8月底，華住集團旗下連鎖酒店用戶數據和順豐快遞客戶數據的疑似泄露、交易事件引起輿論關注，前者涉及數據總數達5億條，后者為3億條，大規模用戶數據泄露事件涉及每個網民，讓人“細思極恐”。

　　實際上，近些年數據泄露事件頻發，從臉書被爆出5000萬用戶信息遭泄露，到“Twitter”自爆安全漏洞，要求用戶修改密碼，到國內12306訂票被爆個人信息可以被其他用戶查看，再到趣店被爆數百萬學生數據疑泄露，海康威視監控設備被境外控制，再到臺積電工廠遭病毒攻擊而致iPhone芯片停產等。信息安全事件的危害程度正在不斷升級。360公司董事長兼CEO周鴻祎近日呼吁：“中國只有網絡游戲、網絡娛樂、外賣是不夠的，還要有自己的核心技術，網絡安全的戰略意義一點不亞于芯片。”

　　華住、順豐數據為何被泄露？

　　8月28日，在暗網，一位ID名為“helen250”的用戶發帖出售1.3億名華住旗下酒店入住用戶數據包。8月31日，有媒體爆料，在暗網中有順豐用戶數據正在出售。其后，華住、順豐兩家公司均立刻報警，并稱是否數據泄露尚無法確定。而有不愿具名的網絡安全工程師則透露，暗網市場交易者表示，愿意提供萬條數據測試其真實性。

　　如果華住和順豐數據泄露是真，那么為什么如此龐大的用戶信息會泄露出來？志翔科技聯合創始人伍海桑告訴《中國電子報》記者，從一些媒體的公開報道來看，在華住數據泄露事件爆發前數周，有人向開源社區Github上主動上傳了相關的數據庫配置文件。從GitHub頁面截圖可以看出，上面有數據庫的地址、用戶名和密碼，通過這三個信息，就能拿到這個數據庫的全部信息。黑客隨后在8月14日，聲稱對華住酒店進行數據庫“脫庫”（即將數據庫里所有數據全部盜走）。泄露的信息中，包括了用戶的官網注冊資料、入住登記身份信息和酒店開房記錄，登錄密碼甚至還是明文保存的，讓黑客得到了“意外之財”。若上傳信息到GitHub，如一些媒體所言是華住程序員所為，那么平臺自身監管不嚴，難辭其咎。這些漏洞，導致黑客輕松進入華住的數據庫里，盜取了數據，相當于小偷拿到了你家的鑰匙，打開你家門，發現家里抽屜中放的居然是現金而不是有密碼的銀行卡，無須費力破譯密碼就能輕而易舉地拿走寶貝。

　　360網絡安全響應中心（360CERT）負責人蔡玉光對《中國電子報》記者表示，企業數據泄露的主要原因有幾類：一是通過惡意的攻擊犯罪行為；二是員工或承包商疏忽或惡意導致泄露（人員因素）；三是系統故障，IT/業務流程故障。近年伴隨數據資產價值與日俱增，惡意攻擊者的目標越來越多地指向目標系統的數據庫系統，通過對敏感數據的竊取，再將這些包含個人隱私或商業機密的數據流入黑產市場，經過倒賣最終獲取巨額利益。

　　大規模的數據泄露對于企業來說，將直接導致客戶信任度下降，企業也需要投入大量成本進行取證調查，以挽回數據帶來的損失。對于個人用戶，泄露的信息會為犯罪行為，如電信詐騙、敲詐勒索等提供便利，如果泄漏的信息包含用戶信用卡、密碼，還可能導致用戶個人資產受到直接威脅。

　　針對具體事件中的溯源工作，蔡玉光建議企業“內外協同”進行。內部，對涉及的相關系統進行排查，發現并修復可能存在的相關漏洞，同時提取相關日志、流量、可疑文件等信息進行技術溯源；外部，可以聯合公安、運營商、安全廠商、白帽子社區等多方力量，對相關事件進行多層面、多視角的分析和回溯，及時做出應對措施，保障企業和用戶后續的安全。以往發生的多起數據泄密事件表明，依托于企業、公安、監管機構、安全行業等多方面的協同努力，是可以將網絡犯罪分子繩之于法的。而個人用戶應該定期更新密碼。養成良好的密碼習慣，大小寫+數字+符號，16位密碼。

