标签: 网络安全

几乎所有职工都存在至少一项威胁企业网络安全的行为

根据 Intermedia 公布的最新报告,几乎所有职工( 99% )存在至少一项威胁到公司网络安全的行为。在对 1000 多名职工的问卷调查中,几乎所有人都存在危险行为,例如分享和自动保存密码、发送公司文档至私人账号或者设备等等。 需要指出的是,24% 的受调查职工表示办公和生活账号使用相同的登陆信息,而且 96% 的受调查职工表示会在办公设备上自动保存办公账号。将近三分之二的公司员工表示每周至少一次会从公司账号发送文档至私人邮箱账号。这无疑存在曝光企业数据或者信息的风险,尤其是私人网站往往不会进行加密。 此外,49% 的IT管理员表示会在离开公司之后访问公司文档,而在 2015 年这个数字只有 25% 。报告中还指出,超过一半的员工会将文档保存到桌面,但是 34% 的员工会使用同步服务,以便于在离开公司之后继续使用私人账号访问这些文档。 稿源:cnBeta,封面源自网络;

工信部发文:1 亿以上互联网用户信息泄露为特大网络安全事件

工信部网站 11 月 23 日消息,为进一步健全公共互联网网络安全突发事件应急机制,提升应对能力,根据《中华人民共和国网络安全法》《国家网络安全事件应急预案》等,工业和信息化部印发《公共互联网网络安全突发事件应急预案》。根据预案,公共互联网网络安全突发事件分为四级:特别重大事件、重大事件、较大事件、一般事件。 一、总则 1.编制目的:建立健全公共互联网网络安全突发事件应急组织体系和工作机制,提高公共互联网网络安全突发事件综合应对能力,确保及时有效地控制、减轻和消除公共互联网网络安全突发事件造成的社会危害和损失,保证公共互联网持续稳定运行和数据安全,维护国家网络空间安全,保障经济运行和社会秩序. 2.编制依据:《中华人民共和国突发事件应对法》《中华人民共和国网络安全法》《中华人民共和国电信条例》等法律法规和《国家突发公共事件总体应急预案》《国家网络安全事件应急预案》等相关规定。 3.适用范围:本预案适用于面向社会提供服务的基础电信企业、域名注册管理和服务机构(以下简称域名机构)、互联网企业(含工业互联网平台企业)发生网络安全突发事件的应对工作;本预案所称网络安全突发事件,是指突然发生的,由网络攻击、网络入侵、恶意程序等导致的,造成或可能造成严重社会危害或影响,需要电信主管部门组织采取应急处置措施予以应对的网络中断(拥塞)、系统瘫痪(异常)、数据泄露(丢失)、病毒传播等事件;本预案所称电信主管部门包括工业和信息化部及各省(自治区、直辖市)通信管理局;工业和信息化部对国家重大活动期间网络安全突发事件应对工作另有规定的,从其规定。 4.工作原则:公共互联网网络安全突发事件应急工作坚持统一领导、分级负责;坚持统一指挥、密切协同、快速反应、科学处置;坚持预防为主,预防与应急相结合;落实基础电信企业、域名机构、互联网服务提供者的主体责任;充分发挥网络安全专业机构、网络安全企业和专家学者等各方面力量的作用。   二、组织体系  1.领导机构与职责:在中央网信办统筹协调下,工业和信息化部网络安全和信息化领导小组(以下简称部领导小组)统一领导公共互联网网络安全突发事件应急管理工作,负责特别重大公共互联网网络安全突发事件的统一指挥和协调。 2.办事机构与职责:在中央网信办下设的国家网络安全应急办公室统筹协调下,在部领导小组统一领导下,工业和信息化部网络安全应急办公室(以下简称部应急办)负责公共互联网网络安全应急管理事务性工作;及时向部领导小组报告突发事件情况,提出特别重大网络安全突发事件应对措施建议;负责重大网络安全突发事件的统一指挥和协调;根据需要协调较大、一般网络安全突发事件应对工作。部应急办具体工作由工业和信息化部网络安全管理局承担,有关单位明确负责人和联络员参与部应急办工作。 3.其他相关单位职责:各省(自治区、直辖市)通信管理局负责组织、指挥、协调本行政区域相关单位开展公共互联网网络安全突发事件的预防、监测、报告和应急处置工作。基础电信企业、域名机构、互联网企业负责本单位网络安全突发事件预防、监测、报告和应急处置工作,为其他单位的网络安全突发事件应对提供技术支持。国家计算机网络应急技术处理协调中心、中国信息通信研究院、中国软件评测中心、国家工业信息安全发展研究中心(以下统称网络安全专业机构)负责监测、报告公共互联网网络安全突发事件和预警信息,为应急工作提供决策支持和技术支撑。