企業(yè)數(shù)據(jù)在“裸奔”

羅克研

“免費(fèi)wifi大量收集用戶個(gè)人信息”“瀏覽網(wǎng)站后遭遇營(yíng)銷電話騷擾”“兒童智能手表成為偷窺‘眼睛”，很多消費(fèi)者可能在網(wǎng)上看了某個(gè)物品或輸入一個(gè)關(guān)鍵詞，很快就會(huì)收到手機(jī)App推送的相關(guān)廣告或信息。

個(gè)人信息安全問題無時(shí)不在，不經(jīng)意間就會(huì)有被“偷走”的可能。

今年6月21日，一家名為M78Sec安全團(tuán)隊(duì)率先披露出超星學(xué)習(xí)通信息泄露，數(shù)據(jù)庫(kù)信息被公開售賣，消息一出，話題立刻成為熱搜的焦點(diǎn)。

官微回應(yīng)未解疑

超星學(xué)習(xí)通是不少在校大學(xué)生的常用學(xué)習(xí)軟件。此次被曝?cái)?shù)據(jù)庫(kù)信息遭公開售賣，包含姓名、手機(jī)號(hào)、性別、學(xué)校、學(xué)號(hào)、郵箱等信息1億7273萬條。

超星學(xué)習(xí)通官微就此事回應(yīng)表示，尚未發(fā)現(xiàn)明確的用戶信息泄露證據(jù)，已經(jīng)報(bào)案，公安機(jī)關(guān)已介入調(diào)查。

學(xué)習(xí)通這一回應(yīng)并沒有讓學(xué)生感到安心，反而激發(fā)了更強(qiáng)烈的質(zhì)疑。因?yàn)椴簧賹W(xué)生截圖證明，學(xué)習(xí)通軟件顯示的使用數(shù)據(jù)頻率過高，動(dòng)輒幾萬次到幾百萬次不等，與實(shí)際情況嚴(yán)重不符，甚至有人調(diào)侃說“我并沒有那么愛學(xué)習(xí)”。

還有多名學(xué)生表示，個(gè)人賬號(hào)登錄IP地址在境內(nèi)境外不斷切換，有同學(xué)在線上考試中出現(xiàn)本人賬號(hào)異地登錄的情況，“差點(diǎn)試都考不了”。

值得注意的是，國(guó)家信息安全漏洞共享平臺(tái)曾在2020年至2021年的一年間，3次披露超星學(xué)習(xí)通存在的安全漏洞問題，分別包括被XSS漏洞、信息泄露漏洞和邏輯缺陷漏洞。

此外，2021年1月，學(xué)習(xí)通APP（版本：4.8.1）曾因違規(guī)收集個(gè)人信息，被工信部通報(bào)，并要求其整改。同年7月，學(xué)習(xí)通（版本：4.8.5）因工信部檢查發(fā)現(xiàn)仍涉及違規(guī)使用個(gè)人信息未完成整改，再次被通報(bào)。

就在學(xué)習(xí)通泄露事件仍處在風(fēng)波之時(shí)，6月26日晚，很多在?；蚴莿偖厴I(yè)的大學(xué)生在社交平臺(tái)上表示，自己的QQ號(hào)被盜，懷疑與此前的學(xué)習(xí)通學(xué)生信息泄露事件有關(guān)。

專家稱數(shù)據(jù)泄露是難題

對(duì)于學(xué)習(xí)通此次泄露事件，記者也聯(lián)系了北京師范大學(xué)互聯(lián)網(wǎng)研究院院長(zhǎng)助理、中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)研究中心副主任吳沈括。

吳沈括認(rèn)為，關(guān)于學(xué)習(xí)通數(shù)據(jù)泄露事件，目前還不能做出一個(gè)明確的結(jié)論，因?yàn)閿?shù)據(jù)本身的追溯復(fù)原實(shí)際上是非常復(fù)雜的，所以在短期內(nèi)很難有一個(gè)明確的結(jié)論。數(shù)據(jù)泄露是數(shù)據(jù)治理當(dāng)中一個(gè)非常重要的命題，也是各大企業(yè)需要持續(xù)予以關(guān)注和增強(qiáng)保護(hù)的一個(gè)紅線區(qū)域。發(fā)生此次事件，又給我們敲響了數(shù)據(jù)泄露可能帶來嚴(yán)重危害的警鐘。

無論是從它所帶來的危害性，對(duì)于個(gè)體公眾以及企業(yè)自身的危害性來看，還是數(shù)據(jù)泄露事件的影響的長(zhǎng)久性來看，都具有非常突出的意義。所以從目前來看的話，這一類案件在相當(dāng)長(zhǎng)一段時(shí)間內(nèi)都是有可能持續(xù)存在的，需要有一個(gè)更全面的完善的生態(tài)性數(shù)據(jù)治理的實(shí)現(xiàn)。

網(wǎng)絡(luò)安全公司Surfshark的一項(xiàng)研究表明，自2004年以來美國(guó)始終是數(shù)據(jù)泄露最嚴(yán)重的國(guó)家，第二名和第三名分別是俄羅斯和中國(guó)。換而言之，美國(guó)、俄羅斯和中國(guó)是這個(gè)星球上數(shù)據(jù)泄露問題最為嚴(yán)重的三個(gè)國(guó)家。

