权威数据显示:2015年全国快递企业重大信息泄露案达43起,外流包含消费者个人隐私数据的订单有上百万张,保守估计“转手费”高达上百万元…..2016年4月,小米手机几十万物流数据遭泄,从快递单号来分析,都是EMS快递,如果是EMS快递信息泄漏,意味着可能不只是小米一家的数据…..
信息泄露只是系统安全隐患的一个表现,落后的信息安全建设带来的后果包括大量漏洞、信息泄露、频繁遭受外部攻击等方面。然而系统漏洞只是表象,快递企业的根本问题是信息安全意识落后,自身安全能力薄弱,许多企业从开发到运维以及业务账号权限管理、安全审计都存在很多问题。
快递行业数据安全面临的挑战,总结起来有以下几点:
一、运维开发人员操作数据库无法形成有效监督。
二、通过对接业务恶意获取机密数据。
三、利益驱使的内部人员,修改‘特殊’账户或者设置隐藏按钮。
四、飞单、丢单等恶意篡改数据。
五、黑客恶意攻击使用其它服务器做跳板,再去数据库获取核心机密数据。
六、第三方业务平台数据传输丢失或被截取,造成对业务丢失,不但影响企业效益和形象并对第三方合作带来影响。
七、现由于第三方平台绑定;刷单,刷信誉行为也是需要考虑的问题
数据安全已悄然成为快递行业必须高度重视、急需解决的首要问题。数据库是快递行业中最具有战略性的资产,其中存储着客户的“敏感”信息,包括客户姓氏名谁、电话、住址等详细信息,数据价值可想而知;这些被别有用心的不法分子则视为珍宝,看中的正是其“内在的价值”,通过非法盗用、转卖客户信息等方式以谋取暴利,甚至是快递行业内部人员,无视行业准则,违规泄露客户信息,自动卷入灰色利益链条之中。
凡此种种,都提醒我们保障快递行业的信息安全刻不容缓。快递行业除了内部人员建设,加强行业自律,加强对内部员工职业道德教育和规范化操作管理等制度性管理之外,在信息化建设上如何加强建设以确保客户的信息安全呢?
针对以上快递行业数据安全频临的问题,昂楷科技结合行业实际通过技术研究做出了专业的解答:
一、加强权限管理,形成账户负责制
需要加强所有权限管理,形成账户负责制,并且只能在指定机器上才能运维和开发工作,如发现有账户被泄漏情况,着令及时修正,最终形成统一明确的账户流程管理制度。
通过IT运维审计系统全面监控运维和开发人员的工作内容,再结合昂楷数据库审计系统全面监控所有运维和开发工具,形成全方位操作监控,详细监控每个账户人员的所有操作情况,并且能定位到人,最终形成权限和人员的一一对应关系,在审计系统界面一目了然查阅出每个人工作过程情况。
二、 全面审计,及时预警
在对接业务对接情况下,由于对接数据库使用的是特殊固定的接口账户信息,极难更改或屏蔽,如若修改调整,都会形成业务中断,企业无法承受。昂楷数据库审计系统全面审计接口数据传输情况,并且配合接口备案情况,只要出现任访问跨权限数据部分,可以直接设置报警,提前预警和及时报警;防止任何异常数据或者假冒接口情况来获取非权限数据。
三、备案隐秘数据,直接定位
针对内部人员,修改‘特殊’账户或者设置隐藏按钮的问题,首先把所有应用系统调用数据库隐秘数据相关情况全部备案,出现任何异常后,可以直接定位到哪个业务系统,然后配合应用系统审计情况,提取出相关访问情况,立即调用出js返回内容情况,以此定位到人,并且清楚明白的看到操作了什么内容。
四、后台设置接口,防止恶意篡改数据
昂楷数据库审计系统能及时发现客户订单为成交情况,同时支持后台设置接口,让客服人员及时沟通客户未下单详细情况,及时了解到客户单未成交原因,提升客户的满意度情况,询问未下单成功意见,主要可以用于监督收单工作人员是否有“勾结”。
五、实时监督数据传输过程,防止数据丢失或被截取
昂楷数据库审计系统能完整监督审计数据实时传输过程,输送过来几个订单都一目了然,如有任何订单异常状态,可提取出相关日志情况,证明非企业这边问题,而是由于其它问题导致。全面解决我方对接问题中异常情况。也是最有力的直接证据
六、完整跟踪订单过程,防止刷单刷信誉
正常业务务流程中,平台卖家找人刷单行为为正常产生流程,这种过程很难防护,只能做到基本的防止发送空包业务,这个需要在流程和制度上规范收单工作人员行为,以及加大处罚力度;并且卖家最终要想产生利润,必须是卖产品给实际用户,如果产品异常或者其它问题,最终用户肯定会投诉卖家,以此来防范刷单刷信誉行为。
昂楷解决方案的特点:真正数据的审计,全过程的监控,智能告警时时防范,是抓“技术高手”的有利工具。
标签: 数据库安全审计, 数据库审计