搜索

[12680] 2018-05-08_内鬼泄密猛于黑客，如何保护好防火墙内的世界？

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2018-05-08_内鬼泄密猛于黑客，如何保护好防火墙内的世界？ 内 鬼 泄 密 猛 于 黑 客 ， 如 何 保 护 好 防 火 墙 内 的 世 界 ？ 原 创   A n g e l a Y   F r e e B u f   2 0 1 8 - 0 5 - 0 8 你 可 以 建 起 一 面 墙 ， 设 置 周 全 的 防 御 措 施 ， 花 费 大 量 人 力 物 力 来 维 护 ， 以 便 抵 御 威 胁 。 但 是 ， 如 果 你 的 敌 人 来 自 内 部 ， 那 么 这 面 墙 就 形 同 虚 设 。 与 内 部 敌 人 的 斗 争 是 一 场 没 有 硝 烟 但 依 然 严 峻 的 战 争 。 4 月 底 ， 美 团 、 饿 了 么 、 百 度 外 卖 等 外 卖 平 台 的 用 户 信 息 泄 露 事 件 再 次 引 起 了 全 民 探 讨 。 信 息 泄 露 原 本 不 是 什 么 月 底 ， 美 团 、 饿 了 么 、 百 度 外 卖 等 外 卖 平 台 的 用 户 信 息 泄 露 事 件 再 次 引 起 了 全 民 探 讨 。 信 息 泄 露 原 本 不 是 什 么 新 鲜 事 了 ， 但 这 一 次 ， 泄 露 信 息 的 并 不 是 人 们 谈 之 色 变 的 黑 客 ， 也 不 是 因 为 什 么 没 有 及 时 修 复 的 漏 洞 ， 而 是 企 新 鲜 事 了 ， 但 这 一 次 ， 泄 露 信 息 的 并 不 是 人 们 谈 之 色 变 的 黑 客 ， 也 不 是 因 为 什 么 没 有 及 时 修 复 的 漏 洞 ， 而 是 企 业 没 有 引 起 足 够 重 视 但 却 能 造 成 严 重 危 害 的 内 鬼 （ 业 没 有 引 起 足 够 重 视 但 却 能 造 成 严 重 危 害 的 内 鬼 （ I n s i d e r ） 。 ） 。 猖 獗 的 内 鬼 猖 獗 的 内 鬼 随 着 国 内 外 立 法 和 宣 传 逐 渐 增 多 ， 很 多 企 业 对 于 信 息 安 全 和 数 据 保 护 已 经 有 了 初 步 的 认 识 ， 也 采 取 了 适 当 的 安 全 产 品 和 安 全 服 务 来 防 范 来 自 外 部 的 威 胁 与 攻 击 。 但 是 ， 明 枪 易 躲 暗 箭 难 防 。 他 们 在 重 视 外 部 威 胁 的 同 时 ， 却 忽 视 了 内 部 的 威 胁 同 样 严 重 ， 同 样 需 要 采 取 对 应 措 施 。 关 于 内 鬼 泄 露 信 息 的 案 例 ， 国 内 外 其 实 比 比 皆 是 。 除 去 尚 未 调 查 出 结 果 的 美 团 、 饿 了 么 和 百 度 外 卖 不 提 ， 传 闻 表 示 前 段 时 间 刚 被 美 国 制 裁 的 中 兴 ， 也 是 因 为 企 业 自 身 的 不 谨 慎 而 被 中 兴 ， 也 是 因 为 企 业 自 身 的 不 谨 慎 而 被 “ 内 鬼 间 谍 内 鬼 间 谍 ” 获 取 机 密 文 件 ， 最 终 在 法 庭 上 处 于 劣 获 取 机 密 文 件 ， 最 终 在 法 庭 上 处 于 劣 势 。 势 。 据 说 ， 美 国 为 了 调 查 中 兴 、 搜 集 证 据 ， 派 了 卧 底 律 师 进 入 中 兴 ，   结 果 发 现 中 兴 把 包 括 合 同 、 战 略 等 高 度 机 密 的 文 件 都 放 在 内 网 中 ， 只 要 是 公 司 员 工 都 可 公 开 访 问 。 因 此 ， 该 律 师 不 费 吹 灰 之 力 就 拿 到 了 压 倒 中 兴 的 致 命 证 据 。 后 来 ， 美 国 商 务 部 还 专 门 做 了 一 份 中 兴 反 面 教 材   P P T   公 开 到 网 上 ， 提 醒 后 来 者 注 意 。