據(jù)中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心《第49次中國(guó)互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》顯示，截至2021年12月，有22.1%的網(wǎng)民遭遇個(gè)人信息泄露。

近年來，在媒體多次曝光的信息泄露事件中，很多企業(yè)存在數(shù)據(jù)“裸奔”的狀態(tài)，企業(yè)應(yīng)該如何加強(qiáng)對(duì)個(gè)人信息的保護(hù)？

對(duì)此，吳沈括提到，要加強(qiáng)數(shù)據(jù)資產(chǎn)的梳理，因?yàn)楹芏嗥髽I(yè)對(duì)自己所擁有的數(shù)據(jù)資產(chǎn)都是不掌握的，就更談不上能夠有全面的一個(gè)安全措施的覆蓋。與此相關(guān)的就是在技術(shù)上要持續(xù)的、實(shí)時(shí)的更新，并運(yùn)用新型的具有更高可靠性的數(shù)據(jù)安全保護(hù)技術(shù)來提高自身數(shù)據(jù)安全防護(hù)水平的技術(shù)含量。

在組織管理層面，要建立有效全面的數(shù)據(jù)保護(hù)流程以及責(zé)任制度，在人員、事項(xiàng)、權(quán)限等三個(gè)方面實(shí)現(xiàn)全面的銜接和相互的支撐。在這個(gè)過程當(dāng)中，特別是要把握數(shù)據(jù)流轉(zhuǎn)利用的可靠性和可控性，通過協(xié)議等各種方式來有效的監(jiān)督和約束上下游以及內(nèi)外部的生態(tài)合作伙伴。

此外，在個(gè)人信息保護(hù)的過程當(dāng)中，要有一個(gè)要有倫理的意識(shí)，因?yàn)樵谀壳暗臄?shù)據(jù)治理理念當(dāng)中，安全性、合法性和倫理性是中國(guó)特有的。三維度的數(shù)據(jù)治理理念數(shù)據(jù)保護(hù)理念，所以在技術(shù)的安全性以及法律的合規(guī)性之外，還要特別注重個(gè)人信息流轉(zhuǎn)利用的倫理問題、倫理屬性，通過這樣的方式來搭建全面立體的個(gè)人信息保護(hù)生態(tài)。

學(xué)生信息頻遭泄露

近些年，各地也發(fā)生不少關(guān)于學(xué)生信息遭泄露的事件。

2020年4月，河南鄭州、陜西西安、重慶、湖北武漢、山東青島、安徽滁州等多所高校的數(shù)千名學(xué)生發(fā)現(xiàn)，自己的個(gè)人信息被企業(yè)冒用以達(dá)到偷稅目的。

2021年7月，鹽城警方偵破一起公民信息販賣案件，涉及7萬條學(xué)生家長(zhǎng)個(gè)人信息流出的源頭是機(jī)關(guān)單位內(nèi)部人員憑借職務(wù)之便，將敏感數(shù)據(jù)發(fā)送給教育培訓(xùn)機(jī)構(gòu)用于營(yíng)銷獲利。

個(gè)人信息保護(hù)任重道遠(yuǎn)，不僅關(guān)乎人民群眾利益，還涉及全社會(huì)信息安全。

2021年11月，《中華人民共和國(guó)個(gè)人信息保護(hù)法》正式實(shí)施，明確了國(guó)家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)個(gè)人信息保護(hù)和相關(guān)監(jiān)督管理工作。

今年，工信部也在加快出臺(tái)《工信領(lǐng)域數(shù)據(jù)安全管理辦法》《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序個(gè)人信息保護(hù)管理規(guī)定》，研究制定APP收集使用個(gè)人信息、車聯(lián)網(wǎng)、人工智能等重要領(lǐng)域數(shù)據(jù)安全標(biāo)準(zhǔn)，強(qiáng)化個(gè)人信息保護(hù)和數(shù)據(jù)安全監(jiān)管。

最高人民檢察院印發(fā)《關(guān)于加強(qiáng)刑事檢察與公益訴訟檢察銜接協(xié)作嚴(yán)厲打擊電信網(wǎng)絡(luò)犯罪加強(qiáng)個(gè)人信息司法保護(hù)的通知》，要深入開展依法打擊行業(yè)“內(nèi)鬼”泄露公民個(gè)人信息違法犯罪工作，聚焦重點(diǎn)行業(yè)、重點(diǎn)領(lǐng)域、重點(diǎn)群體開展監(jiān)督辦案。

前不久，北京市市場(chǎng)監(jiān)管局發(fā)布《廢棄電器電子產(chǎn)品回收規(guī)范》征求意見稿，要求回收廢舊手機(jī)等涉及個(gè)人隱私的電子產(chǎn)品時(shí)，回收經(jīng)營(yíng)者應(yīng)當(dāng)面清理用戶個(gè)人信息，且不得向第三方透露客戶相關(guān)信息。深圳發(fā)布并實(shí)施《深圳經(jīng)濟(jì)特區(qū)數(shù)據(jù)條例》，對(duì)APP“不全面授權(quán)就不讓用”、大數(shù)據(jù)“殺熟”、過度收集個(gè)人信息等行為給予重罰。

相信這些嘗試和努力，有益于在新形勢(shì)下破解數(shù)據(jù)泄露難點(diǎn)，值得參考和借鑒。