近期，曾被評為全球十大最安全航空公司之一的國泰航空被曝發(fā)生信息泄露事件，被香港立法會議員林卓廷形容為“本港歷來最大的個人資料外泄事件”。受此消息影響，國泰航空股價應聲下跌，股價創(chuàng)下了逾9年新低。該公司還可能面臨高額罰款。
香港國泰航空有限公司本月發(fā)布公告稱，該公司及子公司國泰港龍航空發(fā)現大約有940萬名乘客的資料曾被不當取覽，涉及的個人信息包括乘客姓名、國籍、出生日期、電話號碼、電郵及實際地址、護照號碼、身份證號碼、飛行常客計劃會員號碼、顧客服務備注及過往的飛行記錄資料等。其中，86萬個護照號碼以及24.5萬個香港身份證被不當取覽。此外，有403張已逾期的信用卡號碼以及27張無安全碼的信用卡號碼曾被不當取覽。
對此，國泰航空公司主席史樂山說，我們明白確保乘客個人信息安全非常重要。我特別關注這一事件可能會影響到乘客對我們的信心。
“這一事件是一場危機，是我們航空公司遇到的最嚴重的危機之一。”
除了大量數據泄露帶來的信任危機，國泰航空向外界宣布時間比確認資料外泄時間晚了約5個月。
這意味著什么呢？或面臨巨額罰款。
根據歐盟的《通用數據保護條例》，涉事公司需在72小時內通報數據泄露事件，否則會面臨罰款。按條例最高可罰公司去年全球總收入的4%或2000萬歐元(約1.8億港元)，以價高者為準。若以國泰航空去年總收入972.84億港元計算，可能面臨38.9億港元的巨額罰款。
國泰航空外泄乘客個人資料事件引發(fā)香港輿論對修訂香港相關法規(guī)、保護個人隱私問題的關注。民建聯議員葛珮帆認為，這次事件反映了香港的法例和保障個人隱私的機制其實還有好多落后的地方，內地2016年就通過了網絡安全法，特區(qū)政府應盡快制定香港網絡隱私安全法，加強監(jiān)管。
針對泄露原因，航空專家林智杰表示，航空公司的乘客個人信息一般是保存在客戶關系系統，或者客戶服務系統。信息泄露的原因有可能是黑客攻擊、系統自身漏洞、員工違規(guī)泄露以及操作不當等。
律師歐陽一鵬則表示，航空公司屬于復雜架構公司，民航運營過程中信息化網絡程度高，規(guī)模大、系統復雜、專業(yè)性強。根據我國民航運營慣例，航空公司泄密分為兩種，一種是民航公司自身系統被攻破造成泄密，另一種是第三方管理采集管理信息不善造成泄密。公民信息不被泄露，需要民航企業(yè)、監(jiān)管部門、個人等多方共同努力，才能保障這一系統性工程的牢固安全。
2017 年全球市值排名前十的公司中，有七家是數字經濟型的互聯網科技公司：蘋果、谷歌、微軟、Facebook、亞馬遜、阿里、騰訊。而在十年前，與數字經濟相關的企業(yè)只有微軟一家，其他則是石油、金融類企業(yè)。
如今，各個領域都開始意識到數據資產的價值，金融、交通運輸、醫(yī)療、教育、軍事、社交、天文學、大氣學、基因組學、生物學……數字和數據資產的概念已經滲透到社會經濟政治生活的方方面面。
數據作為核心資產，對于組織意味著生產力。數據價值的釋放，會直接帶動社會進行增值開發(fā)和創(chuàng)新應用，助力傳統行業(yè)創(chuàng)新轉型——精準營銷、智能推薦、金融征信等新業(yè)態(tài)新模式蓬勃發(fā)展，涌現出了個性化定制、智慧醫(yī)療、智能交通等大數據應用示范，對推動經濟發(fā)展、完善社會治理、提升社會的服務和監(jiān)管能力具有重要價值。因此，放眼國內外，無論是政府、組織和企業(yè)，都在朝著挖掘數據價值充分盤活，來提升自身未來可持續(xù)新增長。
一句話，數據能作用于業(yè)務，如今，政府和非政府機構的決策很大程度上都依賴于數據的收集和整合分析。通過數據來預測未來，通過指導組織運營模式，帶來業(yè)務增長新的可能性。
當整個社會都開始意識到數據資產的巨大價值，保障數據的安全這一需求隨之誕生。于是，立法緊隨其后，開始了立足長遠的規(guī)范監(jiān)督之路。因此，對于個人數據尤其涉及個人隱私數據的保護以及國家數據安全的問題，已經成為法律共識。
但是，單單依賴法律法規(guī)的規(guī)范監(jiān)督，還遠遠不夠。必須引入技術手段防患于未然。下面，我們仍以國泰航空數據泄露為例來做一個淺顯的技術引導。
