個(gè)人信息安全風(fēng)險(xiǎn)與防范

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了個(gè)人信息安全風(fēng)險(xiǎn)與防范范文，希望能給你帶來(lái)靈感和參考，敬請(qǐng)閱讀。

摘要:云計(jì)算時(shí)代的個(gè)人信息安全體系初步形成，但個(gè)人信息安全技術(shù)風(fēng)險(xiǎn)和管理風(fēng)險(xiǎn)還大量存在，可能導(dǎo)致個(gè)人信息的違法收集、利用和處理，因而有必要構(gòu)建云計(jì)算下的個(gè)人信息安全監(jiān)控機(jī)制、偵查機(jī)制和應(yīng)急機(jī)制，確保個(gè)人信息安全可控和云計(jì)算產(chǎn)業(yè)健康發(fā)展。

關(guān)鍵詞:云計(jì)算;個(gè)人信息;安全風(fēng)險(xiǎn)

一、云計(jì)算及其潛在風(fēng)險(xiǎn)概述

云計(jì)算是繼分布式計(jì)算、網(wǎng)格計(jì)算、對(duì)等計(jì)算之后的一種新型計(jì)算方式，通過(guò)互聯(lián)網(wǎng)上異構(gòu)、自治的服務(wù)，為用戶提供定制化的計(jì)算。云計(jì)算是將網(wǎng)絡(luò)儲(chǔ)存技術(shù)、虛擬化技術(shù)、網(wǎng)格計(jì)算技術(shù)、并行處理技術(shù)、分布式處理技術(shù)等軟硬件技術(shù)融合發(fā)展的集大成者，也是集合了網(wǎng)絡(luò)、服務(wù)器、計(jì)算、儲(chǔ)存、應(yīng)用軟件等資源并提供快速便捷、即需即取服務(wù)的共享平臺(tái)。云計(jì)算具有按需服務(wù)、廣泛的網(wǎng)絡(luò)接入、資源池化、快速?gòu)椥砸约鞍词褂昧坑?jì)費(fèi)等5個(gè)特點(diǎn);涵蓋私有云、社區(qū)云、公有云、混合云等4種開發(fā)模式］。云計(jì)算有3大優(yōu)勢(shì):

一是具有強(qiáng)大的存儲(chǔ)和計(jì)算能力，能提供即需即取的服務(wù)。最大的云計(jì)算平臺(tái)的服務(wù)器數(shù)量達(dá)到百萬(wàn)級(jí)別，一般的云計(jì)算企業(yè)的服務(wù)器數(shù)量在幾十萬(wàn)臺(tái)，比較小的企業(yè)私有云服務(wù)器數(shù)量也要數(shù)百上千臺(tái)。另外，云計(jì)算還能夠彈性配置、動(dòng)態(tài)伸縮，以滿足用戶規(guī)模和計(jì)算量增長(zhǎng)的需要。二是具有開放性，能實(shí)現(xiàn)資源共享。云計(jì)算將虛擬化技術(shù)、分布式計(jì)算技術(shù)、效用計(jì)算技術(shù)和定制、計(jì)量、租用的商業(yè)模式相結(jié)合，最大效率地利用了隨時(shí)連接、隨時(shí)訪問(wèn)、分布存取的各個(gè)服務(wù)器，實(shí)現(xiàn)了資源的共享。三是具有管理成本最小化以及與服務(wù)供應(yīng)商的交互最小化的優(yōu)勢(shì)，能降低使用成本。云計(jì)算具有規(guī)模效應(yīng)和網(wǎng)絡(luò)效應(yīng)，在硬件成本、管理成本、電力成本、資源利用率方面都有極大的成本優(yōu)勢(shì)，企業(yè)和個(gè)人也省去了服務(wù)器的磨損、閑置和管理成本，只需按需要使用相應(yīng)功能、按服務(wù)量支付費(fèi)用。云計(jì)算潛在的安全風(fēng)險(xiǎn)與云計(jì)算的技術(shù)優(yōu)勢(shì)和經(jīng)濟(jì)效益總是如影隨形。用戶對(duì)于個(gè)人信息安全的擔(dān)憂是云計(jì)算服務(wù)推廣應(yīng)用的首要障礙，云計(jì)算的理念是開放和共享，而個(gè)人信息安全注重封閉和私權(quán)，兩者之間存在一定的矛盾。個(gè)人信息是指?jìng)€(gè)人姓名、住址、出生日期、身份證號(hào)碼、醫(yī)療記錄、人事記錄、照片等單獨(dú)或與其他信息對(duì)照可識(shí)別特定個(gè)人的信息［5］。個(gè)人信息涉及用戶的人身自由、人格尊嚴(yán)、財(cái)產(chǎn)權(quán)利等基本權(quán)利，事關(guān)重大，一般具有極高的敏感性。用戶在決定是否使用云計(jì)算之前會(huì)對(duì)云計(jì)算的安全風(fēng)險(xiǎn)加以衡量。使用云計(jì)算功能在線存儲(chǔ)的文檔、圖片、視頻等文件大量涉及個(gè)人信息，一旦云計(jì)算的安全體系被攻破，則可能發(fā)生個(gè)人信息泄露、販賣等事件，嚴(yán)重危及用戶的人身財(cái)產(chǎn)安全，甚至?xí)斐缮鐣?huì)恐慌。與傳統(tǒng)的互聯(lián)網(wǎng)技術(shù)相比，云計(jì)算環(huán)境下保護(hù)個(gè)人信息的必要性更加突出。一是因?yàn)樵朴?jì)算下個(gè)人信息脫離了用戶的控制范圍，一旦云計(jì)算服務(wù)商的數(shù)據(jù)中心發(fā)生事故，用戶無(wú)法知悉，也無(wú)法及時(shí)采取措施，只能被動(dòng)挨打。

