“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

  • A+
所属分类:安全新闻


判例分析

日前,在湖南省溆浦县人民法院的一起判决中,某知名电商物流企业“内鬼”与不法分子同流合污,通过职务便利非法买卖公民个人信息,导致消费者被网络诈骗,侵害了公民个人信息安全。案件已经审理终结,在其背后却浮现出一条非法获取、出售、购买个人信息的利益链……



“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

案件回顾:揭开个人信息贩卖冰山一角

“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

【注:判例根据(2020)湘1224刑初281号文书整理】

2020年3月,童某找到贺某,提议由贺某负责收集客户信息,其以3元/条的价格进行收购。随后,贺某利用其身为某电商物流公司地方营业部负责人的工作便利,通过公司内网平台查询运单号中的公民电话号码、收货地址等个人信息2万余条,以3元/条的价格出售给童某6000多条,非法获利2万元。之后,童某将从购买得来的信息通过网络出售给他人,非法获利2万元。

2020年6月,负责违纪违规调查核实工作的相关公司风险稽核部,收到“有客户运单信息泄露,造成客户被诈骗”的店铺反馈。客户运单信息包含姓名、地址、联系电话、购买商品或托运物品的详情。深入调查后,嫌疑直指贺某。公司报案后,贺某如实供述,案件真相就此和盘托出。

南省溆浦县人民法院认为,贺某利用工作便利,查询公民信息并出售给童某,童某将收购的公民信息予以出售,情节严重,二人的行为均构成侵犯公民个人信息罪。并依照《中华人民共和国刑法》、《中华人民共和国刑事诉讼法》相关法条规定进行了判决:贺某、童某犯侵犯公民个人信息罪,分别判处有期徒刑十个月、八个月,两人处罚金各人民币四千元

深入分析,该案件的个人信息非法交易已形成规模化的黑色利益链,涵盖个人信息非法获取、交易、诈骗、获利等各环节的专业化分工。在公安部公布的“净网 2020”专项行动成果中,截至 2020年12 月 20 日,全国共侦办侵犯公民个人信息刑事案件 3100 余起,抓获犯罪嫌疑人 9700 余名。在数字经济蓬勃发展的当下,海量个人信息在各行业信息化系统高速流转,被抓获的这些案例或许只是冰山一角。

近年来,我国侵犯公民个人信息犯罪处于高发态势,加强个人信息保护已刻不容缓。随着国家对个人信息安全的保护愈发重视,相关法律规定逐渐完善。2017年6月1日正式实行的《网络安全法》,明确加强了对个人信息的保护,打击网络诈骗;2020年10月21日公布的《个人信息保护法(草案)》,也对个人信息和数据安全建设提出明确防护要求。未来,随着相关法律法规的落地,信息安全保护体系将更加完善,一如“贩卖个人敏感信息50条即可入罪”等法律威慑重锤,将震醒非法获取个人信息的获利者。



“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

安全分析:给电商物流企业的数据安全建议

在本案件中,“内鬼”归案,看似有了结局,但公民的担忧却没有消失。有“内鬼”并不能成为电商物流企业信息泄露的挡箭牌,其中暴露出的企业数据安全管理短板依然存在。

特别地,根据国家邮政局监测数据显示,截至2020年12月21日,我国快递年业务量首次突破800亿件,再次刷新快递年业务量纪录。和快递业务的高增长率相比,在用户个人信息保护方面却缺乏与业务规模相匹配的安全措施。比如,面对用户个人信息潜在泄露的情况时,电商物流企业到底要给合法业务人员多大权限?当违规访问个人信息时,系统是否具备数据安全防护机制?当员工出现异常行为的时候,系统是否会有预警机制发出警报,又该如何在最短时间知晓并将损害降到最低?

