19、信息安全评估中的法律考量

信息安全评估中的法律考量

1. 为何需要律师全程参与

莎士比亚笔下“屠夫迪克”的名言“我们要做的第一件事，就是杀光所有律师”常被引用和误引。但实际上，迪克及其团伙是在谋划推翻英国政府时提出这一想法的。从合理的角度解读，莎士比亚可能是想表明，那些帮助人们解读和诉讼法律的人，对社会的有序运转是必要的。

在信息安全评估中，确定实体如何有效遵守众多复杂的信息安全法律要求时，合格且经验丰富的律师本应参与其中。然而如今，大多数评估工作由计算机工程师、会计和咨询公司进行。虽然这些专业能力在信息安全评估中都有必要作用，但关键问题是如何最好地遵守当前的注意标准，以减轻潜在的法律责任，因此经验丰富的律师应像手术室里的外科医生一样引领团队。

在美国，几乎每个州都禁止无执照从事法律业务。例如在科罗拉多州，“从事法律业务”被定义为“就法律权利和义务进行咨询、建议和协助他人”，违规者可能面临罚款或监禁。信息安全顾问绝不能向客户提供有关HIPAA、Gramm - Leach - Bliley金融信息隐私条款等联邦、州或地方法律法规的法律建议，否则不仅自身可能面临法律诉讼，还会误导客户。

2. 律师参与的其他重要因素

• 律师 - 客户特权 ：律师 - 客户特权是法律中最古老的保密信息保护措施之一，非常强大。在每个州，律师向客户提供的法律建议通信受到保护，客户为寻求法律建议而提供给律师的信息同样受保护。在许多民事案件中，一旦法院认定特权适用，法律对手对特权信息的需求通常无法超越这种保护。但在刑事背景下，这种绝对保护在某些司法管辖区不太确定。

法院对公司内部律师的审查往往比外部律师更严格。对于信息安全顾问来说，若客户聘请律师提供法律服务，律师再聘请顾问提供技术信息以给出准确法律建议，顾问的技术工作也可享受律师 - 客户特权保护，但这种雇佣关系不能是虚假的。

不过，律师 - 客户特权并非绝对，存在公认的例外情况和放弃保护的方式。例如，为实施犯罪或欺诈而提供给律师的信息不受保护；客户或律师向第三方透露特权信息也可能导致保护消失。有时放弃特权也是合适的，如企业或教育机构为主张“律师建议”辩护而放弃特权。

• 律师建议辩护 ：许多信息安全顾问等试图向客户提供法律合规建议是有问题的。首先，经验丰富的律师更能准确解读和提供法律建议；其次，非律师提供法律建议可能违反州法律。而且，遵循非律师的建议在未来诉讼、监管程序或起诉中无法提供与遵循律师建议相同程度的法律辩护。客户向律师提供准确信息并真诚遵循建议，可享受“律师建议”辩护，即使律师建议有误，也能保护客户。

• 严格评估、访谈和报告撰写标准的建立与执行 ：信息安全评估的重要环节包括对关键客户人员的访谈和文件审查。律师在访谈和文件审查方面通常更为熟练，他们能确保采访到合适的人，找到并仔细审查所有相关文件，还能灵活应对评估过程中出现的新问题。

在撰写报告时，律师清晰易懂的写作能力也很重要。律师参与信息安全评估报告的起草、审查和编辑，能显著增加评估过程和最终产品对客户的价值。

• 为未来诉讼创建良好记录 ：许多合格且经验丰富的律师知道如何为法官和陪审团撰写文件。即使律师 - 客户特权因某种原因失效，评估过程和报告也需符合民事诉讼规则的证据标准。例如，应保留良好的访谈和文件审查记录，以证明信息的可靠性；报告应清晰描述威胁和漏洞，避免过度夸大。律师，尤其是经验丰富的诉讼律师，擅长完成这些任务。

