在英国首都伦敦，民众戴着脸书CEO扎克伯格的面具抗议用户信息泄露事件。CFP(资料照片)
已生效一个多月的欧盟《通用数据保护条例》(GDPR)，被媒体认为是大数据监管新时代的标志。相比之下，目前美国既没有专门的数据保护法律法规，也没有对应的职能部门，用美国专家的话说，“基本上没有国家层面的隐私基础设施”。
由于数月前曝出的脸书和剑桥数据分析公司丑闻，互联网用户数据隐私现在是美国社会的争论热点。究竟是什么导致这个科技强国陷入数据保护方面无法可依的窘境?
美国失去“领导权”?
世界范围内，在个人数据保护立法的20来年历史中，美国和欧盟颇具渊源，不过两者的合作只“存异”不“求同”。
1995年，欧盟发布了严格的《数据保护指令》，规定欧盟以外国家和地区若无保护隐私的相关法规，欧盟公民个人信息“数据不出境”。不过，推动互联网高速发展的美国却从科技和商业的视角看问题。
2000年，美国和欧盟达成《安全港协定》，给严苛的《数据保护指令》开了一个“后门”，允许美国企业转移和处理欧盟公民的个人数据。2013年斯诺登事件曝出的文件显示，这个“后门”正是美国情报机构开展监控的通道之一。
比照欧盟***的《通用数据保护条例》明确的“数据最小化”原则，媒体指出，美国和欧盟最根本的区别在于将大数据战略作为国策鼓励发展。
除了态度不同，美国对数据保护立法还有另一重现实阻力。在近期美国外交关系委员会的专题报告会上，美国联邦贸易委员会***隐私官马克·格罗曼谈到，***的挑战是如何把已经存在的林林总总的州法律融进新法案，而几十个利益相关的商业公司和管理部门还有各自不同的观念和方法。
格罗曼感叹，美国不像很多国家那样是一张白纸。“我们有《健保流通责任法案》《金融现代化法案》《公平信用报告法》《网络儿童隐私保护法规》……在联邦层面，每项法律的标准和定义都不同。”
美国数据政策专家认为，他们的国家已经失去在这一领域的***角色。”格罗曼说，“GDPR正在推动全球对话，当别的国家想要打造自己的硅谷时，他们更多地关注欧洲模式。”外交关系委员会数据政策高级研究员凯伦·科恩布鲁说，“脸书曾是互联网的代表，但美国已在很多方面丢失了领导权。”
“我们该如何规范你”
欧盟拥有一个1200多名专家的技术评估机构，而美国在顶层机构设置上缺位已久。设立于1972年的国会技术办公室在1995年被当时掌控两院的共和党废除。此后，包括希拉里·克林顿在内的民主党人多次试图在国会恢复这一机构设置。但就在上个月，重建技术评估办公室的***修正案仍被众议院投票否决。
目前唯一和数据监管沾边的顶层机构可能要数联邦贸易委员会。尽管委员会下设隐私监管机构，不过科恩布鲁认为，他们从性质上而言是政府机构，没有立法权，只能事后评判。
在剑桥分析公司丑闻发酵之后，美国参议员已经抛出《同意法案》和《社交媒体隐私和消费者权利法案》等试图寻找监管立法的门道。但由于数据技术领域过于专业，议员们普遍呼吁科技公司的合作，这又带出了既做裁判员又做运动员的悖论——今年4月脸书掌门人马克·扎克伯格的听证会上，参议员的那句“先生，我们该如何规范你”便是注解。
如此好笑的一幕反映出美国在数据监管立法上的两难境地，但还是有人走出了***步。本月初，加利福尼亚州长签署通过《消费者隐私法案》。《华盛顿邮报》称，作为大数据的收集中心，加州开始实行目前美国***大的隐私保护措施。这一州法对脸书、谷歌和其他科技巨头如何处理加州居民的个人数据设置了新的严格限制。
不过，《消费者隐私法》要到2020年才生效。分析人士认为，在此期间几乎肯定将面临脸书、AT&T等行业巨头的激进游说，到法案真正生效时可能会有大量微调。
有数据专家认为，其他州很可能在数据保护立法上陆续跟进，以填补联邦政府不作为所留下的空白。
联邦立法短期无望
事实上，联邦政府层面最近也出现了一些积极变化的迹象，紧迫感促使美国国防机构和行政部门采取行动。据美国媒体Axios报道，特朗普总统的特别助理盖尔·斯莱特近期与信息技术行业委员会的***执行官们会面，讨论联邦层面网络数据隐私法规的雏形。
美国互联网安全联盟总裁兼***执行官拉里·克林顿对网络媒体Quartz表示，希望业界和政府在隐私问题上共同努力，而不是遵循GDPR的惩罚性模式。而乐观的格罗曼认为，拥有全面性的综合隐私法对美国企业有利。
