假浮蠻自查報(bào)告及整改措施

假浮蠻自查報(bào)告及整改措施背景假浮蠻是一家在國(guó)內(nèi)具有一定知名度的游戲開(kāi)發(fā)公司，其主要業(yè)務(wù)是開(kāi)發(fā)和運(yùn)營(yíng)網(wǎng)絡(luò)游戲。近日，有關(guān)假浮蠻公司未對(duì)游戲玩家賬戶(hù)數(shù)據(jù)進(jìn)行充分保護(hù)的報(bào)道引起了社會(huì)各界的廣泛關(guān)注。據(jù)傳聞，假浮蠻公司近期至少發(fā)生過(guò)兩次泄漏個(gè)人信息的事件，其中包括玩家賬戶(hù)名和密碼等敏感信息。問(wèn)題針對(duì)此類(lèi)事件，假浮蠻公司自籌備期起便高度重視玩家賬戶(hù)數(shù)據(jù)的安全問(wèn)題。然而，在點(diǎn)對(duì)點(diǎn)的深入自查之后，我們不得不承認(rèn)存在著以下問(wèn)題：數(shù)據(jù)存儲(chǔ)策略不合理。我們采用了傳統(tǒng)的關(guān)系型數(shù)據(jù)庫(kù)存儲(chǔ)方案，而未采用更為安全、靈活的分布式數(shù)據(jù)庫(kù)或NoSQL等方案，這導(dǎo)致了數(shù)據(jù)依賴(lài)于硬盤(pán)存儲(chǔ)，易受到物理攻擊。數(shù)據(jù)訪(fǎng)問(wèn)控制不嚴(yán)格。我們的托管商及運(yùn)維團(tuán)隊(duì)能夠直接訪(fǎng)問(wèn)到生產(chǎn)環(huán)境下的一些敏感信息，如玩家賬戶(hù)密碼等信息，但我們卻未能在技術(shù)上對(duì)這些訪(fǎng)問(wèn)進(jìn)行嚴(yán)格限制。安全意識(shí)薄弱。我們的員工在日常開(kāi)發(fā)和測(cè)試中未圍繞數(shù)據(jù)安全問(wèn)題設(shè)定一個(gè)統(tǒng)一的標(biāo)準(zhǔn)和期望，而且花費(fèi)在安全培訓(xùn)上的時(shí)間過(guò)少。當(dāng)然，這些問(wèn)題的導(dǎo)致原因也非常復(fù)雜，涉及到組織管理、技術(shù)設(shè)施等多個(gè)方面。下面是我們?yōu)榇舜螁?wèn)題擬定的整改措施：整改措施數(shù)據(jù)存儲(chǔ)方案升級(jí)：在原有的關(guān)系型數(shù)據(jù)庫(kù)方案上，增加存儲(chǔ)加密模塊，將數(shù)據(jù)加密保存，同時(shí)考慮采用分布式數(shù)倉(cāng)、NoSQL等更為先進(jìn)的存儲(chǔ)方案，以避免存儲(chǔ)垮掉等情況。數(shù)據(jù)訪(fǎng)問(wèn)控制加強(qiáng)：優(yōu)化防火墻規(guī)則，限制數(shù)據(jù)出口等異常行為，增加日志監(jiān)控、審計(jì)等功能,對(duì)外部訪(fǎng)問(wèn)進(jìn)行統(tǒng)一代理，員工只擁有最低限度的訪(fǎng)問(wèn)操作權(quán)限。安全意識(shí)培養(yǎng)：加強(qiáng)員工安全意識(shí)的日常培訓(xùn)，提高員工對(duì)于安全性的重視程度，同時(shí)營(yíng)造一個(gè)安全意識(shí)的工作環(huán)境，從而令員工自覺(jué)遵守相關(guān)規(guī)定，減少人為因素造成的漏洞。上述的整改方案是我們目前考慮最為可行的方案，但也僅僅是一個(gè)初步而不全面的改進(jìn)措施，我們會(huì)在后續(xù)的工作中進(jìn)一步加強(qiáng)人員培訓(xùn)、信息安全準(zhǔn)入和安全性滲透測(cè)試，以確保進(jìn)一步提升數(shù)據(jù)安全性。我們會(huì)盡快采取這些整改措施并嚴(yán)格執(zhí)行，我們堅(jiān)信，通過(guò)這些措施的