欧美精品一区二区,体育生GAY白袜调教VIDEO,私人影院播放器,色偷偷AV老熟女色欲涩爱

關(guān)于本次華住酒店數(shù)據(jù)泄露事件，犯了什么法，惹了什么怒，帶來什么果，應(yīng)該擔啥責，今后怎么做，這篇文章都有。整理此文，不為蹭熱度，只為在這個竊個人隱私如入無人之境的時代，不曾沉默過。誠如網(wǎng)友所言：沒有隱私的國度，無論是官方還是民間，都在作惡。是為記，2018年8月30日。

一、事件回顧

華住的庫被拖了，1.3億人開房數(shù)據(jù)正在暗網(wǎng)售賣，數(shù)據(jù)包含我們所熟知的漢庭、桔子、全季以及美爵、禧玥、漫心、諾富特、美居、CitiGO、星程、宜必思尚品、宜必思、怡萊和海友，共計14家酒店。酒店開房記錄包括了內(nèi)部ID號、同房間關(guān)聯(lián)號、姓名、卡號、手機號、郵箱、入住時間、離開時間、酒店ID號、房間號、消費金額等，共計約2.4億條信息?？赡苁墙?年內(nèi)國內(nèi)最大最嚴重的個人信息泄露事件。

網(wǎng)傳泄露截圖

在暗網(wǎng)論壇中，發(fā)帖人表明如果已購買數(shù)據(jù)包之后，如果權(quán)限不丟失，后續(xù)數(shù)據(jù)還可以免費提供給已購買的用戶。這就意味著酒店系統(tǒng)或服務(wù)器中或許已經(jīng)出現(xiàn)漏洞。

28日下午，華住集團酒店官方微博回應(yīng)此事，稱“引起極其惡劣的輿論影響。我集團非常重視，已在內(nèi)部迅速開展核查，確保客人信息安全；我集團已經(jīng)第一時間報警，公安機關(guān)正在開展調(diào)查；我們也聘請了專業(yè)技術(shù)公司對網(wǎng)上兜售的“相關(guān)個人信息”是否來源于華住集團進行核實?！?/p>

此外，上海市長寧公安分局官方微博8月28日晚間也發(fā)布消息，稱警方已介入調(diào)查。

二、大家來找“茬”

網(wǎng)絡(luò)安全專家說：

多位網(wǎng)絡(luò)安全專業(yè)人士指出，此次泄露事件的影響恐較難彌補。一位不愿具名的網(wǎng)絡(luò)安全專家說，此次泄露的信息包括服務(wù)器的IP地址、相應(yīng)的路徑、用戶名和密碼以及網(wǎng)站程序秘要等關(guān)鍵信息，黑客可以不費吹灰之力直接訪問便能下載這些數(shù)據(jù)。華住在企業(yè)代碼的審核中可能有一些失誤，這些代碼很可能包含公司的機密信息，但也上傳到了公共平臺，表明企業(yè)在信息建設(shè)時，可能使用的是非常簡便的安全措施，在平臺正式上線后又沒有彌補缺陷。該專家還表示，暗網(wǎng)里都是匿名的，不知道在誰手里，數(shù)據(jù)進入網(wǎng)絡(luò)黑產(chǎn)鏈條的可能性比較大，對公眾來講，遇到這種事情是束手無策的。

另有網(wǎng)絡(luò)安全專家表示，當前隱私信息泄露呈高發(fā)態(tài)勢，這些個人信息可被不法分子用以實施精準詐騙，而諸如開房記錄等敏感信息外泄，則有可能誘發(fā)針對個人的敲詐勒索等犯罪行為。

發(fā)現(xiàn)者說：

此次信息泄露最早的發(fā)現(xiàn)者——“網(wǎng)絡(luò)尖刀”團隊創(chuàng)始人曲子龍建議對賬戶啟用應(yīng)急預(yù)案，對所有用戶登錄動作進行風控，不在常用設(shè)備或不在常在城市的用戶，登錄后開啟手機驗證碼二級驗證，驗證通過后更改密碼，避免用戶賬戶被惡意使用，產(chǎn)生更大損失；并建議華住通過審計日志及犯罪分子放出的測試賬戶做審計，先內(nèi)部排查及核實是否存在泄漏，同時啟動安全應(yīng)急響應(yīng)預(yù)案，對賬戶啟用上述保護機制。