　　物聯網時代安全挑戰升級

　　為什么信息安全的事件不斷爆發、不斷升級？在萬物互聯的時代，在一切越來越數字化的時代，在人工智能時代，我們所面對的信息安全挑戰不一樣了。

　　百度安全事業部產品總經理韓祖利認為，首先，AI時代面臨的安全挑戰比傳統安全時代更復雜，縱貫傳感器、軟件、數據、系統、網絡等多方面；其次，數據投毒、生物識別欺騙，AI自身的安全性變得前所未有的重要；最后，AI時代的安全生態是共研生態，以往企業碎片化的單兵作戰、安全統一標準的缺失，將消耗公眾對整個行業的信心。

　　“當我們從互聯網時代進入到移動互聯網和物聯網時代，原來的IT系統安全體系‘hold’不住了。”安天移動安全副總經理陳家林在接受《中國電子報》記者采訪時表示。信息化、數字化、智能化三化演進的IT信息系統帶來的是數據量量級的巨大變化，同時也帶來了IT系統復雜度的增加。對于互聯網公司來說，到了移動互聯網和物聯網時代，線上線下的融合、各種各樣入口帶來的數據是指數級的變化和系統復雜度的增加，對于傳統企業來說，他們原來的IT系統很難支撐。出現安全問題、信息泄露，一定是始料未及的。

　　“過去的攻擊相對來說是散兵游勇，更多是顯示技術能力，但今天的網絡攻擊更突顯利益驅動，是團隊化、產業化作戰。”IBM全球安全事業部首席架構師Ron Williams對《中國電子報》記者說。

　　伍海桑認為，除了數據規模、IT系統的復雜度更大之外，還有很重要的一點是，我們已經進入數據經濟時代，數據越來越價值化，信息安全意識本應隨著數據經濟的發展而越來越受到重視，但目前這條腿是欠缺的，尤其在中國市場。目前，公開數據顯示，在歐美市場，企業在信息安全上的投入在整體IT投入中的占比是8%～12%，而中國只有1%～3%，目前中國的相關法規也在逐步完善中，但其對數據安全的規范與嚴苛程度，還遠不及歐洲的GDPR數據保護法。

　　合力構建信息安全城墻

　　我們應該如何構建更安全的信息體系？

　　周鴻祎表示，從PC時代到移動互聯網時代，再到IoT時代，線上線下的界限正在逐步消失。過去的很多技術方法、戰略指導思想都不管用了，新的解決之道是把全球網絡大數據整合起來，用更智能、更整體的思維去觀察和應對安全局勢，這就是安全大腦。

　　韓祖利給出幾點建議，首先，AI時代所面臨的安全挑戰，需要企業以生態聯盟的方式共同應對；其次，關系、技術、數據是AI安全生態共建的三大支點；最后，以BAT為代表的大公司應率先做出正向外部性的研究和投入，使得整個生態獲得更好的安全防護。“安全不是一家公司或者一個人就可以做好的。百度安全希望能和全行業一起建立一個共贏共生的安全生態。”韓祖利說。

　　陳家林表示，需要增加對安全的投入，同時要改變原來做安全的思路。對于甲方用戶來說，首先需要有安全意識，企業做到一定規模就要把安全納入進來；其次，未來安全的打造一定是生態聯手，安全涉及全產業鏈從芯片、硬件、軟件、云服務保證每一個環節，安全問題往往發生在木板最短的部分；最后，對于安全公司來說，不要面面俱到，需要專業分工，還需要有進行生態整合的公司。未來的安全將從原來的傳統安全進入到無邊界安全，傳統的安全主要是集中數據庫、服務器等后臺，現在需要前端和后端融合。

　　要變被動安全為主動安全，需要生態協同和系統的理念。IBM大中華區安全事業部總經理陳文豐表示，這其中有三個關鍵，其一是需要有效的威脅情報，其二是要有一個能夠實現聯動和協同的平臺，其三是要有運營安全中心的理念。威脅情報是做安全的精髓，應該有大而全的情報，構建快速響應情報中心是信息安全的一個關鍵。

　　安全已經從網絡安全向網絡空間安全延展，與各個領域的企業生產、社會民生息息相關，形成了一個新的大安全概念。面對全新的、更為復雜且頻發的安全風險問題，需要有風控的思路和整體的思路，同時充分利用AI與大數據等智能技術與工具。伍海桑表示，人工智能與大數據在保障大規模信息安全上有更大的優勢。比如在身份識別中，利用機器視覺判斷，對人臉識別的準確性和速度現在已經超過了肉眼。物聯網的發展，帶來了更多設備和應用的接入，也帶來更復雜多樣的業務應用場景、更多的數據交互與更多環節的協作。這更催生了新的安全需求和面向這些需求的新技術與產品的出現，比如物聯網設備準入安全檢測、交互流程檢測、故障檢測與響應等，以便從更深層次來杜絕安全問題的產生。（記者 李佳師）

　　轉自：中國電子報