摘要：互联网和大数据时代给证券公司带来机遇的同时，也给企业所拥有的用户个人信息带来风险。本文结合自身企业实际情况，对个人信息保护过程中存在的问题进行了深入地探讨与研究，并对实际工作中开展用户个人信息保护工作，提出了应对方法。
关键词：信息分类；生命周期；安全意识
引言
随着社交平台、电子商务和移动互联网的发展，数据正充斥着现代生活的每个角落。企业在对用户提供服务的同时，也拥有了各种各样的用户数据。“大数据”时代，证券公司对用户的个人信息不再只限于单纯的收集，我们对海量数据的汇集、挖掘和运用使得个人信息潜在的价值得到二次开发，并在此基础上得以创新利用，为用户提供定制化的服务。与此同时，这也不可避免地加大了用户个人信息泄露的风险。
1证券公司实现个人信息保护面临的挑战
结合企业在个人信息保护工作上的实际情况，可以将目前存在的问题归纳为：个人信息“海量化”、泄露途径“多样化”、企业及用户安全意识薄弱等。这些问题给企业的个人信息保护工作带来了挑战。
1.1个人信息“海量化”
随着互联网金融的迅猛发展，证券公司不再局限于传统的经纪业务，产品多元化、渠道多样化，使得证券公司掌握着客户的各类基本信息、交易数据及后台服务信息等，且数据呈现爆炸式增长。据统计，在2006年至2015年的这十年间，证券行业总计新增股东账户数近1.5亿，每年新增股东账户数最少也接近500万户。证券公司仅在开户期间所收集的个人信息量就非常巨大，当然这还不包括在用户经办其他业务以及进行各类交易时被收集的信息，例如，银行三方存管信息、股票交易信息等等。每天，有数以万计的个人信息被记录到企业的数据库中，我们根据这些信息为用户提供各类服务。然而，企业的管理和运维成本始终有限，如果对所有的个人信息采取“一刀切”的方式进行保护，将导致信息保护力度不够或者企业耗费成本过高。
1.2泄露途径“多样化”
近年来，个人信息泄露事件时有发生：12306用户信息泄露、社保信息泄露、支付宝“安全门”事件、“棱镜门”事件以及最近的苹果XCodeGhost后门事件等。Verizon《2014年度数据泄露调查报告》中指出，在调查采样的10万次数据泄露安全事件中，92%的攻击手段都属于以下九大攻击手段范畴：人为失误，例如把邮件发给了错误的人；犯罪软件（各种以控制系统为目的的恶意软件）；内部人员/权限滥用；物理失窃/丢失；Web应用攻击；DoS拒绝服务攻击；网络间谍；POS入侵；支付卡信息窃取。企业网络所处的环境越来越复杂，安全威胁不断发展变化，黑客通过应用漏洞、内部、以及第三方受信接入来侵入企业内部，传统的边界防御体系架构已经无法抵御多维度的攻击威胁，企业势必存在用户个人信息泄露的风险。
1.3安全意识薄弱
企业缺乏个人信息保护方面的主动性，而用户自身对个人信息保护意识的淡薄，这些都是导致个人信息的流失原因。
2证券公司个人信息面临挑战的应对策略
对于企业个人信息保护工作中面临的挑战，可以通过个人信息分类、基于全生命周期的个人信息保护、强化企业安全意识以及完善法规制度等措施进行应对。
2.1个人信息分类
对于个人信息“海量化”所带来的问题，我们可以从隐私安全与保护成本的角度出发，对用户个人信息进行分类，进而根据不同需要，对关键信息进行重点防护。我们首先要识别用户个人信息。目前证券公司用户个人信息类别，见表1。其次，根据信息敏感程度，对证券公司用户个人信息进行分类。（如表2所示）：信息分类是为了根据信息的损失、泄露或无效的敏感程度来组织信息。一旦根据敏感程度对信息分类，企业就能够决定保护各类信息所需要的安全控制手段。这样可以确保信息资产得到适当级别的保护，同时分类会指明安全保护的优先顺序。
2.2基于全生命周期的个人信息保护
企业在个人信息保护方面投入了大量的资金、人力和时间，然而，我们发现个人信息泄露事件的发生并没有减少，反而逐年上升。根据统计数据表明，信息泄露途径不再只局限于来自外部的恶意攻击，而是呈现“多样化”趋势，这就意味着企业需要超越恶意软件，识别信息泄露的所有阶段，建立全方位的个人信息保护体系。2.2.1个人信息生命周期个人信息的本质就是数据，它存在于企业各个业务流程当中。和企业所拥有的其他数据一样，它是不断流动的，个人信息泄露的风险存在于其生命周期的每个环节。参照数据生命周期，我们把个人信息生命周期划分为5个阶段：信息收集、信息传输、信息存储、信息使用以及最后的信息销毁。2.2.2个人信息保护机制企业个人信息保护机制是基于个人信息的全生命周期来实现的，每个阶段的实现措施具体如下：第一阶段：个人信息收集阶段。个人信息收集是指对个人信息进行获取并记录，这个阶段的个人信息基本是由用户本人或企业内部员工手工录入。在此阶段：企业要具有特定、明确、合法的收集目的。收集前，企业应遵从“个人同意”和“公开告知”的原则。特别是针对个人敏感信息和个人隐私信息的收集，要获得用户明确授权。增强用户个人安全意识，避免将个人信息泄露给非授权人员。在信息录入时，系统应具有合法性验证的功能，防止个人信息的泄露或篡改。例如，对用户输入的信息过滤“&，%，$”等字符，防止SQL注入。第二阶段：个人信息传输阶段。企业应制定相应管理制度，规定只允许个人信息通过特定方式与证券服务和信息服务商之间进行维护，例如，交易所、银行等。