基于我国网络购物环境中的个人信息安全问题研究

张美婷 张玉清

一、引言

在互联网浪潮的推动下，网购作为电子商务的主要形式，越来越渗透到消费者的生活之中。根据CNNIC最新发布的“2014年中国网络购物市场研究报告”可知，截止于2014年12月，我国网购的用户规模达到3.61亿，较2013年底增加5953万人，增长率为19.7%。网络零售交易额占到同期社会消费品零售总额 (26.2万亿元)的10.6%，高达2.79万亿元，同比增长49.7%。全年交易总次数173亿次，年度人均交易次数48次。在网购繁荣发展的背景下，个人隐私泄露的风险也大大提升。

据360互联网安全中心发布的“2014年上半年中国网购安全报告”，调查期间360网购先赔服务收到来自用户的有效理赔申请共22664例，包括交易纠纷类理赔申请9863例和网络欺诈类理赔申请12801例。前者报案金额556万元，人均损失563元，后者报案金额高达2545万余元，人均损失较2013年增长37.2%，达到1988元。目前中国网购正面临较高的安全风险，网购过程中个人信息泄露导致的一系列后果，不仅危害消费者的权益，更影响了网购行业的健康发展。因此，对网络购物环境中个人信息安全问题的研究十分必要，提出网购安全的防护措施非常有意义。

二、我国网购环境中的个人信息安全问题

(一)网购导致个人信息面临的威胁分析

1、威胁个人信息的渠道分析

笔者在总结前人经验的基础上，对威胁个人信息的渠道进行扩充和分类。分类依据的是消费者自身主动无意识的造成个人信息的泄露，主要体现在网络购物的流程中，和被动不可控的造成个人信息泄露，体现在新增的两个渠道，分别是物流和大数据技术 (如图1所示)。

图1 威胁个人信息的渠道分析图

2、个人信息面临的具体威胁分析

第一，注册与登录过程。网购平台是网购的载体，网购前必须在网购平台上注册账号，所以消费者在这个过程主动提供了个人信息如姓名、性别、年龄、邮箱、手机号码等。而商家和网站轻易的获得了消费者的信息。此时不能确保商家和网站会不会将这些信息泄露，所以就埋下安全隐患。一旦信息被泄露用于不合理甚至违法的活动，可能会导致用户身份被盗用，以及造成消费者财产的损失等。

第二，购物浏览页面过程。消费者在网上商城浏览商品时，浏览器会相应在网络服务器上留下日志文件，消费者的网络地址、传递查询的URL等信息都会遗留。这个过程还会产生自动标识用户经常使用到的账号、密码及浏览器组合的Cookie文件。商家可以运用Cookie跟踪技术，得到消费者经常浏览的页面，购买的商品，以及消费的金额和次数等信息。

第三，填写订单过程。为了进行货物的邮寄，订单上面必须填写消费者真实的联系方式和收货地址。送货者和商家从订单信息上就可了解消费者的信息，导致信息泄露。并且根据订单上消费者购买的商品信息，也可以反映出消费者的购物倾向和购买能力。

第四，网络支付过程。网络支付过程就是账户资金转移的过程。在此过程中，不法分子往往通过钓鱼网站、盗号木马、交易劫持木马三种方式来盗取用户的账号和密码，从而转移消费者的账户 (如支付宝、网银)资金。

第五，物流信息流流动过程。消费者确认购买商品之后，货物通过物流渠道送达至消费者手中。填写了消费者个人信息的快递面单直接暴露在外包装上面，并且收货单在事后往往不会进行撕毁处理，使个人信息安全受到威胁。物流中信息的保护成为当前网购中个人信息保护的短板。

第六，利用大数据技术对个人信息进行非法开发利用的过程。大数据的价值不仅仅来源于它的基本用途，更多的是源于对其进行的二次开发利用。现有的大数据技术能够依据大量复杂无序的信息得出巨大价值的商业信息，那必然也可以发现个人的隐私信息，加剧了个人信息泄露的风险。

