黑客入侵机构，导致2万条信息被卖

近日据厦门日报报道，厦门一教育培训机构遭黑客入侵，2万条职工、学员信息被出售，教培机构被罚。

今年2月底，多名在厦门某教育培训机构学习的学员接到自称是该机构工作人员的电话，对方能准确说出学员的学科信息、缴费情况、课程进度等。起初，学员们认为这是机构的续费营销电话，并没有当一回事。但很快该机构员工（老师）陆续接到类似的诈骗电话，大家才发现，这是机构办公管理系统被 " 黑客 " 入侵、个人信息被窃取泄露所致。

经网警侦查，犯罪嫌疑人朱某某利用系统漏洞，非法入侵该教育机构的办公管理系统，窃取近两万条信息，包含学号、姓名、手机号、身份证号等内容，而后进行出售。思明区人民法院对犯罪嫌疑人朱某某判处有期徒刑九个月，缓刑一年，并处罚金人民币四千元，没收全部非法所得。目前，购买信息的违法人员正在进一步追查中。

机构对敏感信息未采取保护，同样面临处罚。

而该教育培训机构，未落实数据安全保护主体责任；未建立人员安全意识教育培训及责任追究制度；未采取信息系统防病毒、防网络攻击等技术措施，存在未履行网络安全保护义务的违法行为。

根据《中华人民共和国网络安全法》第二十一条、第五十九条第一款之规定，警方依法对该教育培训机构处以罚款1万元；对直接负责的主管人员侯某某处以罚款5000元的治安处罚。

我国《数据安全法》明确说明了，责任主体应建立 数据分级分类、重要数据保护、安全风险评估、监测预警、应急处置、交易管理等基本制度，并明确了相关责任主体的安全保护义务。

当前造成企业数据泄露的主要原因总体可分为，外部攻击和内部因素两大类。

外部攻击

当前由于显著的黑产利益驱动，互联网上以窃取和篡改数据为目的的攻击日趋增加，攻击手段有DoS攻击、SQL注入、恶意软件、采用社会工程学撞库等等，技术复杂性和攻击隐蔽性越来越高，防范难度也越来越难。

内部原因

据调研机构波洛蒙研究所的调查，组织的内部员工的无意行为是最常见的内部威胁形式，占数据泄露事件的64%，而外部攻击行为只占数据泄露事件的23%。

事实上，大多数攻击者都是先筛选目标，选择高价值且更容易攻击的对象作为目标。所以，完善的安全策略，能够让企业避免大多数潜在威胁。

事后追责不如事前控制。因而最好的安全措施，就是做到事前的有效预防。让被动防御变为更加积极主动的安全策略，在数据泄露之前就要将所有风险都规避掉，才是最有效的方案。具体如下：

1. 加强员工安全意识教育

企业应对新入职的员工进行系统的网络安全和法律知识培训。让员工对泄露用户信息等违规甚至违法行为牢记于心。定期对所有员工进行网络安全知识普及，适当的进行安全知识测验。加强涉及用户数据的部门监督与检查，严查“内鬼”员工的监守自盗。

2. 对敏感且涉密数据进行加密授权保护

企业机构应加密传输和储存敏感数据，对数据加密可有效防控数据泄露，密文数据对黑客来说不具有利用价值。此外，对数据应有授权访问保护，无关人员无法打开浏览内容，更无法拷贝数据。

3. 部署数据防泄漏系统（DLP）

政企等涉密机构，可部署数据防泄漏系统，可有效避免内部人员无意或恶意的数据外泄。数据防泄漏系统会对内容进行识别，通过识别可扩展到对数据泄露的防控，可定位敏感数据位置、监控敏感数据的使用情况以及采取阻断和审批加密的策略，防护敏感数据外泄。

4. 数据管控

数据管控策略可有效避免“内鬼”将机密外泄。常见的管控技术有：访问权限管控、水印溯源管控、离职管控、加密管控、上传管控等。

同时，针对业务、财务、技术、研发、运维人员定期进行安全意识培训，以及培养良好的数据使用习惯，避免数据外泄。