ICRC 让人道主义数据保护成为安全与问责问题

摘要

• ICRC 披露，一次网络攻击泄露了超过 51.5 万名高度弱势人群的个人数据和机密信息，包括与家人离散者、失踪人员及其家属以及被拘留者。
• 该事件破坏了支持恢复家庭联系工作的系统，意味着泄露既影响了保密性，也影响了人道主义服务的连续性。
• ICRC 后来的“我们所知”更新至关重要，因为它将负责任的透明度与不安全的技術披露区分开来：该组织解释了受影响人群、安全风险、系统重新上线情况以及安全增强措施，而未公布敏感架构。
• 问责不能简化为数据是否被公开泄露。人道主义数据即使在泄露不易察觉的情况下，也可能造成胁迫、报复、污名化、位置暴露、联系信息泄露、欺诈和信任损害。
• 可信的修复记录必须展示数据最小化、分段托管、供应商监督、访问控制、监控、渗透测试、受影响人员通知、连续性应急方案以及人道主义数字系统的持久保护。

人道主义数据改变了泄露评估方式

ICRC 的初次披露“针对红十字会与红新月会 50 万人数据的复杂网络攻击”指出，攻击泄露了超过 51.5 万名高度弱势人群的个人数据和机密信息。受影响群体包括因冲突、移民和灾难而与家人离散者、失踪人员及其家属以及被拘留者。数据来自至少 60 个红十字会与红新月会国家协会。这不是消费者数据泄露类别。这是一次保护失败，影响到那些处境可能已涉及危险、胁迫、流离失所、拘留、家庭分离或创伤的人群。

ICRC 的后续页面“ICRC 网络攻击：我们所知”提供了更成熟的公开记录。它解释了 ICRC 所知内容、为何保留某些技术细节、系统如何恢复在线以及此次泄露为何凸显了保护人道主义组织在线的必要性。该文件之所以重要，是因为它展示了一种艰难的平衡：公众需要足够细节来信任应对措施，而攻击者不应获得会增加未来风险的系统架构或安全信息。

问责问题始于数据性质。在许多泄露事件中，主要损害模型是身份盗窃、欺诈、垃圾邮件、账户接管或尴尬。这些损害虽重要，但人道主义数据可能带来不同风险。位置信息、家庭联系、拘留状态、移民路线、失踪人员查询、联系方式或保护服务记录都可能产生安全后果。受影响者可能没有资源、法律支持、稳定住房、安全通信或改变自身风险状况的自由。

此次泄露也影响了对人道主义系统的信任。红十字会与红新月会运动要求危机中的人们分享敏感事实，因为这可能有助于家庭团聚、寻找失踪亲属、维护尊严或提供保护。如果人们相信这些事实可能被曝光，他们可能会犹豫是否寻求帮助。这种犹豫可能成为伤害。因此，数据安全是人道主义准入的一部分。

该事件应被视为一个安全-问责问题，而不仅仅是信息安全问题。ICRC 及其运动伙伴控制了服务环境、数据收集、数据保留、托管安排、访问控制、响应和通知。攻击者控制了入侵。受影响者几乎无法控制。这种不对称性产生了责任：尽可能减少数据收集，保护必须收集的数据，并在泄露后支持受影响者。

恢复家庭联系是一个连续性依赖

ICRC 的首次披露称，该组织在攻击后被迫关闭了支持恢复家庭联系工作的系统。这一点很重要，因为该事件同时损害了保密性和连续性。受影响的系统不仅存储数据，还支持人们寻找亲属或了解失踪亲人遭遇的服务。因此，网络攻击在暴露敏感记录的同时也干扰了人道主义工作。

ICRC 的恢复家庭联系背景解释了该计划的重要性。它支持因冲突、灾难、移民和其他危机而离散的人们。该工作中使用的数据可能包括姓名、家庭关系、位置、联系方式和案件信息。这些信息之所以有价值，是因为它们能重建家庭联系。其敏感性也源于同一原因：它们描述了人际关系和脆弱性。

