安全与隐私：美国网络安全信息共享的立法博弈分析

方 婷,李欲晓

(1.西安交通大学 法学院，陕西 西安 710049;2.北京邮电大学 国际学院，北京 100876)



安全与隐私：美国网络安全信息共享的立法博弈分析

方 婷1,李欲晓2

(1.西安交通大学 法学院，陕西 西安 710049;2.北京邮电大学 国际学院，北京 100876)

美国网络安全信息共享目的、范围、主体和程序的条款规定引发了安全倡导者与私权拥护者关于安全与隐私的激烈争论，其中既有关政府使用共享信息的目的条款保障人类网络空间生存权得以实现,又有共享的网络威胁信息范围条款界定存在瑕疵，共享的政府参与主体条款违反正当法律程序规定，共享前的个人信息移除程序条款违反比例原则的要求；通过建立政府与私营企业的信任机制，增强共享政策、程序、措施实施的透明度，建立激励机制，制定信息共享协议等，能够有效实现网络安全信息共享立法中安全与隐私的博弈均衡。

网络安全信息共享；安全；隐私；网络威胁指标

全球化融合态势下，网络威胁信息成为网络防御的关键要素，及时共享和分析有价值的网络威胁信息已被视为新技术背景下提升整体网络安全态势感知能力的重要内容。为了回应在美国持续发生的一系列大规模网络攻击事件*2014年至2015年初，零售商塔吉特(Target)公司、易趣(eBay)公司、世界最大的家装零售商家得宝公司(Home Depot)、摩根大通(J.P.Morgan Chase)、医疗保险公司安泽姆(Anthem)公司、索尼(Sony)电影公司等企业相继遭到破坏性的网络攻击。，增强公共与私营部门共同应对网络安全威胁的能力，避免“网络珍珠港”(Cyber Pearl Harbor)事件的发生，出于改善政府与私营企业之间共享技术漏洞、网络入侵、恶意攻击等技术细节和预警信息的目的，网络安全信息共享立法已成为近年来美国国会优先考虑的事项*自2011年开始，支持和倡导网络安全信息共享立法的国会议员先后提起了多项有关网络安全信息共享的综合性和专门性立法议案，如《2011年促进和增强网络安全和信息共享效力法案》、《2011年网络安全强化法案》(H.R.2096，作为H.R.756议案在第113届国会再次提出)、《2011年网络情报共享和保护法案》(H.R.3523，作为H.R.624议案在第113届国会再次提出，作为H.R.234议案在第114届国会再次提出)、《2012年推进美国网络信息和技术研究及发展法案》(H.R.3834)、《2012 年网络安全法案》(S.2105)以及该法案的修正版本(S.3414)和替代版本(S.3342)、《2014年网络安全信息共享法案》(S.2588，作为S.754在第114届国会再次提出)、《2015年保护网络空间法案》(H.R.1560)、《2015年国家网络安全保护增强法案》(H.R.1731)，重点关注政府和私营企业之间有关网络威胁的信息共享。。其中，第114届国会众议院《保护网络空间法案》(H.R.1560)*2015年3月24日，众议院特别情报委员会(House Permanent Select Committee on Intelligence)提出《保护网络空间法案》(Protecting Cyber Networks Act,PCNA)，并于4月13日修订发布，最终于2015年4月22日在众议院以307:116的票数通过。、《国家网络安全保护增强法案》(H.R.1731)*2015年4月13日，众议院国土安全委员会(House Homeland Security Committee)提出《国家网络安全保护增强法案》(National Cybersecurity Protection Advancement Act,NCPAA)，并于4月17日修订发布，最终于2015年4月23日在众议院以355:63的票数通过。和参议院《网络安全信息共享法案(2015版)》(S.754)*2015年3月13日，美国《网络安全信息共享法案(2015版)》(S.754)在参议院情报委员会(Select Committee on Intelligence)以14:1的票数通过，经过多次修正，法案最终于2015年10月27日在参议院以74:21的票数通过。均已取得重大进展。然而，参议院《网络安全信息共享法案(2015版)》(S.754)的相关表述在美国民权组织、公民自由组织、安全专家和部分学者中仍存有关于安全与隐私的重大争议[1]。因此，以《网络安全信息共享法案(2015版)》(S.754)为分析对象，美国网络安全信息共享立法中安全与隐私的争议焦点是什么，法案文本中如何体现安全与隐私的立法博弈，怎样理性解读安全与隐私在美国网络安全信息共享的立法博弈，美国网络安全信息共享立法中安全与隐私博弈的发展趋势如何，都是值得深入探讨和解决的问题。

