2020年4月1日，萬豪國際首次披露今年2月底檢測到的數據洩露事件，近520萬房客個人信息被洩露，數據涉及個人姓名、地址、電話號碼以及會員账戶信息、夥伴關係與從屬關係信息、客戶偏好等。這也是萬豪繼2018年11月喜達屋5億條用戶數據洩露事件後發生的又一起重大安全事件。
在全球來看，數據洩露事故並非偶發現象。據安全情報供應商Risk Based Security (RBS) 的2019年Q3季度的報告，2019年1月1日至2019年9月30日，全球披露的數據洩露事件有5183起，洩露的數據量達到了79.95億條記錄。
2019.3某安全研究人員對外披露一個可公開訪問的 MongoDB 數據庫，包含9.8億條數據記錄；
2019.4 Facebook的應用服務商Cultura Colectiva上5.4億數據由於數據庫配置錯誤導致數據洩露；
2019.5 澳大利亞的平面設計服務網站 Canva被一名黑客攻破，竊取1.39億用戶數據；
2019.5美國房地產和產權保險巨頭First American 8.85億份敏感客戶財務記錄被洩露；
2019.12國外網絡安全研究人員發現Elasticsearch 數據庫27 億個電子郵件地址洩露；
數據“窪地”行業成為洩露的重災區
近幾年，隨著信息技術與眾多產業的融合以及全球資產數字化的發展趨勢，個人與企業數據的價值劇增，掌握海量用戶信息的行業和企業頻繁面臨數據洩露的安全風險。尤其金融、保險、教育、醫療、科技、政府等行業作為數據的“窪地”，已成為黑客和黑產的主要攻擊目標。縱觀歷年數據洩露事故，不僅數據規模驚人，動輒千萬級甚至上億，同時洩露數據的顆粒度愈發精細、全面，對於企業和用戶都造成了直接或間接的巨大損失。
隨著互聯網技術在社會各方面的滲透，個人生活工作的便利與企業效率的提升常常是通過個人讓渡一部分隱私權實現的。這其中有用戶對個人隱私保護的輕視，但更多來源於部分企業對於用戶信息的過度索取，導致大量個人用戶的信息以數據方式存儲於企業的數據庫中，形成了數據聚合的“窪地”。
而數據本身也存在一定的安全風險。產業互聯網時代，企業在生產、運營中都高度依賴數據，數據從生產之初就會進入傳輸、存儲、處理、分析、訪問與服務應用等各環節且循環往複，並在流動的過程中產生大量的接觸和互動——內部的研發和運營管理人員的經手，伺服器、雲平台、大數據處理與分析系統中的流動，與眾多夥伴、客戶的共享，這些都使得數據面臨安全風險。
結合近幾年新聞曝光的事故統計和研究資料表明，黑客、公開數據庫、數據庫配置錯誤、“內鬼”是數據洩露的四大“罪魁禍首”——
黑客：利用特定的漏洞來竊取信息，通過暗網或黑市交易獲取利益；
公開數據庫：因選型不當或技術疏忽而對數據庫未加保護，使其暴露於互聯網上；
數據庫配置錯誤：錯誤地關閉雲提供商標準化的默認安全設置，或對某些服務允許不受限制的訪問設置；
內鬼：員工數據盜竊、員工賄賂和售賣信息、運維人員報復性操作等；
此外，非授權訪問、系統或者網站漏洞等也會引發數據洩露風險，隨著AI、大數據、雲計算等新技術被黑客應用，原有的數據安全防護體系不得不面臨更大的壓力。
企業應如何防護數據安全？
風險背後，是企業數據防護思維和體系的缺位。在傳統的安全構架中，企業依賴於特徵匹配的防禦模式，即把已出現的攻擊事件寫入特徵庫再進行同類型防禦操作；由於已有特徵的局限性，往往會使企業在面對新攻擊時應對滯後或束手無策，造成嚴重的經濟損失。那麽，對於數據存量高、信息流動性強的企業，到底應如何構建數據安全的防護體系呢？如何轉後手為先手，讓安全防護更具主動性和前瞻性呢？
騰訊安全數據安全負責人彭思翔表示，數據洩露事件折射出的是僅僅依靠單點防護難以達到真正的安全防護效果。企業保護數據安全應該轉向以數據為中心構建防護策略，並遵循數據流動的方向，構建基於全生命周期的安全防護。具體來說，構建全生命周期的防護體系分為四大階段：
1）數據安全的梳理。企業對應在數據生產之初就加強數據管理的分類和治理，包括對數據進行感知、風險識別和分級，明確定位哪些是機密數據、敏感數據、普通數據，進而根據數據的不同等級，設置不同的安全策略，做到加強感知、聯防聯控。
