第64章 審查
「王工，這個OA系統的權限設置，我有點不明白。」
我把列印出來的技術文檔推到對面工程師面前，指著用紅筆圈出的地方。
屏幕上是那個新外包公司做的OA系統測試界面，背景是長城石化燕山分公司醒目的Logo。
工程師小王湊近看了看：「林姐，哪裡不明白？」
「這個權限樹是按部門層級設計的，很標準啊。」他是我們IT技術部派來配合我這個法務專員做OA系統合規審查的。
「標準？」我點了點文檔里的一行小字。
「你看這裡，『超級管理員帳戶可臨時開放全庫數據查詢權限，用於緊急技術支持』。這個『全庫數據』，包含哪些？」
小王愣了一下：「呃……理論上，是整個系統的後台資料庫吧，用戶信息、流程審批記錄、文件存儲路徑……」
「系統里有的，都能看。」
我心裡不禁打了個問號：「給一個外包公司的臨時技術支持人員開這麼高的權限？而且，這權限怎麼收回？有記錄嗎？」
「流程上……」小王點開系統後台的一個設置頁面。
「需要甲方，也就是我們這邊，有審批權限的主管授權，生成一次性臨時密碼。」
「用一次就失效了。記錄……後台操作日誌應該會記吧？」他說著，自己也不太確定地翻找起來。
我盯著他屏幕上的後台管理界面，那個權限管理模塊的菜單項名字叫「上帝之眼」。
這名字讓我很不舒服，「王工，麻煩你模擬一下，給這個『上帝之眼』授權，看看操作日誌里到底記不記，記什麼。」
小王依言操作。他用自己的帳號發起授權申請，我模擬主管審批通過。
系統很快生成了一個臨時帳號和密碼。他用這個臨時帳號登錄，然後在資料庫查詢界面隨便點了個「查詢所有用戶信息」。
「好了，看看日誌。」我催著他。
小王切到系統日誌模塊，「奇怪……只記了『臨時管理員帳號登錄』和『執行資料庫查詢操作』。」
「查了哪個表？查了什麼內容？沒記錄。」
這不就是個後門嗎？一個可以繞過所有常規審計，悄無聲息翻看公司核心數據的洞！
「立刻終止測試！斷開測試環境與內網的連接！馬上！」我急切的提醒道。
小王也意識到問題嚴重性，手忙腳亂地操作起來。
我抓起桌上的電話，直接撥給了法務陳總監。
「陳總，OA系統審查發現重大安全隱患！」我語速飛快。
「外包方案里預留了『超級管理員』臨時權限，授權流程不嚴謹，關鍵操作日誌記錄不全，形同虛設！」
「我懷疑這權限能被用來隨意訪問甚至導出我們所有的數據、審批流程甚至文件！」
電話那頭沉默了一秒，傳來的是陳總監嚴肅的聲音，「你確定？測試環境斷開了嗎？」
「確定！王工正在斷，剛模擬操作驗證了日誌缺失問題。」
「那個權限模塊名字就叫『上帝之眼』，感覺設計者根本沒把數據安全當回事！」我忍不住加了一句。
「名字不重要，漏洞性質才要命。小林，你做得對，反應很快。」陳總監的聲音帶著肯定，「立刻把發現的所有問題點、操作記錄截圖、技術文檔相關頁，整理成書面報告，加密發我郵箱。」
「我馬上向分管領導匯報。這個外包公司，叫『智捷科技』是吧？」
「讓他們負責人下午兩點，到我辦公室來一趟！我倒要看看，他們這『智』和『捷』，用在什麼地方！」
「明白！」我放下電話，小王已經把測試環境徹底隔離了，正緊張地看著我。
「林姐，這……問題這麼大嗎？」
「用戶信息、通訊錄、所有文件的審批流轉記錄、甚至可能涉及一些非公開的技術文檔編號路徑……你覺得呢？」
我反問他，「這要是正式上線了，被有心人利用，後果不堪設想。」
「小王，你幫我把剛才操作的所有步驟、頁面截圖，都保存下來，越詳細越好。」
「特別是那個『上帝之眼』的授權過程和日誌記錄缺失的證據。」
「好！好！」小王連連點頭，立刻埋頭操作起來。
下午一點五十分，我抱著整理好的材料，站在陳總監辦公室門口。
他正打電話，語氣很強硬：「對，這安全紅線！這不是技術瑕疵，是原則問題！必須徹查！」
「……好，下午我們先會會他們。」
他掛斷電話，示意我進去。「材料給我。」
他快速翻閱著我整理的報告，「『上帝之眼』？好大的口氣！等會兒讓前台帶他們進來。」
兩點整，前台領著兩個人進來了。
領頭的是個穿著條紋POLO衫的中年男人，臉上堆著職業化的笑容，後面跟著個拎著電腦包的年輕人，應該是助理。
「陳總您好您好！鄙人張明，智捷科技的銷售總監。」