2 0 1 6   年 ， 智 联 招 聘 智 联 招 聘 的 经 营 方 北 京 网 聘 咨 询 有 限 公 司 ( 以 下 简 称 “ 智 联 招 聘 ” ) 报 案 称 ， 公 司 员 工 申 某 利 用 公 司 业 务 逻 辑 公 司 员 工 申 某 利 用 公 司 业 务 逻 辑 的 问 题 非 法 获 取 用 户 的 简 历 库 账 号 及 密 码 ， 并 将 用 户 简 历 向 外 兜 售 ， 涉 案 信 息 数 量 超 过 的 问 题 非 法 获 取 用 户 的 简 历 库 账 号 及 密 码 ， 并 将 用 户 简 历 向 外 兜 售 ， 涉 案 信 息 数 量 超 过   1 5   万 条 。 万 条 。 这 些 简 历 包 括 了 姓 名 、 身 份 证 号 、 住 址 、 电 话 、 受 教 育 程 度 、 工 作 单 位 、 薪 资 收 入 等 大 量 详 细 的 个 人 信 息 ， 导 致 智 联 招 聘 损 失 将 近 2 5 0 0   万 元 。 最 终 ， 法 院 判 处 该 员 工 有 期 徒 刑 三 年 六 个 月 。 2 0 1 7   年 ， 谷 歌 前 高 管 离 职 加 入 谷 歌 前 高 管 离 职 加 入   U b e r ， 同 时 带 走 了 将 原 本 属 于 谷 歌 的 自 动 驾 驶 技 术 。 ， 同 时 带 走 了 将 原 本 属 于 谷 歌 的 自 动 驾 驶 技 术 。 对 此 ， 谷 歌 起 诉 了 这 名 高 管 以 及   U b e r ， 最 终 获 得   2 . 4 5   亿 美 元 的 业 务 赔 偿 金 。 当 然 ， 最 有 代 表 性 的 的 内 鬼 泄 密 估 计 就 是 斯 诺 登 “ 棱 镜 门 ” 了 ： 斯 诺 登 利 用 其 安 全 部 门 承 包 商 雇 员 的 职 务 之 便 ， 获 得 对 关 键 系 统 的 访 问 权 ， 随 后 从 美 国 国 家 安 全 局 拷 贝 了 数 十 万 份 机 密 文 件 。 他 将 这 些 资 料 提 供 给 英 国 《 卫 报 》 与 美 国 《 华 盛 顿 邮 报 》 两 家 著 名 媒 体 ， 曝 光 之 后 引 发 轩 然 大 波 。 这 件 事 情 的 直 接 后 果 就 是 美 国 国 家 安 全 局 与 联 邦 调 查 局 于 2 0 0 7 年 就 启 动 的 美 国 有 史 以 来 最 大 规 模 的 秘 密 监 控 项 目 公 之 于 众 。 在 这 个 过 程 中 ， 攻 击 者 （ 斯 诺 登 ） 来 自 美 国 安 全 部 门 内 部 ， 无 需 利 用 黑 客 入 侵 手 段 ， 只 利 用 职 务 权 限 就 能 窃 取 机 密 信 息 ； 而 遭 受 攻 击 的 是 美 国 国 家 安 全 部 门 ， 导 致 国 家 安 全 防 御 体 系 遭 到 破 坏 ， 让 美 国 政 府 饱 受 舆 论 压 力 。 内 鬼 带 来 的 威 胁 内 鬼 带 来 的 威 胁
内 鬼 在 信 息 领 域 统 称 为 内 鬼 在 信 息 领 域 统 称 为 ” I n s i d e r ” ， 他 们 造 成 的 威 胁 叫 做 内 部 威 胁 （ ， 他 们 造 成 的 威 胁 叫 做 内 部 威 胁 （ I n s i d e r   T h r e a t ） ， 与 外 部 威 胁 相 对 应 。 确 ） ， 与 外 部 威 胁 相 对 应 。 确 切 说 来 ， 内 部 威 胁 就 是 由 内 部 人 威 胁 企 业 或 组 织 安 全 的 行 为 。 切 说 来 ， 内 部 威 胁 就 是 由 内 部 人 威 胁 企 业 或 组 织 安 全 的 行 为 。 按 照   2 0 1 2   年 美 国   C E R T   提 出 的 定 义 ： 内 部 威 胁 攻 击 者 一 般 是 企 业 或 组 织 的 员 工 （ 在 职 或 离 职 ） 、 承 包 商 以 及 商 业 伙 伴 等 ， 其 应 当 具 有 组 织 的 系 统 、 网 络 以 及 数 据 的 访 问 权 ； 内 部 威 胁 就 是 内 部 人 利 用 合 法 获 得 的 访 问 权 对 组 织 信 息 系 统 中 信 息 的 机 密 性 、 完 整 性 以 及 可 用 性 造 成 负 面 影 响 的 行 为 。 美 国 C E R T 中 心 认 为 ， 内 部 威 胁 主 要 分 为 系 统 破 坏 、 知 识 产 权 窃 取 与 电 子 欺 诈 三 类 基 本 的 攻 击 类 型 ， 由 此 组 合 形 成 复 合 攻 击 以 及 商 业 间 谍 攻 击 。 本 文 所 说 的 泄 密 内 鬼 ， 实 施 的 就 是 其 中 的 知 识 产 权 窃 取 类 攻 击 。 