作為人事管理辦公室主任，Katherine Archuleta成為最新一輪數(shù)據(jù)泄露事故的受害者——但她絕不是惟一一位被犯罪分子所攻擊的管理人員。時(shí)至今日，我們甚至可以說，安全從業(yè)人員的自身崗位幾乎毫無安全性可言。
人事管理辦公室前主任Katherine Archuleta在2014年美國農(nóng)業(yè)部的一次會(huì)議上發(fā)言。
作為安身立命之本，很多人選擇將數(shù)據(jù)安全保護(hù)作為畢生事業(yè)。但結(jié)果如何?
雖然不像CEO、CIO或者CTO那樣責(zé)任重大且工作繁忙，但這些高管本身并不需要直接負(fù)責(zé)IT安全事務(wù)。絕大多數(shù)管理者甚至干脆對(duì)安全一無所知。
不過在當(dāng)下這個(gè)網(wǎng)絡(luò)世界當(dāng)中，IT安全已經(jīng)成為企業(yè)獲得業(yè)務(wù)成功的必要基礎(chǔ)，而一旦出現(xiàn)問題、責(zé)任也將由企業(yè)中的各個(gè)層級(jí)共同承擔(dān)。有鑒于此，組織內(nèi)的領(lǐng)導(dǎo)者們可能更傾向于著眼大局，而不愿涉足安全這塊職責(zé)重但卻地位低的“貧瘠之地”。
作為人事管理辦公室主任，Katherine Archuleta成為最新一輪數(shù)據(jù)泄露事故的受害者——但她絕不是惟一一位被犯罪分子所攻擊的管理人員。她在上周五辭職之后透露稱，黑客共竊取了政府背景調(diào)查所收集到的2150萬民眾的個(gè)人信息。她所在的機(jī)構(gòu)此前還曾經(jīng)指出，超過420萬名聯(lián)邦政府工作人員的個(gè)人信息亦遭到竊取。
在2015年5月進(jìn)行的一次面向350家企業(yè)的調(diào)查當(dāng)中，IBM與Ponemon Institute發(fā)現(xiàn)數(shù)據(jù)泄露事故所造成的平均損失已經(jīng)由去年的352萬美元增長到如今的379萬美元。每條包含敏感數(shù)據(jù)的記錄在丟失或遭到竊取時(shí)所造成的損失亦由去年的145美元增加至154美元。以上數(shù)字為全球水平。而著眼于美國本土，每條敏感數(shù)據(jù)記錄帶來的泄露損失更是高達(dá)217美元。
通過這一標(biāo)準(zhǔn)進(jìn)行計(jì)算，此次人力管理辦公室所丟失的2570萬條記錄很可能造成高達(dá)56億美元的巨額損失。這一數(shù)字還很可能有相當(dāng)一部分被納入2016財(cái)年總值140億美元的網(wǎng)絡(luò)安全預(yù)算當(dāng)中。畢竟人力管理辦公室所泄露的數(shù)據(jù)很可能給美國國家安全造成長期而嚴(yán)重的負(fù)面影響。
單純的經(jīng)濟(jì)損失數(shù)字還不足以幫助我們了解受害者對(duì)于數(shù)據(jù)泄露事故的焦慮，我們也很難從中看到哪些個(gè)人或者從業(yè)者應(yīng)該為如此龐大的損失負(fù)起責(zé)任。
數(shù)據(jù)泄露事故的受害者們則往往非常無辜，因?yàn)槠墼p乃至身份竊取活動(dòng)往往是由于其他人的失誤、無知或者失職所造成。但與此同時(shí)，我們又難免要對(duì)那些使用著存在固有安全缺陷的系統(tǒng)方案及相關(guān)員工的管理者產(chǎn)生同情之心。而之所以一部分人能夠在工作當(dāng)中取得成功，完全是因?yàn)榇蟛糠滞械乃教^低下——但在安全領(lǐng)域，還恰恰有很多人仍在秉持著這樣得過且過的僥幸心理。
