互联网企业的数据泄露方式，和稻草人般的安全方法

01/5 在开放式的企业里，数据安全产品多半只是个稻草人

因工作需要，在面对面接触和交流过数百家各行各业的企业之后（真的没有夸大其词），作者非常吃惊地发现一个非常让人悲观的现象：

1、在开放式的企业里，数据安全建设，大多只是一个树立稻草人的过程。

2、在封闭式的企业里，数据安全建设，很多情况下又只是为了应对合规检查而自我为难的结果。

这里简单解释几个名词概念：

A、开放式的企业：大众熟知的各类互联网公司，如阿里巴巴、腾讯、字节跳动，电商平台如得物、希音等等。这些企业天生爱自由，与外部互动频繁，注重效率。公司的特点是员工办公灵活，公司办公网络和互联网不设置物理隔离，同一台办公电脑上可以同时访问公司内网系统和互联网平台，这就是开放式的企业办公特点。

B、封闭式的企业：与上面开放式的企业相对应的，是相对传统，是安全稳定大于效率的机构，代表者是国央企、政府单位、金融机构。他们有从物理上直接隔离的内外网。内部网络内只能访问内部办公系统，也只能经由专门的办公电脑进行访问，这些电脑只能访问特定办公网络，不仅不能连接互联网（就是说你不可能在办公电脑上看到这篇公众号上的文章，不能刷帖子，逛知乎，看抖音），就连可以传输数据一切通道都被取缔（蓝牙、USB、WiFi热点等等）。

C、数据安全建设：企业采取的保护数据安全的措施，包括制定企业的安全要求和规范，必要的使用数据流程，以及部署的信息安全设备和产品。我们这篇文章特指企业为了保护内部数据安全而常见的采用的技术手段和数据安全产品。

02/5 一半躺平，一半披荆斩棘的 CSO、CIO 们

经过安全乙方厂商们十年如一日的宣贯和用户教育，甲方的安全专家或者 CIO 们都默契地达成了某种共识，那就是要给老板交差，哦不，是要保护好企业的数据的安全，那就得在员工电脑上安装 DLP 产品，或者网络上安装上网行为审计系统，更好的就是要在自家的各个内部系统上做好权限控制和日志审计。

如果 DLP 或者上网行为审计都解决不了问题，那就没我什么责任了，因为大家都这么干的，我尽到职责了。如果公司研发不愿意按要求去排期整改应用系统，去脱敏数据或者加数据下载审批流程，那也不是我们安全团队的责任了，安全的要求我们提到了，安全的风险也告知了。

还有很多意识到了当前安全方法局限的 CSO 和 CIO 们，处境也极其尴尬。由于缺乏好用的工具，当他们尝试针对性地做出改变的时候，其面对的是企业从老板到一线员工的整体反抗，理由是影响了办公效率和体验，安全始终要为业务让步。

03/5 开放式企业里，拿数据就跟捡掉马路上的钱一样容易

自由和安全，无论应用在怎样的场景里，恐怕都是一对矛盾的冤家，在企业里如果追求的第一目标是员工的办公自由和效率，那么一定牺牲了数据安全；反之如果要核心保障数据安全，一定会限制员工的自由空间和行动效率。

好的 CSO 和 CIO 是在深刻理解企业属性的基础之上，在自由和安全两者之间建立一种平衡。其他则多是追随大众，在某个黑暗的角落里默默上线各种安全设备和监控产品，因为其隐蔽性，既不会被员工发现而遭受责骂，又符合行业通用玩法可以和老板交差。

接下来我们从行业里看到的几种典型的场景，即可看出一些企业当前的安全策略和防护手段的脆弱。

1、绕开终端，直接搬运数据

案例一：公司内部有个技术论坛，上面有很多深度的技术文章，员工李四想备份一份，以后即使离职了也能看，他是怎么做的。

第一步，打开在线笔记等任意可以存储文字的第三方平台。

第二步，把公司论坛上的数据复制并存储到第三方平台。

方法简单的实在让人怀疑人生，然而事物本质往往就是如此的平淡无奇。这一切都要感谢互联网的便捷，和传统安全的过时。如果你非要责骂，公司在安全建设上花了这么多的人力物力，连这都防不住，那就听听它们怎么说。

