近日，英國(guó)信息專員辦公室(簡(jiǎn)稱’ICO”)對(duì)美國(guó)酒店集團(tuán)萬(wàn)豪(Marriott)進(jìn)行了1840萬(wàn)英鎊(約1.6億元)的罰款，原因是該公司的數(shù)據(jù)泄露事件影響了全球數(shù)百萬(wàn)客戶。
據(jù)悉，此次罰款金額其實(shí)比最初計(jì)劃的要少，因?yàn)楸O(jiān)管機(jī)構(gòu)考慮了萬(wàn)豪的陳述、萬(wàn)豪為減輕事件影響所采取的措施，以及疫情對(duì)其業(yè)務(wù)的經(jīng)濟(jì)影響，然后才制定了最終的處罰。
萬(wàn)豪酒店被罰款近1.6億元
2018年11月，萬(wàn)豪宣布，疑似受2014年發(fā)生的安全漏洞影響，其旗下的喜達(dá)屋酒店多達(dá)5億客人的數(shù)據(jù)遭到泄露風(fēng)險(xiǎn)。這是歷史上最大的數(shù)據(jù)泄露事件之一，也是萬(wàn)豪酒店業(yè)遭受最嚴(yán)重的的一次。
據(jù)該公司稱，2014年，黑客開始入侵喜達(dá)屋的客人預(yù)訂系統(tǒng)，并對(duì)信息進(jìn)行復(fù)制和加密。黑客訪問(wèn)了近3.27億客人的個(gè)人信息，泄露的記錄包括姓名、郵寄地址、電話號(hào)碼、電子郵件地址、護(hù)照號(hào)碼、出生日期、性別、到達(dá)和離開信息、預(yù)訂日期。喜達(dá)屋數(shù)據(jù)泄露案的調(diào)查顯示，被盜數(shù)據(jù)還包括財(cái)務(wù)數(shù)據(jù)、支付卡號(hào)和支付卡截止時(shí)間，即使是已經(jīng)加密的信息也沒(méi)逃過(guò)。
據(jù)信息專員辦公室說(shuō)，數(shù)據(jù)泄露影響了3000萬(wàn)名歐洲居民，其中包括700萬(wàn)名英國(guó)居民。
英國(guó)監(jiān)管機(jī)構(gòu)認(rèn)為，萬(wàn)豪在2016年收購(gòu)喜達(dá)屋時(shí)沒(méi)有進(jìn)行充分的盡職調(diào)查，也沒(méi)有采取必要措施確保其系統(tǒng)安全。“個(gè)人信息很珍貴，企業(yè)必須加以照顧。企業(yè)之所以需要嚴(yán)格保護(hù)客戶數(shù)據(jù)，除了面臨罰款懲罰之外，他們有義務(wù)保護(hù)數(shù)據(jù)。”
從數(shù)據(jù)存儲(chǔ)的介質(zhì)來(lái)看，核心數(shù)據(jù)最終都會(huì)落到數(shù)據(jù)庫(kù)里，如果數(shù)據(jù)庫(kù)被顛覆了，一切歸零，對(duì)于企業(yè)來(lái)講，損失不可預(yù)估。因此說(shuō)，安全是一個(gè)水桶原理，往往是從最短板的地方流出，那么現(xiàn)在發(fā)生的信息泄露事件90%以上都和數(shù)據(jù)庫(kù)有關(guān)。
站在數(shù)據(jù)庫(kù)安全行業(yè)的肩頭眺望
傳統(tǒng)的安全防護(hù)思維已經(jīng)無(wú)法適應(yīng)現(xiàn)在安全態(tài)勢(shì)的發(fā)展，原有部署的防病毒、網(wǎng)關(guān)類基礎(chǔ)安全產(chǎn)品，已經(jīng)不足以抵御愈變愈復(fù)雜的攻擊行為。這就好比我們把財(cái)富放在家里，就覺(jué)得相對(duì)安全了，然后你把家里的防盜門裝好，便認(rèn)為家里的東西本身就不需要再做什么安全措施了。這就好比數(shù)據(jù)庫(kù)都是放到企業(yè)內(nèi)部或者內(nèi)網(wǎng)當(dāng)中，在外圍加上防火墻，再加一些控制就變得很安全了。實(shí)際上這個(gè)是遠(yuǎn)遠(yuǎn)不足夠的。
拿銀行的內(nèi)部系統(tǒng)來(lái)看，
第一個(gè)就是內(nèi)部很多第三方開發(fā)人員，他們可以直接訪問(wèn)數(shù)據(jù)庫(kù)，有一些好一點(diǎn)，弄一個(gè)測(cè)試庫(kù)，但是測(cè)試庫(kù)又與真實(shí)數(shù)據(jù)庫(kù)中的數(shù)據(jù)相同，實(shí)際上在這種情況下數(shù)據(jù)庫(kù)中的數(shù)據(jù)是可以直接被開發(fā)人員拿走的；
第二種情況就是運(yùn)維人員，銀行內(nèi)部大多也沒(méi)有足夠的運(yùn)維人員，運(yùn)維也是外包服務(wù)，這就造成外部的運(yùn)維人員可以直接接觸到系統(tǒng)的生產(chǎn)庫(kù)，所以這些外部的運(yùn)維人員是可以直接把數(shù)據(jù)庫(kù)中的數(shù)據(jù)拿走的。
另外還有一些更可笑的，有一年，香港花旗銀行做裝修，裝修過(guò)程中由于安全防護(hù)沒(méi)做好，數(shù)據(jù)庫(kù)服務(wù)器丟了。數(shù)據(jù)庫(kù)服務(wù)器丟失以后，實(shí)際上后端的那些數(shù)據(jù)存儲(chǔ)是完全有手段還原成明文的。那個(gè)時(shí)候數(shù)據(jù)自身的一些防護(hù)措施已經(jīng)不起作用了，花旗銀行的所有客戶資料都泄露了。
目前市面上被認(rèn)知較多、用戶接受度較高較多的也是數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品，該類事后追蹤審計(jì)產(chǎn)品確實(shí)在金融行業(yè)應(yīng)用較多，但從安全防護(hù)的過(guò)程來(lái)看，數(shù)據(jù)庫(kù)安全同樣包含事前的數(shù)據(jù)庫(kù)安全體檢、事中的數(shù)據(jù)庫(kù)安全訪問(wèn)控制防御、庫(kù)內(nèi)數(shù)據(jù)的加密和事后的行為監(jiān)測(cè)與審計(jì)。而事后的追溯反映，快也要3到6個(gè)月，企業(yè)才會(huì)知道，而散落在外面的數(shù)據(jù)，在這個(gè)時(shí)間里，不知道已經(jīng)被傳閱和販賣了多少次了。因此，事前的防御和事中的過(guò)程控制不可或缺。通常數(shù)據(jù)庫(kù)防火墻和數(shù)據(jù)路加密產(chǎn)品，可以解決此類問(wèn)題。
現(xiàn)在訪問(wèn)數(shù)據(jù)的途徑變多了，那么在系統(tǒng)中留下的后門和竊取數(shù)據(jù)的途徑也變多了，用戶數(shù)據(jù)的價(jià)值增大了，所以現(xiàn)在數(shù)據(jù)泄露事件頻發(fā)也是一個(gè)必然的現(xiàn)象，數(shù)據(jù)庫(kù)安全也在逐漸被企業(yè)提高維護(hù)意識(shí),新網(wǎng)高防安全服務(wù)器：http://www.xinnet.com/cs/rds.html，有效防止數(shù)據(jù)泄露。