Data and Goliath The Hidden Battles to Collect Your Data and Control Your World

警方破获了9次，高于2012年的4次，而且调查以其他方式进行。

执法机构拥有大量可供使用的调查工具。他们可以获得存储在云中的数据和大量元数据的搜查令。他们有权利和能力渗透目标嫌疑人的计算机，这可以在不削弱每个人的安全性的情况下为他们提供所需的数据。良好的安全性并不会让我们处于危险之中。

无论是公开还是秘密，我们的情报机构都不应该故意在外国专门的军事和政府系统之外的任何东西中插入漏洞;他们应该与学术界和商界合作，确保更多敌对方插入的任何漏洞都能被发现、揭露和消除。

我们永远无法让世界上的每一个大国都同意不颠覆它所控制的互联网部分，但我们可以停止颠覆我们所控制的部分。大多数让互联网运转的高科技公司都位于美国，所以我们的影响力不成比例。一旦我们停止玩颠覆游戏，我们就可以可靠地将我们的资源用于检测和防止他人的颠覆行为一一从而增加全世界的信任。

将间谍活动与监视活动分开

2013年，我们得知NSA窃听了德国总理安格拉·默克尔的手机。我们了解到，NSA对世界各地的大使馆和使团进行了监视:巴西、保加利亚、哥伦比亚、欧盟、法国、格鲁吉亚、希腊、印度、意大利、日本、墨西哥、斯洛伐克、南非、韩国、台湾、委内瑞拉和越南。我们了解到NSA在监视联合国。自然，这些爆料使国际关系紧张，但真的有人感到惊讶吗?监视外国政府是NSA应该做的。

政府间的间谍活动和政府本身一样古老。这是一项重要的军事任务，无论在和平时期还是战争时期，它都不会消失。它是有针对性的。它是专注的。它实际上是稳定的，减少了各国对彼此意图的不确定性。

无论是在美国还是在国际上，间谍活动都与NSA的大规模监视项目有着根本的不同。在第五章中，我指出，NSA活动的这种转变是其使命转向预防恐怖主义的结果。9/11之后，反恐监视的主要任务被交给了NSA，因为它拥有可以轻易改变用途的现有能力，尽管这项任务本来可以交给FBI。

由于NSA被赋予了反恐监视任务，其间谍活动的军事规范和法律框架得以延续。我们对全体人民(包括我们自己的国民)的监视行动就像我们对政府的间谍活动一样保密。

我们需要把这两项任务分开。政府间谍活动应该留在国务院和军方的职权范围作为三军统帅，总统应该决定窃听哪些大使馆和谁的手机，而NSA应该执行这些命令。大规模监视，无论是国内的还是国外的，几乎从来都是不合理的。政府对普通公民的监视有时是正当的，但只是作为刑事调查活动。这些监视活动不应该局限于NSA和军方。相反，他们应该在FBI和司法部的支持下，在常规的公开法庭上应用警方关于合理原因、正当程序和监督监视活动的规则。

这并不是说我们不需要在美国进行重大的警察改革。我们已经在第七章讨论过警察保密问题。警察日益军事化和许多部门倾向于种族歧视的做法也是严重的问题。但这是另一本书的话题了。反恐怖主义过去是，现在仍然是FBI的主要任务。

2014年1月，奥巴马总统就NSA发表了一次演讲，其中他提出了两点非常重要的观点。他承诺，NSA将不再监听安格拉·默克尔的手机。虽然他没有将这种礼貌扩展到其他8200万德国公民，但他确实表示，他将把美国宪法对未经授权的监视的一些保护扩展到世界其他地方。将政府对人口的监视置于平民领导和警察规则之下，将大大有助于实现这一理想。

限制军方在网络空间的角色

19世纪后期的一项伟大的政治成就是文官政府与军队的分离。历史和当前的政治都表明，当将军掌管一个国家时，会产生巨大的社会损害。正如世界上许多自由民主国家所做的那样，将两者分开，为自由和民主的蓬勃发展提供了空间。

问题在于，网络空间并不容易被传统的划分为民用和军事领域。当你受到人身攻击时，你可以呼吁各种组织为你辩护:警察、军队、在你的国家负责反恐安全的人、你的律师。辩护的法律制度取决于两件事:谁在攻击你，为什么要攻击你。不幸的是，当你在网络空间受到攻击时，有两件事你不知道，那就是谁在攻击你，为什么要攻击你。

此外，互联网没有与现实世界相比的边界—一你可以说它根本没有边界一一因此，国外和国内之间的区别就更难适用了。攻击者的范围可以从无聊的青少年到职业罪犯再到民族国家，也许使用相同的战术和武器，所以很难确定攻击者类型之间的区别。攻击发生在几毫秒内，可能会产生广泛的影响。

