2020年度数据泄露态势分析报告_23页_1mb

2020年度数据泄漏态势分析报告总结

核心内容概述

本报告由闪捷信息安全与战略研究中心于2021年3月发布，基于VERIS框架对2020年国内数据安全事件进行了多维度的统计与分析。报告涵盖了数据泄漏的态势、原因、类型、阶段、行业分布等关键信息，并提出了针对性的数据安全建议。

主要观点与关键信息

1. 数据泄漏态势

• 整体趋势：2020年数据安全事件数量继续上升，云上数据泄漏事件显著增加，个人信息泄漏占比上升。
• 疫情影响：新冠疫情导致线上业务激增，增加了数据泄漏的风险。同时，疫情热点被攻击者利用，诱导用户点击恶意链接。
• 勒索攻击与数据泄漏融合：勒索攻击+数据泄漏事件占比达15%，成为常态化威胁，防勒索方案需融合数据防泄漏技术。

2. 数据泄漏类型与特征

• 类型分布：
  • 数据泄漏：占比约75%
  • 勒索攻击+数据泄漏：15%
  • 勒索攻击：10%
  • 数据损毁：10%
  • 数据篡改：占比最低
• 泄漏特征：
  • 获利驱动：超过80%的数据泄漏事件以获取利益为目的
  • 网络钓鱼：占比约20%，是重要的数据泄漏手段
  • 长期性泄漏：约17%的事件具有长期性，难以发现
  • 凭据丢失：约9%，表明身份验证机制存在漏洞

3. 数据泄漏原因

• 内部人员：占比48%，主要因利益驱动或失误导致
• 黑客攻击：占比46%，包括网络钓鱼、APT攻击、SQL注入等
• 数据处置不当：17%，多因安全配置错误或缺乏防护
• 缺乏访问控制：11%，部分企业未实施任何数据保护措施

4. 数据泄漏的数据源

• Elasticsearch：占比最高，达25%
• S3 bucket 和 SQL数据库：各占6%
• 其他云端存储：如Azure、Git、BlueKai等
• 多数数据源无法确定：近半数事件的数据源类型未知，说明数据源管理仍存在盲区

5. 泄漏数据类型

• 个人信息：占比超60%，是数据泄漏的主要内容
• 个人自然信息：43%，包括基本信息、财产信息、健康信息等
• 业务信息：37%，涉及合同、图纸、源代码等
• 登录凭据：25%，用户多使用相同凭据，导致连锁反应
• 个人行为信息：8%，如网页浏览记录、交易记录等

6. 数据泄漏人员类型

• 外部人员：占比52%，包括黑客和合作方员工
• 内部人员：占比接近50%，包括主动泄密和失误泄密
• 有组织窃密：33%，如“Anonymous”组织和APT攻击

7. 数据泄漏各阶段占比

• 存储阶段：占比最高，超40%
• 使用阶段：占比30%，频率高但数据量相对较小
• 交换阶段：占比14%，数据共享过程中易发生泄漏
• 其他阶段：占比未明确，但整体呈现上升趋势

8. 个人信息泄漏行业分布

• 互联网行业：占比近30%，是主要受害者
• 医疗行业：占比近20%，数据吸引力大
• 金融保险行业：占比13%，涉及内部人员和系统漏洞
• 运营商行业：占比10%，但影响范围广

9. 个人信息泄漏维度

• 姓名：45%，是最常见的泄漏数据
• 电话号码：32%
• 电子邮件：31%
• 登录凭据：25%
• 其他信息：如时间戳、URL、标识符等

10. 个人信息泄漏严重程度

• 中等危害：34%，涉及物理世界个人信息
• 低等危害：30%，仅包含虚拟个人信息
• 高等危害：9%，包含虚拟和物理信息
• 严重危害：2%，包含虚拟与物理信息的对应数据
• 无法评估：25%，因缺乏具体数据信息

总结

2020年数据泄漏事件数量及影响持续扩大，呈现出多行业、多类型、多阶段的复杂态势。数据安全问题已不再局限于传统边界，而是随着云计算、大数据等技术的发展变得更加复杂和隐蔽。数据安全意识薄弱、防护体系不完善、人员因素突出等问题亟需引起重视。

建议

1. 加强数据安全风险监控：

   • 审核安全措施是否符合数据分类分级要求
   • 监测操作行为，识别高风险点
   • 定期扫描系统漏洞，进行风险评估与处置

2. 加强企业云上数据防护：

   • 对数据进行分类分级并评估云上风险
   • 明确数据使用场景，关闭不必要的服务
   • 采用技术手段进行数据防护，防止配置错误
   • 提升员工安全意识，建立合理操作流程

3. 数据防泄漏与数据防勒索并重：

   • 防勒索方案需融合数据防泄漏技术
   • 数据泄漏可能成为勒索攻击的筹码，需综合防范

4. 对数据进行分类分级保护：

   • 识别高风险数据，合理配置防护资源
   • 注重分类分级的时效性与准确性
   • 借助内容识别技术，减少人为错误

关于闪捷

闪捷信息科技有限公司是一家专注于数据安全的高新技术企业，致力于通过人工智能、量子加密等技术构建“零信任”动态数据安全治理体系和“云管端”立体化数据安全解决方案。公司已广泛应用于政府、电力、金融、医疗等多个行业，与众多知名单位保持合作，推动数据安全生态体系建设。