信息安全催生完備可信的法律環(huán)境

申請免費(fèi)試用、咨詢電話：400-8352-114

長期專注于信息安全領(lǐng)域的中科院許榕生教授，近年來忙于研究一個(gè)頗有開創(chuàng)性意味的應(yīng)用領(lǐng)域--網(wǎng)絡(luò)取證。許教授坦言，對于這一新應(yīng)用的關(guān)注，最早是在2000年，是從銀行家那里學(xué)來的。當(dāng)時(shí)美國加州的某著名銀行，盡管已經(jīng)擁有強(qiáng)大的信息安全體系，但該銀行仍嫌不足以確保萬無一失，進(jìn)而提出取證保護(hù)的需求。次年，美國信息安全界便提出，對于類似數(shù)字犯罪之類的行為，不一定非要通過防火墻拒之門外，轉(zhuǎn)而采取一種全新的策略：你膽敢攻擊我，我就設(shè)法記錄攻擊全過程，作為追究法律責(zé)任的憑證。

不久之后，安然公司財(cái)務(wù)危機(jī)東窗事發(fā)。安然公司提前銷毀了那些關(guān)鍵的紙質(zhì)文件，并裝了整整兩大麻袋運(yùn)出大樓。美國情報(bào)機(jī)構(gòu)通過直升飛機(jī)，監(jiān)視到了這一舉動(dòng)，但并未加以制止。信息安全專家說，不要緊，只要電腦在就行。因?yàn)榧幢銛?shù)據(jù)被刪除，仍可以進(jìn)行數(shù)據(jù)恢復(fù)，安然公司總部的100多臺PC隨即被查封。

2001年“9·11”事件之后，有不少公司派人去廢墟中尋找燒焦的PC中的光盤，哪怕是半張！在全球，已經(jīng)出現(xiàn)一批“法醫(yī)專家”。他們的職責(zé)就是使用軟件和硬件工具，對數(shù)據(jù)進(jìn)行恢復(fù)、提取和保護(hù)，以應(yīng)對日益嚴(yán)重的信息安全問題。

許榕生教授認(rèn)為，網(wǎng)絡(luò)安全之所以棘手，是因?yàn)椋?1)入侵渠道十分隱蔽，也越來越容易。（2）法律空白。法律界對IT十分不了解，對于數(shù)字的證據(jù)，目前大多都不認(rèn)可。

目前，信息安全領(lǐng)域的魔道之爭，大多還停留在技術(shù)層面。在法律層面，由于數(shù)字證據(jù)太脆弱，很容易被篡改，而成為世界范圍內(nèi)的難題。為此，服務(wù)于法律訴訟需求的網(wǎng)絡(luò)取證概念應(yīng)運(yùn)而生。

許教授對于信息安全的現(xiàn)狀不無擔(dān)憂：“雖然現(xiàn)在所謂的安全網(wǎng)絡(luò)都實(shí)現(xiàn)了隔離，辦公室都快變成機(jī)房了，但是只要通過一些移動(dòng)存儲設(shè)備，就可以徹底摧毀這種防御措施。數(shù)據(jù)失竊隨時(shí)都有可能發(fā)生。因此，僅僅有技術(shù)手段是不可的，還必須有法律保障。”

好在，許教授的看法，很快便得到了法律界專家的響應(yīng)。北京京都律師事務(wù)所的白而強(qiáng)律師，長期關(guān)注IT領(lǐng)域的法律問題，近來干脆潛心研究網(wǎng)絡(luò)取證，并提出了一系列在現(xiàn)階段可供借鑒的保管箱思路，即數(shù)據(jù)請求保全當(dāng)事人通過委托獨(dú)立第三人同步保管，對其請求的數(shù)據(jù)進(jìn)行保全，作為法律上的憑證。同時(shí)，許教授也提出了數(shù)據(jù)黑匣子模型，即借鑒飛機(jī)黑匣子原理，通過設(shè)計(jì)一個(gè)可信的、大容量、高可靠性的存儲系統(tǒng)，對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行全程記錄，然后通過專門的軟件進(jìn)行證據(jù)分析。

為防范類似安然事件的發(fā)生，美國政府出臺了薩班-奧克斯利法案（SOX），以加強(qiáng)對公司財(cái)務(wù)的監(jiān)管，同時(shí)也針對公司的信息存儲和通信，提出了明確而嚴(yán)格的規(guī)范，本報(bào)應(yīng)用與方案版于4月11日通過法規(guī)遵從性專題討論，對此做了比較及時(shí)而全面的介紹。該專題一經(jīng)刊出，讀者紛紛來信表示，信息安全立法也許還不是國內(nèi)最著急的事情，但終有一天我們必須面對。他們對于中國IT法規(guī)環(huán)境的空白無不深感關(guān)切和擔(dān)憂。

遺憾的是，目前國內(nèi)單純討論信息安全技術(shù)的聲音居多，類似討論法治的聲音依然小得可憐。我們主張，探討信息安全這樣一個(gè)日益影響到IT應(yīng)用與運(yùn)行環(huán)境全局的話題，除了IT、法律界專業(yè)人士的努力，用戶的力量更不可或缺。因?yàn)槲┯杏脩舻男枨笾鲗?dǎo)，才可能催生出完備的可信的法律環(huán)境。也因此，那些有遠(yuǎn)見、敢為人先的IT、法律界人士為此而做的一切努力，確實(shí)值得廣大信息化決策者和CIO給予必要的關(guān)注。

來源：CCW