鼓励网络安全企业支撑参与公共互联网网络安全突发事件应对工作。   三、事件分级 根据社会影响范围和危害程度,公共互联网网络安全突发事件分为四级:特别重大事件、重大事件、较大事件、一般事件。 1.特别重大事件 — 符合下列情形之一的,为特别重大网络安全事件: (1)全国范围大量互联网用户无法正常上网; (2).CN 国家顶级域名系统解析效率大幅下降; (3)1 亿以上互联网用户信息泄露; (4)网络病毒在全国范围大面积爆发; (5)其他造成或可能造成特别重大危害或影响的网络安全事件。 2.重大事件 — 符合下列情形之一的,为重大网络安全事件:  (1)多个省大量互联网用户无法正常上网; (2)在全国范围有影响力的网站或平台访问出现严重异常; (3)大型域名解析系统访问出现严重异常; (4)1 千万以上互联网用户信息泄露; (5)网络病毒在多个省范围内大面积爆发; (6)其他造成或可能造成重大危害或影响的网络安全事件。 3.较大事件 — 符合下列情形之一的,为较大网络安全事件: (1)1 个省内大量互联网用户无法正常上网; (2)在省内有影响力的网站或平台访问出现严重异常; (3)1 百万以上互联网用户信息泄露; (4)网络病毒在 1 个省范围内大面积爆发; (5)其他造成或可能造成较大危害或影响的网络安全事件。 4.一般事件:符合下列情形之一的,为一般网络安全事件: (1)1 个地市大量互联网用户无法正常上网; (2)10 万以上互联网用户信息泄露; (3)其他造成或可能造成一般危害或影响的网络安全事件。   四、监测预警 1.事件监测:基础电信企业、域名机构、互联网企业应当对本单位网络和系统的运行状况进行密切监测,一旦发生本预案规定的网络安全突发事件,应当立即通过电话等方式向部应急办和相关省(自治区、直辖市)通信管理局报告,不得迟报、谎报、瞒报、漏报。 网络安全专业机构、网络安全企业应当通过多种途径监测、收集已经发生的公共互联网网络安全突发事件信息,并及时向部应急办和相关省(自治区、直辖市)通信管理局报告。报告突发事件信息时,应当说明事件发生时间、初步判定的影响范围和危害、已采取的应急处置措施和有关建议。 2.预警监测:基础电信企业、域名机构、互联网企业、网络安全专业机构、网络安全企业应当通过多种途径监测、收集漏洞、病毒、网络攻击最新动向等网络安全隐患和预警信息,对发生突发事件的可能性及其可能造成的影响进行分析评估;认为可能发生特别重大或重大突发事件的,应当立即向部应急办报告;认为可能发生较大或一般突发事件的,应当立即向相关省(自治区、直辖市)通信管理局报告。 3.预警分级:建立公共互联网网络突发事件预警制度,按照紧急程度、发展态势和可能造成的危害程度,公共互联网网络突发事件预警等级分为四级:由高到低依次用红色、橙色、黄色和蓝色标示,分别对应可能发生特别重大、重大、较大和一般网络安全突发事件。 4.预警发布:部应急办和各省(自治区、直辖市)通信管理局应当及时汇总分析突发事件隐患和预警信息,必要时组织相关单位、专业技术人员、专家学者进行会商研判。 认为需要发布红色预警的,由部应急办报国家网络安全应急办公室统一发布(或转发国家网络安全应急办公室发布的红色预警),并报部领导小组;认为需要发布橙色预警的,由部应急办统一发布,并报国家网络安全应急办公室和部领导小组;认为需要发布黄色、蓝色预警的,相关省(自治区、直辖市)通信管理局可在本行政区域内发布,并报部应急办,同时通报地方相关部门。对达不到预警级别但又需要发布警示信息的,部应急办和各省(自治区、直辖市)通信管理局可以发布风险提示信息。 发布预警信息时,应当包括预警级别、起始时间、可能的影响范围和造成的危害、应采取的防范措施、时限要求和发布机关等,并公布咨询电话。面向社会发布预警信息可通过网站、短信、微信等多种形式。 5.预警响应 (1) 黄色、蓝色预警响应:发布黄色、蓝色预警后,相关省(自治区、直辖市)通信管理局应当针对即将发生的网络安全突发事件的特点和可能造成的危害,采取下列措施:要求有关单位、机构和人员及时收集、报告有关信息,加强网络安全风险的监测;组织有关单位、机构和人员加强事态跟踪分析评估,密切关注事态发展,重要情况报部应急办;及时宣传避免、减轻危害的措施,公布咨询电话,并对相关信息的报道工作进行正确引导。 (2)红色、橙色预警响应:发布红色、橙色预警后,部应急办除采取黄色、蓝色预警响应措施外,还应当针对即将发生的网络安全突发事件的特点和可能造成的危害,采取下列措施:要求各相关单位实行 24 小时值班,相关人员保持通信联络畅通;组织研究制定防范措施和应急工作方案,协调调度各方资源,做好各项准备工作,重要情况报部领导小组;组织有关单位加强对重要网络、系统的网络安全防护;要求相关网络安全专业机构、网络安全企业进入待命状态,针对预警信息研究制定应对方案,检查应急设备、软件工具等,确保处于良好状态。 6.预警解除:部应急办和省(自治区、直辖市)通信管理局发布预警后,应当根据事态发展,适时调整预警级别并按照权限重新发布;经研判不可能发生突发事件或风险已经解除的,应当及时宣布解除预警,并解除已经采取的有关措施。相关省(自治区、直辖市)通信管理局解除黄色、蓝色预警后,应及时向部应急办报告。   五、应急处置 1.响应分级:公共互联网网络安全突发事件应急响应分为四级:I 级、II 级、III 级、IV 级,分别对应已经发生的特别重大、重大、较大、一般事件的应急响应。 2.先行处置:公共互联网网络安全突发事件发生后,事发单位在按照本预案规定立即向电信主管部门报告的同时,应当立即启动本单位应急预案,组织本单位应急队伍和工作人员采取应急处置措施,尽最大努力恢复网络和系统运行,尽可能减少对用户和社会的影响,同时注意保存网络攻击、网络入侵或网络病毒的证据。 3.启动响应:I 级响应根据国家有关决定或经部领导小组批准后启动,由部领导小组统一指挥、协调;II 级响应由部应急办决定启动,由部应急办统一指挥、协调;III 级、IV 级响应由相关省(自治区、直辖市)通信管理局决定启动,并负责指挥、协调。 启动 I 级、II 级响应后,部应急办立即将突发事件情况向国家网络安全应急办公室等报告;部应急办和相关单位进入应急状态,实行 24 小时值班,相关人员保持联络畅通,相关单位派员参加部应急办工作;视情在部应急办设立应急恢复、攻击溯源、影响评估、信息发布、跨部门协调、国际协调等工作组。启动 III 级、IV 级响应后,相关省(自治区、直辖市)通信管理局应及时将相关情况报部应急办。 4.事态跟踪:启动 I 级、II 级响应后,事发单位和网络安全专业机构、网络安全企业应当持续加强监测,跟踪事态发展,检查影响范围,密切关注舆情,及时将事态发展变化、处置进展情况、相关舆情报部应急办。省(自治区、直辖市)通信管理局立即全面了解本行政区域受影响情况,并及时报部应急办。基础电信企业、域名机构、互联网企业立即了解自身网络和系统受影响情况,并及时报部应急办。启动 III 级、IV 级响应后,相关省(自治区、直辖市)通信管理局组织相关单位加强事态跟踪研判。 5.决策部署:启动 I 级、II 级响应后,部领导小组或部应急办紧急召开会议,听取各相关方面情况汇报,研究紧急应对措施,对应急处置工作进行决策部署。 针对突发事件的类型、特点和原因,要求相关单位采取以下措施:带宽紧急扩容、控制攻击源、过滤攻击流量、修补漏洞、查杀病毒、关闭端口、启用备份数据、暂时关闭相关系统等;对大规模用户信息泄露事件,要求事发单位及时告知受影响的用户,并告知用户减轻危害的措施;防止发生次生、衍生事件的必要措施;其他可以控制和减轻危害的措施。 做好信息报送。及时向国家网络安全应急办公室等报告突发事件处置进展情况;视情况由部应急办向相关职能部门、相关行业主管部门通报突发事件有关情况,必要时向相关部门请求提供支援。视情况向外国政府部门通报有关情况并请求协助。注重信息发布。及时向社会公众通告突发事件情况,宣传避免或减轻危害的措施,公布咨询电话,引导社会舆论。未经部应急办同意,各相关单位不得擅自向社会发布突发事件相关信息。 启动 III 级、IV 级响应后,相关省(自治区、直辖市)通信管理局组织相关单位开展处置工作。处置中需要其他区域提供配合和支持的,接受请求的省(自治区、直辖市)通信管理局应当在权限范围内积极配合并提供必要的支持;必要时可报请部应急办予以协调。 6.结束响应:突发事件的影响和危害得到控制或消除后,I 级响应根据国家有关决定或经部领导小组批准后结束;II 级响应由部应急办决定结束,并报部领导小组;III 级、IV 级响应由相关省(自治区、直辖市)通信管理局决定结束,并报部应急办。   六、事后总结 1.调查评估:公共互联网网络安全突发事件应急响应结束后,事发单位要及时调查突发事件的起因(包括直接原因和间接原因)、经过、责任,评估突发事件造成的影响和损失,总结突发事件防范和应急处置工作的经验教训,提出处理意见和改进措施,在应急响应结束后10个工作日内形成总结报告,报电信主管部门。