17、信息安全评估的法律原则

信息安全评估的法律原则

在当今数字化时代，信息安全已成为企业和国家面临的重要挑战。信息安全不仅关系到企业的商业利益和声誉，还可能对国家的安全产生重大影响。本文将探讨信息安全评估中的法律原则，包括公司信息安全与美国国家安全的相互影响、相关法律标准、部分法律法规以及避免法律责任的工具等内容。

公司信息安全与美国国家安全

想象一下，2011年9月，随着“基地”组织对美国发动毁灭性袭击十周年的临近，总统收到越来越明确的情报，显示该恐怖组织残余势力已实现其长期目标，能够通过网络空间对美国发动毁灭性攻击。攻击可能针对空中交通管制、金融交易网络、能源设施，甚至直接针对依赖信息系统的军事力量。

当9月11日到来时，网络攻击已经开始，但攻击者身份不明。越来越明显的是，攻击直接来自美国国内的数十甚至数百所大学和公司服务器。随后，白宫西翼的情况室里，国防部长、国家情报总监、总统的国家安全和国土安全顾问以及司法部长各执一词，总统面临着艰难的决策。

一些顾问坚持认为，美国法律禁止政府禁用攻击来源的国内服务器，甚至禁止试图查明攻击者身份。他们敦促谨慎行事，尽管情报显示攻击实际上来自海外恐怖分子，利用美国服务器作为“僵尸”执行阴谋。他们认为总统只能依靠繁琐耗时的刑法程序来应对攻击，即执法人员收集信息、向联邦法官申请搜查令等。

另一些官员则认为，等到执法程序取得进展时，关键基础设施可能已遭受毁灭性破坏，海外攻击者也可能消失无踪。他们认为总统有足够的宪法和法律权力使用美国的任何力量（军事、情报或执法）来击败攻击、保卫国家。他们提醒总统，宪法虽保护个人权利，但不是“自杀契约”。

从法律和宪法角度看，更激进的顾问可能是正确的，但这并不能减轻总统面临的道德、伦理和政治负担，即是否在信息不完整的情况下下令对美国国内的信息基础设施进行反击。

这种情况对信息安全评估专业人员及其客户意味着什么呢？
- 避免服务器被利用 ：首先，绝不能让自己的服务器成为网络攻击中的“僵尸”。当美国（或其他国家）决定对被劫持的服务器采取官方应对措施时，服务器所有者将面临巨大麻烦。
- 全面保障信息安全 ：谨慎的信息安全顾问应随时了解所有潜在威胁，以保护客户网络。无论威胁来源如何，敏感信息保管者都有充分理由建立和维护合理的信息安全态势，如满足业务运营需求、防止经济损失和工业间谍活动、降低潜在诉讼和监管风险，以及维护良好的安全声誉。
- 重视非敏感信息组织的安全 ：即使组织不维护任何“敏感”信息，避免卷入网络攻击也至关重要。与传统黑客不同，恐怖分子不在乎公司是否有敏感信息，只关心利用服务器造成的破坏。政府也不会关心服务器所有者的信息情况，只要服务器参与攻击，就可能被中和或遭受更严重后果。
- 理解政府政策与法律责任 ：了解政府对信息安全的看法，有助于理解政策声明如何促成个人和组织保护网络空间部分的法律“义务”。政府要求私人“所有者”保障网络空间安全的公共政策，可能会产生法律“义务”，成为未来诉讼的主题。新兴的联邦网络攻击政策也可能推动对私人信息安全的进一步监管。

信息安全相关法律标准

法律由政治家制定，政治家受公众和媒体对特定事件反应的驱动。因此，法律通常是逐步制定的，直到达到临界质量，促使立法者制定综合法律以实现一致性和更高的可预测性。在缺乏统一联邦法律的情况下，特定行业或部门会因被察觉的问题公开而受到监管。涵盖目标行业的法律法规通过民事诉讼和监管行动逐步扩展，其范围仅受法官耐心和原告律师、检察官及监管机构想象力的限制。

目前信息安全法律就是这种情况。虽然没有全面的联邦法规涵盖所有信息安全，但为特定经济部门制定的谨慎标准正通过民事诉讼扩展到其他商业领域，包括监管机构和州检察长的行动。

对于信息安全从业者来说，这既有好消息也有坏消息。一方面，“全面”监管往往混乱无效，尤其是在多个经济部门运营环境和需求不同的情况下。在私营部门实施可行解决方案之前颁布的监管措施可能效果不佳。另一方面，不同的联邦、州和国际法律法规拼凑而成的现状可能令人困惑，需要仔细进行具体案例的法律分析，并寻求合格且经验丰富的法律顾问的建议。

