网络安全能力成熟度模型：D2-网络文化与社会（三）

从本维度开始，从国家层面来探讨网络文化和社会的安全能力建设，并从战略和政策的高度来逐步执行。本章节为网络文化和社会维度的第三部分，如何使用户理解网上个人信息保护重要性和安全意识。

PS：报告中淡紫色方框是对本段内容重点的提示、面临挑战和补充，淡蓝色方框是现行的一些最佳实践（政策、活动等）、橘黄色方框是要政府要着重关注的点、末尾灰绿色方框是本节报告所参考的资料。由于一些敏感词会背屏蔽，有些词会用错别字代替，各位请自行意会。

系列文章

网络安全能力成熟度模型：D2-网络文化与社会（一）

网络安全能力成熟度模型：D2-网络文化与社会（二）

正文

Dimension II : Cyber Culture and Society

D 2.3 – User understanding of personal information protection online

概述

这一要素的重点是，公众、公营机构和私营组织的用户和利益相关者是否认识且理解保障网上个人资料的重要性和影响。透过电子政务及电子商贸等发展，公营及私营机构的数码化，意味着越来越多的个人信息以电子形式收集、使用、储存及传输，用于行政、运营及分析等目的。使用个人信息的角色数量和分类、收集信息的方法和储存个人信息的数量、处理和分析技术的能力、以及公民、企业和政府之间需要个人信息的互动的频率和复杂性均有明显增涨。

更广泛地、有创意地和复杂地使用个人信息，能够带来显著的经济和社会效益。然而，向在线个人数据系统的过渡和扩展增加了隐私的风险。侵犯个人私隐的途径有很多，包括未经同意而取得的资料；在收集信息时，以未预期或未获授权的方式使用资料，包括使用分析技术、分发个人资料，以及导致信息意外或非法遗失、损毁、销毁、更改、查阅、复制或发布等，不论是获得授权的信息所有者还是未经授权的第三方所造成。

以下是一些基本原则，可作为国家层面保护网上个人信息的基本要求：

收集限制：收集个人信息应使用合法、公正的方式，最好在个人知晓并同意的情况下进行。

信息质量：个人信息必须准确、更新及时且完整，但信息必须与指定用途相关。

目的说明：数据收集应按照规定的目的进行，且（与信息所有者）沟通的时间应早于收集时间。

使用限制：个人信息的使用、披露或发布，除获得个人同意和受法律限制外，不得用于其他用途。

安全措施：应使用合理的安全措施保障个人信息，以降低隐私信息被侵犯的风险，如未经授权的查看、修改、销毁或传播。

公开性：任何个人信息存储必须建立留存、分类、用途及所有人等信息。

问责性：数据管理员应遵守以上原则以及当地和国际的相关规章和标准。

个人权利：个人应能获得、修改、补充、修订或删除任何与自己有关的信息，并应能对否认本项原则提出质疑。

此外，由于个人信息通过全球网络在世界各地收集、使用、储存及传输，网络信息私隐本质上是全球性的。需要继续加强各国政府在数据隐私战略和政策、法律框架、执法及其他领域的合作和互操作性。自1980年经合组织发布《关于保护个人隐私和个人数据跨境流动的准则》以来，人们就认识到了这一方面国际性因素。近年来，对于解决这个问题已经设立的计划，包括European Union’s Binding Corporate Rules，theAsia Pacific Economic Cooperation’s Cross-BorderPrivacy Rules System，和经济合作与发展组织(OECD)的2007 Recommendation on Cross-Border Co-operation in the Enforcementof Laws Protecting Privacy。

在向公共或私营机构提供个人信息时，用户必须能够准确评估个人私隐的风险，并做出明智的选择。然而，个人用户越来越难以理解并做出有关其个人私隐的决定。个人信息的收集、储存、传播和分析工作日益复杂，个人通常得到的信息不是太少就是太多，这两种情况都使的评估风险和提供知情授权工作变得困难。个人信息的互动和传播水平不断提高，意味着对侵犯隐私行为承担责任和追究责任的难度越来越大，考虑到互联网上的传播规模和程度，组织机构追踪个人数据的难度也越来越大。表2.3概述了提高国家在这一领域能力的建设步骤。

表2.3 改善用户对网上个人信息保护认识的步骤（D2.3）

能力建设步骤

为公营部门、私营机构及更广泛的公众，设计信息、培训及演练计划，并为不同目标对象提供明确界定的学习成果

定期重新评估互联网使用者对个人信息私隐的基本认识工作一起开展，是十分重要的。这使政府能够了解提高认识和教育宣传的必要规模，确定重要的目标群体，并跟踪任意已执行的倡议的效力和影响。

为了帮助组织和策划这类评估，可以将数据隐私意识分为若干子类。例如，可以区分为技术信息隐私意识、监管信息隐私意识和数据隐私意识中的常见实践。

定期评估公共和私营部门以及所有社会用户对在线处理个人信息的机制和影响的了解程度

信息、培训及实施计划的制订，应涉及广泛的相关人员，包括教育工作者、政府官员、隐私执法机关代表、自律组织成员及民间团体代表。方案应特别针对易受伤害的互联网用户（如儿童和青少年）。计划的目的是培养保护互联网个人信息私隐所需的意识和技术能力。这应该包括对互联网个人信息相关风险的认知，以及个人做出合理决定的潜在手段。