很容易的反应是把所有这些未知的攻击都归为“网络战争”，这是军事规划中的热门新事物。我已经提到，大约有30个国家在军队中设有网络战部门。“网络围攻”的心态正在成为新的常态。

考虑到这个战场是如此的新鲜和未知，考虑到一切都发生得如此之快，考虑到军方默认的信仰是其使命的正义性，无论它是如何构建的，军队往往会匆忙进入，填补他们认为的安全空白。相应的危险是人们感知我们有军事问题，需要军事解决办法。这些问题最坏的情况往往是极权主义，最好的情况是法外解决。

我们需要解决这个问题。

在美国，一系列法律阻止军队在正常和平时期的国内事务中发挥作用，同时确保他们准备好应对外国威胁。1878年的《军务委员会法》(Posse ComitatusAct)和其他指令禁止军队参与国内安全事务。因为我们把军队的作用限制在对外国列强发动战争，所以我们有信心允许它有更大的行动自由度。例如，适用于执法部门的正常搜查和扣押规则不适用于军队，因为这样的规则在战争中就是没有意义。

网络空间的进攻性军事行动，无论是间谍活动还是攻击，都应该留在军方的职权范围内。在美国，这是网络司令部。如果我们要攻击另一个国家的电子基础设施，我们应该像对待其他对外国的攻击一样对待它。不是简单的间谍活动(网络或现实世界)，而是作为一种攻击。此类行动应被视为进攻性军事行动，相应得到行政部门最高层的批准，并应遵守与管理线下世界战争行为相同的国际法标准。

解散NSA

我刚刚提议将NSA的间谍任务与其监视任务分开，并将军方在网络空间中的角色限制在针对外国军事目标的行动上。为了实现这一目标，我主张拆分NSA，恢复和加强9/11之前存在的各种机构的职责：

·作为国防部的一部分，NSA应该专注于针对外国政府的间谍活动。

·司法部应该负责执法和恐怖主义调查。为此，它应该只进行有针对性的、法律允许的国内和国外监视活动，并且应该根据联邦调查局特工的专业知识而不是NSA的数据库来追查线索。

·NSA在密码学、计算机安全和网络防御方面的防御能力应该剥离出来，变得更加突出和公开。美国国家标准与技术研究院(NIST)是美国国防部之外的一个民间机构，它应该重申对网络安全技术标准开发的控制。1987年的《计算机安全法》明确规定nist(当时称为国家标准局)在建立技术安全标准方面具有领导地位，试图将NSA排除在国内安全事务之外。我们需要加强这项法律并确保它得到遵守。

·美国的进攻性网络能力应保留在美国网络司令部手中。这个组织应该包括NSA的黑客能力(也就是TAO)。负责美国网络司令部的将军不应该兼任NSA局长。

这是一个长远的计划，但却是正确的计划。与此同时，我们应该把NSA的资金削减到9/11之前的水平。这本身就会带来巨大的好处。

打击网络主权运动

20年前，几乎没有政府出台任何监管互联网的政策。今天，每个国家都有，其中一些还相当严厉。这并不奇怪;互联网变得太大了，政府无法忽视。但这种变化让许多互联网观察人士感到意外，并将继续如此。

越来越多的世界各国政府正在与互联网固有的国际性作斗争。如果一个政权想要监视其人民，限制他们可以阅读的内容，审查他们可以发表的言论，那么互联网的国际自由和开放性质就会出现问题。

出于这个原因，俄罗斯、中国和沙特阿拉伯等国多年来一直在推动对国内互联网进行更多的国家控制。通过国际电信联盟这样的国际组织一一这是联合国控制电话标准的机构一一他们正试图从目前掌管互联网的更非正式的多方利益相关者国际组织手中夺取对互联网的控制权。他们的论点听起来是善意的，但他们的动机并非如此。他们想要一个既承认国家边界，又承认政府在这些边界内施加控制的权利的互联网:在这种情况下，这会导致更多的监视和审查。

美国国家安全局(NSA)监控活动的曝光，极大地推动了这一地位。一些国家的政府反对美国在互联网上的主导地位，因为他们担心本国公民的隐私。巴西和德国等国呼吁将更多公民数据存储在本国境内。持相反议程的其他国家也利用了同样的说辞。2014年，俄罗斯通过了一项法律，要求在线企业在俄罗斯境内存储公民的数据，这超出了NSA的范围，但俄罗斯政府很容易就能得到。