安 全 公 司 迈 克 菲 近 期 的 调 查 显 示 ， 4 3 %   的 数 据 泄 露 都 来 自 内 鬼 的 数 据 泄 露 都 来 自 内 鬼 ， 而   I n f o r m a t i o n   S e c u r i t y   F o r u m   的 调 查 结 果 则 显 示 为   5 4 % 。 这 表 明 ， 内 鬼 泄 密 其 实 已 经 成 为 信 息 泄 露 的 主 要 原 因 。 我 国 公 安 部 网 络 技 术 研 发 中 心 主 任 许 剑 卓 曾 公 开 表 示 ： 目 前 ， 公 民 个 人 信 息 泄 露 造 成 危 害 最 大 的 行 业 主 要 是 银 行 、 教 育 、 工 商 、 电 信 、 快 递 、 证 券 、 电 商 等 行 业 ， 由 于 这 些 行 业 掌 握 大 量 个 人 信 息 ， 内 部 人 员 更 易 泄 露 数 据 。 企 业 应 当 如 何 防 范 内 鬼 ？ 企 业 应 当 如 何 防 范 内 鬼 ？ 内 鬼 来 自 企 业 安 全 边 界 的 内 部 ， 可 以 躲 避 防 火 墙 等 安 全 设 备 的 检 测 ， 因 此 很 方 便 就 能 获 取 到 企 业 内 部 资 料 及 财 内 鬼 来 自 企 业 安 全 边 界 的 内 部 ， 可 以 躲 避 防 火 墙 等 安 全 设 备 的 检 测 ， 因 此 很 方 便 就 能 获 取 到 企 业 内 部 资 料 及 财 产 ， 而 且 由 于 他 们 自 身 具 有 关 于 企 业 的 相 关 知 识 ， 更 容 易 实 施 攻 击 。 内 鬼 具 有 高 度 的 隐 蔽 性 ， 对 企 业 造 成 的 危 产 ， 而 且 由 于 他 们 自 身 具 有 关 于 企 业 的 相 关 知 识 ， 更 容 易 实 施 攻 击 。 内 鬼 具 有 高 度 的 隐 蔽 性 ， 对 企 业 造 成 的 危 害 也 更 严 重 。 害 也 更 严 重 。 需 要 注 意 的 是 ， 内 鬼 通 常 不 是 单 独 作 案 ， 而 是 会 与 信 息 交 易 产 业 链 中 的 上 下 游 人 员 接 触 。 就 算 他 们 凭 一 己 之 力 完 成 信 窃 取 过 程 ， 最 终 也 需 要 与 他 人 或 其 他 组 织 联 系 ， 将 手 中 的 信 息 处 理 出 去 。 在 前 文 提 到 的 外 卖 平 台 内 部 人 员 泄 露 信 息 的 案 例 中 ， 电 话 销 售 群 、 网 络 运 营 公 司 、 商 家 及 骑 手 均 参 与 其 中 ， 他 们 与 地 下 黑 市 的 人 员 勾 结 ， 将 数 量 庞 大 的 用 户 数 据 变 成 了 交 易 和 谋 利 的 对 象 。 国 内 的 内 部 威 胁 研 究 并 没 有 多 少 系 统 性 成 果 ， 我 们 可 以 参 考 美 国   C E R T   对 于 内 部 威 胁 的 政 策 ， 总 结 出 一 些 方 法 供 国 内 企 业 参 考 。 企 业 管 理 层 人 员 可 以 采 取 的 措 施 ： 企 业 管 理 层 人 员 可 以 采 取 的 措 施 ：
数 字 资 产 标 识 数 字 资 产 标 识 作 为 管 理 者 或 企 业 安 全 业 务 相 关 的 人 员 ， 最 好 按 照   I S O   5 5 0 0 0   国 际 标 准 对 企 业 数 字 资 产 进 行 标 识 。 I S O   标 准 规 定 ： 资 产 是 对 组 织 有 实 际 价 值 或 潜 在 价 值 的 物 品 、 事 物 或 实 体 。 资 产 管 理 使 组 织 能 够 在 实 现 目 标 的 同 时 实 现 资 产 价 值 。 虽 然 I S O   5 5 0 0 0 侧 重 于 实 物 资 产 管 理 ， 但 其 定 义 也 适 用 于 数 字 资 产 （ 包 括 数 据 ） 。 “ 关 键 资 产 ” 价 值 之 外 的 内 容 在 于 ： 如 果 关 键 资 产 受 到 严 重 损 害 ， 就 会 影 响 组 织 的 继 续 运 营 。 毫 无 疑 问 ， 数 据 是 当 今 世 界 任 何 组 织 最 重 要 的 资 产 之 一 ， 因 此 需 要 安 全 、 高 效 的 管 理 。 但 是 ， 并 非 所 有 数 据 在 业 务 上 都 是 平 等 的 。 每 个 企 业 都 应 当 对 其 客 户 、 合 作 伙 伴 、 库 存 、 供 应 商 和 自 己 业 务 的 数 据 负 责 。 