信息安全资料孟承笃-数据安全治理.pdfVIP

数据安全治理

从被动合规到业务赋能的体系化实践

孟承笃

01数据泄露途径

02数据泄露影响

目录03四轮驱动治理模型

04四层纵深防御体系

05场景化攻防淬炼

06持续运营双引擎

PART01

数据泄露常见途径

应用系统暴露面

通用漏洞利用

注入攻击（SQL/NoSQL/OS命令）

身份验证缺陷（弱口令、越权）

敏感数据暴露（接口未授权、数据未脱敏等）

业务逻辑缺陷

爬虫反制失效（验证码绕过/速率限制缺失）

支付/订单类接口重放攻击（可虚构课程购买数据遭篡改）

基础设施暴露面

内核漏洞基线问题脆弱的服务供应链污染

操作系统内核的漏操作系统配置错误，如Tomcat、Redis、如组件库、pip、

洞，可直接导致低如管理员账户弱口MySQL等未授权、npm包植入恶意代

权限提升至高权限令、远程登录公网弱口令、低版本、码等

开放、文件共享等网络未隔离等

人为因素暴露面

社会工程攻击

钓鱼攻击（邮件、短信、二维码、语音

等）、鱼叉攻击、鲸钓攻击、水坑攻击

身份伪造（借助大模型生成数字人、声音

克隆等更深度的伪造，现实中伪造成新员

工、设备维修人员等）

诱饵攻击（以免费资源、或者公共场所投

放U盘等方式）

人为因素暴露面

恶意行为误操作离职风险

员工窃取数据并出售，造成内部错误配置导致数据公开访问引发离职员工带走敏感信息，增加泄

数据泄露。泄露。日常无意识的云同步、备露风险。

份、账号共享或丢失引发的泄露

PART02

数据泄露影响

违法违规，监管处罚

中华人民共和国数据安全保护法

第四十五条开展数据处理活动的组织、个人不履行本法第二十

七条、第二十九条、第三十条规定的数据安全保护义务的，由有

关主管部门责令改正，给予警告，可以并处五万元以上五十万元

以下罚款，对直接负责的主管人员和其他直接责任人员可以处一

万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严

重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停

相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照