美国红十字会的声明“国际红十字委员会网络攻击”和英国红十字会的声明“ICRC 网络攻击声明”表明，该事件不仅是 ICRC 总部的问题。国家协会和运动伙伴参与了应对和公众沟通。这很重要，因为数据源自全球人道主义网络，受影响者可能是在当地而非日内瓦进行互动。

连续性应急方案是问责记录的一部分。如果数字系统被关闭以控制风险，运动如何继续紧急的家庭联系工作？哪些案件可以手动处理？哪些记录可以安全使用？哪些工作人员可以访问替代流程？如何告知受影响者该怎么做？组织如何避免在不安全的渠道中收集替代数据？这些并非次要问题。它们决定了应对措施是否能同时保护数据和服务。

连续性挑战也暴露了更广泛的人道主义技术问题。数字系统可以提高速度、协调性和覆盖面，但也可能集中风险。一个支持多个国家协会的全球数据库可以扩大规模。如果被攻破，也可能造成集中伤害。负责任的技术设计必须权衡这两点。

损害模型包括胁迫、污名化和位置风险

ICRC 的公开语言强调了脆弱人群和潜在的严重后果。这种框架是合适的，因为风险不限于金融犯罪。失踪人员查询可能揭示家庭关系。拘留相关数据可能揭示状态或位置。移民相关数据可能揭示路线、联系人或脆弱性。家庭追踪数据可能识别冲突环境中的人员。人道主义案件信息即使不包含银行号码或密码，也可能很敏感。

日内瓦解决方案报道称，泄露涉及至少 60 个国家协会的数据，ICRC 的关注点是保密信息，详见“ICRC 网络攻击危及 50 万人数据”。CyberScoop 的报道“大规模网络攻击使红十字会家庭团聚工作停滞，机密数据泄露”强调了家庭重逢工作中断和机密数据泄露。《卫报》的公开报道同样将弱势人群置于故事中心。

风险不需要公开泄露确认才严重。数据可能被复制、查询、出售、私下共享、用于定位或保留以供日后滥用，而不会出现在明显的公开泄露中。受影响者可能永远不知道后续的联系、威胁、诈骗或胁迫尝试是否源于被泄露的人道主义数据。这种不确定性本身就是一种负担。

这种不确定性改变了通知和支持方式。在消费者泄露中，建议可能包括信用监控或密码更改。对于人道主义数据，建议可能需要更具针对性。处于危险中的人可能需要知道是否要更改联系渠道、提醒家人、使用当地红十字会渠道或避免可疑的外联。合适的支持可能因国家、案件类型、安全环境以及与当局或武装行为体的关系而异。

ICRC 决定不公布详细技术架构也是减少危害的一部分。某些透明度可以赋能受影响者和合作伙伴组织。过多的技术细节可能赋能攻击者。问责标准不应要求鲁莽的披露。它应要求有用的披露：受影响类别、风险逻辑、缓解措施、服务连续性、联系渠道和未来保护类别。

数据最小化是人道主义安全控制

数据最小化通常被视为隐私合规原则。在人道主义环境中，它是一项安全控制。最安全的泄露数据是那些从未被收集、从未集中或不再保留的数据。这并不意味着人道主义组织应停止收集关键信息。这意味着每个数据字段都应证明其风险合理。如果一个字段是重建家庭、保护被拘留者或核实案件所必需的，那么它可能值得收集。如果只是因为习惯而保留，则会增加不必要的暴露。

红十字会与红新月会的政策背景文件“保护人道主义数据”之所以相关，是因为它将此次泄露置于更广泛的运动关于人道主义数据保护的讨论中。人道主义组织必须收集敏感信息以开展工作，但他们也需要治理、目的限制、访问控制、保留纪律和数字威胁意识。

数据最小化应是操作性的，而非口号式。组织应了解哪些数据是每项服务所必需的，哪些可以假名化，哪些可以本地存储，哪些必须全球共享，哪些需要严格的基于角色的访问，哪些应过期，哪些绝不应导出到保护较低的环境。组织还应了解如何处理紧急例外情况。危机工作往往会产生快速收集更多数据的压力。这种压力需要护栏。

供应商和托管决策是最小化的一部分。如果第三方或外部托管安排存储了敏感的人道主义数据，数据控制者仍需了解存储了什么、为什么、如何保护、谁可以访问、如何管理漏洞以及如何监控日志。关于 ICRC 泄露的公开记录包括对托管、服务器和承包商背景的讨论。问责原则是，外包基础设施并不能外包人道主义责任。

最小化也有助于连续性。更小、更细分的数据集可能更容易隔离、恢复和沟通。一个庞大且所有权不清的数据集更难保护，也更难在泄露后解释。在人道主义系统中，对数据目的的清晰了解可以在人们急需答案时节省时间。

系统重启动需要安全和信任证据

ICRC 的“我们所知”更新称，系统在安全增强后重新上线，包括双因素认证、高级威胁检测、重启前的渗透测试以及持续监控。这些类别很重要，因为它们展示了超越简单恢复的修复。系统若未加强控制就恢复运行，可能会在维持服务的同时保留相同风险。系统经过测试和增强监控后恢复，则具有更强的问责故事。

NIST SP 800-61 修订版 2“计算机安全事件处理指南”提供了一般事件生命周期：准备、检测、遏制、根除、恢复和事后活动。NIST SP 800-184“网络安全事件恢复指南”强调恢复验证和经验教训。这些是一般指导文件，而非 ICRC 的发现，但它们为评估重启证据提供了有用词汇。

重启证据应包括技术控制和服务控制。技术控制包括修补系统、强化身份、双因素认证、监控、威胁检测、渗透测试、分段和漏洞管理。服务控制包括受影响人员联系流程、合作伙伴沟通、安全应急方案、员工培训和数据保留审查。除非这两个类别都得到改进，否则人道主义平台不算修复完成。

公众不应期望 ICRC 披露确切的漏洞利用路径、详细日志或系统架构。那将带来额外风险。但公众可以期待变化的类别。ICRC 的更新提供了其中一些类别。未来的人道主义数据事件应遵循该模式：解释足够内容以显示认真修复，同时拒绝为下一个攻击者提供地图。

信任证据也需要持续维护。重启前的渗透测试是有用的。持续监控也是如此。但问责问题在新闻周期后仍在继续。控制措施是否重新测试？合作伙伴访问权限是否得到审查？数据保留规则是否得到执行？员工是否接受培训？供应商是否重新评估？受影响者是否得到支持？信任不是通过一个状态页面就能重建的。它需要反复的证明。

归因不确定性不应延迟保护

一些公开评论将此次攻击描述为复杂或国家级。Devex 报道了 ICRC 的观点，即网络攻击具有国家级性质，详见独家报道。ICRC 本身在初次披露中避免公开确定谁应对此负责。这种谨慎是适当的。归因可能很困难，具有政治敏感性，且比受害者保护更慢。

问责标准不应依赖归因。如果涉及国家关联行为体，人道主义和法律影响是严重的。如果涉及犯罪或非国家行为体，安全影响仍然严重。无论哪种情况，受影响者都需要保护。系统需要修复。数据最小化和监控同样重要。

ICRC 关于“网络行动与有害信息”的 broader 政策页面解释了人道主义对冲突中网络行动和平民伤害的关注。该政策背景之所以相关，是因为人道主义组织在数字暴露可能与武装冲突、流离失所、拘留和保护工作交织的环境中运作。针对人道主义数据的网络攻击不仅是针对服务器的犯罪。它可能影响已经受人道主义规范保护的人们。

归因不确定性也影响沟通。组织应避免在证据支持之前过度声称动机或行为体身份。但他们仍可描述对受影响者的风险、受影响的服务以及正在采取的保护措施。准确的不确定性优于猜测。

对于国家和其他行为体，该事件强化了在网络上保护人道主义组织的必要性。ICRC 在泄露后的公开呼吁是不要使用、出售、泄露或分享人道主义信息。这种呼吁可能听起来是道德而非技术性的，但人道主义工作既依赖规范也依赖控制。某些数据应被视为禁区，因为使用它会伤害处于危机中的人们。

供应商监督必须匹配人道主义敏感性

人道主义组织通常依赖外部技术提供商、托管服务、顾问、软件供应商和本地合作伙伴。这种依赖是正常的。问责问题在于监督是否匹配数据和任务的敏感性。处理普通行政数据的供应商带来一种风险。处理失踪人员和拘留相关数据的供应商或平台带来另一种风险。

供应商监督应包括漏洞管理、事件通知、访问控制、日志记录、加密、备份、分段、数据位置决策、分包商控制和退出计划。还应包括人道主义特定要求：数据最小化、安全删除、受限操作访问以及高风险案件流程。通用的安全问卷可能不够。

诸如 UpGuard 的“红十字会是如何被黑的？”和 Twingate 的“红十字会数据泄露讨论”等安全分析讨论了可能的技术路径和经验教训。这些是供应商分析而非 ICRC 官方发现，因此应谨慎对待。它们对于一般观点有用：未修补的关键漏洞、管理访问权限以及不足的分段可能将基础设施弱点转变为人道主义暴露。

供应商问题也延伸到合作伙伴访问。全球人道主义网络可能在不同国家、协会、项目和角色中拥有许多用户。访问控制不能仅是集中策略。它需要操作性审查。谁可以看到哪些案件？哪些角色需要完整数据？哪些角色可以在有限字段下操作？如何移除不活跃账户？如何记录紧急访问？当当地能力参差不齐时，如何支持国家协会？

因此，ICRC 泄露后的问责记录应包括供应商和访问治理。仅加固被攻破的系统是不够的。组织必须了解更广泛的数据共享模型是否仍然与人道主义需求成比例。

受影响者支持很困难但至关重要

在人道主义数据泄露后支持受影响者比在零售泄露后支持消费者更困难。一些受影响者可能流离失所、被拘留、失踪、处于不安全环境、离线或只能通过本地中介联系。一些人在联系渠道被监控的情况下可能因直接联系而受到伤害。一些人可能不理解风险的数字性质。一些人可能需要当地语言和当地安全背景下的建议。

ICRC 的“我们所知”页面讨论了通知受影响者和与国家协会合作。这种本地伙伴关系很重要。受影响者可能更信任当地的红十字会或红新月会办公室而非网站。他们也可能需要针对具体情况的指导。一封通用电子邮件可能不安全或无效。

Privacy108 的“红十字会数据泄露评论”和 Sovereign Sky 的“人道主义数字威胁分析”是二次评论，但它们指向同一问题：人道主义泄露应对必须考虑受影响者的尊严、安全和能动性。通知不仅是法律复选框。它是保护的一部分。

受影响者支持应包括清晰的联系渠道、可疑外联的警告标志、可能涉及的数据类别解释以及关于人们可以做什么的现实指导。还应包括对工作人员和志愿者的支持，他们可能需要向处于困境中的人解释泄露事件。这些一线工作者需要脚本、上报路径和安全指导。

组织还必须避免将过多负担转嫁给受影响者。不应要求失踪人员家庭解决由人道主义系统泄露引发的数字安全问题。收集和存储数据的机构必须承担更大的修复负担。

更广泛的人道主义部门需要共享保护标准

ICRC 事件不应仅被视为一个组织的失败。人道主义组织作为一个部门面临日益增长的數字风险。他们收集敏感数据，在冲突和危机环境中工作，跨境协调，并依赖信任。因此，此次泄露应推动制定人道主义数据的共享保护标准。

该标准应包括数据映射、目的限制、保留限制、基于角色的访问、供应商保证、安全托管、漏洞管理、加密、日志记录、事件响应、受影响者通知、连续性规划。还应包括一个文化原则：人道主义数据应被视为保护材料，而不仅仅是行政材料。

