“郵件門”背后的安全隱患

移動(dòng)互聯(lián)時(shí)代，人們的上網(wǎng)習(xí)慣和行為正在發(fā)生變化。據(jù)2014年的一項(xiàng)最新調(diào)查顯示，高達(dá)68%的受訪者平時(shí)更喜歡使用Wi-Fi無(wú)線網(wǎng)絡(luò)，這樣一類隨時(shí)隨地都希望保持在線的群體，被稱為“Wi-Fi控”，“Wi-Fi控”員工們喜歡手持自己的移動(dòng)設(shè)備，移動(dòng)辦公。

隨時(shí)移動(dòng)的網(wǎng)絡(luò)用戶體驗(yàn)越來(lái)越重要，但對(duì)于組織機(jī)構(gòu)而言，“Wi-Fi控”BYOD帶來(lái)的各種“麻煩”也正在不斷顯現(xiàn)，前不久美國(guó)國(guó)務(wù)卿希拉里“郵件門”事件，就給全球企業(yè)管理者們重重敲響了警鐘。

事件起源于2014年3月。據(jù)美國(guó)媒體報(bào)道，希拉里在擔(dān)任美國(guó)國(guó)務(wù)卿的4年時(shí)間里，沒(méi)有使用政府提供的黑莓手機(jī)，一直使用個(gè)人電子郵箱辦公，希拉里不斷強(qiáng)調(diào)，自己使用私人郵箱只是為了“圖個(gè)方便”，然而，這一“行方便”的舉動(dòng)，令美國(guó)人民感到震驚，更遭到了共和黨和美國(guó)媒體的強(qiáng)烈譴責(zé)。

為了方便，希拉里并沒(méi)有使用政府提供的黑莓手機(jī)，而是在一部手機(jī)一個(gè)郵箱里實(shí)現(xiàn)個(gè)人生活和工作的切換，然而小習(xí)慣可能會(huì)導(dǎo)致嚴(yán)重的大問(wèn)題。經(jīng)過(guò)安全專家的測(cè)試，希拉里的郵箱在面臨黑客攻擊時(shí)比較脆弱，即使加密了，也不意味著百分百安全。根據(jù)美國(guó)相關(guān)規(guī)定，除一些極為敏感的文件或機(jī)密文件，所有由政府官員發(fā)送及接收的書(shū)信、郵件都需要被記錄在案，私人賬號(hào)只能在非常緊急的事件時(shí)才可以使用，比如機(jī)構(gòu)的計(jì)算機(jī)服務(wù)器無(wú)法正常運(yùn)行，但事后也應(yīng)當(dāng)將通信內(nèi)容及時(shí)上傳國(guó)務(wù)院服務(wù)器。美國(guó)信息安全監(jiān)督辦公室前主任J 威廉姆 萊昂納德認(rèn)為，如果希拉里用私人郵箱處理了機(jī)密信息，是很大的麻煩，她可能違反了政府機(jī)密信息的基本規(guī)則，嚴(yán)重的話將會(huì)損害國(guó)家利益。

互聯(lián)網(wǎng)+時(shí)代，移動(dòng)性考驗(yàn)企業(yè)網(wǎng)絡(luò)

移動(dòng)性員工的使用習(xí)慣正在改變。據(jù)統(tǒng)計(jì)，目前全球使用的移動(dòng)設(shè)備的數(shù)量已經(jīng)超過(guò)了72億大關(guān)，全球移動(dòng)互聯(lián)網(wǎng)流量已經(jīng)超過(guò)了互聯(lián)網(wǎng)整體流量的25%，隨著公共云服務(wù)的使用和移動(dòng)設(shè)備的激增，用戶已經(jīng)形成了自己慣有的移動(dòng)工作方式，就像希拉里為什么選擇使用個(gè)人手機(jī)個(gè)人郵箱工作，而不使用政府提供的黑莓手機(jī)一樣。當(dāng)前，用戶可以在企業(yè)和第三方服務(wù)器之間進(jìn)行數(shù)據(jù)的移動(dòng)和切換，這就催生企業(yè)必須找到一種可行的架構(gòu)來(lái)監(jiān)控和規(guī)范移動(dòng)安全管理。

