銀行卡個人信息在網(wǎng)上被隨意倒賣，從起因看都是“內(nèi)鬼”惹的禍，但事件背后反映出銀行內(nèi)部安全意識淡薄的管理漏洞。解決個人信息泄露問題，銀行及相關(guān)企業(yè)要加強(qiáng)自身防范意識，并輔以嚴(yán)格的管理，使用先進(jìn)的安保技術(shù)，從根本上建立防范機(jī)制
多家媒體近日報(bào)道，銀行卡個人信息在網(wǎng)上被隨意倒賣，每條價格從2分錢到1角錢不等。銀行方面表示，倒賣這些數(shù)據(jù)的主要是相關(guān)業(yè)務(wù)主管或者能直接拿到數(shù)據(jù)庫的統(tǒng)計(jì)人員，對“內(nèi)鬼”并沒有太多辦法，基本上靠道德約束。隨著互聯(lián)網(wǎng)和移動互聯(lián)網(wǎng)生態(tài)的逐漸豐富，除了銀行之外，包括地址、賬戶、個人資料等在內(nèi)的核心信息，被消費(fèi)者越來越多地在網(wǎng)上留存。銀行真的對“內(nèi)鬼”盜竊數(shù)據(jù)無計(jì)可施嗎？用戶信息安全果真如此脆弱？記者對互聯(lián)網(wǎng)安全專門進(jìn)行了訪問，在他們看來，防范“內(nèi)鬼”，不是做不到，而是缺乏安全意識。
防范“內(nèi)鬼”有計(jì)可施
“銀行及相關(guān)企業(yè)員工泄密確實(shí)是目前用戶信息泄露的主要途徑之一?！被ヂ?lián)網(wǎng)安全廠商360網(wǎng)絡(luò)攻防實(shí)驗(yàn)室負(fù)責(zé)人林偉告訴《經(jīng)濟(jì)日報(bào)》記者，他曾經(jīng)訪問過一系列網(wǎng)上以“數(shù)據(jù)交換”為名的論壇和QQ群、微信群，“里面包括某銀行存款1000萬元以上的VIP客戶信息，或者某地區(qū)運(yùn)營商客戶的個人資料，這些都很容易就能買到，應(yīng)該都是來自于員工泄密?！背酥?，用戶數(shù)據(jù)泄露的來源還包括黑客攻擊和第三方合作商戶泄密。
“從技術(shù)上來看，"內(nèi)鬼"可以防范?！绷謧フJ(rèn)為，“企業(yè)安全防護(hù)一個重要理念是"一切都不可靠"，員工不可靠，安全工程師同樣不可靠，要運(yùn)用技術(shù)手段來解決"人的問題"。方法一是需要對所有員工的行為進(jìn)行監(jiān)控和記錄，并且至少要保留半年以上時間，以便發(fā)現(xiàn)問題可以追溯。方法二是在數(shù)據(jù)儲存上，進(jìn)行加密和拆分，加強(qiáng)保密強(qiáng)度?！?/p>
此外，防范“內(nèi)鬼”，也需企業(yè)對員工權(quán)限進(jìn)行嚴(yán)格控制?；ヂ?lián)網(wǎng)安全廠商瑞星安全專家唐威認(rèn)為，“泄露數(shù)據(jù)，需要的是掌握數(shù)據(jù)的權(quán)限，這包括打開、復(fù)制、修改、發(fā)送和分享等一系列權(quán)限，這些都可以通過技術(shù)手段加以限制。”在媒體報(bào)道中，有銀行人士表示，其信用卡信息及個人理財(cái)信息平時為了安全都是用優(yōu)盤拷走，個人優(yōu)盤需要及時清理，從來不經(jīng)過郵件來回傳遞。對此，唐威說，“就拿優(yōu)盤拷貝數(shù)據(jù)這件事來說，首先，在硬件上，對于安全性要求極高的關(guān)鍵設(shè)備就不該有諸如USB接口之類的出口。其次，可以設(shè)置員工權(quán)限，甚至可以細(xì)化到只允許插入經(jīng)過企業(yè)安全認(rèn)證的優(yōu)盤。對有權(quán)限的人，技術(shù)上依然可以配置監(jiān)控和報(bào)警系統(tǒng)。"
加強(qiáng)安全防范迫在眉睫
銀行內(nèi)部會出現(xiàn)對“內(nèi)鬼”沒辦法的想法，在林偉看來，根本上是企業(yè)缺乏安全意識的體現(xiàn)。“大部分企業(yè)并不關(guān)注網(wǎng)絡(luò)安全，有些企業(yè)雖然關(guān)注，但缺乏進(jìn)行恰當(dāng)防護(hù)的能力?！闭蛉绱耍诎?2306、中國聯(lián)通等企業(yè)在內(nèi)，一系列用戶數(shù)據(jù)泄露事件先后發(fā)生。
在互聯(lián)網(wǎng)安全專家看來，企業(yè)信息安全水平的提升，一方面要靠安全意識的加強(qiáng)，另一方面則要建立一整套安全制度，“否則只能遇到一個問題解決一個問題，永遠(yuǎn)在亡羊補(bǔ)牢?！碧仆f。在他們看來，安全制度的建立目前主要有兩種方案，一是企業(yè)自己聘請專業(yè)的安全人員，產(chǎn)品自己開發(fā)；二是使用外來的產(chǎn)品?！皟煞N方法各有利弊，不過，第三方廠商在網(wǎng)絡(luò)安全、數(shù)據(jù)安全和主機(jī)安全上各有所長，最好使用專業(yè)的評估和咨詢公司，找到各領(lǐng)域內(nèi)最適合企業(yè)情況的解決方案?！绷謧フf。
此外，從整個信息安全行業(yè)來看，目前市場激烈競爭，安全廠商競相壓價、爭取客戶的“價格戰(zhàn)”，也為安全埋下隱患。
