如今的互聯(lián)設備保存了我們大量的重要信息,從銀行賬戶,個人信息到行業(yè)機密,持續(xù)增長的互聯(lián)設備讓網(wǎng)絡入侵者看到了新的機會,并利用這些潛在安全漏洞牟利,中國互聯(lián)網(wǎng)協(xié)會發(fā)布的《2016中國網(wǎng)民權益保護調(diào)查報告》顯示,從2015年下半年到今年上半年的一年間,我國網(wǎng)民因垃圾信息、詐騙信息、個人信息泄露等遭受的經(jīng)濟損失高達915億元。
我們通常遭到的電信詐騙、網(wǎng)絡欺詐、個人信息泄露,背后往往都有一個黑色的影子,在一條地下黑色產(chǎn)業(yè)鏈條上,有人負責竊取數(shù)據(jù),有人專門從事分銷,尋找目標買家或幫買家尋找黑客。有業(yè)內(nèi)人士測算,中國網(wǎng)絡安全相關的黑色產(chǎn)業(yè)鏈(簡稱“網(wǎng)絡黑產(chǎn)”)從業(yè)人員已經(jīng)超過150萬,黑產(chǎn)市場規(guī)模已經(jīng)達到千億級別,這與中國互聯(lián)網(wǎng)協(xié)會公布的網(wǎng)民損失數(shù)據(jù)大致相符。但是,目前中國企業(yè)安全產(chǎn)品的市場規(guī)模僅有300億元左右。
信息安全面臨多重挑戰(zhàn)
應該說,企業(yè)及個人信息泄露所遭受的損失只是整個互聯(lián)網(wǎng)信息安全的冰山一角,隨著移動互聯(lián)網(wǎng)大行其道,大數(shù)據(jù)、云計算的大規(guī)模普及,我們面臨的信息安全面臨著多重挑戰(zhàn)。
一方面,信息安全環(huán)境正在發(fā)生演變,從此前的PC轉向APP、數(shù)據(jù)中心和云端,來自阿里巴巴的統(tǒng)計數(shù)據(jù)顯示,2015年iOS漏洞增長1.28倍,Android漏洞增長10倍。比如前兩年爆出的蘋果iOS系統(tǒng)的APP出現(xiàn)大范圍的問題,其原因就出在APP制作商為圖方便,使用了非官方下載的蘋果APP制作軟件,被不法分子有機可乘。顯然,信息安全已經(jīng)是一個系統(tǒng)性的問題,一出問題就是“牽一發(fā)而動全身”。
另一方面,安全問題也已成為快速增長的物聯(lián)網(wǎng)行業(yè)的潛在風險,隨著物聯(lián)網(wǎng)產(chǎn)品和服務越來越受歡迎,它們會成為黑客攻擊的目標?;萜盏难芯勘砻鳎畛J褂玫奈锫?lián)網(wǎng)設備中有70%含有漏洞,到2020年,全球將有260億部互聯(lián)終端,物聯(lián)網(wǎng)帶來了巨大的機遇,同時也暗藏風險。
在上個月剛結束的上海世界移動大會上,主辦方對現(xiàn)場觀眾進行了一個調(diào)查,當問及觀眾是否會信任一輛完全自動駕駛的汽車時,僅有16%的人選擇了完全信任,高達69%的觀眾選擇了可能會信任,剩余15%則表示絕不可能信任。這一投票結果足以顯示出,現(xiàn)在人們對于自動駕駛的信任度還比較低,其中的核心就是互聯(lián)網(wǎng)汽車的安全性問題。
正因為安全問題如此復雜跟嚴峻 ,在今年的各大論壇上,信息安全問題都被重點關注,為此,人民網(wǎng)IT頻道也采訪了相關的網(wǎng)絡安全專家。
“五年以前,或者十年以前,那時候數(shù)據(jù)安全,比現(xiàn)在真好做多了。”阿里巴巴集團安全部副總裁杜躍進博士在接受人民網(wǎng)IT頻道專訪時表示,“今天最大的難點是數(shù)據(jù)本身是跟業(yè)務融在一起的,它跟業(yè)務不再是分開的。”
信息安全的實質(zhì)是風險可控
作為一位資深的安全行業(yè)專家,杜躍進博士從1999年開始就一直在網(wǎng)絡信息安全的第一線工作,在他看來,從來沒有絕對的安全?,F(xiàn)在大家講的網(wǎng)絡信息安全,是人和人的對抗,凡是人和人的對抗,都沒有絕對的結果,這就像體育比賽一樣。
“發(fā)展與安全是放到一起來看的,拆開了看是沒有意義的。”在接受采訪的過程中,杜躍進一直強調(diào)這句話,“你把安全放掉了的話,發(fā)展可能會一頭掉到懸崖下面去了。而不論發(fā)展只要安全的話,那一定是阻礙進步甚至是因噎廢食的,一定會讓中國失掉這次彎道超車的機會。”
在他看來,要想發(fā)展,一定是要承受一定的風險。如果是什么風險都不承受的話,那是一定不可能發(fā)展的。在專業(yè)人士看來,安全與發(fā)展是一個硬幣的兩面,那些忽略信息安全的公司將會失去消費者的信任,并面臨極大的風險。而只有將確保安全放在最首要的位置,才能在抓住移動互聯(lián)網(wǎng)發(fā)展這一巨大的機遇。
既然沒有絕對的安全,需要在風險中求發(fā)展,最終就落在四個字上面:風險可控。
據(jù)了解,目前阿里巴巴(包括螞蟻金服、高德地圖等)體系內(nèi)的信息安全員工達到了三四千人的規(guī)模,騰訊、百度的負責網(wǎng)絡及信息安全的員工也超過千人,但大量的中小企業(yè)的安全形勢不容樂觀。