小習(xí)慣導(dǎo)致大問(wèn)題。希拉里使用個(gè)人郵箱帳戶同時(shí)收發(fā)工作郵件這件事，看起來(lái)似乎沒(méi)什么大不了，因?yàn)檫@種行為容易很隱蔽，并且也沒(méi)有導(dǎo)致直接的后果，但此次“郵件門”事件，卻給她和美國(guó)政府造成了大麻煩。這說(shuō)明，看似員工一個(gè)小小的工作習(xí)慣，從長(zhǎng)遠(yuǎn)來(lái)看，很可能會(huì)導(dǎo)致更嚴(yán)重的后果。引申開(kāi)來(lái)想一下，且不說(shuō)央視3.15曝光的公共場(chǎng)所各項(xiàng)安全入侵，引發(fā)了消費(fèi)者手機(jī)銀行信息等泄露造成的大量個(gè)人損失，單從企業(yè)層面來(lái)講，當(dāng)全球越來(lái)越多的用戶通過(guò)智能手機(jī)、平板電腦查收郵件、溝通工作時(shí)，他們的網(wǎng)絡(luò)接入環(huán)境、終端設(shè)備型號(hào)可能不盡相同，隨著移動(dòng)設(shè)備越來(lái)越多地承擔(dān)起“事務(wù)處理工具”的角色，網(wǎng)絡(luò)層的動(dòng)態(tài)響應(yīng)能力、安全性和可管理性如果不能完善，將會(huì)帶來(lái)多大的隱患和危機(jī)。

雖然很多企業(yè)正在努力消除移動(dòng)化帶來(lái)的數(shù)據(jù)風(fēng)險(xiǎn)，傳統(tǒng)的防火墻、IDS/IPS、AV、反垃圾郵件、網(wǎng)頁(yè)過(guò)濾等安全手段可以很好抵制外部風(fēng)險(xiǎn)，但令人不安的是，當(dāng)前更多風(fēng)險(xiǎn)來(lái)自企業(yè)內(nèi)部。然而移動(dòng)性正在挑戰(zhàn)固定的傳統(tǒng)安全架構(gòu)，因?yàn)楦嗟囊苿?dòng)設(shè)備正在越過(guò)安全控制，直接連入無(wú)線網(wǎng)絡(luò)，針對(duì)企業(yè)內(nèi)部擁有的設(shè)備和員工自帶的設(shè)備的攻擊途徑在不斷發(fā)展和變化，今天，由于有限的可視性和缺乏策略控制，使企業(yè)對(duì)于一項(xiàng)新的風(fēng)險(xiǎn)顯得束手無(wú)策。由于各移動(dòng)設(shè)備可能帶來(lái)不同的安全威脅，同時(shí)很多企業(yè)對(duì)網(wǎng)絡(luò)安全方面的投資集中在短時(shí)防御，而缺乏長(zhǎng)期規(guī)劃等問(wèn)題，員工隨處使用這些移動(dòng)設(shè)備將帶來(lái)更多潛在的安全和數(shù)據(jù)丟失隱患。

此外，由于移動(dòng)設(shè)備的尺寸較小，將導(dǎo)致它們?nèi)菀讈G失或被竊，而沒(méi)有密碼保護(hù)的設(shè)備就顯得更加令人擔(dān)憂。事實(shí)證明，移動(dòng)設(shè)備的失竊，重要信息的丟失，是企業(yè)IT管理部門面臨的頭等難題。在現(xiàn)在的企業(yè)網(wǎng)絡(luò)環(huán)境中，“Wi-Fi控”員工自帶設(shè)備(BYOD)正在成為一項(xiàng)嚴(yán)峻的考驗(yàn)。其中，企業(yè)數(shù)據(jù)安全、員工身份管理位列前兩大要素。