对此，我持有不同的观点。一方面，我希望拥有更严格隐私法的国家通过要求公民数据受其管辖来保护公民数据。另一方面，我不认为这将保护这些数据免受NSA的监视。至少NSA对其在美国境内可以访问的内容有一些限制。如果同样的数据存储在巴西和德国的服务器上，这些法律限制就不适用了。鉴于我们对NSA技术能力的了解，我毫不怀疑该机构无论如何都会获得访问权限。

互联网本质上的国际性，对生活在实行监视和审查制度的国家的人们来说是一个巨大的好处。网络主权往往是政治领导人在不受外国政府或公司干涉的情况下监视和控制其公民的愿望的烟幕。而反对网络主权的斗争通常被视为NSA获取更多全球通信信息的烟幕。我们需要重申我们对自由、开放和全球互联网的支持，然后努力确保其继续存在。

为共享资源提供保障

无主公共空间具有巨大的社会价值。我们的公园，我们的人行道，我们的道路不属于任何私人企业，我们的法律反映了这种公共所有权。在互联网上，所有的东西都属于私人实体;就连你朋友独立运营的那个网站，也托管在某个地方的某个企业服务器上。没有公地。

我们并不这样看待我们的在线体验。在脸书上聊天感觉就像面对面聊天一样，当该公司行使删除帖子和封杀用户的权利时，我们感到很惊讶。当我们得知自己无权上诉—一甚至无权对自己的数据上诉时，我们就更惊讶了。是的，当我们点击最终用户许可协议时，我们同意交出所有这些权利。但因为我们没有阅读它，所以我们没有意识到这一点。

公共空间的概念很重要，因为我们在线下世界的很多自由都是基于这个概念。在美国，第一修正案保护公共场所的言论自由。其他法律限制公共场所醉酒和猥亵等行为。这些法律不适用于互联网，因为那里的一切都是私人空间。这些法律不适用于我们在脸书、推特、Instagram或媒体上发表的言论，也不适用于我们在新闻网站上发表的评论，即使这些评论是公开可读的。

在互联网诞生之初，公共讨论论坛是在一个叫做Usenet的地方进行的。这是一个去中心化的系统，没有一家公司可以控制谁能说话，谁能说什么。随着讨论论坛转移到网站和企业自有平台，这种自由消失了。

我们需要互联网上不受私人党派控制的地方一一说话的地方、交谈的地方、集会的地方、抗议的地方。它们可以是政府管理的，也可以是企业管理的，并有特殊的规则将它们视为真正的公共场所。类似于电信公司不允许区别对待不同类型的流量的公共运营商规则，可能存在公共运营商不允许其所有者监控或审查的社交网络领域。

无论解决方案是什么，公共网络对社会都至关重要。我们应该有意识地努力确保我们在网络空间中始终拥有它们。

14

企业解决方案

当我们从企业数据收集、监控和使用中寻找限制的好处时，重要的是要记住，数据收集给我们带来了许多我们都能获得的好处和便利，这是以前不可能的:基于实际拥堵数据的实时驾驶方向，记得我们上次买了什么的购物清单，即使你没有保存收据也能获得商店退款的能力，远程验证你关了灯和锁了门的能力，与世界上任何地方的任何人即时通信的能力。未来还会有更多的应用。看看任何科幻电影或电视节目，关注一下完全电脑化的世界的奇迹;其中很大程度上假定计算机知道、响应并记住人们在做什么。这种监视就是我们的未来，这个未来充满了让我们的生活更美好、更愉快的东西。

同样，不受限制地获取技术也是有价值的。虽然这本书的大部分内容都集中在技术的阴暗面上，但我们必须记住，技术给我们所有人带来了巨大的好处。技术使我们能够更快、更容易、更准确地完成复杂的任务，其目的有很多:开发更耐用的建筑材料;发现和传播信息;精确描绘物理现象;不受地域限制地与他人交流;记录事件;种植更多的粮食;活得更久。如果没有互联网，我不可能写出这本书。当然，它并不完美。技术在地球上的分布是不均匀的，有富人也有穷人，但总的来说，技术越多越好。

我们最不愿意做的就是让这样的未来脱轨。我们根本不知道未来会出现什么样的发明，也不知道它们将能够解决哪些主要的人类问题。我们需要能够试验新技术和基于这些技术的新业务，这包括监控技术。诀窍在于将公司收集、存储和分析我们的数据所带来的好处最大化，同时将危害降到最低。

