01
星主發問
提問:
(1)用一句話吐槽你見過最“匪夷所思”的數據安全隱患。
(2)如果只能強化一個數據安全措施,你會選擇加密技術、權限管控還是日志審計?為什么?
02
星友熱議
星友暖**星
1.最匪夷所思的數據安全隱患:手機號身份證號在數據庫里明文存儲、系統中的車輛出入停車場照片可以在公網直接訪問。
2.關于選擇:很難只選擇一個,從合規和技術兩個角度來講,加密、權限管控、日志審計無法做取舍,這3條都要做到,只有其中一個都不能保證數據安全。
不加密的數據就是裸奔狀態(尤其是個人信息、商業機密這些重要數據)。
不進行權限管控意味著誰都有權限進行增刪改查,內部人員有意無意的危險操作、外部黑客的拖庫和惡意操作都可能造成不可估量的巨大損失。
沒有日志審計,會導致發生安全事件后無法分析安全事件發生過程,對及時處置和完善應急方案會有很大影響。
星友T**ki
1.某公司采用非常復雜密碼的策略,且規定每180天輪換密碼,許多員工因為記不住密碼把密碼寫在便利貼上貼在顯示器旁,這種形式主義的安全措施實際上成了安全隱患。
2.如果只能強化一個措施且針對的是敏感信息,我會選擇加密技術。即使系統被攻破、權限被繞過或日志被篡改,加密仍能確保數據內容本身不可讀,從根本上阻斷敏感信息泄露的風險。
權限管控與日志審計則屬于預防、補救措施,兩者均無法替代加密對數據本體的保護能力。
星友S**rt
1.離職開發人員把代碼上傳互聯網代碼庫,代碼中包含了證書和密鑰,可以“暢通無阻”的直接調用和下載數據,導致某云的大規模數據泄漏,某些時刻關鍵密鑰文件比代碼本身重要很多,最后造成刑事及大量業務項目的丟失。
2.權限管控,因為它相對容易管控,而且效果顯著,花錢較少。權限和賬號是兩兄弟,提權限必提賬號,賬號濫用導致權限管控失效,即合法用戶、合法身份、合法權限做數據的泄漏或篡改等。
1)不選加密的原因,加密確實是對數據保護最直接的方式,但是加密數據嚴重阻礙了業務和應用使用,在實際大量中小項目上幾乎很難落地。
2)不選日志審計,因為它是偏安全合規工作,事后監測手段(特殊業務場景除外),相比事后審計反而對日志留存更加重要,避免發生安全事故是沒有關鍵日志信息可溯源,意味很難找到具體的人追責,基本就是企業安全部門背鍋。
星友Exp****ng
1.敏感數據明文出現或者以為設置了訪問控制,但沒有做有效性驗證。
2.選擇日志審計。站在風控角度而言,做安全的做合規基本都是風險厭惡型,但業務側決策者的風險偏好可能是風險激進型。
若按風險三道防線論,業務側是風險最終決定者,安全或者合規只是二道防線給他們賦能的。 數據加密&訪問控制都是預防性控制,這些預防性控制措施可能對那些風險激進領導而言就是多花錢,降低效率,保護那些不大會發生的事。
所以不做“一頓操作猛如虎,實際到手9塊9”的無用功。
友Zhang*明
1.公司電腦隨便誰都能打開,里面全是客戶機密數據,就像把金庫大門敞開還不上鎖一樣離譜!
2.我會選擇權限管控。因為權限管控從源頭對數據訪問進行限制。加密技術雖然能保護數據在傳輸和存儲時的安全性,但如果權限管理不當,擁有權限的人隨意訪問或泄露數據,加密也無法完全阻止風險。
日志審計主要是事后追溯,發現問題時損失可能已經造成。而權限管控可以精準設定不同人員對數據的訪問級別。
只有被授權的人員才能在規定范圍內接觸和使用數據,能極大降低數據因不合理訪問而泄露等安全隱患,是防止數據安全問題發生的重要前置防線。
星友*真
只能強化一個安全措施保障數據安全,這本身就是一個寬泛的問題,而每個人的回答都是自己在工作中看到的問題的先入為主。
這個問題核心在于要分場景去看:
如果你是在開發階段,你最重視的應該是開發人員安全培訓和代碼服務倉庫等的安全管理。
如果你是toc 的上線業務,如果只做一件事情應該是邏輯漏洞。
如果是企業內部業務系統,比如erp,那你最關注的應該是權限管理。
如果你是數據庫管理圓等等……
所以核心在于你的業務場景是什么,才能鎖定聚焦,最優先級的數據安全控制措施。
星友c***xj
1. 最匪夷所思的事故,有CSDN的那次密碼泄露事件,當時竟然是用明文存儲密碼; 國外的有某Card大批客戶數據泄露等。
2. 應該是權限管控。可以對數據的安全權限進行分級分類,然后進行相應的權限管控。
星友致****ng:
基于分類分級全生命周期權限管控,理想很豐滿,現實落地很難。我們搞了半年僅開發運維區域可以實現基于分級管控,其他環節涉及業務系統大量改造,基本推不下去的。
![]()
文件硬盤數據銷毀
特別聲明:以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.