我國擁有14億的人口，如何推動零售業(yè)持續(xù)、穩(wěn)定、健康的發(fā)展是社會各界共同關心的課題。隨著“互聯(lián)網+”新零售概念不斷深化，物流快遞行業(yè)也迎來大發(fā)展，新一代信息技術成為物流快遞行業(yè)重要的驅動力。在物流快遞行業(yè)幫助“新零售”走完“最后一公里”的同時，也掌握了海量的用戶數(shù)據，這使得物流快遞行業(yè)信息安全治理變得極其重要?？梢哉f，快遞安全不僅是運輸安全、貨物安全，更重要的是信息安全。
隨著經濟結構不斷優(yōu)化、電子商務恰逢其時，蓬勃發(fā)展，世界正在變得越來越“扁平化”。作為電子商務重要支撐的物流快遞行業(yè)迎來重大發(fā)展契機，也經歷了快速增長。今天，“互聯(lián)網+”新零售熱潮的迅猛襲來使快遞從“小包裹”邁向“大物流”的路徑漸明。物聯(lián)網、人工智能、大數(shù)據、云計算等新一代信息技術的深度應用使物流快遞行業(yè)從人力密集型向技術、資本密集型的趨勢更加明顯。
物流快遞行業(yè)的智能化、數(shù)字化轉型不僅賦能產業(yè)自身發(fā)展，對拉動消費、提振經貿活動同樣發(fā)揮著重要的支撐作用；另一方面，深度分析挖掘并合理利用物流快遞行業(yè)信息數(shù)據，有助于更為科學全面地分析經濟運行狀況，為相關部門掌握經濟發(fā)展脈絡、精準制定產業(yè)政策提供決策依據。
機遇從來都與風險同行。物流快遞行業(yè)的數(shù)字化轉型必然伴隨著信息安全風險。物流快遞信息系統(tǒng)被攻擊、侵入，信息數(shù)據被泄露、濫用，不僅會造成用戶合法的信息權益受損，給用戶帶來財產損失甚至人身傷害，還會影響商家、快遞企業(yè)的品牌和聲譽，更有甚者會危及公眾和社會安全。因此，全面分析評估信息安全風險、總結分享應對措施與攻防經驗、研究提出風險防控建議并形成切實可行的措施成為推進物流快遞行業(yè)健康持續(xù)發(fā)展的題中應有之義，也是本報告編寫之初衷
一、物流快遞行業(yè)迎來快速發(fā)展
物流快遞行業(yè)是推動流通方式轉型、促進消費升級的現(xiàn)代化先導性產業(yè)，在降低流通成本、支撐新型零售發(fā)展、服務生產生活、擴大就業(yè)渠道等方面發(fā)揮了積極作用，已成為我國 民經濟的重要產業(yè)和新增長點。2017 年 2 月，《快遞業(yè)發(fā)展“十三五”規(guī)劃》正式發(fā)布，為物流快遞行業(yè)的發(fā)展謀劃了藍圖。未來，物流快遞行業(yè)將從擴大產業(yè)規(guī)模轉向提高產業(yè)發(fā)展質量和效益。
物流快遞行業(yè)發(fā)展總體情況
今天，我國快遞行業(yè)已常態(tài)化進入單日快遞“億件時代”?？梢哉f，快遞行業(yè)與億萬人民群眾的日常生活息 相關。如圖 1所示，過去幾年中，物流快遞行業(yè)無論是業(yè)務量還是業(yè)務收入都在迅速增長。2018 年，全國快遞服務企業(yè) 務量累計完成 507.1億件，同比增長 26. %；實現(xiàn)業(yè)務收入 6038.4 億元，同比增長21.8%。
從區(qū)域上來看，華東、華南以及京津冀仍是快遞業(yè)務集中的區(qū)域。除中西部的成都和武漢外，業(yè)務量和業(yè)務收入全國排名前十的均為華東、華南以及京津冀城市;
目前，我國快遞企業(yè)超過 2 萬家，從業(yè)人員達到 30 萬，各類營業(yè)網點達到 21.7 萬處，在實現(xiàn)城市全覆蓋的同時，快遞鄉(xiāng)鎮(zhèn)網點覆蓋率超過 86%，全行業(yè)日均服務突破 3 億人次2。如此大的快遞網絡為電子商務發(fā)展提供了堅實的運輸管道，運輸觸角四通八達。
快遞業(yè)的飛速發(fā)展折射出我國蓬勃的經濟活力以及企業(yè)和民眾旺盛的消費能力?？梢哉f，今天的中國很少有人或者企業(yè)完全沒有接觸過物流快遞行業(yè)，沒有購買使用過快遞服務。因此，物流快遞行業(yè)的信息安全問題對每一個人和每一家企業(yè)都至關重要。