与欧盟将数据保护视为一项基本人权相比，美国在这一领域显然有着政商纽带等诸多特殊“国情”。鉴于此，目前大多数专家认为，至少近期制定相关联邦法律的可能性几乎为零。
有意思的是，相比于监管立法的梗阻，美国人的商业创新总是领先一步且无孔不入。目前已出现一些新的商业工具，帮助美国企业管理数据以遵守欧盟法规，例如把功能定位比作税务软件的GDPRsimple。此外，某些个体拥有自己的数据并获得商业授权，也是一种可能。
格罗曼期望，这能为数据隐私全面监管开出新路。“商业模式创新提供了不同的方式来管理数据，这对监管有巨大好处，令人兴奋。”
如何解决电子商务安全问题
电子商务是互联网应用的重要趋势之一，也是国际金融贸易中越来越重要的经营模式之一，以后会逐渐地成为我们经济生活中一个重要的部分，安全是保证电子商务健康有序发展的关键因素，也是目前大家十分关注的话题，下面将就电子商务发展中的几个热点问题，谈谈个人的看法。 一、怎么看待安全与发展的关系谈到安全与发展两者之间的关系时，许多人都会认为安全更重要，而实际上在信息化发展的过程中，发展自始至终都应是放在第一位的，因为没有发展安全就无从谈起，没有发展就是最大的不安全。 从国内外的情况来看，电子商务发展的速度太快，致使其安全技术和安全管理跟不上，这是一个越来越突出的问题。 电子商务的快速发展需要业界，特别是信息安全业快速地作出反应，否则安全方面的问题将会制约它的发展。 现在不仅仅是发展中国家，就连美国这样的发达国家，电子商务在很多领域还是没有像其它传统的商务那样发达，一个重要的原因就是安全问题。 这就需要信息安全业的同行作出不懈的努力，不要因为安全问题而制约了电子商务的发展。 二、如何看待电子商务的安全问题在正确看待电子商务的安全问题时，有几个观念值得注意：其一，安全是一个系统的概念。 安全问题不仅仅是个技术性的问题，不仅仅只涉及到技术，更重要的还有管理，而且它还与社会道德、行业管理以及人们的行为模式都紧密地联系在一起了。 其二，安全是相对的。 房子的窗户上只有一块玻璃，一般说来这已经很安全，但是如果非要用石头去砸，那就不安全了。 我们不会因为石头能砸碎玻璃而去怀疑它的安全性，因为大家都有一个普遍的认识：玻璃是不能砸的，有了窗玻璃就可以保证房子的安全。 同样，不要追求一个永远也攻不破的安全技术，安全与管理始终是联系在一起的。 也就是说安全是相对的，而不是绝对的，如果要想以后的网站永远不受攻击，不出安全问题是很难的，我们要正确认识这个问题。 其三，安全是有成本和代价的。 无论是现在国外的B-to-B还是B-to-C，都要考虑到安全的代价和成本的问题。 如果只注重速度就必定要以牺牲安全来作为代价，如果能考虑到安全速度就得慢一点，把安全性保障得更好一些，当然这与电子商务的具体应用有关。 如果不直接牵涉到支付等敏感问题，对安全的要求就低一些；如果牵涉到支付问题对安全的要求就要高一些，所以安全是有成本和代价的。 作为一个经营者，应该综合考虑这些因素；作为安全技术的提供者，在研发技术时也要考虑到这些因素。 其四，安全是发展的、动态的。 今天安全明天就不一定很安全，因为网络的攻防是此消彼长、道高一尺、魔高一丈的事情，尤其是安全技术，它的敏感性、竞争性以及对抗性都是很强的，这就需要不断地检查、评估和调整相应的安全策略。 没有一劳永逸的安全，也没有一蹴而就的安全。 三、社会上对电子商务的需求有哪些电子商务是用电子化的方式实现传统商务的模式或者说对传统商务的革命，它的发展需要以下几个必备的条件。 其一，对电子商务的发展要有广泛的认同。 无论是现在的银行、证券也好还是传统的物物交换，社会认同是交易得以实现的基础。 对电子商务的发展也必须有广泛的认同。 其二，电子商务的交易模式不能被假冒。 也就是说必须要有足够的安全保障。 其三，能真正节省开支。 人类从最原始的物物交换到一般等价物、到信用体制等等都是在不断地降低交易成本，如果我们引进电子商务不但不能减少成本，反而会使成本增加，就不会得到社会的认同。 其四，要求方便易用，这一点十分重要。 目前我国电子商务发展的发展过程中最致命就是使用不方便。 