[IT咖啡]接连遭黑客攻击后政府“放大镜”审查企业安保系统…企业叫苦不迭
过度审查要求令企业担忧“安全投入或被挤压”
在近期接连发生大规模黑客事件之后，政府像用显微镜一样审查企业安全系统，IT业界因此出现了“现在不叫安全团队，而是报告团队了”的抱怨。由于社会对个人信息泄露的敏感度提高，加之政府层面的对策接连公布，业界不满称，政府要求深入查看企业内部安全状况的力度已异常强化。
据业界13日消息，部分企业近期接到政府要求，需提交终端检测与响应系统（Endpoint Detection & Response，EDR）等日常安全探测记录，以及渗透测试（模拟黑客攻击）结果报告。EDR是一种在个人电脑、服务器等终端和服务器上，实时探测并拦截恶意代码流入、可疑行为、策略违规等情况的解决方案，即便在正常办公环境中，也会频繁产生轻微警告或探测事件。
某IT企业安全负责人表示：“安全解决方案发出警告本来就是正常现象，让我们把这些全部提交，实际上就是要我们建立24小时报告机制。”他还称：“业界甚至流传，如果要这样，还不如干脆别导入这些解决方案。”随着政府要求部分企业提交渗透测试结果，业界的苦恼也在加深。渗透测试结果中详细列出了企业的漏洞清单等内容，被归类为最高级别的敏感信息。一位安全专家指出：“企业花费大量成本查找漏洞，是为了内部改进过程，如果被要求对外提交这些资料，渗透测试本身难免会被压缩、萎缩。”
有意见称，如果企业不愿提交资料，甚至还受到“那就从执行渗透测试的外部安全公司那里直接获取”的压力。有证言表示，确实出现过这种说法。Innotium代表 Lee Hyungtaek对此表示：“连所有内部探测记录和员工行为日志都能看到的资料，企业很难轻易拿出来，”并称：“如果想赋予强制力，必须先拿到搜查令，这是业界普遍、常识性的看法。”
业界的不满情绪也延续到了上个月政府宣布将引入的“信息保护等级制”上。该等级制被纳入政府跨部门信息保护综合对策中，原本并未出现在科学技术信息通信部的初稿中，但业界流传的说法是“在总统办公室层面被强行推进”。这是一个将企业安全水平划分为多个等级的构想，但在实际一线却传出“不就是花钱多就能拿到一级吗”“只会强化企业间的比较和贴标签”的不满声音。
安全专家担忧，这一趋势从长期来看可能削弱信息保护生态。一家安全公司的专家指出：“可以理解政府想通过获取资料来研究黑客攻击原因的意图，但如果为此过度索取敏感的内部数据，不仅一线部门会面临巨大压力，整个产业也会因此受到抑制，产生严重的副作用。”
版权所有 © 阿视亚经济 (www.asiae.co.kr)。 未经许可不得转载。
