加強(qiáng)電信企業(yè)用戶信息安全保障

陳麗麗

【摘要】個人信息安全問題已成為社會發(fā)展進(jìn)程中的突出問題，作為掌握大量用戶信息的電信運營商更應(yīng)擔(dān)負(fù)起用戶信息保護(hù)的責(zé)任。本文從電信企業(yè)用戶信息的范圍、用戶信息泄露的風(fēng)險途徑，以及從強(qiáng)化內(nèi)部制度管理，加強(qiáng)系統(tǒng)防控能力兩個方面闡述了電信企業(yè)如何提升用戶信息安全的保障能力。同時呼吁加快個人信息安全法的制定，從法律、企業(yè)、個人共同維護(hù)誠信的通信環(huán)境。

【關(guān)鍵詞】電信企業(yè)、用戶信息、安全

【中圖分類號】TP393.08 【文獻(xiàn)標(biāo)識碼】A 【文章編號】1672-5158（2013）01—0131—01

隨著信息爆炸時代的來臨和通信技術(shù)的快速發(fā)展，用戶的個人信息安全問題日益嚴(yán)重，信息泄露事件頻發(fā)。用戶信息一旦遭到泄露，將面臨信息曝光、垃圾短信、騷擾電話、電信欺詐甚至資金被盜等一系列風(fēng)險。在此環(huán)境下，2012年“3.15”國際消費者權(quán)益日的主題即為“消費與安全”，新聞媒體也多次曝光了個別銀行、通信、快遞、醫(yī)院等行業(yè)不法人員泄露和出售客戶信息，給公眾造成巨大安全隱患的問題。由此可見，用戶信息安全已成為社會化和信息化快速發(fā)展進(jìn)程中的一個重要問題。

近年來國家也逐步加大了對個人信息安全的保護(hù)力度。一方面從立法上逐步加大了對個人信息安全的保障，在民事責(zé)任方面認(rèn)定用戶個人信息屬于個人隱私范疇，并在2009年通過的《侵權(quán)責(zé)任法》中明確將隱私權(quán)寫入了法律；在刑事責(zé)任方面，2009年頒布實施的《刑法修正案七》也新增了“國家機(jī)關(guān)或者金融、電信、交通、教育、醫(yī)療等單位的工作人員，違反國家規(guī)定，將本單位在履行職責(zé)或者提供服務(wù)過程中獲得的公民個人信息，出售或者非法提供給他人，情節(jié)嚴(yán)重的，處三年以下有期徒刑或者拘役，并處罰金。”“竊取或者以其他方法非法獲取上述信息，情節(jié)嚴(yán)重的，依照前款的規(guī)定處罰?！皢挝环盖皟煽钭锏?，對單位判處罰金，并對其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員，依照各該款的規(guī)定處罰?！绷硪环矫?，公安部也在北京、河北等20個省市區(qū)開展嚴(yán)厲打擊侵害公民個人信息違法犯罪的專項行動，抓獲嫌疑人1000余名，挖出信息源頭44個。

電信行業(yè)一直是客戶信息安全保障的重點行業(yè)。作為電信運營商，掌握著海量的用戶信息資源，尤其是2010年電話用戶實名登記工作推廣以來，運營商掌握的用戶信息從數(shù)量和質(zhì)量上都得到了進(jìn)一步提升。一方面客戶信息真實、完善為電信企業(yè)向用戶提供個性化的服務(wù)提供了條件，也為通信安全提供了保障，但另一方面對電信運營企業(yè)保障用戶的信息、通信安全也提出了更高的要求。筆者總結(jié)多年的電信企業(yè)客戶信息管理經(jīng)驗，借鑒先進(jìn)企業(yè)的管理方法，從明確電信用戶信鼠的范圍、電信用戶信息泄露的風(fēng)險途徑、解決電信用戶信息安全的措施三個層面來探討如何保障電信用戶信息安全。