一、美国网络安全信息共享的目的条款争议

(一)美国网络安全信息共享的目的条款规定

《网络安全信息共享法案(2015版)》(S.754)首先明确了法案制定的目的旨在通过增强的网络安全威胁信息共享，保障美国的网络安全。具体而言，这一立法目的通过对私营企业和政府机构双方做出的规定得以体现。一方面，私营企业可以基于网络安全目的共享、接收或使用网络威胁信息；另一方面，联邦政府机构对其接收的网络威胁信息进行披露、存留和使用的目的包括：①网络安全目的；②识别网络安全威胁(包括此类网络安全威胁的来源)或安全漏洞；③识别国外敌对势力或恐怖分子使用信息系统引发的网络安全威胁；④响应、减轻或防止因恐怖活动或使用大规模杀伤性武器而造成的死亡威胁，严重的人身伤害或经济损失；⑤响应、减轻或防止针对未成年人的严重威胁(包括性剥削和人身安全的威胁)；⑥阻止、调查或起诉特定的犯罪(包括严重的暴力犯罪，欺诈和身份盗窃犯罪，间谍罪，以及侵犯商业秘密的犯罪)。法案中，“网络安全目的”被界定为：“保护信息系统及系统中存储、处理或传输的信息免受网络安全威胁或安全漏洞的影响*《网络安全信息共享法案(2015版)》(S.754)第5(d)(5)条。”。

(二)美国网络安全信息共享目的条款的安全与隐私争议分析

法案的上述规定引发了来自美国公民自由联盟(American Civil Liberties Union,ACLU)、民主与技术中心(The Center for Democracy and Technology,CDT)、电子前沿基金会(Electronic Frontier Foundation,EFF)等民权组织的强烈质疑，其认为《网络安全信息共享法案(2015版)》(S.754)将政府使用共享信息的目的*《网络安全信息共享法案(2015版)》(S.754)将其规定为“联邦政府对其接收的网络威胁信息进行披露、存留和使用的目的”。进行了广义界定，包括网络安全以外的宽泛目的，如实施国外监听或反间谍情报活动，甚至规定可用于广义的国家安全、执法和反恐目的，这样一来，将导致网络安全信息共享演变为合法授权的后门监听方式，严重威胁隐私和公民自由。尤其是在美国国家安全局“棱镜门”监控项目曝光之后，立法中对政府使用共享信息目的的宽泛界定可能导致政府有关部门的监听权力被再次扩大。正如微软公司可信赖计算部全球副总裁斯科特·查尼(Scott Charney)在2015年第114届参议院题为“保护美国不受网络攻击：信息共享的重要性”的国会听证中所指出的，政府不应当通过信息共享来确保或促进执法或国家安全目标的实现，因为信息共享旨在自愿共享信息以形成更强大的网络防御能力，其不同于执法和国家安全的要求[2]。然而，保护美国的网络联盟(Protecting America′s Cyber Networks Coalition)、美国商会(U.S.Chamber of Commerce)以及美国金融、能源等行业协会均认为，《网络安全信息共享法案(2015版)》(S.754)旨在保护美国的网络系统，其不是一项如某些隐私倡导者所声称的监听法案，事实上，《网络安全信息共享法案(2015版)》(S.754)并未授权实施等同于联邦刑事犯罪监听法律或《外国情报监听法》(Foreign Intelligence Surveillance Act,FISA)规定的电子监听行为，并且美国国家安全局的监控问题与网络安全信息共享立法无关*参见2015年8月19日“网络安全信息共享立法：共享网络威胁指标——区分事实与虚构”的文件https://www.uschamber.com/sites/default/files/cisa_ctis_separating_fact_from_fiction_aug_19_final.pdf.。

笔者认为，《网络安全信息共享法案(2015版)》(S.754)的目的条款充分体现了网络安全信息共享立法的目的，即提高公共和私营部门共同应对网络安全风险的能力，保障美国的网络安全。正如美国心理学家亚伯拉罕·马斯洛所指出的，安全是人类最基本的需求*美国心理学家亚伯拉罕·马斯洛在其1943年发表的《人类动机的理论》一书中提出需求层次理论(Need-hierarchy theory)，将人的需求划分为五个层次，由较低层次到较高层次依次为生理需求、安全需求、社会需求、尊重需求和自我实现需求。，网络安全信息共享立法的提出即是人们实现其网络空间安全需求的重要表现。从更深层的角度来看，信息技术的高速发展促使人类社会对网络空间的高度依赖，作为独立于陆地、海洋、航空、航天以外的第五维空间，网络空间的安全在国家安全、社会民生、经济发展和政府事务中的基础性作用不断凸显，并逐步成为保障整个社会持续运转的重要支撑。美国作为高度信息化的国家之一，保障公民的网络空间安全需求和网络空间“生存权”[3]已经成为其当前立法的迫切需求，而网络安全信息共享能够促使政府和企业及时获取和分析信息系统本身的安全漏洞，网络入侵、恶意攻击的技术细节和预警信息等网络威胁信息，是保障人类网络空间生存权和安全需求得以满足的有效手段和必要途径。正如霍布斯所言，“人民的安全乃是至高无上的法律”[4]317，作为现阶段关系到人类网络空间生存权和内心安全需求实现的重要载体，网络安全信息共享立法所积极追求的安全目标应当在具体条款中得以体现。

