信息安全需要“法治”


信息安全需要“法治”
  最近,在信息安全企业座谈中了解到,信息安全虽然成为热词,但市场真实响应不是很热烈。企业的困惑是:信息安全服务是一般的服务还是具有第三方性质的特殊服务?因为乙方确实可以轻易掌握甲方的信息。信息安全是没完没了的攻防较量,虽然能力不断提升,问题却丝毫没有根除,这种矛与盾的演义有无意义?信息安全是不是完全市场,政府采购有无必要对私企或上市公司设限或另眼相看?这些问题都急需寻找答案。

  企业的困惑反映了信息安全的严峻性。一是认识不足,信息安全这种防御性的工作往往是说起来重要,做起来次要,除非吃到了苦头。二是信任不够,信息安全服务天然是潜在的第三方服务,在信任制度不健全的情况下,企业与用户难以有效合作。三是机制不灵,在对付正义与邪恶问题上,往往以技术对抗技术,于是“道高一尺,魔高一丈”,无休无止,恶性病毒、黑客攻击、垃圾邮件以及不良信息内容依旧招摇过市,而企业照例会借机讲更多危言耸听的故事,引起消费用户的恐惧心理,赢得社会的赞助。四是规则模糊,无论企业还是个人都在期待构建有效率有张力的管理体制。

  整体看,信息安全既是战场,又是商场。信息安全企业不仅要与同行竞争,还要与无形的敌人战斗。但是这个敌人其实在为信息安全提供商机,同业竞争者才是真正的敌人,正是这种奇怪的关系构成信息安全生态,因此不要迷信信息安全企业总会站在政府和百姓一边。其实从政府或公众的角度看问题,信息安全与市场服务是可以区分的。不能也不应该把保护信息安全完全寄于信息安全市场。市场就是市场,它有着自己的规律,而信息安全必须运行在公权力的轨道上。

  第一,推行法治。眼下在建的虚拟世界如同实体世界一样需要法治,而且因为信息的不对称性,更需要法治的存在。信息安全如果囿于技术,政府和公众都没有优势,因为敌人总在暗处,而你在明处。但是,一旦回归法律层面,借助国家机器,正义总可以绝对占上风,而敌人变得手无寸铁,治理便容易得多。企业家坦言,法治到位,信息安全问题会减少80%,集中力量解决余下的问题就简单多了。法治需要良法,而我国信息安全法规缺少基本法,体系零散,操作性不强。当务之急是以立法明晰信息安全的界线、底线和权力、义务。当然,信息安全毕竟不同于一般的执法,需要加强网络技术队伍建设。同时探索建立信息安全服务外包机制,把一些经考查的信息安全企业纳入管理范畴,共同参与治理。

  第二,构筑诚信。信息安全反映了严肃的社会关系。公共组织、企业或个体都是社会细胞,建立友好的社会关系尤为重要。在政府的引导下,由公共组织或第三方组织建立信息安全标准和信用体系,强调企业在信息安全方面的社会责任,提高企业和个人的违约成本,保护信息弱者的利益不受损害。鼓励建立基于合约形式的法律保障,建立服务或被服务对待原则。比如,对短信推送广告这种有违信息安全的行为可以实行有偿化管理,杜绝垃圾短信的困扰。在推进大数据应用的进程中,尽快完善相关的数据应用规范,处理好保护个人隐私和利用信息资源的关系。规范信息系统工程建设和软件企业行为,制订信息安全自律条款,建立黑名单制度。建立信息安全举报和追溯平台,让那些侵害信息安全的公司或黑客无处遁形。

  第三,倡导自觉。信息安全需要冷静。既不要因为信息安全的风险而过度恐惧,而被一些热衷炒作的企业牵着鼻子走,也不要过于轻视而忽略了应有的防护,门户洞开,引狼入室。自我防护是最容易被忽视的,调查发现94%的攻击能够利用基本的“网络卫生”手段阻止。信息安全责任一半在自身,政府应当建立一把手责任制和严格的安全制度,在出现问题时有管控预案和补救措施。企业和个人信息系统,需要作一些定期体检,包括对加密技术的更新维护。在制度健全的前提下,大力推广云服务方式,实现信息安全统一管理,把技术问题交给高素质的IT专家。