LINE资安长：隐私问题并非只存在服务设计层面 资安也需提升使用者认知

欧盟GDPR从5月25日开始正式实施。GDPR对数据泄漏有非常重的处罚条例。同时，欧盟企业也希望法规的实施能够促使数据市场更快更好的发展，使相关业务有法可依。GDPR立法针对个人数据保护的核心问题包括：
第一，数据分布的问题
在接触过的客户中，有70%-80%不知道自己的数据在哪里，更没有详细的数据地图。而数据地图，我们认为是做个人数据保护的前提，也是非常关键的内容。
第二，数据应用检测
目前不管是个人还是企业，往往会关注个人的敏感数据的保护，但今时今日，大量不敏感的信息通过数据组合，就会得到大量有价值的信息，所以不敏感信息同样具有重要价值。怎么能够看到这些数据有没有被非法使用？一定要知道有哪些人用了你的数据最终他使用这些数据是为了获得什么？做到这点的时候，我们才能看到这个数据有没有被滥用，个人数据有没有被泄露。
第三，数据流动监测
目前国内，对于数据的流向，数据流到哪里？数据流向目标市场是否安全？数据流出之后是否可追溯？目前这个领域基本都是空白，没有人对流出后的数据进行任何的追溯、审计或者相应保护。
第四，真实数据最小化原则
我们都是搞信息安全，都知道，我们提了很多年的权限最小化原则，我们给每个人的权限应该是他用于工作的最小权限，以此来保障权限不被滥用。数据应用的时候也应该提倡这样的原则，真实数据最小化的原则。现在数据应用有一个非常简单的办法，充分利用数据脱敏数据，只保留需要使用的数据，将其他数据脱敏，从而保证真实数据的最小化。
第五，全生命周期的审计和评估
这里的审计和评估，是从评估到改善，到再评估，再改善，反复循环的过程。目前国内对于数据进行评估的业务还属于空白。国际上许多企业已纷纷开展此项业务。

北京时间2月26日早间消息，据彭博社报道，美国正在推进大约1年前颁布的“云法案”，而欧洲正在尝试抵御该法案的影响。根据该法案，微软、IBM和亚马逊等美国云计算服务提供商在接到政府要求时，必须提供服务器上存储的数据，无论这些数据存放在哪里。
这些云计算厂商控制着欧洲大部分云计算市场，因此这项法案可能会让美国有权获得欧洲许多人和企业的信息。而美国方面表示，这项法案的目的是为了协助调查。

法国议员劳尔·德拉罗迪尔（Laure de la Raudiere）表示：“这给欧洲敲响了警钟，欧洲需要加速在数据领域自主的主权产品。”

“云法案”的全称是《澄清数据在海外的合法使用法》，该法案源自2013年的一起事件。当时，在一项毒品调查中，微软拒绝向美国联邦调查局（FBI）提供对位于爱尔兰的一台服务器的访问权限，并表示该公司不能被迫提供保存在美国境外的数据。

这项法案提出的治外法权令欧盟感到不安。随着大西洋两岸关系的恶化，以及在欧盟看来特朗普领导下的美国越来越不可靠，这个问题变得更加尖锐。

该法案中的条款允许美国与各国达成“行政协议”，从而实现信息和数据的相互交换。欧盟可能会利用这样的条款来抵御该法案的影响。欧盟委员会希望与美国进行谈判，而谈判可能于今年春季开始。

法国和欧盟其他国家，例如荷兰和比利时，正努力推动欧盟制定共同战线。在日益混乱的云计算信息世界中，这些国家很难制定保护隐私、应对信息安全攻击，以及保护关键网络安全的监管规定。

欧洲议会的荷兰议员苏菲·伊恩·维尔德（Sophie in't Veld）近期表示，欧盟在面对美国“无限的数据饥渴”时表现出明显的弱势，她对此感到失望。她指出：“由于‘云法案’，美国政府的手开始影响欧盟公民，这违反了欧盟法律。如果欧盟规定自己在美国领地上拥有治外法权，美国是否会同意？”

法国政府去年11月起草的内部备忘录显示，“‘云法案’可能是来自美国的一场考验，美国已经预计到会出现政治反应，而欧洲应该做出足够强的反应”。

“云法案”的颁布比欧盟“通用数据保护条例”（GDPR）要早几个星期。GDPR规定，所有从欧盟公民收集数据的企业都必须遵守欧盟的规则。因此，这两项法律可能存在冲突。

---