12月14日，美國知名互聯(lián)網(wǎng)公司雅虎發(fā)布聲明，稱公司曾于2013年遭遇黑客襲擊，超過10億用戶的信息已泄露。

在大數(shù)據(jù)時(shí)代下，用戶的個(gè)人信息幾乎被互聯(lián)網(wǎng)公司所掌握，然而稍有不慎，就導(dǎo)致大量的個(gè)人隱私被泄露。近日，多家媒體先后報(bào)道用戶信息泄露背后的產(chǎn)業(yè)鏈，只要提供所查詢的姓名和身份證號(hào)后，不用千元便可買到包括開房記錄、乘機(jī)、網(wǎng)吧記錄等信息在內(nèi)的個(gè)人信息。

事實(shí)上，信息泄露事件頻發(fā)主要源于企業(yè)或政府部門數(shù)據(jù)庫存在安全漏洞，導(dǎo)致黑客或內(nèi)部員工有機(jī)可乘，其中黑客是主要因素。根據(jù)360互聯(lián)網(wǎng)安全中心發(fā)布的《2015年中國網(wǎng)站安全報(bào)告》顯示，在2015年國內(nèi)外十大網(wǎng)站安全事件中，有7宗涉及黑客攻擊。

美團(tuán)點(diǎn)評(píng)信息安全中心安全負(fù)責(zé)人陳偉告訴時(shí)代周報(bào)記者，美團(tuán)對(duì)所有數(shù)據(jù)進(jìn)行分級(jí)保護(hù)，數(shù)據(jù)級(jí)別越高，相應(yīng)的保護(hù)措施越嚴(yán)格，并通過數(shù)據(jù)加密措施保障數(shù)據(jù)一旦泄露之后也不能被正常使用。

而京東安全團(tuán)隊(duì)成員向時(shí)代周報(bào)記者表示，由于越來越多的交易在互聯(lián)網(wǎng)上發(fā)生，這吸引了很多黑客的關(guān)注，黑客與安全體系的博弈會(huì)一直繼續(xù)下去。“針對(duì)撞庫攻擊，京東有著完善的風(fēng)控策略，通過大數(shù)據(jù)甄別風(fēng)險(xiǎn)行為和賬戶，登錄接口使用安全的驗(yàn)證碼，并且會(huì)對(duì)登錄日志進(jìn)行實(shí)時(shí)分析，第一時(shí)間避免撞庫攻擊帶來危害。”

企業(yè)信息安全日益重視

事實(shí)證明，互聯(lián)網(wǎng)企業(yè)對(duì)信息安全的投入不計(jì)成本，但效果仍然值得商榷。12月14日，美國知名互聯(lián)網(wǎng)公司雅虎發(fā)布聲明，稱公司曾于2013年遭遇黑客襲擊，超過10億用戶的信息已泄露。

這是全球有史以來最大規(guī)模的信息泄露事件。此前雅虎曾發(fā)表聲明稱，公司在2014年曾遭遇黑客攻擊，導(dǎo)致至少5億用戶的信息被盜竊，包括用戶姓名、電子郵箱、電話號(hào)碼、出生日期和部分登錄密碼外流。而國內(nèi)也在最近發(fā)現(xiàn)多起信息泄露事件。

而從信息泄露事件的成因來看，黑客依然是主角。根據(jù)360互聯(lián)網(wǎng)安全中心發(fā)布的《2015年中國網(wǎng)站安全報(bào)告》顯示，在2015年國內(nèi)外十大網(wǎng)站安全事件中，有7宗涉及黑客攻擊。

日前盈世科技聯(lián)合奇虎360發(fā)布的《2016中國企業(yè)郵箱安全性研究報(bào)告》顯示，黑客偏好于盜取企業(yè)郵箱，以便對(duì)該企業(yè)的更多郵箱用戶實(shí)施欺詐，以盜取該企業(yè)更多用戶的郵箱。于安全意識(shí)較強(qiáng)的用戶來說，比對(duì)郵箱后綴是最重要的防騙手段之一，但如果攻擊者是使用企業(yè)內(nèi)部郵箱欺詐內(nèi)部員工，可信度和成功率都會(huì)大幅提高。

據(jù)京東安全團(tuán)隊(duì)介紹，針對(duì)撞庫攻擊，京東有著完善的風(fēng)控策略，通過大數(shù)據(jù)甄別風(fēng)險(xiǎn)行為和賬戶，登錄接口使用安全的驗(yàn)證碼，并且會(huì)對(duì)登錄日志進(jìn)行實(shí)時(shí)分析，第一時(shí)間避免撞庫攻擊帶來危害。

“對(duì)于漏洞問題，京東安全部門嚴(yán)格管理和執(zhí)行安全開發(fā)流程，并在業(yè)務(wù)上線前對(duì)業(yè)務(wù)進(jìn)行安全測試，包括黑盒滲透測試以及白盒代碼審計(jì)，并且通過對(duì)外的漏洞接報(bào)平臺(tái)，第一時(shí)間獲取漏洞信息和威脅情報(bào)信息，并迅速完成修復(fù)，保護(hù)京東業(yè)務(wù)不受漏洞影響。”京東安全團(tuán)隊(duì)成員向時(shí)代周報(bào)記者表示。

