2021年十大风险 第 4 部分 数据泄露

 2021 年 7 月 16 日 

数据泄露

远程工作增加了对数据被盗、误用和滥用的担忧

2021年对于那些负责跟踪公司敏感数据的人来说将是艰难的一年。由于新冠疫情的持续影响，金融公司的大量员工正在远程工作。许多用户不得不通过VPN访问系统，通常是借助家庭Wi-Fi网络，因此增加了网络入侵的机会。

由于员工们分散在四面八方，管理者也无法对可能有不良行为的人进行现实的监督。

再加上今年大多数受访者都提到勒索软件攻击和网络钓鱼事件数量的急剧上升，所以不难看出为什么信息安全威胁成为了2021年第二大风险，仅次于系统的基本运行。

“在信息安全领域，要证明我们能力的要求和需要比我想象的要多得多。由于新冠疫情，云技术迅速普及，这意味着你必须加倍重视治理和监测，”美国一家大型银行的网络风险主管表示。

大多数数据泄露事件的根源是错误的过程和手续。人为失误也可能导致数据泄露；或者说，在这样一个许多员工有被裁员风险或工作时间被迫缩短的时代，渎职行为是造成数据泄露的一大潜在因素。

尽管金融公司公开报告的违规损失较前几年有所减少，但2020年也出现了一些引人注目的事件。许多公司表示，他们正在密切关注2020年SolarWinds遭黑客攻击的后续影响，生怕错过这家美国软件公司此次大规模入侵事件的最新进展。

在去年3月新冠疫情危机来临之际，SolarWinds的Orion软件遭到了攻击。讽刺的是，许多美国政府机构以及其他公司曾使用该软件监测网络中断。SolarWinds的整体客户名单最近已从该公司的网站上被移除，其中包括瑞士信贷(Credit Suisse)、万事达卡(MasterCard)和德美利证券（TD Ameritrade）等公司。多名美国官员表示，俄罗斯支持的黑客组织是此次攻击的幕后黑手。

2021年2月1日，华盛顿州审计署(Office of the Washington State Auditor)透露，大约160万份在2020年登记的失业申报个人信息可能被未经授权的人获取。这一次数据泄露与第三方软件服务提供商Accellion有关，当时记录被保存在临时存储中等待传输。

美国银行(Bank of America)在一份监管文件中披露，2020年4月22日该行在向小企业管理局(Small Business Administration)的薪资保护计划(Paycheck Protection Program)测试应用平台上传客户贷款申请数据时遭遇数据泄露。显然，其他贷款人和他们的供应商或许已经能够查看申请人信息，包括业务地址、税务识别号以及个人信息。

此类违规行为对金融机构产生了一系列影响，包括法律成本、客户赔偿费用和监管处罚。声誉受损可能会造成持久的业务损失。

一个典型的漏洞就是犯罪者在机构的IT基础设施中寻找弱点，以获得机密信息的访问权。这可以通过使用恶意软件，如网络钓鱼等技术来实现。然而，漏洞也可能发生在公司内部，例如公司安装了有缺陷的软件。

另一个薄弱环节可能是与第三方服务提供商的接触点。许多银行越来越依赖于云服务提供商，很多IT风险专业人士对此很担心。

“当你使用云提供商的服务，你就得听他们的摆布。一个小问题就会变成大新闻，”美国一家银行的网络风险主管表示。

一家国际银行国家一级的首席风险官却有不同的看法。在他看来，尽管与使用内部系统相比，更多地使用云提供商确实会限制银行的监控能力，但另一方面云提供商更复杂的防御系统也增强了银行的韧性。

“你会遭到攻击，而攻击者会得到他们想要的一切。你唯一要做的就是检查网络钓鱼结果，然后就会发现，总有1%-5%的员工会提供他们的密码、代号、电子邮件等一切信息。”

“但云比内部系统更具韧性，因为你可以准备好整个系统环境的多个副本，一旦其中一个副本被黑客攻击，会有团队会为你监控网络的不稳定性，”他补充道。

美国监管机构于2020年发布的一份关于健全网络安全风险实践的联合声明强调了三个关键领域：响应和韧性能力、认证和系统配置。

监管机构指出，身份和访问管理是确保IT环境安全的重要控制手段。机构应建立身份验证控制，如多因素身份验证，实施控制手段限制用户进入和更改关键业务数据的特权，并定期审查所分配的访问级别。

政府敦促各机构通过安全配置网络、记录安全标准、对所有网络和硬件组件进行漏洞扫描以及推出反恶意软件等方式保持良好的“网络卫生”。

教育也是实现机构防御的关键内容。公司应该持续进行识别网络威胁、网络钓鱼和可疑链接的培训。

*该文章只是信息提供，不是法律意见。