“南都记者700元买到同事行踪”追踪

南都讯见习记者王秀中记者陈磊程姝雯南方都市报日前报道的“记者700元买到同事行踪”在社会各界引发强烈关注。采访中南都记者发现，个人信息泄露已成为互联网时代的一个普遍现象。《中国网民权益保护调查报告2016》显示，4.8亿网购用户，过半网购过程中遭遇个人信息泄露。行业专家表示，“内鬼”的比例要大于外部黑客攻击。针对这两类泄露渠道的防范技术也存在很大的差别，需要采取完整且具有针对性的手段，做到“外防黑客，内防内鬼”。

国内网站对漏洞修复率平均不足10%

南都记者采访的700元购买同事开房记录的报道，公安部回应称，此案是由相关单位内部人员与社会人员相互勾结所为。

除了内鬼之外，黑客非法侵入是造成隐私泄露的另外一种主要手段，曾为国庆60周年、世界互联网大会以及G20杭州峰会提供网络信息安全保障的杭州安恒信息技术有限公司CEO范渊对南都记者表示，黑客通过注入漏洞等方式将后端数据导出，不法分子再将数据进行整理和买卖，有的用于广告，有的则用于诈骗。比如本周将要上映的电影《绝对控制》中，就披露了IT黑客通过非法方式对于个人信息造成的巨大威胁。

“目前，国内网站在接到漏洞报告后，对漏洞的修复率平均不足10%，这就给黑客入侵和窃取大开了方便之门。”360首席反诈骗专家、网络安全专家裴智勇表示，黑客窃取个人信息的方式有网站拖库、木马病毒、钓鱼网站等。其中最主要的方式还是利用网站漏洞对网站数据进行拖库。

另一类泄露渠道则是内部数据泄露，也被称作是“内鬼”。“内鬼”出现在各行各业，涵盖范围非常广。例如，医院内部将数据卖给医药代表；教育考试院的数据库考生的个人信息遭到泄露，甚至不法分子通过修改志愿和分数进行诈骗；还有金融、社保、电商的软件开发人员在软件开发过程中故意“留后门”，盗取数据。

范渊介绍，据统计，“内鬼”的数量和黑客攻击各占一半，甚至“内鬼”的比例还更大些。需要特别强调的是，“内鬼”不一定指的是内部员工，第三方软件开发、维护人员，有一定权限可以在内网进行操作和查询的，都属于“内鬼”的范畴。

防内鬼窃密，实行数据分级管理

范渊表示，从技术环节来说，这两类泄露渠道的防范在技术上有很大差别，需要非常完整清晰且具有针对性的手段，从整体上把控各种泄露的风险，做到“外防黑客，内防内鬼”。

从外部防护而言，需要通过云防护等几道防护措施，做好监控和预警，内控则更为复杂。

“内鬼”有权限接触到这些信息，如何辨别操作过程中是否存在信息泄露？范渊表示，目前，数据库防火墙、数据库审计、堡垒机、日志审计，是在数据安全防护领域内应用非常广泛的“四件套”。这套软件记录能准确地检测数据库的进出访问行为，实时判断并通过数据库防火墙进行拦截。

范渊还指出，很多机构和政府部门每年都会进行常态化的渗透测试，模拟黑客攻击行为。通过这种模拟渗透测试，以及常态化的监测和实时防护，能够对外部黑客攻击进行一定的防范。但目前来看，有问题的系统还是很多，情况确实不乐观，个人信息防护任重道远。

就企业内部防止内鬼窃密的技术方法，裴智勇表示，技术手段包括数据的加密存储、数据的业务管理，即负责某一项业务的人，只能在一定范围内看到数据的一部分；数据的分级管理，即下层业务人员如果要查询某些数据，必须要得到上级或相关业务管理者的临时授权；以及数据协同管理、内部流量管控等多种方法。

另一方面，由于政府掌握了大量的、全面的公民信息，也更容易成为黑客攻击的目标。国家信息技术安全研究中心金融安全处副处长曹岳对南都记者表示，目前，政府在信息化投入上相对欠缺。政府部门需要从技术维度加强审计和对内网系统的严格控制。