01
物流快遞行業(yè)發(fā)展新趨勢
信息技術的深度應用驅動物流快遞行業(yè)智慧升級
在物流快遞行業(yè)，軟件定義物流成為物流快遞行業(yè)的一大創(chuàng)新發(fā)展趨勢。軟件系統(tǒng)逐漸成為物流硬件的“大腦”，軟件“大腦”通過聯(lián)網實現(xiàn)不斷進化與迭代創(chuàng)新，讓物流自動化系統(tǒng)變得更加柔性和智能。自動化流水線、物流機器人、無人機等產品和系統(tǒng)，以及物聯(lián)網、人工智能、機器學習、大數(shù)據、云計算、無人駕駛等技術得到越來越廣泛的應用，既降低了勞動力成本，又提高了倉儲和分撥的智能化和可視化能力，同時還催生出即時物流、新型社區(qū)末端網、前置倉網等新型服務模式，打通了物流“最后一公里”的末端配送網絡，提升了客戶的服務體驗和行業(yè)運行效率。
1.2 快遞企業(yè)紛 加大海外拓展步伐
經濟的全球化加劇了供應鏈體系的全球化，跨境電商因之而迅猛發(fā)展，國內大型快遞企業(yè)也開始全球布局。“菜鳥”和物流合作伙伴搭建起可飛抵 40 余個國家和地區(qū)，共計 106 條航線的全球航空運輸網絡，服務覆蓋 20 余個國家和地區(qū)。順豐集團在新加坡、韓國、馬來西亞、美國等十余個國家設立營業(yè)網點，至少開通了14 條國際航線，物流服務覆蓋了全球 20 余個國家和地區(qū);可以說，隨著我國構建開放型經濟的腳步不斷加快，“一帶一路”倡議穩(wěn)步推進，國內物流快遞行業(yè)將在不久的將來搭建起一張真正具有全球配送能力的跨境物流骨干網。
1.2 3 信息安全風險成為影響物流業(yè)健康發(fā)展的關鍵因素
近年來，我國信息泄露事件層出不窮，信息買賣日益猖獗，個人信息安全面臨嚴峻挑戰(zhàn)。中國消費者協(xié)會 2018 年個人信息安全調研數(shù)據顯示，85.2%的受訪者曾遭遇個人信息泄露問題，個人信息泄露的前三大途徑分別是經營者未經個人同意收集個人信息，經營者或不法分子故意泄密、出售或者非法向他人提供用戶個人信息，及網絡服務系統(tǒng)存在漏洞導致個人信息泄露。
信息安全問題同樣是物流快遞行業(yè)非常關注的問題。截至目前，快遞服務出現(xiàn)過用戶無法在線注銷、安卓應用目標 SDK 版本設置過低等安全問題。近年來，快遞行業(yè)迅速發(fā)展。2018 年全國快遞服務企業(yè) 務量累計完成 507.1 億件，預計 2019 將仍然保持兩數(shù)增長?？梢哉f，作為一個信息數(shù)據的海洋，快遞信息的安全性至關重要;
02
面臨復雜的信息安全形勢
物流快遞行業(yè)信息和數(shù)據安全一直是整個行業(yè)關注的焦點。
近年來，從中央到地方各級政府陸續(xù)制定實施相關法律法規(guī)和政策標準，加強相關領域信息安全建設。
2.1 涉“快”信息安全問題多見
物流行業(yè)安全攻擊頻次高，攻擊來源集中。根據菜鳥的數(shù)據，2018 年，菜鳥發(fā)現(xiàn)并攔截了針對物流行業(yè)的 4 57 次有效攻擊。分析發(fā)現(xiàn)，物流行業(yè)安全風險來源（境外攻擊來源未統(tǒng)計在內）主要集中在長三角。
針對物流快遞行業(yè)的網絡攻擊類型相對集中。2018 年下半年網警部門數(shù)據顯示，網絡攻擊主要類型包括惡意掃描、網絡攻擊、僵尸木馬蠕蟲和拒絕服務攻擊（如圖 3 所示）。其中，惡意掃描在整體攻擊發(fā)生頻次上占比達 72%。實際形成的安全事件共計 13 起，主要以挖礦木馬、路由器后門利用和遠程代碼執(zhí)行事件為主。
物流快遞行業(yè)務鏈條長，信息安全管控面臨更多挑戰(zhàn)。物流快遞業(yè)務鏈條較長，物流快遞業(yè)務涉及多個線上線下相結合的復雜業(yè)務場景。這使得影響物流快遞行業(yè)信息安全的因素多，風險管控復雜。