这些计划的编排没有模板化的格式，但隐私保护专家和专业教育工作者都应参与其中，以便在信息的可及性和复杂性之间进行权衡。关于提高认识宣贯和网络安全教育培训方案的进一步讨论参见本报告第三维度。

鼓励公众就个人信息保护中隐私与安全之间的平衡问题进行讨论

如上节所讨论的信息、培训和实施计划，可能有助于促进关于保护个人信息的公开讨论。定期更新这些计划可以帮助保持其内容的相关性，并将数据隐私问题置于公共讨论的前沿位置。

与公众讨论关系密切的一个领域是隐私与安全之间的平衡问题。如本章所述，隐私保护是所有以电子形式使用个人信息的公共和私营部门参与者的一项重要考虑。然而，隐私并非唯一重要的考虑因素。安全，更具体地说，是情报机构和执法机构提供的国家级安全，通常依赖于监视、情报收集、信息共享和对个人信息的分析，以便有效地识别、预防和应对威胁国家安全的行为。这些信息经常在个人不知情或未经同意的情况下被收集和使用，因此与本章前面概述的许多个人信息隐私原则相冲突。由于公共和私营部门的数字化、向云平台过渡以及高级数据分析技术(大数据相关技术)的发展，这些信息越来越多地以数字形式提供。

然而，隐私和安全之间的关系比起简单的权衡要复杂得多。执法机构和情报机构的目标是减少对社会的威胁，包括非法访问、编辑、破坏、销毁、获取或使用个人信息，对网络安全和在线隐私构成威胁的违法个体。有效的安全措施可以增加对个人信息的保护和隐私，从而增强对线上系统的信任和信心。

关于安全和隐私的讨论可能会很艰难，因为重要的信息往往无法获得或不够清晰。情报机构往往不愿透露信息监控活动的类型和范围，而且很难将这种活动直接与减少威胁、增加安全联系起来。尽管如此，在这一领域继续进行讨论对于努力确定监视的范围和边界以及保护个人数据和隐私的权利是关键的。这种讨论应在不同的平台上自由进行，并且可通过政府透明***息和政府主导的研究提议来予以促进和改善。

提倡使用默认隐私设置，并建立机制确保隐私和安全不相互矛盾

默认隐私设置是指新安装的软件或硬件的初始隐私设置默认为最高级别。如果隐私设置低于此级别，则需要手动更改设置。默认隐私设置非常重要，因为它确保制造商和提供商遵守本章前面强调的数据保护原则。它们防止在未经用户明确同意的情况下收集、使用或共享个人信息，这为那些不太了解数据保护和隐私意识薄弱不会去自行配置安全级别的个人提供了保护。

政府可以鼓励私营企业在提供商品和服务时默认设置隐私保护。他们可以选择实施隐私规定，要求私营企业提供默认隐私设置的商品和服务。因不合规问题而引入的财务预算，可以进一步激励政策落实。

近年来发展起来的一些具有创新性的信息管理机制源于对实施数据隐私保护的更为实际的关注。设计隐私可以理解为这样一个概念：从一开始，产品、IT系统或业务实践的主要设计目标就建立在将以隐私保护为默认设置的考虑之上。制造商、运营商和用户将受益于选择使用对隐私保护的设计，将其作为每阶段设计中关于隐私保护的一部分。这有助于建立信心，并保障用户的利益和对个人信息的控制权。然而，对于被涉及到的公司和组织，这种方法要求那些数据保护官员参与设计、实施、推广和使用行为准则等监管工具。数据保护人员的角色和职责可能会因法规的不同而有所变化。例如，在欧盟GDPR的背景下，数据保护官员的职责将包括：

对公司和员工进行数据处理合规方面的教育

对参与数据处理的员工进行培训

进行内部审核，确保合规性并积极处理相关问题

作为组织与GDPR监管机构之间的联络点

保存组织所有数据处理活动的完整记录

对于数据的主体，应告知（企业）如何使用他们的信息、他们有权删除个人信息，以及公司已采取什么措施来保护个人信息

定期评审电子服务中的个人信息保护工作，并将评审结果提交政策修订机构

不仅是私营部门要尊重个人的在线隐私。重要的是，政府必须为其收集、储存和使用个人信息提供足够的保障，并将其作为电子政务和政府电子服务的一部分。如前所述，保障个人信息私隐，对确保用户对以ICT为基础的政府系统的信任和信心至关重要。定期审查个人信息的使用和漏洞情况，可用于修正政府的政策，从而优化资源利用。此任务责任应归属于电子政务活动任务所有者的职权范围。如果这些审查的结果能清楚地传达给公众，可以培养出一种透明公开的文化。审查应涵盖个人私隐保护的所有范畴，包括法律、技术、运营、组织及策略。同样，它应该包括所有相关参与者所提供的支持。审查过程可能是更高维度的电子政务战略的一部分，包括定期评估和修订，若没有电子政务战略的定期审查工作，则可作为独立（需定期）的任务来完成。