有很多解决方案可供考虑。1980年的经合组织隐私框架是一个很好的起点;它列出了数据收集、数据存储和数据使用方面的限制。1995年，欧盟通过了《欧盟数据保护指令》，对企业收集的个人数据进行了规范。习惯了美国宽松得多的法律制度的美国企业，不断与欧洲法律发生冲突。目前正在讨论如何进行改革，使欧洲法律与现代技术保持同步。

本章提供的解决方案都是针对私人收集和使用我们的数据。这些变化有时会受到市场的刺激，但大多数时候会受到法律的推动。这确实是政府需要做的事情的清单，这在

Turn实际上是公民需要要求政府做的事情的清单。因为它们影响公司，所以它们在这一章中。

让供应商对隐私泄露负责

提高收集数据安全性的一种方法是让公司对数据泄露负责。

企业在不断平衡成本和收益。在这种情况下，成本包括保护他们收集和保存的数据的成本，如果出现违规的不安全成本，以及他们收集的数据的价值。目前，不安全的成本很低。除了一些非常公开的违规行为一一比如塔吉特(target)一—企业发现，把钱花在宣传良好安全性的公关活动上，在被证明是错误的情况下经受住偶尔的媒体风暴和一轮又一轮的诉讼，并在问题公开后修复问题，成本更低。

This is because most of the cost of privacy breaches falls on the people whose data is exposed. In economics, this is known as an externality: an effect of a decision not borne by the decision maker. Externalities limit the incentive for companies to improve their

安全。

你可能期望用户的反应是更喜欢安全的服务，而不是不安全的服务一一毕竟，他们是在相同的市场模式的基础上做出自己的购买决定的。但这通常是不可能的。在某些情况下，软件垄断限制了可用产品的选择。在其他情况下，专有文件格式、现有基础设施、兼容性要求或软件即服务所产生的“锁定效应”使得转换变得更加困难。在很多情况下，我们不知道是谁在收集我们的数据;回想一下第二章中关于隐藏监视的讨论。在所有情况下，买家都很难评估任何数据服务的安全性。而且，不只是非技术买家;甚至我也不能告诉你是否应该把你的隐私委托给任何特定的服务提供商。

责任改变了这一点。通过提高隐私泄露的成本，我们可以让公司接受外部性的成本，并迫使他们花更多的精力来保护那些他们获得数据的人的隐私。我们已经在美国对医疗数据采取了这种做法;该行业的隐私侵犯行为会被处以高额罚款。

在这里，这种情况也开始发生在商店的数据上。塔吉特因2013年的数据泄露事件面临多起诉讼。在其他案件中，银行因未能充分保护客户隐私而被起诉。一种帮助的方法是要求公司告知用户他们所拥有的所有可能被泄露的信息。

这些案件可能会很复杂，因为有多家公司卷入了一起特定事件，分摊责任将会很困难。法院一直不愿意找到隐私的价值，因为人们愿意放弃隐私，换取的东西太少了。而且由于很难将隐私丧失带来的伤害与造成这些伤害的具体行为联系起来，这类案件很难胜诉。

有一个更好的方法来解决这个问题:把损害的重点放在隐私泄露上，而不是随之而来的伤害上。必须迫使公司遵守1973年的《公平资讯实务守则》和其他类似的隐私法规，这些法规目前不是强制性的;那么，违规行为就变成了未能遵守法规。

这与美国环保署监管环境污染物的方式类似。工厂有法律义务限制它们排放到环境中的微粒数量。如果他们超过这些限制，他们将受到罚款。没有必要等到癌症病例意外激增时才采取行动。问题是可以理解的，法规已经到位，企业可以决定是建煤炉还是太阳能电池板的工厂，如果他们不遵守本质上最好的做法，制裁就等着他们。这是我们需要走的方向。

美国公平资讯实务守则(1973年)

《公平资讯实务守则》以五项原则为基础：

1. 不得存在保密的个人资料记录系统。

2.必须有一种方法让一个人知道记录中有关于他的哪些信息，以及这些信息是如何被使用的。

3.一个人必须有一种方法来防止为一个目的而获得的关于该人的信息在未经该人同意的情况下被用于或用于其他目的。

4.一个人必须有一种方法来纠正或修改关于他的可识别信息的记录。

5.任何创建、维护、使用或传播可识别个人数据记录的组织都必须确保数据用于其预期用途的可靠性，并必须采取预防措施防止数据被滥用。

可以肯定的是，使系统更安全需要花钱，如果可能的话，公司会以更高价格的形式将这些成本转嫁给用户。但用户已经在为不安全的系统支付额外的成本：隐私泄露的直接和间接成本。让公司为违规行为承担责任，将这些成本转嫁给了他们，作为副产品，会促使公司提高其安全性。经济学中的相关术语是“最小成本规避者”(least cost avoider):将责任分配给拥有数据的实体在经济上是有效的，因为它处于最大限度降低风险的最佳位置。想想看——如果你想让Facebook更好地保护你的数据，你能做些什么?不多。经济学理论认为，这就是为什么公司应该承担不良安全措施的成本。

