网易研究局全球首发：普华永道2019行业展望特辑
NO.5 聚焦信息安全
作者|张俊贤（普华永道中国内地与香港网络安全及隐私服务合伙人）、冼嘉乐（普华永道中国内地与香港网络安全及隐私服务合伙人）、万彬（普华永道中国网络安全及隐私服务高级经理）
2018年，全球范围内的数据安全事故频发。无论是上半年闹得沸沸扬扬的Facebook数据泄露事件，还是下半年爆发的万豪集团数据泄露事件，都在提醒着我们数据安全形势越来越严峻。
随着人工智能和物联网的发展，越来越多的AI技术与IoT被应用于生活生产中，越来越多的数据以及敏感数据流入网络平台，这无疑增加了数据泄露事件发生的可能性。一方面，互联网和智能手机让人们的生活变得越来越方便;另一方面，其“头顶却悬挂着达摩克利斯之剑”，比如病毒、木马、安全漏洞、数据泄露等。当我们尽享技术带来的美好生活时，许多事情的发生却一次次“提醒人们”新技术带来的负面性。例如，手机APP造成的个人隐私数据泄露等。
2019年，我们预测了数据安全领域的十大趋势：
1.攻击者从窃取数据变成操纵数据？
攻击者将会有从进行纯粹的为了某种利益的数据窃取和网站入侵，转变成进行具有更加复杂目的网络入侵的趋势。例如攻击者可能对窃取到的数据进行恶意操纵与改编，从而通过让人们质疑相关数据的完整性而对组织造成长期的声誉损害。
2.日益普及的无线连接设备让企业数据更容易受到攻击？
蓝牙、FEID、GPRS、LORA和NOBIT等，这些无线技术的普及让企业越来越热衷于使用无线网络，从而也让越来越多的企业数据可以通过无线网络进行访问。实际上，很多企业几乎所有数据都可通过无线网络访问，这为黑客们创造了更多的机会，他们可以携带便携式计算机寻觅各种机会攻击企业的数据。
3.微软将在其所有主流产品中加装高级威胁防护(ATP)？
作为全球视安装量最大的操作系统供应商，微软将在网络安全领域承担相应的责任。微软推出了Windows 10高级威胁防护 (ATP) ，这是可以让持有E5安全证书的用户了解攻击者所作所为的一项服务。计算机连接到ATP服务时即启动遥测。微软将在所有版本的Windows上推广ATP服务，借以打造重视安全的品牌形象。未来几年，该项服务将成为令用户选择Windows产品而不是IBM Red Hat产品的一大卖点。
4.蜜罐和蜜网更具针对性？
作为对黑客及其攻击行为进行分析和研究比较靠谱的应用程序，安全人士对蜜罐和蜜网的使用在未来将更具有针对性。随着机器学习技术的不断发展，蜜罐和蜜网技术将会进一步升级，分析能力将会更加强大。
5.多因子身份验证将成为所有在线交易的标准？
身份认证问题一直是保证信息有效性和真实性的一大难题，尽管还不是完美解决方案，大多数网站和在线服务商将抛弃仅口令式的访问，提供带额外要求或可选身份验证的方法。
6.鱼叉式网络钓鱼更具针对性？
攻击者知道，越是了解你，对你网络钓鱼成功的可能性就越高。鱼叉式网络钓鱼的趋势之一，是黑客攻入电子邮件系统，潜伏并暗中学习，利用他们得到的信息和经常沟通的人所建立的信任进行攻击。这种更具逻辑性的网络钓鱼的目标将会有针对性的转向企业机密数据人员，而不再仅仅是广撒网式的攻击。
7.网络战争的《日内瓦公约》指日可待？
网络空间被视为人类征服的第五维空间，但这个新领域的相关条约和法律却一直没有健全。目前在网络战中，由于没有法规和法律，也不存在可以执法的国际性组织。这导致了某些国家似乎认为他们可以随心所欲地做任何事。总的来说，网络世界的边界正在被不断试探，我们相信网络战争的《日内瓦公约》指日可待。
