ISACA Journal | 信息安全至关重要：隐私售卖

2021年9月16日，我在浏览新闻网站时被这个标题所震惊：“数字隐私之战正在重塑互联网” 。概括起来，这篇文章说的是，各大科技公司正在重新考虑它们对数据隐私的立场。以苹果为首的一些公司选择让他们的客户能够防止其网络浏览活动被跟踪并出售给广告商。其他公司，尤其是Facebook，则予以回击，称识别买家在线偏好的能力对小型零售商的成功至关重要。谷歌也参与其中，其立场介于两者之间：“给我隐私，但还不是时候。”

这篇文章设想的结果是，今天的许多基于Web的免费应用程序 “将来会让人们通过订阅费和其他费用来支付他们在网上获得的东西，而不是使用他们的个人数据”。在我看来，在广泛使用的应用程序中对隐私收费的后果是很重要的话题，值得探讨。

隐私的价值

我们早就放弃了一些私人信息，以便拥有银行账户、医疗保健和有线电视等服务。与此同时，我们(有时是错误地)信赖提供这些产品和服务的公司不会在未经我们许可的情况下分享我们的数据。当我们开始使用应用程序搜索互联网、指导我们的旅行和相互交流时，我们没有这样的默契。这些服务是以个人数据的代价付费的。如果我们必须为保护我们的隐私而支付互联网服务的实际费用，我们会这样做吗？

毫无疑问，有些人会这样做。他们觉得自己是作家Shoshana Zuboff（编者注：Shoshana Zuboff著有《监视资本主义年代》The Age of Surveillance Capitalism）所说的“监视资本主义”的受害者。他们有理由相信，他们的一举一动都被跟踪，并被用来操纵他们。这足够令人担忧，以至于他们会付钱阻止它。但是，那些不在乎自己是否被广告轰炸的人怎么办？那些付不起钱的人怎么办？

这可能会导致两层互联网，一层为富人提供隐私，另一层剥削其他所有人。个人必须确定是否值得为每一次搜索、每一张地图、每一条标题、每一封电子邮件付费。对于那些注重隐私的人来说，这将是一个微妙的决定。一个人可能会为每次搜索支付0.001美分，但不是一美元。另一个人可能会发现一美元是一个公平的价格，而另一个人则不会觉得任何费用都值得支付。

更有可能的是，应用程序将以订阅为基础进行定价。我和大多数人一样，会经常使用搜索和地图应用程序，所以我可能会为它们支付合理的费用。谁来说什么是合理的呢？更好、价格更高的搜索工具会获得市场优势吗？或者，它会流向成本较低的应用程序，由广告商提供资金，这些广告商更改了结果，使之有利于自己？

社会影响

在20世纪70年代的美国有一种说法：如果他们发动了一场战争，但没有人来怎么办？不久的将来，我们很可能会问，如果他们出卖隐私，却没有人买下怎么办？

近年来，通过了一系列法律来保障数据隐私，或者至少让侵犯隐私的行为对违法者来说代价高昂。这些法律的通过，至少在理论上，是基于每个司法管辖区人民的意愿。如果对隐私进行定价导致很大一部分人，也许是大多数人选择放弃隐私，那么这对社会对个人信息保密的承诺有什么意义？

隐私进入市场会不会反常地削弱对它的支持？目前还不清楚这是否会发生，但这种可能性应该会让隐私倡导者犹豫不决。如果有证据表明人们不在乎，那么下一项限制使用个人信息的法律可能会变得更难在立法机构获得通过。

隐私提供

隐私是一种商品吗？或者，是否有一系列隐私可能会被出售？也许市场会支持不同级别的隐私，就像它支持不同级别的飞机座位、信用卡和苏格兰威士忌的溢价一样。也许铜牌级别的隐私将允许应用程序供应商将个人数据出售给商业企业，而不是政府。只有白金级别的隐私才会禁止向任何人发布个人信息。这就是我们想要的数据处理方式吗？这是我们想要的那种社会吗？

隐私不能用金钱、盒子或瓶子来传递，所以如果有人买了隐私，这个人怎么知道他或她收到了隐私呢？例如，假设有人在搜索和地图应用程序中为隐私付费，而不是在图像应用程序中。如果此人计划在法国南部度假，查看太阳之路（Route de Soleil）的说明，看看蔚蓝海岸（Côte d’Azur）的照片，他或她可能会被戛纳和尼斯的餐厅广告淹没。这是地图应用程序中隐私保护的失败，还是图像应用程序中的隐私缺失？买家怎么可能知道呢？

如果买方甚至都不知道，如何执行与应用程序供应商签订的默示合同(或者，也许是显式合同)？如今，对成百上千个应用程序的任何使用都会产生个人元数据的短暂踪迹，供应商可以将这些元数据货币化，出售给那些想知道用户想要购买什么、他们在哪里以及他们要去哪里的人。在可能出售隐私的未来，这些供应商需要识别谁在试图访问什么以及使用哪个应用程序。在返回所请求的信息之前，供应商需要确定此人的订阅是否已支付。如果是这样，则不会保留请求者的元数据。或者，如果它们被保留，这些元数据将不会被出售。隐私失误发生的可能性非常高。

图片来源于公共图片库

要做出的决定

我几乎没有一天不使用应用程序来搜索互联网、获取最新新闻、导航、听音乐和查看天气。我也没有一天不被与我可能寻找的东西有关的广告淹没。也许我对销售有很高的抵抗力，但我从来没有购买过那些广告中看到的任何东西，甚至没有点击过一个。如果我被这样监视，我真的介意吗？我会为拒绝接收商业信息付钱吗？如果是这样的话，多少钱？

这些都是我可能很快就要做出的决定。尽管我非常珍视隐私——无论是我自己的隐私，还是其他所有人的隐私，这样的社会才能宜居——但我不确定自己会做什么。

编者注：本文出自ISACA Journal 2022年第2期。尾注略。文章内容仅代表作者本人观点。

往期推荐:

作者：STEVEN J. ROSS，CISA, CDPSE, AFBCI, MBCP，是 Risk Masters International LLC的执行负责人。自1998年以来，Ross一直在撰写《华尔街日报》最受欢迎的专栏之一。

翻译：王彪，CDPSE，CDMP，CDSP，CISP-DSG，OCP，ISO27001LA，Azure Data，信息安全工程师(软考)，ISACA微信公众号特邀通讯员，天融信数据安全治理专家。

校对：谭辰菲（William Tan），CISSP,CISA,CDPSE,CRISC, ISACA微信公众号特邀通讯员，德国商业银行信息安全经理