摘要：如果你开发的软件被黑客攻击，那么你是否会是受害者？在软件行业发展的早期，答案通常是否定的。软件许可协议通常会撇清相关责任，而安全漏洞则被认为是软件的正常一部分。当问题被发现时，开发者会尽快修复问题，但他们通常并不会成为黑客攻击造成损失的受害者。

第1页:遭黑客攻击企业应负法律责任：督促重视安全 第2页:遭黑客攻击企业应负法律责任：督促重视安全

　　近期，由于数百万用户信息在黑客攻击中被泄露，索尼遭遇了集体诉讼。本周，Dropbox也由于一次信息安全事故而被起诉。
　　
　　责任认定
　　
　　目前尚无法判断这类诉讼是否会越来越多，但这已经成为一种趋势。随着在线服务对美国经济重要性的提升，运营这些在线服务的企业已经发现，信息安全问题对它们造成了实质上的冲击，影响了它们的利润。
　　
　　美国联邦贸易委员会(以下简称“FTC”)也越来越关注计算机安全领域。6月中旬，FTC委员艾迪斯•拉米雷兹(Edith Ramirez)在美国国会的听证会上表示，FTC已经要求企业加强网络系统的安全性。FTC此前针对金融行业提出了特殊的规定，该委员会近期表示，有权监管任何做出“错误或误导性数据安全承诺”，或是因没有采取“合理安全措施”而给消费者造成损失的公司。
　　
　　拉米雷兹表示，在近期的两起案件中，由于信息安全方面的漏洞导致黑客获取了敏感的用户数据，相关企业已经与FTC达成了解决协议。根据协议，这些企业必须在未来20年中向FTC提交独立的信息安全审计报告。
　　
　　以往，软件公司可以在事故发生后再修复漏洞，这种模式已成为历史，但目前并不清楚将会出现什么样的新模式。集体诉讼和FTC的新规定将迫使企业更认真地对待信息安全问题。此外，企业还可以采取其他一些措施，例如进行信息安全审计，以及制定更好的数据保存规定等。合适的规定将鼓励企业更认真地应对数据安全问题，但过多的监管将影响软件开发流程。
　　
　　密歇根大学计算机科学教授亚历克斯•哈尔德曼(Alex Halderman)认为，让消费者来选择信息安全措施不利于开发出安全的软件。大部分消费者并不能判断，企业在信息安全方面的承诺是否只是幌子。因此，往往只有事故发生后，信息安全漏洞才会曝光，而这时已为时过晚。
　　
　　不过他也指出，政府部门对软件安全性的直接监管可能无法起到效果。类似FTC的美国联邦机构缺乏软件方面的专业性，也没有足够的人手去彻底审计数千家公司开发的软件的安全性。哈尔德曼表示：“我们尚没有被广泛认可的成熟模式。从外部来看，了解一个问题，并确定该问题发生的原因很难。”
　　
　　此外，当类似FTC的机构发现软件缺陷时，它们也无法确定问题的严重性。私营软件公司有可能花费很长时间来解决一些细小的问题，而更严重的问题有可能被略过。