你的OA系统，正在裸奔！——捅破数据安全那层窗户纸

别骗自己了。

你可否曾于OA上传过身份证照片, 是否有将合同原稿径直挂至流程附件, 可否有在群里埋怨系统卡顿且顺手截图时把客户信息截入内了?

做过吧？我也做过。

你以为那是工作习惯，其实那是数据裸奔的起点。

别笑。

我曾见到过一家公司, 其员工的 OA 密码通通都是“”, 行政部门那位大姐的密码是“”, 销售总监的密码则是“”。

我向他询问为何设置这个密码, 他表示, 反正系统属于内部的, 哪会有人去看呢?

谁看？

黑客看啊。竞争对手看啊。离职员工看啊。

你昨天夜里与客户商谈的那个极小的隐秘之事, 今儿清晨就已然被他人截取画面发送至竞品群组当中了，而你却还在那里呆呆地询问“究竟是谁泄露了消息? ”。

大部分人以为数据安全=防黑客。

太天真了。

我告诉你真相：绝大多数数据泄露，是“内部人”干的。

有的离职员工, 会将客户资料下载后带走, 这被当作常规的一种操作, 实习生会把OA账号借给朋友, 觉得不过是顺手就能做的事情, 部门经理会把审批单转发到微信群里, 并说, 去看一下这个所报价格是否具有合理性, 接下来整个公司内的人就都看到了。

哦对了，还有那种“我忘了关电脑”的。

你猜怎么着？

第二天，全公司都知道老板给自己老婆发了多少工资。

很多公司OA权限管理就是一团浆糊。

才刚入职的小张, 其权限居然比总监还要大；已经离职半年的老王, 其账号居然还在系统里面晃悠；财务部的那个妹子, 居然能够看到全公司的工资表。

你问她为什么能看？

“不知道啊，系统就这样啊。”

系统就这样？你不管吗？

你不管，那数据安全就跟你没关系了。等着出事了再哭吧。

云服务商确实厉害。

但云服务商负责的是机房安全、网络安全、物理安全。

你OA系统里的那个所谓“文件上传功能”, 究竟是不是不管什么人都能够上传任何一种格式? 有没有出现过有人上传了个病毒上去这种情况? 那个具有“分享链接”之称的功能, 是不是不管是谁都能够毫无限制地去分享? 有没有人把公司拥有的核心合同链接发送到公开的论坛上去了?

云服务商能帮你拦住这些吗？

不能。

安全，永远是你自己兜底。

我见过最离谱的一个案例：

某一个公司的OA系统, 在其登录页面之上写着这样一句话, 即“安全登录, 请使用HTTPS协议”。

但是——

登录进去以后，所有页面都是HTTP。

什么意思呢？

仅仅是最初登录的那一回是采用加密形式的, 然而到了进去之后的阶段, 你所涉及的全部操作。以及浏览行为、上传动作、下载行为这一系列情况, 通通都是以明文方式进行传输的。不管是谁, 只要身处于同一WiFi环境之下, 均能够通过抓包手段看到你所拥有的合同、报价以及客户资料。

这就像什么呢？

你家的防盗门是金的，但门没关。

IT部门能做什么？

他们能给你装防火墙，能给你做备份，能给你设密码策略。

但他们能管住你吗？

你非要将关乎敏感的文件传至 OA, 难道他们具备拦住的条件吗? 你非要把账号密码予以共享, 难道他们拥有记住的实力吗? 你非要点将 OA 截图发送到群里, 难道他们存有追且追回来的能力吗?

管不住的。

真正能管住自己的人，是你自己。

说实话，没有万能药。

但有几件事，现在就能做：

更换密码, 不要再使用生日, 不要再使用手机号, 不要再使用, 使用一些没有人能够猜测到的。

看权限。你能看到哪些信息？你觉得这些信息应该被你看到吗？

对自己的手加以管控, 不要于办公自动化系统之中上传以及分享那些不应当进行上传且分享的事物, 要牢记, 截图按钮以及分享按钮, 其危险性相较于黑客而言更为严重。

倘若你们单位 OA 系统之中的权限治理、文件进行加密、日志予以审计这些功能做得欠佳, 那就跟 IT 讲, 跟领导讲, 千万别等出了事之后才去讲。

我知道你可能觉得我危言耸听。

“我们公司小，没人会盯上我们。”——等被人盯上了，就晚了。

我们公司的领导, 对相关事宜并不予以重视, 等到领导被数据泄露这件事情搞得焦头烂额之时, 他才会重视起来的。

, 其OA系统具备很高的成熟度, 在安全方面有着出色的表现。那你是否清楚, OA系统的安全策略究竟是什么呢?

不知道吧。

去问问。

趁现在还来得及。

毕竟，你的OA系统，可能正在裸奔。

而裸奔的代价，不是你能承受的。