曲子龍認為，媒體報道信息泄露一事，公眾高度關(guān)注，公安機關(guān)介入后，目前犯罪分子不敢過度的對數(shù)據(jù)進行大規(guī)模銷售，心懷鬼胎的黑產(chǎn)也怕因此攤上事不敢輕易購買，間接的算是保護了數(shù)據(jù)，對數(shù)據(jù)惡性傳播起到了一定的抑制作用。

業(yè)內(nèi)人士說：

專家解讀：出現(xiàn)這種問題大多是企業(yè)內(nèi)部的安全管理、員工整體安全意識不強，安全風險發(fā)現(xiàn)不及時，應(yīng)該全面的嚴格把控安全管理和監(jiān)控，及早發(fā)現(xiàn)問題并且解決，同時在內(nèi)部進行安全整頓，避免員工主動泄漏企業(yè)內(nèi)部敏感信息行為的產(chǎn)生。

媒體說：

有媒體發(fā)布文章稱：依照華住目前的體量，渡過此次事件的危機或許并不難，難的是其在事后如何表現(xiàn)——在完善自身信息安全系統(tǒng)的基礎(chǔ)上，帶動整個行業(yè)對于信息安全系統(tǒng)的建設(shè)和完善。經(jīng)過此次事件，最該成長的可能不是“華住們”，而是消費者自己。對于企業(yè)而言，如果愿意并且認真去做，加大投入、完善信息安全系統(tǒng)并不難實現(xiàn);但如果消費者自己都不夠重視個人信息保護，企業(yè)又怎么會有動力去推動并完成這一切呢?

是什么讓機構(gòu)數(shù)據(jù)庫如此不堪一擊？30日，新華社發(fā)布的文章對出了大致分析，稱：

在愈發(fā)頻繁的數(shù)據(jù)泄露事件中，機構(gòu)數(shù)據(jù)庫安防力量薄弱、責任意識淡薄以及數(shù)據(jù)市場需求旺盛等因素為大規(guī)模數(shù)據(jù)泄露埋下伏筆。

安防力量薄弱，防范意識不強。360互聯(lián)網(wǎng)安全中心發(fā)布的《WannaCry一周年勒索軟件威脅形勢分析報告》顯示，去年勒索病毒爆發(fā)前夕，各機構(gòu)有58天的時間可以進行補丁升級等安全布防工作，但一些機構(gòu)錯誤認為自身隔離措施足夠安全、打補丁太麻煩，致使其最終遭受勒索病毒攻擊。

用戶數(shù)據(jù)市場需求旺盛。如今，越來越多的人開始習慣刷微博、網(wǎng)購、線上理財?shù)壬罘绞?，在此背景下，根?jù)用戶畫像進行精準信息推送就顯得尤為重要?！昂萌擞媚愕臄?shù)據(jù)來給你推廣告，壞人用你的數(shù)據(jù)來對你詐騙勒索?！庇脩魯?shù)據(jù)倒賣在我國已形成相對成熟的黑灰產(chǎn)，打包出售用戶數(shù)據(jù)的情況在黑市中隨處可見。

數(shù)據(jù)流轉(zhuǎn)程序較多，部分企業(yè)責任意識淡薄。上海信息安全行業(yè)協(xié)會專委會副主任張威認為，用戶數(shù)據(jù)在外賣、快遞等行業(yè)隨著商品同時流動，流轉(zhuǎn)過程較為復雜，中間環(huán)節(jié)出現(xiàn)泄露的可能性也同時增加。張威表示，一些企業(yè)認為自己并非互聯(lián)網(wǎng)行業(yè)主要參與者，不會成為被攻擊對象，因此在用戶數(shù)據(jù)保管上沒有做好安全措施，最終導致大批量用戶數(shù)據(jù)泄露。

外部監(jiān)管尚未有效落實。記者在梳理近來發(fā)生的用戶數(shù)據(jù)泄露事件后發(fā)現(xiàn)，除今年年初部分金融機構(gòu)因違規(guī)出售用戶數(shù)據(jù)或瞞報虛報數(shù)據(jù)被處罰外，鮮見其他處罰案例。大部分機構(gòu)在涉嫌數(shù)據(jù)泄露后以“一紙聲明”的形式撇清關(guān)系，后續(xù)調(diào)查結(jié)果也未向公眾披露，間接導致行業(yè)內(nèi)對用戶數(shù)據(jù)保護氛圍惡化。