电信主管部门汇总并研究后,在应急响应结束后20个工作日内形成报告,按程序上报。 2.奖惩问责:工业和信息化部对网络安全突发事件应对工作中作出突出贡献的先进集体和个人给予表彰或奖励。对不按照规定制定应急预案和组织开展演练,迟报、谎报、瞒报和漏报突发事件重要情况,或在预防、预警和应急工作中有其他失职、渎职行为的单位或个人,由电信主管部门给予约谈、通报或依法、依规给予问责或处分。基础电信企业有关情况纳入企业年度网络与信息安全责任考核。 七、预防与应急准备 1.预防保护:基础电信企业、域名机构、互联网企业应当根据有关法律法规和国家、行业标准的规定,建立健全网络安全管理制度,采取网络安全防护技术措施,建设网络安全技术手段,定期进行网络安全检查和风险评估,及时消除隐患和风险。电信主管部门依法开展网络安全监督检查,指导督促相关单位消除安全隐患。 2.应急演练:电信主管部门应当组织开展公共互联网网络安全突发事件应急演练,提高相关单位网络安全突发事件应对能力。基础电信企业、大型互联网企业、域名机构要积极参与电信主管部门组织的应急演练,并应每年组织开展一次本单位网络安全应急演练,应急演练情况要向电信主管部门报告。 3.宣传培训:电信主管部门、网络安全专业机构组织开展网络安全应急相关法律法规、应急预案和基本知识的宣传教育和培训,提高相关企业和社会公众的网络安全意识和防护、应急能力。基础电信企业、域名机构、互联网企业要面向本单位员工加强网络安全应急宣传教育和培训。鼓励开展各种形式的网络安全竞赛。 4.手段建设:工业和信息化部规划建设统一的公共互联网网络安全应急指挥平台,汇集、存储、分析有关突发事件的信息,开展应急指挥调度。指导基础电信企业、大型互联网企业、域名机构和网络安全专业机构等单位规划建设本单位突发事件信息系统,并与工业和信息化部应急指挥平台实现互联互通。 5.工具配备:基础电信企业、域名机构、互联网企业和网络安全专业机构应加强对木马查杀、漏洞检测、网络扫描、渗透测试等网络安全应急装备、工具的储备,及时调整、升级软件硬件工具。鼓励研制开发相关技术装备和工具。   八、保障措施 1.落实责任:各省(自治区、直辖市)通信管理局、基础电信企业、域名机构、互联网企业、网络安全专业机构要落实网络安全应急工作责任制,把责任落实到单位领导、具体部门、具体岗位和个人,建立健全本单位网络安全应急工作体制机制。 2.经费保障:工业和信息化部为部应急办、各省(自治区、直辖市)通信管理局、网络安全专业机构开展公共互联网网络安全突发事件应对工作提供必要的经费保障。基础电信企业、域名机构、大型互联网企业应当安排专项资金,支持本单位网络安全应急队伍建设、手段建设、应急演练、应急培训等工作开展。 3.队伍建设:网络安全专业机构要加强网络安全应急技术支撑队伍建设,不断提升网络安全突发事件预防保护、监测预警、应急处置、攻击溯源等能力。基础电信企业、域名机构、大型互联网企业要建立专门的网络安全应急队伍,提升本单位网络安全应急能力。支持网络安全企业提升应急支撑能力,促进网络安全应急产业发展。 4.社会力量:建立工业和信息化部网络安全应急专家组,充分发挥专家在应急处置工作中的作用。从网络安全专业机构、相关企业、科研院所、高等学校中选拔网络安全技术人才,形成网络安全技术人才库。 5.国际合作:工业和信息化部根据职责建立国际合作渠道,签订国际合作协议,必要时通过国际合作应对公共互联网网络安全突发事件。鼓励网络安全专业机构、基础电信企业、域名机构、互联网企业、网络安全企业开展网络安全国际交流与合作。   九、附则 1.预案管理:本预案原则上每年评估一次,根据实际情况由工业和信息化部适时进行修订。各省(自治区、直辖市)通信管理局要根据本预案,结合实际制定或修订本行政区域公共互联网网络安全突发事件应急预案,并报工业和信息化部备案。基础电信企业、域名机构、互联网企业要制定本单位公共互联网网络安全突发事件应急预案。基础电信企业、域名机构、大型互联网企业的应急预案要向电信主管部门备案。 2.预案解释:本预案由工业和信息化部网络安全管理局负责解释。 3.预案实施时间:本预案自印发之日起实施。2009 年 9 月 29 日印发的《公共互联网网络安全应急预案》同时废止。 稿源:网易科技、澎湃新闻,封面源自网络;

新加坡完善新网络安全法案,保障国家关键基础设施安全

新加坡于今年 7 月首次公布一份新网络安全法规草案,旨在保障国家网络安全、维护关键基础设施(CII)并授权当局履行必要职责,以促进各关键部门信息共享。据称,新加坡政府已列出 11 个被认为拥有 CII 的部门,其中包括水资源、医疗、海运、媒体、信息、能源与航空等机构。 知情人士透露,由于新加坡是全球遭受网络攻击最为严重的数字连接国家之一,因此其 CII 每次都将受到巨大影响。据悉,该草案规定 CII 所有者被要求执行必要机制与流程,以检测关键信息的网络安全威胁。如果违反立法规定的任何授权,其极有可能被处于高达十万新元的罚款或两年以下监禁。此外,该草案还将为 CSA 官员赋予特权,以便更快处理网络安全威胁。 随之,新加坡政府在该草案发布后获得公民积极响应,并于今年 8 月将其统一转交至通信和信息部(MCI)与网络安全局(CSA)进行整理。近期,MCI 与 CSA 联合发表声明,宣称收到来自各行各业的 92 份意见建议书,其中包括 Allen & Gledhill 等律师事务所。然而,以下是部分公民反馈: ο 要求针对 CII 的部分系统进行更清晰定义,以便排除供应链中支持 CII 操作的计算机系统; ο 要求精简 CII 企业职能,并与其他现有守则与标准保持一致; ο 要求网络安全提供商不再需要获得政府调查许可,从而降低企业运营成本; ο 允许渗透测试与管理 SOC 监测供应商提供服务,因为这些服务已然成为主流。不过,该服务记录期限将由五年减至三年,以减轻新架构对持牌供应商的负担。 新加坡政府机构表示,他们将根据公众反馈意见完善该法案部分条例并于 2018 年年初实施。目前,据调查显示,业界比较支持该法案信息保护条例,认为这一法规不仅提高了与网络威胁有关的信息共享,还保护了告密者的敏感信息。此外,网络安全机构还进一步指出,他们正深入探索其他安全措施,以便促进和鼓励各企业信息共享。 原作者:Eileen Yu, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

