大数据时代，信源密信全程防护数据安全

0 1

数据资产的风险在流转全过程

习近平总书记在中共中央政治局第三十四次集体学习时强调，把握数字经济发展趋势和规律，推动我国数字经济健康发展。

大数据时代，数字经济正在成为重组全球要素资源、重塑全球经济结构、改变全球竞争格局的关键力量。发展数字经济是把握新一轮科技革命和产业变革新机遇的战略选择。

数据资源被资产化后，数据已经不再只是一种资源，而逐渐变成了一种可以量化的资产，受到了越来越多企业的重视。

数据这种新型资产，与其他资产相比，最大的区别就在于只有在流动中才能体现价值。而流动的数据必然伴随着风险，数据安全威胁伴随业务生产无处不在。

因此，与保障其他资产的安全相比，保障数据资产的重点：从时间上来说，在于保障数据资产从产生、迁移、流转、直至消亡的全生命周期的安全性；从空间上来说，在于保障数据资产在基础设施层、平台层以及应用层之间流转，不同层次会有不同颗粒度的防护需求。

《数据安全法》提出“数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等”，为数据生命周期的各环节提供了明确定义，数据在各环节均面临诸多泄露威胁与安全挑战。

0 2

流转中的数据资产风险

1 数据收集风险

在数据收集环节，风险威胁涵盖保密性威胁、完整性威胁、可用性威胁等。保密性威胁指黑客通过建立隐蔽隧道，对信息进行各个维度的分析，窃取有价信息；完整性威胁指只截取某段元数据，数据不全；可用性威胁指刻意伪造或篡改数据。

案例1

2021年以来，工信部持续推进APP侵害用户权益专项整治行动，加大常态化检查力度，先后三次组织对用户反映强烈的重点问题开展“回头看”。11月3日，工信部针对APP超范围、高频次索取权限，非服务场景所必需收集用户个人信息，欺骗误导用户下载等违规行为进行了检查，并对未按要求完成整改的APP进行了公开通报。

案例2

东哥安全观（公众号）近期曾经报道过这样一个新闻。12月7日，一起由上海市闵行区人民检察院提起公诉的段某章、周某中侵犯公民个人信息案件公开开庭审理。

段某章等人通过推广清粉软件，非法获取大量微信授权及个人信息后上传至服务器中；王某、陈某飞将上述非法获取的微信授权提供给他人使用，并利用这些真实的微信账户关联其他APP，自动批量地进行点赞、关注等，共同牟取非法利益。

为了能最大化获取利益，段某章还以免费的方式将清粉软件进行推广，发展出大量的代理和用户，从而获得所需的大量微信账户信息。

不到两年时间，使用该软件的用户日活量已达近万人次。经鉴定，在涉案清粉软件服务器中检出个人信息记录712万余条。

闵行区检察院指控，被告人段某章、周某中违反国家有关规定，非法获取公民个人信息，情节特别严重，其行为涉嫌侵犯公民个人信息罪。

2.数据存储风险

数据存储安全性成为企业数字化转型运营中必须关注的问题，一旦出现遗漏面临的是法律和道德的鞭策。

在数据存储环节，风险威胁来自外部因素、内部因素、数据库系统安全等。

外部因素包括黑客脱库、数据库后门、挖矿木马、数据库勒索、恶意篡改等。

内部因素包括内部人员窃取、不同利益方对数据的超权限使用、弱口令配置、离线暴力破解、错误配置等。

数据库系统安全包括数据库软件漏洞和应用程序逻辑漏洞，如：SQL注入、提权、缓冲区溢出；存储设备丢失等其他情况。

传统式存储设备——集中式云存储主要是使用中心化服务器来存储数据与提供存储服务，造成安全性低和数据隐私泄漏风险。

案例1

截至2021年3月31日，中国农业银行因发生重要信息系统突发事件未报告、制卡数据违规明文留存、生产网络、分行无线互联网络保护不当、数据安全管理较粗放、存在数据泄露风险、网络信息系统存在较多漏洞、互联网门户网站泄露敏感信息被银保监会处以罚款420万元，这是一月份罚款金额最大的罚单。

案例2

2021年7月5日浙江省通信管理局一封投诉“阿里云未经用户同意擅自泄露个人信息"的答复函曝光，起因是阿里云泄露了用户的注册信息给到第三方合作公司，根据《中华人民共和国网络安全法》第四十二条、六十四条，浙江省通信管理局责令阿里云进行整改。事件曝光后，阿里云做出回应，「是内鬼」。

3 数据使用风险

在数据使用环节，风险威胁来自于外部因素、内部因素、系统安全等。

外部因素包括账户劫持、APT攻击、身份伪装、认证失效、密钥丢失、漏洞攻击、木马注入等。

内部因素包括内部人员、DBA违规操作窃取、滥用、泄露数据等，如：非授权访问敏感数据、非工作时间、工作场所访问核心业务表、高危指令操作；

系统安全包括不严格的权限访问、多源异构数据集成中隐私泄露等。

案例1

2021年4月，联合国曾遭遇网络攻击，攻击者盗取了大量数据，这些数据可能被用来攻击联合国。发现该事件的网络安全公司Resecurity称，黑客能够借此深入访问联合国网络。黑客最早进入联合国系统是4月5日，最晚活动时间是8月7日。

