行业数据风险升高 85%数据泄露有人为问题
发布时间：2022-06-30 15:59:52 所属栏目：安全 来源：互联网
导读：近几年，随着云计算、人工智能等新兴技术发展，加速了数据价值的发现和流通，同时也使得数据安全问题不断凸显。 而各个行业由于数据特点和价值不同，其安全风险又呈现不同的特征，并且受害程度也不同。中关村网络安全与信息化产业联盟理事、联盟数据与信息安
|
近几年，随着云计算、人工智能等新兴技术发展，加速了数据价值的发现和流通，同时也使得数据安全问题不断凸显。 而各个行业由于数据特点和价值不同，其安全风险又呈现不同的特征，并且受害程度也不同。中关村网络安全与信息化产业联盟理事、联盟数据与信息安全智库专家柳遵梁表示，行业数据安全风险的大小取决于两个基本因素，一是数据价值高低;二是数据泄露后果严重程度。 比如医疗行业，北京师范大学网络法治国际中心执行主任吴沈括表示，医疗行业的特点是，其拥有大量患者的健康状况数据，而这些数据具有较强的敏感性和隐私性，一旦这些数据泄露，可能会影响后续诊疗，也会对患者生活、工作带来较大的负面影响。 “除数据泄露外，数据勒索也是医疗行业常见的数据安全风险，将会带来严重威胁”，广东工业大学教授刘文印说。根据泄露报告显示，针对医疗领域的勒索软件攻击连续两年占所有恶意软件事件的70%以上。 谈剑锋表示，能源和工业领域比较复杂，它们并非是纯粹的信息系统，工控系统与物理世界紧密互动，一旦工控系统受到攻击，轻则造成质量事故或者停产，重则人身伤害甚至直接导致现实社会中的重大灾难和群体性事件。因此，保证工控系统的生产数据安全，被能源和工业企业看做重中之重的事情。同时，谈剑锋指出，近年来随着新兴技术的兴起，智能工厂技术不断成熟，这使得以往封闭的数据围墙必然要被打通，工业领域的数据安全压力骤然上升，安全管理挑战越来越大。 85%数据泄露有人为因素，医疗保健行业因员工疏忽致数据泄露占比23% 那么，这些行业的数据安全风险是由什么造成的。柳遵梁指出，总体来看，分为外部入侵和内部风险。外部入侵主要由于入侵者有足够的动机、精力和机会，一方面可以获取巨大的利益;另一方面又由于各个行业的网络是相对开放的，给外部入侵者制造了机会。 而内部风险主要由于内部人员会受到各种各样的诱惑，使得他们铤而走险，通过对外非法提供数据来获取利益，柳遵梁表示。 而各行各业由于数据特点不同，其安全风险原因也不同，85%的数据泄露都有人为因素。这其中有外部因素，但更多的还是内部因素。 刘文印指出，对企业而言，一旦发生数据安全风险事件，不仅需要赔偿用户，还要缴纳政府的罚款，同时还有事后的法律成本和公关成本，这些都是企业要付出的代价。 刘文印表示，根据GDPR(《通用数据保护条例》)相关规定，数据隐私泄露的违法罚款可以高达全球营业额的4%(最高2000万欧元)，中国即将出台的《个人信息保护法》征求意见稿中，企业罚款可以达到5%(最高5000万人民币)，另外再追加个人责任人的责任和罚款，最高100万人民币。 各个行业由于特点不同，其为数据安全风险所付出的代价也不同。根据成本报告数据显示，医疗行业数据泄露的损失最大，平均总成本最高。其次，是能源和金融服务行业，这些行业的数据价值也都较大。 并且，受到更严格监管要求的组织具有更高的平均数据泄露成本，比如医疗保健、能源、金融服务和制药的平均数据泄露总成本明显高于监管较少的行业，如酒店、媒体和研究。 谈剑锋指出，随着形势的转变，数据安全风险原因和来源也更加复杂。总体而言，工作环境趋于开放，网络及信息系统就需要更安全、更灵活，这在一定程度上也会带来新的数据安全问题，给问题的原因分析也增添了难度。 “主动防御”才是各行业破解数据安全难题之钥 那么，各个行业面对这些数据安全风险，应采取哪些举措，这也是行业数据安全问题的重要难题。刘文印指出，目前各个行业对数据泄露的解决方式更多的是采用头痛医头，脚痛医脚，当数据风险被识别后再采取相应的解决方案。而这些“被动式防御”既滞后，又无法从根本上解决系统性和机制性的问题。 据成本报告数据显示，各个行业识别风险都是需要一定时间的，长短不一。虽然金融行业识别风险所需时间最短，但也要177天，而医疗保健行业识别风险所需时间最长，长达236天。同时，风险识别后，控制风险也需要一定时间，大致在50天-100天之间。 “再比如能源行业，目前国网平台已经实现了数据共享，而数据的互联网化会导致一些新的风险。”刘晓韬表示。针对该问题，刘晓韬认为，可以首先对这些数据进行梳理，再通过数据态势感知或者数据管控运维平台，运用平台化的措施，再加上数据加密或者防火墙的手段，对其进行特殊保护。 除了技术手段外，数据安全的保护还要靠管理。刘文印表示，数据安全是“三分靠技术，七分看管理”，管理问题是重点，也是难点。 谈剑锋指出，防护数据安全风险，在管理方面，可以从三方面着手，一是政府加强对数据安全产业的扶持和监管力度，二是政企单位要贯彻《网络安全法》、《数据安全法》及《个人信息保护法》等相关法律法规，制定严谨详细的数据安全管理制度并严格执行，落实好数据的分级分权管理，尽量降低核心数据泄露的风险;三是企业要加强全员网络安全意识教育培训，提升员工相关意识和技能，切实做好数据安全防护工作。 （编辑：PHP编程网 - 黄冈站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330482号