被提議的關於重新識別的禁令阻礙了研究人員對安全漏洞的調查，並鼓勵犯罪分子利用這些漏洞。
在過去的幾年裡，一波又一波令人震驚的隱私濫用、數據洩露和濫用的浪潮席捲了世界上最大的公司和數十億用戶。與此同時，許多國家加強了數據保護規定。歐洲在2016年制定了《通用數據保護條例》，對透明度、安全性和隱私進行了強有力的保障。就在上個月，加州人獲得了新的隱私保障，比如要求刪除收集的數據的權利，其他州也將效仿。
作為世界上最大的民主國家，印度的反應一直很奇怪，並帶來了潛在的危險。作為一個新興的工程強國，印度影響著我們所有人，其網絡安全或數據保護措施值得我們密切關注。從表面上看，印度2019年提出的《印度數據保護法》似乎效仿了新的全球標準，比如《被遺忘權》。其他要求，例如必須在位於次大陸的系統中存儲敏感數據，可能會對某些業務實踐造成限制，一些人認為這些要求更具爭議性。
該法案的一個特點是受到的檢查較少，但可能最令人擔憂的是，它將如何將非法重新識別用戶數據定為犯罪。雖然看起來很謹慎，但這可能很快就會讓我們這個互聯的世界面臨更大的風險。
什麼是重新鑑定?在公司處理用戶數據時，特殊的算法會將位置跟蹤和醫療記錄等敏感信息與識別電子郵件地址和護照號碼等細節信息分離開來。這叫做去識別。它可能是反向的，因此組織可以在需要時恢復用戶身份和數據之間的鏈接。只要技術設計是安全可靠的，合法各方進行這種受控的重新鑑定是經常發生的，而且是完全適當的。
另一方面，如果一個惡意的攻擊者想要得到被刪除的數據庫並重新識別這些數據，網絡罪犯將會獲得非常有價值的戰利品。正如我們在持續的數據洩露、洩露或網絡間諜活動中所看到的那樣，我們的世界充滿了試圖利用信息系統弱點的潛在對手。
印度可能是對這種威脅的直接回應，打算禁止未經同意的重新鑑定(也就是非法的重新鑑定)，並對其進行經濟處罰或監禁。雖然禁止潛在的惡意行為聽起來很有說服力，但我們的技術現實要複雜得多。
研究人員已經證明，由於設計粗心，重新識別存在風險。以澳大利亞最近發生的著名案件為例。202018年，維多利亞州公共交通管理局與一場數據科學競賽的參與者分享了其非接觸式通勤卡的使用數據模式。這些數據被有效地公開。次年，一組科學家發現，有缺陷的數據保護措施允許任何人將數據與通勤者聯繫起來。
幸運的是，有一些方法可以通過適當使用技術來降低這種風險。此外，為了確定系統的保護質量，公司可以對網絡安全和隱私保障進行嚴格的測試。此類測試通常由專家與控制數據的組織協作完成。研究人員有時可能在不知情或未經組織同意的情況下進行測試，但仍會本著誠信和公眾利益的原則行事。
當在此類測試中發現數據保護或安全缺陷時，罪魁禍首不一定總是得到及時解決。更糟糕的是，通過新法案，軟件供應商或系統所有者甚至可能會對安全和隱私研究人員採取法律行動，從而完全阻礙研究。當研究被禁止時，個人風險計算就會發生變化:面對罰款甚至入獄的風險，誰敢參與這樣一項有益於社會的活動?
如今，企業和政府越來越認識到對安全或隱私保護層進行獨立測試的必要性，併為誠實的個人提供顯示風險的方法。2016年，英國數字、文化、媒體和體育部打算禁止重新識別時，也提出了類似的擔憂。幸運的是，通過引入特殊的例外，最終的法律承認了研究人員在工作時考慮公眾利益的必要性。
這種全面徹底禁止重新識別的做法，甚至可能會增加數據洩露的風險，因為用戶可能會覺得，對他們的系統進行隱私保護的動機更少了。直接接收安全研究人員的反饋，而不是冒著信息被其他潛在的惡意方獲取的風險，顯然符合決策者、組織和公眾的利益。法律應該允許研究人員誠實地報告他們發現的任何弱點或漏洞。共同的目標應該是快速有效地修復安全問題。
將研究人員工作的關鍵部分定為刑事犯罪可能會造成意想不到的傷害。此外，像印度這樣有影響力的國家制定的標準有可能在世界範圍內產生負面影響。作為一個整體，世界無法承受阻礙網絡安全和隱私研究的風險。
閱讀更多 吃瓜分享 的文章
