尼日利亚国家身份管理委员会(NIMC)表示,其国家身份数据库完全托管于尼日利亚境内,并由自有员工管理。此番表态之际,数字身份验证在公共服务中的地位日益重要。

NIMC战略项目办公室主任Alvan Ikoku在周三的记者会上披露了相关细节,回应了关于尼日利亚人身份数据存储在哪里、谁掌控底层基础设施,以及委员会如何防范数据泄露的关切。

Ikoku表示:"这些数据由尼日利亚人管理——不是尼日利亚的供应商,而是NIMC自己的员工。"他强调,NIMC从未将身份数据托管在尼日利亚境外,核心数据库不使用云托管,并配备了灾备系统,以确保系统故障时服务仍能持续运行。

此番言论发布之际,数据本地化日益主导着尼日利亚关于公民个人信息控制权的讨论。将数据保留在国境之内解决的是存储位置问题,但保护数据还需要对谁可以访问数据进行有效管控,并在数据被滥用时追究责任。

据NIMC介绍,截至2026年9月,已有1.42亿尼日利亚人注册了全国身份识别号码(NIN)——即分配给每位注册人员的唯一标识。一旦发生数据泄露,数百万人的个人信息可能被曝光;而系统宕机则可能干扰基本公共服务。仅靠本地托管无法保证安全;严格的访问控制、监控以及对滥用的问责同样至关重要。

Ikoku表示,NIMC在内部维护其核心数据库,并让员工——尤其是负责数据库管理的员工——持续接受安全机构的审查。他补充说,员工如有不当行为可能面临法律后果。

中央数据库由内部掌控,并不意味着NIMC监管着身份数据被访问的所有环节。持牌合作伙伴和接入的政府机构也参与提供验证服务,这产生了更多必须对个人信息访问加以管理和保护的节点。

以往的安全担忧主要集中在通过验证渠道进行的访问,而非中央数据库遭到确认性入侵。2024年3月,关于XpressVerify——一个提供尼日利亚人身份数据的网站——的报道,引发了外界对该平台如何获得访问权限的质疑。NIMC当时表示,XpressVerify并非持牌合作伙伴,并下令调查授权验证代理或其分许可方是否违反了许可协议。尼日利亚数据保护委员会随后表示,NIMC曾暂停数据库访问,之后才向提供基本公共服务的机构恢复了有限访问。

这一事件了数据驻地与访问治理之间的关键区别。将身份记录存储在尼日利亚境内的基础设施上,本身并不能防止经由获授权请求验证的组织造成的泄露——随着更多机构接入身份系统,这一风险还会加大。

Ikoku表示,约63个政府机构已与NIMC完成对接,涉及考试、学生贷款、消费信贷和医疗保险等领域的组织。

Ikoku说:"机构准备好对接是一回事。我们要做的只是提供应用程序接口,供它们使用。但我在这个数据统一项目中还发现,一些机构尚未达到——该怎么称呼呢——成熟度,即数字化成熟度,甚至无法完成对接中的握手环节。"

据Ikoku介绍,对于系统就绪的机构,通过NIMC的应用程序编程接口(API)接入大约需要72小时。不过,统一记录和系统则需要更多定制化工作。

Ikoku还表示,2026年NIMC法案要求遵守《尼日利亚数据保护法》,并规定了披露已注册人员信息的条件,包括同意、法律义务、公共利益职能、刑事调查和法院程序。

他说,NIMC的职责是验证身份,而不是留存其他组织提出的验证请求背后的原因。

Ikoku表示:"该委员会的职责是协调身份验证和核实,但委员会需要进行的验证可能来自另一个实体。留存该请求或验证的原因不是委员会的职责。委员会不会这么做,其代理机构或受让人也绝不会以任何方式这么做。"

Ikoku说,用户可以通过NIMC的身份验证应用管理并撤回同意,但受法律例外情形约束。不过,此次记者会并未提供使用数据,也没有演示公民如何查询访问记录、对滥用行为提出异议或提交投诉。

Ikoku还表示,在推进身份基础设施现代化的过程中,NIMC正在为数字凭证、证书和数字签名开发相关框架,但技术标准、治理安排和实施条例仍在制定之中。

在尼日利亚境内保留敏感数据的推动力不仅限于身份管理领域。2026年6月,尼日利亚央行指示银行和支付公司在2027年1月1日之前,将本国产生的支付交易数据在本地存储和管理。政府于8月正式确立的"国家主权云计划"同样旨在扩展本地云基础设施。这些待出台的规则,连同央行设定的最后期限,为该国的本地化进程能否从数据存储地点延伸到访问治理方式提供了具体的检验标志。