• 最大化诉讼辩护能力 ：让合格且经验丰富的律师参与信息安全评估，能帮助信息安全专业人员及其客户应对未来诉讼，并阻止潜在的诉讼者提起诉讼。特别是在存在重大诉讼或执法风险的业务领域，让律师从业务流程早期就参与其中，能提高信息安全顾问及其客户应对未来诉讼的能力。

• 与监管机构、执法部门、情报和国土安全官员打交道 ：与政府部门的接触可能有两种情况：主动联系或被政府联系。无论哪种情况，最初几个小时的行动对信息系统和敏感信息的完整性至关重要。关键在于立即获得在信息安全法和与执法等官员打交道方面有经验的合格法律顾问的帮助，并提前制定应对计划。

以下是信息安全评估中律师参与的关键要点总结表格：
|要点|详情|
| ---- | ---- |
|律师全程参与原因|确定信息安全法律合规性，减轻潜在法律责任|
|律师 - 客户特权|保护法律建议和客户提供信息，有例外和放弃情况|
|律师建议辩护|遵循律师建议可享受法律辩护|
|评估标准执行|律师擅长访谈、文件审查和报告撰写|
|诉讼记录创建|符合证据标准，准确描述威胁漏洞|
|诉讼辩护能力|提高应对未来诉讼能力|
|与政府部门打交道|需律师帮助和提前计划|

mermaid流程图展示律师参与信息安全评估的流程：

graph LR
    A[确定信息安全评估需求] --> B[聘请合格律师]
    B --> C[律师引领评估团队]
    C --> D[进行评估工作]
    D --> E[享受律师 - 客户特权保护]
    D --> F[遵循律师建议获得辩护]
    D --> G[律师参与报告撰写]
    D --> H[为诉讼创建记录]
    D --> I[应对与政府部门接触]

3. 如何挑选合适的律师

挑选律师时，有一些明显的特征需要考虑。首先，律师应具备正直的品格、在法律界良好的声誉和一般的专业能力。同时，最好选择在企业和商业交易方面有深厚背景、熟悉合同签订流程的律师。Martindale Hubbell（www.martindale.com）是评估律师这些品质的有用工具，可寻找具有“AV”评级（Martindale最高评级）的律师。

在信息安全评估领域，要寻找在该领域有广泛深入专业知识的律师。可以通过一些外部、可独立验证的标准来判断，例如律师是否在国家安全局网站上被列为接受过NSA信息安全保证方法（IAM）培训的人员；律师是否在信息安全法律领域有发表过作品；是否担任过与信息安全相关的政府或其他职位。此外，还需进行“直觉检查”，即考虑与潜在律师合作是否舒适、沟通是否清晰简洁，以及律师是否更关注保护自身利益而非为你提供法律建议。

4. 信息安全评估的伦理考量

18世纪哲学家伊曼努尔·康德说过：“在法律中，一个人侵犯他人权利时是有罪的；在伦理中，他只要有这种想法就是有罪的。”在信息安全评估中，遵循伦理不仅要求严格遵守法律，还需要理解客户、其业务环境以及客户对他人的义务。

追求道德实践能增加遵守法律的可能性，在社区中建立信誉，减少与客户的纠纷并提高市场竞争力。但不能天真地认为与自己交易的人都是道德的，要通过可靠的流程、一致的方法和起草完善的合同来保护自己，合同应包括明确的工作内容、责任限制和赔偿条款。

不要有侵犯他人权利的想法，不要走捷径，在不了解他人需求和权利的情况下不要开展工作。要做好自己的工作，即使客户要求走捷径或追求成本节约和项目快速完成，也要坚持正确做事，避免事后向愤怒的客户、检察官、法官或陪审团解释失误原因。

