应针对个人隐私泄露问题对员工进行信息安全意识的培训，讲明白哪些上网行为会泄露个人隐私，并让员工掌握必要的个人隐私保护的技术，如浏览器和Flash Player的隐私配置方法等；

应该评估单位的信息系统网络以及桌面办公系统网络在上网行为跟踪问题上的风险以及员工智能手机App应用软件的安全风险，制定必要的安全策略和措施，必要时增加专业的信息安全保护设备以加强单位的网络安全。

对于互联网网站运营商和互联网广告运营商，最重要的风险是违反国家的个人信息保护相关的政策，招致监管部门的惩罚。因此，互联网网站运营商和互联网广告运营商应该：

详细解读国家关于个人信息保护的相关法律法规，并根据自身的社会责任和道德规范体系，制定相关的个人隐私保护策略，调整个人信息收集、处理、应用的业务流程以符合监管部门的要求；

对于互联网网站运营商应该加强外来的嵌入代码的安全控制和审计，以确保用户的个人隐私安全；

同时，互联网网站运营商和互联网广告运营商应该加强业务应用的安全，防范个人隐私数据的泄露，主要的方法是加强数据库及应用系统安全管理和审计，如采用数据库审计系统、运维安全风险控制系统、Web应用防火墙以及Web应用审计及风险控制系统来保障个人信息的安全。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)