2015年4月22日鋪天蓋地這樣的新聞充斥著所有人的眼簾——《數(shù)千萬社保用戶信息或被泄露》、《社保信息泄露 波及范圍已達全國三十余省》，究竟是危言聳聽？還是確有其事？此次事件的影響范圍有多大？泄露的數(shù)據(jù)對該行業(yè)的影響有多大？帶著這一系列問題，記者連線了東軟網(wǎng)絡安全事業(yè)部副總經理張泉。
2015年4月22日鋪天蓋地這樣的新聞充斥著所有人的眼簾——《數(shù)千萬社保用戶信息或被泄露》、《社保信息泄露 波及范圍已達全國三十余省》，究竟是危言聳聽？還是確有其事？此次事件的影響范圍有多大？泄露的數(shù)據(jù)對該行業(yè)的影響有多大？帶著這一系列問題，記者連線了東軟網(wǎng)絡安全事業(yè)部副總經理張泉。
事出必有因——速度太快跟不上節(jié)奏
事實上，在該事件爆發(fā)之前，漏洞平臺上有關已經有不少關于該行業(yè)漏洞的記載，記者經過搜索，已提交漏洞數(shù)量也已經70多條。這些系統(tǒng)為何如此薄弱？
近年來，隨著移動互聯(lián)網(wǎng)的高速發(fā)展，公共服務機構需求也在不斷增長，而這樣的變化讓原本只需要在內部網(wǎng)絡辦公的政府、醫(yī)院不得不在公網(wǎng)上提供服務。但是，由于信息化發(fā)展太迅猛，這些公共服務機構，更注重建設，而在其他方面有所忽略。
拿安全這塊來說，在內網(wǎng)階段，安全問題相對不足致命，因此投入偏少所帶來的影響也不會很大。但是當開放公網(wǎng)后，多系統(tǒng)服務的需求逐漸增長，此時就很容易把一些比較初級的漏洞暴露出來。
2015年4月22日鋪天蓋地這樣的新聞充斥著所有人的眼簾——《數(shù)千萬社保用戶信息或被泄露》、《社保信息泄露 波及范圍已達全國三十余省》，究竟是危言聳聽？還是確有其事？此次事件的影響范圍有多大？泄露的數(shù)據(jù)對該行業(yè)的影響有多大？帶著這一系列問題，記者連線了東軟網(wǎng)絡安全事業(yè)部副總經理張泉。
有因必有果——社保行業(yè)究竟食了什么“果”
采訪中，東軟網(wǎng)絡安全事業(yè)部副總經理張泉表示：此次漏洞曝出主要分為兩類：一類是系統(tǒng)軟件漏洞，包括操作系統(tǒng)，包括一些平臺系統(tǒng)軟件。這包括軟件、中間件以及開發(fā)平臺的補丁沒有及時更新；第二類是軟件開發(fā)商軟件應用平臺的漏洞，這個漏洞應該對開發(fā)平臺進行漏洞檢測以及修復，這個修復是長期和持續(xù)的過程。
而以上這兩種情況造成的直接損失就是：
曝出高危漏洞的省市已經超過30個；
社保類信息安全漏洞統(tǒng)計就達到5279.4萬條
涉及人員數(shù)量達數(shù)千萬……
2015年4月22日鋪天蓋地這樣的新聞充斥著所有人的眼簾——《數(shù)千萬社保用戶信息或被泄露》、《社保信息泄露 波及范圍已達全國三十余省》，究竟是危言聳聽？還是確有其事？此次事件的影響范圍有多大？泄露的數(shù)據(jù)對該行業(yè)的影響有多大？帶著這一系列問題，記者連線了東軟網(wǎng)絡安全事業(yè)部副總經理張泉。
行業(yè)安全隱患多 急需借東風
盡管我們在媒體披露的數(shù)字上看，數(shù)字非常驚人，當然這不是一件小事情，只是從目前東軟積極的與客戶溝通過的情況表明：現(xiàn)階段此次事件的影響面并沒有那么嚴重，核心業(yè)務并沒有收到影響，核心數(shù)據(jù)也都相對安全。但是確實是存在風險的，因此現(xiàn)階段的當務之急是進行有效的系統(tǒng)防護處理，不讓類似事件急需惡化。
張泉說：我們應該跟客戶，以及開發(fā)商坐下來，從各級層面去分析，包括他頁面的路徑梳理出安全防護手段，這些手段哪些地方我們可以應用產品，哪些地方要形成一定的規(guī)范，我覺得這應該是體系性的工作。
“我們應該引導用戶不要去相信會有一勞永逸的產品手段能夠一招治敵，這次做了以后，就能高枕無憂。其實我們做安全的，我們廠商自己來講，知道一招治敵的手段或者產品肯定是沒有的，一定是一個持續(xù)的過程。”張泉表示
何以制敵？東軟出擊
東軟在社保行業(yè)的占比在全國領先，因此東軟此次也梳理了一些自己的想法，最終形成方案來幫助用戶，在安全方面大體分為如下幾個方面：
第一，收口工程。即互聯(lián)網(wǎng)出口應該集中出口，如果互聯(lián)網(wǎng)出口對于單位來說太多的話，不利于集中掌控的。
第二，看門工程。在內部依托安全運維管理平臺，對內部資源進行實時的監(jiān)控和預警。在外部應用防護入侵，檢測防護的防護工具。
第三，鎖庫工程。對核心業(yè)務數(shù)據(jù)庫應加強專項保護，從數(shù)據(jù)的傳輸?shù)酱鎯Χ紤袑ｉT的防護工具對數(shù)據(jù)訪問的授權、認證、審計等操作做實時的保護。
第四，補漏工程。對系統(tǒng)的漏洞及時的打補丁，而且打補丁應該形成長期持續(xù)性的硬性要求一個工作機制，形成硬性的工作機制，來定期對系統(tǒng)打補丁。此外對開發(fā)商的選擇，包括對系統(tǒng)防護安全檢測，我們認為應該歸結到補漏工程重要機制。
第五，底線工程。風險發(fā)生之后的應急預案，應該有一整套方案，并定期進行檢驗。
張泉表示：這五個工程來說，應該是一個長期持續(xù)的投入，這一次事件曝出來以后，我相信結合安全相關體系，各地部門，還有機構，應該會慢慢重視。在做的過程當中，要消除一勞永逸，一招治敵的思想。
2015年4月22日鋪天蓋地這樣的新聞充斥著所有人的眼簾——《數(shù)千萬社保用戶信息或被泄露》、《社保信息泄露 波及范圍已達全國三十余省》，究竟是危言聳聽？還是確有其事？此次事件的影響范圍有多大？泄露的數(shù)據(jù)對該行業(yè)的影響有多大？帶著這一系列問題，記者連線了東軟網(wǎng)絡安全事業(yè)部副總經理張泉。
后記：
“見兔而顧犬，未為晚也；亡羊而補牢，未為遲也。”此次事件對于相關機構足以敲響警鐘，也足以引起相關部門的重視。如微博大V段郎說事在微博中點評：既然公民交付了全部個人信息，那么有關部門必須同時具備保護公民這些核心信息不被泄密的能力。
人社部在前年的時候，就已經發(fā)文要求各省做本網(wǎng)三級建設，但當時由于各地資金不足且投入不夠，整個推進比較緩慢。我們希望通過這樣一個事件，也可以推進各部門保護體系安全、體系建設的工程進度。
京公網(wǎng)安備 11010502049343號