落实网络安全法案,推送个人信息保护条款

9 月 14 日起,网民在登陆微信、淘宝、微博、高德地图等客户端时,陆续收到平台推送的个人信息保护政策,点击 “ 同意 ” 后才能继续使用。在 2017 年国家网络安全宣传周开幕前夕,互联网公司积极落实《网络安全法》规定,更新个人信息保护政策,不断加强对用户个人信息的保护。 2017 年 6 月 1日,《网络安全法》正式实施。互联网公司对个人信息保护政策的修订,正是积极响应《网络安全法》关于网络信息安全的相关规定,落实中央网信办、工信部、公安部、国家标准委等四部门 “ 个人信息保护提升行动 ” 的要求。以微博为例,修订后的个人信息保护政策,在信息收集、信息保护、安全措施等方面均增加了较大篇幅,力求全方位保护用户个人信息,扩大个人信息保护政策的覆盖范围。为保证新政及时为用户所了解,用户安装或升级微博客户端后,首次登陆都会收到推送信息,选择“同意”才能继续使用微博。 微博推送修订后的《微博个人信息保护政策》 2017 年国家网络安全宣传周 9 月 16 日在上海开幕。今年的网络安全宣传周以 “ 网络安全为人民,网络安全靠人民” 为主题,将持续到 9 月 24 日。中央网信办网络安全协调局主要负责人表示,提升个人信息保护的隐私条款专项工作,是贯彻网络安全法的重要举措之一。在提升个人信息保护工作中,要处理好保护和利用的关系,找好平衡点,既要保护个人信息的安全,又要利用好信息为8亿网民乃至14亿人民提供更好的服务,维护人民利益。 稿源:cnBeta、新浪科技,封面源自网络;

特朗普政府未重视网络威胁预警,现已有八名安全顾问辞职表态

美国总统唐纳德·特朗普(Donald Trump)在解散了两个咨询委员会后的一个星期,另一个白宫小组 – 国家基础设施咨询委员会(NIAC)28 名成员当中也已经有 8 名成员于上周辞职,他们在辞职信中表示,其辞职原因在于政府对网络安全威胁估计和准备不足,同时他们也不满唐纳德·特朗普对夏洛特斯维尔集会所采取的态度和回应。 2001 年,美国前总统乔治·布什(George W. Bush)成立 NIAC,就关键基础设施部门及其信息系统的安全提出建议,其成员总数最多可达 30 人,由私营部门,学术界和州和地方政府选出。现在,这些辞职成员表示,美国人所依赖的关键制度所面临的网络安全威胁日益增长,对民主选举进程制度的威胁日益增长,政府和 NIAC 都没有给予足够的重视。 同时这些辞职的成员也表示,特朗普对夏洛茨维尔事件没有给予有力谴责,他们不能容忍仇恨和暴力。此外,他们还抨击特朗普总统采取的虚假对等性。据悉,一些离开 NIAC 的安全顾问包括第一位白宫首席数据科学家 DJ Patil,以及前科技部政策主管克里斯汀·多尔洛斯和白宫理事会环境质量总监克里斯蒂·戈德富斯( Christy Goldfuss )与特斯拉老板、高调技术人士 Elon Musk。 稿源:cnBeta,封面源自网络;

澳大利亚维多利亚州启动新一轮网络安全战略,增强国家政府网络防御体系

澳大利亚维多利亚州政府于 8 月 25 日正式启动新一项五年网络安全战略,旨在增强国家政府网络防御体系并确保国家信息、服务与关键基础设施安全。不过,该战略目前首要保护公民敏感信息免遭丢失、恶意更改或未经授权使用。 与此同时,由于政府希望国家服务、系统与基础设施在遭受严重网络攻击时能够迅速得以恢复,因此该战略发布后政府不仅对国家基础设施的威胁采取了全方位应对措施,还强调了公共管理部门的网络安全战略需要根据行业实践进行改进,使之保持一致并适合每个组织风险状况。另外,维多利亚州政府还希望国家能够将安全与维护功能纳入公民新数字服务项目,旨在提高政府核心基础设施的安全性与可行性。因此,该战略的发布首先要求私营企业与其共享安全信息。 知情人士透露,维多利亚州政府将于 9 月在总理府内阁任命一名首席信息安全官员并设立新网络安全办事处,负责监督战略推出与跨政府协调行动。目前,由于该战略的启动,政府机构将被要求向维多利亚州秘书委员会以及国家危机与应变委员会提交一份网络安全季度报告,用于进行正常的国家安全检查。 原作者:Asha McLean,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

特朗普:美俄共建网络安全工作小组不会变成现实

日前特朗普在推文中表示,和普京总统讨论建立“难以渗透”的网络安全工作小组,进而避免选举干涉等负面事件再次发生。然而此举遭到了美国共和党、民主党中多位政客的强烈反对,面对愈演愈烈的压力特朗普不得不在推文中做出解释,他表示这只是“讨论”,并不意味着“会变成现实”。 美国当地时间周日晚上特朗普在推文中表示:“事实是普京总统和我仅仅讨论了网络安全工作小组的可能,并不意味着就会变成现实。这不会变成现实,但是美俄之间能够停战,是时候共同向前迈进了。” 稿源:cnBeta,封面源自网络

