昨天（3月20日）下午，百度召开信息安全沟通会，针对事件的调查过程及结果进行现场说明，并展示经三方公证的“

　　事件发生以来，百度对当事员工的“历史数据申请记录”、“权限记录”、“数据查询”等多项权限和操作日志进行了调查与审计，确认其没有百度用户个人身份信息的数据权限，也未登录任何百度数据库和服务器。经核实，确认开盒信息并非从百度泄露。该过程，全程经过三方现场公证。

　　针对“开盒事件”发生后网上流传的“当事人承认家长给她数据库”截图，经核实发现，该截图的内容信息不实，事实为博主收到家人红包后，在平台晒出红包截图，博主回复“我家长给的”，本意是想说明红包的来源，与“开盒”无关，事件发生后的大量传递信息均为不实。

　　◎用户注册账号阶段，即实施假名化处理，降低数据泄露风险，提高数据合规性；

　　◎对数据实施加密，对敏感数据进行严格隔离，并依托数据安全管理平台，实现数据管理、权限控制及安全审计的统一管控；

　　◎遵循国际公认的风险控制理念，建立“基础防守”、“制度&能力&风险专项”、“稽查&内部审计”三道安全防线。

　　截至目前，百度已先后参与编制80多项国际及国内安全标准，累计获得104项权威安全认证。

　　百度表示，在相关政府部门的指导下，积极做出响应和倡议推进“反开盒”联盟的成立，共同加强数据隐私防护，严厉打击非法数据窃取及泄露行为，筑牢网络安全防线，共同维护清朗网络空间。

　　A：3月17日，我们接到外部举报，并立即成立了一个由内部安全专家组成的独立专项小组，开展调查与审计工作。小组成员与当事人之间不存在任何利益关系。

　　经过对各个系统的反复审计，我们很快得出了结论。于18日，在公司内网分享了调查的最终结果：经过严格的数据安全审计，排除谢广军泄露嫌疑，并定位了真实泄露渠道。

　　我们在调查过程中，对他的“历史数据申请记录”、“权限记录”、“数据访问记录”以及“数据库服务器登录日志”等进行了调查和审计，确认其没有百度用户个人身份信息数据权限，也没有登录任何百度“数据库”及“服务器”。此外我们对其相关日志进行审计，在审计周期内未发现有异常访问行为。

　　那么，开盒事件中的数据究竟来自什么地方呢？我们从多重维度展开调查。首先，对被举报人进行了问询，他的女儿透露了她的“开盒”渠道，并提供了一个路径。只要在海外网站上进行搜索，就能够找到这条路径，并且通过这一个路径很容易进入社工库。

　　同时，通过在社会化媒体广泛流传的一张图片也印证了这一点。标注图标处，即为一款在国外应用市场可下载的国外T某加密聊天软件的应用图标；也非常容易识别出，图片中的界面和国外T某加密应用的界面是一模一样的。

　　但只是这样也不足为信，我们一定要要复现这样的一个过程，并最终通过公证机构对该过程进行公证，以确保其法律上的约束力和公信力。

　　果不其然，过去几天，因为媒体铺天盖地的报道，我们得知这个社工库今天早上暂停了，这个结果也是保护了一些人。

　　Q：百度采取了哪些具体的技术和管理措施来保护数据安全？百度的数据访问权限是怎么设定的？

　　A：我们现在实施的安全体系很复杂，以一个场景举例，我们实施了假名化的处理。用户刚刚注册时，我们会给他生成系统内对应的假名系统ID，只有这个ID，是不知道他是谁的。

　　在系统里，我们是用假名去做流转，任何业务系统中都不存在这个信息。然后，我们把所有信息专门抽离，成为一个账号系统。当然，所有大的互联网公司都在这么做，所以只做假名化处理还远远不足，这些所有敏感信息都会进行加密。数据是加密的，无法被使用，因为加密的钥匙是隔离存储和管理的。也就是说我们有两把钥匙，这两把钥匙分别加密着不同的数据，同时我们还通过数管平台对权限进行统一管理和权限分离，只有钥匙配合权限一起才能使用。

　　这只是第一层的防护，是技术方法。（我们）在内部不断进行攻防演练，用黑客的视角查找我们的系统有没有安全风险隐患，如果有隐患第一时间修复，形成这一套不断演进的安全技术防御体系。

　　为了让我们的系统更安全，我们还需要建立第二道的制度策略，也就是管理防线；还有第三道防线，是职业道德稽查的防线，定期对敏感的行为做审计，看有没有异常访问行为，这三套防线也是对应国际公认的风险控制的理念。通过三道防线和前面的一套数据安全的体系去保障数据安全。

　　Q：百度在数据安全与隐私保护方面的投入情况？安全团队的专业性？是不是具备应对复杂安全挑战的能力？

　　A：自2014年起，百度建立了漏洞收集及应急响应平台，公开邀请第三方安全技术专家以及用户来提交安全漏洞并开展修复，也很谢谢这些专家们。

　　不仅如此，百度还积极地参加国内外各种安全标准的建设，先后参编了国内外80多项安全类标准，并且通过了104项权威安全认证。其中一些有代表性的认证，例如，个人隐私信息保护认证PIP，这是“个人隐私信息保护法”发布以后专对于个人隐私信息保护的国家级认证，百度在认证推出很早期就已经通过；第二，百度也是在“数据安全法”出来后，首批通过数据安全管理认证DSM的企业；同时，百度还是国内首家取得数据安全能力成熟度四级认证的企业。这些认证代表着，在数据安全与隐私保护上，百度已达到了国际及国内行业认可的安全管理和技术标准水平。