(二)个人信息面临威胁的原因分析

个人信息面临威胁的原因可以分为主观原因和客观原因。从主观原因来看，是消费者自身缺乏维护个人信息安全的意识。而客观方面就有以下几个原因。

1、购物网站的安全性差

购物网站作为消费者购物的平台，强制搭载了消费者许多的个人信息。但是随着互联网技术的普及和快速发展，购物网站的规模越来越大，复杂性也越来越强，同时安全漏洞也越来越多。目前针对购物网站的漏洞进行恶意攻击的现象也是不断发生，例如有些不法分子通过攻击正在进行网上消费的消费者的计算机，从而使得黑客通过消费者的网上银行进人银行数据库盗取消费者信息，给消费者造成经济损失。

2、数据所有权问题导致个人信息安全保护的边界模糊

大数据时代下，全社会信息资源被开放分享和开发利用，导致了国家、企业、个人之间的数据所有权不明晰的问题。个人信息既是社会经济资源也是单独的人格利益，因此信息保护的边界划分也是个难题。所以，当前个人数据的所有权和开发权的归属问题仍在商讨之中，我国个人信息安全保护的边界仍然模糊。

3、经济利益催生个人信息系统性风险

随着大数据时代的到来，个人信息的收集变得便捷和全面。通过对公民身份类、交易类、互动类、关系类等各类数据关联聚合，不仅可以还原和预测个体的社会生活全貌，还可以从中挖掘出巨大的经济效益。经济利益催生出围绕个人信息采集、加工、开发、销售的庞大的数据产业链。

4、立法不全，执法困难

我国法律体系中，《行政法》、《刑法》、《宪法》等法律都不同程度的涉及个人信息保护，但总体而言过于零散。2013年《消费者权益法》中新增入个人信息保护的内容，但具体可操作性不强，当前我国并没有建立起专门的个人隐私保护法。如果个人信息被泄露，消费者如何取证、维权，相关经营者将获怎样的处罚，都有待进一步规定。

三、我国网购环境中的个人信息安全防范对策分析

注重网购环境中的个人信息安全防范，不仅仅是为了维护消费者的合法权益，更是为了维护网购的健康发展。

(一)主观层面的相关建议

从主观层面出发，主要是提高网购消费者维护个人信息的安全意识，并且掌握一些保护个人信息安全的基本方法。具体建议如下:

1、仔细处理网购货品的包装。处理包装盒前，应将快递信息标签上收件人姓名、电话和地址等敏感信息涂黑或剪掉。

2、养成良好的上网习惯，谨防网购低价陷阱。当前存在一些打着“秒杀价”口号的商家，他们是为了收集消费者的个人信息，所以往往不发货、发假货，甚至收款后“关门大吉”。

3、维护电脑、手机安全。网购者应时刻做好电脑的安全保护工作，安装杀毒软件并及时升级。同时，智能手机也要安装能够进行安全防护的软件，谨慎使用免费的Wi－Fi，慎重安装甚至放弃安装获取权限较多的应用软件。

4、加强密码保护。密码不仅是最基本最常用的自我保护措施，更是网络确权的第一道屏障，所以消费者一定要保管好自己的密码，并且经常性的在使用一段时间后采取字母、数字和符号组合的形式进行修改，增强破解的难度，提高密码的安全性。

5、密切关注银行和其他资金账户。银行、信用卡公司、网上第三方支付平台都会形成消费记录单，查看非常方便，网购者要养成经常性核对账单的习惯。此外，要密切关注大宗消费、异常消费以及在某一个商家重复多次消费等反常消费的通知，尤其要留意陌生账号产生的费用。

(二)客观层面的相关建议

从客观层面出发，政府和行业协会是保护交易打击违法行为的裁判员，政府通过加强立法和出台相应的行政法规，行业通过规范业务流程和加强自律等形式来保障电子商务下的个人信息安全。而电子商务网站作为网购的平台要不断的提高其网站的安全性，从源头防范消费者的个人信息安全问题。具体建议如下:

1、健全法律法规，明确执法流程

我国法律体系中，涉及个人信息保护的法律过于零散。建议通过建立个人隐私保护法，整合已有的法律条例，明确个人隐私数据保护的范围。规定对个人数据收集、使用、发布、共享的合理权限，对违反规定的企业组织以及所有参与方，以对个人生活或财产造成后果的严重程度为评判标准，予与严厉的刑事处罚，承担相应的刑事责任。