中央网信办:特别重大网络事件发生后需 24 小时值班

中央网信办 27 日印发了《 国家网络安全事件应急预案 》,其中将网络安全事件分成四级,并提出对应的预警和应急响应。当特别重大网络安全事件发生后,需成立指挥部,履行应急处置工作的统一领导、指挥、协调职责,同时应急办 24 小时值班。 预案所指网络安全事件是指由于人为原因、软硬件缺陷或故障、自然灾害等,对网络和信息系统或者其中的数据造成危害,对社会造成负面影响的事件,可分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他事件。其中,有关信息内容安全事件的应对,另行制定专项预案。 网络安全事件分为特别重大网络安全事件、重大网络安全事件、较大网络安全事件、一般网络安全事件。特别重大网络安全事件包括以下几种情况:重要网络和信息系统遭受特别严重的系统损失,造成系统大面积瘫痪,丧失业务处理能力;国家秘密信息、重要敏感信息和关键数据丢失或被窃取、篡改、假冒,对国家安全和社会稳定构成特别严重威胁;其他对国家安全、社会秩序、经济建设和公众利益构成特别严重威胁、造成特别严重影响的网络安全事件。 与之相对应,网络安全事件预警等级从高到低依次用红色、橙色、黄色和蓝色表示,分别对应发生或可能发生特别重大、重大、较大和一般网络安全事件。对于特别重大网络安全事件,应及时启动 I 级响应,成立指挥部,履行应急处置工作的统一领导、指挥、协调职责。应急办 24 小时值班。 据介绍,中央网信办统筹协调组织国家网络安全事件应对工作,建立健全跨部门联动处置机制,工业和信息化部、公安部、国家保密局等相关部门按照职责分工负责相关网络安全事件应对工作。必要时成立国家网络安全事件应急指挥部,负责特别重大网络安全事件处置的组织指挥和协调。在事件结束后,相关部门要进行调查预评估,对事件的起因、性质、影响、责任等进行分析评估,提出处理意见和改进措施。同时,中央网信办将协调有关部门定期组织演练,检验和完善预案,提高实战能力。各省区市、各部门每年至少组织一次预案演练。 稿源:中国记协网、北京青年报,封面源自网络

投资逾 5 亿澳元,澳大利亚 CEO 们比全球同行更担心网络安全

毕马威(KPMG)会计事务所最新《全球首席执行官展望》报告显示,澳大利亚的顶级首席执行官们比全球同行更担忧网络安全问题。报告显示,71% 的澳大利亚首席执行官会将超过 5 亿澳元的营业额用于网络安全投资上。相较之下,全球首席执行官的比例仅为 53%。 毕马威澳大利亚网络安全服务合作人阿奇博尔德对比表示,该结果符合《 ASX 100 网络健康检查 》报告的分析。这份报告发现,澳大利亚最顶级的企业高管普遍对网络威胁具有高度风险意识。 “网络威胁成为澳洲首席执行官最关注的问题,部分是由于这些网络漏洞对企业造成的巨大影响。” 阿奇博尔德称,“ 以前网络安全问题曾被看做是技术风险,而现在已被定义为商业风险。同时还有声誉风险以及它对股东价值和运营可用性的影响。” 源:中国新闻网,封面源自网络