　　在技术管理之外，深化全体员工对信息安全与隐私保护领域的认知与重视至关重要。在百度，除了新入职的同学会100%接受安全培训和考核外，我们每年还组织统一的全员安全意识考核考试，要求全员必须100%的通过率，事实上我们也做到了。此外，自2014年起，值每年国家网络安全宣传周期间，百度也会配合组织面向全员的“安全宣传月”活动，集中强化全体员工的安全意识与攻防技能。每年安全月的参与人数超过7万人次。此外，我们还通过常态化的模拟真实网络钓鱼攻击，让员工在实战中提升网络安全攻防技能。

　　Q：此次事件引发了外界对数据隐私的担忧，作为普通用户应如何保护自身的隐私？有哪些建议？

　　◎妥善设置权限：合理设置社交平台的隐私选项；在安装应用程序时，仔细查看并谨慎授予应用所需的权限，避免授予不必要的权限，如位置信息、通讯录、摄像头、麦克风等权限；

　　◎不访问未知网站：不要随意点击来路不明的链接，以防进入钓鱼网站或感染恶意软件，导致个人隐私信息被盗取；

　　◎多样化网名与密码策略：在不同平台尽量使用不相同的账户名和密码，在游戏中或其他网络社区中，保持匿名或使用昵称，减少被搜索到的可能性；

　　◎使用安全的密码管理工具：避开使用简单容易猜到的密码，如姓名缩写、生日、手机号等。能够使用密码管理工具管理密码；

　　◎提高警惕意识：不轻易相信陌生人的请求和信息，对于一些不明来源的调查、问卷、抽奖等活动要保持警惕，避免因贪图小便宜而泄露个人隐私信息。同时，要关注个人隐私信息保护的相关法律和法规和安全知识，逐步的提升自身的隐私保护意识和能力。

　　A：我们承诺，在相关政府部门指导下，百度愿联合网络安全行业及社会组织，共同推进“反开盒联盟”建设，通过技术方法协助受害者应对隐私泄露问题，并协同打击黑灰产链条。尽管这不是一朝一夕能实现的，但我们要共同努力。

　　最后，希望“开盒”不能成为网络攻击的“盒武器”，让我们大家一起来维护网络安全防线，共同维护清朗的互联网空间；让每一位网民都能安心、快乐地享受数字生活的美好。

　　百度副总裁谢广军之女涉嫌“开盒”网暴孕妇的事件持续发酵。尽管百度多次声明“数据非内部泄露”，谢广军本人也在朋友圈道歉，但公众质疑声浪不降反升。

　　究其根本，是因为这场网络暴力事件，已经演变为一场企业形象“赤字”与隐私保护困境复杂交织的信任危机。

　　一段时间以来，百度高管接连陷入舆论风波：前公关副总裁璩静因争议言论遭批，执行副总裁沈抖公开指责同行“恶意价格战”被指“甩锅”。此次副总裁谢广军朋友圈道歉仅强调“教育缺失”和女儿的未成年人身份，却丝毫未提及对受害者的具体赔偿，这种“轻描淡写”的回应，带着一种高高在上的傲慢。网友的不满，本质上是对科技公司价值观的拷问。

　　受害者“小可”等人的诉求也直指社会痛点：她们拒绝接受“朋友圈道歉”，要求“公开致歉”并追究法律责任。这是普通人对谢广军“圈层内表演”的不满——受害者反而被排除在“圈层”之外，“道歉”由此成为一种姿态而非有诚意的行动。

　　事件中另一个被低估的争议点，是涉事者的未成年人身份与其行为的严重性之间的冲突。谢广军称女儿“情绪失控”导致信息泄露，试图以“青春期冲动”淡化事件性质。但受害者指出，涉事者此前已有多次“开盒”行为，且手段专业、目的明确。这也引发了一个尖锐的问题：未成年人的网络违背法律规定的行为，就能够得到“豁免权”？

　　法律明确规定，监护人对未成年人的侵犯权利的行为负有民事责任。谢广军仅以“批评教育”应对，既未主动赔偿受害者，也未主动配合司法调查，实质是想将“监护责任”简化为“家庭内部事务”。

　　更深层的制度困境在于，针对“网络开盒”的立法与执法仍存在滞后性，尽管《关于依法惩治网络暴力违法犯罪的指导意见》已将“人肉搜索”纳入刑事打击范围，但实践中，此类案件往往因“证据分散”“跨平台取证难”而不了了之。

　　面对个人隐私信息保护的失灵、海外社工库的猖獗、国内黑产的肆虐、平台监管的滞后，平息这场舆情的钥匙，绝不在于更精巧的公关话术。

　　对企业而言，需超越“自证清白”的防御姿态，主动接受第三方数据安全审计，建立高管行为约束机制，将隐私保护纳入企业ESG评价体系，同时主动配合警方打击数据黑产，以透明行动重建企业品牌形象。

　　对社会而言，此次事件应成为推动网络暴力相关法律更完善的契机：明确“开盒”行为的量刑标准，建立跨平台联防机制，同时加快探索跨境数据犯罪联合执法机制，以务实行动重构社会信任契约。