其次，在全球化融合态势下，互联互通的信息系统已经发展成为支撑整个社会持续运转的基础设施，因此，网络信息系统本身的机密性、完整性和可用性的安全要求与整体的国家安全需求密不可分，尤其是网络犯罪、网络间谍、网络攻击和网络恐怖主义等行为的日益猖獗更是对国家安全提出了严峻挑战。基于此，美国《网络安全信息共享法案(2015版)》(S.754)的上述条款对政府使用共享信息的目的进行了宽泛界定，除规定用于“网络安全目的”之外，还包括反恐、反间谍情报甚至侦查严重暴力犯罪等广义的国家安全和执法目的，其实质上是根据当前国家安全利益需求的凸显程度及对其加以维护的紧迫性所做出的理性判断。正如前文所述，重要的网络威胁信息共享是防御网络攻击的关键要素，同时，基于安全标准的法规遵从策略在应对复杂的、不断发展的网络威胁行为时已凸显乏力[5]。因此，在某种程度上，美国网络安全信息共享的目的条款中对政府使用共享信息的目的所做出的广义界定是保障国家安全利益和有效应对当前安全形势的必然要求。

值得注意的是，“规则本身是空无的、曲解的和没有定说的……法律规则本身没有基本的意义，所以解释是对法律规则暴力式的偷窃式的理解，其目的是强加一个方向，强加一个意志，强迫法律规则参与不同的游戏。”[6]美国民权组织对《网络安全信息共享法案(2015版)》(S.754)的上述条款进行的解释在某种程度上曲解了网络安全信息共享立法的目的。如前所述，网络安全已经构成总体国家安全不可分割的重要组成部分，法案的目的并非在于为执法机构和情报部门提供侵犯公民隐私和通信的后门机制，其实质目的在于促进美国公共与私营部门之间有关网络威胁信息的共享，以充分整合政府和企业在网络安全风险识别、风险评估、风险预防和风险控制方面的技术能力和资源优势，保障网络安全甚至国家安全。

二、美国网络安全信息共享范围的条款争议

(一)美国网络安全信息共享范围的条款规定

美国《网络安全信息共享法案(2015版)》(S.754)规定，网络安全信息共享的范围包括：安全漏洞、网络威胁以及用于防止或减轻网络攻击所采取的努力和对策，几乎包括与网络威胁相关的任何类型的信息，概括而言，即为法案第2(6)条界定的“网络威胁指标”(Cyber Threat Indicator,CTI)和第2(7)条界定的防御性措施(Defensive Measure)两大类，其中“网络威胁指标”(Cyber Threat Indicator,CTI)是指“对于描述或识别下列七类网络数据而言必要的信息，包括恶意侦察(malicious reconnaissance)，例如异常模式的通信；破坏安全控制措施或利用安全漏洞的方法；安全漏洞；导致用户在对信息系统或系统中存储、处理或传输的信息进行合法访问时不经意地破坏安全控制措施的方法；恶意的网络命令和控制；事件造成的实际或潜在的损害(包括因描述网络安全威胁而引发的信息泄露)；任何其他性质的网络安全威胁。”同时，《网络安全信息共享法案(2015版)》(S.754)将“防御性措施”(Defensive Measure)界定为“以信息系统及系统中存储、处理或传输的信息为保护对象，所采用的用于防止、减轻已知或可疑的网络安全威胁或安全漏洞的行动、设备、程序、签名、技术或其他措施。”在此，参议院情报委员会(Select Committee on Intelligence)修正了美国《网络安全信息共享法案(2014版)》(S.2588)*2014年7月10日，《网络安全信息共享法案(2014版)》(S.2588)在参议院情报委员会(Select Committee on Intelligence)以12:3的票数通过。该法案的内容来源于2012年《网络安全法案》(CSA)、2012年《利用研究、教育、信息和技术增强和提高网络安全法案》(SECURE IT Act)和2013年《网络情报共享与保护法案》(CISPA)。的相关条款，对“防御性措施”(Defensive Measure)的定义不包括授权使用通常被认为具有进攻性的措施，因为其可能对其他实体的信息系统造成实质性损害，例如针对其他实体的信息系统进行未经授权的访问或执行计算机代码。

(二)美国网络安全信息共享范围条款的安全与隐私争议分析

美国民权组织指出，网络安全信息共享的范围界定对于隐私保护至关重要。然而，为了涵盖需要共享的一切信息，《网络安全信息共享法案(2015版)》(S.754)对“网络威胁指标”(Cyber Threat Indicator,CTI)进行了广义界定，包括网络攻击中窃取的医疗记录、财务记录、密码和密钥材料、商业秘密等，因为这些信息能够表明网络安全事件造成的实际损害[7]。相反，保护美国的网络联盟(Protecting America′s Cyber Networks Coalition)则指出，《网络安全信息共享法案(2015版)》(S.754)对“网络威胁指标”(Cyber Threat Indicator,CTI)的定义限定了政府机构和私营企业共享的网络威胁信息范围，本质上包括用于确定并帮助其抵御恶意行为人损害受害人计算机网络的战略、技术和程序，而不针对此类网络或系统中包含的敏感个人信息*参见2015年8月19日“网络安全信息共享立法：共享网络威胁指标——区分事实与虚构”的文件https://www.uschamber.com/sites/default/files/cisa_ctis_separating_fact_from_fiction_aug_19_final.pdf.。

