保障數(shù)據(jù)安全 加強信息保護

殷峭峰

隨著數(shù)字經(jīng)濟時代的全面到來，數(shù)據(jù)與我們生活的聯(lián)系越來越緊密，數(shù)據(jù)安全和隱私邊界的保障也愈加重要。無論是智慧人社、智慧民政還是智慧交通、智慧教育，其中最基礎(chǔ)的就是數(shù)據(jù)信息，信息保護是數(shù)據(jù)安全的重中之重。習近平總書記指出，沒有網(wǎng)絡安全就沒有國家安全，就沒有經(jīng)濟社會穩(wěn)定運行，廣大人民群眾利益也難以得到保障。只有數(shù)據(jù)安全得到有效保障，才能對信息形成有效保護。

充分認識數(shù)據(jù)安全的嚴峻形勢

數(shù)據(jù)泄露涉及各行各業(yè)。就2020年來看國際上已經(jīng)發(fā)生了各類數(shù)據(jù)泄露和身份盜竊的安全事件，其中非常嚴重的數(shù)據(jù)泄密事件達數(shù)十起。如，EasyJet航空公司因數(shù)據(jù)泄露暴露了900萬客戶的信息，包括一些財務記錄;巴基斯坦4400萬移動用戶的數(shù)據(jù)在網(wǎng)上被泄露;萬豪酒店520萬酒店客人數(shù)據(jù)被泄露，影響到個人隱私。

個人信息的過度采集。隨著各種APP的快速發(fā)展和商業(yè)推廣，很多APP超范圍過度采集個人信息，并且獲取用戶的個人隱私信息。比如，你在某網(wǎng)購平臺瀏覽了某商品，很快，你就會發(fā)現(xiàn)瀏覽器會向你推送同類商品的廣告，其他網(wǎng)購平臺也會向你推送相關(guān)聯(lián)的商品，大數(shù)據(jù)殺熟的報道也屢見不鮮。這些情況的產(chǎn)生，說明了個人信息在不同的商業(yè)化平臺之間進行了合法與不合法的交換。另外，對于一些采用人臉識別和指紋識別作為認證或者支付的應用，由于人臉和指紋信息的生物特征終生無法改變，這些個人信息的數(shù)據(jù)安全顯得尤為重要。

數(shù)據(jù)安全面臨嚴重威脅。互聯(lián)網(wǎng)時代，數(shù)據(jù)擁有價值，個人信息已經(jīng)是一種資產(chǎn)，并且形成了一條數(shù)據(jù)盜賣的產(chǎn)業(yè)鏈，線上線下、暗網(wǎng)上各類個人信息售賣非常火爆。如，第三方保險中介交易平臺向醫(yī)療機構(gòu)搜集患者信息，然后出售給保險公司，作為開發(fā)長期壽險、重疾類保險產(chǎn)品的基礎(chǔ)數(shù)據(jù);還有黑客組織利用釣魚郵件、網(wǎng)站掛馬、供應鏈攻擊等手法更容易讓用戶被攻破。2016年雅虎公司因為自身的安全漏洞被網(wǎng)絡黑客利用，5億雅虎用戶的信息被泄露，造成這些用戶的其他網(wǎng)上應用被撞庫的風險。勒索病毒已經(jīng)形成了影響擴大化、勒索手段多元化、攻擊方式專業(yè)化的發(fā)展態(tài)勢。

數(shù)據(jù)安全面臨多方面的威脅

網(wǎng)絡環(huán)境的安全方面。所有的數(shù)據(jù)都是在網(wǎng)絡中傳輸?shù)模瑪?shù)據(jù)通信的安全是數(shù)據(jù)保護的首要環(huán)節(jié)，對網(wǎng)絡開放的端口是否采用最小化控制、訪問控制是否合理有效、核心敏感數(shù)據(jù)是否采用加密傳輸?shù)榷际菓獙W(wǎng)絡安全攻擊要考慮的問題。

服務器的安全方面。無論是Windows還是Linux操作系統(tǒng)，數(shù)據(jù)庫系統(tǒng)（如Oracle或Mysql等）和開發(fā)語言（如Php、Asp.Net、Java等）都存在因為安全問題而必須進行系統(tǒng)升級的問題，需要及時打補丁，但系統(tǒng)也會時不時地被黑客暴出“0day”漏洞，這也是數(shù)據(jù)無法避免的安全威脅。另外服務器的安全配置，如是否將防火墻打開、不必要的端口關(guān)閉、系統(tǒng)的登錄策略是否設(shè)置合理等，都是安全的前置問題。

業(yè)務應用的安全方面。首先是用戶的身份認證，是否設(shè)置了雙因子認證、用戶的密碼等敏感信息是否加密存儲、用戶的密碼是否設(shè)置了強制性密碼強度要求、登錄錯誤次數(shù)限制等，這些都是針對暴力破解必須設(shè)定的基本要求。在網(wǎng)頁瀏覽交互的時候是否采用了加密傳輸，緩存及cookie設(shè)置是否符合開發(fā)安全標準，系統(tǒng)開發(fā)是否存在業(yè)務流程邏輯上的安全問題，用戶和數(shù)據(jù)庫進行交互時，系統(tǒng)是否對用戶輸入的字符串進行過濾、轉(zhuǎn)義或限制等處理，從而避免對數(shù)據(jù)庫的SQL注入漏洞，不同用戶的權(quán)限分配是否合理，是否會造成用戶越級權(quán)限操作，這些問題都要引起重視。