在 组 织 内 部 流 通 的 数 据 通 常 包 括 公 司 的 财 务 数 据 ， 运 营 数 据 ， 客 户 的 个 人 可 识 别 数 据 以 及 一 些 分 类 数 据 。 预 防 数 据 泄 露 的 第 一 步 是 识 别 并 分 类 数 据 。 尽 管 企 业 的   I T   专 业 人 员 熟 知 企 业 信 息 系 统 的 运 行 方 式 ， 但 他 们 并 未 全 面 了 解 整 个 业 务 的 运 营 和 流 程 。 此 刻 ， 企 业 的 管 理 人 员 应 当 帮 助 相 关 专 业 人 员 进 行 合 理 的 识 别 与 分 类 。 企 业 数 据 一 般 分 为 以 下 几 类 ： 公 共 数 据 、 内 部 数 据 、 已 分 类 数 据 和 合 规 要 求 的 数 据 。 公 共 数 据 、 内 部 数 据 、 已 分 类 数 据 和 合 规 要 求 的 数 据 。 注 企 业 中 每 个 流 程 相 关 联 的 数 据 类 型 非 常 重 要 ， 因 为 攻 击 者 通 常 不 会 窃 取 所 有 类 别 的 数 据 ， 而 是 会 有 针 对 性 地 下 手 。 很 多 时 候 ， 攻 击 者 和 内 部 人 员 会 获 取 非 常 具 体 的 数 据 ， 因 此 ， 将 数 据 合 理 分 类 后 ， 再 有 针 对 性 地 进 行 保 护 ， 才 能 有 效 防 御 威 胁 。 内 部 威 胁 项 目 内 部 威 胁 项 目 内 部 威 胁 是 每 个 组 织 面 临 的 一 个 非 常 独 特 的 安 全 问 题 ， 因 此 需 要 配 置 专 门 的 资 源 来 解 决 这 个 问 题 。 有 能 力 的 企 业 最 好 设 置 一 个 全 组 织 范 围 内 的 内 部 威 胁 项 目 ， 这 个 项 目 具 有 统 一 的 愿 景 和 使 命 ， 包 含 多 个 角 色 、 不 同 的 职 责 以 及 专 业 培 训 。 内 部 威 胁 项 目 的 参 与 者 最 好 包 括 人 力 资 源 、 法 律 、 I T 、 工 程 、 数 据 所 有 者 和 部 门 主 管 。 最 重 要 的 是 ， 这 种 项 目 应 该 只 向 企 业 中 最 值 得 信 赖 的 员 工 开 放 。 内 部 威 胁 项 目 的 主 要 目 的 是 建 立 相 关 的 信 息 、 协 议 和 机 制 ， 以 检 测 、 防 范 和 应 对 内 部 威 胁 。 内 部 威 胁 项 目 应 包 括 ： 任 务 、 详 细 预 算 、 管 理 结 构 和 共 享 平 台 。 内 部 威 胁 项 目 的 主 要 工 作 内 容 如 下 ：
合 规 与 流 程 监 督 委 员 会 ： 合 规 与 流 程 监 督 委 员 会 ： 负 责 审 查 组 织 现 有 的 工 作 流 程 ， 并 在 发 生 数 据 泄 露 之 前 提 出 变 更 建 议 ； 报 告 机 制 ： 报 告 机 制 ： 办 公 室 政 治 、 集 团 行 为 和 一 系 列 其 他 因 素 都 可 能 阻 碍 员 工 举 报 可 疑 行 为 。 因 此 需 要 设 置 保 密 机 制 ， 保 护 举 报 可 疑 人 员 的 员 工 ， 防 止 举 报 人 遭 遇 报 复 ； 事 件 响 应 计 划 ： 事 件 响 应 计 划 ： 如 果 内 部 威 胁 已 经 发 生 、 数 据 已 经 泄 露 ， 仅 仅 解 雇 员 工 并 向 当 局 报 告 还 不 够 。 如 果 制 定 了 内 部 事 件 响 应 计 划 ， 管 理 者 就 能 更 加 清 楚 地 了 解 到 警 报 是 如 何 识 别 、 管 理 和 升 级 的 。 此 外 ， 内 部 威 胁 的 行 为 与 流 程 的 具 体 时 间 范 围 也 能 在 内 部 事 件 相 应 计 划 中 体 现 。 专 业 培 训 ： 专 业 培 训 ： 内 部 威 胁 培 训 详 细 介 绍 了 组 织 中 所 有 人 员 的 安 全 意 识 培 训 计 划 。 但 是 ， 直 接 参 与 内 幕 威 胁 项 目 的 人 员 需 要 接 受 更 专 门 的 培 训 ， 以 便 更 好 地 检 测 和 缓 解 内 部 威 胁 ； 基 础 设 施 ： 基 础 设 施 ： 这 一 部 分 主 要 是 检 测 、 防 范 和 应 对 内 部 威 胁 的 基 础 设 施 ， 包 括 协 助 管 理 层 实 现 使 命 的 技 术 。 