标准必须是实用的。较小的人道主义组织可能缺乏大型机构的资源。共享工具、模板、培训、安全平台和捐助者支持可以提供帮助。捐助者不应在未资助安全和治理的情况下资助数字扩展。一个收集敏感数据但保护资金不足的项目会制造隐藏风险。

该部门还需要针对攻击者和国家的规范。人道主义组织不应成为目标，关于弱势人群的数据不应被用作筹码。ICRC 在泄露后的呼吁提醒我们，技术安全和人道主义规范都是必要的。控制减少了机会。规范减少了接受度。

最终的衡量标准是受影响者能否安全地寻求帮助。如果数据系统变得如此风险重重，以至于脆弱人群回避人道主义服务，那么援助的数字转型就失败了。安全必须成为准入的一部分。

剩余未知数与问责问题

公开记录仍存在空白。它没有披露完整的技术架构、完整的取证日志、完整的攻击者身份、每个受影响字段、每个合作伙伴系统、每个供应商控制或每个长期监控结果。这些空白并非自动失败；一些细节应保密。问题在于是否有足够证据证明修复的可信度。

已知信息是实质性的。ICRC 披露了一次影响超过 51.5 万名弱势人群的重大泄露。泄露涉及来自至少 60 个国家协会的数据，并中断了恢复家庭联系系统。ICRC 公开描述了受影响类别、潜在危害、系统关闭、系统重啟、安全增强以及对人道主义数字威胁的持续关切。运动伙伴和新闻媒体放大了规模和公共相关性。

问责问题是：人道主义数据环境在泄露后是否变得更安全？数据是否得到最小化？访问控制是否加强？系统是否分段和监控？供应商是否重新评估？漏洞是否修补和测试？受影响者是否以安全方式联系？家庭联系服务是否在更强控制下恢复？部门规范和捐助者期望是否加强？

对于 ICRC 和运动伙伴，修复责任是持续的。单一事件页面无法结束风险。人道主义数据保护需要反复的证据：审计、演练、访问审查、保留执行、合作伙伴培训、供应商保证以及安全的受影响者沟通。对于国家和其他行为体，责任是尊重人道主义数据，避免使弱势人群面临风险的网络行为。对于捐助者，责任是资助保护，而不仅仅是数据收集。

ICRC 泄露应被记住，因为它使利害关系变得可见。人道主义数据可以帮助重建家庭和保护人们。相同的数据如果泄露，会增加恐惧和风险。问责始于同时把握这两个真相。

案例文件分离是一种设计选择

一个实际经验是，并非所有人道主义案件都应处于相同的风险层次。对于相对安全背景中人员的追踪查询、拘留相关记录、活跃冲突中的失踪人员档案以及涉及保护风险的移民案件，它们都支持人道主义工作，但并不具有相同的泄露后果。一个成熟的系统应根据敏感性和需要知晓的访问权限来分离案件类型。

这种分离可以是技术性的和程序性的。技术分离可能包括分段数据库、对高风险案件更强认证、对导出的额外批准、更严格的日志记录和更短的保留期。程序性分离可能包括员工培训、案件标记规则、敏感类别的上报以及定期访问审查。关键在于“人道主义数据”并非一个无差别的池子。

案例文件分离也有助于事件响应。如果组织能够识别哪些系统、项目和敏感性层受到影响，它就能更准确地沟通，更有效地支持受影响者。如果所有记录混合在一起，通知范围会更广但用处更小。公众可能听到一个大数字，而风险最高的人群可能无法迅速收到定制指导。

ICRC 事件涉及与恢复家庭联系及其他敏感工作相关的数据。公开记录不允许局外人详细判断内部敏感性模型。但该事件使设计问题变得不可避免。一个案例类别越敏感，组织就越应能够（至少内部及对可信监督者）解释为何收集数据、保留多久、谁可以访问以及适用哪些额外控制。

