五條準則杜絕與客戶溝通中的信息泄漏
網絡信息泄漏可謂與客戶溝通中的兵家大忌，近日洛基山銀行的一名員工不小心將包含機密信息的電子郵件發送到錯誤地址的Gmail信箱中。這幾乎導致一名顧客的私人信息泄漏。對該銀行來說，幸運的是，法院發出指令，要求谷歌關閉收件人的帳戶，并刪除發送錯誤的電子郵件，以防止信息被其它人獲得。不幸的是，一名完全無辜的第三者(該人的電子郵件地址被關閉)被銀行的錯誤操作帶來了很大的不便。
但愿一切都沒有發生過。懷俄明州的銀行數據安全策略可以防止此類信息泄漏問題的發生，如果不是這樣的話，所有其它銀行都采用的安全策略都是無效的。因此，在此前的一篇文章中這個問題很自然地被提出來了。該文詳細闡述了這個問題：
為什么銀行、公用事業公司和提供在線服務的其它公司，在機密數據處理方面沒有制定適當的安全策略，以防止此類信息泄漏問題的發生?它們為什么不讓用戶至少可以選擇使用標準化的安全保密技術來進行信息交流?為什么摩根大通銀行的網站不允許其客戶限制包含機密信息的溝通，這樣的話，他們才會選擇安全通道?
在建立自身的數據安全策略時，必須特別關注與公司外的客戶和委托人的交流，理想的策略應該包含以下的部分：
1、為了確保信息的安全，對所有的交流進行數字簽名加密，即使在它們當中沒有包含機密信息的情況下也要這么做。這時間，象OpenPGP之類的公共密鑰加密協議就是最佳的選擇。對于大型銀行來說，這樣可以確保接到電子郵件的是真正的客戶，包含數字簽名可以讓客戶和委托人識別出合法電子郵件和網絡釣魚類垃圾電子郵件的差別。
2、采用開放標準的加密協議對包括機密數據在內的所有交流信息進行加密處理。再重復一遍，象OpenPGP之類的公共密鑰加密協議就是最佳的選擇。加密的電子郵件將可以保護客戶和委托人免于遭受中間人類型的攻擊以及對本地網絡的數據嗅探和類似洛基山銀行員工錯誤發送電子郵件的意外信息泄漏等情況的威脅。因為，即使郵件被發送到錯誤的地址，沒有獲得授權的收件人也將無法讀取電子郵件。
3、要求客戶和委托人采用上面給出的數字簽名和加密方式，并在可能的情況下，進一步使用帶外驗證方式，以確保郵件帳戶的可靠性。作為第二種驗證方式，帶外通信，舉例來說，一個電話或者一個加密的數字簽名將會給客戶和委托人在進行信息驗證操作時提供很大的方便。
4、當對電子郵件進行數字簽名和加密處理限于不可行的情況下時，請不要發送電子郵件。利用其它的加密渠道，舉例來說，傳輸層安全協議(TLS)加密的網站就是可行的替代方案。郵遞員分發傳遞的傳統信件不屬于安全的渠道。不幸的是，對于埃利諾·米爾斯的問題“如果銀行將數據通過普通郵件發送到錯誤地址時，我們應該怎么辦?”答案和前面的問題是一樣的。銀行也通過美國郵政服務追回誤投的對賬單、信用卡和借記卡以及其它機密信息，并且假裝這從來就不是一個問題。你可能也收到在別人的銀行和水電費郵寄帳單，事實上，如果你沒有退回郵件的話，也不會有什么事情發生。
5、為了防止客戶和委托人出現關閉安全功能，以便更“方便”地使用的情況，確保安全功能處于默認設置中，并且禁止降低安全等級。當然，對于很多客客戶和委托人來說，他們并不認為選擇安全的加密通訊方式會帶來安全性，而是認為這是制造“不便”。這時，最好的做法就是讓他們退出。實際上，在告訴他們信息泄漏問題出現后可能的各種結果后，讓他們自己進行選擇。其余的，希望使用安全技術的人，就會從中獲益。
只要堅持下去，就會有更多的公司選擇這樣的方式，我想情況也就會變得越來越好。加密技術易用性的提高，使用效率的增加，會導致越來越多的人使用它們，因為，越來越多的公司有可能利用它們在內部進行工作。當然，所有這一切都依賴于客戶和委托人對安全和隱私信息的安全是否有足夠的關注度。
即使他們不這樣做，你也應該這么做。如果你有能力為客戶和委托人提供提供了安全的交流方式的話，就這樣做。如果他們接受了你的觀點，就有助于讓更多的人獲得安全。更重要的一點是，你可能會成為解決不安全網絡交流方式的長期方案中的一部分。
【編輯推薦】