信息安全風險可控需要建立標準
在2016上海世界移動大會上,GSMA Intelligence研究總監(jiān)Tim Hatt介紹到,金融和專業(yè)服務是2015年受到網(wǎng)絡攻擊最多的兩個領域,而美國和中國則是全球企業(yè)網(wǎng)絡攻擊最大的兩個目標。他強調(diào),強有力的主動防護對于企業(yè)的信息安全來說是至關重要的。
杜躍進認為,數(shù)據(jù)安全是當今最重要的信息安全風險之一。對于企業(yè)來說,要做數(shù)據(jù)安全的風險可控,首先應該解決的問題是如何建立一套科學的評估模型,這也是他近年來一直努力推動的方向。
他將這個企業(yè)數(shù)據(jù)安全能力的評估模型分解為四個因子:一是組織內(nèi)部整個的組織架構設置,是不是適合于企業(yè)的數(shù)據(jù)保護工作;第二是組織內(nèi)部的體制機制設計,是不是能夠確保相關的組織和人員發(fā)揮預期的作用,例如有沒有獲得相應的授權;第三就是技術手段,在數(shù)據(jù)的整個生命周期里面,是不是有完備的數(shù)據(jù)安全相關技術手段;第四個部分是人員的能力,各個數(shù)據(jù)安全崗位上的人員是不是符合其崗位所需要的能力要求。
“把這四個因子捏到一起,又可以拆分成幾十個指標項,從而可以用來衡量一個組織機構的數(shù)據(jù)安全的能力到什么程度了。”杜躍進說。
這個模型是動態(tài)的,什么叫動態(tài)的呢,剛才說的四個因子,都會發(fā)生變化,在新的數(shù)據(jù)安全威脅下,形勢可能不一樣,會發(fā)現(xiàn)過去的組織結構跟機制設計不行了,新的攻防技術越來越厲害了,技術產(chǎn)品要升級了。這些東西都算出來之后,應該是有一個值出來,可以用來衡量一個機構它的數(shù)據(jù)保護能力。在杜躍進看來,可以通過這個值來判斷安全能力是好還是不好,但這個值是永遠達不到100分的。
據(jù)了解,目前杜躍進領導的團隊,提出的這套模型,正在爭取國家跟國際標準組織的認可。“標準的提出是第一步,我們的第一步總要邁出去,最終我們會看他有沒有價值。”
給中小企業(yè)提供安全指南
《2016中國網(wǎng)民權益保護調(diào)查報告》顯示,2016年上半年以來,我國網(wǎng)民平均每周收到垃圾郵件18.9封、垃圾短信20.6條、騷擾電話21.3個,其中騷擾電話是網(wǎng)民最為反感的騷擾來源;76%的網(wǎng)民曾遇到過“冒充銀行、互聯(lián)網(wǎng)公司、電視臺等進行中獎詐騙的網(wǎng)站”,冒充公安、社保等部門進行詐騙和社交軟件上進行詐騙的情況有增長趨勢,37%的網(wǎng)民因收到各類網(wǎng)絡詐騙而遭受經(jīng)濟損失。
雖然大家都遇到過個人信息泄露的問題,但是這些信息到底是如何泄露的呢?
實際上,從電信運營商網(wǎng)絡信號發(fā)出的那一刻起,我們的移動安全就已經(jīng)開始面臨威脅。而隨著云計算及大數(shù)據(jù)的發(fā)展,靜態(tài)數(shù)據(jù)變成了動態(tài)數(shù)據(jù),數(shù)據(jù)與業(yè)務又高度融合,讓信息安全變成了一個系統(tǒng)性的問題。由于環(huán)節(jié)太多,一旦發(fā)生信息泄露問題,要抓出元兇都不是一件容易的事情。
“過去的數(shù)據(jù)是靜態(tài)的,現(xiàn)在的數(shù)據(jù)是流動的,而且是跟業(yè)務融在一起流動的。這是我們現(xiàn)在做信息安全的一個前提,也是很大的挑戰(zhàn)。”杜躍進說。
以電商平臺為例,上千萬商家背后的軟件是由是獨立軟件供應商提供的,這些軟件很多可能存在漏洞,要解決這個問題,在杜躍進看來,需要用到外部的力量,給獨立軟件供應商提供服務,解決信息泄露問題。
杜躍進說:“國內(nèi)有大量的中小企業(yè),他們有安全需求,但是他們沒有安全能力。我們重點幫他們解決信息泄露的問題,這是我們的抓手。”
這與國際組織在物聯(lián)網(wǎng)安全領域正在做得事情不謀而合,目前,GSMA已經(jīng)制定了一套涵蓋多種場景的物聯(lián)完全指南,該指南可以幫助廠商獲得更多安全保障,提供有效建議,指導廠商通過可信任的計算庫為其設備提供最佳的身份保護。物聯(lián)網(wǎng)安全指南可以為企業(yè)提供詳細的流程指導,將廠商的設備安全地推向市場,并且保證其在整個生命周期中保持安全。
國內(nèi)有千萬家中小企業(yè),他們有安全需求,但是他們沒有安全能力,中小企業(yè)正是長尾的部分,每個生意都非常小,利潤也非常小,但這個利潤如何匯集起來,就會變成大生意,顯然,在安全領域也是如此。
“這部分市場能不能拿到,取決于我們的安全產(chǎn)業(yè)能不能轉型。”在采訪即將結束時,作為一位信息安全領域的老兵,杜躍進最后說道。