一系列的网络安全漏洞
Facebook用户隐私泄露，台积电工厂病毒感染，“小黑盒”3秒破解智能锁，腾讯云“数据丢失”，拼多多被“薅羊毛”……在互联网、移动互联网、物联网领域，有关网络安全的案例总是不胜枚举。
安全专家Bruce Schneier曾撰文表示增加网络安全风险的三个方面，分别是：
系统的软件控制：越来越多的设备联网，被软件控制，意味着可能受到攻击的数量迅猛增长;
系统间的相互连接：当系统变得相互关联时，一个系统的漏洞容易牵连其他系统受到攻击;
自动或自治系统：当联网设备普遍具有自主能力时，从安全的角度看，这意味攻击的影响可以立即、自动和广泛生效。
因此，随着物联网发展带来的海量设备联网，我们更加生活在一个不安全的网络世界。但此类文章最希望大家记住的，并不简单是一些危言耸听的标题。
监管的作用
当数据变成金矿，对监管，数据保护和隐私的呼吁就越来越多。监管合规将成为网络安全的重要因素。而在监管方面最严格，最完善的，无疑是欧盟议会和欧盟理事会在?2016?年?4?月通过，在?2018?年?5?月开始强制实施的规定——GDPR(通用数据保护条例)。
此处笔者选取几项条例以作说明：
企业在收集用户的个人信息之前，必须以“简洁、透明且易懂的形式，清晰和平白的语言”向用户说明——将收集哪些信息;如何存储收集到的信息;如何使用存储的信息;以及企业的联系方式。
用户享有对应的数据访问权、被遗忘权、限制处理权，以及数据携带权等权利。
在GDPR下存在两种罚款。第一，未能在发现数据泄露后的72小时内向ICO报告，组织将面临高达其年营业额2%或1000万欧元的罚款;第二，若违反通用数据保护条例，违规公司将付出年度营业额的 4%，或者2000万欧元(以数目更高者为准)的罚款。
所以本周，我们看到，谷歌被罚款了，产生了GDPR实施以来的第一例罚款案例。
外媒报道，法国数据保护委员会以违反GDPR为由，对谷歌开出5700万美元的罚单，称其未向用户正确披露其数据如何被收集并用于定向广告。谷歌也对此回应：“将严格遵守透明度和用户管理以及GDPR的要求，并采取下一步行动。”
对于GDPR是否适用国内企业，条例中也有说明：企业如果有欧盟国家的业务，或者有欧盟国家的用户使用公司的软硬件产品，就必须遵守GDPR规则。而且，对于国内企业来说，不只是GDPR，企业应当审视是否满足了比如《网络安全等级保护条例》等一些其他安全合规要求。
换句话说，在经济全球化，企业出海更加频繁，政府法规趋向严格的当下，中国互联网、物联网企业十分有必要在数据保护与隐私方面做好准备，制定措施。
企业的安全意识
百度CEO李彦宏曾经提过：“中国人更加开放，或者说对隐私问题没那么敏感，如果说用隐私来交换效率或者便捷性，很多情况下大家是愿意这么做的。”其实这句话不无道理，也代表着一部分企业的态度，但并不意味着企业可以毫无节制，比如一款需要获取用户短信、通讯录权限的日历软件，用户自然是要打个问号甚至反感的。
增减权限，这是技术上很好操作的事，但企业关于网络安全保护的意识，却是安全建设的关键。以下我们将主要从物联网安全角度展开描述。
1. 企业高管的直接重视
根据美国公司SailPoint的2018市场调查报告：“75%的员工承认在帐户中重复使用密码。”
乍看起来，这似乎与物联网安全无关，但它正可以告诉我们在整体安全风险意识方面，员工依然没有养成安全相关习惯。在这份报告中，86%的受访者认为他们的企业需要提高对物联网威胁的认识。
随着与物联网相关的威胁级别和安全挑战的增加，严重的知识缺乏将使企业面临巨大风险。
因此，企业应着力在执行层面上创建安全意识，并培训相关人员。通俗点说，搞清楚谁将为物联网安全负责，是CIO、CTO，还是CSO，其实也是十分重要的一点。
当研究机构就“谁在组织中负责物联网安全”提出问题时，33%的人选择了CIO，15%的受访者表示没有相关职能部门。
2. 优先关注最需要的环节
在报告中，超过50%的IT和安全决策者表示，为了防止物联网安全攻击，他们会优先考虑安全解决方案中的一些关键功能，比如监控异常行为、漏洞管理等等。
也有37%的受访者表示，他们并不总是能够在实施物联网解决方案之前确定好安全需求。由此，Gartner提出，到2020年，物联网安全增长的最大抑制因素将归因于物联网规划中缺乏优先级，缺乏实施安全的最佳实践和工具。并且因为这些，包含物联网安全企业、安全标准组织、联盟组织在内的各方，正在着手建立针对物联网安全组件的技术标准，希望打造通用架构或者一致的安全策略，帮助用户优先解决最薄弱的痛点需求。
3. 与专业安全公司紧密合作
未来几年，企业的业务更加趋向云化，黑客、黑产攻击的形式越来越多样，技术手段会越来越强。所以，阿里巴巴达摩院将“数据安全保护技术加速涌现”列入2019十大科技趋势，一点都不过分。
而且，攻击通常要比防御简单得多。如果是攻击，只要找一个方式就可以了，但如果是防御，就得想出无数的方法，来应对五花八门的攻击。在这一点，企业与专业安全公司紧密合作就十分有必要了，一方面是获得安全防护能力，另一方面是获得必要的安全咨询服务。
第三十八届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训
责编：zhangmm
免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。
抢沙发