笔者认为，“安全价值不是一种绝对价值，因为安全价值的实现，本身受到既对个人有益又对社会有益这个条件的限制。”[4]320在网络安全问题凸显之时，立法上的利益关注很容易偏向于主要作为社会利益出现的安全，而忽视对于个人合理利益的维护。如果从长远来看，社会利益和个人利益在本质上是趋于一致的，即如密尔所说的“公众的永久利益是同个人权利结合在一起的”[8]53，那么，从现实和短期来看，这种一致性在很多情况下是不存在的。通过分析不难看出，《网络安全信息共享法案(2015版)》(S.754)对美国网络安全信息共享范围的广义界定就是为了优先保障作为社会利益出现的人类网络空间生存权和安全需求，而忽视了对公民个人隐私这一合法权益的保护。根据《网络安全信息共享法案(2015版)》(S.754)对“网络威胁指标”(Cyber Threat Indicator,CTI)的定义，无辜用户的网页浏览活动也将被视为一个分布式拒绝服务攻击(Distributed Denial of Service,DDoS)*分布式拒绝服务攻击(Distributed Denial of Service,DDoS)是互联网环境下最具有破坏力的一种攻击方式，它利用TCP/IP协议的缺陷和网络带宽资源的有限性，向被攻击方恶意发送许多连接请求或无用的数据包，从而大量占用受害者的系统和带宽资源，使其无法再继续响应其他正常用户的请求。，因为技术上很难从分布式拒绝服务攻击(DDoS)的访问中将用户访问网站的活动分离出来，甚至针对与钓鱼攻击相关的通信文本而言，因为其构成了破坏安全控制措施的方法，也将被纳入网络安全信息共享的范围，从而严重侵犯公民的个人隐私。

从美国网络安全信息共享的具体实践可知，《网络安全信息共享法案(2015版)》(S.754)中界定的“网络威胁指标”(Cyber Threat Indicator,CTI)包括域名(Domain names)、互联网协议地址(Internet protocol addresses)、日志数据(Log data)、恶意软件(Malware)、数据包(packets)、端口(packets)、签名(Signatures)、时间戳(Time/date stamps)、统一资源定位符(Uniform Resource Locator，URL)等数据，基于其技术特性，在大部分网络事件中共享上述信息不会对个人的行为、金融或社会信息产生影响，但是，在某些情况下个人信息可能被嵌入“网络威胁指标”(Cyber Threat Indicator,CTI)或“防御性措施”(Defensive Measure)当中，这就要求相关立法通过规范网络安全信息共享的程序，明确网络安全信息共享参与主体的义务及相应的法律责任，为受害者提供侵权救济的法律途径等，以保障公民的个人隐私。

由此可见，一个法律规范需要设定一定的构成要件，这种构成要件本身就有衡量、斟酌的要求，而斟酌、衡量的目的在于寻求一种合理的平衡[9]。基于此，如何在立法中对网络安全信息共享的范围进行合理界定，确保在实践中共享的“网络威胁指标”(Cyber Threat Indicator,CTI)或“防御性措施”(Defensive Measure)包含个人信息的情形被限定在一种可被接受的“极少数情况下”，实现网络安全与个人隐私之间的动态协调，是网络安全信息共享立法始终面临的重大考验，同时也将不可避免地成为利益相关者争议的焦点问题。

三、美国网络安全信息共享主体的条款争议

(一)美国网络安全信息共享主体的条款规定

美国网络安全信息共享主体的条款争议主要体现在有关“网络安全信息共享的政府参与主体”方面，美国《网络安全信息共享法案(2015版)》(S.754)第5(a)(3)条规定，司法部长应当与适当的联邦机构负责人进行协商，共同制定网络安全信息共享的政策，确保私营企业与联邦政府机构共享的“网络威胁指标”(Cyber Threat Indicator,CTI)可以通过实时的方式进行下列传输：(1)与所有适当的联邦政府机构以自动的方式共享；(2)在毫不迟延、不受更改且不受其他行动阻碍的情形下，由所有适当的联邦政府机构实时接收；(3)可以被其他联邦政府机构获取。《网络安全信息共享法案(2015版)》(S.754)第2(3)条将“适当的联邦政府机构”范围明确界定为“商务部、国防部、能源部、国土安全部、司法部、财政部和国家情报总监办公室”。基于此，私营企业不仅要向国土安全部自愿且实时地共享“网络威胁指标”(Cyber Threat Indicator,CTI)，还要向商务部、国防部、能源部、司法部、财政部和国家情报总监办公室这些“适当的联邦政府机构”，甚至包括国家安全局、联邦调查局和网络司令部，“实时且毫不迟延、不受任何阻碍”地传输“网络威胁指标”(Cyber Threat Indicator,CTI)。

