数据安全保护：别等隐私裸奔才想起补门
上个月帮我妈出闲置旧iPhone，在二手市场碰到个收机老板，当着我的面用恢复软件扫了十分钟，掏出我三年前删的隐私截图给我看。我当场鸡皮疙瘩掉一地。
真的。你说删都删了，怎么还能挖出来？
二手手机数据残留恢复实验实拍图
说实话，看到这个结果的时候我第一反应是，合着我这么多年删文件的操作，全是自欺欺人？
其实懂点技术的都知道，我们点下删除键的那一刻，存储设备根本没真正擦掉数据，只是把这个文件对应的地址标记成“可以被新数据覆盖”，只要你没往里面存新东西，哪怕过个三五年，专业软件随便一扫就能全挖出来。
前两年我看过一则新闻，有人在二手平台收旧硬盘，专门挖里面的隐私信息，凑够几十万条个人信息卖了几十万，最后被抓的时候，警察从他电脑里搜到了上百家公司的内部标书、员工资料。
离谱吧？很多企业淘汰旧设备的时候，图省钱，随便卖给收废品的，连硬盘都不物理销毁，这不就是把数据往别人怀里送吗。
企业内部数据访问权限分级示意图
不过话说回来，现在国内科研圈做数据安全保护，已经跟着这个趋势变了方向，好多新成果都是盯着“人”的漏洞补。
我前段时间看浙江大学计算机学院发的新成果，他们做的动态脱敏技术，跟以前那种一刀切抹掉敏感信息完全不一样。只要有人访问数据，系统会自动根据对方的权限调整显示内容：客服能看到客户的手机号，方便联系，但是看不到客户的银行卡号；市场部能看到区域消费数据，但是看不到单个用户的所有隐私信息，哪怕有人想偷偷拷走，拿到的也全是加密后的乱码，根本用不了。
还有中国人民大学数据工程实验室做的数据血缘追踪，只要敏感数据被调用，从谁访问、谁转发、最后存在哪，每一步都留着不可篡改的标记，出了事一分钟就能定位到源头，不像以前，出了泄密事件，查半个月都摸不着头脑。
技术是越来越好，但架不住很多人根本不当回事啊。上个月跟一个金融机构做数据合规的朋友吃饭，他吐槽说单位花了四百多万上了全套防护系统，结果一个部门总监为了方便，把自己的高权限账号密码给了新来的实习生，实习生拿账号转了一堆数据存私人云盘，差点捅出大篓子。
普通用户能做的，其实就是这几件小事
很多人觉得，数据安全保护是大企业、科研机构的事，我一个普通人，哪有那么多重要数据需要保护？
别这么想。你填给外卖平台的地址电话，你存手机里的身份证照片，你挂号买药用的医保信息，全都是数据。真泄露了，找你精准诈骗的，给你打骚扰电话的，全来了。
我自己总结了几个靠谱的方法，都是从网安领域科研科普里看来的，亲测有用。
首先，卖旧手机旧硬盘的时候，别只恢复出厂或者格式化。找个免费的大文件填充工具，把整个存储盘塞满没用的大视频，填满再删掉，反复两三次，原来的数据就真的谁都恢复不出来。要是实在嫌麻烦，旧硬盘干脆砸了，也卖不了几个钱，总比泄露数据强。
其次，别什么APP都给权限。我现在除了导航、外卖，其他所有APP的位置权限、通讯录权限全关了，很多APP根本就不需要这些权限，要就是为了挖你信息卖钱。关了之后，骚扰电话都少了一半。
最后，真的别把重要隐私文件往免费网盘、公共云盘存。你根本不知道这些平台的安全防护做得到底怎么样，真出了泄露，你哭都没地方哭。真要存重要东西，买个几百块的加密移动硬盘，存本地，最稳妥。
对了，别信那些网上吹得神乎其神的隐私保护APP，十个有八个本身就是窃数据的，你装它保护隐私，反倒把自己卖了，得不偿失。
现在每个人的生活，都泡在数据里。你的每一次点击，每一次消费，每一次出行，全变成了存储在服务器里的字节。数据安全保护，从来不是写在论文里的课题，也不是只给大企业做的生意，它就是你我每天都要面对的事。多留个心眼，总没错。对吧？
你以为删了就干净？科研数据揭开的真相，吓出一身冷汗
去年中科院信工所网络安全研究室发过一份实测报告，他们找了市面上12款不同品牌的二手安卓、苹果手机，都是用户按照常规流程恢复出厂设置之后回收来的。结果呢？平均每台手机能恢复出超过320MB的个人隐私数据，包含照片、身份证扫描件、聊天记录、银行转账截图，最夸张的一台旧手机，居然恢复出了原用户近一年的全部出行记录和支付账单。二手手机数据残留恢复实验实拍图