傳統(tǒng)的安全手段只限于保護(hù)固定的端點(diǎn)和定義好的數(shù)據(jù)路徑，這已經(jīng)不足以應(yīng)對(duì)今天的移動(dòng)性安全管理，企業(yè)需要重新審視和制定內(nèi)部的BYOD策略，一致性的安全和自適應(yīng)的可信管理策略成為當(dāng)仁不讓的重中之重，這種策略可以保護(hù)企業(yè)和客戶的利益，那些試圖打破或者跨越這些策略準(zhǔn)則的員工將會(huì)冒很大的風(fēng)險(xiǎn)，在銀行等一些行業(yè)，對(duì)于安全合規(guī)化的管理要求前所未有的增強(qiáng)，一個(gè)好的安全策略應(yīng)該能夠基于角色設(shè)置嚴(yán)格的企業(yè)網(wǎng)絡(luò)接入規(guī)則。這也無(wú)疑成為了員工“行方便”背后，各組織機(jī)構(gòu)必須亟待部署的方案。

移動(dòng)安全人人有責(zé)：安全策略助力提高意識(shí)

企業(yè)正在千呼萬(wàn)喚一種可信任的安全策略模型，這種信任不是假設(shè)存在的，而是必須賦予員工正確的網(wǎng)絡(luò)接入權(quán)利和權(quán)限。美國(guó)Aruba公司的“自適應(yīng)可信設(shè)計(jì)方案”，給我們提供了一個(gè)很好的解決方法。這項(xiàng)方案通過(guò)基于用戶角色控制，能夠確保移動(dòng)設(shè)備的合規(guī)性管理和構(gòu)建安全的工作流程，可以幫助企業(yè)了解“Wi-Fi控”員工的上網(wǎng)行為，更好地履行整體安全策略。同時(shí)，企業(yè)也可以根據(jù)員工與設(shè)備交互的情況，授予不同的認(rèn)證接入權(quán)限。企業(yè)部署安全策略，除了確保法規(guī)遵從性和簡(jiǎn)化網(wǎng)絡(luò)操作之外，最大的目的是旨在通過(guò)技術(shù)手段幫助員工調(diào)高移動(dòng)安全意識(shí)，讓員工通過(guò)全方位的身份管理解決方案，隨時(shí)隨地安全地訪問(wèn)他們所需要的內(nèi)容和應(yīng)用程序，通過(guò)這樣一個(gè)統(tǒng)一的、安全的登錄體驗(yàn)，方便員工在自己的移動(dòng)設(shè)備上更有創(chuàng)造力、更高效地工作，真正打造安全和值得信賴的移動(dòng)體驗(yàn)。

移動(dòng)很方便，安全價(jià)更高。希拉里“郵件門”事件，提醒了我們每一個(gè)人，不是么?

佰佰安全小知識(shí)：

移動(dòng)支付在給人們帶來(lái)便捷的同時(shí)也帶來(lái)了安全隱患。在各大媒體的報(bào)道中,用戶不慎泄露個(gè)人身份信息以及手機(jī)校驗(yàn)碼,從而導(dǎo)致資金賬戶被竊的事件屢有發(fā)生。在移動(dòng)支付應(yīng)用快速發(fā)展的今天,安全仍然是不容忽視的重要問(wèn)題。

2014年,我國(guó)移動(dòng)支付市場(chǎng)飛速發(fā)展,市場(chǎng)研究機(jī)構(gòu)易觀智庫(kù)發(fā)布的數(shù)據(jù)顯示,2014年第三方移動(dòng)支付的交易規(guī)模達(dá)到了77660億元,環(huán)比增長(zhǎng)近500%。伴隨著市場(chǎng)的飛速發(fā)展,安全威脅也正在呈現(xiàn)上升趨勢(shì)。百度手機(jī)衛(wèi)士發(fā)布的《2014移動(dòng)安全報(bào)告》顯示,截至2014年12月,我國(guó)存在支付風(fēng)險(xiǎn)的用戶占比達(dá)到21.8%,超過(guò)5800萬(wàn)戶,平均每5個(gè)使用移動(dòng)支付的用戶中就有1個(gè)面臨著支付安全風(fēng)險(xiǎn)。支付寶統(tǒng)計(jì)顯示,2014年,支付寶主動(dòng)幫超過(guò)700萬(wàn)面臨風(fēng)險(xiǎn)的用戶避免資金損失。從攔截和處理的風(fēng)險(xiǎn)狀況來(lái)看,最常見(jiàn)的風(fēng)險(xiǎn)類型是信息泄露引起的賬戶被盜和個(gè)人欺詐,占到網(wǎng)上支付風(fēng)險(xiǎn)的八成以上。