黑客试图获取更多有关联合国计算机网络架构的信息，并入侵了53个联合国账户。安全情报公司Intel 471的首席执行官Mark Arena表示，一些讲俄语的网络犯罪分子，将联合国凭证和几十个帐号和密码一起，出售给各个组织，价格仅为1000美元。

案例2

2021年12月10日消息，据CCTV2报道，近日广州中山警方破获了一起快递员贩卖客户信息的案件，嫌疑人张某偷偷拍摄了大约3000张快递单信息照片，以每张2元的价格出售，信息中心包含快递主人的姓名、电话号码、收货地址。

部分快递企业近年来虽然推出了“隐私面单”服务，在快递包装上隐藏了个人姓名、手机号等内容。但在现实情况中，快递企业仍然没有贯彻实施，导致隐私面单被非法获取而泄露。

0 3

信源密信全程加密保障信息安全

信源密信是由中国网络安全的头部企业和终端安全的领军企业北信源花了近十年时间投资12.6亿元打造的一款安全移动办公（聊天）产品。

研发至今近十年来，信源密信已为上百万客户提供了专业安全的产品和服务，行业覆盖国家重要部委机构、军工、银行、金融、能源、央企等重要部门并受到用户部门的一致好评。

其产品和解决方案已广泛应用于多种拓展场景服务中，包括应急指挥系统、军队移动办公、智慧社区、健康医疗等众多行业领域内。

作为一款安全通讯工具，信源密信做到了数据资产从时间和空间上的安全性。从时间上来说，保障数据资产从产生、迁移、流转、直至消亡的全生命周期的安全性；从空间上来说，保障数据资产在基础设施层、平台层以及应用层之间流转，不同层次会有不同颗粒度的防护需求。

1.     信息采集阶段

严格来说，作为一款去中心化私有云产品，信源密信可以做到不采集数据。信息只存储在信息发送端和信息接收端，而且信息传输的信道通过信源密信可以做到全程信息加密。

信源密信提供私有化服务器部署，让每一个政企都能拥有专属服务器，规避云安全风险。避免了信息被第三方人为窃取、泄露的风险。

信源密信服务器无后门，购买信源密信服务器后，只能通过上门升级方式更新版本。因此，减少了数据被厂商远程采集的风险。

以下信源密信的一些加密特征和封闭社区的特征更是规避了信息在产生和传输阶段的风险：

所有经过“信源密信”平台上的记录都采用密文方式存储，所有经过信源密信的消息、文件都经过了加密，保证了手机端、接收端、传输端的信息安全，即使信息被不法分子窃取，也无法解密。

信源密信平台有明水印和暗水印。每个人的通讯录和聊天记录窗口都有独特的个人水印，如果发生手机截屏或者拍照泄密事件，图片上有该用户的水印信息，方便在信息泄露溯源。以上措施使得使用者不敢泄露信息从而杜绝了信息被非法采集的风险。

生活用微信，工作用豆豆。信源密信作为一款强大的安全协同办公工具，可以完全替代微信、钉钉等普通互联网协同办公软件，并避免了微信、钉钉等基于公有云的即时协同办公工具被不发分子用于非法数据采集的目的。

2.     数据存储阶段

市面上即时通讯工具大致分为两类，一类以公有云存储为主，用户的信息、数据存储在云端服务器，目前很多互联网社交即时通讯软件都因为此有发生数据泄露等安全性风险。

另一类是私有化部署，自设服务器，数据信息由自己掌控。

信源密信所有权为用户所有，可以以服务器方式存储在本单位的机房，也可以小盒子方式存储在购买者自己的办公室、家里。参与办公、聊天的人员通过购买者邀请的方式加入社区。办公记录、社区里的数据除非用户自主删除，所有信息第三方无法获取和破解。

在服务器端，管理员也无法擅自查看用户数据信息，实现保障了数据的物理隔离。

3.     数据使用阶段

依托北信源专利技术，基于信息加密防护算法，保障了信源密信数据使用安全。在信源密信上，所有传输和存储的数据都进行了加密，有效的防止了非授权登陆、越权操作法窃取其中的信息，让用户拥有一台“安全通讯服务器”。

信源密信的研发企业北信源作为国内终端安全管理领域的龙头企业，是国内网络与信息安全领域领先的解决方案提供商。

公司自2013年投入大量资金启动研发了专为党政军机关和央企金融大行业单位使用的安全即时通讯平台-信源密信，并依托国家级科技专项课题成果产业化，成功服务于我国BM行业、公安系统、军工行业、金融行业、重点央企等，为千万级高安全行业用户安全、持续、稳定提供了即时通讯和移动办公服务，至今无信息泄露事件。

作为一家传统IT厂商，北信源与重度依赖数据、需要对用户数据进行开发利用实现千人千面、精准广告推送的普通互联网型办公协同软件企业不同，真正可以做到不利用客户“一针一线”（数据），做到“三大纪律，八项注意”。

综上，信源密信，真正做到了数据生产流通使用全过程的信息安全。这款基于私有化安全通信办公的信源密信软件平台所体现的即时通信、远程办公、业务协同、应急指挥等的功能正被市场看好，广泛使用。