说实话，看到这个结果的时候我第一反应是，合着我这么多年删文件的操作，全是自欺欺人？
其实懂点技术的都知道，我们点下删除键的那一刻，存储设备根本没真正擦掉数据，只是把这个文件对应的地址标记成“可以被新数据覆盖”，只要你没往里面存新东西，哪怕过个三五年，专业软件随便一扫就能全挖出来。
前两年我看过一则新闻，有人在二手平台收旧硬盘，专门挖里面的隐私信息，凑够几十万条个人信息卖了几十万，最后被抓的时候，警察从他电脑里搜到了上百家公司的内部标书、员工资料。
离谱吧？很多企业淘汰旧设备的时候，图省钱，随便卖给收废品的，连硬盘都不物理销毁，这不就是把数据往别人怀里送吗。
数据安全保护的新战场，早就转到“人”身上了
往前推十年，一提数据安全，所有人都盯着外面的黑客，觉得把防火墙搭好，把漏洞补上就万事大吉。 现在呢？今年清华大学交叉信息研究院发布的《国内数据安全事件年度分析》里写得明明白白，超过58%的数据安全事件，问题出在内部。 有拿数据换钱的内鬼，也有图方便的无心之失。我认识一个做电商的老板，去年就是运营把整个客户信息库随便传到个人微信，方便回家加班，结果手机丢了，十几万客户信息全漏了，最后被监管罚了两百多万，差点把店关了。企业内部数据访问权限分级示意图
不过话说回来，现在国内科研圈做数据安全保护，已经跟着这个趋势变了方向，好多新成果都是盯着“人”的漏洞补。
我前段时间看浙江大学计算机学院发的新成果，他们做的动态脱敏技术，跟以前那种一刀切抹掉敏感信息完全不一样。只要有人访问数据，系统会自动根据对方的权限调整显示内容：客服能看到客户的手机号，方便联系，但是看不到客户的银行卡号；市场部能看到区域消费数据，但是看不到单个用户的所有隐私信息，哪怕有人想偷偷拷走，拿到的也全是加密后的乱码，根本用不了。
还有中国人民大学数据工程实验室做的数据血缘追踪，只要敏感数据被调用，从谁访问、谁转发、最后存在哪，每一步都留着不可篡改的标记，出了事一分钟就能定位到源头，不像以前，出了泄密事件，查半个月都摸不着头脑。
技术是越来越好，但架不住很多人根本不当回事啊。上个月跟一个金融机构做数据合规的朋友吃饭，他吐槽说单位花了四百多万上了全套防护系统，结果一个部门总监为了方便，把自己的高权限账号密码给了新来的实习生，实习生拿账号转了一堆数据存私人云盘，差点捅出大篓子。
普通用户能做的，其实就是这几件小事
普通用户能做的，其实就是这几件小事
很多人觉得，数据安全保护是大企业、科研机构的事，我一个普通人，哪有那么多重要数据需要保护？
别这么想。你填给外卖平台的地址电话，你存手机里的身份证照片，你挂号买药用的医保信息，全都是数据。真泄露了，找你精准诈骗的，给你打骚扰电话的，全来了。
我自己总结了几个靠谱的方法，都是从网安领域科研科普里看来的，亲测有用。
首先，卖旧手机旧硬盘的时候，别只恢复出厂或者格式化。找个免费的大文件填充工具，把整个存储盘塞满没用的大视频，填满再删掉，反复两三次，原来的数据就真的谁都恢复不出来。要是实在嫌麻烦，旧硬盘干脆砸了，也卖不了几个钱，总比泄露数据强。
其次，别什么APP都给权限。我现在除了导航、外卖，其他所有APP的位置权限、通讯录权限全关了，很多APP根本就不需要这些权限，要就是为了挖你信息卖钱。关了之后，骚扰电话都少了一半。
最后，真的别把重要隐私文件往免费网盘、公共云盘存。你根本不知道这些平台的安全防护做得到底怎么样，真出了泄露，你哭都没地方哭。真要存重要东西，买个几百块的加密移动硬盘，存本地，最稳妥。
对了，别信那些网上吹得神乎其神的隐私保护APP，十个有八个本身就是窃数据的，你装它保护隐私，反倒把自己卖了，得不偿失。
现在每个人的生活，都泡在数据里。你的每一次点击，每一次消费，每一次出行，全变成了存储在服务器里的字节。数据安全保护，从来不是写在论文里的课题，也不是只给大企业做的生意，它就是你我每天都要面对的事。多留个心眼，总没错。对吧？