一、電信企業(yè)用戶信息包含的內(nèi)容

根據(jù)電信企業(yè)獲取客戶信息和提供通信服務(wù)的特點，電信用戶信息應(yīng)是指個人與單位用戶的姓名或名稱、有效證件類型及證件號碼、住址（地址）、用戶號碼、聯(lián)系方式、繳費賬戶、通話清單、終端信息以及單位用戶的組織架構(gòu)等基本信息、信息網(wǎng)絡(luò)建設(shè)等非通信的信息內(nèi)容。

二、電信企業(yè)用戶信息泄露的風(fēng)險途徑

造成電信用戶信息泄露的風(fēng)險主要是人員風(fēng)險和系統(tǒng)風(fēng)險。人員風(fēng)險是指電信企業(yè)內(nèi)部和外部所有可以接觸到用戶信息的眾多人員泄露用戶信息的風(fēng)險。企業(yè)內(nèi)部人員如營業(yè)人員、銷售人員、維護(hù)人員、客戶信息管理人員等；外部人員包括與電信企業(yè)合作的業(yè)務(wù)代理商、內(nèi)容提供商以及第三方維護(hù)人員等。

從系統(tǒng)風(fēng)險上來講，由于電信企業(yè)IT系統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)存在區(qū)域分散、數(shù)據(jù)分散、系統(tǒng)繁多、環(huán)境復(fù)雜等特點，建設(shè)了包括BSS、客服、CRM等多個業(yè)務(wù)支撐系統(tǒng)和OA辦公系統(tǒng)，各個系統(tǒng)上積累了大量的客戶信息和生產(chǎn)數(shù)據(jù)、運營信息等，每個系統(tǒng)的人員根據(jù)“使用”和“維護(hù)”又分為不同的角色，這些系統(tǒng)的終端覆蓋了內(nèi)網(wǎng)和外網(wǎng)、計算機(jī)和移動終端等多種形態(tài)的終端設(shè)備。由于這些特征的存在，電信企業(yè)客戶信息數(shù)據(jù)面臨著內(nèi)部和外部網(wǎng)絡(luò)的多重風(fēng)險。

三、電信企業(yè)用戶信息安全保護(hù)的措施

保護(hù)電信客戶的信息安全，讓客戶享有安全、放心的通信服務(wù)是電信企業(yè)的責(zé)任和義務(wù)。筆者從通信行業(yè)服務(wù)角度來看，電信企業(yè)信息安全保障的關(guān)鍵需要從加強(qiáng)內(nèi)部管理、提升系統(tǒng)防范能力兩個方面得到提升。

（一）強(qiáng)化內(nèi)部管理，提升全員信息安全防范意識

首先作為電信企業(yè)要有大局意識，應(yīng)自覺遵守國家的法律、法規(guī)，嚴(yán)格執(zhí)行《基礎(chǔ)電信企業(yè)信息安全責(zé)任管理辦法（試行）》。將保障用戶信息安全納入企業(yè)的保密體系，建立完善的用戶信息安全管理制度，規(guī)范從業(yè)務(wù)受理、客戶服務(wù)、運行維護(hù)、信息計費、外部合作等涉及客戶信息的各個關(guān)鍵環(huán)節(jié)的業(yè)務(wù)操作流程和規(guī)章制度，構(gòu)建全面有效的用戶個人信息安全保護(hù)機(jī)制。比如要求營業(yè)和營銷人員不允許私自留存客戶信息；要求維護(hù)人員不允許私自下載和修改客戶信息；各系統(tǒng)賬號權(quán)限嚴(yán)格實施分級管理，不允許轉(zhuǎn)讓和越級使用；規(guī)范各類用戶信息的存儲介質(zhì)、存儲時限和銷毀方式，完善用戶資料銷毀管理制度和技術(shù)保障手段；針對外部代理商、合作單位要明確對用戶信息保密的業(yè)務(wù)和技術(shù)要求以及泄密后的相關(guān)處罰；定期開展用戶信息安全檢查，做到提前防范，最大限度保障用戶信息安全等。