应 该 定 期 审 查 部 署 的 技 术 以 获 得 最 佳 选 择 。 典 型 的 内 部 威 胁 项 目 总 共 包 含 十 三 个 组 成 部 分 ， 除 了 上 述 重 要 环 节 ， 其 他 的 还 包 括 ： 公 民 自 由 保 护 、 沟 通 框 架 、 内 公 民 自 由 保 护 、 沟 通 框 架 、 内 部 威 胁 方 案 支 持 政 策 、 数 据 收 集 工 具 、 供 应 商 管 理 和 风 险 管 理 整 合 等 。 部 威 胁 方 案 支 持 政 策 、 数 据 收 集 工 具 、 供 应 商 管 理 和 风 险 管 理 整 合 等 。 * * * * 安 全 审 查 和 监 督 （ 安 全 审 查 和 监 督 （ H R ） ） 在 雇 用 人 员 时 ， 最 好 对 候 选 人 进 行 详 细 的 背 景 调 查 。 虽 然 企 业 在 招 人 时 也 会 进 行 背 调 ， 但 如 果 涉 及 网 络 安 全 层 面 ， 招 聘 过 程 的 调 查 只 是 人 员 审 查 的 第 一 步 。 最 应 当 关 注 的 就 是 犯 罪 历 史 和 就 业 经 历 。 有 时 候 ， 造 成 内 部 威 胁 的 人 员 很 可 能 是 处 于 商 业 目 的 或 者 政 治 目 的 间 谍 ， 他 们 可 以 通 过 各 种 渠 道 赢 得 信 任 、 进 入 企 业 。 N I S T   网 络 安 全 框 架 建 议 组 织 应 为 每 个 职 位 设 置 风 险 等 级 。 风 险 级 别 越 高 ， 工 作 岗 位 所 需 的 信 任 和 安 全 先 决 条 件 就 越 多 。 当 雇 佣 新 人 进 入 风 险 较 高 的 职 位 时 ， 监 管 人 员 应 该 对 他 们 进 行 高 风 险 行 为 的 监 督 。 此 外 ， 最 好 记 录 所 有 异 常 事 件 并 分 析 行 为 趋 势 。 行 为 分 析 和 风 险 分 析 技 术 是 这 一 过 程 中 需 要 用 到 的 重 要 技 术 。 人 力 资 源 部 门 还 应 该 准 备 一 份 终 止 协 议 ， 以 便 在 员 工 出 现 可 疑 行 为 是 随 时 辞 退 他 们 。 这 份 协 议 应 要 求 管 理 人 员 进 行 离 职 面 谈 ， 提 供 最 终 绩 效 评 估 ， 并 讨 论 最 终 薪 水 安 排 。 企 业 的   I T   专 业 人 员 应 删 除 所 有 离 职 员 工 的 账 户 。 对 于 离 职 前 为 特 权 用 户 的 员 工 ， 应 当 在 他 们 离 职 后 更 改 所 有 共 享 密 码 。 人 力 资 源 部 门 需 要 再 次 向 离 职 员 工 阐 明 与 知 识 产 权 相 关 的 规
定 。 形 成 健 康 的 企 业 文 化 形 成 健 康 的 企 业 文 化 这 一 部 分 看 似 与 内 部 威 胁 关 联 性 不 大 ， 但 是 有 证 据 表 明 ， 在 高 压 环 境 中 工 作 ， 可 能 让 员 工 形 成 消 极 的 态 度 ， 导 致 他 们 更 容 易 犯 错 。 如 果 管 理 者 没 有 注 意 到 这 些 负 面 情 绪 和 影 响 并 采 取 缓 解 措 施 ， 那 么 员 工 就 会 觉 得 被 忽 视 ， 甚 至 降 低 对 企 业 的 忠 诚 度 。 在 这 种 情 况 下 ， 他 们 更 有 可 能 做 出 不 利 于 企 业 发 展 的 事 ， 甚 至 实 施 会 对 企 业 造 成 威 胁 的 行 动 。 因 此 ， 设 置 合 理 的 业 务 考 核 标 准 ， 营 造 良 好 的 工 作 氛 围 、 行 程 健 康 的 企 业 文 化 ， 也 有 助 于 增 强 员 工 信 任 感 ， 减 少 企 业 可 能 遭 遇 的 内 部 威 胁 。 供 应 商 管 理 流 程 和 政 策 供 应 商 管 理 流 程 和 政 策 要 想 应 对 复 杂 的 内 部 威 胁 ， 除 了 企 业 内 部 采 取 防 范 措 施 外 ， 对 供 应 商 和 业 务 合 作 伙 伴 的 安 全 管 理 也 是 重 要 一 环 。 依 旧 以 外 卖 平 台 信 息 泄 露 为 例 ， 其 中 的 网 络 运 营 公 司 就 是 供 应 商 环 节 的 泄 密 。 