近年來(lái)隨著信息化技術(shù)的飛速發(fā)展，信息安全問(wèn)題已經(jīng)影響到我們的日常生活甚至國(guó)家安全。病毒、惡意代碼導(dǎo)致的計(jì)算機(jī)和手機(jī)等設(shè)備癱瘓、個(gè)人信息的無(wú)故泄露、各種電信詐騙手段、竊取銀行卡賬號(hào)密碼等事件屢見(jiàn)不鮮，以致于造成了嚴(yán)重的政治影響和經(jīng)濟(jì)損失。在網(wǎng)絡(luò)信息技術(shù)高速發(fā)展的今天，信息安全變得至關(guān)重要，甚至已成為全球國(guó)際事務(wù)的重要話題。

不久前，某全球網(wǎng)絡(luò)服務(wù)供應(yīng)商發(fā)生的一起嚴(yán)重?cái)?shù)據(jù)泄露事件，再次震驚了業(yè)界。

據(jù)了解，此次數(shù)據(jù)庫(kù)泄露的信息高達(dá)57.46 GB，總共有3.85億條敏感數(shù)據(jù)。該數(shù)據(jù)庫(kù)不僅包含了大量服務(wù)器、錯(cuò)誤和監(jiān)控日志等日常細(xì)節(jié)，還包含了內(nèi)部操作、員工、供應(yīng)商及客戶等海量數(shù)據(jù)，如個(gè)人姓名、電話號(hào)碼、電子郵箱、客戶活動(dòng)以及敏感的財(cái)務(wù)數(shù)據(jù)等。

與傳統(tǒng)勒索攻擊不同，這次數(shù)據(jù)庫(kù)泄露的主要原因是數(shù)據(jù)沒(méi)有進(jìn)行加密保護(hù)，導(dǎo)致該全球網(wǎng)絡(luò)服務(wù)供應(yīng)商的海量信息在“裸奔”。

而泄露的數(shù)據(jù)庫(kù)敏感信息，則可能被用于有針對(duì)性的網(wǎng)絡(luò)釣魚(yú)攻擊或欺詐活動(dòng)，導(dǎo)致重要數(shù)據(jù)泄露和惡意軟件安裝，這種方式不僅讓企業(yè)更加難以防范，還會(huì)增加二次泄露的風(fēng)險(xiǎn)。

這起泄露事件對(duì)個(gè)人、企業(yè)乃至整個(gè)社會(huì)構(gòu)成的威脅不言而喻，給他們帶去了無(wú)法估量的經(jīng)濟(jì)損失和精神損失。

然而這并非個(gè)例！近幾年，從國(guó)外到國(guó)內(nèi)的泄露事件頻發(fā)，僅看數(shù)字都讓人“觸目驚心”！

01

某企業(yè)宣布，2023 年遭受 Akira 勒索軟件的網(wǎng)絡(luò)攻擊，導(dǎo)致10萬(wàn)人的數(shù)據(jù)泄露，包括客戶、經(jīng)銷商、員工的個(gè)人身份信息。
信息來(lái)源：鄭州市網(wǎng)絡(luò)安全協(xié)會(huì)

02

某國(guó)媒體公開(kāi)一段長(zhǎng)達(dá)38分鐘的錄音，記錄了他國(guó)軍方高層商討軍援另外一國(guó)的絕密內(nèi)容。錄音泄露之后，引發(fā)軒然大波。
信息來(lái)源：光明網(wǎng)

03

某品牌下一代游戲主機(jī)的詳細(xì)規(guī)格在網(wǎng)絡(luò)被頻繁泄露，不僅包括GPU 技術(shù)規(guī)格，還有更多詳細(xì)參數(shù)，此次泄密引發(fā)消費(fèi)者的不信任和擔(dān)憂。
信息來(lái)源：IT之家

01

信息安全泄露四個(gè)途徑

網(wǎng)絡(luò)化時(shí)代，每時(shí)每刻都會(huì)產(chǎn)生大量的信息，這些信息包含大量的敏感數(shù)據(jù)和內(nèi)容。網(wǎng)絡(luò)犯罪者可以利用這些數(shù)據(jù)獲取巨大的利益，他們會(huì)通過(guò)技術(shù)攻擊、網(wǎng)絡(luò)釣魚(yú)等各種非法手段來(lái)獲取數(shù)據(jù)，導(dǎo)致泄露事件頻頻發(fā)生。究其泄密途徑，大多是因?yàn)槿缦聨c(diǎn)：

01

系統(tǒng)配置錯(cuò)誤

錯(cuò)誤的系統(tǒng)配置和不安全的默認(rèn)配置是攻擊者們最喜歡的載體，因?yàn)檫@些錯(cuò)誤的配置信息使他們能夠非常輕松地訪問(wèn)關(guān)鍵業(yè)務(wù)系統(tǒng)和數(shù)據(jù)。

02

勒索軟件攻擊

勒索軟件攻擊是指攻擊者通過(guò)劫持用戶的系統(tǒng)或數(shù)據(jù)資產(chǎn)，實(shí)施以資金敲詐為主要目標(biāo)的違法活動(dòng)。目前，勒索軟件攻擊已經(jīng)成為最普遍、危害最嚴(yán)重的網(wǎng)絡(luò)攻擊形式。