其五，要能满足社会大众的商业心态。 它可以是“实名制”也可以是“隐名”的(当然现在也正讨论怎么使存款“实名制”)，原来的金融体系或经济体系的优势就在于既可以是“实名”的也可以是“隐名”的，所以发展电子商务时也要考虑这个问题，否则用户就没有选择，其发展就会受到阻碍。 社会对电子商务安全的需求简单归纳起来主要有以下几点：1.信息要求真实和完整。 因为无论中国人还是外国人，都会觉得“隔山买牛”是一件心里没底的事情，因此都希望电子商务上的信息是真实的、完整的。 2.所有交易不能够抵赖，否则，生意就没法做了。 这不但需要用道德和法律进行约束，更需要相关技术进行保障。 如果总是发生扯皮或纠纷，再好的电子商务也会因此而黄掉。 3.支付和交易必须是安全而可靠的。 目前，如何保障支付和交易的安全可靠是一个全球性问题，电子商务要有大的发展，就必须管好这些瓶颈。 4.用户或商家的身份在网络上能够被准确地识别。 如果不能准确识别交易双方的身份，发生纠纷时就无法进行有效的仲裁。 5.能够保护个人隐私。 对个人隐私的保护现在越来越受到重视，以前我们可能不太看重这个问题。 越是开放，越是信息化，个人隐私越重要。 四、对电子商务现状的看法现在，电子商务网站的经营很热闹，但其实也很艰难。 根据我们了解的情况，我国的电子商务虽然收益不佳的现状有望改观，但技术和管理方面的问题还依然存在，安全隐患仍令人担忧。 从技术上看：首先是数据传输的速度太慢；第二是没有安全、可靠的结账方式，这严重制约着电子商务的发展；第三是IT技术的发展速度太快，商务模式的形成和人们使用习惯的养成都需要一定的时间，虽然技术不断发展，但社会对技术的认同是有阶段的，这使得用户和经营者都难以消化，难以跟上这种快速发展的步伐；第四是难以及时处理用户的有关问题，开通一个网站，如果一段时间以后用户的反馈多了，网络的速度就会慢下来，这也许是线路本身的问题，但也存在技术处理的问题，目前尚没有解决的良策。 第五是在安全保障上，难以防范现在的网络犯罪，特别是黑客的攻击。 从管理上看，存在的主要问题有：1)国内电子商务网站的数目太少、浏览电子商务网站的用户数量没有期望的那么多；2)电子商务网站的经营收益远低于预期，使有网络泡沫之虞；3)缺乏能适应中国国情的市场技巧。 现在的电子商务网站动作的市场方式基本上是照搬美国的，在造势上不无奢华，但在收效上却无殷实，不充分考虑中国人的商业行为和方式，恐怕是难以成功的。 4)网站运营成本太高。 由于运行成本居高不下，再好的商业模式也不堪重负。 5)收费困难。 除BtoB稍好一点外，BtoC电子商务一直没有找到方便可行的收费方式。 从安全上看，电子商务的隐患，令人担忧，主要表现在：1.网络信息安全在全球还没有形成一个完整的体系，我国也不例外。 虽然有关电子商务安全的产品数量不少，但真正通过认证的却相当少。 近两年，有将近20家有关电子商务安全的产品申请认证，但最后通过的非常少，这主要是因为不少安全措施是从网上“down”下来的，另外，不少电子商务安全技术的厂商对网络技术很熟悉，但是对安全技术普通了解得较少，因而他们很难开发出真正实用的、安全性足用的安全技术和产品。 2.安全技术的强度普遍不够。 国外有关电子商务的安全技术，虽然其结构或加密技术等都不错，但这种算法(无论是对称的还是非对称的)受到了外国密码政策的限制，因此强度普遍不够。 这种技术用在B-to-C方面还勉强可行，但用在B-to-B上就显然不够。 3.电子商务网站的安全管理存在很大隐患，普遍难以经受黑客的攻击。 这个问题应当引起高度重视，国内电子商务网站被攻击的事件较少并不表示是牢不可破，而是网站本身很小，没有多少可攻的价值。 4.电子商务仅仅局限于商务信息领域而没有深入真正的电子商务领域，这些因素的存在必将影响我国电子商务进一步的发展。 五、关于面向社会服务的CA中心现在大家都在关注CA中心，从国外的发展看，认证应该是第三方的，政府干预最好少一些，只需作些必要的引导。 在我国，最大的问题是多人过早地把CA认证看作是一种产业，把它当作生意来做，而过少地考虑到应该担负的责任。 其实，面向社会服务的CA中心必须达到一定的要求。 