新闻链接：http://security.chinaitlab.com/sjaq/949699.html
新闻时间：2014-1-15 7:14:29
新闻正文：
春节临近，网络购物也日趋频繁。近期搜索关键词"马云"、"阿里巴巴"、"支付宝"，都是曝光率激增。著名互联网品牌支付宝，作为网络支付的一种中间手段，它为互联网交易支付提供了安全、快捷的方式，我们绝大部分人都使用过它。并且毫无疑问，我们在支付宝的网站上注册了真实的姓名、身份证、手机号、电子邮箱、家庭地址，甚至关联了银行卡，并且阿里巴巴也把大家的消费一一记录在数据库中。这些信息对于阿里巴巴来说不算什么，可是对于我们普通用户来说，却是非常重要的隐私数据，因为这些信息一旦被不法分子获取后，不仅仅是接到连续不断的骚扰电话、垃圾短信，而且极有可能发生账号被盗情况，造成财产损失。

　　随着支付宝名声大噪，就不断的爆出漏洞，人们会经常不间断的看到有人支付宝被盗的新闻，甚至到了已经麻木的地步，每一次我们只能庆幸"这次不是我"。但在2014年1月5日，《时代报》的一则"支付宝闹内鬼20G用户信息被盗卖"的新闻在网上流传。该消息称，支付宝前员工李某和两位同伙，将支付宝用户将近20G的资料有偿出售给电商公司、数据公司……消息发布后引发了舆论狂潮。听到这个消息，我只想大声说："支付宝～!你何时才能让我放心!"。而后支付宝方面则声称，李某销售的数据为2010年之前不含密码、不含核心身份信息的部分非敏感交易内容，不涉及用户隐私及安全。但是对于泄露的信息包括"公民个人的实名、手机、电子邮箱、家庭住址、消费记录等"，支付宝并没有做出回应。

　　现在大家知道为什么你会经常接到莫名其妙的短信、电话，你的个人邮箱里收到莫名其妙的推销信息了吧。因为，我们的姓名、电话、地址、消费记录等等信息都被卖了。这件事情的发生，不仅仅只是支付宝的个性问题，而是涉及到整个互联网企业的信息安全建设问题。近几年的互联网安全事件频发，大部分原因是由于互联网企业中记录了大量的用户真实信息，而这些互联网大佬们在企业信息安全的建设上，投入很少。

　　某信息安全专家呼吁：互联网大佬们，请投入一点点人力、物力关注一下你们企业的信息安全吧。我们知道，信息安全概念比较宽泛，并且不同的安全方案解决不同的问题。本次就支付宝的"内鬼事件"，某信息安全专家支招说：支付宝这次的数据被内部人员被盗，实际上只要做到两个层面的防护，就可以完全避免。支付宝中涉及的隐私数据大量存在数据库中，并且通过应用系统提供数据查询服务。只要做到一方面对于应用系统中获取的数据进行安全防护，另一方面对数据库中的数据进行安全防护，其实就完全可以避免此类事件的发生。

　　那如何才能做到对应用系统中获取的数据进行安全防护呢?这里就不得不提一种TDSM-DSM文档安全管理的产品，这种系统采用了高强度加密算法实时透明加密文件，综合集成了动态文档加密技术、身份认证技术、硬件绑定技术等多种技术对指定类型的文件进行实时、强制、透明的加解密。并能对文档进行细分化的权限设置，确保加密信息在特定授权范围内进行指定操作。通过文档强制加密和实时权限控制，为企业提供安全授权下的机密信息共享机制，有效防止数据丢失或泄露，有助于更深入、更全面地实施数据保护，从而确保企业机密数据的高度安全。以下图1展示了实施这种产品后的安全防护效果。


　　图1 天融信TDSM-DSM文档安全管理系统实施效果

　　1、 应用系统与TDSM-DSM文档安全管理系统通过接口方式进行集成。这样从应用系统中下载的数据是加密的，而从终端上传到应用系统中的数据是解密的。这样即可以保证应用系统不受影响，正常使用，又可以保证从应用系统下载的数据全都是加密防护的。

　　2、 如果这些隐私数据想带出去，需要管理人员的批准，并且可在有使用限制的情况下带出。而通过非法手段带出的数据，均无法使用。

　　3、 对于不用的部门，财务部、设计研发部、管理业务部门以及其他各敏感数据使用的部门不但可以保证从应用系统中下载的数据是加密的，又可以保证这些部门的员工在本地创建、获取的隐私数据也是加密存放的。

我们不难看出，TDSM-DSM文档安全管理产品可完全解决从应用系统中下载数据的安全性问题。

　　那数据库层面的安全防护又需要采用何种手段呢?作为信息安全从业者，不难罗列出像数据库审计、4A等产品。我们知道，数据库审计产品解决了事后追责的问题，而4A之解决了运维安全、运维审计的安全问题。而对于第三方运维人员、数据库管理人员直接访问数据库服务器后，从数据库中到底获取了那些内容，却无法得知。这里就需要介绍一款叫做TDSM-DBS数据库加密与加固的产品，该产品通过对敏感数据采取加密存储、访问控制等防护手段，可做到只有支付宝的合法的应用系统才能访问到用户姓名、身份证、电话、邮箱、地址等敏感数据，而作为第三方运维人员、数据库管理人员均无法访问到这些敏感信息，并且如果有其他应用程序或者人员违规访问、修改敏感信息时，即可做到阻止其行为，又可记录操作行为。从以下图2我们可以看到TDSM-DBS数据库加密与加固产品实施后的效果。


　　图2 天融信TDSM-DBS数据库加密与加固系统实施效果

　　1、 支付宝应用系统使用的存储在数据库中的姓名、身份证号是加密存储的，第三方运维、管理人员均无法访问到姓名、身份证号的真实信息。

　　2、 TDSM-DBS数据库加密与加固系统授权支付宝应用系统允许访问姓名和身份证号信息。只有支付宝应用系统才能访问真实的数据。

　　很明显，天融信TDSM-DBS数据库加密与加固产品可完全解决数据库系统中存储的敏感数据的访问、存储等安全性问题。

　　通过信息安全专家提供的整体方案我们不难看出，作为支付宝和与支付宝同类型的互联网企业，以应用系统的方式对外提供服务，并且大量用户隐私数据存储在数据库中。信息安全专家提供的采用TDSM-DSM文档安全管理产品和TDSM-DBS数据库加密与加固产品组成的简洁方案就完全可以解决互联网企业的运营系统中隐私数据的安全性。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！