部分联邦法律

为说明影响信息安全的法律范围，以下是可能适用于信息安全顾问及其客户的部分法规、条例和其他法律的概述。
|法律名称|主要内容|
| ---- | ---- |
|Gramm - Leach - Bliley Act（GLBA）|要求每个受涵盖的金融机构建立“适当的保障措施”，以确保客户记录和信息的安全与保密，防范预期的威胁或危害，防止未经授权的访问或使用。该法案通过颁布《机构间保障客户信息标准指南》实现了为保护客户信息设定标准的任务。受涵盖机构需进行风险评估，实施相应政策、程序、培训和测试，确保董事会监督信息安全措施，谨慎选择和监督服务提供商，并通过书面协议确保服务提供商维持适当的安全措施。|
|Health Insurance Portability and Accountability Act（HIPAA）|1996年8月成为法律，要求卫生与公众服务部部长采用安全标准保护所有电子受保护健康信息（EPHI）。部长颁布的《HIPAA安全最终规则》要求除小型健康计划外的所有受涵盖实体遵守。该规则规定了具体成果和流程及程序要求，而非特定技术标准。受涵盖实体的任务包括确保EPHI的机密性、完整性和可用性，防范合理预期的威胁或危害，防止未经授权的使用或披露，以及确保员工遵守规则。规则还包含行政、物理和技术保障措施等方面的要求。|
|Sarbanes - Oxley（SOX）|2002年法案为上市公司高级管理人员创造了法律责任，故意认证不符合法规要求的财务报表可能面临严厉的监禁和高达500万美元的罚款。第404节要求高级管理层证明建立和维护适当的财务报告内部控制结构和程序的责任，以及这些控制的有效性。第302节也要求签署公司财务报告的官员证明建立和维护内部控制的责任，并评估其有效性。|
|Federal Information Security and Management Act（FISMA）|虽不直接为私营部门信息安全专业人员及其客户创造责任，但该法案规定了联邦政府部门和机构制定和实施信息安全要求的法律程序，指导联邦政府借鉴私营部门的“最佳实践”，并在必要时为私营部门提供信息安全方面的协助，有助于形成信息安全的“谨慎标准”。|
|FERPA和TEACH Act|《家庭教育权利和隐私法》（FERPA）禁止教育机构在可能失去联邦资金的情况下，有“允许发布”特定教育记录的政策或做法。虽然该法未明确规定教育机构有采取信息安全措施防止未经授权访问这些记录的肯定性要求，但法院未来可能会判定未采取合理信息安全措施的教育机构需承担责任。2002年的《技术、教育和版权协调法》（TEACH Act）明确要求教育机构采取“技术上可行”的措施，防止未经授权分享受版权保护的信息，可能为教育机构带来新的可执行的信息安全法律义务。|
|Electronic Communications Privacy Act和Computer Fraud and Abuse Act|这两部联邦法规虽未规定信息安全程序，但对任何未经授权访问电子记录的人设定了严重刑事处罚。《电子通信隐私法》（ECPA）规定，未经授权使用或拦截电子通信内容属联邦重罪。《计算机欺诈和滥用法》（CFAA）规定，未经授权访问广泛的计算机系统（包括金融机构、联邦政府和任何用于州际商业的受保护计算机系统）属联邦重罪。因此，信息安全专业人员必须谨慎确保从客户处获得的授权足够广泛和具体，以减轻潜在的刑事法律责任。|

州法律

除了联邦法规和条例，各州法律也会根据实体的地理位置和业务范围，对信息安全专业人员的工作产生法律要求。
- 未经授权访问 ：在科罗拉多州（以及其他州），访问、使用或超出授权范围访问计算机、计算机网络或计算机系统的任何部分均属犯罪。信息安全专业人员必须在合格且经验丰富的法律顾问建议下，与每个客户协商一份全面、措辞严谨的授权书。
- 欺骗性商业行为 ：欺骗性商业行为是非法的，可能导致民事处罚和损害赔偿。在科罗拉多州（以及许多其他州），“欺骗性商业行为”包括故意作出虚假陈述和未能披露重要信息等。监管机构已利用这些法律，通过诉讼对原本不受法定或监管标准约束的行业实体施加信息安全要求。

信息安全专业人员和客户需要咨询合格且经验丰富的法律顾问，以应对复杂多变的州法律环境，了解州法律与联邦法律的重叠和相互作用。

执法行动

信息安全中的“合理谨慎标准”将不断演变，不仅通过新的法规和条例，检察官和监管机构也不会坐等正式法律发展。在针对未直接受特定联邦或州法律或条例约束的实体的诉讼和执法行动中，他们明确表示要将“合理”的信息安全措施扩展到这些实体。这通过法律行动达成和解，通常包括同意令，即公司同意“自愿”允许监管机构在一定期限内（如20年）监督其信息安全计划。