如果大家認(rèn)真查閱過曾經(jīng)遭受過黑客攻擊的企業(yè)名單，就會(huì)發(fā)現(xiàn)即使是技術(shù)實(shí)力最強(qiáng)的組織也承受不住資金充實(shí)的惡意人士的輪番轟炸。2014年，美國聯(lián)邦調(diào)查局局長James Comey曾經(jīng)明確指出：“目前美國國內(nèi)只有兩種大型企業(yè)。一種已經(jīng)受到了來自中國的網(wǎng)絡(luò)攻擊，另一種則還沒意識(shí)到自身已經(jīng)受到了來自中國的網(wǎng)絡(luò)攻擊。”
很明顯，黑客絕不僅僅來自中國，在世界諸國內(nèi)也所在多有。
考慮到IT系統(tǒng)當(dāng)中存在的安全隱患，各位CEO、CIO或者CTO最好提前寫好辭呈，在里面就人人談而色變的“無法預(yù)見”的數(shù)據(jù)泄露問題做一番反省。這倒不是提倡大家坐以待斃，而是希望通過這種方式強(qiáng)調(diào)優(yōu)先考量安全議題的必要性與迫切性。
如果我們運(yùn)氣好點(diǎn)、工作努力點(diǎn)，也許這封辭呈永遠(yuǎn)也派不上用場。不過事實(shí)證明，很多高管人士都沒能逃過這一劫數(shù)。在今天的文章中，我們將共同見證多位由于安全問題而斷送了前程的企業(yè)管理者。也許大家能夠從中總結(jié)出教訓(xùn)，但也許我們都不過是在這種恐怖的陰影中掙扎求存。
離開Target
2014年5月，Target公司CEO Gregg Steinhafel由于上年出現(xiàn)的大規(guī)模數(shù)據(jù)泄露事故而被迫辭職。這次事故影響到了該公司的1100萬名客戶。他在寫給董事會(huì)的信中提到，該公司一直致力于改進(jìn)數(shù)據(jù)安全水平。
而就在兩個(gè)月之前，Target公司的CIO Beth Jacob也由于這一安全事故而最終離去。
“采訪”引出禍?zhǔn)?/strong>
今年2月，索尼影業(yè)掌門人Amy Pascal辭職。追究原因，一個(gè)自稱“和平守護(hù)者”的組織對(duì)索尼影業(yè)展開了網(wǎng)絡(luò)攻擊。該組織發(fā)布了Pascal與其他影業(yè)高管之間的保密往來郵件，其中的內(nèi)容令人頗為尷尬。根據(jù)報(bào)道，該組織的攻擊原因是《采訪》這部電影的存在——這部喜劇片狠狠對(duì)朝鮮領(lǐng)導(dǎo)人金正恩作出了一番戲謔。
江南Style
2014年1月，韓國金融企業(yè)KB金融公司的27位高管一同辭職。根據(jù)《華爾街日?qǐng)?bào)》的報(bào)道，KB金融公司及其下轄機(jī)構(gòu)所發(fā)出的總計(jì)1040萬張信用卡信息遭到竊取，而始作俑者為KB協(xié)作方韓國信用局的一位工程師。
密碼錯(cuò)誤
猶他州技術(shù)服務(wù)部執(zhí)行主管Stephen Fletcher于2012年5月辭職，原因是此前的一場UDOTS服務(wù)器安全事故導(dǎo)致該州醫(yī)療系統(tǒng)中的大量個(gè)人信息外泄。此次事故共致使約28萬名民眾的社保號(hào)碼被盜，另有約50萬民眾的其它個(gè)人信息流出。最后這場事故被證實(shí)是由“服務(wù)器上的一次密碼驗(yàn)證層錯(cuò)誤所引發(fā)”。
太過開放，開門揖盜
泄露?泄露什么了?
