注 册 登 录 欢迎您,游客!您可以选择
最新公告:

您当前的位置:首页>>学术研讨 学术研讨

大数据安全风险与对策研究——近年来大数据安全典型事件分析
发布时间:2017-07-18 丨 阅读次数:1219



摘要


大数据时代,数据成为推动经济社会创新发展的关键生产要素,基于数据的开放与开发推动了跨组织、跨行业、跨地域的协助与创新,催生出各类全新的产业形态和商业模式,全面激活了人类的创造力和生产力。

然而,大数据在为组织创造价值的同时,也面临着严峻的安全风险。一方面,数据经济发展特性使得数据在不同主体间的流通和加工成为不可避免的趋势,由此也打破了数据安全管理边界,弱化了管理主体风险控制能力;另一方面,随着数据资源商业价值的凸显,针对数据的攻击、窃取、滥用、劫持等活动持续泛滥,并呈现出产业化、高科技化和跨国化等特性,对国家的数据生态治理水平和组织的数据安全管理能力提出全新挑战。在内外双重压力下,大数据安全重大事件频发,已经成为全社会关注的重大安全议题。

综合近年来国内外重大数据安全事件发现,大数据安全事件正在呈现以下特点:(1)风险成因复杂交织,既有外部攻击,也有内部泄露,既有技术漏洞,也有管理缺陷;既有新技术新模式触发的新风险,也有传统安全问题的持续触发。(2)威胁范围全域覆盖,大数据安全威胁渗透在数据生产、流通和消费等大数据产业链的各个环节,包括数据源的提供者、大数据加工平台提供者、大数据分析服务提供者等各类主体都是威胁源;(3) 事件影响重大深远。数据云端化存储导致数据风险呈现集聚和极化效应,一旦发生数据泄露等其影响都将超越技术范畴和组织边界,对经济、政治和社会等领域产生影响,包括产生重大财产损失、威胁生命安全和改变政治进程。

随着数据经济时代的来临,全面提升网络空间数据资源的安全是国家经济社会发展的核心任务,如同环境生态的治理,数据生态治理面临一场艰巨的战役,这场战役的成败将决定新时期公民的权利、企业的利益、社会的信任,也将决定数据经济的发展乃至国家的命运和前途。为此,我们建议重点从政府和企业两个维度入手,全面提升我国大数据安全。

从政府角度,建议持续提升数据保护立法水平,构筑网络空间信任基石;加强网络安全执法能力,开展网络黑产长效治理;加强重点领域安全治理,维护国家数据经济生态;规范发展数据流通市场,引导合法数据交易需求;科学开展跨境数据监管,切实保障国家数据主权,开展国家大数据安全生态治理(图1)。

图1 国家大数据安全生态治理理论模型

从企业角度,建议网络运营者需要规范数据开发利用规则,明确数据权属关系,重点加强个人数据和重点数据的安全管理,针对采集、存储、传输、处理、交换和销毁等各个环节开展全生命周期的保护,从制度流程、人员能力、组织建设和技术工具等方面加强数据安全能力建设,构建大数据安全能力成熟度模型。

图2 企业大数据安全能力成熟度理论模型

十大典型事件(按时间顺序)


1. 全球范围遭受勒索软件攻击

关键词:网络武器泄漏 勒索软件 数据加密 比特币

2017 年5 月12 日, 全球范围爆发针对Windows 操作系统的勒索软件(WannaCry)感染事件。该勒索软件利用此前美国国家安全局网络武器库泄露的WindowsSMB 服务漏洞进行攻击,受攻击文件被加密,用户需支付比特币才能取回文件,否则赎金翻倍或是文件被彻底删除。全球100 多个国家数十万用户中招,国内的企业、学校、医疗、电力、能源、银行、交通等多个行业均遭受不同程度的影响。

安全漏洞的发掘和利用已经形成了大规模的全球性黑色产业链。美国政府网络武器库的泄漏更是加剧了黑客利用众多未知零日漏洞发起攻击的威胁。2017 年3 月,微软就已经发布此次黑客攻击所利用的漏洞的修复补丁,但全球有太多用户没有及时修复更新,再加上众多教育系统、医院等还在使用微软早已停止安全更新的Windows XP 系统,网络安全意识的缺乏击溃了网络安全的第一道防线。

类似事件:2016 年11 月旧金山市政地铁系统感染勒索软件,自动售票机被迫关闭,旅客被允许在周六免费乘坐轻轨。

2. 京东内部员工涉嫌窃取50 亿条用户数据

关键词:企业内鬼 数据贩卖 数据内部权限

2017 年3 月,京东与腾讯的安全团队联手协助公安部破获的一起特大窃取贩卖公民个人信息案,其主要犯罪嫌疑人乃京东内部员工。该员工2016 年6 月底才入职,尚处于试用期,即盗取涉及交通、物流、医疗、社交、银行等个人信息50 亿条,通过各种方式在网络黑市贩卖。

为防止数据盗窃,企业每年花费巨额资金保护信息系统不受黑客攻击,然而因内部人员盗窃数据而导致损失的风险也不容小觑。地下数据交易的暴利以及企业内部管理的失序诱使企业内部人员铤而走险、监守自盗,盗取贩卖用户数据的案例屡见不鲜。管理咨询公司埃森哲等研究机构2016 年发布的一项调查研究结果显示,其调查的208 家企业中,69%的企业曾在过去一年内“遭公司内部人员窃取数据或试图盗取”。未采取有效的数据访问权限管理,身份认证管理、数据利用控制等措施是大多数企业数据内部人员数据盗窃的主要原因。

