确保数据安全 企业应该承担的两项义务

申请免费试用、咨询电话：400-8352-114

履行安全保护义务

对于大多数IT组织来说，确保企业数据安全是最首要任务。因此，企业需要提防最新的安全风险，在安全防范方面投入不少IT运营成本，从而让企业置于良好的发展环境中。

关于IT安全方面的态度，我们也需要转变。以前如果有人抢劫银行，我们会痛恨那些作恶多端的不法之徒;现在，如果有人成功侵入公司的电脑系统，我们应该质疑系统的安全性，是公司未能提供足够的安全保障。

实现这一转变的是一系列相关法律法规的出台。据悉，这些法律旨在保护个人数据的机密性和完整性，以免被人盗取受到侵害。如果有人违反这些法律规定，将可能面临严厉的法律制裁。

本文，将向你简要介绍这些相关法律内容，并指出作为公司组织应该承担的两项义务：落实增强数据安全保护措施的义务;告知安全漏洞的义务。

履行安全保护义务

拟定公司的所有信息安全义务，不可能依靠某个单一的法律法规来实现。相反，只有不断完善的的法律法规，才能满足不断变化的数据安全保护需要。

相关的法律法规也比较多：隐私权保护法要求公司保障私人的数据安全;电子交易法要求电子记录具有完整性和可利用性;公司法则要求采取适当的措施，保障公众和股东、投资者、商业伙伴的利益;反不正当竞争法则解释了包括缺乏安全可靠性的不公正商业准则。

近期的一些诉讼也表明，企业未能对其数据安全提供足够的保护。例如，MBNA的美国银行因一个客户的身份资料遭到盗用而被起诉，就是一个未能提供足够安全的良好例子。

除了法律章程和法院裁决需要履行的义务外，公司还需要根据自身所签订的合同承担额外的安全义务。举例来说，任何涉及到商业机密信息的外包或者类似协议，都需要根据合同内容履行相应的数据保护安全义务。同样，企业只有做出一些安全承诺，才能参加某些商业组织活动。比如，商家要接受信用卡，必须事先同意并遵守PCI(Payment Card Industry，支付卡行业)数据安全标准。

全身心投入以确保信息安全，是一个组织应该履行的责任和义务。通过在隐私政策、公司网站或者广告资料里面事先申明，可以根据收集到的信息对应不同的安全级别，制定不同的索赔标准。这样，将有助于加强公众对企业义务执行的监督。

遵守法律标准

法律法规或者合同等其他章程要求履行的安全义务，一般都是最基本、最合理、最恰当的安全要求，而它们针对安全提供的一些保障措施却远远不够。另外，法律上所讲的“合理”、“恰当”到底是怎么样一个概念?

然而，如果你留心观察近期的规章条例、判例法和政府的一些政策措施，就会发现这类“法律”标准都出奇地一致——该标准侧重于行为过程，而不是具体的安全防范措施。

法律并没有什么情况下采取什么样的措施才能实现合理安全的标准，相反，它只要求公司根据风险情况，采取合理的防范措施，以达到预期的安全标准。这也就意味着，公司必须根据他们所面临的情况进行风险评估，然后采取相应的安全防范措施，并确保这些措施得到具体落实。同时，还要根据变化的情况对措施进行适时调整。

因此，根据实际情况采取的必要安全措施，也会受到公司安全策略的影响。比如，法院驳回了就笔记本电脑上的私人加密资料的措施请求，而建议根据风险等级采取更加合理的安全防范措施。也就是说，问题的首要因素在于风险评估，然后才是根据公司面临的风险状况采取的安全措施。

比如，在小区周围布满武警人员，并且在入口处安装智能卡门禁系统，这样可能会拥有比较高的安全等级。但是，如果小区面临的威胁是来自互联网上的黑客攻击，那么，可以说这种人身安全措施起不到任何帮助。类似地，防火墙或者检测软件只能对付黑客或者保护敏感数据库，如果公司内部有员工故意(或者不小心)泄露了机密资料，那么即使有再先进的安全技术措施，也不能阻止事情的发生。

根据风险评估采取相应的安全措施，在划分安全事故责任方面起着极为重要的作用。例如，在对数据信息的可预见风险下，采取了相应的安全防范措施，即使结果还是遭受了损失，行为主体也可以免责。

法律还会对安全防范措施进行审查，以明确是否适当是否有效。因为如果数据仅仅是被加密了，也并不意味着安全措施做到位。为了确保安全措施得到落实并且持续有效，需要不断地对其进行监测、测试和评估。

为应对企业所面临风险，当你制定自己的安全策略时，请不要忽略第三方。外包本身并不会免除你保护外包数据安全的义务和责任。考虑到后果，你必须慎重对待与外包供应商签订的合同，并认真考虑与之相关的安全保护措施。