| 摘要：如果你开发的软件被黑客攻击，那么你是否会是受害者？在软件行业发展的早期，答案通常是否定的。软件许可协议通常会撇清相关责任，而安全漏洞则被认为是软件的正常一部分。当问题被发现时，开发者会尽快修复问题，但他们通常并不会成为黑客攻击造成损失的受害者。 |
哈尔德曼表示，如果一家公司的企业文化能更认真地对待信息安全问题，那么通常能开发出较安全的软件。然而从一家公司的外部很难确定或衡量软件的安全性。监管部门可以要求企业提高软件安全性，但除非企业管理层留意该问题，否则这样的要求也很难收效。
因此，信息安全政策的中心应当是明确责任。如果企业需要承担信息安全事故带来的财产损失，那么企业管理层将会有强烈的动力去加强安全性，而无需政府部门的监管和惩罚性措施。在今年早些时候遭遇黑客攻击之前，索尼裁减了一些负责信息安全的人员，并认为这样的做法有助于削减成本。索尼此次遭遇集体诉讼将确保其他企业未来不犯类似的错误。
其他举措
哈尔德曼警告称，过度监管将导致企业对信息安全问题过度谨慎。在信息安全以及成本和营销等方面，企业总是需要找到平衡。迫使企业更多关注安全性也将造成损害，因此政策制定者不应仅仅强调企业在这一方面的责任。
另一个可行的做法是提升透明度。美国一些州已经制定法律，要求企业披露数据泄露事故。哈尔德曼建议，这样的法律可以被拓展，以涵盖其他信息安全问题。这将使消费者获得更多信息，以选择合适的软件和服务。
哈尔德曼谈到了加强信息安全教育的重要性，这也是FTC目前强调的。毫无疑问，企业有责任就信息安全问题培训程序员。此外，大学在这一方面也应当扮演一定的角色。对于所有大学的计算机系来说，信息安全培训都应当是课程的一部分。
此外哈尔德曼指出，企业应当尽可能少地持有用户信息。尽管这对避免信息安全问题没有帮助，但是可以减少事故带来的损失。他认为，企业应当自动删除没有必要的用户数据，同时应当向用户提供途径，帮助他们确认并删除属于自己的数据。
近期，黑客组织LulzSec发动了一系列攻击并取得了成功。这表明，在网站和企业网络的安全性方面，整个行业还有很多工作要做。美国的企业或许并不害怕LulzSec这样的“恶棍”，但它们已经看到黑客攻击带来的大规模集体诉讼，承担责任将是驱动企业解决信息安全问题的最主要动力。
责任编辑：Lily
评论表单加载中...
