被提议的关于重新识别的禁令阻碍了研究人员对安全漏洞的调查，并鼓励犯罪分子利用这些漏洞。
在过去的几年里，一波又一波令人震惊的隐私滥用、数据泄露和滥用的浪潮席卷了世界上最大的公司和数十亿用户。与此同时，许多国家加强了数据保护规定。欧洲在2016年制定了《通用数据保护条例》，对透明度、安全性和隐私进行了强有力的保障。就在上个月，加州人获得了新的隐私保障，比如要求删除收集的数据的权利，其他州也将效仿。
作为世界上最大的民主国家，印度的反应一直很奇怪，并带来了潜在的危险。作为一个新兴的工程强国，印度影响着我们所有人，其网络安全或数据保护措施值得我们密切关注。从表面上看，印度2019年提出的《印度数据保护法》似乎效仿了新的全球标准，比如《被遗忘权》。其他要求，例如必须在位于次大陆的系统中存储敏感数据，可能会对某些业务实践造成限制，一些人认为这些要求更具争议性。
该法案的一个特点是受到的检查较少，但可能最令人担忧的是，它将如何将非法重新识别用户数据定为犯罪。虽然看起来很谨慎，但这可能很快就会让我们这个互联的世界面临更大的风险。
什么是重新鉴定?在公司处理用户数据时，特殊的算法会将位置跟踪和医疗记录等敏感信息与识别电子邮件地址和护照号码等细节信息分离开来。这叫做去识别。它可能是反向的，因此组织可以在需要时恢复用户身份和数据之间的链接。只要技术设计是安全可靠的，合法各方进行这种受控的重新鉴定是经常发生的，而且是完全适当的。
另一方面，如果一个恶意的攻击者想要得到被删除的数据库并重新识别这些数据，网络罪犯将会获得非常有价值的战利品。正如我们在持续的数据泄露、泄露或网络间谍活动中所看到的那样，我们的世界充满了试图利用信息系统弱点的潜在对手。
印度可能是对这种威胁的直接回应，打算禁止未经同意的重新鉴定(也就是非法的重新鉴定)，并对其进行经济处罚或监禁。虽然禁止潜在的恶意行为听起来很有说服力，但我们的技术现实要复杂得多。
研究人员已经证明，由于设计粗心，重新识别存在风险。以澳大利亚最近发生的著名案件为例。202018年，维多利亚州公共交通管理局与一场数据科学竞赛的参与者分享了其非接触式通勤卡的使用数据模式。这些数据被有效地公开。次年，一组科学家发现，有缺陷的数据保护措施允许任何人将数据与通勤者联系起来。
幸运的是，有一些方法可以通过适当使用技术来降低这种风险。此外，为了确定系统的保护质量，公司可以对网络安全和隐私保障进行严格的测试。此类测试通常由专家与控制数据的组织协作完成。研究人员有时可能在不知情或未经组织同意的情况下进行测试，但仍会本着诚信和公众利益的原则行事。
当在此类测试中发现数据保护或安全缺陷时，罪魁祸首不一定总是得到及时解决。更糟糕的是，通过新法案，软件供应商或系统所有者甚至可能会对安全和隐私研究人员采取法律行动，从而完全阻碍研究。当研究被禁止时，个人风险计算就会发生变化:面对罚款甚至入狱的风险，谁敢参与这样一项有益于社会的活动?
如今，企业和政府越来越认识到对安全或隐私保护层进行独立测试的必要性，并为诚实的个人提供显示风险的方法。2016年，英国数字、文化、媒体和体育部打算禁止重新识别时，也提出了类似的担忧。幸运的是，通过引入特殊的例外，最终的法律承认了研究人员在工作时考虑公众利益的必要性。
这种全面彻底禁止重新识别的做法，甚至可能会增加数据泄露的风险，因为用户可能会觉得，对他们的系统进行隐私保护的动机更少了。直接接收安全研究人员的反馈，而不是冒着信息被其他潜在的恶意方获取的风险，显然符合决策者、组织和公众的利益。法律应该允许研究人员诚实地报告他们发现的任何弱点或漏洞。共同的目标应该是快速有效地修复安全问题。
将研究人员工作的关键部分定为刑事犯罪可能会造成意想不到的伤害。此外，像印度这样有影响力的国家制定的标准有可能在世界范围内产生负面影响。作为一个整体，世界无法承受阻碍网络安全和隐私研究的风险。
閱讀更多 吃瓜分享 的文章