这些公开的协议不仅增加了实体应遵循的“谨慎标准”，也为未来类似的执法行动提供了动力。因此，信息安全专业人员的客户不应因所在经济部门或行业尚未有明确针对性的法律而掉以轻心。

三大致命谬误

许多意识到信息安全法律和其他要求的实体，以及一些信息安全提供商，陷入了一些特定的谬误，影响了他们的信息安全决策。
- “单一法律”谬误 ：许多信息安全专业人员认为，只要遵守适用于特定机构的某一法规或一套条例，就可以消除所有法律风险。例如，一所中型大学的信息安全专业人员可能认为，由于FERPA显然适用于教育记录，遵循基于教育部标准为大学量身定制的指导方针就足以减轻潜在法律责任。更糟糕的是，他们可能认为FERPA未明确要求采取肯定行动防止未经授权访问记录，因此无需采取任何措施。然而，这所大学可能还需考虑是否提供金融援助（可能受GLBA约束）、是否运营医院或提供医疗服务（可能受HIPAA约束）、网站是否有安全相关声明（可能受州欺骗性商业行为法律约束）等问题。
- “私人实体”谬误 ：一些机构因专注于SOX和对上市公司的关注，认为自己作为私人实体不受SOX约束，或能“避开”联邦监管机构和民事诉讼。但这种想法很危险。首先，全面的联邦信息安全监管扩展到上市公司之外的可能性与日俱增。其次，未来原告（学生、教职员工、攻击或身份盗窃受害者）的律师不会被SOX的字面条款吓退，他们可能会主张信息安全的“合理谨慎标准”已广为人知，即使某一特定法规不适用，实体也有责任了解和遵循其他法律来源的要求。最后，只关注SOX（或任何单一法律或条例）而忽视其他潜在责任来源，无法免除实体了解和遵守所有法律的责任，包括HIPAA、GLBA、州法规、普通法理论以及国际和外国法律。
- “仅渗透测试”谬误 ：信息安全专业人员经常遇到只要求进行渗透测试的客户。这些客户要么认为自己的信息安全状况良好，只需外部人员尝试“闯入”来证明；要么出于内部官僚需求，想证明系统的不安全性。一般来说，这些客户预算有限，希望通过快速的渗透测试达到某种官僚目的。还有一些客户将渗透测试作为第一步，再决定后续的信息安全评估方向。

但必须强调，从渗透测试开始是一场灾难，尤其是在无法保护测试结果不被披露的情况下。如果没有与合格且经验丰富的律师建立更全面、长期的合作关系，渗透测试不仅可能导致客户“失败”，而且测试失败的报告将不受任何律师 - 客户特权或其他保护，可能被客户未来的对手发现和披露。这不仅会给客户带来法律风险，也可能使信息安全技术专业人员在后续被要求进行更多测试。

总之，信息安全评估专业人员和客户必须充分认识到信息安全与法律的紧密联系，避免陷入常见的谬误，积极采取措施保障信息安全，以应对日益复杂的网络威胁和法律环境。

信息安全评估的法律原则

信息安全评估合同的覆盖内容

在信息安全评估工作中，合同是保障双方权益的重要文件。一份完善的信息安全评估合同（IEM 合同）应涵盖以下关键内容：
1. 服务范围界定 ：明确评估服务所包含的具体内容，例如是否包括网络系统、应用程序、数据存储等方面的评估；是否进行漏洞扫描、渗透测试、安全策略审查等具体操作。这有助于避免双方对服务内容的理解产生偏差。
2. 评估标准与方法 ：确定评估所依据的标准，如国际标准（ISO 27001 等）、行业特定标准（如金融行业的相关安全标准）或企业内部制定的标准。同时，说明采用的评估方法，如使用的工具、测试流程等，确保评估过程的科学性和规范性。
3. 报告要求 ：规定评估报告的格式、内容和交付时间。报告应详细记录评估过程中发现的问题、风险等级以及相应的建议。交付时间的明确有助于客户及时了解评估结果，采取相应的改进措施。
4. 保密条款 ：鉴于信息安全评估涉及到客户的敏感信息，合同中必须包含严格的保密条款。明确评估方有责任保护客户信息的机密性，不得向任何第三方披露，除非获得客户的书面授权或法律要求。
5. 知识产权归属 ：确定评估过程中产生的知识产权归属，如评估工具的开发、测试脚本的编写等。这对于保护双方的创新成果和商业利益至关重要。
6. 责任限制与赔偿 ：明确评估方在评估过程中可能承担的责任范围，以及在出现问题时的赔偿方式和上限。这有助于平衡双方的风险和利益。
7. 合同期限与终止条款 ：规定合同的有效期限，以及在何种情况下双方有权提前终止合同。终止条款应明确双方在合同终止后的权利和义务，如数据的处理、费用的结算等。