因 此 ， 企 业 还 需 要 设 置 供 应 商 管 理 流 程 和 规 则 ， 拟 定 一 系 列 协 议 ， 用 于 企 业 与 供 应 商 合 作 过 程 中 的 问 责 和 监 督 。 供 应 商 管 理 流 程 和 规 则 主 要 依 赖 企 业 管 理 层 制 定 ， 如 果 没 有 相 关 的 详 细 计 划 ， 企 业 的 安 全 人 员 只 能 在 威 胁 发 生 后 救 火 ， 而 无 法 防 范 于 未 然 。 供 应 商 管 理 流 程 主 要 包 含 四 个 阶 段 ： 定 义 、 规 范 、 控 制 和 整 合 。 定 义 、 规 范 、 控 制 和 整 合 。 定 义 阶 段 主 要 用 于 确 定 组 织 中 最 关 键 的 供 应 商 ， 此 处 关 键 的 标 准 是 一 旦 与 供 应 商 的 关 系 出 现 问 题 ， 企 业 的 运 营 和 收 入 都 会 受 到 负 面 影 响 。 规 范 则 涉 及 为 每 个 合 作 的 供 应 商 指 定 安 全 联 络 人 ， 其 职 责 是 维 护 合 规 知 识 、 执 行 审 计 过 程 、 促 进 安 全 通 信 、 提 供 培 训 、 跟 踪 合 同 和 所 有 文 件 ， 并 实 施 监 督 。 供 应 商 政 策 应 当 包 含 的 重 点 内 容 有 ： 审 核 安 全 控 制 的 权 利 、 供 应 商 遵 守 监 管 的 要 求 、 安 全 绩 效 报 告 以 及 及 时 上 报 任 何 数 据 泄 露 事 件 。 最 后 阶 段 是 整 合 ， 主 要 关 注 数 据 收 集 、 分 析 和 验 证 。 收 集 到 的 信 息 需 要 与 企 业 现 有 的 安 全 实 践 和 审 计 程 序 相 结 合 ， 才 能 更 好 地 发 挥 作 用 。
安 全 意 识 培 训 安 全 意 识 培 训 如 今 ， 国 内 企 业 已 经 逐 渐 意 识 到 安 全 意 识 培 训 的 重 要 性 。 除 了 普 通 的 安 全 意 识 培 训 之 外 ， 企 业 还 应 当 针 对 不 同 的 群 体 进 行 有 针 对 性 的 培 训 才 能 达 到 最 好 的 效 果 。 首 先 是 针 对 领 导 层 、 管 理 层 的 培 训 ， 首 先 是 针 对 领 导 层 、 管 理 层 的 培 训 ， 前 文 所 说 的 方 法 如 果 没 有 管 理 层 的 参 与 ， 是 无 法 落 地 实 施 的 。 只 有 管 理 层 意 识 到 内 部 威 胁 的 严 重 性 ， 有 了 防 范 意 识 ， 企 业 内 部 的 防 御 才 能 顺 利 实 施 。 安 全 专 业 人 员 最 好 定 期 总 结 威 胁 情 报 并 回 报 给 管 理 层 ， 让 他 们 了 解 到 这 些 威 胁 对 于 企 业 的 财 务 状 况 和 声 誉 所 造 成 的 严 重 影 响 ， 进 而 引 起 他 们 的 重 视 。 其 次 是 针 对 企 业 内 安 全 专 业 人 员 的 培 训 其 次 是 针 对 企 业 内 安 全 专 业 人 员 的 培 训 ， 他 们 直 接 负 责 安 全 业 务 ， 但 也 可 能 存 在 一 些 误 区 。 需 要 让 他 们 意 识 到 ， 安 全 工 具 不 代 表 一 切 ， 更 难 以 防 范 来 自 内 部 的 威 胁 。 安 全 工 具 只 是 动 态 问 题 的 静 态 解 决 方 案 。 但 人 永 远 是 多 变 的 ， 他 们 总 能 找 出 破 解 或 者 绕 过 工 具 的 方 法 。 因 此 ， 安 全 专 业 人 员 不 能 依 赖 工 具 而 高 枕 无 忧 ， 他 们 必 须 时 刻 准 备 好 面 对 各 种 变 化 。 此 外 ， 他 们 也 应 当 意 识 到 ， 一 旦 出 现 问 题 ， 最 好 的 办 法 是 及 时 通 报 而 非 刻 意 遮 掩 。 哪 怕 管 理 层 对 此 并 不 重 视 ， 也 应 当 承 担 起 作 为 安 全 专 业 人 员 的 责 任 ， 直 面 问 题 并 尽 力 解 决 问 题 。 最 后 ， 针 对 普 通 员 工 ， 定 期 进 行 培 训 和 考 核 ， 最 后 ， 针 对 普 通 员 工 ， 定 期 进 行 培 训 和 考 核 ， 在 公 司 显 眼 位 置 张 贴 宣 传 语 或 播 放 宣 传 视 频 ， 在 潜 移 默 化 中 培 养 员 工 的 安 全 意 识 与 安 全 习 惯 ， 不 失 为 一 种 好 方 法 。 