法律說：

律師

對照我國法律關(guān)于公民個人信息的定義，用戶在華住公司旗下酒店官網(wǎng)注冊的個人信息、登記的開房記錄等屬于我國法律保護的公民個人信息的范圍。根據(jù)《網(wǎng)絡(luò)安全法》、《消費者權(quán)益保護法》的規(guī)定，網(wǎng)絡(luò)運營者不得泄露收集的個人信息，應(yīng)當采取技術(shù)措施和其他必要措施，確保其收集的個人信息安全，防止信息泄露、毀損、丟失。在發(fā)生或者可能發(fā)生個人信息泄露、毀損、丟失的情況時，應(yīng)當立即采取補救措施，按照規(guī)定及時告知用戶并向有關(guān)主管部門報告。

此，律師認為，如果這一事件屬實，無論是華住公司的員工上傳數(shù)據(jù)過程中造成信息泄露的，還是黑客主動攻擊華住公司的網(wǎng)站竊取信息的，華住公司都因沒有履行好對消費者的信息安全保護義務(wù)而難辭其咎，依法應(yīng)承擔相應(yīng)的行政責任和民事責任。

《網(wǎng)絡(luò)安全法》

《網(wǎng)絡(luò)安全法》規(guī)定，任何個人和組織不得竊取或者以其他非法方式獲取個人信息，不得非法出售或者非法向他人提供個人信息。如果黑客采取技術(shù)手段非法竊取、截獲和販賣用戶信息，情節(jié)嚴重的，將涉嫌觸犯《刑法》規(guī)定的侵犯公民個人信息罪，最高可以判處7年有期徒刑并處罰金。

根據(jù)相關(guān)司法解釋規(guī)定，非法獲取、出售或者提供行蹤軌跡信息、通信內(nèi)容、征信信息、財產(chǎn)信息五十條以上的；或者非法獲取、出售或者提供住宿信息、通信記錄、健康生理信息、交易信息等其他可能影響人身、財產(chǎn)安全的公民個人信息五百條以上的；或者非法獲取、出售或者提供前兩項以外的公民個人信息五千條以上的；或者違法所得五千元以上的，即到達刑事立案追訴的標準。

刑法修正案九》

針對有的網(wǎng)絡(luò)運營商懈怠履行信息安全保護義務(wù)的現(xiàn)象，《刑法修正案九》及相關(guān)司法解釋特別規(guī)定，如果網(wǎng)絡(luò)服務(wù)提供者拒不履行法律、行政法規(guī)規(guī)定的信息網(wǎng)絡(luò)安全管理義務(wù)，經(jīng)監(jiān)管部門責令采取改正措施而拒不改正，致使用戶的公民個人信息泄露，造成嚴重后果的，應(yīng)當依照刑法的規(guī)定以拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪追究法律責任。該規(guī)定正是為了促使網(wǎng)絡(luò)服務(wù)提供者保護用戶信息安全，采取有效的技術(shù)手段和安全措施確保用戶信息不會被泄露。對此，網(wǎng)絡(luò)運營商都應(yīng)高度重視相應(yīng)的法律風險和法律責任。

GDPR

另外，據(jù)有文章稱：“華住酒店集團股價暴跌，在很大程度上是因為投資者擔心其會因此受到嚴厲處罰。伴隨著歐盟《通用數(shù)據(jù)保護條例》（GDPR）的實施，各個國家都在加強企業(yè)數(shù)據(jù)保護方面的合規(guī)監(jiān)管。如果查實該數(shù)據(jù)屬實，華住恐怕罪責難逃；若歐盟介入，處罰可能會更加嚴厲。以GDPR為代表的數(shù)據(jù)隱私法規(guī)，即是中國企業(yè)當下面臨的重大合規(guī)經(jīng)營挑戰(zhàn)。一旦出現(xiàn)問題，很可能會給相關(guān)企業(yè)帶來滅頂之災(zāi)，但卻至今沒有引起大家的重視。而在上個月，美國加州也緊接著推出《消費者隱私法案》，加大消費者對個人數(shù)據(jù)的處置權(quán)。這一法案將于2020年1月起生效。”

