李静

　　最近一段时间，多起电信诈骗案成为社会关注的焦点。由于多名即将升入大学的大学生因为电信诈骗被骗光学费而离世，引发巨大的社会舆论。这一方面反映出当前个人用户信息泄露问题已经非常严重，另一方面更凸显出掌握用户信息部门在管理上存在漏洞。

　　山东徐玉玉电信诈骗案终于在近日成功告破。很多媒体也都对电信诈骗背后的黑色产业链进行了密集式的调查和曝光，然而，还是有很多电信诈骗案仍然在全国发生着。在这些电信诈骗案中，骗子们的手中不仅有个人用户的电话号码，有的甚至还有银行卡信息、近期网购消费信息、家庭信息等等个人信息资料，而这些个人信息已经成为明码标价的商品被公开销售。

　　理论上讲，个人信息应该安全地躺在企业、有关公共服务部门的数据库当中。但不幸的是，个人信息已经通过各种渠道被泄露。在猎豹移动安全专家李铁军看来，你可以默认自己的信息已经被泄露。

　　个人信息可默认已被泄露

　　“你可以默认自己的信息已经被泄露。包括身份证、银行卡、手机号、邮箱等关键信息，都可以默认已经在攻击者的数据库中。”李铁军在接受《中国经营报》记者采访时表示。

　　一份来自《腾讯2016年第二季度反电信网络诈骗大数据报告》披露的数据显示，2016年第二季度，全国共接用户标记超4.6亿条诈骗电话，收到诈骗短信人数3亿人次，骗子们一个季度拨出电话18.8亿次。根据中国互联网协会在6月份发布的《2016中国网民权益保护调查报告》显示，上半年，我国网民平均每周收到垃圾邮件18.9封、垃圾短信20.6条、骚扰电话21.3个。可以毫不夸张地说，几乎每个人都曾经收到过垃圾短信、电话，或者是诈骗短信、电话。

　　个人信息一般是怎么被泄露出去的？据介绍，个人信息的泄露主要包括两方面的原因，一方面是用户个人原因导致信息泄露，但更主要的原因是因为公共服务信息出现问题，导致大规模信息泄露。

　　在互联网产生之前，个人信息数据大多是以纸质档案的形式存放在医疗、教育、卫生、住房等公共服务部门。互联网时代的到来，各类数据从纸质存放转变为以数据的形式存放在互联网上，与传统形式相比，互联网的形式更为方便、快捷、环保，但同时存在更严重的安全隐患。

　　互联网时代的到来，每个人的生活似乎都难以离开这张网。“通信、购物、住房、社交、出行等等，几乎现实生活的方方面面都会产生信息映射到网络空间，另外行政办事需要填很多个人信息的表格，这些都可能是泄露个人信息的渠道。”中国电子信息产业发展研究院政策法规研究所副所长栾群告诉记者。

　　那么个人信息如何从这些渠道被泄露出去？李铁军向记者解释道，一方面是技术原因，比如信息系统存在安全方面的漏洞，安全漏洞被黑客入侵造成存储管理的数据泄露；另一方面是管理原因，一些掌握个人信息数据的人可能会贩卖这些数据；此外也存在一些掌握个人信息数据的人，由于信息安全意识薄弱，无意识地泄露他人信息。

　　另外，一些因为历史原因遗漏下来的制度，比如助学金公示制度也在泄露个人信息。某高校大学生表示，学校会将获得助学金学生的个人详细信息以及家庭信息直接放在校园网站或者贴在学校公示牌上。

　　安全运维成本高，企业投入不足

　　据媒体报道，获取一个“没有卖过”的一手学生数据只要1~2元/条。而本报记者采访了解到，要保护这样的个人信息数据每年就需要花费上千万元。巨额的安全成本压力是否是数据泄露的重要原因之一呢？

　　从技术层面来看，存放万千用户个人信息的数据应该被安全地存放在有关部门、相关企业的核心数据库中，并不是一般人就能够访问、接触并拷贝的。但从目前个人信息被大量泄漏的现状来看，由于管理者对信息安全认识不足，不少存放用户个人信息的数据库存在安全漏洞。

　　李铁军告诉记者，一般而言，通过外部互联网环境能够直接访问到内部数据，并可以把内部数据拷贝下来，属于高危漏洞。“理论上，用户数据存放在内部服务器上，并不允许外部访问。如果系统存在安全漏洞，一些人就可以通过技术手段访问到。”

　　在业内人士看来，系统的安全运维成本完全不亚于系统的建立成本。由于黑色产业链发展非常迅速，他们会对系统存在漏洞的薄弱环节进行攻击以获取相关数据信息，而企业安全维护则需要修护漏洞与之对抗。一位从事国内大型快递企业信息平台技术建设的人士告诉记者：“安全运维需要持续的投入，我们每年在这方面的投入都是几千万元。”

　　一个系统建立好之后，除了日常内容运营的维护以外，安全维护是不可分割的一部分。凡是软件系统都存在有漏洞的可能，并且需要在不断的运营当中发现存在一些普通漏洞、高危漏洞并予以修补。

　　“目前存在的一个问题就是管理人员的安全意识不足，一些学校、企业、事业单位认为买了一些安全软件以后安全问题就解决了，其实是需要专业的安全人员对系统进行动态维护。”李铁军说道。安全运维的金钱和人力成本都非常高。现在一些企业是自己内部有专门的安全运维人员，但多数情况下是外包给第三方公司，而这些外包公司很多在系统建设上、系统提升上未必有高深的安全方面的能力。“总体而言，目前安全运维人才非常短缺。”