如果一名黑客利用勒索軟件控制城市供水系統(tǒng),或通過增加氯的濃度,污染城市用水,最后索要贖金。你認(rèn)為會出現(xiàn)什么樣的結(jié)果。不管怎樣,一旦發(fā)生這樣的事情,將把整個(gè)城市市民置于危險(xiǎn)境地。這不是科幻小說,它是近期美國一所大學(xué)研究人員的成果。
除了這些,最近受到廣泛關(guān)注的雅虎3次數(shù)據(jù)泄露、低價(jià)即可購買個(gè)人全部信息等事件都與網(wǎng)絡(luò)安全息息相關(guān)。網(wǎng)絡(luò)安全說大了,關(guān)系國家安全,說小了,與我們每個(gè)人的日常生活息息相關(guān)。在北京召開的2017兩會,作為信息安全行業(yè)領(lǐng)導(dǎo)者的啟明星辰,其CEO嚴(yán)望佳提出了涵蓋企業(yè)首席信息安全官、移動支付安全和智慧城市安全的議案。
關(guān)鍵信息基礎(chǔ)設(shè)施成為關(guān)注重點(diǎn)
嚴(yán)望佳提出了《關(guān)于以首席信息安全官為關(guān)鍵責(zé)任人構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)責(zé)任的提案》。提案指出,“防范境內(nèi)外的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和威脅,保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施免受攻擊、侵入、干擾和破壞”。的確,關(guān)鍵信息基礎(chǔ)設(shè)施影響重大,事關(guān)人們的日常生活。
假如在冬天,城市供暖系統(tǒng)遭黑客劫持,暖氣被切斷,即使短短幾個(gè)小時(shí),就能影響數(shù)千萬居民,危害重大,這將給城市生活造成巨大打擊。
“如果使用勒索軟件攻擊,一般是針對個(gè)人,當(dāng)然軟件和技術(shù)手段可用在基礎(chǔ)設(shè)施上”,啟明星辰的首席戰(zhàn)略官(CSO )潘柱廷說,“如果用勒索軟件鎖住你的電腦,勒索一定錢財(cái),影響還在個(gè)人。但是通過控制關(guān)鍵基礎(chǔ)設(shè)施,比如自來水、電力、暖氣等,那就不是普通的勒索行為,這已經(jīng)屬于妨礙公共安全的嚴(yán)重性質(zhì)。勒索個(gè)人,個(gè)人可以選擇妥協(xié)或?qū)?而勒索控制公共設(shè)施,這就無法退讓,必須用國家強(qiáng)力給予打擊?!?/p>
當(dāng)今的攻擊更加復(fù)雜 從單一層面上升到MCP三個(gè)層面
對于安全問題,不僅需要技術(shù)手段來防御和保障,更需要每個(gè)人提高安全意識。意識這個(gè)東西最難培養(yǎng),打個(gè)比喻:假如你每天宣傳人們需要買車險(xiǎn),這樣才能保障安全,減少損失,那么人們不一定有車險(xiǎn)的意識。
事實(shí)上,購買保險(xiǎn)需要花費(fèi)人們的時(shí)間、金錢和精力,這是人們不愿付出的。如果沒有遭遇交通事故,大多數(shù)人們還是不會主動去購買車險(xiǎn)。而一旦發(fā)生一次交通事故,人們就會轉(zhuǎn)變態(tài)度,積極購買車險(xiǎn)。安全意識也是同樣的道理,你每天宣傳,還沒有受到1次攻擊,看到損失有效。
潘柱廷表示,整個(gè)安全問題可以劃分為三個(gè)層面,稱為MCP?!捌渲?,M代表人的意識,C是系統(tǒng),P則是現(xiàn)實(shí)。社會上發(fā)生侵害人們資金的三個(gè)手段,就是與MCP對等的,”他說,“最開始時(shí),直接偷你的錢,其次,變成通過欺騙影響你的意識和決策來侵害你的錢,這就是詐騙,稱為M。有了計(jì)算機(jī)以后,手段變成利用攻擊技術(shù),比如黑掉你的銀行賬戶和計(jì)算機(jī)、偷盜你的銀行密碼等?!?/p>
現(xiàn)在,網(wǎng)絡(luò)攻擊把MCP變成一個(gè)矩陣,對你進(jìn)行意識、系統(tǒng)和現(xiàn)實(shí)三個(gè)層面的攻擊。將來,攻擊面和攻擊效果可能出現(xiàn)在意識層、計(jì)算機(jī)層和現(xiàn)實(shí)層。
