数据泄露导致客户信息暴露，会给电子商务企业带来巨大的潜在法律责任。美国联邦贸易委员会发布了一份新的PDF指南——《企业数据泄露应对指南》，对该主题进行了阐述。
如今，数据泄露似乎已成常态，无论是雅虎、家得宝，还是最近的密歇根州立大学，都未能幸免。电子商务商家也不能置身事外。我的公司最近处理过几家小型电商企业的数据泄露事件，这些企业因LemonStand电商平台遭到入侵而受到影响。
电子商务商家必须认真对待数据泄露的风险。一旦客户数据在泄露中暴露，企业将面临巨大的潜在法律责任，甚至可能导致企业破产。
但好消息是，根据安全公司Trustwave发布的《2016年全球安全报告》，全球仅有38%的数据泄露事件针对电子商务商店。传统的实体零售店才是主要目标——大约三分之一的整体数据泄露事件涉及从销售终端设备获取的磁条数据。
然而，检测数据泄露往往十分困难。据Trustwave报告称，全球有41%的数据泄露由受害者自行发现，而58%是由监管机构、信用卡公司和银行通知受害者的。网络入侵与发现之间的平均中位时间，外部检测为168天，内部检测为15天。
应对数据泄露
作为电子商务商家，如果你发现或收到数据泄露的通知，应该怎么做？一般来说，应制定应对计划，执行该计划，并对应对措施进行分析评估。
为此，第一步是指定一名数据泄露团队负责人——一位具备基础设施和安全协议经验的关键决策者——与公司保险代理人、执法部门、内部和外部公关团队以及外部法律顾问协作。
选定团队负责人后，需记录与发现泄露相关的事件细节，例如日期、时间和发现方式。
随后，通过更改密码、锁具、访问代码，必要时甚至更换物理钥匙，来消除进一步泄露的风险。
之后，联系执法部门。
评估损害程度
接下来，分析泄露造成的影响。这包括确定哪些个人及可识别个人信息已被泄露，并识别受影响的人员。
此外，还需评估未来再次发生泄露的风险，并聘请外部顾问和专业人士加以补救。
然后，与外部法律顾问合作确定适当的应对措施。这涉及审查公司的诉讼风险，例如过失索赔，或因合同义务（如服务协议或隐私政策）可能引发的索赔。
通知消费者及其他相关方
46个州要求在信息遭到泄露时进行某种形式的通知。一旦识别出诉讼风险，应审查是否符合这些要求。某些州可能要求向总检察长报告或进行公开通知，而其他州则可能要求进行私下通知。
还应通知公司的保险公司，以便在适用的情况下利用网络保险保障。
降低风险
最后，制定一项策略以降低公司与此次数据泄露相关的风险。许多发生数据泄露的公司向受害者提供信用监控服务或身份盗窃监控服务，以减少进一步损失或伤害的风险。其他公司则提供信息手册或甚至某种形式的补偿，以降低其法律责任风险。每种情况都各不相同。
如果您的电子商务公司正面临数据泄露，值得查阅美国联邦贸易委员会（U.S. Federal Trade Commission）最近发布的PDF指南《企业数据泄露应对指南》（“Data Breach Response Guide for Business”），该指南对此主题进行了更详细的阐述。
一如既往，建议对具体情况进行全面审查和分析。