8.物联网（IoT）与人工智能（AI）助力网络攻击？
随着联网设备的日益增加，安全漏洞的暴露或许只是一个时间问题。物联网是否会在2019年重演Mirai僵尸病毒呢？实际上，未来有人工智能助力的攻击将足以模仿特定用户的行为，甚至欺骗熟练的安全人员。其攻击行为可能包括：实施复杂的、定制化的网络钓鱼活动，这些活动将成功欺骗我们，哪怕最具威胁意识的人也可能中招。
9.商用攻击软件将盛行？
黑客行为将从个人行为向集体行为衍化，甚至会出现很多以制造病毒、入侵软件为副业和主业的“黑客公司”（之前也存在，但并未喧嚣尘上）。这将会促使网络黑客产业升级，因为集成的攻击软件将进一步降低黑客入门门槛，技术成熟的黑客将有更多的武器选择。2018年12月17日，火绒安全团队发现国内某商业公司制作的流量劫持病毒"FakeExtent"（产品名为"天馨气象"），正通过"WIN7之家"等下载站中的多款激活工具大范围传播。该病毒入侵电脑后，会释放多个恶意插件，篡改系统配置、劫持流量。 通过"火绒威胁情报系统"监测和评估，已有数十万台电脑被该病毒感染。
10.对安全技能的需求将会持续增加？
网络安全技能的全球性短缺使得企业成为黑客更理想的攻击目标。由于企业意识到他们目前的互联网安全战略准备不够充分，所以他们对专业知识的需求将会增加。此外，随着对安全需求的持续增加，内部培训和技能增长也必须同步加速。量身定制的培训计划就显得尤为重要。
企业数据的泄露方式及我们建议的应对措施：
企业的信息化程度越高，其遭遇数据泄露的风险越大，数据泄露远不止于信息系统端，还包括线下的物理泄密行为等。因此，企业应该做到“知己知彼”：周期性审查自身安全控制设施及流程，做到知己；对已发生的安全事件及时分析并查漏补缺，引以为戒，做到知彼。
1.网络攻击和未经授权的访问导致的数据泄露
针对网络攻击和未授权的访问，我们建议企业严格控制信息的出入，通过安全审计来检测和监督可疑用户，取消可疑用户的权限，调用更强的保护机制，去掉或修复故障网络以及系统的某些失效部件。
2.硬件/系统漏洞导致的数据泄露
针对企业自主开发的系统或硬件，企业应该制定严格的测试验收和运行维护政策与流程，做到对信息资产的实时监控，并且把发现与清除漏洞作为维护信息安全的首要任务；对于购买的系统或硬件，企业应在SLA中明确第三方企业关于系统或硬件安全的责任，加大监督，及时发现和解决漏洞。
3.云平台导致的数据泄露
针对云平台导致的数据泄露，企业应该选择最适合自己的云平台，与有良好声誉的云供应商合作，并且要在SLA中明确责任划分。其次，企业在使用云平台时应该做到：定期修改密码安全并且设置权限，只针对相关人员进行开放，做到按需知密；考虑采用超强密码，甚至生物登陆认证；使用加密功能，保持网站安全的最佳方式之一是从标准的HTTP切换到HTTPS；建立强大的日志功能；不抛弃传统的防火墙功能。
4.第三方导致的数据泄露
针对第三方导致的数据泄露，最重要的是企业提高管理第三方的灵活性、规范第三方管理流程和增加第三方责任感。企业应该对第三方进行持续的监控，比如审计，来确保第三方合作商对企业资源使用的合规性，并且制定相应的BCP以应对突发情况。
网易研究局（微信公号：wyyjj163） 出品
网易研究局是网易新闻打造的财经专业智库，整合网易财经原创多媒体矩阵，依托于上百位国内外顶尖经济学家的智慧成果，针对经济学热点话题，进行理性、客观的分析解读，打造有态度的前沿财经智库。
【精彩推荐】 点击进入网易研究局>>