二是因?yàn)樵朴?jì)算的交互式、參與性、網(wǎng)絡(luò)化的特點(diǎn)，用戶幾乎將所有個(gè)人信息被動(dòng)或者主動(dòng)地全部暴露在云計(jì)算服務(wù)商平臺(tái)上，存在信息不對(duì)稱和能力不對(duì)稱的問(wèn)題，一旦發(fā)生侵權(quán)事件，用戶損失巨大，而且難以維權(quán)。

三是因云計(jì)算的普及性和規(guī)模性，小的漏洞都會(huì)造成巨大的破壞，損害具有連鎖反應(yīng)。比如，2011年亞馬遜的EC2業(yè)務(wù)由于出現(xiàn)一點(diǎn)小的漏洞，整個(gè)云計(jì)算數(shù)據(jù)中心出現(xiàn)全范圍宕機(jī);2012年微軟的WindowsAzure平臺(tái)由于個(gè)人服務(wù)的設(shè)置問(wèn)題，導(dǎo)致所有集群的功能不能使用。目前，研究云計(jì)算時(shí)代個(gè)人信息安全保護(hù)的學(xué)者大多從國(guó)家立法、行業(yè)立規(guī)的角度展開。針對(duì)個(gè)人信息保護(hù)的建章立法固然重要，特別是構(gòu)建規(guī)制云計(jì)算環(huán)境下個(gè)人信息保護(hù)問(wèn)題的法律規(guī)范和行業(yè)標(biāo)準(zhǔn)正當(dāng)其時(shí)，法律的具體執(zhí)行，特別是建立個(gè)人信息安全風(fēng)險(xiǎn)的防控機(jī)制和措施更是迫在眉睫，本文擬從這一角度進(jìn)行探析。

二、云計(jì)算中的個(gè)人信息安全體系與技術(shù)風(fēng)險(xiǎn)

云計(jì)算架構(gòu)分為基礎(chǔ)設(shè)施層、平臺(tái)層和軟件服務(wù)層3個(gè)層次，分別對(duì)應(yīng)簡(jiǎn)稱IaaS、PaaS和SaaS3個(gè)服務(wù)類型。IaaS是由政府或者企業(yè)建立的大規(guī)模服務(wù)器和網(wǎng)絡(luò)傳輸連接裝置等基礎(chǔ)設(shè)施，同時(shí)采用虛擬技術(shù)將分散到各個(gè)數(shù)據(jù)中心的服務(wù)器集中起來(lái)。PaaS包括基本硬件、基礎(chǔ)軟件、儲(chǔ)存設(shè)備等，起到應(yīng)用支持的作用。SaaS的作用是制定一系列標(biāo)準(zhǔn)和協(xié)議，構(gòu)建公共平臺(tái)，提供最終的應(yīng)用服務(wù)。分層是橫向的、縱向的管理系統(tǒng)將這些資源進(jìn)行統(tǒng)一的配置和統(tǒng)一運(yùn)行，實(shí)現(xiàn)一站式的服務(wù)。不同的云計(jì)算服務(wù)模式意味著不同的個(gè)人信息安全體系，目前大多數(shù)個(gè)人信息安全體系就是基于云計(jì)算服務(wù)模型構(gòu)建的。