以下是一个简单的 IEM 合同内容结构表格：
|合同条款|具体内容|
| ---- | ---- |
|服务范围|网络系统评估、应用程序测试、数据安全审查等|
|评估标准与方法|依据 ISO 27001 标准，采用漏洞扫描工具和渗透测试方法|
|报告要求|详细报告，包括问题描述、风险等级和建议，交付时间为评估结束后[X]个工作日|
|保密条款|严格保密客户信息，不得披露给第三方|
|知识产权归属|评估过程中产生的知识产权归客户所有（如有特殊约定除外）|
|责任限制与赔偿|评估方对因自身过错造成的直接损失承担赔偿责任，赔偿上限为[X]元|
|合同期限与终止条款|合同有效期为[X]年，双方可在提前[X]天书面通知的情况下终止合同|

律师全程参与的重要性

在信息安全评估项目中，从项目启动到结束，让律师全程参与具有多方面的重要意义。以下通过 mermaid 流程图展示律师参与的关键节点和作用：

graph LR
    A[项目启动] --> B[合同起草与审查]
    B --> C[法律风险评估]
    C --> D[评估过程监督]
    D --> E[应对法律纠纷]
    E --> F[项目结束总结]

1. 合同起草与审查 ：律师能够根据法律规定和实际情况，起草完善的信息安全评估合同。在合同审查阶段，律师可以发现合同中可能存在的法律漏洞和风险，确保合同条款符合双方的利益和法律要求。例如，在合同中明确双方的权利和义务，避免模糊不清导致的纠纷。
2. 法律风险评估 ：在项目开始前，律师可以对项目可能涉及的法律风险进行全面评估。这包括分析适用的法律法规、监管要求，以及可能面临的诉讼风险等。根据评估结果，为项目团队提供相应的风险应对建议，帮助客户提前做好防范措施。
3. 评估过程监督 ：在信息安全评估过程中，律师可以监督评估方是否遵守法律法规和合同约定。例如，确保评估方在进行渗透测试时获得了合法的授权，避免因非法操作引发法律问题。同时，律师还可以及时处理评估过程中出现的法律问题，保障项目的顺利进行。
4. 应对法律纠纷 ：如果在项目过程中出现法律纠纷，律师可以代表客户进行协商、调解或诉讼。律师凭借专业的法律知识和丰富的诉讼经验，能够为客户争取最大的利益，降低客户的损失。
5. 项目结束总结 ：项目结束后，律师可以对整个项目进行总结，分析项目中存在的法律问题和经验教训。这有助于客户在未来的项目中更好地应对法律风险，提高信息安全管理水平。

总结与建议

信息安全评估工作处于一个复杂的法律环境中，受到多种因素的影响。为了更好地应对信息安全评估中的法律问题，以下是一些总结和建议：
1. 提高法律意识 ：信息安全评估专业人员和客户都应加强对信息安全相关法律法规的学习，了解自身的法律责任和义务。定期组织法律培训，提高团队成员的法律素养。
2. 建立合规体系 ：企业应建立完善的信息安全合规体系，确保信息安全措施符合法律法规和行业标准的要求。这包括制定安全策略、进行风险评估、实施安全控制等方面。
3. 加强沟通与合作 ：信息安全评估专业人员、客户和律师之间应保持密切的沟通与合作。及时分享信息，共同解决遇到的法律问题。在项目实施过程中，定期召开会议，讨论项目进展和法律风险。
4. 持续关注法律变化 ：法律法规会随着社会发展和技术进步不断更新，信息安全评估相关人员应持续关注法律变化，及时调整信息安全策略和措施。订阅法律资讯服务，参加行业研讨会，获取最新的法律动态。
5. 避免常见谬误 ：如前文所述，要避免“单一法律”谬误、“私人实体”谬误和“Pen Test Only”谬误。全面考虑各种法律风险，制定综合的信息安全保障方案。

总之，信息安全评估不仅是技术层面的工作，更是涉及到法律、道德和社会责任的重要领域。只有充分认识到信息安全与法律的紧密联系，采取有效的措施保障信息安全，才能在日益复杂的网络环境中保护企业和国家的利益。