「這位是我們技術顧問小李。貴公司對我們系統有什麼寶貴意見，儘管提！」張明熱情地伸出手。
陳總監無視了他伸過來的手，只是指了指對面的椅子。
「坐。林專員，你把發現的問題跟張總詳細說說。」
我翻開報告，直接點出核心。
「張總，貴公司設計的OA系統中，『上帝之眼』這個超級管理員臨時權限模塊，存在嚴重安全隱患。」
「授權流程中甲方審批流過於簡化，最關鍵的是，獲得權限後的操作日誌嚴重缺失，無法追溯具體查看了哪些敏感數據。」
「這在技術上等於開了一個不受控的後門，完全違反了我們合同里關於數據安全和審計追蹤的強制性條款。」
張明的笑容僵了一下，「哎喲，林專員，您太專業了！」
「這個權限嘛，主要是為了方便我們的工程師在緊急情況下快速定位問題，提高服務效率。」
「日誌記錄我們確實優化得不夠到位，但初衷絕對是好的！都是為了給貴公司提供更高效的服務嘛！」
「這個功能，很多大公司都在用的，沒聽說出什麼問題……」
「張總，」陳總監打斷他，「『很多大公司在用』不能成為藉口。長城石化的數據安全標準，就是我們的底線。」
「『初衷好』更不能掩蓋設計上的重大缺陷和潛在風險。你們這個『上帝之眼』，在我們看來，是『漏洞之眼』！」
「這個權限必須取消，相關的日誌審計功能必須按照合同要求，完整、準確地實現。」
「否則，這個項目，我們只能按合同約定，終止合作，並保留追究貴公司違約責任的權利！」
張明的笑容徹底消失，「陳主任，林專員，別激動，別激動！」
「我們改！我們一定按要求改！這個功能我們立刻下線，審計模塊我們連夜加班優化，保證達到您的要求！」
「您看，合作這麼久了，給個機會……」
陳總監沒鬆口：「機會不是我們給的，是看你們整改的實際行動和結果。」
「信息數據安全無小事，這不是討價還價的生意。林專員會持續跟進你們的整改方案和技術驗證。」
「記住，我們要的是看得見、查得著的安全，不是空頭支票。」
送走臉色灰敗的智捷科技兩人，我長長舒了口氣。
陳總監揉了揉眉心：「小林，這次多虧你心細。」
「安全這根弦，一刻都不能松。他們後續的整改驗證，盯緊點。」
我把列印出來的技術文檔推到對面工程師面前，指著用紅筆圈出的地方。
屏幕上是那個新外包公司做的OA系統測試界面，背景是長城石化燕山分公司醒目的Logo。
工程師小王湊近看了看：「林姐，哪裡不明白？」
「這個權限樹是按部門層級設計的，很標準啊。」他是我們IT技術部派來配合我這個法務專員做OA系統合規審查的。
「標準？」我點了點文檔里的一行小字。
「你看這裡，『超級管理員帳戶可臨時開放全庫數據查詢權限，用於緊急技術支持』。這個『全庫數據』，包含哪些？」
小王愣了一下：「呃……理論上，是整個系統的後台資料庫吧，用戶信息、流程審批記錄、文件存儲路徑……」
「系統里有的，都能看。」
我心裡不禁打了個問號：「給一個外包公司的臨時技術支持人員開這麼高的權限？而且，這權限怎麼收回？有記錄嗎？」
「流程上……」小王點開系統後台的一個設置頁面。
「需要甲方，也就是我們這邊，有審批權限的主管授權，生成一次性臨時密碼。」
「用一次就失效了。記錄……後台操作日誌應該會記吧？」他說著，自己也不太確定地翻找起來。
我盯著他屏幕上的後台管理界面，那個權限管理模塊的菜單項名字叫「上帝之眼」。
這名字讓我很不舒服，「王工，麻煩你模擬一下，給這個『上帝之眼』授權，看看操作日誌里到底記不記，記什麼。」
小王依言操作。他用自己的帳號發起授權申請，我模擬主管審批通過。
系統很快生成了一個臨時帳號和密碼。他用這個臨時帳號登錄，然後在資料庫查詢界面隨便點了個「查詢所有用戶信息」。
「好了，看看日誌。」我催著他。
小王切到系統日誌模塊，「奇怪……只記了『臨時管理員帳號登錄』和『執行資料庫查詢操作』。」
「查了哪個表？查了什麼內容？沒記錄。」
這不就是個後門嗎？一個可以繞過所有常規審計，悄無聲息翻看公司核心數據的洞！
「立刻終止測試！斷開測試環境與內網的連接！馬上！」我急切的提醒道。
小王也意識到問題嚴重性，手忙腳亂地操作起來。
我抓起桌上的電話，直接撥給了法務陳總監。