(一)IaaS層的個(gè)人信息安全體系與技術(shù)風(fēng)險(xiǎn)IaaS服務(wù)提供商將基礎(chǔ)設(shè)施，包括服務(wù)器、儲(chǔ)存、網(wǎng)絡(luò)等IT設(shè)施進(jìn)行組合，形成不同規(guī)模、不同用途的服務(wù)產(chǎn)品，大到集網(wǎng)絡(luò)、數(shù)據(jù)計(jì)算、數(shù)據(jù)處理于一體的應(yīng)用系統(tǒng)，小到一臺(tái)處理簡(jiǎn)單業(yè)務(wù)的服務(wù)器，然后以套餐的形式提供給用戶。用戶可以像在麥當(dāng)勞點(diǎn)餐一樣，租用產(chǎn)品目錄上的IT基礎(chǔ)設(shè)施服務(wù)套餐，將自己的應(yīng)用部署在上面，開展各種業(yè)務(wù)。使用IaaS服務(wù)的信息安全風(fēng)險(xiǎn)比較大，無(wú)論是物理設(shè)施、虛擬化技術(shù)、接口設(shè)施、還是應(yīng)用程序，如果發(fā)生自然災(zāi)害或者操作錯(cuò)誤，將會(huì)對(duì)信息安全造成釜底抽薪般的巨大影響。其中，虛擬化安全風(fēng)險(xiǎn)是防范重點(diǎn)。一方面是虛擬機(jī)自身存在的安全風(fēng)險(xiǎn)，包括可能面臨用戶劫持、脆弱的防火墻等;另一方面是虛擬化軟件帶來(lái)的安全風(fēng)險(xiǎn)，包括未經(jīng)授權(quán)的訪問(wèn)、非法刪除、非法添加等［6］。在傳統(tǒng)計(jì)算機(jī)技術(shù)下，對(duì)于個(gè)人信息的保護(hù)已經(jīng)有比較成熟的技術(shù)，包括加密和密鑰管理、身份識(shí)別和訪問(wèn)控制、安全事件管理等。云計(jì)算環(huán)境更加復(fù)雜，更加開放。云計(jì)算環(huán)境下的IaaS個(gè)人信息安全體系的關(guān)鍵是將這些技術(shù)進(jìn)行融合，按照一定的技術(shù)標(biāo)準(zhǔn)，形成兼容的、完備的安全閉環(huán)，確保物理安全、網(wǎng)絡(luò)安全、虛擬化安全、接口安全。一是要加入安全防護(hù)技術(shù)，利用防火墻、病毒防護(hù)墻等對(duì)整個(gè)IaaS進(jìn)行防護(hù);二是要加入訪問(wèn)控制技術(shù)，利用加密和解密管理、身份識(shí)別等技術(shù)為用戶提供用戶登錄管理、用戶認(rèn)證、數(shù)字簽名等安全管理服務(wù);三是要加入審計(jì)技術(shù)，對(duì)用戶的登錄和使用情況進(jìn)行統(tǒng)計(jì)分析，按照不同的風(fēng)險(xiǎn)級(jí)別區(qū)分不同的安全域，實(shí)施不同等級(jí)的安全干預(yù)［7］。

(二)PaaS層的個(gè)人信息安全體系與技術(shù)風(fēng)險(xiǎn)

PaaS層處在云計(jì)算的中間層，具有承上啟下的作用，其對(duì)于個(gè)人信息的整體安全具有重要作用。PaaS服務(wù)商提供的是應(yīng)用基礎(chǔ)設(shè)施服務(wù)，即中間件服務(wù)。PaaS用戶可以將其應(yīng)用系統(tǒng)布置到PaaS平臺(tái)上，應(yīng)用系統(tǒng)服務(wù)器、網(wǎng)絡(luò)、操作系統(tǒng)、信息管理等應(yīng)用系統(tǒng)運(yùn)行的環(huán)境，由PaaS服務(wù)商提供保障。所有PaaS服務(wù)商不僅提供平臺(tái)，還提供安全服務(wù)。他們的職責(zé)是提供安全可靠的運(yùn)行環(huán)境，保證用戶的信息安全。PaaS個(gè)人信息安全體系要求數(shù)據(jù)處理符合國(guó)家法律法規(guī)的要求，主要包括:數(shù)據(jù)存放位置、數(shù)據(jù)刪除或持久性、數(shù)據(jù)備份和恢復(fù)重建、數(shù)據(jù)發(fā)現(xiàn);同時(shí)禁止一些不當(dāng)?shù)膫€(gè)人信息處理行為，比如:不同客戶數(shù)據(jù)的混合、數(shù)據(jù)聚合和推理。PaaS個(gè)人信息安全體系重點(diǎn)在于對(duì)價(jià)值較高的個(gè)人信息的保護(hù)，尤其是防范對(duì)個(gè)人信息的交叉查詢。

(三)SaaS層的個(gè)人信息安全體系與技術(shù)風(fēng)險(xiǎn)