终端监控软件 DLP 君：“我只管文件，没看到有文件从电脑发出去啊，别听那些子虚乌有的事，咱家数据安全着呢。”

网络上网行为管理君：“网站流量都加密了，我也不知道里面夹杂了多少私货啊。再说了，员工要是没连公司网络，连个 Wifi 热点啥的，人家中途换道了，压根不走我这路过，我可管不着。反正要是哪个不长眼的，在公司网络环境里上了招聘网站，身在曹营心在汉，我门清。”

锅甩完了，数据也就这么轻松地出去了。

2、绕开文字，直接搬运图片

案例二：公司内部系统做了只读限制，数据都复制不了，就像百度文库一样，李四还是不死心想在家也能好好学习，他又想了什么办法。

这可难不着身为程序员的李四，只见他不慌不忙的打开了浏览器开发者工具，你以为他要敲几行神秘的代码，直接修改系统的权限，取消系统只读的限制吗。不，他只是默默按下了 CTR + SHIFT + P 的快捷键，推开了浏览器的密门，然后用 screenshot 的命令，直接自动截了个长屏快照。

截屏完成后会自动从浏览器下载到电脑，当然李四也可以安装个第三方浏览器的截屏插件，截完屏幕直接存储到云端，都不用下载。因为是图片在网络中传输，即使有网络层的安全软件检测，它也无法识别里面具体内容，而是只能看到一串随机命名的图片名。

当然了，哪里需要担心这么多，索性截屏保存到办公电脑，再通过企业 IM 软件发给同事，假其名说这篇文章写得真好分享给你看看，转手在手机端保存图片到相册就好了，整个过程理由正当，也达到了自己保留珍贵学习资料的目的。

04/5 CSO 不提，老板不问，员工无所顾忌

实在不能再讲案例了，再继续就变成魔法揭秘了。上面讲述的，是我们目前在企业内极其常见的数据外泄方式。并不是什么秘密，只是借助这样的事实让大家对传统的安全方法有个感性的认识，在面对移动互联网之后的办公时代，其存在已经变成了有胜于无的意义。这样的事实也是为所有人都知晓，但奇妙在大家都心安理得的达到了一种平衡状态。

CSO 不提，老板不问，员工无所顾忌。

结果就是我们时常看到，对于企业，今天这家著名企业数据泄露了，CEO 发个微博表个态，明天再换另一家著名 CEO 登场道歉。对于个人，我们刚在某机构办理了相关业务，一出机构大门就能收到精准营销电话。

05/5 解题思路：开放地使用外部服务，受控地使用办公系统

没有谁主动地想要回到石器时代生活，大部分企业也无法接受做严格的内外网隔离，去牺牲效率而换来极致的安全。如何兼顾使用互联网的自由和保障企业的数据安全，需要寻求一种区别于传统安全技术和方法的新范式。

进入移动互联网时代后，安全圈里流行的话语是，边界思维已经过时了，但这句话其实根本经不起推敲。更严谨的说法是传统的物理边界方法过时了，我们需要新的思路、新的技术和方法，去建立新的边界来保护数据的安全。安全讲究的永远是边界，只不过我们正在经历的是从有型的物理边界过渡到数字的虚拟边界，而这条界限到底怎么划，目前还在各显神通的阶段。

数影的选择，是用浏览器来划分数据在办公与外部环境之间的边界，在办公系统和互联网之间画分了楚河汉界，用安全策略来精细化控制数据的流转，在不改变用户体验、不牺牲办公效率、也不改造应用系统的前提下，顺便解决企业数据安全的难题。

数影星球 - 下一代数字办公空间，帮助企业降本增效、安全办公