(二)美国网络安全信息共享主体条款的安全与隐私争议分析

美国网络安全信息共享主体的条款中有关“与其他联邦政府机构自动实时共享”的规定引发了美国国内民权组织、其他公民自由组织、安全专家和部分学者的强烈反对。其中，民主与技术中心(The Center for Democracy and Technology,CDT)的隐私、监听和安全研究员杰克·莱朋如克(Jake Laperruque)表示，《网络安全信息共享法案(2015版)》(S.754)在事实上将允许私营企业直接与国家安全局实时共享信息；美国公民自由联盟(American Civil Liberties Union,ACLU)的立法顾问加布·柔特曼(Gabe Rottman)指出，《网络安全信息共享法案(2015版)》(S.754)不是一项信息共享法案，而应当被称之为《爱国者法案(2.0版)》，因为其授权向国家安全局提供大量的个人信息；此外，国土安全部在答复参议员弗兰肯(Franken)的信件中进一步指出，虽然目前《网络安全信息共享法案(2015版)》(S.754)承认需要制定相关的政策、程序来控制私营企业与联邦政府机构之间网络威胁信息的自动共享，但是因为对共享的要求规定为“不受任何迟延或更改”，将导致这些政策和程序不能有效降低某些联邦政府机构侵犯个人隐私的风险*参见U.S.Department of Homeland Security′s Response to Senator Franken′s July 1,2015 letter.https://www.eff.org/files/2015/08/05/150731dhsresponse.pdf.。

理论上，美国宪法第五修正案和第十四修正案共同确立了正当法律程序原则，要求“非经正当法律程序，不得剥夺任何人之生命、自由或财产。”一般而言，正当法律程序包括程序性和实质性正当法律程序两部分内容，而实质性正当法律程序是指，立法机关制定的法律和政府实施的行政行为必须符合正义的要求，在涉及剥夺、限制公民的生命、自由和财产时，必须提供充分的理由以证明其行为的必要性和正当性，否则法院有权以其违反正当法律程序为由宣布其无效[10]。然而，《网络安全信息共享法案(2015版)》(S.754)要求接收网络威胁指标(Cyber Threat Indicator,CTI)的任何联邦政府机构在毫不迟延且不更改信息的情况下将其传输至美国国防部、国家安全局和非军事情报机构，这意味着法案禁止任何阻碍实时信息共享的程序，例如针对与网络安全威胁不相关的个人信息进行过滤的程序，因为其阻碍了信息的快速共享而被忽略，这在某种程度上将导致私营企业直接向情报机构提供大量的个人可识别信息，严重侵害隐私和公民自由*2015年4月20日，包括美国公民自由联盟(American Civil Liberties Union,ACLU)、民主与技术中心(The Center for Democracy and Technology,CDT)、电子前沿基金会(Electronic Frontier Foundation,EFF)在内的民间社会组织、安全专家和学者向参议院递交一封联合信(114th April 2015 Oppose CISA Coalition Letter)，其中指出S.754未能确立国内网络安全的民用控制，法案优先于所有法律以确保民用领域的运营企业与联邦政府的任何机构共享网络威胁指标，其中包括国家安全局。。

“尽管在宪法中可能没有任何限制性规定，但立法机关仍被禁止提出抑善扬恶的法案，提出破坏共和国自由伟大原则和有关社会契约伟大原则的法案”[11]。《网络安全信息共享法案(2015版)》(S.754)授权私营企业与“任何其他机构或联邦政府”共享“网络威胁指标”(Cyber Threat Indicator,CTI)和“防御性措施”(Defensive Measure)而“不受任何其他法律条款的限制”，这将违反美国的隐私保护规定，尤其是美国《存储通信法》中限制特定服务商向政府披露电子通信内容的规定。此外，《网络安全信息共享法案(2015版)》(S.754)将导致执法机构原本需要获得监听令状或法庭命令才可实施的监听活动依据信息共享的相关法案可以直接实施，这将与1986年《电子通信隐私法》的正当程序规定发生根本冲突[12]，也将为企业协助政府监听其信息系统和公民通信提供合法性支持，构成对个人隐私利益的根本性侵害。