與等軟件服務(wù)模式類似。在SaaS平臺(tái)上，用戶不用購(gòu)買軟件，也不用維護(hù)管理，只需要按照服務(wù)類型和服務(wù)時(shí)間支付費(fèi)用，就可以選擇使用符合自己需求的軟件。SaaS服務(wù)商不僅要管理維護(hù)自身的軟件，而且要將用戶的個(gè)人信息儲(chǔ)存在自己的服務(wù)器上，以便用戶隨時(shí)隨地可以接著使用軟件。個(gè)人信息違法犯罪的概率總是與管理權(quán)限成正比。特別是在SaaS層下，存在一個(gè)基本的矛盾，一方面，SaaS需要將用戶的個(gè)人信息進(jìn)行備份，保存在多個(gè)不同位置的服務(wù)器上，防止數(shù)據(jù)丟失、數(shù)據(jù)刪除，提供及時(shí)的數(shù)據(jù)恢復(fù)服務(wù);另一方面，SaaS可能涉嫌秘密保存和永久保存用戶的個(gè)人信息，在用戶不知情或者已經(jīng)刪除軟件上的個(gè)人信息的情況下，仍然保留電子痕跡并隨時(shí)可以恢復(fù)數(shù)據(jù)。所以SaaS應(yīng)該提供給用戶透明的個(gè)人信息儲(chǔ)存、刪除和保護(hù)方案。當(dāng)然，由于SaaS的共享性，用戶的個(gè)人信息安全風(fēng)險(xiǎn)主要來(lái)自第三方的攻擊、竊取和篡改等。SaaS層的個(gè)人信息安全體系應(yīng)該包括以下4個(gè)方面內(nèi)容:

一是應(yīng)用的安全，軟件運(yùn)行的環(huán)境安全可靠，軟件能夠及時(shí)更新?lián)Q代，確保沒有漏洞;

二是個(gè)人信息數(shù)據(jù)庫(kù)的安全，數(shù)據(jù)庫(kù)與應(yīng)用軟件數(shù)據(jù)應(yīng)該隔離分開，多個(gè)服務(wù)器進(jìn)行分別儲(chǔ)存，并使用防火墻、密鑰管理等技術(shù)進(jìn)行數(shù)據(jù)庫(kù)的保護(hù);

三是個(gè)人信息的傳輸安全，采用加密的傳輸協(xié)議，確保用戶在客戶端和云計(jì)算服務(wù)器之間傳輸個(gè)人信息時(shí)不被截留;四是訪問(wèn)控制機(jī)制，由于多個(gè)用戶共用云計(jì)算服務(wù)器，需要對(duì)個(gè)人信息進(jìn)行分塊隔離，采用身份識(shí)別、數(shù)字簽名和訪問(wèn)控制技術(shù)對(duì)訪問(wèn)登錄進(jìn)行嚴(yán)格管理。上述分析是著眼于云計(jì)算平臺(tái)3個(gè)層次本身的技術(shù)漏洞，除此之外，云計(jì)算用戶的服務(wù)終端也是個(gè)人信息安全風(fēng)險(xiǎn)的重要源頭。一方面，云計(jì)算環(huán)境下，服務(wù)終端與云計(jì)算平臺(tái)連為一體，構(gòu)成一個(gè)統(tǒng)一的系統(tǒng)，具有極強(qiáng)傳染性和破壞性的病毒很可能從服務(wù)終端侵入到整個(gè)云平臺(tái)，導(dǎo)致整個(gè)云的崩潰或者癱瘓。特別是現(xiàn)在手機(jī)服務(wù)端日益普及，APP使用率日益增高，手機(jī)病毒的傳播更加猖獗，也極易侵入云計(jì)算網(wǎng)絡(luò)。另一方面，黑客也很可能通過(guò)云計(jì)算網(wǎng)絡(luò)對(duì)服務(wù)端發(fā)起攻擊，即使用戶的計(jì)算機(jī)采取防火墻、殺毒軟件等安全措施，但畢竟防范投入和水平有限，未必能阻擋病毒的侵襲。惡意代碼制作者、病毒郵件發(fā)送者以及其他惡意攻擊者可能直接竊取用戶服務(wù)端的個(gè)人信息，這種竊取采取各個(gè)擊破、螞蟻搬家的形式，更加難以覺察和防范。他們也可能破解或者盜取用戶在云計(jì)算平臺(tái)上的登錄名稱和登錄密碼，盜取用戶儲(chǔ)存在云計(jì)算數(shù)據(jù)中心上的海量個(gè)人信息。

三、云計(jì)算中的個(gè)人信息安全管理風(fēng)險(xiǎn)

除了云計(jì)算技術(shù)風(fēng)險(xiǎn)，云計(jì)算的管理不善也可能帶來(lái)個(gè)人信息的安全風(fēng)險(xiǎn)。天災(zāi)易避，人禍難防，云計(jì)算時(shí)代個(gè)人信息安全管理風(fēng)險(xiǎn)更大，后果也更為嚴(yán)重。技術(shù)風(fēng)險(xiǎn)多為概率事件，偶然性較強(qiáng)，而管理風(fēng)險(xiǎn)存在主觀故意，發(fā)生的可能性更高。技術(shù)風(fēng)險(xiǎn)可能造成個(gè)人信息的破壞或者丟失，但不一定立即引起直接損失，而管理風(fēng)險(xiǎn)一般伴隨著惡意商業(yè)目的，緊接著就可能造成用戶財(cái)產(chǎn)的損失或者人格權(quán)利的侵害。技術(shù)風(fēng)險(xiǎn)可以由云計(jì)算服務(wù)商通過(guò)技術(shù)改進(jìn)進(jìn)行補(bǔ)漏，通過(guò)人工操作進(jìn)行補(bǔ)救，但是，在信息不對(duì)稱的現(xiàn)狀下，道德缺失造成的云計(jì)算服務(wù)商監(jiān)守自盜所帶來(lái)的風(fēng)險(xiǎn)幾乎是難以防范的。下面筆者將從個(gè)人信息的收集、利用、處理3個(gè)方面歸納總結(jié)各種安全風(fēng)險(xiǎn)。

