近日,明朝万达高级副总裁、首席技术官喻波接受了中国机场安防网的采访,就民航行业数据安全的现状和问题发表了自己的观点。
日前,国内一家专注安防领域的人工智能企业——深圳市深网视界科技有限公司被曝发生大规模数据泄露事件,超过250万人的数据可被获取,有680万条数据疑似泄露,包括身份证信息、人脸识别图像及图像拍摄地点等。这一事件的暴露,为人脸识别的大规模应用敲响了数据安全警钟。
中国机场安防网:请问如何看待深网视界的大规模数据泄漏事件?您认为导致这个事件发生的主要原因有哪些?
喻波:黑天鹅与灰犀牛
针对上述问题,可以从以下三个方面进行说明:
对于深网视界来讲,他们碰到发展路上的黑天鹅,此次大规模数据泄漏产生了很坏的社会影响,可能会波及公司经营等其它方面。此次数据安全泄漏事件对于深网视界业来讲是黑天鹅,而对于社会来讲却是灰犀牛!
对于本次大规模数据泄漏,如果我们从对安全的认知、安全技术、防护成本、监管要求等方面去分析其本质的话,可以发现其本质是对数据安全的认知不到位,我们可以从以下三个方面去论证:其使用的是MongoDB数据库对于权限、端口等基本安全配置存在严重问题;敏感数据没有分类分级或者加密存储机制;对于安全预警信息,没有及时处理。因此,在安全认识不到位的前提下,安全技术、防护成本、监管要求都如空中楼阁一般脆弱。
管中窥豹、可见一斑。此次安全事件不是偶然现象,而是随着信息技术的发展,与之相伴的必然现象,是以往发生在汉庭、携程身上的安全故事重演。当下我国的数据安全形势十分严峻,需要我们从监管、技术、认知等多个层面加以保障和完善,其中数据安全认知薄弱是导致数据安全事件不断重演的根本因素。
中国机场安防网:数据泄漏的事件是否有行之有效的规避手段?如何做到?
喻波:一个核心、一个大脑、一个体系
避免数据泄漏是有法可依、有章可循的。常言道,魔高一尺、道高一丈。在安全行业,围绕着数据安全的攻与防,从来就没有停止过。对于引发数据安全事件的各类威胁如数据泄漏等,我们已经在多个领域进行了丰富的探索与实践,无论在理论还是在实践方面,都有大量经验可以采用与借鉴,因此避免数据泄漏是有法可依、有章可循的。
讨论数据安全防护措施,我们可以从一个核心、一个大脑、一个体系三个方面进行讨论。
一个核心是指在数据安全防护体系中,需要以数据为核心关注点,对数据进行分类分级,摸清数据资产的底,知道哪些数据是重要的需要保护,明确安全级别,按需防护,避免胡子眉毛一把抓,没有重点的做事情。
一个大脑是指建立集中安全管控中心,打个比方,一个系统的安全态势表征,就像人的身体一样,是辩证统一的,不是割裂孤立的。因此,需要这样一个能够感知系统各部分安全数据,并对其进行实时分析,进而洞察系统的安全态势。
一个体系是指从云-网-端的防护视角出发,建立一个全面的数据安全防护体系。云端即负责大量计算与存储的部分,目前多采用大数据、云计算等虚拟化技术,此次深网视界数据泄漏事件,即发生在云端,在云端的数据安全防护可以采用安全准入、数据防泄漏、安全基线与漏扫等措施加以保护;网端即数据传输过程,可以通过网络数据防泄漏、数据安全交换等措施加以保护;端即终端,是用户直接使用的硬件设备,可以采用终端数据防泄漏、文档安全管控、移动设备管控等终端安全防护措施。
因此,综合以上所说的三个方面,诸如深网视界此类数据安全事件,不仅完全可以避免,而且技术路线成熟稳定。
中国机场安防网:当前,人脸识别技术在民航领域处于大规模地普及与应用阶段,那么,对于民航人脸识别技术的数据安全您如何看待?民航人脸识别的数据安全是否也存有深网视界这种数据泄漏的安全隐患?
喻波:人脸识别只是民航数据安全一个突破口
民航业数据安全的安全态势同样不容乐观,有报告称,航空业将是未来的一大主要网络攻击目标,而人脸识别只不过是其中一个突破口而已。
中国机场安防网:对于民航人脸识别技术的数据安全有哪些建议和意见?
喻波:全生命周期、各个环节全面安全防护
现代信息技术一方面提高了人们的出行效率,一方面也带来了各种各样的现实问题,人脸识别技术与数据安全的关系正是这个矛盾体系的一个缩影。正如上文所述,我们不能就问题而论问题,必须剥开表象迷雾,找到问题本质。
以数据为核心,对数据资产进行全方面的梳理,摸清数据家底、分析威胁、评估风险。
建立集中的数据安全管控中心,对系统内的数据安全态势进行实时的、全面的分析与评估。
建立云-网-端三位一体的纵深防御体系,对数据全生命周期的各个环节进行全面安全防护。
唯有此,才能避免大规模数据泄漏事件的发生,否则只能等待下一只黑天鹅的降临。
中国机场安防网:当前,人脸识别的数据安全还存在哪些亟待解决问题?
喻波:两个方面存在安全漏洞
人脸识别系统存在安全漏洞,如某智能摄像头,通用网关接口协议存在漏洞,黑客可以伪造账户,实现对智能摄像头系统的控制,进而造成大规模视频数据泄漏。
网络传输阶段存在安全漏洞,特别是物联网传输过程,美国物联网安全公司,公布了新型物联网攻击手段BlueBorne,可以攻击所有开启蓝牙功能的设备。
中国机场安防网:请谈谈贵中心或公司有没有杜绝此类安全事件发生的建议或解决方案?
喻波:三个层面确保数据于可知可管可控
明朝万达是一家长期专注于数据安全的企业,从公司领导到基层员工已经将数据安全意识,融入到了公司文化中。主要表现在以下三个方面:
➤ 终端安全
员工日常使用的办公设备,均需要安装公司自主研发的数据安全防护终端,通过此终端可对重要文档加密、文档外发审批、邮件加密、外设使用安全管控,即不影响工作效率,又避免重要数据从办公终端中泄漏。
➤ 网络传输安全
通过安全准入,对接入公司网络的设备进行身份认证;采用网络数据防泄漏,监控网络出口数据,对敏感数据外发进行实时阻断。
➤ 云端安全
通过集中安全管控,对公司的存储计算设备、网络设备、终端设备进行实时安全感知,确保公司的安全态势始终处于可知可管可控的状态。
明朝万达成立至今,始终以数据安全为核心,目前,公司业务已扩展至数据安全、公共安全、云安全、大数据安全等领域。未来,公司将不断加强技术研发与创新,保持核心产品与技术的不断升级,满足市场化需求,充分将技术与业务相融合,为各行业用户提供安全高效的数据安全防护规划,最终为用户建立起覆盖数据全生命周期的安全治理体系。