8月19日，已经被大学录取的山东临沂18岁女孩徐玉玉接到一个陌生电话，被骗走了家人东拼西凑的9900元学费，女孩也因此心脏骤停离世。令人心痛的是，近日又有媒体曝出，山东临沭县的大二学生宋振宁也遭电信诈骗，8月22日晚心臟骤停不幸离世。两起事件引发举国关注。
　　根据我国刑法的规定，违法向他人出售或者提供公民个人信息、窃取或者以其他方法非法获取公民个人信息的，构成侵犯公民个人信息罪，情节严重的，判处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，将处三年以上七年以下有期徒刑，并处罚金。如果一方明知对方实施诈骗犯罪，还为其提供公民个人信息的，以共同犯罪论处。
　　但是，在信息大爆炸的时代，每个人的信息都会提供给无数的机构，我们的信息到底是从哪一个信息源泄露出去的，相关办案机关查起来千头万绪，一时很难直接锁定，这让法律对犯罪分子的威慑力大大减小。
　　此外，《刑法修正案（九）》出台之后，非法获取公民信息罪改为侵犯公民个人信息罪，修改后的罪名扩大了适用犯罪主体的范围，但侵犯公民个人信息罪在实际中的判例并不多。
　　一般的盗取信息、侵犯隐私行为——比如被作为商业信息只会按照民事案件处理。
　　据研究，目前城市信息系统安全相关法律法规之所以难以运转、电信网络诈骗受害人权利之所以难以得到救济，主要因素有如下几个。
　　第一，相关侵权行为的归责原则不当。电信网络服务提供者从提供信息服务中大量获利，如170/171骗子专用号段、帮助群发诈骗短信、设立诈骗钓鱼网站等，但没有履行相对应的义务（这包括行政法上的规定、行业标准与生活常理等），一旦发生问题，很容易脱身，把责任统统推给信源（即信息上载者）。而按照过错责任原则，须证明对方有过错方可归责，证明有过错的举证责任在受害人一方。但受害人往往都明显处于弱势位置，该类案件的证据类型往往都是电子数据，往往需要公证，动辄需要耗费上千元的公证费，可能比一次诈骗本身的案值还高，这就使得“徐玉玉们”陷入了维权怪圈。
　　同时，我国民法上对此类侵权行为应承担的责任未有明确规定，仅在《侵权责任法》第36条第三款规定“网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任”，此条款经常被援引用来保护名誉权、隐私权或著作权。
　　第二，民事法律与行政、刑事法律相脱节。国务院《互联网信息服务管理办法》规定“未取得许可或者未履行备案手续的，不得从事互联网信息服务”——这就给查明适格被告提供了基础条件：骗子可以躲在幕后，违规操作的信息服务提供者可不好跑掉。
　　同时，工信部部门规章《非经营性互联网信息服务备案管理办法》强制要求非经ICP备案不得开展网络信息服务。第18、19条规定了信息服务提供者的义务：“不得为未经备案的组织或者个人从事非经营性互联网信息服务提供互联网接入服务……应当记录其接入的非经营性互联网信息服务提供者的备案信息……做好用户信息动态管理、记录留存、有害信息报告等网络信息安全管理工作，根据信息产业部和省通信管理局的要求对所接入用户进行监督。”但《办法》的出台并未明确违反行政法规与部门规章所实施的侵权行为，应当承担什么样的民事责任。
　　第三，对行政不作为的救济存在诸多障碍。根据最高法《关于行政诉讼证据若干问题的规定》第4条：“在起诉被告不作为的案件中，原告应当提供其在行政程序中曾经提出申请的证据材料。但有下列情形的除外：（一）被告应当依职权主动履行法定职责的……”所以问题在于，针对不履行法定职责的行政诉讼，往往需要以当事人的请求为前提，电信网络安全问题的特点是随机性、多发性。
　　而对于某些公安机关立案后不侦查这种不履行法定职责的行为，目前除了内部监督外，救济途径还比较模糊。因为法释〔2000〕8号《最高法关于执行〈行政诉讼法〉若干问题的解释》所排除的受案范围包括“公安、国家安全等机关依照刑事诉讼法的明确授权实施的行为”，这就出现了一个问题：属于公安机关本应该依据刑事诉讼法的明确授权“为”某一行为，但却怠于履行职责，是否属于行政诉讼受案范围？检察机关的立案监督似也难应用于“立案后不侦查”这一问题。
　　综上，想要跳出“徐玉玉困境”，更好地保护城市信息系统安全，就必须使相关法律法规运转起来，并向保护弱者倾斜。