（或義憤填膺或見怪不怪累覺不愛的）網(wǎng)友說：

三、行業(yè)狀況揭秘

近年來，酒店行業(yè)信息泄露的事件屢見不鮮，凱悅、洲際、漢庭、7天等國內(nèi)外酒店均未能幸免?？杉幢闳绱耍摤F(xiàn)象并未得到有效的遏制。

酒店從業(yè)者說：

對此，酒店行業(yè)資深業(yè)者表示，再強大的系統(tǒng)也會存在可被破解的漏洞——信息泄露事件雖在情理之中，但其如何泄露才是關(guān)鍵所在。在其看來，在信息社會，數(shù)據(jù)安全是任何企業(yè)都應(yīng)該做好的底層工作;而國內(nèi)的酒店集團普遍在技術(shù)安全保障和管理流程機制方面有所欠缺,且整體落后于國外。據(jù)其介紹，國外酒店集團的信息化標準十分嚴苛，細致到每個系統(tǒng)的補丁、版本升級標準、崗位權(quán)限設(shè)置等等，均有詳盡的規(guī)定?？杉幢闳绱?，國外酒店也依舊難以避免信息泄露的問題。如此看來，國內(nèi)酒店對信息安全的不夠重視，實則埋下了巨大的隱患。

另一位酒店從業(yè)者還感概：大多數(shù)國內(nèi)酒店并沒有完全繃緊信息安全這根弦，“還是沒有足夠痛的領(lǐng)悟”;另外，大部分中國消費者對于個人隱私保護的意識不足，并沒有充分認識到信息泄露的嚴重性，這就導致酒店集團犯錯的成本很低。同時，酒店信息安全體系的建設(shè)及維護是一筆非常大的投入;對于意圖迅速搶占市場份額的酒店集團來說，也是最容易忽視的一個版塊。而這種現(xiàn)狀已經(jīng)持續(xù)了一段時間，如果借此事可以引起整個行業(yè)的重視，酒店業(yè)的信息安全也會向前邁出一大步。

安全媒體說：

2018年2月，國內(nèi)知名網(wǎng)絡(luò)安全媒體freebuf就在其發(fā)布的《酒店行業(yè)信息安全現(xiàn)狀很糟糕》文章中提到了值得注意的幾點：

高度依賴信息化作業(yè)：如果說開房住店使用WIFI等可能泄露個人信息，那酒店里的安全問題可多了。先談一談酒店與信息數(shù)據(jù)的關(guān)系，現(xiàn)在智能酒店很依賴信息化，特別是大型的高檔酒店，信息系統(tǒng)出現(xiàn)嚴重故障會讓酒店罷工。根據(jù)酒店管理系統(tǒng)模塊使用量的不同，可能會讓住客辦不了入住手續(xù)、上不了樓、進不了房間、出不了門、結(jié)不了帳、退不了房……

不重視IT，待遇差，留不住高手

酒店管理系統(tǒng)比你想像中的更脆弱，像搖搖欲墜的墻，只差人去推一把。酒店行業(yè)IT待遇太差，所以高手一般都不愿呆在那兒，入門人員和混日子的IT人也沒有水平和心思琢磨這些。他們寧愿讓廠商來維護，而廠商的人員無非就是做做系統(tǒng)支持，弄臺服務(wù)器，安裝個服務(wù)器端軟件，搞個培訓！產(chǎn)品中設(shè)置一個授權(quán)時間，到時報警或停用不就得了，用得了下邏輯炸彈？

安全監(jiān)控系統(tǒng)功能單一化

除了酒店管理系統(tǒng)的前臺和客房模塊，會員、預(yù)訂、收銀、門禁等模塊也往往在前臺操作，安全監(jiān)控系統(tǒng)往往和消防等等是獨立給安全部門的，較少有整合。國內(nèi)多數(shù)酒店的業(yè)務(wù)工作流和信息數(shù)據(jù)流還不夠完全無紙化，所以在信息架構(gòu)上也還不科學。