2、提高行业自律和加强行业的监管

为了提高行业的自律性，应建立责任承担的隐私保护模式，该模式强调数据使用者应该承担责任。通过制定相关的行业规定对侵权行为以及违法行为进行约束，同时制定相关行业从业人员的社会责任、信息安全技术以及信息交流等方面的道德规范，从各方面来加强互联网的行业自律性，保证公民信息的安全性。提高行业自律的同时也要加强行业监管，建议政府主管部门依法加强涉及个人信息的产品和服务的检测和认证，鼓励建立第三方安全评估与监测机制，加强对个人信息接触界面、流转环节和传播渠道的监测和管理。

3、电子商务网站建立安全管理体系

保护网络用户的信息安全与隐私是电子商务网站应尽的责任与义务，因此电子商务网站要建立完善的安全管理体系来保障个人信息安全。首先，建立专门对客户信息进行监控和管理的敏感岗位，防止操作人员监守自盗，杜绝客户信息从网站内部被盗取、倒卖以及其他直接损害客户利益的行为。同时，加强技术手段保护信息安全水平。技术是个人信息保护与反保护的核心，正是因为网站自身监控不足，不法分子才能通过各种手段获取客户信息。网站应及时更新技术防范水平，快速堵塞程序漏洞和泄露渠道。

4、大数据下个人信息保护技术

通过阅读大量文献，提出采用分级分类保护技术结合在数据层、应用层和数据展示层对个人信息进行保护的技术防护手段，具体内容如下:

分级分类保护技术是依据四个划分要素，按照保护级别的高低对个人信息进行分类分级管理 (如表2所示)。

表2 个人隐私保护范围及其分类依据

数据层的信息保护主要是指对数据的存储和管理的保护。采取数据加密和访问控制的双重机制，防止入侵者窃取和篡改重要数据，对用户行为进行审计，将用户的行为记录在审计日志中，作为重要事件的追踪依据。同时引入第三方审计，也称隐私保护公共审计，在不对用户新增数据威胁的前提下检测数据的安全性。应用层的信息保护体现在数据传输前进行匿名，同时使用差分隐私保护技术，在数据集中加入满足特定分布的随机噪声，使得接受者对收到数据无法作关联推断，形成高级别的隐私保护。数据展示层的信息保护通过采用细粒度的访问控制机制。在这种机制下，用户可以控制自己的敏感信息是否对外发布或者对哪些人发布，或者通过编辑许可约束限制权或指定条件进行限定，从而在保护个人信息时掌握更加主动的控制权。同时企业也可以依据用户的设置来确定信息的保护范围和保护级别，并对他们的信息进行更为合理的存储、管理、使用和发布，在提供更人性化的服务的同时保护个人隐私。

图2 个人隐私保护技术图

四、总结

本文是在阅读大量文献的基础上，基于最新的网络市场和网络安全现状为背景，对我国网购环境中的个人信息安全问题进行研究。本文的创新之处有两点，一是提出从消费者自身主动无意识和被动不可控两个角度对威胁个人信息的渠道进行了区分和扩充，增加了物流和大数据技术两个渠道，构建了威胁个人信息的渠道分析图。二是构建了大数据下个人隐私保护技术图。本文的局限性在于对大数据的研究还处于较浅的层面，提出的个人隐私保护技术还可继续完善，所以针对大数据时代下个人信息安全问题的研究在今后还可继续深入。

［1］中国互联网络信息中心.2014年中国网络购物市场研究报告［EB/OL］. http://www. cnnic. net. cn/hlwfzyj/hlwxzbg/dzswbg/201509/P020150909354828731159.pdf.

［2］360互联网安全中心.2014年上半年中国网购安全报告［EB/OL］.http://wenku.baidu.com/linkurl=QBxKSNA79HbeeaSwsbkcPEdBK eyrrc7i3SqGLKXjfiDlL8Inq9DZ_9jV4LEy6omzvPkslwkkHGTmmGf7aOsQ zJr_n4HFHk9E4Tw5MprHrTS.

［3］林祥星.网络购物过程中关于个人信息安全问题的剖析 ［J］.信息安全与技术，2013，(3)，3－5.

［4］商晓阳.网购中个人信息安全面临的威胁及其主动防范对策［J］.科技信息.2013(9):159.

［5］唐雅雯，王鲁一，吕文清，李柯滢.以网络购物个人信息安全现状为角度对隐私权保护的研究［J］.新经济，2015:17－18.

［6］刘雅辉，张铁赢，靳小龙，程学旗.大数据时代的个人隐私保护［J］.计算机研究与发展.2014.52(1):229－243.