5. 常见问题解答

• 问题1：如果我是知识渊博的信息安全顾问，为什么不能向客户提供关于HIPAA或SOX信息安全要求的合规建议？
  • 回答 ：这样做不仅会使你面临违反州法律禁止无授权从事法律业务的风险，还无法为客户提供律师 - 客户特权保护和“律师建议”辩护。
• 问题2：为什么我公司内部律师的参与不能提供足够的律师 - 客户特权保护？
  • 回答 ：通过内部律师进行信息安全评估比不参与要好，但多个司法管辖区的法院对内部律师适用律师 - 客户特权的标准比对外部律师更高。
• 问题3：我需要多久进行一次信息安全评估？
  • 回答 ：法院和监管机构会根据具体情况进行“合理性”判断，这取决于所在行业、持有的敏感信息类型和数量以及当前适用的法律和监管要求。一般来说，至少每年进行一次，很多情况下需要更频繁。
• 问题4：律师参与信息安全评估会增加多少成本？
  • 回答 ：如果找到合格且经验丰富的律师与同样合格的技术顾问合作，两者提供合理定价的集成产品，成本可能比单独使用按小时计费的大型昂贵咨询公司更低。
• 问题5：我国发生灾难性信息攻击的可能性有多大？
  • 回答 ：对此问题存在很多分歧。但美国政府已基于这种可能性制定了公开政策，9·11事件后，谨慎起见应假设可能发生此类攻击。而且，假设攻击可能发生也支持采取合理信息安全措施的众多商业理由，这也是正确的做法。

以下是信息安全评估相关要点的另一个表格总结：
|问题|解答要点|
| ---- | ---- |
|顾问提供法律建议|违反法律，无特权和辩护|
|内部律师特权|法院审查更严格|
|评估频率|至少每年一次，依情况而定|
|律师参与成本|可能低于大型咨询公司|
|灾难性攻击可能性|应假设可能发生，支持安全措施|

mermaid流程图展示信息安全评估常见问题及解答关系：

graph LR
    A[信息安全顾问提供法律建议问题] --> B[违反法律，无特权和辩护解答]
    C[内部律师特权问题] --> D[法院审查严格解答]
    E[评估频率问题] --> F[依情况而定解答]
    G[律师参与成本问题] --> H[可能成本更低解答]
    I[灾难性攻击可能性问题] --> J[应假设可能发生解答]

综上所述，在信息安全评估中，律师的全程参与至关重要，从法律合规到应对潜在诉讼，从保护信息到维护商业伦理，律师都能发挥关键作用。同时，挑选合适的律师并遵循伦理原则也是确保评估工作顺利进行和有效保护各方利益的重要因素。

信息安全评估中的法律考量

6. 美国国家安全与企业信息安全的关联

美国政府已宣布可能发生针对关键基础设施的重大信息安全攻击，并表示必要时将强力回应，同时强调私营部门有责任加强自身网络空间的安全。尽管无法预测攻击的时间和严重程度，但自2001年9·11事件后，谨慎的商业和教育机构应假设此类攻击会发生并采取相应行动。

这不仅是出于业务运营需求、法律法规要求和客户信心的考虑，也是企业和机构应承担的社会责任。因此，商业和教育机构应尽早聘请合格且经验丰富的法律顾问和技术信息安全供应商。

以下是企业信息安全与国家安全关联的要点列表：
- 政府宣布攻击可能性及应对态度。
- 私营部门有加强网络安全责任。
- 企业和机构应提前做好应对准备。

7. 信息安全相关法律标准

目前，联邦、州和国际层面的一系列复杂法规和普通法正在不断发展，为商业和教育机构在信息安全领域设定了法律义务。非律师顾问即使知识渊博，也不能合法地提供有关这些法律合规的建议，商业和教育机构也不应依赖他们。

需要注意的是，这里无法提供具体的法律建议，只有与企业和教育客户建立直接关系的合格、持牌且经验丰富的法律顾问才能做到这一点。

以下是信息安全相关法律标准的详细表格：
|法律层面|法律类型|举例|
| ---- | ---- | ---- |
|联邦|法规|HIPAA、GLBA、SOX、计算机欺诈和滥用法案等|
|州|法规和普通法|如因疏忽导致的责任|
|国际|法规|不断发展中|