一般來說，酒店至少要有兩套隔離的網(wǎng)絡(luò)，一套自家用，一套給客人連接到互聯(lián)網(wǎng)。通常，客人不會接觸到酒店自家使用的網(wǎng)絡(luò)信息系統(tǒng)，但實際上勇敢地去嘗試一下并不難找到突破點。找到酒店自用網(wǎng)絡(luò)的接入點，金礦就來了。披著“滲透測試”的外衣，輕輕松松拖幾個數(shù)據(jù)庫和復制一批住客的信息。

安全問題被刻意忽視

究其原因，軟件公司和程序員不遵守軟件開發(fā)的基本準則，在功能上急于爭先，在安全上刻意忽視，造成后期問題爆多、維護工作量巨大、安全隱患日益突顯。想要快刀斬亂麻，規(guī)范化的IT管理很重要，酒店IT管理人員應(yīng)該注意短痛不如長痛，評估和選用經(jīng)過科學認證的管理系統(tǒng)，替代高危的軟件，并且加強員工們的信息安全意識教育，保障終端安全，防范黑客入侵和竊密。

四、酒店行業(yè)數(shù)據(jù)安全解決思路

數(shù)據(jù)正在引領(lǐng)新的商業(yè)模式的變革，但顯然，當前整體數(shù)據(jù)安全思路是缺乏的，數(shù)據(jù)的管理與安全使用未成體系，數(shù)據(jù)安全市場現(xiàn)狀不容樂觀：

數(shù)據(jù)庫“安全底子”不統(tǒng)一

尤其非關(guān)系型數(shù)據(jù)庫存在安全問題，大數(shù)據(jù)安全的基礎(chǔ)保障體系尚未建立。

互聯(lián)網(wǎng)業(yè)務(wù)創(chuàng)新帶來前所未有新風險

在萬物互聯(lián)，數(shù)據(jù)共享的互聯(lián)網(wǎng)時代，各個行業(yè)的系統(tǒng)之間實現(xiàn)了緊密聯(lián)結(jié)，業(yè)務(wù)的訪問直達數(shù)據(jù)庫，與此同時，安全防護體系的搭建卻落后不止一步，一旦前端出現(xiàn)安全問題，后端數(shù)據(jù)將面臨巨大風險。

共享交換時代數(shù)據(jù)去隱私化處理

在數(shù)據(jù)共享趨勢下，數(shù)據(jù)安全問題凸顯，數(shù)據(jù)的去隱私化成為焦點，因此，網(wǎng)安法對于網(wǎng)絡(luò)運營者個人信息隱私的保護提出了明確要求。

上云后數(shù)據(jù)主管權(quán)問題

云計算時代，企業(yè)上云最擔憂的莫過于云上數(shù)據(jù)的安全，云上數(shù)據(jù)的主管權(quán)一刻沒有厘清，這種擔憂就一刻不會離開。

如何進行數(shù)據(jù)資產(chǎn)管理而確保數(shù)據(jù)的高效、安全使用被提上日程。凡事就怕“認真”二字，酒店行業(yè)一旦敬畏法律、尊重客戶的個人信息隱私，重視起數(shù)據(jù)安全問題，健全數(shù)據(jù)安全管理制度，就完成了至關(guān)重要的第一步。

接下來，我們簡單分析會發(fā)現(xiàn)，當前酒店行業(yè)數(shù)據(jù)泄露無非源于兩大類安全威脅：1、外部黑客攻擊；2、內(nèi)部人員（包含外包IT團隊）作案。

酒店管理系統(tǒng)是酒店信息化的載體，既有對外開放的業(yè)務(wù)系統(tǒng)，供客戶、攜程等第三方合作預(yù)定、查詢等，也有對內(nèi)開放的運營系統(tǒng)，包含前臺接待、前臺收銀、客房管家、銷售POS、餐飲管理 、娛樂管理、 公關(guān)銷售、財務(wù)查詢、電話計費、系統(tǒng)維護、經(jīng)理查詢、工程維修等功能模塊。

盡管酒店行業(yè)信息化程度高，但是信息安全建設(shè)卻相對薄弱，因此，很容易遭受來自外部的入侵。

數(shù)據(jù)庫防火墻可以通過虛擬補丁、SQL注入特征庫、影響行數(shù)限定、黑白名單策略等技術(shù)手段重點針對漏洞攻擊、非授權(quán)人員訪問等外部及應(yīng)用側(cè)的威脅行為進行訪問控制，防止數(shù)據(jù)泄露及篡改。

