前两天跟一个朋友吃饭，他说接到个卖理财的电话，对方连他去年几月份买的房、在哪家银行办的贷款都说得出来，吓得他当场挂了电话来问我怎么回事。其实这就是典型的信息泄露，你留过底的每一个环节，售楼处、银行、装修公司、各种注册过的APP，都可能有一条链路把数据卖出去。大数据时代数据就是钱，有买卖就有泄露，今天就把企业和个人两头常见的信息安全坑掰开讲讲。

先说企业这边，最常见的泄露点其实是内部。很多公司的客户资料是放在共享盘里的，全公司人人都能看能拷，销售离职的时候顺手把客户名单带走，转头就到了同行手里，这种事天天都在发生。正确的做法是权限分级，谁能看哪些数据要有明确边界，核心数据只对少数人开放，重要操作留日志，谁在什么时候导出过什么，事后能查到人。别觉得上了什么高大上的系统才叫安全，把共享盘的权限理清楚，就能挡掉一大半风险。

第二个大头是第三方。现在做APP做小程序，接个统计SDK、短信通道、云存储稀松平常，问题就出在这：你接的每一个第三方都能碰到你的数据，它们的池子出事，你的用户数据跟着遭殃。还有云存储配置错误这个老毛病，云端对象存储桶设成了公开可读，等于把数据库敞开大门放互联网上，近几年好几起大泄露都是这么来的，爬虫一扫一个准。所以接第三方之前要看清楚它的资质和数据用途，云服务的权限配置上线前必须过一遍，默认公开的一律改掉。

企业具体该做什么，说几条实在的。第一是数据脱敏，手机号、身份证号这种敏感字段，展示的时候打个码，测试环境用假数据，别把真实用户库拖一份给外包人员调试。第二是传输和存储加密，网站全站上HTTPS现在基本是标配，数据库的敏感字段加密存储，就算被拖库，拿到手的也是密文。第三是定期备份而且备份也要设权限，勒索病毒把生产数据加密了，备份就是最后的救命稻草，但备份暴露在外网照样会被一锅端。第四是员工意识培训，钓鱼邮件、伪装成财务系统的木马，中招的大多是不懂技术的前台和财务，一年搞一两次演练比买设备管用。

再说法律这条线，这几年监管是明显收紧的。网络安全法、数据安全法、个人信息保护法接连落地，收集用户信息讲究最小必要原则，APP超范围索权、强制要通讯录这些以前没人管的事，现在投诉一个查一个，头部APP被下架整改的案例都有过。企业收集了数据就要对它负责，泄露了不光是信誉问题，是要按个保法吃罚单的，情节严重的罚款能到上一年营业额的百分之五。所以别抱着规模小没人查的侥幸心理，做数据的合规这根弦得绷着。

普通人在大数据时代怎么保护自己，也说几条能落地的。注册APP能不实名就不实名，权限该拒就拒，一个手电筒软件要通讯录，直接不用它就是了。快递单撕掉或者用隐私面单，收货名字留个姓就行。密码别一套走天下，尤其支付类和邮箱得分开设，邮箱密码泄露了，靠找回密码能连环破掉你一堆账号。街上扫码送礼品那种，扫的是你的手机号加人脸，小礼物十几块钱，卖出去的信息能被倒手好几年，这个便宜真别占。

总结一下：大数据时代信息安全和每个人都有关。企业这边重点是权限分级、数据脱敏、加密备份、管住第三方接口，再绷紧合规这根弦；个人这边就是少授权、分密码、护好手机号和身份证号。数据泄露防不了绝对，但把容易的口子都堵上，九成的坑都能避开，这跟装防盗门一个道理——不求防住高手，但求别让别人一推就开。