分类：
2008-10-15 16:50:03
对于大多数IT组织来说，确保企业数据是最首要任务。因此，企业需要提防最新的风险，在安全防范方面投入不少IT运营成本，从而让企业置于良好的发展环境中。
关于IT安全方面的态度，我们也需要转变。以前如果有人抢劫银行，我们会痛恨那些作恶多端的不法之徒；现在，如果有人成功侵入公司的电脑系统，我们应该质疑系统的安全性，是公司未能提供足够的安全保障。
实现这一转变的是一系列相关法律法规的出台。据悉，这些法律旨在保护个人数据的机密性和完整性，以免被人盗取受到侵害。如果有人违反这些法律规定，将可能面临严厉的法律制裁。
本文，将向你简要介绍这些相关法律内容，并指出作为公司组织应该承担的两项义务：落实增强数据安全保护措施的义务；告知安全漏洞的义务。
履行安全保护义务
拟定公司的所有信息安全义务，不可能依靠某个单一的法律法规来实现。相反，只有不断完善的的法律法规，才能满足不断变化的数据安全保护需要。
相关的法律法规也比较多：隐私权保护法要求公司保障私人的数据安全；电子交易法要求电子记录具有完整性和可利用性；公司法则要求采取适当的措施，保障公众和股东、投资者、商业伙伴的利益；反不正当竞争法则解释了包括缺乏安全可靠性的不公正商业准则。
近期的一些诉讼也表明，企业未能对其数据安全提供足够的保护。例如，MBNA的美国银行因一个客户的身份资料遭到盗用而被起诉，就是一个未能提供足够安全的良好例子。
除了法律章程和法院裁决需要履行的义务外，公司还需要根据自身所签订的合同承担额外的安全义务。举例来说，任何涉及到商业机密信息的外包或者类似，都需要根据合同内容履行相应的数据保护安全义务。同样，企业只有做出一些安全承诺，才能参加某些商业组织活动。比如，商家要接受信用卡，必须事先同意并遵守PCI（Payment Card Industry，支付卡行业）数据安全标准。
全身心投入以确保信息安全，是一个组织应该履行的责任和义务。通过在隐私政策、公司网站或者广告资料里面事先申明，可以根据收集到的信息对应不同的安全级别，制定不同的索赔标准。这样，将有助于加强公众对企业义务执行的监督。
[1]
|
|
