从3元/条的个人信息买卖看企业数据安全建设

判例分析：
日前，在湖南省溆浦县人民法院的一起判决中，某知名电商物流企业“内鬼”与不法分子同流合污，通过职务便利非法买卖公民个人信息，导致消费者被网络诈骗，侵害了公民个人信息安全。案件已经审理终结，在其背后却浮现出一条非法获取、出售、购买个人信息的利益链……

案件回顾：揭开个人信息贩卖冰山一角

【注：判例根据（2020）湘1224刑初281号文书整理】

2020年3月，童某找到贺某，提议由贺某负责收集客户信息，其以3元/条的价格进行收购。随后，贺某利用其身为某电商物流公司地方营业部负责人的工作便利，通过公司内网平台查询运单号中的公民电话号码、收货地址等个人信息2万余条，以3元/条的价格出售给童某6000多条，非法获利2万元。之后，童某将从购买得来的信息通过网络出售给他人，非法获利2万元。

2020年6月，负责违纪违规调查核实工作的相关公司风险稽核部，收到“有客户运单信息泄露，造成客户被诈骗”的店铺反馈。客户运单信息包含姓名、地址、联系电话、购买商品或托运物品的详情。深入调查后，嫌疑直指贺某。公司报案后，贺某如实供述，案件真相就此和盘托出。

湖南省溆浦县人民法院认为，贺某利用工作便利，查询公民信息并出售给童某，童某将收购的公民信息予以出售，情节严重，二人的行为均构成侵犯公民个人信息罪。并依照《中华人民共和国刑法》、《中华人民共和国刑事诉讼法》相关法条规定进行了判决：贺某、童某犯侵犯公民个人信息罪，分别判处有期徒刑十个月、八个月，两人处罚金各人民币四千元。

深入分析，该案件的个人信息非法交易已形成规模化的黑色利益链，涵盖个人信息非法获取、交易、诈骗、获利等各环节的专业化分工。在公安部公布的“净网 2020”专项行动成果中，截至 2020年12 月 20 日，全国共侦办侵犯公民个人信息刑事案件 3100 余起，抓获犯罪嫌疑人 9700 余名。在数字经济蓬勃发展的当下，海量个人信息在各行业信息化系统高速流转，被抓获的这些案例或许只是冰山一角。

近年来，我国侵犯公民个人信息犯罪处于高发态势，加强个人信息保护已刻不容缓。随着国家对个人信息安全的保护愈发重视，相关法律规定逐渐完善。2017年6月1日正式实行的《网络安全法》，明确加强了对个人信息的保护，打击网络诈骗；2020年10月21日公布的《个人信息保护法（草案）》，也对个人信息和数据安全建设提出明确防护要求。未来，随着相关法律法规的落地，信息安全保护体系将更加完善，一如“贩卖个人敏感信息50条即可入罪”等法律威慑重锤，将震醒非法获取个人信息的获利者。

安全分析：给电商物流企业的数据安全建议

在本案件中，“内鬼”归案，看似有了结局，但公民的担忧却没有消失。有“内鬼”并不能成为电商物流企业信息泄露的挡箭牌，其中暴露出的企业数据安全管理短板依然存在。

特别地，根据国家邮政局监测数据显示，截至2020年12月21日，我国快递年业务量首次突破800亿件，再次刷新快递年业务量纪录。和快递业务的高增长率相比，在用户个人信息保护方面却缺乏与业务规模相匹配的安全措施。比如，面对用户个人信息潜在泄露的情况时，电商物流企业到底要给合法业务人员多大权限？当违规访问个人信息时，系统是否具备数据安全防护机制？当员工出现异常行为的时候，系统是否会有预警机制发出警报，又该如何在最短时间知晓并将损害降到最低？

建议电商物流企业从数据安全管理、数据安全技术等方面加强防护工作：

数据安全管理方面：在上述案例中，贺某从3月份开始进行非法数据倒卖，到6月份出现客户被诈骗事件才被揭露。对此，建议电商物流企业应制定有效的个人信息安全保护策略，并向内部及第三方进行宣贯，保证各职能层可以明确掌握、贯彻安全策略。注重数据安全与业务运营相结合，加强内部人员监督，落实员工角色权限管理，保证业务操作责任到人，一线员工的安全培训和意识提升落实到每个网点。同时，积极开展个人信息保护检查，通过检测企业内帐号与授权管理、个人信息系统的技术管控、用户个人信息操作管理等项目，进一步落实企业个人信息保护机制。

数据安全技术方面：贺某虽然是电商物流企业某营业部负责人，具有访问个人信息的“合法身份”，但贺某可通过内网平台直接获取2万余条个人信息，反映出系统缺乏细粒度的数据安全防护机制，比如越权查询用户敏感信息时未进行加密或脱敏处理、数据批量导出时缺失风险阻断机制等，同时系统未能及时检测到异常并响应。对此，建议电商物流企业应在数据存储、传输、使用等全生命周期中，应充分应用有效的数据保护技术，如数据加密、动态脱敏、访问控制、安全审计等技术，打造实战化的数据安全防护体系。

基于商用密码的个人信息保护技术

放眼全局，不仅是电商物流行业，广泛的政府和企业也普遍存在个人信息和数据安全保护能力不足，形成信息泄露的薄弱环节。炼石推出基于商用密码的个人信息保护方案，基于AOE面向切面加密技术，帮助政企客户筑牢个人信息安全“防护墙”。

数据发现和分类分级：炼石方案支持对数据库敏感信息的自动识别，支持丰富的检测技术，策略制定灵活，可全方位扫描目标位置的敏感信息。

数据加密脱敏：面向结构化数据，炼石方案基于AOE面向切面加密技术，实现主体到应用内用户、客体到字段级的防护，同时面向服务侧实现存储加密、动态脱敏，有效防范内部业务人员越权、外部黑客拖库等风险；面向非结构化数据，方案基于TFE透明文件加密技术，实现落盘加密、读盘解密，并在不影响人员正常使用操作下，结合文件存储、数据库等，对特定目录、文件等进行加密，实现逐文件逐密钥的文件加密。并将数据加密与脱敏、访问控制、审计等技术相结合，形成“无法绕过”的数据安全防线。

细粒度权限管控：炼石方案可以基于属性和角色的访问控制，访问控制主体可细化到用户，实现对企业内部人员的敏感数据访问授权最小化，并提供丰富的数据脱敏策略，当用户对敏感数据风险访问时，如过量导出、非正常时间下载、异常频繁访问等，可根据规则阻断。

高置信度行为审计：炼石方案提供可定责的数据访问审计，记录识别到的主客体信息。在记录操作行为的同时，能够对每条审计日志进行签名，不仅做到独立于应用系统的第三方审计，还能够通过数字签名技术确保审计日志的不可篡改。在事后追溯问题过程中，为数据泄露事故处理提供重要依据。

值得一提的是，炼石方案在实际部署中也具有免开发改造应用增强安全、兼容丰富数据库及开发语言、高性能密码保障业务效率不影响、满足国密信创合规要求等优势。

企业数据安全建设工作，没有黑科技，需要对数据全业务流程、全应用场景、全生命周期进行体系化的技术保护，结合法律法规筑起安全防护网，改进和落实企业安全管理机制，多层面有效协同，才能打赢数据安全保卫战！