四、美国网络安全信息共享程序的条款争议

(一)美国网络安全信息共享程序的条款规定

美国网络安全信息共享程序的条款争议主要体现在有关“联邦政府机构和私营企业在信息共享前的个人信息移除程序”方面。具体而言，《网络安全信息共享法案(2015版)》(S.754)对参与网络安全信息共享的联邦政府机构和私营部门均设定了共享“网络威胁指标”之前的个人信息移除义务和程序，其中要求联邦政府机构和私营部门在共享网络威胁指标之前主动采取审查措施，以评估此类网络威胁指标(Cyber Threat Indicator,CTI)是否包含任何其在共享时可能“知道”的、与网络安全威胁不直接相关的个人信息或可识别特定个人的任何信息，并采取适当的技术措施将其移除*参见《网络安全信息共享法案(2015版)》(S.754)第3(b)(1)(E)条和第4(d)(2)条。。

(二)美国网络安全信息共享程序条款的安全与隐私争议分析

值得注意的是，美国网络安全信息共享程序的条款中要求“联邦政府机构和私营企业在信息共享前移除个人信息”的规定同样引发了美国国内民权组织、其他公民自由组织、安全专家和部分学者的广泛质疑，其在向参议院情报委员会(Select Committee on Intelligence)提交的“反对《网络安全信息共享法案(2015版)》(S.754)当前版本的联合信”*参见Coalition Letter Opposing the Current Form of the Cybersecurity Information Sharing Act of 2015.中指出，虽然《网络安全信息共享法案(2015版)》(S.754)要求私营企业“审查”并移除可识别特定个人的“网络威胁指标”(Cyber Threat Indicator,CTI)，但是其并未设置合理的审查标准；同时，《网络安全信息共享法案(2015版)》(S.754)要求私营企业仅在个人信息“与网络安全威胁不直接相关”的情况下将其移除，这将鼓励私营企业基于疏忽而存留数据，向政府不必要地泄露无辜旁观者和受害者的个人信息。相反，美国商会和一些行业团体却认为，《网络安全信息共享法案(2015版)》(S.754)要求联邦政府机构和私营企业在信息共享前主动采取适当的审查措施评估网络威胁指标是否包含不必要的个人信息，这在一定程度上完善了美国《网络安全信息共享法案(2014版)》(S.2588)的相关规定，关注了隐私保护的利益需求。

笔者认为，根据比例原则的要求，立法者只有在维护公共利益的必要限度内才可对公民的权利加以限制，基于此，立法者在对个人利益与公共利益进行保护与平衡时需要仔细斟酌，特别是面对公共利益与个人利益冲突时更要具体斟酌产生的失衡度，以求得到较为合理的结果。从广义上讲，比例原则具体通过适当性原则、必要性原则和均衡原则对法律规范进行审查，其中适当性原则用以审查手段与目的之间的关系，必要性原则用以审查较小侵害的可能替代手段，均衡要求对所牵涉的相关价值法益进行轻重的权衡。在网络安全信息共享立法当中，适当性原则要求考虑网络安全信息共享这一手段是否有助于保障网络安全这一目的的实现；必要性原则要求在同等有效达成网络安全目的的手段中选择对个人隐私利益侵害较小的手段；均衡原则要求所牵涉的网络安全保障与个人隐私保护二者利益之间的适度平衡。

实践中，私营企业与联邦政府机构在信息共享前移除与网络安全威胁不相关的个人信息这一程序构成网络安全信息共享的实施途径，基于必要性原则，这一程序条款的设置应当遵循“最小侵犯原则”，即政府和私营企业应当实施严格的数据最小化标准和程序*国土安全部前首席隐私专员玛丽·艾伦·卡拉汉(Mary Ellen Callahan)在2015年第114届众议院“针对总统网络安全信息共享建议的产业期望”的国会听证上表示，私营企业在共享网络威胁指标时至少可能提供三类信息，即与网络安全威胁直接相关的信息，与网络威胁有关的信息，以及在共享威胁指标时附带存留的信息，为了限制后两类信息被共享的数量，私营企业应当实施严格的数据最小化标准和程序。。然而，《网络安全信息共享法案(2015版)》(S.754)允许私营企业与联邦政府机构之间共享网络威胁指标(Cyber Threat Indicator,CTI)中的个人信息和可识别信息，除非其“确定地知道”这一信息与网络安全威胁不直接相关，但实际上很少会出现这种情况，企业仍然能够共享其持有怀疑或强烈相信与网络安全威胁不相关的个人信息，只要其在共享时主观上对此情况并不明知，这将导致《网络安全信息共享法案(2015版)》(S.754)在事实上默认为允许私营企业共享所有的个人可识别信息*2015年8月4日，美国公民自由联盟(American Civil Liberties Union,ACLU)对“《网络安全信息共享法案(2015版)》(S.754)的投票建议”(ACLU Vote Recommendation for S.754,the Cybersecurity Information Sharing Act of 2015)中建议不为S.754投票，因为其并未要求从共享的信息中移除所有的个人可识别信息，只有在私营企业共享时“知道”该信息与网络安全威胁不“直接相关”时才必须移除信息。，甚至包括对于识别或应对网络安全威胁而言并不必要的个人信息*2015年7月27日，电子前沿基金会(Electronic Frontier Foundation,EFF)联合超过68个安全专家、科技公司和民间社会组织向奥巴马总统递交一封联合信(Coalition Letter CISA 114th President Obama to Veto)，以敦促其尽快否决《网络安全信息共享法案(2015版)》(S.754)，因为其中的规定严重威胁隐私和公民自由，未能保护用户的个人信息，并允许私营企业与政府共享大量的个人数据，甚至包括对识别或应对网络安全威胁而言并不必要的个人数据。。