首先要看建设单位是否具备管理能力，以及责任和义务是否很明确，一旦证书出了问题，各方的责任是否清楚；其次是看技术能力和运行条件，CA要为社会服务，能否保证安全可信，运转有效；这需要专门的技术能力和安全完整的网上认证技术体系。 比如在炒股票时，如果认证的周期太长，别人已经成交了，你这里还堵着，那肯定不行。 第三是看是否有足够的财力支持。 没有数千万乃至上亿的投入，是无法面向社会提供可信赖的CA服务。 第四是看整个CA系统和设施是否安全。 总之，CA中心能否提供安全可靠的服务，不能仅凭自身的宣传，而是要通过“国家信息安全认证”。 到目前为止已经通过认证的只有一家，还有其它几家也正在审查之中。 主要的问题不在于能否发出证书，而在于能否保障证书的使用者的利益。 六、如何看待电子商务网站受到的攻击刚才我们提到过黑客的问题，黑客的威力到底有多大？目前，我国网站所受到黑客的攻击，还不能与美国的相提并论，因为我们的用户数、规模和级别还是处在很初级的阶段。 如果遇到类似于DDOS的攻击时应该引起注意，但不必很惊慌，因为在目前的情况下，一个电子商务网站停一两天所受的损失不是很大，毕竟业务量和交易额都还不大。 从以往遭遇过的攻击中我们可以得到以下几点启示：1.纯技术难以防范原始攻击方式。 如果我们按照西方人的思维方式去思考，不断的追求和更新安全技术，防火墙可以做得非常强，但如果黑客不去窃取信息或数据，而只是去阻塞网站，这种非常野蛮的攻击方式用单纯的技术是很难解决的，而要靠管理或其它的方法去防范。 美国电子商务网站遭受那么大规模的攻击，虽然有技术方面的原因，但总的看来还是一个管理的问题，这里的管理包括网站的经营者要如何防止自己的网站被攻击，上网的用户如何保证自己的机器不会无辜地被别人利用，现在网上的安全补丁很多，但很少有人真正用它或不知道怎么去用。 所以，在信息化发展的初期，管理比技术显得更为重要。 2.病毒比一般攻击更可怕。 现在的病毒(包括恶性代码)破坏性越来越大。 现在电子商务上的交易都是非时间敏感性的项目，所以时效性并不太突出，可怕的是病毒对数据的破坏。 3.从目前的情况看，危及电子商务的首先是病毒或恶意代码；然后是内部人员滥用计算资源，对此国外强调的比较多，国内强调的比较少，随着技术人员流动性增大，道德也有待提高；第三是黑客攻击；第四是用户数据的泄漏；第五是假冒的交易。 七、关于电子商务需要的安全技术与产品目前，国内市场需要较大的网络安全产品还是防火墙，从国内外采购的数量来看，防火墙均居于首位的；其次是通信保密设备；第三是现在电子商务里面应用最多的客户机服务器中的安全模式；第四是局域网或广域网上的安全技术；第五是web安全技术；第六是灾难恢复技术，从银行和金融界的一些情况看，大家对这方面的重视还不够，普遍的电子商务网站对灾难恢复考虑得都不是很好，这也是迫切需要的。 八、制约我国电子商务发展的主要因素制约我国电子商务的因素主要有：其一是商业信息化程度太低；其二是交易过程不规范；其三是信用制度不健全；其四是技术发展太快，没有一定的稳定过程；其五是出现问题后客户去找谁负责。 由于有关电子商务的立法和管理刚刚开始，有人开玩笑说“电子商务目前是个‘三无’行业：无法可依、无安全可言、无规可循”，当然这只有一定的道理，我国政府对电子商务的管理已经报上议事日程，各个部门都在抓紧制定推进电子商务的政策。 九、加快电子商务发展的建议对电子商务发展的建议简单地讲是“两高一低”，即：1)不断提高服务的安全性，否则会制约电子商务的发展；成为发展的瓶颈；2)提高通讯的速度，否则电子商务就成了纯粹的电子广告而无法将商场搬到里面，许多东西我们无法看到，也更谈不上交易；3)降低成本，这不仅仅是降低硬件成本，特别是要降低通讯成本。 因为电子商务发展的目的本来就是为了降低交易成本，交易成本反而高了就不正常。 许多人都认为花那么大的投入去搞电子商务还不如去面对面地谈生意，打个电话许多货就发过来了，用不着去识别身份什么的。 电子商务安全管理的基本趋势似乎可用：“谁经营、谁负责”六个字来概括，也可以说是谁管理谁负责。 这就强调业界要自律，要对安全问题承担责任。
美国国防部系统有多严密