對企業(yè)來說,除了要加強(qiáng)安全保障和防護(hù)外,更重要地是把安全責(zé)任具體落實(shí)。以企業(yè)為例,雖然不斷提到應(yīng)該設(shè)立首席信息安全官,但是連CIO都不常見。企業(yè)安全到底有誰負(fù)責(zé)?潘柱廷提到了現(xiàn)實(shí)中存在的情況,“說全員負(fù)責(zé),結(jié)果沒人管;還有一把手負(fù)責(zé),他的事情太多,也管不了;甚至由業(yè)務(wù)部門負(fù)責(zé)也變成沒人管?!?/p>
對這個(gè)問題,他提出自己的建議,企業(yè)安全不應(yīng)僅僅口號式地說由全員、一把手和業(yè)務(wù)部門負(fù)責(zé),而是應(yīng)該由很明確的內(nèi)部專職負(fù)責(zé)人和部門負(fù)責(zé)和監(jiān)督。全員、一把手、業(yè)務(wù)部門都有其必須承擔(dān)的責(zé)任,但還需這個(gè)專職的關(guān)鍵存在。另外,最好再把安全保險(xiǎn)加入進(jìn)來。
建設(shè)智慧城市 安全先行 打造堡壘式的構(gòu)建方式
最近幾年,智慧城市作為一個(gè)新興事物,受到極大關(guān)注,嚴(yán)望佳提出了《關(guān)于智慧城市信息安全建設(shè)的提案》。如果說,對個(gè)人和企業(yè)來說,安全問題不是很復(fù)雜,但是一旦上升到整個(gè)城市,那么面臨的安全風(fēng)險(xiǎn)將是未知的。
未來的智慧城市涵蓋智慧交通、智慧醫(yī)療、智慧系統(tǒng)以及智慧醫(yī)院等方方面面,可以稱之為系統(tǒng)性的大工程。同時(shí),智慧城市建設(shè)中還涉及到大量的數(shù)據(jù)收集、存儲、管理和分析,如何保證數(shù)據(jù)安全成為新焦點(diǎn)。
對此,潘柱廷說:“智慧城市并不是新的技術(shù)形態(tài),而是新技術(shù)應(yīng)用模式。這個(gè)時(shí)候,我們看待的主體就發(fā)生了變化,從個(gè)人、機(jī)構(gòu)變成一個(gè)區(qū)域、城市,就像影響到整個(gè)區(qū)域和民生的自來水、煤氣?!?/p>
現(xiàn)實(shí)情況下,城市信息化之后,安全保護(hù)非常少,基本屬于“裸奔”。并且,大家對這件事情的認(rèn)識又非常弱。他給我們舉了一個(gè)例子:如果找一個(gè)施工圍欄,扛著一個(gè)梯子去那,到現(xiàn)在任何一個(gè)交通攝像的地方。用圍欄一攔,上去裝東西,沒有人會阻攔你?!爸腔鄢鞘信c物聯(lián)網(wǎng)密切相連,MCP的P是暴露在外,設(shè)備、聯(lián)線可以直接進(jìn)入你的信息系統(tǒng),這是目前智慧城市面臨的問題?!?/p>
此外,智慧城市的安全投入沒有跟上。智慧城市擁有大量的數(shù)據(jù),在數(shù)據(jù)的采集、存儲和保護(hù)過程中,智慧城市安全投入的比例與現(xiàn)在成熟機(jī)構(gòu)的投入根本差一個(gè)數(shù)量級。
在智慧城市中,由于聯(lián)網(wǎng)設(shè)備的大量增加,現(xiàn)實(shí)中存在大量的物與物、物與人和人與人的連接,如果黑客攻擊一個(gè)設(shè)備,后果會是“滾雪球式”嗎?對此,潘柱廷說:“安全問題歸根結(jié)底是內(nèi)外問題,存在內(nèi)部和外部兩個(gè)方面。如果有人說,云計(jì)算或之后邊界消失,那是不懂安全的說法?!?/p>
他甚至以西游記為例,如果孫悟空給唐僧畫個(gè)圈(西游記中,圈具有保護(hù)作用),這是個(gè)人問題;如果他把八戒和沙僧都放在里面,那就成為一個(gè)機(jī)構(gòu)(西天取經(jīng)團(tuán))。
“當(dāng)智慧城市出現(xiàn)后,這不是一個(gè)可以很容易被圈起來的機(jī)構(gòu)或區(qū)間,自己完全形成了一個(gè)供給,區(qū)間變成空間,呈現(xiàn)立體化,”潘柱廷說,“區(qū)間邊界清晰,但是空間不好劃分,你可能會覺得網(wǎng)絡(luò)必須要清楚你的位置,比如說交管局一出線已經(jīng)是不可控的,很難處于控制下。”
掃一掃在手機(jī)上閱讀本文章