2）管理制度的建設。數據安全不僅是技術問題，更是管理問題。由於目前數據的流動速度快、流動體量大，僅靠企業的安全運維人員和基礎的安全防護設備已經難以滿足數字資產的風險響應、運營維護、防越權治理等需求，而是需要通過數據安全的相關產品把制度落地。通過自動化的工具來清點數據資產，快速明確核心數據分級和資源分配，實時監控訪問權限和訪問行為軌跡；同時需要重視運維審計和數據庫審計，一方面為企業提供運維人員操作審計，對異常行為進行告警，防止內部數據泄密，一方面對數據庫運行進行智能化審計，對數據庫運行過程中的潛在風險進行挖掘。
3）解決方案的落地。在數據存儲、傳輸、使用過程中，應充分應用先進的數據保護技術，如加密和脫敏技術，針對機密數據則需要持續性的保護。企業必須確保其數據庫、文檔管理系統、文件伺服器在整個生命周期內正確分類和保護機密數據；通過密鑰管理對數據訪問權限進行限定，集中管控以及安全存儲數據庫憑證、API密鑰和其他密鑰、配置信息等敏感憑據以避免越權操作行為。善用數據安全產品和工具，即使出現了不可逆的黑客攻擊導致數據洩露的情況，也可以通過水印追溯和數據加密保護等技術盡可能地降低企業和個人損失。
4）強化安全運營，企業應當加強事前-事中-事後的全流程安全保障，打造覆蓋全生命周期的預防、檢測、響應和可視的安全運營體系。企業用戶可以參考或直接使用騰訊安全公有雲安全運營中心的產品，它主要包括：
事前：通過攻擊面測繪可以發現有不應暴露的運維端口在公網；通過雲產品安全配置管理，可以檢查伺服器、數據庫有沒有部署訪問控制，有沒有開啟數據備份，做到防患於未然。
事中：可以通過Cloud UBA（用戶行為分析）分析發現一些過度授權的子账號與協作者账號以及相關用戶的異常操作行為，例如用戶權限提升、高危操作等，有效識別雲控制台只能夠用戶操作的異常行為。同時通過流量威脅感知功能，可識別雲上資產互聯網流量中的異常外連等內到外數據泄漏威脅。此外，通過泄漏監測，可幫助用戶實現對Github及暗網上的數據泄漏事件進行監測。
事後：通過接入的雲操作行為日誌、雲產品配置變更日誌及各類安全產品日誌，可以實現事後的全面分析和調查溯源，及時分析定位安全事件。
此外需要重點關注的的是上雲企業應偏重考慮完整、場景化的解決方案，以確保企業數據防線穩固可靠。
騰訊安全助力企業快速有效的數據防護體系
騰訊副總裁丁珂曾表示：騰訊安全圍繞海量數據構建了原生、全生命周期縱深防禦技術架構和安全運維體系，致力於護航產業互聯網安全。安全防護的本質是最大限度發揮“人+工具+方法”的組合能力，而騰訊安全依托過去20年在數據安全防護方面積累的技術、人才、生態經驗等優勢，可以協助企業快速地構建全生命周期的安全防護體系。
開箱即用的“雲數據安全中台”：在數據加密保護方面，騰訊安全整合數據加密軟硬體系統（CloudHSM / SEM）、密鑰管理系統（KMS）以及憑據管理系統（Secrets Manager）三大能力，推出了“雲數據安全中台”，打造了端到端的雲數據全生命周期安全體系，將密碼運算、密碼技術及密碼產品以服務化、組件化的方式輸出，並無縫集成至騰訊安全產品中；通過標準化的API接口/SDK服務，實現從數據獲取、事務處理及檢索、數據分析與服務，數據訪問與消費過程中的安全防護。
前沿安全技術應用落地：在具體的安全產品上，騰訊安全應用了諸多前沿的安全技術。為了對抗量子計算對加密的威脅，開發了量子計算機也無法破解的抗量子加密算法；使用AI引擎的數據庫審計，可以更精準的識別如SQL注入等惡意語句，並實現了20萬SQL每秒的業內領先吞吐速度；在大數據融合計算中，提供K匿名脫敏算法，保證個人隱私數據無法被還原竊取，同時將誤差控制在2%以下，極大的保留了數據的可用性；另外還獲得了密文求交集的研發專利，針對性解決聯合行銷推廣、征信查詢、聯合建模等場景下的數據洩露風險。
頂尖安全專家全程護航：騰訊安全集結旗下七大實驗室的全球頂級白帽黑客以及深耕各行各業安全專家，組建的3500+人安全專家服務團隊全程護航企業建立和運營數據安全體系全過程，為企業量身定製包括但不限於合規谘詢、風險評估、安全規劃、數據治理、安全審計、應急演練、安全培訓等一站式服務。
香港九龍灣馬來街興發大廈15樓D室