建议电商物流企业从数据安全管理、数据安全技术等方面加强防护工作:

数据安全管理方面:在上述案例中,贺某从3月份开始进行非法数据倒卖,到6月份出现客户被诈骗事件才被揭露。对此,建议电商物流企业应制定有效的个人信息安全保护策略,并向内部及第三方进行宣贯,保证各职能层可以明确掌握、贯彻安全策略。注重数据安全与业务运营相结合,加强内部人员监督,落实员工角色权限管理,保证业务操作责任到人,一线员工的安全培训和意识提升落实到每个网点。同时,积极开展个人信息保护检查,通过检测企业内帐号与授权管理、个人信息系统的技术管控、用户个人信息操作管理等项目,进一步落实企业个人信息保护机制。

数据安全技术方面:贺某虽然是电商物流企业某营业部负责人,具有访问个人信息的“合法身份,但贺某可通过内网平台直接获取2万余条个人信息,反映出系统缺乏细粒度的数据安全防护机制,比如越权查询用户敏感信息时未进行加密或脱敏处理、数据批量导出时缺失风险阻断机制等,同时系统未能及时检测到异常并响应。对此,建议电商物流企业应在数据存储、传输、使用等全生命周期中,应充分应用有效的数据保护技术,如数据加密、动态脱敏、访问控制、安全审计等技术,打造实战化的数据安全防护体系。


“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

基于商用密码的个人信息保护技术

放眼全局,不仅是电商物流行业,广泛的政府和企业也普遍存在个人信息和数据安全保护能力不足,形成信息泄露的薄弱环节。炼石推出基于商用密码的个人信息保护方案,基于AOE面向切面加密技术,帮助政企客户筑牢个人信息安全“防护墙”。

“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设
炼石AOE面向切面加密部署图

数据发现和分类分级:炼石方案支持对数据库敏感信息的自动识别,支持丰富的检测技术,策略制定灵活,可全方位扫描目标位置的敏感信息。

数据加密脱敏:面向结构化数据,炼石方案基于AOE面向切面加密技术,实现主体到应用内用户、客体到字段级的防护,同时面向服务侧实现存储加密、动态脱敏,有效防范内部业务人员越权、外部黑客拖库等风险;面向非结构化数据,方案基于TFE透明文件加密技术,实现落盘加密、读盘解密,并在不影响人员正常使用操作下,结合文件存储、数据库等,对特定目录、文件等进行加密,实现逐文件逐密钥的文件加密。并将数据加密与脱敏、访问控制、审计等技术相结合,形成“无法绕过”的数据安全防线。

细粒度权限管控:炼石方案可以基于属性和角色的访问控制,访问控制主体可细化到用户,实现对企业内部人员的敏感数据访问授权最小化,并提供丰富的数据脱敏策略,当用户对敏感数据风险访问时,如过量导出、非正常时间下载、异常频繁访问等,根据规则阻断。

高置信度行为审计:炼石方案提供可定责的数据访问审计,记录识别到的主客体信息。在记录操作行为的同时,能够对每条审计日志进行签名,不仅做到独立于应用系统的第三方审计,还能够通过数字签名技术确保审计日志的不可篡改。在事后追溯问题过程中,为数据泄露事故处理提供重要依据。

“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设
炼石方案对数据体系化防护

值得一提的是,炼石方案在实际部署中也具有免开发改造应用增强安全、兼容丰富数据库及开发语言、高性能密码保障业务效率不影响、满足国密信创合规要求等优势。

企业数据安全建设工作,没有黑科技,需要对数据全业务流程、全应用场景、全生命周期进行体系化的技术保护,结合法律法规筑起安全防护网,改进和落实企业安全管理机制,多层面有效协同,才能打赢数据安全保卫战!


                                                                               


“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设


石网络是一家基于密码与系统安全技术的数据安全创新公司,提倡“以数据为中心的新安全理念”,自主研发了CASB业务数据安全平台和高性能国密产品,开创性的实现免开发改造应用、敏捷实施细粒度数据保护,该产品入选工信部2020年网络安全技术应用试点示范推荐项目,并夺得第七届互联网安全大会(ISC 2019)首届“创新独角兽沙盒大赛”总冠军。基于AOE面向切面数据安全技术,将安全与业务在技术上解耦、但又在能力上融合交织 ,实现主体到应用内用户、客体到字段级的防护,打造“以密码技术为核心,访问控制、审计等多种安全技术互相融合”的实战化数据安全防护体系。炼石为政府、金融、教医旅、工商等行业用户,提供个人信息保护、商业秘密保护以及国密合规改造方案,让数据共享更安全、更有价值。


微信号:炼石网络CipherGateway

“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

本文始发于微信公众号(炼石网络CipherGateway):“内鬼”难防!从3元/条的个人信息买卖看企业数据安全建设

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: