立即捐款

媒體

網絡,其實點先叫「安全」?

網絡,其實點先叫「安全」?
廣告

廣告

圖:部份素材源自網上。

十月尾,筆者代表獨立媒體(香港)出席兩個有關私隱與網絡安全的活動。其中一個有關「歐盟-美國安全港」失效的座談會,嘉賓的分享,讓我反思我們常說的「網絡安全」究竟是甚麼。

座談會以〈歐盟廢除「安全港」——限制資訊流通可保私隱?〉為題,邀請了三位不同界別的講者就題目分享。徐洛文(Lokman Tsui)在回應「限制資訊流通可保私隱?」一主題前,宏觀地開展有關「甚麼是網絡安全」的討論。

點先叫「安全」?

他首先分析「安全(Secruity)」二字,其實在不同的組群身上會有不同的定義。三個最主要的組群是:政府、網絡供應商(ISP)、用戶。三者由上而下——政府的「安全」,當然是可以盡情地監控市民,掌握情報,有效管治; 網絡供應商的「安全」,就是賺錢(畢竟從商)及好好保護影響商業決策的數據; 用戶的「安全」,就是資料只會在「知情」的情況下,交到第三者手中或公開,即我們經常說的「私隱」。

政府的「安全」:監控

徐洛文接著從政府的「安全」說起,政府的監控其實也分兩種——「勾線」(wire tapping,在通話期間截取資料)及「要求取得用戶的資料」(users’ data request,向網絡供應商正式或非正式地索取)。前者,政府只要有強勁監控網絡與團隊就可以隨時做到; 當然有法律監管政府「勾線」情況,但在「國家安全」及「偵測嚴重罪行」這兩個免死金牌下,個人私隱與企業利益,大多要名正言順地讓步。

後者,政府就要與網絡供應商合作;因為用戶透過網絡發放的資料,除了在傳輸的過程裡可以「勾線」截取資料外,最後一定有備份儲存在網絡供應商(特別是電話公司,Telco)的儲存庫。儲存庫裡除了用戶提供的個人資料,如電話號碼、電郵地址、住址、身份證號碼、用戶網際網路協定地址(IP地址)及登入紀錄外,更有用戶的的通訊內容與聯絡人紀錄。網絡供應商向政府披露用戶資料,固然有「實務守則」; 然而在實際的操作上,網絡供應商大多十分「配合」政府或執法機關的索取資料要求,並無太多的審查。

網絡供應商應增透明度:「數據保留」欠規管

因此我們常說網絡供應商要增加「透明度」的原因也正正在此,讓用戶知道自己的資料有否被擅自取用。網絡巨頭如GoogleFacebook也有發表透明度報告,可惜電信企業卻暫時未見有相關報告。


圖:提倡網絡自由的國際組織「Access」發表2015年度「透明度報告指標」,Google及Facebook等也在列中。報告顯示由2010起,短短5年間,「透明度報告」已成網絡供應商必備的新基準。

筆者就拿香港作例,香港也缺乏對數據保留(data retention)的規管。本年世界各地對「數據保留」的規管有不同的發展,當政府倡議要求網絡供應商(如電信企業、社交網絡)保留用戶數據一段法定時間(半年至三年不等),以協助打擊犯罪; 荷蘭法官用私隱理由否決,澳洲則在國家安全法下通過,電信和互聯網服務供應商必須將用戶資料保留兩年。

歐盟「用錯藥」:變相鼓勵「資訊本地化」

徐洛文比喻就如「用錯藥」,即使歐盟限制資訊流通是站在人權立場,原意是充權保私隱;然而限制數據輸送(data transfer)除了對保障私隱無針對性的效用外,更損害資訊自由。因限制數據輸送就如同鼓勵「數據本地化(data localization)」(即不許本地數據流到國外),極有可能會成為政府監控市民,摧毀資訊自由的藉口;最佳例子就如中國及俄羅斯。

為何「數據本地化」非保障私隱的「解藥」呢?徐洛文舉例,無論站在政府、網絡供應商,還是用戶的立場,就如我們用電腦儲存資料會「備份(back up)」,保障資料不會因電腦故障或無意間把資料刪除而流失資料——把資料傳送到國外「備份」,或四處流傳,也可以是保障資料「安全」的方法。

立法非保私隱的唯一途徑

徐洛文指出,立法並非保私隱的唯一途徑。當然法律相對最具約束力,就如歐美各國訂立已久的「資訊自由法」,就政府及網絡供應商取用用戶資料,訂立具法律管制的條文;至少有法可依。


