從輕處理？萬豪酒店因數(shù)據(jù)泄露被罰款近1.6億元

近日，英國信息專員辦公室(簡稱’ICO”)對美國酒店集團萬豪(Marriott)進行了1840萬英鎊(約1.6億元)的罰款，原因是該公司的數(shù)據(jù)泄露事件影響了全球數(shù)百萬客戶。
據(jù)悉，此次罰款金額其實比最初計劃的要少，因為監(jiān)管機構(gòu)考慮了萬豪的陳述、萬豪為減輕事件影響所采取的措施，以及疫情對其業(yè)務(wù)的經(jīng)濟影響，然后才制定了最終的處罰。
萬豪酒店被罰款近1.6億元
2018年11月，萬豪宣布，疑似受2014年發(fā)生的安全漏洞影響，其旗下的喜達屋酒店多達5億客人的數(shù)據(jù)遭到泄露風(fēng)險。這是歷史上最大的數(shù)據(jù)泄露事件之一，也是萬豪酒店業(yè)遭受最嚴重的的一次。
據(jù)該公司稱，2014年，黑客開始入侵喜達屋的客人預(yù)訂系統(tǒng)，并對信息進行復(fù)制和加密。黑客訪問了近3.27億客人的個人信息，泄露的記錄包括姓名、郵寄地址、電話號碼、電子郵件地址、護照號碼、出生日期、性別、到達和離開信息、預(yù)訂日期。喜達屋數(shù)據(jù)泄露案的調(diào)查顯示，被盜數(shù)據(jù)還包括財務(wù)數(shù)據(jù)、支付卡號和支付卡截止時間，即使是已經(jīng)加密的信息也沒逃過。
據(jù)信息專員辦公室說，數(shù)據(jù)泄露影響了3000萬名歐洲居民，其中包括700萬名英國居民。
英國監(jiān)管機構(gòu)認為，萬豪在2016年收購喜達屋時沒有進行充分的盡職調(diào)查，也沒有采取必要措施確保其系統(tǒng)安全。“個人信息很珍貴，企業(yè)必須加以照顧。企業(yè)之所以需要嚴格保護客戶數(shù)據(jù)，除了面臨罰款懲罰之外，他們有義務(wù)保護數(shù)據(jù)?！?br /> 從數(shù)據(jù)存儲的介質(zhì)來看，核心數(shù)據(jù)最終都會落到數(shù)據(jù)庫里，如果數(shù)據(jù)庫被顛覆了，一切歸零，對于企業(yè)來講，損失不可預(yù)估。因此說，安全是一個水桶原理，往往是從最短板的地方流出，那么現(xiàn)在發(fā)生的信息泄露事件90%以上都和數(shù)據(jù)庫有關(guān)。
站在數(shù)據(jù)庫安全行業(yè)的肩頭眺望
傳統(tǒng)的安全防護思維已經(jīng)無法適應(yīng)現(xiàn)在安全態(tài)勢的發(fā)展，原有部署的防病毒、網(wǎng)關(guān)類基礎(chǔ)安全產(chǎn)品，已經(jīng)不足以抵御愈變愈復(fù)雜的攻擊行為。這就好比我們把財富放在家里，就覺得相對安全了，然后你把家里的防盜門裝好，便認為家里的東西本身就不需要再做什么安全措施了。這就好比數(shù)據(jù)庫都是放到企業(yè)內(nèi)部或者內(nèi)網(wǎng)當(dāng)中，在外圍加上防火墻，再加一些控制就變得很安全了。實際上這個是遠遠不足夠的。
拿銀行的內(nèi)部系統(tǒng)來看，
第一個就是內(nèi)部很多第三方開發(fā)人員，他們可以直接訪問數(shù)據(jù)庫，有一些好一點，弄一個測試庫，但是測試庫又與真實數(shù)據(jù)庫中的數(shù)據(jù)相同，實際上在這種情況下數(shù)據(jù)庫中的數(shù)據(jù)是可以直接被開發(fā)人員拿走的；
第二種情況就是運維人員，銀行內(nèi)部大多也沒有足夠的運維人員，運維也是外包服務(wù)，這就造成外部的運維人員可以直接接觸到系統(tǒng)的生產(chǎn)庫，所以這些外部的運維人員是可以直接把數(shù)據(jù)庫中的數(shù)據(jù)拿走的。
另外還有一些更可笑的，有一年，香港花旗銀行做裝修，裝修過程中由于安全防護沒做好，數(shù)據(jù)庫服務(wù)器丟了。數(shù)據(jù)庫服務(wù)器丟失以后，實際上后端的那些數(shù)據(jù)存儲是完全有手段還原成明文的。那個時候數(shù)據(jù)自身的一些防護措施已經(jīng)不起作用了，花旗銀行的所有客戶資料都泄露了。
目前市面上被認知較多、用戶接受度較高較多的也是數(shù)據(jù)庫審計產(chǎn)品，該類事后追蹤審計產(chǎn)品確實在金融行業(yè)應(yīng)用較多，但從安全防護的過程來看，數(shù)據(jù)庫安全同樣包含事前的數(shù)據(jù)庫安全體檢、事中的數(shù)據(jù)庫安全訪問控制防御、庫內(nèi)數(shù)據(jù)的加密和事后的行為監(jiān)測與審計。而事后的追溯反映，快也要3到6個月，企業(yè)才會知道，而散落在外面的數(shù)據(jù)，在這個時間里，不知道已經(jīng)被傳閱和販賣了多少次了。因此，事前的防御和事中的過程控制不可或缺。通常數(shù)據(jù)庫防火墻和數(shù)據(jù)路加密產(chǎn)品，可以解決此類問題。
現(xiàn)在訪問數(shù)據(jù)的途徑變多了，那么在系統(tǒng)中留下的后門和竊取數(shù)據(jù)的途徑也變多了，用戶數(shù)據(jù)的價值增大了，所以現(xiàn)在數(shù)據(jù)泄露事件頻發(fā)也是一個必然的現(xiàn)象，數(shù)據(jù)庫安全也在逐漸被企業(yè)提高維護意識,新網(wǎng)高防安全服務(wù)器：http://www.xinnet.com/cs/rds.html，有效防止數(shù)據(jù)泄露。