知乎日報：比起黑客內鬼才是信息安全事件的主要來源

　　因為目前的事實還不明確，所以這個回答不涉及本次案件的定性，而是評價下內部作案這件事。

　　與新聞媒體大規模宣傳、大家耳熟能詳的外部黑客攻擊相比，內部作案才是信息安全事件的主要來源，更是各種信息安全事件的重災區。因此美軍的 IATF(信息保障技術框架)中早就把內部威脅和第三方威脅(有各種合作關係的組織或者個人)當作是信息安全威脅的重要來源。

　　那麼高信息安全要求的信息系統(比如政府、銀行等)，是如何對抗這些內部威脅的呢?

　　首先是組織架構上三權分立，以銀行為例，在大型銀行內部，研發、運維和信息安全分別屬於不同的部門，甚至信息安全還可能分成多個部門。一個系統的發佈和更新，要經過不同部門審核，這樣就可以杜絕一個人私自操作。

　　其次是權限上嚴格控制，不同的角色只賦予所需要的最低權限，這可以減少威脅的作用範圍，以電力系統為例，對生產調度和辦公等信息系統進行了詳細的安全等級劃分，不同密級的系統位於不同的區域，數據在不同區域間傳輸時要符合信息安全的策略。

　　第三是對敏感操作嚴格審計，以備事後查詢，例如運營商就大規模部署了業務審計和運維審計系統，對各種操作進行記錄。配合嚴格的管理規定，審計可以有效地威懾內部人員。

　　第四是對敏感數據從底層進行加密，這不僅僅包括用户的密碼，可能還有其他的敏感信息，比如支付信息、家庭住址等等，從最底層進行加密，確保即使泄漏，短時間內也不能被解密。某些涉密的政府機構甚至要求高密級的數據“不落地”，只允許用虛擬技術遠程查看。

　　第五是密切關注威脅情報和社工庫的泄漏情況，一旦發生問題，就啓動相關預案降低損失。大規模的泄漏事件，往往持續很久，如果能及時反應，可以把損失控制在最小的範圍之內。

　　最後在防護措施上，要學習谷歌，不再把邊界當作信息安全的防禦重點，而是承認邊界其實並不存在，同時也無所不在，把內部當作外部同樣來進行防範。

　　谷歌：未來六年，我們的任務就是讓所有的員工從不安全的網絡直接訪問公司，而不使用虛擬專用網技術。

　　互聯網企業早期的時候因為業務發展速度快，數據泄漏的後果不嚴重，開發模式輕量化，所以在信息安全防禦上重技術輕管理，重信任輕制衡，這有其合理性。但隨着業務規模的不斷擴大、業務數據的不斷增長，國家對個人隱私的越來越重視，未來也必然走上管理與技術並重、授權和制約相平衡的道路。