从民警违规卖信息看数据防护紧迫性

背景

近日，上海市嘉定区人民法院公布一审刑事判决书。黄某某犯侵犯公民个人信息罪，判处有期徒刑一年。经审理查明，2022年5月起，被告人黄某某在担任上海市公安局嘉定分局嘉城派出所民警期间，违规开设淘宝店铺，以“车辆状态违章查询”“查档服务”等为关键词创建商品链接，吸引有相关需求的买家购买公民个人车辆信息。

具体交易流程为：买家通过淘宝平台完成交易后，添加黄某某个人微信，再通过微信向其发送车牌号或车辆行驶证照片；黄某某收到相关信息后，利用自己或其他民警的密钥登录全国公安交通管理综合应用平台，查询包含车辆所有人、住址、登记证书编号、车辆状态、使用性质等内容的公民个人车辆信息，随后将查询到的信息拍照，通过微信发送给买家，并收取相应费用。经查实，黄某某累计非法提供公民个人车辆信息40余条，非法获利2.4万余元。

如上信息来源于：https://mp.weixin.qq.com/s/MpjgnAF-AVxkdj8dLi3Azg

分析

"当你看见一只蟑螂,暗处可能会有一千只。"上述黄警官的案例估计只是信息泄露的冰山一角。据相关机构统计，有高达70%的数据安全事故是由内部人员造成的，而像黄警官这种能够被抓到证据的非常少。

举例来说，如果黄警官使用的系统很有可能为第三方公司开发，第三方公司的技术人员在开发、运维、升级过程中肯定会接触到和黄警官相同的数据。作为公职人员的部分警官都能为了利益铤而走险，没有公职的外包人员会不会做相同的事情呢？这些外包人可以能直接访问数据库批量获取数据的哦，而且行动更加隐蔽，数量更加可观。

前几天我也接到了精准获知我信息的推销广告，估计大家也经常被这种广告骚扰。我怀着好奇问了一下对方是如何获取我的信息的。对方的回答是：“通过大数据获取的。”凭借业内的经验，我估计所谓的大数据都是后台数据库批量导出的。这种信息泄露非常难以取证和追踪，如果没有技术手段进行拦截或者审计，类似的事情肯定会不断出现。

怎么办

DeskUI团队推出的XGuard产品就是上述问题的解决方案。针对此类数据安全隐患，XGuard能够快速搭建安全合规的运维操作流程，通过细粒度管控，有效防范“内鬼式”数据泄露。产品集成智能敏感数据库接入、数据抽取、数据脱敏、权限管理、行为管控、流程编排、性能监控、安全审计等多项核心功能，可为开发、运维、灾备等多个使用数据库的部门，提供优质、全面的一站式数据库中台解决方案，其核心优势如下：

1.兼容20种以上国内外主流数据库；

2.支持在ARM、龙芯、申威、X86等多种CPU架构的服务器环境中运行；

3.适配麒麟、统信、中科方德等国内外主流操作系统；

4.无需对应用系统和数据库进行任何改造，即可实现数据库的无缝纳管；

5.采用基于BS浏览器的设计架构，数据库操作易用性不逊色于桌面工具，安全性却大幅优于桌面工具；

6.具备丰富的安全策略，支持水印添加、数据导出限制、SQL语句级别动态拦截、界面数据复制限制、表格列级别粒度动态脱敏等功能；

7.支持数据库资源授权管理：由资源管理员设定相关策略及数据库资源，再将资源授权给使用人员，使用人员无需获取数据库密码，仅能在设定的安全策略范围内开展受限工作；

8.支持高可用多活、自动负载均衡的部署架构；

9.可实现基于SQL语句级别的全面数据库操作审计；

10.提供SSH、SFTP、TELENT、VNC、RDP等协议接入客户端，能够完成对数据库操作系统的管理。

数据安全防护不仅需要制度约束，更需要技术赋能。XGuard产品以全方位的安全防护能力，为数据安全筑牢“防火墙”。