今日讀法訊:在“數(shù)據(jù)為王”的當今社會,海量網(wǎng)絡數(shù)據(jù)在促進技術創(chuàng)新與應用、成為數(shù)字經(jīng)濟發(fā)展的關鍵生產(chǎn)要素的同時,也催生了數(shù)據(jù)過度采集濫用、非法交易及用戶數(shù)據(jù)泄露等數(shù)據(jù)安全問題,數(shù)據(jù)所給企業(yè)帶來的收益,已遠大于其它資產(chǎn)產(chǎn)生收益,數(shù)據(jù)就意味著競爭力。但數(shù)據(jù)泄露的層出不窮,卻直接給企業(yè)造成經(jīng)濟損失并影響其品牌形象。
企業(yè)應如何保護數(shù)據(jù)資產(chǎn),防范數(shù)據(jù)泄露已經(jīng)成為了數(shù)據(jù)安全的重中之重。事實上,在面對數(shù)據(jù)泄露時,多數(shù)企業(yè)是反應遲鈍的。IBM公司報告顯示,企業(yè)發(fā)現(xiàn)數(shù)據(jù)泄露的平均時間是197天,而控制住由此產(chǎn)生的后果還額外需要平均69天。數(shù)據(jù)泄露企業(yè)發(fā)現(xiàn)越晚,損失越大。 數(shù)據(jù)從何處泄露? 一種為企業(yè)對于數(shù)據(jù)的技術管控策略不足到導致的數(shù)據(jù)泄露,技術方面,網(wǎng)站/平臺/應用/系統(tǒng)因為存在安全問題。 另一種來自于人為泄露,內部員工出于利益買賣數(shù)據(jù)或黑客外部攻擊系統(tǒng)獲取數(shù)據(jù)。
數(shù)據(jù)泄露后企業(yè)又該防范數(shù)據(jù)泄露? 根據(jù)企業(yè)的實際情況,梳理當前可能會引起數(shù)據(jù)泄露的情況;針對這些情況,制定相應的保密措施,如今大部分互聯(lián)網(wǎng)企業(yè)數(shù)據(jù)庫安全系統(tǒng)由第三方數(shù)據(jù)庫安全平臺維護。根據(jù)各公司不同的需要和需求,制定不同的數(shù)據(jù)庫安全產(chǎn)品方案,靈活對數(shù)據(jù)庫進行加密或脫敏,風險掃描,數(shù)據(jù)庫防火墻,運維審計等等產(chǎn)品的運用。
1、數(shù)據(jù)庫脫敏系統(tǒng)。一次性對大量敏感數(shù)據(jù)進行脫敏,實時保護敏感數(shù)據(jù), 以此提高網(wǎng)絡數(shù)據(jù)的安全性。
2、數(shù)據(jù)庫運維審計。全面、高效精確行為分析能力,能通過強大的風險行為描述語言,實現(xiàn)對數(shù)據(jù)庫風險和攻擊行為的有效描述;及時告警違反安全策略的訪問行為能力,保證數(shù)據(jù)庫操作滿足合規(guī)性要求;系統(tǒng)自帶數(shù)據(jù)庫風險特征庫,能迅速實現(xiàn)數(shù)據(jù)庫風險檢測和告警。
3、數(shù)據(jù)庫加密系統(tǒng)。敏感數(shù)據(jù)的加密存儲,訪問控制增強、應用訪問安全,安全審計、三權分立,明確了訪問界限,便于及時阻止數(shù)據(jù)泄露的危險,達到數(shù)據(jù)的安全使用。
然而,一邊是不法分子集中火力,尋找漏洞;另一邊是企業(yè),特別是互聯(lián)網(wǎng)服務提供商事無巨細地收集用戶信息。
我國有近40部法律、30余部法規(guī)涉及個人信息保護。《消費者權益保護法》《民法總則》《網(wǎng)絡安全法》《刑法修正案(九)》等法律法規(guī)進一步明確了責任主體、犯罪要件等,織密了法律保障網(wǎng)絡。比如,當相關主體以出售、提供、竊取或其他非法手段獲取公民個人信息超過一定數(shù)量時,就構成刑事犯罪,可以說很具有威懾力。
但對個人信息安全的管理權分散在不同部門,工信、工商、公安等都能管,但都管得不徹底。相關部門要加強聯(lián)動,緊密配合,不能讓公眾求助無門。
企業(yè)也責無旁貸。翟振軼說,現(xiàn)在不少企業(yè)已經(jīng)開始重視保護消費者的信息安全。加大投入,購買技術服務,打上技術“補丁”,完善管理制度,防止“內鬼”的出現(xiàn)。比如幾家快遞公司推出電子掃碼面單,盡量隱去快遞單上的個人信息,受到消費者歡迎。
但整體上,當前企業(yè)的技術、管理手段仍跟不上現(xiàn)實需求。首先,個人信息會在企業(yè)各部門之間流動,許多員工都能接觸,風險點很多。以電商網(wǎng)站為例,從技術、市場到客服都有一定的數(shù)據(jù)訪問權限。不法分子可通過各種手段利誘工作人員,為其提供服務。其次,不同企業(yè)之間合作時共享數(shù)據(jù),導致信息安全存在系統(tǒng)性風險。“大量的數(shù)據(jù)都存儲在‘云’里,企業(yè)不僅要保障自家數(shù)據(jù)庫的安全,不同的企業(yè)更要一起保障‘云’的安全。”
更重要的是,企業(yè)保護公民個人信息的意識還不夠。升級信息保護系統(tǒng),對企業(yè)而言,意味著投入增加。互聯(lián)網(wǎng)企業(yè)不少是創(chuàng)新型公司,實力較弱,對長遠利益考慮不足。應鼓勵、引導社會力量,對企業(yè)信息安全工作開展監(jiān)督、評價和評級等,督促企業(yè)重視這一問題。
個人因信息泄露造成財產(chǎn)等損失,如何維權?翟振軼說,此類案件因金額小、數(shù)量多,公眾想要挽回損失,確實比較困難。但不能選擇忍氣吞聲,應盡快到公安機關報案。如果一定時期內,報案和投訴集中在某個企業(yè)或某個領域,達到立案的標準,相關部門會根據(jù)法律的規(guī)定,采取措施,維護公眾的權益。
個人也應繃緊信息安全這根弦。馮銘提醒消費者,快遞單、收據(jù)等重要信息不要亂扔;下載軟件要認真閱讀隱私條款;在社會網(wǎng)站上盡量不暴露個人信息;分級設置密碼;平時多和父母朋友溝通,減少他們被騙的幾率。
保護公民個人信息,需要政府、行業(yè)、企業(yè)和個人通力合作,打好‘馬賽克’,捂緊錢袋子。