03

內(nèi)部威脅

由于內(nèi)部人員往往是組織默認(rèn)可信的人，通過(guò)合法訪問(wèn)組織的關(guān)鍵資產(chǎn)，內(nèi)部人員可以在無(wú)人監(jiān)管的情況下輕松竊取敏感數(shù)據(jù)或植入惡意木馬病毒，也有一些安全意識(shí)薄弱的員工會(huì)在無(wú)意中泄露企業(yè)的機(jī)密數(shù)據(jù)。

04

第三方數(shù)據(jù)泄露

由于供應(yīng)鏈中某個(gè)環(huán)節(jié)發(fā)生被黑客攻擊或存在漏洞等問(wèn)題，導(dǎo)致企業(yè)數(shù)據(jù)被泄露或者遭受破壞的情況。這不僅會(huì)導(dǎo)致企業(yè)的經(jīng)濟(jì)損失，還可能影響企業(yè)形象和客戶信任度，甚至?xí)?duì)國(guó)家和社會(huì)造成不良影響。

02

如何防止企業(yè)數(shù)據(jù)泄露？

01

加強(qiáng)員工安全意識(shí)培訓(xùn)

通過(guò)加強(qiáng)員工的安全意識(shí)培訓(xùn)，可以提高員工對(duì)敏感數(shù)據(jù)保護(hù)的認(rèn)識(shí)，增強(qiáng)防范意識(shí)。培訓(xùn)內(nèi)容可以包括數(shù)據(jù)安全基礎(chǔ)知識(shí)、常見(jiàn)的數(shù)據(jù)泄露風(fēng)險(xiǎn)以及應(yīng)對(duì)方法等。

建立數(shù)據(jù)訪問(wèn)控制機(jī)制

02

企業(yè)應(yīng)建立完善的數(shù)據(jù)訪問(wèn)控制機(jī)制，確保只有經(jīng)過(guò)授權(quán)的人員才能訪問(wèn)敏感數(shù)據(jù)。例如，設(shè)定不同級(jí)別的數(shù)據(jù)訪問(wèn)權(quán)限，根據(jù)員工的職責(zé)和需要分配相應(yīng)的權(quán)限；定期對(duì)數(shù)據(jù)進(jìn)行審計(jì)和檢查，確保數(shù)據(jù)的完整性和保密性。

03

加強(qiáng)內(nèi)部設(shè)備管理

通過(guò)對(duì)內(nèi)部設(shè)備的管理，防止敏感信息通過(guò)打印、復(fù)印等方式泄露。包括：對(duì)打印機(jī)、復(fù)印機(jī)等設(shè)備進(jìn)行權(quán)限設(shè)置，限制非授權(quán)人員的使用；安裝打印管理軟件，實(shí)現(xiàn)打印內(nèi)容監(jiān)控、打印計(jì)數(shù)、打印審核等功能；定期檢查設(shè)備的連接狀態(tài)和使用情況，防止非法連接和惡意使用。

建立完善的數(shù)據(jù)備份機(jī)制

04

數(shù)據(jù)備份是預(yù)防數(shù)據(jù)泄露的重要手段之一。企業(yè)應(yīng)定期對(duì)關(guān)鍵數(shù)據(jù)進(jìn)行備份，并將備份數(shù)據(jù)存儲(chǔ)在安全的地方。同時(shí)，需要確保備份數(shù)據(jù)的完整性和可用性，以便在需要時(shí)能夠迅速恢復(fù)數(shù)據(jù)。

05

部署SSL證書(shū)

未部署安裝SSL證書(shū)的網(wǎng)站，用戶會(huì)通過(guò)HTTP連接傳輸網(wǎng)頁(yè)內(nèi)容，WIFI節(jié)點(diǎn)、運(yùn)營(yíng)商、路由器等任何傳輸節(jié)點(diǎn)都可能遭到黑客竊取、篡改、惡意注入軟件和廣告彈窗。

已經(jīng)部署安裝SSL證書(shū)的網(wǎng)站，企業(yè)網(wǎng)站升級(jí)到HTTPS加密服務(wù)，將建立SSL安全通道。用戶與網(wǎng)站之間的信息傳輸受到加密保護(hù)，有效避免釣魚(yú)網(wǎng)站、假冒網(wǎng)站的威脅。

SSL/TLS通過(guò)對(duì)網(wǎng)絡(luò)通信進(jìn)行加密，確保數(shù)據(jù)在傳輸過(guò)程中不會(huì)被竊取或篡改，只有接收方具備正確的解密密鑰才能獲取數(shù)據(jù)的原始內(nèi)容。

SSL證書(shū)的主要作用就是激活SSL/TLS協(xié)議，實(shí)現(xiàn)HTTPS加密、保護(hù)數(shù)據(jù)傳輸安全，以及驗(yàn)證服務(wù)器真實(shí)身份。

在政策要求和業(yè)務(wù)需求的雙重推動(dòng)下，廣大網(wǎng)站運(yùn)營(yíng)者應(yīng)及早采用全站HTTPS方案推進(jìn)網(wǎng)站安全加密整改，同時(shí)加強(qiáng)郵件傳輸、即時(shí)通訊等數(shù)據(jù)傳輸場(chǎng)景安全，確保網(wǎng)站運(yùn)營(yíng)與數(shù)據(jù)處理合法合規(guī)。