更为重要的是，网络安全信息共享立法的规范性程序要求是实现安全与隐私协调的有效途径，针对“信息共享前移除个人信息的程序”规定，《网络安全信息共享法案(2015版)》(S.754)能够选择更加合理的规定，以符合“最小侵犯原则”的要求。例如，在立法中规定“私营企业仅应当在个人信息对于识别网络安全威胁而言必要时才可以向政府提供此类信息”，而不是《网络安全信息共享法案(2015版)》(S.754)中采取的相反界定方式；或者要求政府和私营企业针对其即将共享的信息是否与网络安全威胁相关这一问题进行实质审查，并设置基于“合理信赖”的审查标准，即只要企业基于合理信赖，认为共享的个人信息与网络安全威胁不相关，则其应当采取积极的技术措施，移除该个人隐私或个人可识别信息，上述规定都将从某种程度上严格规范政府和企业仔细审查其共享信息的义务和程序，从而将对个人隐私造成的侵害降至更低的程度[13]。

五、美国网络安全信息共享立法的安全与隐私 博弈趋势分析

美国国会参众两院推进网络安全信息共享立法的历程表明，安全与隐私的争议实质上是美国国会立法倡导者、政府机构、行业协会、民权组织和私营企业等多方利益主体之间的利益博弈过程。

首先，兼顾安全与隐私的网络安全信息共享立法是多方利益主体博弈的积极追求。网络安全保障作为美国网络安全信息共享的立法目的，与隐私保护之间在一定条件下有必要并且是可以妥协的。因为“采取一种妥协或互相调整的形式可能要比‘二者取其一’的方法更为可取。”[8]53在美国网络安全信息共享立法中，维护网络空间生存权有必要确立网络安全利益优先的原则，但是对这一原则又必须加以限制和补充，在个人隐私的保有与让度之间划出一条分界线，使得出于安全需要而牺牲的利益被限制在必要的限度内[14]。正如庞德所言，这便是“尽可能多地满足一些利益，同时使牺牲和摩擦降低到最小限度。”[15]事实证明，破坏性网络攻击事件的频发已经促使网络安全从事件信息共享发展为威胁情报共享，美国网络政治、经济、军事等国家安全利益在不断丰富，公众对隐私保护的期望也在不断提升，特别是“斯诺登”事件披露的国家安全局监控项目引发了隐私团体的高度关注。然而，有关安全与隐私之间均衡追求的努力从未停止过，美国在“9.11事件”之后通过的《国土安全法》即为最好的例证。

其次，在法案引发争议的过程中，美国国会在寻求安全与隐私的均衡努力中起到了良好的引导作用。在外界针对法案提出强烈质疑的情况下，参议院情报委员会先后举行了多次听证会，为各方利益主体陈述意见并进行质疑、辩论提供了一个平台。在历时近八个月的争论中，参议院情报委员会认真听取各方意见，尤其是美国民权组织、公民自由团体、安全专家和有关学者的反对意见，最终形成了多达129项修正案，其中57项修正案由共和党提出，71项修正案由民主党提出，以及1项修正案由独立党提出，这无疑表明各方主体的利益在立法过程中得到了充分的博弈[16]，从而确保了法案的科学性、可行性和公正合理性。

第三，安全与隐私之间在共享目的、共享参与主体、共享信息范围和共享程序等四个方面争议的均衡追求，亟需公权力与私权益之间信任机制的建立。信任，是美国政府与私主体之间的永恒话题，正是因为有了对信任的制度追求，美国从宪法到基本法已经建立起比较完善的信任法律框架。然而，随着社会网络化，执法虚拟化，人民对信任法律提出了新的要求，特别是在对敏感信息的共享方面，信任危机治理的法治诉求日益强烈。基于此，建立政府和私营部门之间的信任机制，增加政府网络安全信息共享政策、程序、措施实施的透明度，为企业提供有效的责任豁免、成本补偿、税收减免、政府保险等激励机制就成为重构信任的有效途径，尤其是通过网络安全信息共享协议明确共享信息如何被使用、发布、保障、存储、清除和管理，甚至包括不披露协议、谅解备忘录、合同和授权范围等，以此促使网络安全信息共享立法中安全与隐私的动态均衡。

