在萬物互聯(lián)、全面上云的時(shí)代,用戶隱私和數(shù)據(jù)安全誰來保障?
在2019阿里云峰會上海站,阿里云智能總裁張建鋒提出,全面上云的拐點(diǎn)到了,2019年是從傳統(tǒng)IT向云計(jì)算全面轉(zhuǎn)移的分水嶺。近期,阿里云被爆,就在這一年雙11,該公司員工將用戶信息泄露給了第三方合作伙伴。
對此,阿里云8月23日回應(yīng)稱,根據(jù)自查,該事件應(yīng)為2019年雙11前后,阿里云一名電銷員工違反公司紀(jì)律,利用工作便利私下獲取客戶聯(lián)系方式,并透露給分銷商員工,從而引發(fā)一名客戶投訴。
一云服務(wù)廠商人員告訴第一財(cái)經(jīng),此類事件在行業(yè)中挺常見,但在大公司并不常見。
上海大邦律師事務(wù)所高級合伙人游云庭接受第一財(cái)經(jīng)采訪時(shí)表示,本案暴露出阿里云內(nèi)部的數(shù)據(jù)流程管控可能存在重大問題。首先是權(quán)限設(shè)置問題,“阿里云是不是對公司的用戶注冊數(shù)據(jù)獲取有權(quán)限設(shè)置?涉案的員工級別上是不是可以接觸到這些數(shù)據(jù)?如果其權(quán)限本來就能夠接觸到這些數(shù)據(jù),公司是不是對數(shù)據(jù)的訪問有內(nèi)部的操作記錄;如果其無權(quán)接觸這些數(shù)據(jù),那么其利用了公司數(shù)據(jù)訪問怎樣的漏洞才能獲取這些數(shù)據(jù)?”
據(jù)悉,上述電銷員工是阿里眾多外包員工的一員,該事件已于去年內(nèi)部處理。
除了此次爆出的阿里云,互聯(lián)網(wǎng)行業(yè)究竟發(fā)生過多少類似的案件?在互聯(lián)網(wǎng)時(shí)代,用戶基本處于“裸奔”狀態(tài),大數(shù)據(jù)知道用戶喜好,掌握衣食住行各類數(shù)據(jù),各類軟件頻繁監(jiān)測用戶行為。
在互聯(lián)網(wǎng)信息服務(wù)投訴平臺公布的2021年5月投訴情況顯示,2021年5月,投訴平臺共收到投訴21585件,其中,互聯(lián)網(wǎng)企業(yè)17392件、基礎(chǔ)電信企業(yè)4193件。在互聯(lián)網(wǎng)企業(yè)投訴中,個(gè)人信息保護(hù)類投訴2560件,占比14.7%。
除了個(gè)人,如今大部分企業(yè)都已開展云業(yè)務(wù)、進(jìn)行云轉(zhuǎn)型,但許多企業(yè)依舊擔(dān)心數(shù)據(jù)丟失或泄露,尤其是當(dāng)涉及到員工和客戶的數(shù)據(jù)遷移上云時(shí),企業(yè)會變得更加敏感。此前就有業(yè)內(nèi)人士表示,一些政企客戶對于互聯(lián)網(wǎng)企業(yè)提供的云服務(wù)始終存有疑慮,擔(dān)心數(shù)據(jù)問題。
而此次阿里云用戶信息泄露事件也引發(fā)其他云計(jì)算用戶擔(dān)憂,如果注冊信息都能泄漏,那在云平臺存放的業(yè)務(wù)數(shù)據(jù)還能安全嗎?
游云庭表示,一般而言,銀行、電信企業(yè),以及大的互聯(lián)網(wǎng)公司都對用戶注冊信息的權(quán)限有非常高的級別設(shè)置,普通員工根本無法獲取。“如果阿里云本身有這些權(quán)限設(shè)置,這個(gè)員工是利用編造的理由取得這些數(shù)據(jù)的,那就是其對員工的合規(guī)培訓(xùn)沒有做好;如果阿里云內(nèi)部管理比較混亂,本身員工就都可以獲取用戶注冊信息的,那就違反了網(wǎng)絡(luò)安全法相關(guān)等級保護(hù)的規(guī)定。”
《中華人民共和國網(wǎng)絡(luò)安全法》第四十條規(guī)定,網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)對其收集的用戶信息嚴(yán)格保密,并建立健全用戶信息保護(hù)制度。
一份浙江省通信管理局7月5日對阿里云事件投訴人的答復(fù)函顯示,經(jīng)調(diào)查核實(shí),2019年11月11日阿里云計(jì)算有限公司未經(jīng)用戶同意擅自將用戶留存的注冊信息泄露給第三方合作公司,阿里云計(jì)算有限公司的行為違反了《中華人民共和國網(wǎng)絡(luò)安全法》第四十二條規(guī)定,根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》第六十四條規(guī)定,我局已責(zé)令阿里云計(jì)算有限公司改正。
《中華人民共和國網(wǎng)絡(luò)安全法》第四十二條規(guī)定,網(wǎng)絡(luò)運(yùn)營者不得泄露、篡改、毀損其收集的個(gè)人信息;未經(jīng)被收集者同意,不得向他人提供個(gè)人信息。但是,經(jīng)過處理無法識別特定個(gè)人且不能復(fù)原的除外。
網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施,確保其收集的個(gè)人信息安全,防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個(gè)人信息泄露、毀損、丟失的情況時(shí),應(yīng)當(dāng)立即采取補(bǔ)救措施,按照規(guī)定及時(shí)告知用戶并向有關(guān)主管部門報(bào)告。
8月23日阿里云回應(yīng)稱:公司嚴(yán)禁員工向第三方泄露用戶注冊信息,已根據(jù)公司制度對該事件進(jìn)行嚴(yán)肅處理,并遵照浙江省通信管理局要求積極整改,對人員管理層面上的不足進(jìn)行強(qiáng)化改進(jìn)。有阿里員工告訴第一財(cái)經(jīng),公司已經(jīng)做了制度和管理上的改進(jìn),包括系統(tǒng)權(quán)限方面。
如何減少此類事件?游云庭認(rèn)為,要制定健全的信息保護(hù)制度,并且要對員工加強(qiáng)培訓(xùn),讓員工合規(guī)處理用戶信息。
用戶隱私近年也越來越受到重視。8月20日,《中華人民共和國個(gè)人信息保護(hù)法》由第十三屆全國人民代表大會常務(wù)委員會第三十次會議通過,自2021年11月1日起施行。第十條規(guī)定,任何組織、個(gè)人不得非法收集、使用、加工、傳輸他人個(gè)人信息,不得非法買賣、提供或者公開他人個(gè)人信息;不得從事危害國家安全、公共利益的個(gè)人信息處理活動(dòng)。
文章來源:第一財(cái)經(jīng)