类似事件:2016 年4 月,美国儿童抚养执行办公室500 万个人信息遭前员工盗窃。

3. 雅虎遭黑客攻击 10 亿级用户账户信息泄露

关键词:漏洞攻击 用户密码 俄罗斯黑客

2016 年9 月22 日,全球互联网巨头雅虎证实至少5 亿用户账户信息在2014 年遭人窃取,内容涉及用户姓名、电子邮箱、电话号码、出生日期和部分登录密码。2016 年12 月14 日,雅虎再次发布声明,宣布在2013 年8 月,未经授权的第三方盗取了超过10 亿用户的账户信息。2013 年和2014 年这两起黑客袭击事件有着相似之处,即黑客攻破了雅虎用户账户保密算法,窃得用户密码。2017 年3 月,美国检方以参与雅虎用户受到影响的网络攻击活动为由,对俄罗斯情报官员提起刑事诉讼。

雅虎信息泄露事件是有史以来规模最大的单一网站数据泄漏事件,当前,重要商业网站的海量用户数据是企业的核心资产,也是民间黑客甚至国家级攻击的重要对象,重点企业数据安全管理面临更高的要求,必须建立严格的安全能力体系,不仅需要确保对用户数据进行加密处理,对数据的访问权限进行精准控制,并为网络破坏事件、应急响应建立弹性设计方案,与监管部门建立应急沟通机制。

类似事件:2015 年2 月,美国第二大健康医疗保险公司Anthem 公司信息系统被攻破,将近8000 万客户和员工的记录遭遇泄露。

4. 顺丰内部人员泄漏用户数据

关键词:转卖内部数据权限 恶意程序

2016 年8 月26 日,顺丰速递湖南分公司宋某被控“侵犯公民个人信息罪”在深圳南山区人民法院受审。此前,顺丰作为快递行业领头羊,出现过多次内部人员泄漏客户信息事件,作案手法包括将个人掌握的公司网站账号及密码出售他人;编写恶意程序批量下载客户信息;利用多个账号大批量查询客户信息;通过购买内部办公系统地址、账号及密码,侵入系统盗取信息;研发人员从数据库直接导出客户信息等。

顺丰发生的系列数据泄漏事件暴露出针对内部人员数据安全管理的缺陷,由于数据黑产的发展,内外勾结盗窃用户数据谋取暴利的行为正在迅速蔓延。虽然顺丰的IT 系统具备事件发生后的追查能力,但是无法对员工批量下载数据的异常行为发出警告和风险预防,针对内部人员数据访问需要设置严格的数据管控,并对数据进行脱敏处理,才能有效确保企业数据的安全。

类似事件:2012 年1 号店内部员工与离职、外部人员内外勾结,泄露90 万用户数据。

5. 徐玉玉遭电信诈骗致死

关键词:安全漏洞 拖库 个人数据 精准诈骗 黑产

2016 年8 月,高考生徐玉玉被电信诈骗者骗取学费9900 元,发现被骗后突然心脏骤停,不幸离世。据警方调查,骗取徐玉玉学费的电信诈骗者的信息来自网上非法出售的高考个人信息,而其源头则是黑客利用安全漏洞侵入了“山东省2016 高考网上报名信息系统”网站,下载了60 多万条山东省高考考生数据,高考结束后开始在网上非法出售给电信诈骗者。

近年来,针对我国公民个人信息的窃取和交易已经形成了庞大黑色产业链,遭遇泄露的个人数据推动电信诈骗、金融盗窃等一系列犯罪活动日益“精准化”、“智能化”,对社会公众的财产和人身安全构成严峻威胁。造成这一现状的直接原因在于我国企事业单位全方位收集用户数据,但企业网络安全防护水平低下和数据安全管理能力不足,使黑客和内鬼有机可乘,而个人信息泄漏后缺乏用户告知机制,加大了犯罪活动的危害性和持续性。

类似事件:2016 年8 月23 日,山东省临沭县的大二学生宋振宁遭遇电信诈骗心脏骤停,不幸离世。

6. 希拉里遭遇“邮件门” 导致竞选失败

关键词:私人邮箱 公务邮件 维基解密 黑客

希拉里“邮件门”是指民主党总统竞选人希拉里·克林顿任职美国国务卿期间,在没有事先通知国务院相关部门的情况下使用私人邮箱和服务器处理公务,并且希拉里处理的未加密邮件中有上千封包含国家机密。同时,希拉里没有在离任前上交所有涉及公务的邮件记录,违反了国务院关于联邦信息记录保存的相关规定。2016 年7 月22 日,在美国司法部宣布不指控希拉里之后,维基解密开始对外公布黑客攻破希拉里及其亲信的邮箱系统后获得的邮件,最终导致美国联邦调查局重启调查,希拉里总统竞选支持率暴跌。

作为政府要员,希拉里缺乏必要的数据安全意识,在担任美国国务卿期间私自架设服务器处理公务邮件违反联邦乐虎国际国际管理要求,触犯了美国国务院有关“使用私人邮箱收发或者存储机密信息为违法行为”的规定。私自架设的邮件服务器缺乏必要的安全保护,无法应对高水平黑客的攻击,造成重要数据遭遇泄露并被国内外政治对手充分利用,最终导致大选落败。

类似事件:2016 年3 月,五角大楼公布美国防部长阿什顿·卡特数百份邮件是经由私人电子邮箱发送,卡特再次承认自己存在过失,但相关邮件均不涉密。

评论(0)

后面还有条评论,点击查看>>

主办单位: 甘肃安聚科技安全有限公司  |  陇ICP备14000947号
地址:兰州市城关区南滨河东路66号6号楼    电话:0931-8511265
Copyright 2014-2015 Gansu ANJU Security Technology Co., Ltd.