六、结论与展望

网络安全信息共享立法是法治国家面对当前严峻的网络安全形势所做出的理性选择，其旨在促进政府与私营企业之间共享网络威胁信息，以增强其共同应对网络安全威胁的能力。实践中，美国网络安全信息共享立法引发了安全倡导者与私权拥护者有关安全与隐私的激烈争议，具体表现在网络安全信息共享目的、范围、主体和程序的条款规定等四个方面。通过建立政府和私营部门之间的信任机制，增强政府有关共享政策、程序、措施实施的透明度，建立激励机制，签订公私共享协议，能够有效实现网络安全信息共享立法中安全与隐私的动态均衡。但由于网络安全信息共享涉及复杂的技术因素，因此需要运用技术与法学的综合研究视角进行深入剖析，特别是在物联网、云计算、大数据以及移动互联网等新一代技术利用背景下，围绕安全与隐私的争议将有新的表现形式，其中可能催生的立法博弈与均衡将成为值得探讨的新问题。

[1] FISCHER E A.Cybersecurity and Information Sharing:Comparison of H.R.1560 and H.R.1731 as Passed by the House[EB/OL].[2015-05-30].http://fas.org/sgp/crs/misc/R43996.pdf.

[2] THE CENTER FOR DEMOCRACY AND TECHNOLOGY.Hearing Before the Senate on Protecting America from Cyber Attacks:the Importance of Information Sharing[EB/OL].[2015-02-10].https://cdt.org/insight/hearing-before-the-senate-on-protecting-america-from-cyber-attacks-the-importance-of-information-sharing/.

[3] 马民虎.网络安全法律问题及对策研究[M].西安：陕西科学技术出版社，2007：35.

[4] 博登海默.法理学：法律哲学与法律方法[M].邓正来，译.北京：中国政法大学出版社，2004：317.

[5] NOJEIM G T.Cybersecurity and Freedom on the Internet[J].Journal of National Security Law & Policy,2010(4):119-137.

[6] 刘星.法律是什么[M].北京：中国政法大学出版社，1998：225.

[7] KESAN J P,HAYES C M.Mitigative Counterstriking:Self-Defense And Deterrence In Cyberspace[J].Harvard Journal of Law & Technology,2012,25:415-527.

[8] 霍布豪斯.自由主义[M].朱曾汶，译.北京：商务印书馆，1996：53.

[9] 姜昕.公法上比例原则研究[D].长春：吉林大学，2005.

[10] 王媛.美国宪法上的正当法律程序研究[D].济南：山东大学，2014.

[11] 伯纳德·施瓦茨.美国法律史[M].王军，译.北京：法律出版社，2011：43.

[12] KELLY B B.Investing in a Centralized Cybersecurity Infrastructure:Why"Hacktivism" Can and Should Influence Cybersecurity Reform[J].Boston University Law Review,2012,92:1663-1711.

[13] SUBCOMMITTEE ON CYBERSECURITY,INFRASTRUCTURE PROTECTION,SECURITY TECHNOLOGIES.Industry Perspectives on the President′s Cybersecurity Information Sharing Proposal[EB/OL].[2015-04-26].http://docs.house.gov/meetings/HM/HM08/20150304/103055/HHRG-114-HM08-Wstate-EggersM-20150304.pdf.

[14] 马民虎，李江鸿.我国信息安全法的法理念探析[J].西安交通大学学报：社会科学版，2007，27(3)：74-80.

[15] 罗斯科·庞德.法理学：第一卷[M].邓正来，译.北京：中国政法大学出版社，2004：26.

[16] CASTRO D.We Need More than a "Good Samaritan" Law for Cybersecurity Information Sharing[J].Cybersecurity Science & Technology,2012(5):161-173.

(责任编辑：冯 蓉)

Security vs.Privacy:Game Analysis of the U.S.Cyber Security Information Sharing Legislation

FANG Ting1,LI Yuxiao2

(1.School of Law,Xi′an Jiaotong University,Xi′an 710049,China；2.International School,Beijing University of Posts and Telecommunications,Beijng 100876,China)

It is the purpose,scope,subject and procedures of U.S.cybersecurity information sharing provisions that triggered intense debate about security and privacy between safety advocates and private rights advocates,in which the terms of the purpose that government use the shared information is to protect the human right to live in cyberspace,the terms of the scope that shared cybersecurity threat information is unreasonably defined,the terms of the subject that government′s participation in information sharing violates the due process,the terms of procedures that remove personal information violates the principle of proportionality.Through the establishment of the trust mechanism between the government and the private sectors,enhancement of transparency on sharing policies,procedures the implemented measures,and adoption of integrated information sharing mode,can effectively achieve game balance between security and privacy in cybersecurity information sharing legislation.

cyber security information sharing; security; privacy; cyber threat indicator

10.15896/j.xjtuskxb.201601009

2015-11-26

国家社会科学基金重大项目(15ZDA047)；国家社会科学基金项目(15BFX050)；信息网络安全公安部重点实验室开放课题项目(C13603)；信息网络安全公安部重点实验室开放课题项目(C13604)

方婷(1987- )，女，西安交通大学法学院博士研究生；李欲晓(1969- )，男，北京邮电大学国际学院教授。

D920.0

A

1008-245X(2016)01-0069-08