技术观点

加强技术投入,共享技术成果

企业小心网站建设成了泄密管道


编辑:杭州大显网络科技有限公司更新日期:2009-05-26

[推荐]如果您是我们的客户,我们将免费为您刊登广告信息!
[广告]湖北瑞德律师事务所-专业打造维权品牌!
[商机]大黄页-打造互联网黄页品牌。湖北省核心总代。

人们上网遨游时,会不会顺便去你家后院挖宝?信息科技(IT)安全专家说,企业必须分清楚那些类型的讯息可在自家网站上公布、哪些则不宜,因为若是粗心大意,可能打开潘多拉的盒子,让劫持者、黑客和工业间谍有机可乘。以下是专家的建议。


揣摩窃贼的想法


明尼苏达州DataSecuritySystems公司总裁SandySherizen建议,企业网站内容的守门员应该「学习揣摩小偷的想法,揣测他们可能会想窃取什么资料,或搜集什么样的商业竞争情报」。公司网站上贴出的零星数据乍看下可能无关紧要,但一旦拼凑起来,揭露出的公司内部讯息、策略联盟关系和客户数据,可能远超过你的想象。


Sherizen说,企业网站不该只交给网站维护员和公关部门负责。在贴出任何讯息前,IT安全人员应先从安全性的观点把内容检视一番,毕竟他们的职责是随时留意技术弱点,设法防止黑客入侵。换句话说,他们已受过从窃贼角度思考的训练。


提防下游把关责任


当今执行的各种新法规都要求企业善尽责任。因此,Sherizen警告,疏于维护网站的安全,可能让自己背负下游的法律责任。若你公司的信息系统已和供应链商业伙伴的系统密切结合,或你透过自家网站搜集客户的资料,更要当心。


他举一个法律个案为例。某人在甲公司的网站东张西望,因为防火墙防护不足,竟摸索出一条旁门左道,可经由该网站闯入乙公司的信息系统,进而大肆破坏。尽管实际执行入侵动作的是第三者(一个名下没什么财产的青少年黑客),但乙公司后来控告甲公司的求偿官司仍获判胜诉。


遵行最低权限原则


宾州匹兹堡RedSiren公司产品策略副总裁NickBrigman建议,在网站上公布数据,要遵行「最低权限规则」(ruleofleast-privilege)。这位IT安全管理主管提醒:「只贴出要执行某种功能绝不能少的数据。」他说,要订出这样的规则,首先必须确定企业网站的目标和用途何在。他解释:「若目标是吸引潜在顾客,把他们导向销售团队,那么就不必把公司的资料巨细靡遗贴在网站上。」提供太详尽的信息,可能泄露公司的运作细节。


RedSiren提供客户一种服务,称为「公共信息侦察」,也就是到因特网上搜索任何找得到的、与客户有关的公开讯息。「我们常常发现,只要挖掘的时间够久,什么数据都找得着,」Brigman说。他甚至寻获客户仅供内部参考的网页,只因为网页被不经意地上载。即使企业网站未提供这些网页的连结,但Google等搜寻引擎公司如今已设计出聪明绝顶的索引程序,能把这些数据给找出来,晾在网络上供全世界检视。


Brigman坚称,即使你认为已做好充分的安全防护,只给少数人士有限度的存取权限,也绝不该把某些内容张贴在全球信息网上。这些「企业的传家之宝」包括诸如策略计划、未来的营销策略,以及与商业伙伴协商有关的任何信息。


维吉尼亚州Anteon公司HomelandSecurity公司经理RayDonahue强调,在检查自家网站的同时,也要以批评的眼光检视主要供货商的网站,了解他们怎么描述你的公司。对你的商业伙伴而言,宣布新的策略联盟可能是极佳的广告宣传,但那些讯息也许也会对全世界宣告你公司用的是哪一种软件系统,或哪一种网络设备──不啻是引狼入室,把邀请函发给乐于探知你系统弱点何在的黑客。


费城律师事务所Caesar,Rivise,Bernstein,Cohen&Pokotilow,Ltd.的智慧财产权律师兼合伙人BarryStein则提醒,网站内容若不严加把关,可能导致法律后果和销售额损失。小心翼翼避免商业机密和专业知识与技术外泄时,也不要忘了维护专利权。基于因特网全球无疆界的特性,「让原本可申请专利的发明细节曝光,若是数据外泄之前未申请到专利,可能造成公司丧失海外的专利权,」他说。