(一)道德的失范導(dǎo)致的個(gè)人信息收集風(fēng)險(xiǎn)

在云計(jì)算產(chǎn)業(yè)巨大利益的驅(qū)使下，云計(jì)算服務(wù)商可能有意或者無(wú)意地大量收集用戶的個(gè)人信息。云計(jì)算的主要商業(yè)模式是由云計(jì)算服務(wù)商運(yùn)用數(shù)據(jù)挖掘技術(shù)，海量收集各類政府機(jī)關(guān)、企事業(yè)單位、個(gè)人用戶的信息，進(jìn)行儲(chǔ)存、信息交換、個(gè)性服務(wù)、定向營(yíng)銷等。信息量越大，服務(wù)功能越強(qiáng)，商業(yè)價(jià)值就越大，這直接激發(fā)了云計(jì)算服務(wù)商收集個(gè)人信息的動(dòng)力。首先，用戶在使用云計(jì)算上的軟件時(shí)，并不知悉個(gè)人信息已經(jīng)被計(jì)算服務(wù)商獲取。雖然法律規(guī)定服務(wù)商必須履行告知義務(wù)，但是軟件的告知明細(xì)往往過(guò)于復(fù)雜，用戶如果不仔細(xì)閱讀一般都難以發(fā)現(xiàn)。特別是信息收集技術(shù)的不斷進(jìn)步，云計(jì)算服務(wù)商的信息收集能力不斷增強(qiáng)，信息收集的種類和數(shù)量往往超出了用戶能夠知曉的范圍。有時(shí)候，云計(jì)算服務(wù)商秘密收集或者備份用戶的個(gè)人信息，但有時(shí)用戶知道自己的個(gè)人信息要被收集，為了享有便利的服務(wù)，不得不放棄個(gè)人信息權(quán)。其次，由于數(shù)據(jù)挖掘、數(shù)據(jù)比對(duì)等眾多信息收集技術(shù)的出現(xiàn)，云計(jì)算服務(wù)商具備了強(qiáng)大的信息比對(duì)、分析、歸納、推理、整理能力，能夠?qū)⒂脩粼诓煌脚_(tái)不同服務(wù)中的碎片化個(gè)人信息整理成完整的個(gè)人信息圖譜，能夠掌握用戶完整的特征和清晰的活動(dòng)軌跡。雖然這些個(gè)人信息能夠更方便地為用戶提供優(yōu)質(zhì)的個(gè)性化服務(wù)，但這些脫離信息主體的個(gè)人信息，往往處于事實(shí)上的權(quán)利失控狀態(tài)，信息主體并不知道誰(shuí)收集、處理和利用了他們的信息，以及以何種手段收集、處理和利用他們的信息，這構(gòu)成了巨大的個(gè)人信息收集風(fēng)險(xiǎn)［8］。第三，不同云計(jì)算平臺(tái)之間可能存在不正當(dāng)?shù)膫€(gè)人信息交換，秘密簽訂個(gè)人信息共享協(xié)議，實(shí)現(xiàn)云計(jì)算服務(wù)商的商業(yè)利益最大化。特別是在云計(jì)算不區(qū)分國(guó)界的情況下，個(gè)人信息的跨境傳輸更難以管控。斯諾登事件就曝光了一些云計(jì)算企業(yè)在國(guó)家力量的支持下，收集其他國(guó)家公民的個(gè)人信息。這樣的跨境收集個(gè)人信息的行為，不僅侵害了公民的民事權(quán)利，還侵害了一個(gè)國(guó)家的信息主權(quán)。

(二)規(guī)則的缺失導(dǎo)致的個(gè)人信息利用風(fēng)險(xiǎn)