技 术 层 面 的 防 范 技 术 层 面 的 防 范 除 了 上 述 的 理 论 层 面 ， 在 技 术 层 面 也 可 采 取 一 定 的 措 施 来 防 范 内 部 威 胁 ， 以 下 列 举 部 分 常 用 办 法 ： 加 密 存 储 ， 对 数 据 进 行 业 务 管 理 ： 即 负 责 某 一 项 业 务 的 人 ， 只 能 在 一 定 范 围 内 看 到 一 部 分 数 据 ； 数 据 分 级 管 理 ： 即 下 层 业 务 人 员 如 果 要 查 询 某 些 数 据 ， 必 须 要 得 到 上 级 或 相 关 业 务 管 理 者 的 临 时 授 权 ； 数 据 协 同 管 理 、 内 部 流 量 管 控 ； 基 于 蜜 罐 、 蜜 标 的 内 部 威 胁 检 测 ； 实 施   B Y O D   政 策 ， 增 强 身 份 认 证 和 识 别 ； 加 强 用 户 行 为 分 析 （ U B A ）
监 管 部 门 也 当 亮 剑 监 管 部 门 也 当 亮 剑 国 内 内 鬼 猖 獗 的 原 因 除 了 企 业 安 全 意 识 不 强 、 监 管 不 严 格 ， 还 有 最 重 要 的 一 点 就 是 暴 利 诱 惑 以 及 犯 罪 成 本 太 低 。 因 此 ， 近 年 来 监 管 部 门 也 逐 渐 加 大 了 立 法 和 执 法 力 度 ， 从 法 律 和 监 管 的 角 度 遏 制 内 鬼 泛 滥 。 在 “ 两 高 ” 发 布 的 《 关 于 办 理 侵 犯 公 民 个 人 信 息 刑 事 案 件 适 用 法 律 若 干 问 题 的 解 释 》 《 关 于 办 理 侵 犯 公 民 个 人 信 息 刑 事 案 件 适 用 法 律 若 干 问 题 的 解 释 》 中 明 确 规 定 ， 对 于 公 民 的 行 踪 轨 迹 信 息 、 通 信 内 容 、 征 信 信 息 、 财 产 信 息 ， 只 要 非 法 获 取 、 出 售 或 者 提 供 5 0 条 以 上 ， 即 构 成 “ 情 节 严 重 ” 。 而 对 于 住 宿 信 息 、 通 信 记 录 、 健 康 生 理 信 息 、 交 易 信 息 等 其 他 可 能 影 响 人 身 、 财 产 安 全 的 公 民 个 人 信 息 ， 标 准 则 是 5 0 0 条 以 上 。 对 于 其 他 公 民 个 人 信 息 ， 标 准 为 5 0 0 0 条 以 上 。 而 对 行 业 “ 内 鬼 ” ， 《 解 释 》 则 降 低 了 入 罪 标 准 。 《 解 释 》 规 定 ， 在 履 行 职 责 或 者 提 供 服 务 过 程 中 获 得 的 公 民 个 人 信 息 出 售 或 者 提 供 给 他 人 ， 数 量 或 者 数 额 达 到 司 法 解 释 规 定 的 相 关 标 准 一 半 以 上 的 ， 即 可 认 定 为 刑 法 规 定 的 “ 情 节 严 重 ” ， 构 成 犯 罪 。 还 要 知 道 ， 泄 露 公 民 的 个 人 信 息 是 刑 事 犯 罪 。 《 刑 法 修 正 案 （ 七 ） 》 《 刑 法 修 正 案 （ 七 ） 》 规 定 ： 金 融 、 电 信 、 交 通 、 教 育 、 医 疗 等 单 位 的 工 作 人 员 ， 违 反 国 家 规 定 ， 将 本 单 位 在 履 行 职 责 或 者 提 供 服 务 过 程 中 获 得 的 公 民 个 人 信 息 ， 出 售 或 非 法 提 供 给 他 人 ， 情 节 严 重 的 ， 就 可 以 构 成 犯 罪 。 卖 家 违 法 搜 集 订 餐 客 户 信 息 ， 作 为 “ 商 品 ” 肆 意 倒 卖 ， 严 重 侵 犯 公 民 权 利 ， 理 应 受 到 法 律 追 究 和 惩 罚 。 当 然 ， 我 国 对 于 企 业 应 当 遵 守 的 信 息 安 全 规 范 也 有 相 应 的 规 定 。 《 网 络 安 全 法 》 明 确 要 求 ， “ 网 络 运 营 者 应 当 对 其 收 集 的 用 户 信 息 严 格 保 密 ， 并 建 立 健 全 用 户 信 息 保 护 制 度 ” ， “ 应 当 采 取 技 术 措 施 和 其 他 必 要 措 施 ， 确 保 其 收 集 的 个 人 信 息 安 全 ， 防 止 信 息 泄 露 、 毁 损 、 丢 失 ” 。 否 则 ， 可 作 出 警 告 、 罚 款 、 吊 销 营 业 执 照 等 处 罚 。 