法规遵从工具应运而生

为了监控、审查及执行法规遵从，各种隐私法规遵从工具应运而生。

作为明尼阿波利斯社区健康网络（Community Health Network）的信息系统安全经理，David McLain的主要工作就是确保员工遵守《健康保险可携性及责任性法案》（HIPAA）的要求。这意味着确保受保护的病人健康信息在医院系统的网络里面或者外面传输时没有违反法规。

为了监控、审查及执行法规遵从，McLain采用了名为VIEW for Privacy Protection的自动工具，这个内容监控产品来自科罗拉多州的Vericept Corp.。VIEW表示Vericept智能预警，它使用硬件设备来查出及记录社区健康网络上违反隐私规定的电子邮件、即时消息、聊天会话、对等或者文件共享会话。譬如说，所有未加密病人信息（如帐号、医疗信息或者支付历史）的通信内容都会被自动加以标记和保存，以便以后来检查和采取相关措施。

这种自动功能对社区健康网络能够时时遵守HIPAA极为重要。McLain说: “要是没有这样的产品，我们就不清楚网络上的情况。”

法规压力

在越来越多作为监控及审查隐私法规遵从的自动工具而提供的产品当中，VIEW只是其中之一。Spire Security LLC的分析师Pete Lindstrom说，这类产品的厂商希望能抓住人们关注责任问题而带来的商机，譬如需要遵从与日俱增的隐私法规。

有些隐私法规针对特定行业，譬如HIPAA针对医疗组织的规定以及《金融服务现代化法案》针对金融服务公司的要求。但其他法规影响到多个行业，包括欧洲的数据隐私法规以及加州的《安全事件通知法案》。后者要求公司向顾客通报某些类型的个人数据受危及的安全事件。

Michelle Boggess是佛罗里达州斯特健康保健组织（Baptist Health Care）法规遵从办公室的电子数据安全协调员，他说: “隐私不再仅仅涉及做事是否正确，还涉及做事是否合法。”

为此，许多厂商已提供了法规遵从监控及执行产品。Lindstrom说: “安全领域的每家厂商都希望着手解决隐私问题。”

不过别忘了这一点：大多数工具仍在发展中，其效果在企业环境中基本上也没有得到验证，Roger Brown是年产值20亿美元的医疗组织――杰弗逊健康系统的IT审查员。他说，这类工具想发挥成效，公司先要实施良好的流程和政策。但如果实施得当，这类自动工具带来的效果远好于人工的法规遵从检查。

专业公司

大多数工具属于这两类中的一种: 专门为解决隐私法规遵从而开发的产品; 改变用途、现专注于解决隐私问题的产品，譬如垃圾邮件过滤软件。

几家厂商提供的工具把隐私法规遵从作为主要功能。IBM面向电子商务的Tivoli隐私管理器技术就是个例子，其产品经理Steve Adler说，该产品能与AIX、Solaris和Windows 2000等系统协同工作，旨在能在事务和应用层面监控及执行法规遵从。

公司可以使用Tivoli隐私管理器，把成文的隐私政策变成数字形式的政策，并使用这种政策来控制应用和用户访问敏感数据的方式。Adler说，它为公司提供了集中制订、修改、管理及审查这种政策的方式，规定可以访问哪些敏感信息、谁可以访问、访问目的、如何共享、存储及最终销毁。

专门针对隐私方面的产品包括: Watchfire Corp.的WebXM软件、Vontu Inc.的Vontu Protect以及Liquid Machines Inc.的Liquid Machines。

总部设在马萨诸塞州的Watchfire把其隐私工具作为功能更广泛的网站管理及质量保证工具的一个部件来销售。WebXM可以用来搜索网站，查找信息收集做法、隐私策略链接以及影响隐私的用户跟踪做法和网页安全做法。

同时，总部设在旧金山的Vontu的产品针对内部威胁，让公司可以监控网络，查找所传输的客户或者员工的机密信息――公司副总裁Doug Camplejohn说。

总部设在马萨诸塞州的Liquid Machine的产品则旨在帮助公司通过控制谁在访问、何时何地如何授予了访问权，来保护敏感文档和数据――据CEO Jim Schoonmaker声称。

改头换面者

总部设在渥太华的Coast Software Inc.是改变产品用途、用于隐私法规遵从的厂商之一。Coast的Web Quality Central软件原先是一个网站质量检测工具，如今作为监控隐私法规遵从的工具来销售。