云計(jì)算產(chǎn)業(yè)發(fā)展迅猛，但是云計(jì)算領(lǐng)域的規(guī)則和標(biāo)準(zhǔn)的建構(gòu)與完善卻相對(duì)滯后，這種不對(duì)稱的發(fā)展造成了個(gè)人信息安全領(lǐng)域的無(wú)序狀況，容易造成個(gè)人信息利用的違法和犯罪。首先，云計(jì)算安全技術(shù)標(biāo)準(zhǔn)還有待強(qiáng)化和細(xì)化。沒有統(tǒng)一的云安全技術(shù)標(biāo)準(zhǔn)，無(wú)法強(qiáng)制要求云計(jì)算服務(wù)商布設(shè)有關(guān)安全技術(shù)措施，導(dǎo)致一些服務(wù)商重視能夠帶來(lái)盈利的商業(yè)技術(shù)，而忽視了不能帶來(lái)直接利益的安全技術(shù)。沒有安全技術(shù)標(biāo)準(zhǔn)的約束，一些云計(jì)算服務(wù)提供商還可能在云計(jì)算系統(tǒng)中插入秘密收集個(gè)人信息的軟件，比如等等。其次，云計(jì)算行業(yè)的制度規(guī)范也尚未制定。云計(jì)算產(chǎn)業(yè)需要一套關(guān)于個(gè)人信息保護(hù)的完整的行為準(zhǔn)則，確立個(gè)人信息數(shù)據(jù)庫(kù)的管理制度，明確個(gè)人信息處理人員、安全管理人員、系統(tǒng)開發(fā)人員和系統(tǒng)操作人員的職責(zé)范圍和操作規(guī)程。云安全規(guī)則的缺失極其容易造成個(gè)人信息的濫用。云計(jì)算服務(wù)商可能將個(gè)人信息應(yīng)用于定向推送廣告、不斷騷擾下的強(qiáng)迫交易、信息銷售等。在現(xiàn)實(shí)生活中，用戶將身份證復(fù)印件提供給服務(wù)商時(shí)，往往在身份證上注明“僅限用作……”等字樣，確保身份證復(fù)印件的有限使用和特定用途使用。但是電子數(shù)據(jù)形式的個(gè)人信息極易被復(fù)制，很難保證服務(wù)商不將其挪作他用。第三，由于個(gè)人信息相關(guān)法律不夠健全，云計(jì)算環(huán)境下個(gè)人信息的保護(hù)法更是少之又少，個(gè)人信息缺乏有力的司法強(qiáng)制力的保護(hù)。云計(jì)算用戶在個(gè)人信息遭受侵犯時(shí)，往往難以獲得有效的救濟(jì)。云計(jì)算沒有地域性，個(gè)人信息案件的管轄難以明確，造成立案難;云計(jì)算具有虛擬性，電子數(shù)據(jù)極易篡改，造成個(gè)人信息案件的取證難;另外，個(gè)人信息具有非物質(zhì)性，其價(jià)值難以計(jì)量，造成個(gè)人信息案件的賠償難。

(三)管理的失位引發(fā)的個(gè)人信息處理風(fēng)險(xiǎn)

我國(guó)云計(jì)算產(chǎn)業(yè)剛剛起步，無(wú)論是監(jiān)管機(jī)構(gòu)還是云計(jì)算企業(yè)，都尚未建立完整有效的管理機(jī)制。一方面，政府監(jiān)管力度不夠。目前，我國(guó)云計(jì)算的監(jiān)管部門是國(guó)家工信部，由于其職能主要是促進(jìn)產(chǎn)業(yè)發(fā)展，因此往往重發(fā)展而輕安全。個(gè)人信息的違法犯罪涉及司法權(quán)和行政執(zhí)法權(quán)，信息化管理部門還無(wú)法行使調(diào)查取證、強(qiáng)制措施、搜查凍結(jié)、罰款沒收等權(quán)力。另外，由于條件的限制，信息化管理部門進(jìn)行個(gè)人信息安全執(zhí)法的力量較為薄弱。另一方面，企業(yè)管理動(dòng)力不足。云計(jì)算服務(wù)商利用個(gè)人信息的利益和用戶保護(hù)個(gè)人信息的權(quán)利存在一定的矛盾，企業(yè)沒有足夠的動(dòng)力投入更多的人力物力進(jìn)行個(gè)人信息的管理。云計(jì)算企業(yè)對(duì)于能夠產(chǎn)生經(jīng)濟(jì)價(jià)值的個(gè)人信息的利用較為重視，而對(duì)于不能直接產(chǎn)生經(jīng)濟(jì)效益，甚至有可能產(chǎn)生負(fù)效益的個(gè)人信息的管理重視不夠。云計(jì)算服務(wù)提供商如果不加強(qiáng)內(nèi)部操作人員的管理，不加強(qiáng)個(gè)人信息保護(hù)內(nèi)部控制的建設(shè)，操作人員違規(guī)處理個(gè)人信息的現(xiàn)象將不斷出現(xiàn)。云計(jì)算時(shí)代，所有IT設(shè)備或數(shù)據(jù)被放到一起集中管理，內(nèi)部人員擁有的權(quán)限讓其能輕易獲取重要個(gè)人信息甚至得到整個(gè)云服務(wù)平臺(tái)的完全控制權(quán)。用人失察或監(jiān)管缺位都會(huì)給個(gè)人信息安全帶來(lái)災(zāi)難性的損失。

