高校網(wǎng)絡安全問題處在輿論聚光燈之下。近日，網(wǎng)傳中國人民大學一名畢業(yè)生盜取全校學生的個人信息，并制作網(wǎng)頁任人查看，還可給該校女學生的顏值打分。

7月2日，中國人民大學官方微博發(fā)布情況通報：昨日學校已關注到部分學生信息被非法獲取的情況，對此高度重視，第一時間聯(lián)系警方，目前正積極配合警方等相關部門開展調查。學校強烈譴責侵犯個人隱私、危害信息安全的行為。感謝社會各界對學校的關心。

7月3日，據(jù)@平安北京海淀，針對“中國人民大學部分學生信息被非法獲取”的情況，海淀警方接到報警后，立即開展調查。經(jīng)查，嫌疑人馬某某（男，25歲，該校畢業(yè)生）涉嫌非法獲取該校部分學生個人信息等違法犯罪行為。目前，馬某某已被海淀公安分局依法刑事拘留，案件正在進一步調查中。警方高度重視公民個人信息保護，對于相關違法犯罪，將依法予以嚴厲打擊。

信息如何泄露？

馬某某是通過何種渠道獲取的學生信息，目前尚未有官方信息披露。

據(jù)《中國新聞周刊》報道，馬某某就讀期間，曾在學校信息中心勤工儉學，做過學生助理，“學生助理有機會使用到高權限賬號，應該是那時通過超級管理員登錄的?！?/p>

“從泄露的信息來看包含學號、姓名、學院、家鄉(xiāng)、生日、照片等，應該是通過學校的學生檔案庫拿到的相關數(shù)據(jù)?！?月3日，互聯(lián)網(wǎng)安全組織“網(wǎng)絡尖刀”創(chuàng)始人曲子龍向澎湃新聞記者分析，部分高校的系統(tǒng)可能較為陳舊，學生在校園網(wǎng)里很多系統(tǒng)基本是‘裸奔’狀態(tài)，防護措施未必到位。對于具體的數(shù)據(jù)獲取方式，可能是通過黑客手段，也有可能是掌握了一定權限，目前尚不好判斷。

“大部分學校的內部系統(tǒng)的組成都很復雜，不同系統(tǒng)來源于不同供應商，有的理工類學?？赡苓€會‘自研’，各系統(tǒng)之間的代碼語言、系統(tǒng)環(huán)境、應用程序各不相同，加上學校畢竟不像企業(yè)一樣，有專業(yè)的運維、安全團隊來維護，在安全的投入上參差不齊，可能會存在較大的安全隱患?！鼻育埍硎?。

“在數(shù)字化社會，不法分子違法獲取公民個人隱私信息的行為呈現(xiàn)多場景、多維度、技術化的特征?！比A東政法大學競爭法研究中心執(zhí)行主任翟巍告訴記者，這類違法獲取、使用隱私信息的行為不僅侵犯個人的隱私權及數(shù)據(jù)自決權益，而且會衍生出侵害個人人格尊嚴等負面后果，“大規(guī)模個人隱私信息不可逆地被公布、泄露，還可能被犯罪分子用于詐騙等刑事犯罪，導致社會公共安全風險?！?/p>

如何防范風險？

“此次信息泄露事件的發(fā)生，說明高校作為《中華人民共和國個人信息保護法》上的個人信息處理者在網(wǎng)絡信息安全保護上尚存在一定漏洞，也為相關高校敲響警鐘?！蹦祥_大學法學院副院長、教授，競爭法研究中心主任陳兵認為。

“根據(jù)《中華人民共和國個人信息保護法》，個人信息處理者是個人信息保護的主要責任人，應與個人信息提供者一道發(fā)揮個人信息保護的作用。個人信息處理者應當對其個人信息處理活動負責，并采取必要措施保障所處理的個人信息的安全。此前，人們對個人信息處理者的定義普遍是企業(yè)、政府等，但是往往忽視高校也有海量數(shù)據(jù)，對于個人信息處理者的范疇需要做全面、準確、整體的認識。”陳兵表示。

學校應該如何防范此類風險再次發(fā)生？翟巍建議，首先要強化網(wǎng)絡信息安全的硬件和軟件建設，應當采取技術措施，全面評估自身信息存儲、處理設施的安全性，并進行必要的技術升級和設施替換，以有效監(jiān)測、防御、應對網(wǎng)絡信息安全風險。

其次，要設定學校內部的網(wǎng)絡信息安全負責人，對學校內部負責網(wǎng)絡信息安全的人員進行定期技能培訓與技能考核。第三，要制定學校網(wǎng)絡信息安全事件處置預案，確保能夠迅速、有效處置網(wǎng)絡信息安全事件，并采取具有針對性的補救措施。第四，要推動學校網(wǎng)絡信息安全的制度性建設，制定全鏈條、全天候、全場景的學校網(wǎng)絡信息安全規(guī)范，確立學校網(wǎng)絡信息安全行為規(guī)范，在教師守則和學生守則中列入保護網(wǎng)絡信息安全的義務和責任條款，引導教師、學生提升網(wǎng)絡信息安全保護意識。

承擔哪些法律責任？

對于學生的信息泄露，相關當事人和學校是否應當承擔法律責任？一位律師告訴記者，從相關報道來看，學校顯然沒有盡到防止未經(jīng)授權的訪問、以及防止相應的個人信息泄露丟失的義務。這說明學校有可能沒有盡到《中華人民共和國個人信息保護法》第51條所規(guī)定的義務，在其中的一項或幾項措施上出了問題。

上海申倫律師事務所律師夏海龍向記者表示，這位人大畢業(yè)生所獲取的學生信息包括人像照片、姓名、學號、生日等，均屬于《個人信息保護法》所規(guī)定的個人信息甚至敏感個人信息，在未取得信息主體同意前不得獲取、處理，“本案中，由于行為人獲取的信息數(shù)量龐大，因此可以推測其采取了侵入相關信息系統(tǒng)等非法手段，可能涉嫌非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪、侵犯公民個人信息罪等多個罪名?！?/p>

“如果學校在管理學生數(shù)據(jù)時未依法采取必要保護措施，根據(jù)《個人信息保護法》第六十六條、《數(shù)據(jù)安全法》第四十五條等規(guī)定，可能會受到罰款等行政處罰。此外，學校及該畢業(yè)生也可能被相關學生提起民事侵權訴訟或被提起公益訴訟，承擔民事賠償責任?！毕暮｝埍硎?。

(本文來自澎湃新聞，更多原創(chuàng)資訊請下載“澎湃新聞”APP)