网络安全威胁加剧 行为生物识别技术或成终极守护

5月12日消息,据BBC报道,随着欺诈者越来越容易窃取或猜中我们的用户名和密码,我们正输掉这场捍卫网络安全的战争。那么通过怪异的方式分析我们如何使用各种设备,甚至我们走路的方式,能够为我们提供额外的防护能力吗? 最近当你走在繁忙的街道上时,经常能够遇到所谓的“智能手机僵尸”,这些人沉迷于手机中而无视周围的世界。但他们不知道的是,无论是他们走路的方式,还是握持这些催眠设备以及与它们交互的方式,都可向服务提供商表明自己的身份。这是个令人惊异的行为生物识别的新世界,它正处于网络安全大战的最前沿。 行为生物识别公司Callsign首席执行官兹亚·哈亚特(Zia Hayat)说:“通过手机中的加速度计和陀螺仪,我们可以衡量你的手腕力量。通过测量你的步伐,我们可以将你从人群中识别出来,准确率高达1/20000,与指纹识别的精确度大致相当。” 所以,即使欺诈者已经窃取了你的网银登录信息或下载恶意软件到你的手机上,这类行为软件应该也能够发现异常,确定并非你本人想要尝试将这些钱转移到国外银行中。科技公司认为,这些生物行为特质就像我们的声音那样独特,就像莫尔斯密码操作员可通过独特方式发送和接受信息那样。 行为生物识别公司BioCatch的首席执行官艾亚尔·戈德维格(Eyal Goldwerger)称:“认证机制很不错,但是当欺诈者已经侵入你的系统中时,它就没用了!大多数银行欺诈都是在用户进行认证之后发生的。人类与设备的交互方式显然与恶意软件的运作方式截然不同。为此,即使你的手机被感染,躺在那里静等你登陆然后进行劫持,行为生物识别方案依然能够发现其中的差异。” 图:行为生物识别公司Callsign首席执行官哈亚特表示,行为生物识别属于“情报驱动的认证” 哈亚特说:“如果你没有操作手机,而它却自己在运行,你可能认为是恶意软件在操控它。我们可以利用最新智能手机上的气压计测量气压,同时它也可以显示手机的位置,以及是否与用户所说的位置相吻合。” 甚至于你手指的大小(机手指覆盖住屏幕的面积)也可以帮助设置相当精确的签名信号。这很容易理解,许多银行都对这种新的安全方式产生兴趣,Callsign的客户包括来爱的银行集团和德意志银行等。此外,Behaviosec、NuData Security以及Zighra等行为生物识别公司,也都在与从事身份管理的网络安全公司合作。举例来说,Callsign的技术正与ForgeRock的身份管理平台进行整合。 ForgeRock首席执行官迈克·艾利斯(Mike Ellis)表示:“我们正迈向密码更少的世界,为此我们需要更多层次的身份验证,而行为生物验证机制就是其中之一,识别设备、其地理位置以及典型行为则是另一层。” 越来越多的银行正推出语音认证机制,将其作为更安全、更少侵入性的方式,以为客户建立自己的身份。语音生物识别机制公司Nuance的产品战略总监布雷特·博兰尼克(Brett Beranek)说:“在神经网络和机器学习的帮助下,身份验证的准确性已经从98%提高至99%。” 但即便如此,博兰尼克也承认,还需要更多层次的验证后行为安全机制,以帮助用户应对手机遭到恶意软件感染。戈德维格称,除了物理行为,比如我们打字的速度以及操作手机的方式,心理行为也可能泄露身份。比如在浏览网页时,我们会无意识地做出选择。他说:“你决定向下滚动页面的方式(包括使用鼠标滚轮或点击页面侧边栏拖动),可以表明是你在浏览网站,而不是其他人。” BioCatch表示,当用户与他们的数字设备进行交互时,他们可以对500多个参数进行测量。利用机器学习技术,该公司称可在短短10分钟的交互中,帮助建立用户独特的行为生物特征。 但是戈德维格说,行为生物识别机制并非为了取代现有的身份认证方法,比如语音、指纹以及自拍等,而是对它们进行补充。这种安全机制的优势在于,我们所做的一切都是无缝的,不存在任何摩擦。这一切都发生在后台,而且用户毫不知情。这种软件能在98%的时间里发现可疑活动。 但是隐私呢?如果这些公司通过检测我们的在线行为就可识别出我们的身份,匿名就成了空话?寻找恐怖分子加密通信方式的方法最后会变成识别我们所有人身份的方法吗?我们真的喜欢这样的技术吗?戈德维格坚持称,BioCatch等技术不会看到任何用户的个人身份信息,客户(通常是银行)也不会看到BioCatch产生的任何匿名行为模式。他说:“所有银行看到的是该用户会话的风险评分,而我们看到的是与这个人有关的ID号码。” Callsign的哈亚特表示,他的公司也在做同样的事情,原则上需要遵守现有资料保护 法例。但是如果欺诈者窃取某人的身份,并重新建立了新的账号会如何?如果没有用户以前的行为进行对比,行为生物识别技术能确保其肯定有效吗? BioCatch认为,即使在这些情况下,行为分析也能提供帮助。戈德维格说:“欺诈者可能不熟悉这些数据,因为这些根本不是他们产生的。我们可以发现这其中的差异。我们可以注意到他们填写不同的申请表格,因为他们通常不会那样做。” (小小) 稿源: cnBeta、网易科技,封面源自网络