这不仅仅是隐私工程偏好。这是通过架构进行保护。人道主义组织通常在人们无法依赖强大法律救济的环境中工作（如果数据被滥用）。架构成为其防御的一部分。

工作人员和志愿者安全是受影响者保护的一部分

此次泄露也提出了工作人员和志愿者问题。人道主义数据系统由来自不同国家、角色和技术培训水平的人员使用。强大的中央系统仍可能因凭据重用、网络钓鱼、过多权限、共享账户、未管理设备或不明确的访问取消而削弱。数据保护计划必须支持使用系统的人员，而不仅是加固服务器。

双因素认证（ICRC 提到作为重启安全的一部分）是有意义的步骤。它降低了失窃密码的价值，并有助于保护跨分布式用户的访问。但认证仅是一个层面。员工需要关于可疑链接、安全案件处理、设备安全、安全通信和上报的实用培训。志愿者和当地员工可能需要更简单的工具和更清晰的支持，因为他们通常在压力下且资源不均衡的情况下工作。

访问审查应友好但严格。人道主义组织依赖信任，但信任并不要求广泛访问。帮助一项本地活动的志愿者可能不需要全球案件搜索。变更角色的员工可能不再需要访问权限。为紧急情况创建的合作伙伴账户可能需要设定过期时间。每一个多余的权限都是未来泄露的放大器。

组织还应保护员工免受事后不可能实现的期望。一线工作人员可能需要在自身对技术事件知之甚少的情况下回答受影响者的问题。他们需要批准的解释、上报渠道和安全指导。如果员工即兴发挥，他们可能过度承诺、低估风险或意外暴露额外信息。

因此，人道主义数据保护包括劳动力支持。受受影响社区信任的人员必须能够解释发生了什么以及组织正在做什么。信任是关系性的。即使技术修复强大，如果本地解释混乱，仍可能失败。

捐助者和董事会应为枯燥控制提供资金

人道主义工作中的网络韧性通常与紧急项目交付竞争。捐助者希望服务交付。组织希望帮助更多人。数字平台承诺效率。安全控制、审计、访问审查、保留项目和供应商评估可能看起来缓慢或行政化。ICRC 事件显示了为什么这些“枯燥”控制是使命的一部分。

捐助者应提出不同的问题。如果一个项目收集敏感数据，安全是否得到资助？数据最小化是否得到资助？当地员工培训是否得到资助？系统启动后的维护是否得到资助？供应商是否得到评估？事件响应演练是否得到资助？受影响者通知和翻译资源是否有计划？没有保护预算的人道主义数据项目是不完整的。

董事会和高级领导也应要求证据而非安慰。有多少敏感系统有最新的数据映射？有多少高风险数据集有保留规则？访问权限多久审查一次？有多少供应商合同包括事件通知和审计权？恢复演练多久进行一次？泄露后组织能多快识别受影响的案件类别？这些问题足够操作化以推动改进。

资金也影响总部与当地合作伙伴之间的公平。中央组织可能有强大的安全团队，而当地合作伙伴或国家协会可能资源较少。如果数据跨网络流动，保护标准不能假定各地能力相同。共享工具、培训、默认安全的平台以及当地实施资金是负责任数据治理的一部分。

董事会层面的问责测试是领导层是否将数字保护视为项目质量。一个无法保护家庭联系数据的家庭联系服务，即使到达许多人，也不是高质量的。规模若缺乏保护可能增加伤害。

公开沉默可保护系统但损害信任

人道主义组织面临艰难的透明度问题。如果他们发布太多技术细节，可能帮助攻击者。如果发布太少，受影响者和合作伙伴可能失去信任。ICRC 的回应值得注意，因为它提供了公开更新，同时保留了敏感技术细节。这通常方向正确，但应被理解为结构化的透明度模型，而非例外。

结构化透明度始于受众。受影响者需要实用的风险和支助信息。国家协会需要操作指导。捐助者和董事会需要治理证据。安全同行可能通过可信渠道需要指标或经验教训。公众需要足够的背景来理解严重性。这些受众不需要所有相同细节。