據(jù)時(shí)代周報(bào)記者了解，美團(tuán)點(diǎn)評(píng)早在2013年就建立了獨(dú)立的安全團(tuán)隊(duì)來負(fù)責(zé)公司的安全業(yè)務(wù)，目前負(fù)責(zé)安全方向的員工在100人左右，隨著業(yè)務(wù)擴(kuò)大團(tuán)隊(duì)也在發(fā)展中。

“目前團(tuán)隊(duì)根據(jù)工作職責(zé)分為幾個(gè)組，分別為安全攻防、安全運(yùn)維、安全運(yùn)營、安全開發(fā)和業(yè)務(wù)安全，各組間在對(duì)抗入侵、風(fēng)險(xiǎn)控制、自身安全性評(píng)估方面互相配合砥礪前行。”美團(tuán)點(diǎn)評(píng)業(yè)務(wù)安全中心高級(jí)技術(shù)經(jīng)理刁士涵告訴時(shí)代周報(bào)記者。

刁士涵表示，風(fēng)控是一個(gè)系統(tǒng)工程，要想達(dá)到好的風(fēng)控結(jié)果，除了風(fēng)控系統(tǒng)本身的建設(shè)外，還有很多其他方面需要建設(shè)，比如業(yè)務(wù)系統(tǒng)的設(shè)計(jì)、促銷系統(tǒng)的設(shè)計(jì)、違規(guī)追責(zé)處理、業(yè)務(wù)運(yùn)營人員的培訓(xùn)、核查運(yùn)營等。只有各個(gè)方面都補(bǔ)齊，才能得到一個(gè)良好的最終結(jié)果。

“美團(tuán)點(diǎn)評(píng)的風(fēng)控體系，除了在規(guī)則平臺(tái)、驗(yàn)證平臺(tái)、基礎(chǔ)數(shù)據(jù)建設(shè)等核心風(fēng)控模塊不斷完善外，還參與了對(duì)上下游的業(yè)務(wù)系統(tǒng)改進(jìn)、人員培訓(xùn)、規(guī)則制定和事后的核查運(yùn)營違規(guī)處理等，并對(duì)這些功能建立了相應(yīng)的支撐系統(tǒng)。”刁士涵向時(shí)代周報(bào)記者表示。

抓住“內(nèi)鬼”

從目前已發(fā)的用戶泄密事件來看，內(nèi)部員工泄密也是主要原因之一。

今年9月，澎湃新聞報(bào)道稱，某國有大行員工將以20-50元每條的價(jià)格，將800余條包含姓名、身份證號(hào)碼、銀行卡內(nèi)金額、手機(jī)號(hào)在內(nèi)的儲(chǔ)戶信息賣給他的上線、同在銀行工作的張某。而張某則以50元一條的價(jià)格從多家銀行員工處購買儲(chǔ)戶信息，再以每條120-180元不等的價(jià)格轉(zhuǎn)賣，1400多條儲(chǔ)戶信息被他出售。

經(jīng)過層層販賣后，企業(yè)信息泄露已形成一條完整的產(chǎn)業(yè)鏈。內(nèi)部員工作為信息的掌握者，如何防止被濫用是阻止信息泄露的關(guān)鍵。京東方面相關(guān)負(fù)責(zé)人向時(shí)代周報(bào)記者表示，京東一貫高度重視用戶信息安全和資料保護(hù)，有最嚴(yán)格的公司政策和規(guī)定，絕不允許任何人以任何方式泄露用戶信息，這是公司的“紅線”，一旦發(fā)現(xiàn)按最高限處理。

”京東具有嚴(yán)格的權(quán)限管理制度，建立了強(qiáng)大的系統(tǒng)審計(jì)、預(yù)警功能，一旦出現(xiàn)違規(guī)操作，系統(tǒng)能立刻捕獲信息，達(dá)到有效的監(jiān)控及迅速止損。其次是公司會(huì)定期向員工進(jìn)行培訓(xùn)，不斷宣導(dǎo)相關(guān)法律和規(guī)定，持續(xù)強(qiáng)化員工的法律法規(guī)意識(shí)。”上述負(fù)責(zé)人向時(shí)代周報(bào)記者表示，京東在員工入職時(shí)就會(huì)有相應(yīng)的信息安全教育課程，在入職第一天就會(huì)讓員工了解信息安全對(duì)京東的重要性、相關(guān)管理規(guī)則，規(guī)范員工嚴(yán)謹(jǐn)?shù)男畔踩?xí)慣。

美團(tuán)點(diǎn)評(píng)信息安全中心安全負(fù)責(zé)人陳偉向時(shí)代周報(bào)記者表示，美團(tuán)對(duì)所有數(shù)據(jù)進(jìn)行分級(jí)保護(hù)，數(shù)據(jù)級(jí)別越高，相應(yīng)的保護(hù)措施越嚴(yán)格，并通過數(shù)據(jù)加密措施保障數(shù)據(jù)一旦泄露之后也不能被正常使用。“在內(nèi)網(wǎng)安全審計(jì)方面，我們從流量、終端、操作日志等多方面都做了動(dòng)態(tài)感知，由統(tǒng)一的安全態(tài)勢(shì)管理平臺(tái)分析，對(duì)異常行為進(jìn)行報(bào)警、阻斷等防護(hù)，并對(duì)內(nèi)部事件追蹤、回溯方面持續(xù)發(fā)揮著作用。”