圖:加拿大的「Open Media」曾發起網絡行動,名為「Access my info」,讓網民可透過此網站向電話公司查詢取用了用戶多少個人資料,並指出在加拿大的私隱法下,電話公司是有責任回覆用戶的查詢。行動極速廣傳,網民一呼百應;結果成功向政府施壓,立例管制電話公司取用用戶資料。

但我們也須思考如在科技層面,網絡供應商是否有責任把用戶資料加密(encrypted),又或設立更多加密的途徑與方法供用戶選用?網絡供應商又是否該增加取用用戶資料的透明度?用戶又有否提升自己對保障資料的敏感度,如只提供必要的資料或有效運用加密的技巧?專責保障及推廣「私隱」的公共機構(如香港的個人資料及私隱專員公署)如真的希望全面提升市民對私隱的意識,是否該設立更多的渠道,讓公眾可以詢問政府及網絡供應商取用了用戶多少個人資料?

網民:須藉監察有權者 捍衛自身權利

蔡騏分析,歐盟與美國本身已對「私隱」二字有不同的取態——「數據(Data)」對美國而言,就如「貨幣(Currency)」;即支持數據流通以便商貿發展,私隱議題則放置在較次要的位置。而歐盟則站在人權立場,認為私隱是人的基本權利;有限制的數據流通,可讓網民充權,提升保護個人資料的意識。

但蔡騏補充,歐盟近年積極提倡私隱的動機其實也不全然純粹——在美國的「斯諾登」事件,揭發美國國安局在世界各國設置大形監控網絡後,歐盟明顯希望重奪「數據流通」的主權,重奪那在「網絡保安」上曾被美國落盡的顏面。


圖:2013年,斯諾登揭發美國國安局的全球監控計劃。

筆者反思,歐盟及美國在「跨境數據流通」方面固然各有立場,在私隱是基本人權的前提下,也不代表商業發展不能並存。因此更現實的做法,核心就在網民如何在「政府」及「商業」兩股壓倒性的勢力下,藉「監察」握有權力者,捍衛自己的個人資料及資訊自由的權利。

香港:未立法規管跨境數據流通

蔡騏指出,香港其實一直未就跨境數據流通立法。筆者翻查資料,《個人資料(私隱)條例》(第486章)於一九九五年制定,但當中的第33條尚未實施。該條文就移轉個人資料至香港以外地方的行為作出規管。然而相隔二十年仍未落實推行,在本年初有議員再就此在立法會提出質詢時,政制及內地事務局局長譚志源的書面答覆結論仍是須作「評估研究」。


圖:在本年8月履新,現任個人資料私隱專員黃繼兒。

據蔡騏觀察,香港在數據流通方面的政策,也多參考歐盟。因此即使歐盟廢除「安全港」看似暫與香港無直接關係,但香港在跨境數據流通方面的保障與討論,明顯十分落後。筆者不禁反思,究竟香港這依仗自由貿易的商業城市,數據流通政策的方向將何去何從?在我們「背靠祖國」的同時,香港一直謹守的資訊自由,會否只是必須消失的幻夢?

總結:「網絡安全」關我咩事?

相比起最近一連串的恐怖襲擊,在「生命安全」的強大命題下,似乎一切議題都須先讓步。但為何斯諾登寧奉上「生命安全」,也要捍衛「網絡安全」,提倡私隱?

他說:「對許多小孩來講,互聯網是個自我實現的工具,網路讓人們探索自己的能力、思索未來要成為甚麼樣的人,但那只有在我們能保持私隱和匿名之下才有可能。我很擔心,我是能夠享受這種自由的最後一個世代。我沒有要摧毀這些系統,只是要讓大家決定它們是否該繼續下去。」

我想,我們必須承認,網絡已不再是可有可無、消遣娛樂的玩具;它是一種通向權力與金錢的工具,是一種社會、文化、歷史的盛載,也是建立自我的媒介,現代生活的「必須品」。

所以「網絡安全」關我咩事?也許我們花一天,觀察一下自己使用「網絡」的次數;再想像你一切的「網絡足跡」已被有權力者掌握,不再「安全」。你的任何言論都將成為有權者的情報,在他們用「國家安全」的旗幟取用你的資料時,最「安全」的,大概只有「國家」;而不是居住在內的我們。

註:
徐洛文——香港中文大學新聞及傳播學系助理教授、前谷歌 (Google) 亞太區互聯網表達自由負責人
蔡騏——法政匯思成員、高級法律顧問
鄺頌晴——鍵盤戰線發言人

廣告