规范数据使用

与欧盟不同，在今天的美国，关于你的个人信息不是你的属性;它归收集者所有。法律保护特定类别的个人数据一一金融数据、医疗信息、学生数据、录像带租赁记录一一但我们没有像欧洲国家那样广泛的隐私保护法律。但广泛的法律保护确实是唯一的解决方案;让市场来解决这个问题，会导致更具侵入性的大规模监控。

举个例子。Dataium是一家跟踪你在网上买车的公司。它会监控你对不同制造商网站的访问:你在看什么类型的车，你点击了哪些选项来获取更多信息，你研究了哪种融资选项，你在任何给定页面上停留了多长时间。经销商为这些关于你的信息付费一一不仅仅是关于他们出售的汽车的信息，还有你看的其他制造商出售的汽车。他们为这些信息付费，这样当你走进展厅时，他们就能卖给你一辆更有利可图的车。

想想这里的经济学。当你买车的时候，这些信息可能会让你(大概估计)在最终价格上多花300美元。这意味着它的价值不超过300美元，可以保护你免受Dataium的攻击。但美国每年售出1600万辆汽车。即使你假设Dataium只拥有与其中2%相关的客户信息，这也意味着它对公司来说价值约1亿美元，以确保其策略有效。

这种不对称就是市场解决方案往往失败的原因。这是一个集体行动的问题。保护我们免受Dataium的侵害对我们所有人来说价值1亿美元，但我们不能有效地协调。Dataium自然会把汽车经销商团结在一起，但我们消费者团结起来的最佳方式是通过集体政治行动。

使用点是一个合理的监管点，因为很多信息我们的信息之所以被收集，是因为我们希望如此。当这些信息被以我们不希望的方式使用时，我们会反对:当它被存储、共享、出售、关联，并以某种隐秘的方式操纵我们时。这意味着我们需要限制我们的数据如何被使用，特别是限制与收集数据的目的不同的方式。

当企业将其底层算法视为商业机密时，就会出现其他问题:谷歌的PageRank算法(它决定了你看到的搜索结果)和信用评分系统就是两个例子。这些公司对保密性的担忧是合理的。他们既担心竞争对手会模仿他们，也担心人们会想出如何利用他们。但我相信，当算法对公众产生直接影响时，透明度比专利主张更重要。与目前相比，更多的算法可以公开一一或者重新设计以使它们能够公开。多年来，借贷真相法和公平借贷法要求金融机构确保他们使用的算法既可解释又具有法律上的可辩护性。强制性的透明度需要扩展到算法对人有影响力的其他领域:它们必须是开放的。此外，有一些方法可以在不公开的情况下审计算法的公平性。

企业往往是理性的风险评估者，并且会遵守监管。要做到这一点，关键在于监督和问责。这并不是什么不寻常的事情:在我们的社会中有许多受监管的行业，因为我们知道他们所做的事情既重要又危险。个人信息和用于分析它的算法也没有什么不同。一些定期的审计机制将确保企业遵守规则，如果他们不遵守规则，就会受到惩罚。

这一切在理论上讲得通，但实际上很难做到。我们最不希望看到的，就是政府开始对我们的数据说，“你只能做这个，不能再做别的”。以许可为基础的监管会扼杀技术创新和变革。我们想要基于权利的监管—一基本上，“你可以做任何你想做的事，除非它被禁止。 99

也要规范数据收集

规范数据使用是不够的。隐私需要在很多地方得到规范:收集时、存储时、使用时、争议时。经合组织隐私框架很好地阐述了它们，它们都是必不可少的。

美国公司多年来一直在努力说服世界，我们不需要对数据收集进行监管，只需要对数据使用进行监管。公司试图消除对数据收集的任何限制，因为他们知道任何使用限制的定义都很狭隘，一旦他们掌握了我们的数据，他们就可以慢慢扩大这些限制。(反对任何特定数据使用监管的一个常见论点是，这是一种审查形式。)他们知道，如果收集限制已经到位，要改变它们就困难得多。但就像政府的大规模监控一样，对隐私的伤害来自于数据的简单收集，而不仅仅是数据的使用。还记得第10章关于算法监控的讨论吗?不受限制的公司收集将导致广泛的收集，与政府的广泛共享，以及缓慢地削弱