结构化透明度也随时间变化。早期声明可承认不确定性和即时步骤。后续更新可添加受影响类别、系统恢复状态、安全增强和部门经验。再之后，年度报告或治理更新可展示建议如何得到落实。一次性泄露通知对于涉及全球规模脆弱人群的案件是不够的。

当组织仅在法律要求时或仅以模糊语言发言时，信任受损。当他们解释所知、所不知、正在做什么以及为何某些细节不能分享时，信任增强。ICRC 的“我们所知”格式很有用，因为它将不确定性列为记录的一部分。其他人道主义组织应在需要之前采用类似纪律。

公众也应理解保密和问责可以共存。组织可以说它在没有发布利用细节的情况下改进了监控、认证、渗透测试、访问审查、供应商监督和数据最小化。它可以在不披露敏感目标信息的情况下报告建议关闭情况。透明度问题虽难，但可控。

人道主义中立依赖于数据中立

ICRC 的授权与使命，如其授权与使命页面所述，依赖于中立、独立和信任。数字系统可以支持这一使命，但它们也可能引发问题：谁可以看到人道主义数据，以及数据是否可能被冲突各方、罪犯或敌对行为体使用。因此，数据中立是人道主义中立的实际延伸。

数据中立意味着人道主义数据不应成为监视、胁迫、定位、宣传或商业利用的工具。安全控制有助于执行这一原则。法律协议、访问政策、最小化、加密和员工规范也是如此。泄露后，组织必须展示它仍然值得信任作为中立的數據管理者。

这一原则不仅对 ICRC 重要。人道主义组织越来越多地使用数字身份工具、生物识别、现金转移系统、移动应用程序、地理定位、消息平台和共享案件管理系统。每个工具都可以改善服务。每个工具也可能留下数据痕迹。该部门需要一种共同语言来说明何时数字收集是合理的，何时过度，以及人们如何在不放弃不必要信息的情况下获得帮助。

数据中立还要求抵制来自强大行为体的压力。政府、武装团体、捐助者或合作伙伴可能出于原始人道主义目的之外的原因要求访问人道主义数据。强有力的数据治理模型必须定义拒绝、上报和法律审查。泄露是一种未经授权的访问；胁迫或使命漂移的访问可能是另一种。

ICRC 泄露使未经授权的访问变得可见。更广泛的问责经验是，人道主义数据应受到保护，免受所有形式的滥用，无论是技术性的还是制度性的。

指标应衡量保护，而非仅合规

泄露后，组织常报告合规里程碑：政策更新、培训交付、控制实施。这些虽有用但不完整。人道主义数据保护需要衡量受影响者和敏感项目是否真正更安全的指标。指标应将控制与使命风险联系起来。

有用的指标可能包括：当前数据映射的高风险数据集百分比、上一季度审查的账户百分比、处于增强访问控制下的高风险案件数量、保留记录的使用年限、供应商安全例外数量、检测可疑访问的时间、隔离受影响系统的时间以及以相关语言提供受影响者指导的时间。这些指标都不需要公开透露案件细节。

组织还应衡量删除和最小化。有多少数据因不再需要而被安全移除？表单中删除了多少字段？有多少案件类别被移至更严格的保留？有多少导出被禁用或限制？在人道主义工作中，减少数据可能如同添加安全工具一样具有保护作用。

指标应包括演练。组织是否演练过家庭联系系统的泄露？是否演练过通知国家协会？是否演练过安全的受影响者沟通？是否测试过紧急案件的连续性？是否演练过供应商上报？演练揭示仪表板无法显示出的差距。

最后，指标应受到治理。如果领导层只看到合规完成，他们可能认为风险已关闭。如果领导层看到未解决的高风险数据集、过时的访问、延迟的补丁或未经测试的连续性，他们可以为下一步控制提供资金。问责需要令人不安的指标，而不仅仅是令人放心的指标。