应明确个人信息传输的申请和审批流程，明确个人信息接受方，传输内容以及传输期限等。企业应根据个人信息传输的不同阶段，需要选择不同的加密方式。例如，在传输前可通过身份认证（口令或数字证书）的方式对参与通信的双方进行身份鉴别；信息传输时，可通过数字签名的方式对传输中的数据流加密，以防止通信线路上的窃听、泄露、篡改和破坏。针对个人信息的不同分类，选择不同的加密措施。例如，按照个人信息的敏感程度不同可采用不同的加密方式，甚至对于个人一般信息可以采用明文传输的方式。对网络出口处流量进行监听，根据信息敏感级别制定相应的告警机制，防止企业敏感信息外传。第三阶段：个人信息存储阶段。个人信息会存储在网络内部的系统和设备上，例如，服务器、数据库、磁盘、存储设备等，也会以非电子的形式存储，例如，纸质的用户业务申请表等。在此阶段，企业应确保存储信息的可用性、完整性和机密性。制定个人信息备份的管理制度。例如，对不同级别的信息采取分级存储的方式；根据个人信息所在责任部门的要求定期进行备份；对备份的数据定期进行恢复测试，确保个人信息的完整性和可用性。通过网络分段、周边安全、计算机控制、工作区隔离以及系统访问控制、网络架构、网络访问、加密等措施确保企业个人信息的机密性。例如，对进入核心区的人员进行审批，建立出入登记制度；在企业内部对存放在数据库中的敏感信息进行加密；第四阶段：个人信息使用阶段企业内部员工、第三方供应商以及用户本身都可能会使用企业的用户个人信息，因此在此阶段：制定企业个人信息使用的管理制度，以规范企业内部员工和第三方供应商的信息使用行为。制定严格的访问控制，防止未授权的访问。例如：业务部门制定基于角色的访问控制，并定期进行权限回顾。针对企业内部人员和第三方供应商制定个人信息使用的申请及审批流程，并在申请中注明使用目标、使用范围以及使用的期限。对于企业内部员工，通过终端数据防泄密产品，防止员工有意或无疑的信息泄露行为。对企业在测试时使用的个人信息，应进行变形、脱敏处理。在用户终端上，对临时留存敏感信息的本地cookies或内存中的内容进行加密，且使用完毕后，本地不保留用户个人信息等。第五阶段：个人信息销毁阶段企业应基于个人信息的分类进行信息销毁工作：企业应制订相应的个人信息销毁的管理制度，例如，在到达个人信息使用期限后，及时回收；对于超过留存期限的电子和非电子化个人信息通过专用技术进行可靠销毁等。根据策略明确个人信息销毁的申请和审批流程，并进行完整记录，以供追溯。采取技术手段对剩余信息进行处理。例如，对于要送出外部修理的设备或待报废的设备，需在送修或报废前其上所存在的对个人信息进行可靠销毁；用户个人信息所在的存储空间（硬盘、内存）被释放或再分配给其他用户前得到完全清除。
2.3加强安全意识
企业应建立有效的内部管控机制，通过技术手段、管理手段以及行政手段，对个人信息的收集、传输、存储、使用以及销毁的全生命周期实施有效地保护，确保用户个人信息安全。此外，加强企业员工安全意识培训，建立保护用户个人信息的企业文化，制订相应的奖惩制度，提高内部员工的积极性。同时，开展用户个人安全意识宣导工作。通过营业网点、微信、网站等各类发布平台，进行用户个人信息保护意识的宣传。在此过程中，适当增加趣味性，互动性，提高用户的安全防范意识。
3总结和展望
本文对证券公司在进行个人信息保护工作中遇到的问题进行了总结，并对这些问题的对应方法进行了一番探索和研究。当然，若要将这些设想进行落实，需要会经历一个漫长而又艰巨的过程，在此过程中我们还应考虑如下问题：（1）制度的强制落实。个人信息是证券公司重要的资产，它的泄露将会给企业造成严重影响，甚至威胁到企业的生存。证券公司应将个人信息保护纳入整个企业信息安全治理工作范畴中，制定明确的个人信息保护的方针、政策，并贯彻落实到日常管理工作中。（2）封闭体系的打破随着互联网金融、第三方支付等业务的兴起，证券公司不再局限于原有的三方存管封闭体系。个人信息的开放程度越来越高，信息泄露影响的范围也随之增大，因此保护个人信息尤为重要。（3）明确信息保护的责任业务部门是用户个人信息的所有者和使用人，有责任保护这些信息。因此，企业内部对个人信息分类、制度规划、流程制定等工作应由业务部门完成。IT部门作为个人信息的保管者，基于业务部门的个人信息分类，负责信息的保护和维护工作。IT部门应实施和维护安全控制措施，执行数据的常规备份，定期验证数据的完整性以及实现企业个人信息安全策略、标准所制定的需求等。（4）应急机制的完善再严密的安全体系也不可能保证个人信息的绝对安全，企业应针对个人信息泄露事件应建立完善的应急机制。当发生个人信息泄露事件后，除了对外的公关工作外，更应注重安全事件的追溯，评估事件影响和危害，避免扩大或再次发生。
参考文献：
[1]曹树金.王志红.古婷骅.智慧城市环境下个人信息安全保护问题分析及立法建议.图书馆情报知识，2015.
工程管理论文 [2]张剑寒.聂元铭.数据中心安全防护技术分析.信息网络安全，2012.
[3]董纪昌，焦丹晓等.大数据金融背景下商业银行客户信息保护研究.工程研究-跨学科视野中的工程，2014.
作者：崔毅然 单位：上海证券有限责任公司
相关专题：案外人执行异议裁定书 小学数学教师经验文章