本次國泰航空數據泄露事件，一句話總結：個人隱私數據被不該看的人看到了。那么，做好航空企業(yè)的個人隱私安全保護，做好數據安全防護工作，我們可以引入數據安全治理的思路。落實這個治理遵循以下三個主要步驟：
1、充分掌握你的數據資產
那么，對于航空公司而言，規(guī)避數據泄露的前提是要摸清哪些數據屬于敏感的個人隱私數據？敏感數據被放在哪里？這些數據的訪問權限，即可以被誰看、不能被誰看？這些數據日常的使用情況如何？
搞清楚這些疑問，實際上是在對自身的數據資產進行梳理和摸底。這就不得不依賴于數據資產梳理技術。主要覆蓋數據的資產管理、敏感數據的發(fā)現以及分級分類、敏感數據全線的梳理以及資產使用情況摸底。
通過敏感數據的梳理，可以幫助航空公司建立數據庫系統、敏感數據、應用系統等的訪問管控制度，為實行針對性的管控策略打下基礎，實現敏感數據免于被不當取覽的管理目標。
2.建立數據合規(guī)使用體系
鑒于使用者身份不同，數據的使用權限管控必然依賴系統的數據合規(guī)使用體系。因此，要區(qū)分數據使用的具體場景。通常，對航空公司的業(yè)務系統進行數據資產梳理后，需要根據人員身份及業(yè)務場景進行使用管控，管控內容主要包括：業(yè)務訪問安全+運維訪問安全+數據共享安全。
其中，業(yè)務側防護的重點是航空公司的公共服務系統，航空公司客戶關系系統或者客戶服務系統中存儲有大量的乘客數據，日常會對乘客開放數據訪問權限，這些外部訪問中可能會包含大量黑客的攻擊行為，攻擊手段主要兩種類型：SQL注入攻擊、數據庫漏洞攻擊。因此，面對業(yè)務系統的訪問，需要引入數據庫防火墻技術，徹底防御SQL注入、數據庫漏洞攻擊行為。
系統的日常運維中，要引入數據庫安全運維技術對運維人員（駐場工程師、系統開發(fā)商等）的操作，進行運維訪問操作的分級管理，內容細致到4W+1H管控模式（誰Who+什么地點Where+什么時間When+做了什么What+怎么做的How+結果如何Result），并且對運維人員建立操作審批流程管理，保證對高權限人員最小化授權，從而有效管理運維側人員的風險行為。
隨著萬物互聯、共享經濟時代的到來，航空公司數據的共享越發(fā)普遍，為了確保數據在共享過程中的合規(guī)取覽，需要引入數據脫敏技術。在前置庫前部署數據庫動態(tài)脫敏系統，將前共享數據進行實時脫敏，確保只授權合法的系統或用戶能夠訪問前置庫，其他人員訪問進行授權限制。
3.有效溯源數據泄露事件
通過數據庫審計技術，發(fā)現數據泄漏途徑，泄漏范圍，精確鎖定影響范圍，精確定損追責。航空集團敏感數據被不當取覽，需要借助數據庫監(jiān)控與審計實現對敏感數據訪問行為的詳細審計，保留每項操作的操作人、時間、IP地址、操作內容等信息，為事后追溯提供依據。展開來說，以安華金和的新一代數據庫審計產品為例，可以實現結合航空業(yè)務語言和應用用戶的全面審計，能夠及時對惡意攻擊、非法訪問、惡意操作進行告警，實現事后追溯，有效追責定責。首先，新一代數據庫審計產品的“業(yè)務行為建模能力”，能夠將業(yè)務系統對數據庫的日常訪問行為進行建模分析，建立“應用用戶-應用系統（訪問工具）-應用URL（業(yè)務操作）-數據庫賬戶-數據庫操作（SQL）-敏感對象-影響范圍-執(zhí)行結果”的閉環(huán)建模邏輯。一旦產品發(fā)現航空集團的數據庫發(fā)生新的業(yè)務操作（URL模板）或者新的數據庫操作（SQL模板）產生時，就應該發(fā)起告警。其次，新一代數據庫審計產品具備“業(yè)務訪問識別能力”，當未經授權的第三方系統（或個人）發(fā)起數據庫訪問時，審計可以馬上發(fā)出告警。審計產品具備“業(yè)務訪問識別能力”，意味著能夠將應用用戶、源IP地址、訪問工具等元素和SQL語句緊密關聯、充分校驗，那么這種“第三方入侵”必然無所遁形。
此外，為了便于航空集團管理層掌握數據安全態(tài)勢，可以建立態(tài)勢感知分析機制，融合系統日志、服務器日志、安全設備日志、業(yè)務操作日志、運維操作日志等綜合的數據信息，深入分析業(yè)務系統運行狀態(tài)，建立業(yè)務系統安全態(tài)勢感知模型，對業(yè)務系統的當前狀況進行整體評估，對業(yè)務系統未來的變化趨勢進行預測。
產品咨詢：4000 258 365 