总部设在加州的网上工作公告网站Go Jobs Inc.使用Coast的Web Quality Central来监控网站内容和功能。该软件会定期搜索Go Jobs的5万个网页，查找隐私问题，譬如没有P3P隐私政策的网页、上面链接里面含有个人信息的网页以及可能发生严重数据泄漏的网页。

这家网上工作介绍所的总裁Jonathan Duarte说，Web Quality Central生成的报告让Go Jobs可以详细了解公司的隐私法规遵从情况，以及网站可用性和操作安全标准。

Duarte说: “隐私是我们关注的头等大事。”由于每天大约有7000人在访问该网站，所以一旦个人信息泄露，“我们就会蒙受经济损失，而Coast的软件为我们保驾护航，”他说。

斯特健康保健组织在使用IronMail的政策管理器搜索该医院系统网络上的每一封进出邮件，查找特定的词语、短语或者附件。它能够截住并保存含有受保护病人信息的任何电子邮件。然后，管理员可以允许邮件通过、传送到接收者，或者加以阻挡。

Boggess说: “IronMail帮助我们确认医院里面哪些用户在没有适当保护措施的情况下向公司外面发送病人信息。以前，我们根本没法得到这样的信息。”

IDC公司的分析师Joshua Duhl说，内容保护软件厂商，譬如Authentica Inc.、SealedMedia Inc.和PSS Systems Inc.也在迅速向市场推出隐私法规遵从产品。这类产品侧重于通过加密及执行数据访问、保存、拷贝或者打印方面的政策来提供文档和Web内容发送后的保护。

Duhl说: “法规遵从也许是这些厂商利用这些产品提供价值的最佳机会。所有数字版权管理厂商都有某种法规遵从方案，无论是对数据进行加密，还是确保信息没有泄漏。”

链接一:隐私工具厂商

以下是提供隐私法规遵从监控工具的其中几家厂商:

Authentica Inc. 其SafeRoute产品侧重于确保消息安全发送。

CipherTrust Inc. IronMail结合了加密、防垃圾邮件、防病毒和内容控制等技术。

IBM 面向电子商务的Tivoli隐私管理器提供了实时隐私法规遵从报警功能，最多每秒可以为100个事务提供报警功能。

Liquid Machines Inc. 该厂商的同名产品: Liquid Machines使用代理软件，在数据层面执行访问和隐私政策。

Pedestal Software Inc. Security Expressions这个管理产品允许用户通过改动配置设置来执行法规遵从。

Vericept Inc. VIEW for Privacy Protection结合了语言和数学分析，来查明未遵从法规的内容。

Vontu Inc. Vontu Protect可以监控网络流量，查找通过电子邮件、Web网络、FTP或者聊天等方式离开企业网络的特定的专有内容。

Watchfire Corp. WebXM隐私组件是其更广泛的Web监控工具套件的一部分。

链接二:总有一款适合你

许多厂商提供隐私法规遵从工具，但每个产品针对的是法规遵从的不同方面。

Web观察产品

这类产品让管理员可以搜索网络，查找用来跟踪用户的P3P隐私政策、cookie和网络信标，信息收集方法以及指向可能违反隐私的其他网站的链接。譬如说，Watchfire和Coast Software旨在帮助公司监控网站内容和活动，以便遵从隐私法规。

流量监控产品

其他厂商如Vericept和新兴公司Vontu提供网络内容跟踪产品。譬如，Vericept的产品经理Roger Brown说，该公司的VIEW for Privacy Protection产品利用语言和数学分析功能，搜索网络，查找未遵守企业隐私政策或者安全规定的内容，譬如最初医疗信息或者员工数据。未遵从法规的数据被记录、拷贝及报告。Vontu的产品主要用来防止内部滥用，查找通过电子邮件、FTP或者聊天等方式离开组织的特定部分的专有信息，公司副总裁Doug Camplejohn说。

内容检查产品

不过其他产品旨在保护内容。Liquid Machines和Authentica等厂商提供的产品让公司可以在内容层面执行隐私政策。这些工具让公司可根据用户对某文档拥有的权限，允许或者禁止读取、改动、拷贝或者打印文档等活动。

事务跟踪产品

IBM的Tivoli隐私管理器技术有别于其他产品的一个重要特点是，专注于实时执行隐私政策。这个中间件产品使用隐私政策，控制从应用层对数据库信息进行的实时访问。有了它，公司就能执行及审查与怎样、何时访问及利用关键数据有关的政策。