管理不到位的安全方面。很多單位由于對個人信息安全保護意識不強，個人的信息未加脫敏處理就直接發(fā)到網(wǎng)上，例如獲獎通告、錄取通告等將個人的姓名和身份證號都直接發(fā)布。還有一些單位在取得了個人信息以后，超范圍使用，也是造成個人信息泄露的途徑之一。

強化管理確保數(shù)據(jù)安全

做好前期規(guī)劃，數(shù)據(jù)安全未雨綢繆。數(shù)據(jù)安全工作是一個整體性工程，在網(wǎng)絡環(huán)境、服務器、應用及管理等方面都可能造成安全問題，從而引起信息泄露。在系統(tǒng)建設(shè)前必須對系統(tǒng)的安全做好前期規(guī)劃，對每一個可能造成信息泄露的環(huán)節(jié)制定相應的防范措施。安全規(guī)劃和管理必須與項目建設(shè)同步，在系統(tǒng)設(shè)計時就納入需求書，尤其要注意根據(jù)業(yè)務數(shù)據(jù)的流轉(zhuǎn)情況，結(jié)合數(shù)據(jù)安全保護需要，針對不同類型的數(shù)據(jù)信息提供不同的安全策略和控制措施。開發(fā)環(huán)節(jié)的系統(tǒng)調(diào)試階段往往是系統(tǒng)風險高發(fā)期，容易被黑客先期突破，植入木馬或者后門，從而可以長期非法獲取系統(tǒng)內(nèi)的個人信息。加強開發(fā)階段的信息安全保護是系統(tǒng)安全運行的保障措施之一。

強化制度建設(shè)，數(shù)據(jù)安全有章可依。首先，建立安全工作機制，落實責任。數(shù)據(jù)安全不是僅僅依靠技術(shù)部門就能實現(xiàn)的，數(shù)據(jù)的整個生命周期涉及開發(fā)、運維、管理和用戶多種角色，對于系統(tǒng)的建設(shè)與管理需要明確相關(guān)的職能管理人員，設(shè)置相應的系統(tǒng)管理員、安全保密管理員和安全審計員等核心崗位。其次，針對業(yè)務系統(tǒng)的各個環(huán)節(jié)建立完善的制度，主要包含系統(tǒng)的運維，功能模塊的開發(fā)，個人信息的采集及處置，數(shù)據(jù)的存儲、備份與恢復，以及業(yè)務系統(tǒng)運行等關(guān)鍵環(huán)節(jié)。在系統(tǒng)開發(fā)調(diào)試階段，對于數(shù)據(jù)的采集入庫需要有符合國家網(wǎng)絡安全法規(guī)定的相應流程及規(guī)定;對數(shù)據(jù)的存儲過程中個人信息數(shù)據(jù)可能會流失的情況要堅決杜絕，做好備份和恢復;對于數(shù)據(jù)的使用和外單位共享，必須與開發(fā)單位或者共享單位簽訂保密協(xié)議，確保數(shù)據(jù)用于規(guī)定的用途;在數(shù)據(jù)發(fā)布環(huán)節(jié)，必須按照《中華人民共和國個人信息保護法（草案）》的要求對個人的敏感信息進行處理，經(jīng)過安全審查后予以發(fā)布。

提高防護技術(shù)，數(shù)據(jù)安全構(gòu)筑堡壘。根據(jù)《中華人民共和國網(wǎng)絡安全法》的要求，各類系統(tǒng)必須進行信息系統(tǒng)安全等級保護定級備案和等保測評，對安全工作進行全面檢查。一是摸清家底，消滅盲區(qū)。必須對各單位的網(wǎng)絡資產(chǎn)進行梳理，確保家底清，這樣才不會造成安全保護存在燈下黑的盲區(qū)，有單位因為存在長年不用的僵尸系統(tǒng)，疏于管理而被黑客攻破作為攻擊跳板的案例數(shù)不勝數(shù)。二是配齊設(shè)備，加強技防。根據(jù)等保測評結(jié)果，配齊安全防護所需的安全設(shè)備，如防火墻、入侵防御、數(shù)據(jù)庫審計、堡壘機等，做好網(wǎng)絡邊界的安全防護，根據(jù)網(wǎng)絡開放最小化原則合理開放網(wǎng)絡端口，數(shù)據(jù)中心各業(yè)務系統(tǒng)之間進行物理或者邏輯隔離。三是建立用戶監(jiān)控和審計機制。針對系統(tǒng)運維單位和涉及信息數(shù)據(jù)操作人員的行為進行安全監(jiān)控和審計，建立安全基線和訪問控制策略，尤其是特權(quán)用戶和包含敏感個人信息的數(shù)據(jù)庫，一旦發(fā)現(xiàn)違規(guī)和異常操作，系統(tǒng)能及時審計并預警，同時記錄下操作軌跡;對于重要系統(tǒng)的操作人員發(fā)放數(shù)字證書，以便后續(xù)的溯源，從而有效降低業(yè)務數(shù)據(jù)的安全風險。四是建立多方合作的安全機制。數(shù)據(jù)安全保護工作專業(yè)性強，一般單位都不具備完整的安全團隊，可以聘請專業(yè)的安全服務公司，對系統(tǒng)進行整體保護;與各級黨委網(wǎng)信辦和公安網(wǎng)監(jiān)部門主動對接，進行行業(yè)間安全信息共享，對于安全事件進行及時反饋，不斷提升數(shù)據(jù)安全保護能力，確保個人信息的安全保護更扎實更穩(wěn)固。

（作者系江蘇省教育信息化中心高級工程師）

責任編輯：張寧