另一方面企業(yè)要加強(qiáng)對企業(yè)員工的法制教育和思想政治教育，營造尊重和保護(hù)用戶信息安全的企業(yè)文化和經(jīng)營環(huán)境，提高全員的信息安全意識和法律意識。尤其是針對能夠接觸到用戶信息的員工、外包人員、代理商及合作單位的從業(yè)人員要與企業(yè)簽訂保密責(zé)任書，經(jīng)常性地組織開展案例教育、警示教育、相關(guān)法規(guī)和業(yè)務(wù)規(guī)范的考核等，提高從業(yè)人員的覺悟和防范意識。

（二）提高技術(shù)防控手段，提升系統(tǒng)防范能力

完善電信企業(yè)IT系統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)的安全建設(shè)，構(gòu)建用戶信息數(shù)據(jù)保密體系，精確定位用戶信息泄露風(fēng)險，從外部和內(nèi)部防范兩方面提升系統(tǒng)的防范能力。

首先是做好外部防范，由于電信企業(yè)IT系統(tǒng)業(yè)務(wù)平臺繁雜，接入終端種類多，要保證各類終端和網(wǎng)絡(luò)安全地接入到業(yè)務(wù)系統(tǒng)中，就要不斷完善信息系統(tǒng)安全設(shè)備如防火墻、入侵檢測系統(tǒng)、病毒防護(hù)系統(tǒng)、認(rèn)證系統(tǒng)等性能，對可訪問系統(tǒng)的計算機(jī)及移動終端等必須實施安全認(rèn)證和安全策略防護(hù)，實現(xiàn)對用戶信息的“區(qū)域外保護(hù)”，嚴(yán)格防范黑客和外部不法人員竊取用戶信息。其次，由于大部分用戶信息泄露案件都是內(nèi)部人員制造，加強(qiáng)內(nèi)部網(wǎng)絡(luò)的風(fēng)險防范更加重要。一方面要加強(qiáng)系統(tǒng)的認(rèn)證安全能力和網(wǎng)絡(luò)賬號權(quán)限分級管控體系，加強(qiáng)對登陸人員的身份和權(quán)限核實，對于無論從業(yè)務(wù)平臺或后臺數(shù)據(jù)庫查閱和下載用戶的信息情況系統(tǒng)都要有完整的日志記錄；另一方面，如果用戶信息未經(jīng)加密安全處理，一旦下載存儲到計算機(jī)上系統(tǒng)將失去監(jiān)控權(quán)，有可能會造成信息恣意傳播而無法找到源頭，因此系統(tǒng)應(yīng)自動實現(xiàn)數(shù)據(jù)落地加密及權(quán)限控制，同時對下載終端加強(qiáng)安全策略認(rèn)證，提高下載用戶信息的安全度。

四、加快推動制定個人信息保護(hù)法

用戶信息安全不僅需要靠行業(yè)自律、運營商加強(qiáng)內(nèi)部管控和公安機(jī)關(guān)的打擊，更亟需以法律的形式規(guī)范對個人信息安全的保護(hù)。建議借鑒德國、美國等發(fā)達(dá)國家個人信息保護(hù)制度的經(jīng)驗，呼吁加快推進(jìn)我國《個人信息保護(hù)法》的出臺，規(guī)范個人信息保護(hù)的基本原則，明確公民對個人信息保護(hù)的權(quán)力和義務(wù)，以及在未經(jīng)個人同意的前提下，將個人信息泄露給第三方所觸犯的民事和刑事責(zé)任，以一部完整法規(guī)的形式提升個人信息安全保護(hù)的法律地位，協(xié)調(diào)各部門共同打擊個人信息泄露違法行為。在全國性的法規(guī)實施前，有條件的省、市地方政府可以先行制定當(dāng)?shù)氐膫€人信息保護(hù)政策，如從2013年1月1日起實施的《河北省信息化條例》中就明確了利用信息網(wǎng)絡(luò)侵犯個人信息將追究相應(yīng)的法律責(zé)任。從而實現(xiàn)國家、企業(yè)、個人以及全社會成員共同參與維護(hù)誠信的環(huán)境，全面保障用戶信息的安全。