四、云計(jì)算下的個(gè)人信息安全防控措施

云計(jì)算下的個(gè)人信息安全已經(jīng)不是一個(gè)純技術(shù)問(wèn)題，僅僅依靠云計(jì)算企業(yè)采用先進(jìn)的云安全技術(shù)去遏制個(gè)人信息的違法犯罪是不夠的。唯有法律才能明確管理責(zé)任，才能明晰處理個(gè)人信息的權(quán)限，才能懲罰和防范一些犯罪分子利用個(gè)人信息謀取私利。違法收集、利用、處理行為主要承擔(dān)民事責(zé)任、行政責(zé)任和刑事責(zé)任［9］。個(gè)人信息相關(guān)法律法規(guī)的制定非常重要，而且迫在眉睫。但是個(gè)人信息安全防控機(jī)制的構(gòu)建、個(gè)人信息安全防范措施的完善同樣非常重要。作為以保障公共安全、保護(hù)人民生命財(cái)產(chǎn)安全為職能的公安機(jī)關(guān)，在防范和控制個(gè)人信息安全違法犯罪中，具有得天獨(dú)厚的優(yōu)勢(shì)。我國(guó)應(yīng)該構(gòu)建以公安機(jī)關(guān)為主，信息化管理部門協(xié)調(diào)配合，法律規(guī)制與行業(yè)管理相結(jié)合的個(gè)人信息安全防控體系，構(gòu)建并完善云計(jì)算下的個(gè)人信息安全監(jiān)控機(jī)制、偵查機(jī)制和應(yīng)急機(jī)制。

(一)云計(jì)算下的個(gè)人信息安全監(jiān)控機(jī)制

信息的公開具有不可逆性，云計(jì)算個(gè)人信息安全事故一旦發(fā)生，造成的損害無(wú)法恢復(fù)原狀。因而個(gè)人信息的保護(hù)不能依賴事后的被動(dòng)處理，而應(yīng)該著重于監(jiān)控與預(yù)警，從事后救濟(jì)、被動(dòng)維護(hù)向事前設(shè)計(jì)、事中報(bào)告、主動(dòng)監(jiān)控轉(zhuǎn)移，形成常態(tài)的監(jiān)控機(jī)制［10］。首先，應(yīng)該制定統(tǒng)一的技術(shù)標(biāo)準(zhǔn)，要求云計(jì)算服務(wù)商在系統(tǒng)中植入安全監(jiān)控技術(shù);制定統(tǒng)一的行業(yè)規(guī)范，要求云計(jì)算服務(wù)商建立完善的內(nèi)部控制制度。利用安全監(jiān)控技術(shù)，公安機(jī)關(guān)、信息化管理部門和云計(jì)算服務(wù)商都能及時(shí)了解云計(jì)算系統(tǒng)運(yùn)行狀態(tài)。監(jiān)控技術(shù)不僅起到預(yù)警作用，也為云計(jì)算安全的內(nèi)部控制提供數(shù)據(jù)支撐。其次，應(yīng)該建立常態(tài)的個(gè)人信息安全報(bào)告機(jī)制，要求云計(jì)算服務(wù)商及時(shí)報(bào)告?zhèn)€人信息流動(dòng)的異常情況。個(gè)人信息安全的報(bào)告機(jī)制可以借鑒我國(guó)《反洗錢法》中的“大額交易和可疑交易監(jiān)控與報(bào)告”制度，要求云計(jì)算服務(wù)商將可疑的個(gè)人信息流動(dòng)報(bào)告給公安機(jī)關(guān)和信息化管理部門?？梢傻膫€(gè)人信息流動(dòng)是指?jìng)€(gè)人信息流動(dòng)在數(shù)量、頻率、流向和性質(zhì)等方面表現(xiàn)異常，或與客戶身份、登錄狀況、活動(dòng)規(guī)律不符，存有個(gè)人信息違法犯罪嫌疑的流動(dòng)。

(二)云計(jì)算下的個(gè)人信息安全偵查機(jī)制

嚴(yán)格的偵查機(jī)制和過(guò)硬的偵查能力是個(gè)人信息安全保護(hù)的根本保障。要整合公安機(jī)關(guān)、信息化管理部門、行業(yè)自律組織的資源，司法、行政與行業(yè)之間無(wú)縫對(duì)接，協(xié)調(diào)配合，共同執(zhí)法。在行政和刑事執(zhí)法過(guò)程中，取證難嚴(yán)重降低了打擊違法犯罪行為的力度。在云計(jì)算環(huán)境下，某些電子證據(jù)依靠目前的偵查技術(shù)，還難以充分偵測(cè)與提取。如在云應(yīng)用服務(wù)中，有許多服務(wù)通過(guò)運(yùn)行的虛擬專用網(wǎng)絡(luò)(VPA)訪問(wèn)，現(xiàn)有偵查技術(shù)幾乎檢測(cè)不到［11］。對(duì)此，可以采用面向取證的現(xiàn)場(chǎng)遷移技術(shù)等進(jìn)行偵查，采取遷移取證監(jiān)管來(lái)調(diào)度和監(jiān)控鏡像證據(jù)提取層的每一次遷移操作，并記錄下全部的遷移過(guò)程信息，保證取證數(shù)據(jù)符合證據(jù)法要求的可靠性和完整性［12］。