8. 部分重要法律介绍

• 美国联邦层面 ：HIPAA（健康保险流通与责任法案）、GLBA（格拉姆 - 里奇 - 比利雷法案）、SOX（萨班斯 - 奥克斯利法案）、计算机欺诈和滥用法案等法规及其相关规定，以及尚未出现的新法规，都在不断为信息安全设定新的法律义务。
• 州法律和普通法 ：州法律和基于普通法的理论，如疏忽责任，也可能导致商业和教育机构因未遵循新兴的“注意标准”而承担责任。商业和教育机构以及为其提供服务的信息安全顾问若未能寻求并遵循合格且经验丰富的法律顾问的建议，可能会面临民事赔偿、监管行动，甚至在某些情况下承担刑事责任。

以下是部分重要法律的影响总结列表：
- 联邦法律不断新增信息安全义务。
- 州法律和普通法规定疏忽责任。
- 未遵循建议可能面临多种法律后果。

9. 减轻法律责任的工具

• 聘请专业人员 ：聘请合格的外部法律和技术专业人员是减轻法律责任的重要一步。他们具备专业知识和经验，能够帮助企业和机构更好地遵守法律要求。
• 有效管理合同关系 ：通过明确合同条款，如工作内容、责任限制和赔偿条款等，可以最大限度地减少责任。信息安全顾问必须确保与客户的法律义务和权利在详细的书面协议中明确规定。在大多数情况下，应使用单独附录于整体合同的授权书（LOAs），以明确信息安全顾问访问和测试各类信息、系统及互联网部分的权限和限制。

以下是减轻法律责任工具的操作步骤表格：
|工具|操作步骤|
| ---- | ---- |
|聘请专业人员|寻找合格的外部法律和技术人员，建立合作关系|
|管理合同关系|明确合同条款，使用LOAs规定顾问权限|

mermaid流程图展示减轻法律责任的流程：

graph LR
    A[企业或机构] --> B[聘请外部专业人员]
    B --> C[建立合同关系]
    C --> D[明确合同条款和LOAs权限]
    D --> E[减轻法律责任]

10. 信息安全评估合同要点

信息安全顾问应确保在详细的书面协议中明确自身和客户的法律义务和权利。这些协议至少应涵盖前面讨论的各个方面。在多数情况下，应使用单独附录于整体合同的授权书（LOAs），明确信息安全顾问对各类信息、系统及互联网部分进行访问和测试的权限及限制。

以下是信息安全评估合同要点的总结表格：
|要点|详情|
| ---- | ---- |
|合同明确义务权利|涵盖法律合规、工作内容等方面|
|使用LOAs|明确顾问访问和测试权限|

11. 信息安全评估的整体建议

综合来看，律师对于信息安全顾问及其客户而言是必要的存在。律师的价值体现在多个方面，例如帮助保护客户发现的信息安全漏洞、信息安全顾问的商业秘密和工作方法不被披露，以及为未来的法律责任创造额外的辩护。而且，只有律师可以合法地就如何最好地遵守HIPAA、GLBA、SOX等联邦和州的法规、监管要求和普通法法律要求向客户提供建议。

在进行信息安全评估时，要重视律师的作用，遵循法律和伦理原则，选择合适的专业人员，有效管理合同关系，以确保评估工作的合法性、有效性和安全性。

以下是信息安全评估整体建议的要点列表：
- 重视律师在评估中的作用。
- 遵循法律和伦理原则。
- 选择合适专业人员和管理合同关系。

mermaid流程图展示信息安全评估的整体流程：

graph LR
    A[确定评估需求] --> B[聘请律师和专业人员]
    B --> C[建立合同关系]
    C --> D[进行评估工作]
    D --> E[遵循法律和伦理]
    E --> F[完成评估，保护信息安全]

总之，信息安全评估是一个复杂且涉及多方面法律和技术问题的过程。企业和机构需要全面考虑各种因素，积极采取措施来确保信息安全，同时应对潜在的法律风险。无论是从国家安全的宏观层面，还是从企业自身利益的微观层面，都不能忽视信息安全评估中的法律考量。