如何保障移動(dòng)支付安全?很多用戶都會(huì)發(fā)出如此疑問(wèn)。安全專家建議,用戶日常不要將銀行卡、身份證信息和手機(jī)校驗(yàn)碼泄露,社交平臺(tái)上不要隨意點(diǎn)擊接收陌生人發(fā)來(lái)的文件、二維碼和鏈接。具體而言,用戶可以使用以下手段保障移動(dòng)支付應(yīng)用的安全。

1.雙重身份驗(yàn)證雙重身份驗(yàn)證的好處在于,即便用戶登錄了手機(jī)支付應(yīng)用,輸入密碼后,仍需輸入驗(yàn)證碼才能完成支付。也就是說(shuō),如果有人知道你的支付賬戶和密碼,希望通過(guò)網(wǎng)頁(yè)進(jìn)行支付,沒(méi)有驗(yàn)證碼依然是無(wú)法實(shí)現(xiàn)的;另一種情況下,即便手機(jī)被盜,小偷基本上也不會(huì)知道你的賬戶密碼,所以無(wú)從下手。

2.使用官方應(yīng)用商店的支付應(yīng)用顯然,越獄后的ios設(shè)備及android設(shè)備都存在一定的安全隱患,主要來(lái)自于非官方驗(yàn)證的應(yīng)用。所以,不要從任何非官方應(yīng)用商店下載安裝支付應(yīng)用,因?yàn)樗鼈兌伎赡艽嬖诒I取用戶信息的惡意代碼。

3.加強(qiáng)設(shè)備本身的安全性如果用戶手機(jī)內(nèi)置指紋傳感器、同時(shí)支付應(yīng)用又支持指紋驗(yàn)證的話,那么一定要開(kāi)啟這項(xiàng)功能;如果不支持,最起碼要設(shè)置一個(gè)額外的鎖屏密碼。另外,安全專家還建議用戶查看手機(jī)的隱私設(shè)置,確保應(yīng)用程序訪問(wèn)權(quán)限的合理性。

4.使用信用卡而非借記卡如果使用手機(jī)支付應(yīng)用購(gòu)物,在允許的情況下,盡量將信用卡綁定到支付應(yīng)用中,而非借記卡。主要原因在于,一般銀行的信用卡都擁有補(bǔ)償條例,比如用戶遭到盜刷時(shí)可補(bǔ)償一定金額,但借記卡往往沒(méi)有。

5.使用可信任的因特網(wǎng)連接如果是在咖啡廳、餐廳等公共區(qū)域,建議不要使用公共wifi進(jìn)行支付。因?yàn)橐恍┖诳屯矚g潛伏于此,通過(guò)進(jìn)入安全性較低的公共無(wú)線網(wǎng)絡(luò)來(lái)獲取用戶信息。即便用戶的支付信息是加密的,也有可能被手段高超的黑客破解,從而獲得支付賬戶、卡號(hào)、密碼等信息。

6.設(shè)置賬戶更改警報(bào)通常來(lái)說(shuō),支付服務(wù)都擁有一些賬戶改變警告的通知設(shè)定,比如改變密碼、支付行為、綁定手機(jī)終端等,將這些服務(wù)都開(kāi)啟,有助于我們即時(shí)了解支付賬戶的變化。同理,信用卡也廣泛支持消費(fèi)短信、微信提醒服務(wù)。

7.確定收款人信息這個(gè)部分其實(shí)不僅僅適用于手機(jī)支付,任何線上、線下的轉(zhuǎn)賬,都應(yīng)該首先確定好收款人的信息。不要輕信一些所謂“房東”、“好友”,一定要在充分確認(rèn)對(duì)方身份后再進(jìn)行轉(zhuǎn)賬。