「陳總，OA系統審查發現重大安全隱患！」我語速飛快。
「外包方案里預留了『超級管理員』臨時權限，授權流程不嚴謹，關鍵操作日誌記錄不全，形同虛設！」
「我懷疑這權限能被用來隨意訪問甚至導出我們所有的數據、審批流程甚至文件！」
電話那頭沉默了一秒，傳來的是陳總監嚴肅的聲音，「你確定？測試環境斷開了嗎？」
「確定！王工正在斷，剛模擬操作驗證了日誌缺失問題。」
「那個權限模塊名字就叫『上帝之眼』，感覺設計者根本沒把數據安全當回事！」我忍不住加了一句。
「名字不重要，漏洞性質才要命。小林，你做得對，反應很快。」陳總監的聲音帶著肯定，「立刻把發現的所有問題點、操作記錄截圖、技術文檔相關頁，整理成書面報告，加密發我郵箱。」
「我馬上向分管領導匯報。這個外包公司，叫『智捷科技』是吧？」
「讓他們負責人下午兩點，到我辦公室來一趟！我倒要看看，他們這『智』和『捷』，用在什麼地方！」
「明白！」我放下電話，小王已經把測試環境徹底隔離了，正緊張地看著我。
「林姐，這……問題這麼大嗎？」
「用戶信息、通訊錄、所有文件的審批流轉記錄、甚至可能涉及一些非公開的技術文檔編號路徑……你覺得呢？」
我反問他，「這要是正式上線了，被有心人利用，後果不堪設想。」
「小王，你幫我把剛才操作的所有步驟、頁面截圖，都保存下來，越詳細越好。」
「特別是那個『上帝之眼』的授權過程和日誌記錄缺失的證據。」
「好！好！」小王連連點頭，立刻埋頭操作起來。
下午一點五十分，我抱著整理好的材料，站在陳總監辦公室門口。
他正打電話，語氣很強硬：「對，這安全紅線！這不是技術瑕疵，是原則問題！必須徹查！」
「……好，下午我們先會會他們。」
他掛斷電話，示意我進去。「材料給我。」
他快速翻閱著我整理的報告，「『上帝之眼』？好大的口氣！等會兒讓前台帶他們進來。」
兩點整，前台領著兩個人進來了。
領頭的是個穿著條紋POLO衫的中年男人，臉上堆著職業化的笑容，後面跟著個拎著電腦包的年輕人，應該是助理。
「陳總您好您好！鄙人張明，智捷科技的銷售總監。」
「這位是我們技術顧問小李。貴公司對我們系統有什麼寶貴意見，儘管提！」張明熱情地伸出手。
陳總監無視了他伸過來的手，只是指了指對面的椅子。
「坐。林專員，你把發現的問題跟張總詳細說說。」
我翻開報告，直接點出核心。
「張總，貴公司設計的OA系統中，『上帝之眼』這個超級管理員臨時權限模塊，存在嚴重安全隱患。」
「授權流程中甲方審批流過於簡化，最關鍵的是，獲得權限後的操作日誌嚴重缺失，無法追溯具體查看了哪些敏感數據。」
「這在技術上等於開了一個不受控的後門，完全違反了我們合同里關於數據安全和審計追蹤的強制性條款。」
張明的笑容僵了一下，「哎喲，林專員，您太專業了！」
「這個權限嘛，主要是為了方便我們的工程師在緊急情況下快速定位問題，提高服務效率。」
「日誌記錄我們確實優化得不夠到位，但初衷絕對是好的！都是為了給貴公司提供更高效的服務嘛！」
「這個功能，很多大公司都在用的，沒聽說出什麼問題……」
「張總，」陳總監打斷他，「『很多大公司在用』不能成為藉口。長城石化的數據安全標準，就是我們的底線。」
「『初衷好』更不能掩蓋設計上的重大缺陷和潛在風險。你們這個『上帝之眼』，在我們看來，是『漏洞之眼』！」
「這個權限必須取消，相關的日誌審計功能必須按照合同要求，完整、準確地實現。」
「否則，這個項目，我們只能按合同約定，終止合作，並保留追究貴公司違約責任的權利！」
張明的笑容徹底消失，「陳主任，林專員，別激動，別激動！」
「我們改！我們一定按要求改！這個功能我們立刻下線，審計模塊我們連夜加班優化，保證達到您的要求！」
「您看，合作這麼久了，給個機會……」
陳總監沒鬆口：「機會不是我們給的，是看你們整改的實際行動和結果。」
「信息數據安全無小事，這不是討價還價的生意。林專員會持續跟進你們的整改方案和技術驗證。」
「記住，我們要的是看得見、查得著的安全，不是空頭支票。」
送走臉色灰敗的智捷科技兩人，我長長舒了口氣。
陳總監揉了揉眉心：「小林，這次多虧你心細。」
「安全這根弦，一刻都不能松。他們後續的整改驗證，盯緊點。」