而從數(shù)據(jù)本源出發(fā)，利用數(shù)據(jù)庫加密技術(shù)進行防護或是最好的選擇。加密技術(shù)直接作用于數(shù)據(jù)本身，使得數(shù)據(jù)即使遭遇了泄漏危機，被竊取或者丟失的數(shù)據(jù)其核心內(nèi)容還是受到加密技術(shù)的防護。選擇成熟的數(shù)據(jù)庫加密系統(tǒng)可以從以下幾點進行衡量：

1）確保自主可控安全。加密產(chǎn)品需要具備獨立于數(shù)據(jù)庫的密鑰管理體系，保證密鑰不出設(shè)備，確保數(shù)據(jù)即使被拖庫，依然安全。

三權(quán)分立機制。加密產(chǎn)品要具備三權(quán)分立機制，確保實現(xiàn)DBA、安全管理員和審計管理員權(quán)責分離，做到相互監(jiān)督、相互制約。

3）具備獨立的權(quán)限體系。產(chǎn)品可實現(xiàn)基于密文的增強訪問權(quán)限控制，防止DBA及高權(quán)限用戶對敏感數(shù)據(jù)進行訪問。所有數(shù)據(jù)庫用戶想要訪問密文數(shù)據(jù)，必須經(jīng)過授權(quán)。

4）應(yīng)用身份鑒別。實現(xiàn)應(yīng)用系統(tǒng)、應(yīng)用用戶和數(shù)據(jù)庫用戶的綁定，只有受信的應(yīng)用通過授權(quán)的應(yīng)用賬戶才具有密文訪問權(quán)限，防止數(shù)據(jù)庫用戶口令泄露后，繞開合法業(yè)務(wù)系統(tǒng)，對數(shù)據(jù)庫直接訪問。

我們知道酒店的業(yè)務(wù)相關(guān)系統(tǒng)主要采用業(yè)務(wù)外包形式由第三方公司代為開發(fā)，且后期系統(tǒng)及數(shù)據(jù)維護可能由不同部門相關(guān)管理人員和第三方開發(fā)商共同完成，在開發(fā)過程中存在以下風險：

數(shù)據(jù)庫管理員對數(shù)據(jù)庫有最高訪問權(quán)限，并且風險操作及高危操作無法管控；

運維人員存在對生產(chǎn)數(shù)據(jù)庫批量導出操作漏洞；

數(shù)據(jù)分析員對數(shù)據(jù)庫存在越權(quán)訪問及操作；

第三方運維、測試、開發(fā)、數(shù)據(jù)分析人員對核心數(shù)據(jù)庫的運維操作無法監(jiān)控；

酒店行業(yè)的開發(fā)、運維工作多交給了第三方外包人員，這就讓安全管理難度加大。由于缺乏細粒度的管控手段，數(shù)據(jù)庫運維工作普遍存在內(nèi)部人員、甚至第三方外包人員間的賬號共享、主機共享、高權(quán)限賬戶濫用等情況，加之人工操作無法保證100%的準確度，數(shù)據(jù)庫日常運維操作面臨：操作身份不明確、操作過程不透明、操作內(nèi)容不可知、操作行為不可控、操作事故不可溯等一系列安全風險。

因此，實現(xiàn)數(shù)據(jù)庫運維側(cè)的安全管控，就需要在審批環(huán)節(jié)中滿足兩方面能力：其一，能夠整合審批流程，為內(nèi)部運維人員、第三方外包人員、業(yè)務(wù)主管等多角色提供細致統(tǒng)一的審批平臺，能夠提供對操作人、操作對象、操作內(nèi)容、操作時間、相關(guān)審批人等等細粒度的申請條件，使審批過程清晰、透明。其二，能夠提供對申請內(nèi)容的智能分析能力，能夠?qū)Σ僮魃暾堖M行風險預(yù)估和異常行為評測，為審批者提供決策依據(jù)，在操作前最大可能的降低運維事故概率。

安華金和長期專注數(shù)據(jù)庫安全建設(shè)，致力于讓數(shù)據(jù)自由而安全的使用，幫助用戶建立公眾信任，守護個人隱私，提升全社會安全感。

當安全事件發(fā)生，愿每一個身處其中的人，不要站在陰影里，不要再沉默。