(三)云計(jì)算下的個(gè)人信息安全應(yīng)急機(jī)制

云計(jì)算服務(wù)提供商應(yīng)當(dāng)設(shè)置個(gè)人信息安全監(jiān)控中心，負(fù)責(zé)系統(tǒng)安全的全面維護(hù)、個(gè)人信息安全的總體監(jiān)控、個(gè)人信息安全情況報(bào)告和個(gè)人信息安全事件的處置等［13］。公安機(jī)關(guān)和信息化管理部門要根據(jù)云計(jì)算服務(wù)商提交的可疑個(gè)人信息流動(dòng)報(bào)告，進(jìn)行認(rèn)真研判、仔細(xì)甄別。對(duì)篩選出來(lái)的違反法律規(guī)定的個(gè)人信息安全事件，要根據(jù)嚴(yán)重程度，啟動(dòng)個(gè)人信息安全應(yīng)急機(jī)制。應(yīng)急機(jī)制分為輕微、一般、重大、特別重大等不同等級(jí)。不同等級(jí)的警報(bào)對(duì)應(yīng)不同級(jí)別的應(yīng)急方案。應(yīng)急方案包括提醒客戶、數(shù)據(jù)隔離、數(shù)據(jù)恢復(fù)、停止運(yùn)行等。其中數(shù)據(jù)隔離可以保證用戶的個(gè)人信息運(yùn)行于封閉且安全的范圍內(nèi)，防止進(jìn)一步地泄露，避免用戶間的相互影響，減少用戶錯(cuò)誤操作或受到計(jì)算機(jī)病毒攻擊時(shí)對(duì)整個(gè)系統(tǒng)帶來(lái)的安全風(fēng)險(xiǎn)。數(shù)據(jù)恢復(fù)是針對(duì)計(jì)算機(jī)病毒攻擊的重要應(yīng)急措施，包括恢復(fù)個(gè)人信息和遭受病毒侵害的軟件等。數(shù)據(jù)恢復(fù)是典型的事后應(yīng)急措施，可以保證云計(jì)算服務(wù)可靠性和可用性。

五、結(jié)語(yǔ)

技術(shù)的進(jìn)步必然引起法律制度的變革，產(chǎn)業(yè)的發(fā)展必須依賴法律機(jī)制的完善。云計(jì)算時(shí)代，個(gè)人信息安全的法律規(guī)制迫在眉睫。隨著云計(jì)算成為人類基本的工作、生活環(huán)境，個(gè)人信息都無(wú)法避免地集中到云上，海量個(gè)人信息的安全問(wèn)題是公安機(jī)關(guān)必須面對(duì)的難題。個(gè)人信息安全監(jiān)控機(jī)制旨在防范犯罪，個(gè)人信息安全偵查機(jī)制旨在打擊犯罪，個(gè)人信息安全應(yīng)急機(jī)制則是處理已經(jīng)發(fā)生的犯罪。建立系統(tǒng)的個(gè)人信息安全防控機(jī)制，多方位協(xié)同發(fā)揮效力，方能最大程度確保個(gè)人信息安全可控和云計(jì)算產(chǎn)業(yè)健康發(fā)展。

參考文獻(xiàn):

［1］周漢華．個(gè)人信息保護(hù)法(專家建議稿)及立法研究報(bào)告［M］．北京:法律出版社，2006:3．

［2］姜茸，張秋瑾，李彤，等．電子政務(wù)云安全風(fēng)險(xiǎn)分析［J］．現(xiàn)代情報(bào)，2014(12):14－15．

［3］李連，朱愛紅．云計(jì)算安全技術(shù)研究綜述［J］．信息安全與技術(shù)，2013(5):44－45．

［4］齊愛民，陳星．云計(jì)算時(shí)代的個(gè)人信息安全危機(jī)與法律對(duì)策［J］．中國(guó)信息安全，2012(11):83－84．

［5］何培育．個(gè)人信息盜竊的技術(shù)路徑與法律規(guī)制問(wèn)題研究［J］．重慶理工大學(xué)學(xué)報(bào)(社會(huì)科學(xué))，2015(2):159－162．

［6］林闖，蘇文博，孟坤，等．云計(jì)算安全:架構(gòu)、機(jī)制與模型評(píng)價(jià)［J］．計(jì)算機(jī)學(xué)報(bào)，2013(9):1775－1776．

［7］丁秋峰，孫國(guó)梓．云計(jì)算環(huán)境下取證技術(shù)研究［J］．信息網(wǎng)絡(luò)安全，2011(11):36－38．

［8］周剛．云計(jì)算環(huán)境中面向取證的現(xiàn)場(chǎng)遷移技術(shù)研究［D］．武漢:華中科技大學(xué)，2011:29．

［9］魏光禧．電子商務(wù)中個(gè)人信息的利用與保護(hù)［J］．中國(guó)商論，2015(5):41－42．

作者:魏光禧 單位:華中科技大學(xué)法學(xué)院