TCSEC(Trusted Computer System Evaluation Criteria : 美国防部系统安全测评标准)美国国防部为计算机安全的不同级别制订了4个准则。 橙皮书（正式名称为可信任计算机标准评估标准）包括计算机安全级别的分类。 看一下这些分类可以了解在一些系统中固有的各种安全风险，并能掌握如何减少或排除这些风险。 1、D1 级 这是计算机安全的最低一级。 整个计算机系统是不可信任的，硬件和操作系统很容易被侵袭。 D1级计算机系统标准规定对用户没有验证，也就是任何人都可以使用该计算机系统而不会有任何障碍。 系统不要求用户进行登记（要求用户提供用户名）或口令保护（要求用户提供唯一字符串来进行访问）。 任何人都可以坐在计算机前并开始使用它。 D1级的计算机系统包括： MS-Dos 及Windows95(不在工作组方式中） Apple的System7.x2、C1 级 C1级系统要求硬件有一定的安全机制（如硬件带锁装置和需要钥匙才能使用计算机等），用户在使用前必须登录到系统。 C1级系统还要求具有完全访问控制的能力，经应当允许系统管理员为一些程序或数据设立访问许可权限。 C1级防护不足之处在于用户直接访问操作系统的根。 C1级不能控制进入系统的用户的访问级别，所以用户可以将系统的数据任意移走。 常见的C1级兼容计算机系统如下所列： UNIX 系统 XENIXNovell3.x或更高版本 Windows NT3、C2 级 C2级在C1级的某些不足之处加强了几个特性，C2级引进了受控访问环境（用户权限级别）的增强特性。 这一特性不仅以用户权限为基础，还进一步限制了用户执行某些系统指令。 授权分级使系统管理员能够分用户分组，授予他们访问某些程序的权限或访问分级目录。 另一方面，用户权限以个人为单位授权用户对某一程序所在目录的访问。 如果其他程序和数据也在同一目录下，那么用户也将自动得到访问这些信息的权限。 C2级系统还采用了系统审计。 审计特性跟踪所有的“安全事件”，如登录（成功和失败的），以及系统管理员的工作，如改变用户访问和口令。 常见的C2级操作系统有： UNIX 系统 XENIXNovell3.x或更高版本 Windows NT4、B1 级 B1级系统支持多级安全，多级是指这一安全保护安装在不同级别的系统中（网络、应用程序、工作站等），它对敏感信息提供更高级的保护。 例如安全级别可以分为解密、保密和绝密级别。 5、B2 级 这一级别称为结构化的保护(Structured Protection)。 B2 级安全要求计算机系统中所有对象加标签，而且给设备（如工作站、终端和磁盘驱动器）分配安全级别。 如用户可以访问一台工作站，但可能不允许访问装有人员工资资料的磁盘子系统。 6、B3 级 B3级要求用户工作站或终端通过可信任途径连接网络系统，这一级必须采用硬件来保护安全系统的存储区。 7、A 级 这是橙皮书中的最高安全级别，这一级有时也称为验证设计(ve-rified design)。 与前面提到各级级别一样，这一级包括了它下面各级的所有特性。 A级还附加一个安全系统受监视的设计要求，合格的安全个体必须分析并通过这一设计。 另外，必须采用严格的形式化方法来证明该系统的安全性。 而且在A级，所有构成系统的部件的来源必须安全保证，这些安全措施还必须担保在销售过程中这些部件不受损害。 例如，在A级设置中，一个磁带驱动器从生产厂房直至计算机房都被严密跟踪。
为什么中国没有狼保护区？？
在我们的生物圈中，存在着一条很长很长的生物链，而每种动物之间都有着密切的关系，少了任何一种，都会引起生态失衡。 我们不能单从某种动物的片面的坏处而封杀它。 狼虽然吃弱小动物，甚至袭击草原上的羊群，但是这是天性，而且它们这样的猎食行为使被猎食者的数量得到了有效的控制；被猎食者（多为草食动物）的数量得到控制，食物链中它的前端（植物）的数量也得到保证。 所以，食物链是通过这样层层紧密地关系连接起来的，链上的任何一环断掉，整个生物圈就会失衡。 当年罗斯福片面地从狼吃鹿这个关系上而封杀狼，毁掉了整个凯巴伯森林；当年我国把麻雀视为农业害鸟，幸好现在已经纠正了这种看法，幸免酿成大错。 不仅是狼，我们要保护好每一种生物。
发表评论