日前，南方都市报"记者700元买到同事开房记录"报道在社会各界引发强烈关注。公安部在回应南都报道时表示，此案是由相关单位内部人员与社会人员相互勾结所为。曾为国庆60周年、2010上海世博会、世界互联网大会以及G20杭州峰会提供网络信息安全保障的杭州安恒信息技术有限公司CEO范渊在接受南都记者采访时表示，目前，个人信息泄露情况非常严重，100人中仅有5人信息未被泄露；从泄露渠道而言，"内鬼"堪比外部黑客的比例。对此，要采取不同措施加以防护。

对话

"相较于外部黑客攻击，内鬼的比例更大"

南都：南都记者采访的700元购买同事开房记录的报道，证明是有内鬼参与。今天上映的电影《绝对控制》中披露了IT黑客对于个人信息的巨大威胁，屏幕前的IT黑客通过非法入侵窥视着主人公一家的生活，日常细节和不为外人所知的私密生活在新科技手段下无所遁形；从您做网络安保的经验来看，个人信息一般都是由哪些渠道泄漏的？比例是怎么样的？

范渊：过去十年，是信息化和互联网应用快速发展的十年，也是数据价值逐步被大众了解，在正面和反面不断被强化利用的十年。

"每个数据都是有用的资产"，我们的身份证号、家庭住址、电话、QQ和各类账号信息，泄露情况都非常严重。据统计，100个人中，没有个人信息泄露的比例小于百分之五。

信息有两大泄漏途径，一是黑客的攻击，黑客通过注入漏洞等方式将后端数据导出，不法分子再将数据进行整理和买卖，有的用于广告，有的则用于欺诈。

另一类则是和外部黑客攻击旗鼓相当的内部数据泄露，也被称作是"内鬼"。"内鬼"出现在各行各业，涵盖范围非常广。例如，医院内部将数据卖给医药代表；我们也会发现，有好的车牌号刚释放出来就立刻锁定，这就涉及到交警车牌库的信息泄露；教育考试院的数据库也被黑客攻击，不仅考生的个人信息泄露，甚至不法分子通过修改志愿和分数进行诈骗；还有金融、社保、电商的软件开发人员在软件开发过程中故意"留后门"，盗取数据。

据统计，"内鬼"的数量和黑客攻击各占一半，甚至有说法认为"内鬼"的比例更大。需要特别强调的是，"内鬼"不一定指的是内部员工，第三方软件开发、维护人员，有一定权限可以在内网进行操作和查询的，都是属于"内鬼"的范畴。

"要采取针对性手段，做到内外兼防"

南都：针对两种渠道的个人信息泄露，避免出现《绝对控制》中个人信息泄露的严重后果，如何从法律和技术层面进行防范？

范渊：近年来，网信办、公安部也在不断出招应对。从法律层面而言，举例而言，2007年出台的《信息安全等级保护管理办法》，将信息系统的安全保护等级明确划分为五级。公安部所推动的这项等级保护，对重要系统要进行定级和保护，这是非常基础且重要的工作。

明年将实施的《网络安全法》也明确规定网络运营者和数据的拥有者，有责任和义务对数据保护负责，这同样是非常巨大的进步。

从技术环节来说，这两类泄露渠道的防范在技术上有很大差别，需要非常完整清晰且具有针对性的手段，从整体上把控各种泄露的风险，做到"外防黑客，内防内鬼"。

从外部防护而言，需要通过云防护等几道防护措施，做好监控和预警。内控就更加复杂，"内鬼"有权限接触到这些信息，如何辨别操作过程中是否有泄露信息？目前，安恒明御系列的数据库防火墙、数据库审计、堡垒机、日志审计，是在数据安全防护领域内应用非常广泛的"四件套"。通过这四套组合拳，彻底解决管理和技术上的难题，相比传统DLP方案这套软件解决单个安全设备防御孤岛的难题，这个"四件套"有机协同工作，自动实现数据交换情报共享，这套软件记录能准确的检测数据库的进出访问行为，谁在什么时间、做的什么事情都能记录下来，通过内置的数据库漏洞策略、智能学习、模式匹配及数据挖掘进行综合分析，实时判断并通过数据库防火墙进行拦截。

大数据时代要做好顶层设计

"网络安全的防护，越到后来，代价越高。等数据泄露就为时已晚了。"要在早期开发测试阶段把关好安全问题，通过"四件套"加强防护，从外部安全服务和内部人员管理上做常态化、全生命周期的管理。

我们正在逐步迈向大数据时代，而大数据更会成为黑客攻击的目标，所以我们需要明确职责，做好顶层设计。

南都：目前由多少政府或企业有采取例如"四件套"这样的防护措施？效果如何？

范渊：我这里并没有很准确的数字，但目前百分之二十的政府可能都上了这个系统，但是还是不完整，陆陆续续在往前走。

很多机构和政府部门每年都会进行常态化的渗透测试，模拟黑客攻击行为判断数据是否容易泄露，这是很有效的外防黑客的手段，在G20期间也有使用。通过这种模拟渗透测试，以及常态化的监测和实时防护，能够对外部黑客攻击进行防范。但目前来看，有问题的系统还是很多，情况确实不乐观，个人信息防护任重道远。

南都：有业内人士指出，希望由国家牵头搭建具有公信力的第三方平台，把各自的数据放心地放在里面进行处理。您如何看待这个设想？

范渊：建立一个大数据库确实是未来趋势。但对于黑客而言，攻击的目标更明确了。"只要有数据，就会成为目标。"所以需要在平台设计时同步考虑加强安全防护。

目前，就提供网络安全产品服务的行业来说，能够提供完整的外防内控服务的还是比较少，但随着人们网络安全意识的提高，以及互联网快速的发展，这个行业将不断呈现欣欣向荣之势。

【见习记者】王秀中

【记者】陈磊

【来源】南方都市报