在51CTO安全頻道特別策劃的的上一篇文章《》里，J0ker給大家介紹了隱私是什么，隱私的構成，以及隱私是如何與外界相互作用和影響。相對于“隱私是什么”這種枯燥的概念來說，在我們之前的討論中穿插的隱私威脅例子更容易引起大家的注意,有威脅的存在自然也就有對應的保護措施，因此，J0ker打算在本文為大家介紹最基本的隱私保護原則和措施。

保護隱私的原則和措施會因為實施這種保護的實體的不同而不同，就像我們在日常生活中常看到的，各種組織機構往往是從管理策略和技術的角度上去考慮如何保護隱私，而個人則會更多的考慮個人意識或習慣上的保護。所以，不管某個隱私保護方法具體是如何實現的，它都可以劃分到個人行為、技術和策略三個分類之一中去。

個人行為：隱私信息的收集者對隱私信息的收集，在大多數時候必須依靠個人自愿提供。這時，如果個人不希望自己的隱私信息被收集者所獲知，通常會采取一些手段，如拒絕提供不愿第三方知道的隱私信息、或提供虛假的、有誤導性的、不完整的隱私信息。一個在日常生活中常見的例子是會員卡，在申請各種收費或免費會員卡的時候，發卡方都會要求申請卡的個人填寫一張申請表，這張申請表上通常要求填寫一些申請人的隱私信息，如教育程度、年收入水平或消費的習慣等。由于發卡方往往沒有辦法或不去驗證這些隱私信息的真實性，許多申請人就會出于保護自己隱私的目的就只填寫一些不完整或虛假的信息。當然，對于一些官方性質的調查或其他要求提供真實有效信息的場合，個人還好是應該提供真實信息的。因此，我們可以總結出這樣一條個人隱私保護的原則：在提供真實的隱私信息并非必要的場合，個人可以通過提供虛假的、有誤導性的或不完整的隱私信息，來達到保護自己個人隱私信息的目的。

技術：這里指的技術是所有能夠用于保護隱私的技術的統稱，如果要進行更細劃分的話，還能劃分成物理安全、加密技術、匿名技術等分類。從保護個人隱私的角度來看，加密技術和匿名技術是當前最為通用的隱私保護技術，加密技術能夠防止非法用戶訪問個人存儲的隱私信息，也能夠保護在通訊網絡中傳輸的隱私信息不被無關或惡意的第三方所解讀；匿名技術（包括反垃圾郵件技術、匿名軟件、代理服務器等）也能夠在個人用戶使用互聯網各種功能時提供相當高的匿名性（隱私的重要組成部分），也可以防止用戶個人信息的意外泄漏。而組織機構則更多的使用物理安全或加密技術等手段來保護隱私數據，如各種物理訪問控制方案及企業級加密產品在各種組織機構中的廣泛使用。顯然，技術也是一把雙刃劍，技術的進步也往往令各種隱私的威脅進一步加大：各種更先進的監視產品、數據挖掘技術和人工智能技術的推出，讓使用者能夠輕而易舉的從海量的數據中定位出一個個人的真實身份。因此：技術領域將成為隱私所有者和破壞者的戰場，如何借助技術的進步來保護自己的隱私，并防御同樣擁有技術進步優勢的隱私威脅，是我們隱私保護探討的核心內容。

策略：隱私保護策略能夠指導組織機構如何對自己的隱私進行保護，尤其是對一些需要收集和使用隱私信息的政府機構或金融機構來說，一個有效的隱私保護策略還是業務順利進行和正面形象的重要保證。比如，個人健康和醫療記錄信息屬于個人用戶最重要的隱私信息之一，但醫療機構或官方部門為了更好掌握某些疾病的流行情況，往往會進行一些醫療記錄的共享使用，這就使個人的隱私面臨更大的泄漏風險。目前廣泛使用的隱私保護策略通常都是根據以下的5個原則制定的：

限制所收集和使用的信息：大多數情況下，并非與某個特定目的相關的個人的所有隱私信息都應該被收集和使用，因此，組織機構往往需要限制收集活動中所涉及到的隱私信息種類和數量。例如，衛生部門對個人醫療記錄的收集和調查，就不能涉及到個人的收入情況和工作資歷。同時，對隱私的信息的使用也應該受到嚴格的限制，組織應該只把收集來的隱私信息用于對應的項目，使用完畢后應該銷毀或封存，否則，隱私信息的使用方 越多，就容易發生隱私信息的意外泄漏事件。

限制外界訪問：外界訪問是隱私泄漏的最大來源，近兩年在零售業頻繁發生的信用卡號泄漏事件就是很有代表性的案例。存儲使用隱私信息的組織應該防止隱私信息被無關或惡意的外部用戶所訪問到，為了達到這個目的，組織可以制定嚴格的安全策略，并部署物理安全、訪問控制、加密技術等方案。

防止內部濫用：所有收集和使用隱私信息的組織都會面臨一個問題，內部人員（通常是企業員工，有時是外包商或合作伙伴）對隱私信息的濫用問題。例如，司法部門的內部人員有可能因為個人原因，使用國家的犯罪信息數據庫查找特定個人的身份信息。要防止內部濫用現象的發生，組織除了要制定嚴格的隱私信息使用規定外，經常對隱私信息的使用記錄進行審核也是必須的。

建立通知制度：不被發現的隱私信息保護制度破壞，危害顯然要比及時發現的大的多。因此，組織對隱私信息受威脅事件響應是越快越好。值得注意的是，這兩年發生的零售業信用卡泄漏案件，涉及的零售商都是被黑客入侵長達半年或更久后才發現問題的，從而導致了巨大的經濟損失和法律上的麻煩。

對上述原則的完善：組織在按照上述的原則制定隱私保護的策略之后，還應該定期或根據外界社會的變化對現行的隱私保護策略進行審閱和修正，以保證在社會和技術的發展下仍保持策略的有效性，并達成指導組織實現隱私信息保護的目的。