在2010年發(fā)生數(shù)據(jù)泄露并在2012年年底被公眾所知曉之后，俄亥俄州立大學(xué)CIO Kathy Starkoff因這一導(dǎo)致76萬人個(gè)人信息外泄的事故而辭職。根據(jù)俄亥俄州立大學(xué)官方網(wǎng)站上的一條公開記錄來看，此次事故早在2010年10月22日就已經(jīng)被發(fā)現(xiàn)，但直到近兩個(gè)月之后的2010年12月5日之前，Starkoff的往來郵件當(dāng)中從未出現(xiàn)過“泄露”字樣——此獠確是裝傻充愣的一把好手。
美國在線卷入風(fēng)波
早在2006年，就在數(shù)據(jù)泄露事故尚未真正全面襲來之時(shí)，美國在線就曾經(jīng)故意發(fā)布了作為研究使用的65萬位服務(wù)訂閱者的共2000萬條搜索記錄。在《紐約時(shí)報(bào)》宣稱能夠?qū)@些看似匿名的數(shù)據(jù)進(jìn)行搜索者身份分析后，美國在線才決定將其收回。在經(jīng)歷了法律訴訟之后，美國在線CTO Maureen Govern決定辭職，而研究員及上級(jí)主管當(dāng)中的相關(guān)責(zé)任人亦被公司開除。
光盤與數(shù)據(jù)
2007年，英國稅務(wù)海關(guān)總署主席Paul Gray決定辭職。究其原因，此前曾有一片記錄著2500萬名個(gè)人及700萬個(gè)家庭的未加密兒童福利信息的CD不慎丟失。
別隨便嘲笑黑客
技術(shù)安全企業(yè)HBGary Federal公司CEO Aaron Barr可以算是“不作死就不會(huì)死”的典型代表。2011年，該公司的官方網(wǎng)站遭到黑客攻擊，約有71000封內(nèi)部郵件遭到外泄。其實(shí)這一切本來有可能得以避免，但他此前放出豪言，稱將把Anonymous黑客組織的首腦名單公諸于眾——這絕對(duì)是教科書級(jí)的玩火自焚行為。
八達(dá)通的悲慘過往
香港智能卡支付企業(yè)八達(dá)通股份公司CEO陳碧鏵于2010年辭職。據(jù)稱，該公司此前曾將客戶的私人數(shù)據(jù)出售給業(yè)務(wù)伙伴，而這種行為自然會(huì)受到隱私政策的嚴(yán)歷制裁。
不了了之
盡管2014年的大規(guī)模泄露事故導(dǎo)致5600萬條信用卡信息流出，但Home Depot公司的高管團(tuán)隊(duì)似乎并未因此受到任何譴責(zé)。該公司當(dāng)時(shí)并沒有立即就是否有高管人士為此負(fù)責(zé)而作出回應(yīng)，因此我們也不清楚領(lǐng)導(dǎo)層是否有人被追究了責(zé)任。不過當(dāng)初在管理層決定漠視警告提醒時(shí)，該公司安全團(tuán)隊(duì)的部分員工選擇了離職。
嚴(yán)重瀆職
2006年5月，一臺(tái)保存在2650萬名退伍軍人信息的筆記本電腦在弗吉尼亞州被人偷走，這直接導(dǎo)致時(shí)任退伍軍人事務(wù)部部長副助理的Michael H. McLendon辭職。在盜竊事件發(fā)生之前，CIO Robert McFarland已經(jīng)因?yàn)樵摍C(jī)構(gòu)遲緩的安全保障進(jìn)展而決定辭職。而在盜竊事件之后，退伍軍人事務(wù)部首席信息安全官兼代理CIO Pedro Cadenas, Jr.亦離開了該部門——不過他的離去并非自愿，這位分析師當(dāng)時(shí)把該筆記本帶回了家中并最終導(dǎo)致被盜，他也因此遭到解雇。
力有不逮
2011年，美國計(jì)算機(jī)緊急響應(yīng)小組(簡稱US-CERT，負(fù)責(zé)保護(hù)美國政府的網(wǎng)絡(luò)體系)主任Randy Vickers決定辭職。官方并未給出具體理由，但在Vicker離開之前，美國政府的網(wǎng)站曾經(jīng)遭受過一系列黑客攻擊。
通天大禍
除了數(shù)據(jù)泄露，物理層面的安全問題同樣可能讓管理人員斷送前程。美國特勤局局長Julia Pierson就在白宮出現(xiàn)一系列安全問題之后黯然離職。而在2007年，洛斯阿拉莫斯國家實(shí)驗(yàn)室出現(xiàn)的安全問題也讓時(shí)任國家核安全局局長的Linton Brooks烏紗落地。
京公網(wǎng)安備 11010502049343號(hào)