严 格 保 管 客 户 的 隐 私 信 息 ， 是 运 营 者 的 法 定 责 任 。 随 着 公 民 和 企 业 安 全 意 识 的 增 强 、 随 着 立 法 不 断 细 化 落 地 、 随 着 各 类 措 施 和 流 程 的 不 断 完 善 ， 内 鬼 泄 密 的 情 况 也 许 能 有 所 缓 解 。 但 是 ， “ 人 永 远 是 最 薄 弱 的 环 节 ” ， 攻 防 之 战 中 ， 我 们 也 只 能 永 不 停 歇 地 前 行 。 参 考 来 源 参 考 来 源 h t t p s : / / w w w . f e d e r a l t i m e s . c o m / m a n a g e m e n t / 2 0 1 6 / 0 4 / 1 3 / f o u r - w a y s - t o - w i n - t h e - i n f o r m a t i o n - s e c u r i t y - g a m e /
h t t p : / / w w w . s o h u . c o m / a / 2 2 9 2 4 3 7 1 7 _ 2 5 0 1 4 7 h t t p : / / f i n a n c e . c h i n a . c o m . c n / i n d u s t r y / 2 0 1 7 0 8 0 9 / 4 3 4 4 2 4 7 . s h t m l h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / I n s i d e r _ t h r e a t h t t p : / / w w w . f r e e b u f . c o m / n e w s / t o p n e w s / 1 0 4 0 3 0 . h t m l h t t p s : / / w w w . t r i p w i r e . c o m / s t a t e - o f - s e c u r i t y / r i s k - b a s e d - s e c u r i t y - f o r - e x e c u t i v e s / c o n n e c t i n g - s e c u r i t y - t o - t h e - b u s i n e s s / m a n a g e m e n t - c a n - h e l p - p r e v e n t - i n s i d e r - c a u s e d - d a t a - b r e a c h e s / h t t p s : / / i t s e c u r i t y c e n t r a l . t e r a m i n d . c o / 2 0 1 8 / 0 1 / 1 5 / h o w - t o - p r e v e n t - i n s i d e r - t h r e a t - d a t a - b r e a c h e s - i n - 2 0 1 8 - t h e - t o p - e x p e r t s - s p e a k / h t t p : / / b a i j i a h a o . b a i d u . c o m / s ? i d = 1 5 9 8 2 0 6 5 4 3 0 0 4 2 0 7 1 1 1 & w f r = s p i d e r & f o r = p c h t t p s : / / w w w . c s o o n l i n e . c o m / a r t i c l e / 3 2 6 3 7 9 9 / s e c u r i t y / i n s i d e r - t h r e a t - e x a m p l e s - 7 - i n s i d e r s - w h o - b r e a c h e d - s e c u r i t y . h t m l （ 注 ： 本 文 插 图 均 来 自 网 络 以 及 参 考 来 源 文 章 中 的 插 图 ） * 本 文 作 者 ： A n g e l a Y ， 转 载 请 注 明 作 者 以 及 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理