物流行業(yè)“黑灰產”活躍度不斷上升。網絡“黑灰產”是指通過電信詐騙、釣魚網站、木馬病毒、黑客勒索等方式，利用網絡開展違法犯罪活動的行為。近年來，“網絡黑灰產”規(guī)模已達千億元，助長了網絡“黃賭毒”、詐騙、敲詐勒索等多種網絡犯罪滋生蔓延。根據 2018 年市場研究數(shù)據，物流行業(yè)“黑灰產”3活躍（如圖 5 所示），給物流快遞行業(yè)帶來安全挑戰(zhàn)。
信息安全問題表現(xiàn)形式復雜化從快遞行業(yè)非法活動類型分布來看，網絡詐騙類占比最多，其次是非法營銷等其他違法活動，給消費者和企業(yè)造成經濟損失。
首先，網絡（含電信、即時通訊）詐騙成為主要信息安全風險。網絡詐騙是指不法分子通過電話、網絡和短信方式，編造虛假信息，設置騙局，對受害人實施遠程、非接觸式詐騙，誘使受害人給不法分子打款或轉賬的犯罪行為。20 年以來，虛假信息詐騙犯罪，尤其是借助于手機、固定電話、網絡等通信工具和現(xiàn)代的技術等實施的非接觸式的詐騙犯罪，在我國迅速發(fā)展蔓延，給人民群眾造成了很大的損失。
根據菜鳥監(jiān)測數(shù)據，物流快遞行業(yè)信息安全風險中，電信詐騙占比達到四分之一強。其中，因快遞企業(yè)不規(guī)范使用即時通訊工具導致的安全風險問題上升，“黑灰產”不法分子潛入內部即時通訊群組的情況也時有發(fā)生。如圖 6 所示，即時通訊工具物流信息類詐騙呈現(xiàn)逐漸走高的趨勢：
其次，“假包裹”欺詐層出。近期的“假包裹”欺詐主要表詐騙者用空包裹或者廉價物品裝成到付快遞寄給消費者，欺未購買該商品的消費者支付快遞費。“假包裹”欺詐成為涉“快”罪的新形式。2018 年 2 月，上海市公安局青浦公安分局破獲起到付詐騙案。經查，犯罪嫌疑人招募工作人員，冒充知名品客服人員，通過微信散布免費贈送活動的虛假信息，誘使被害支付 39 元運費，隨后由閆某負責將包裝好的偽劣產品使用貨付款的方式通過快遞寄出，累計向全國各地發(fā)件 70 余萬件。
沒有網絡安全就沒有國家安全，就沒有經濟社會穩(wěn)定運行，廣大人民群眾利益也難以得到保障。這一論述，把網絡安全上升到國家安全層面，為加快我國網絡安全能力建設指明了方向。2017年 6 月 1 日起施行的《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》），是我國網絡領域的基礎性法律，明確強調了對個人信息的保護?！毒W絡安全法》要求企業(yè)在發(fā)現(xiàn)網絡產品、服務存在安全缺陷、漏洞等風險時，應當及時向用戶告知并采取補救措施，否則企業(yè)負責人及相關安全責任人會受到不同程度的處罰。
信息安全監(jiān)管機構及物流快遞行業(yè)的主管部門加強物流快遞行業(yè)信息安全治理。網信辦、公安部、工信部及國家郵政局等部門要求快遞企業(yè)應嚴守信息安全底線，并聯(lián)合制定實施信息安全監(jiān)管的措施，堵塞管理漏洞，嚴厲打擊非法泄露、販售用戶寄遞服務信息等各類違法犯罪行為，維護用戶個人信息安全。2013年修訂實施的《郵政行業(yè)安全監(jiān)督管理辦法》專設通信與信息安全章節(jié)，對保護用戶信息安全作出具體規(guī)定。2016 年出臺的《網絡安全法》要求網絡運營者應當按照網絡安全等級保護制度的要求，履行相應的安全保護義務。2017 年，《最高人民法院、最高人民檢察院關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》正式出臺，不僅進一步明確了侵犯公民個人信息罪的定罪量刑標準，而且規(guī)定“內鬼”作案加倍處罰。2018 年正式實施的《快遞暫行條例》設置保護個人信息安全單獨條款，對違法泄露用戶信息的企業(yè)，情節(jié)嚴重的最高處 10 萬元罰款，并可以責令停業(yè)整頓直至吊銷其快遞業(yè)務經營許可證。
依照這些法律法規(guī)，各地紛 加強物流快遞行業(yè)信息安全治理工作。以上海為例，2018 年，“三通一達”等 10 家快遞企業(yè)的網站及重要信息系統(tǒng)（主要針對涉及公民個人信息的信息系統(tǒng)）進行了全面審查，共梳理出 52 個網站及重要信息系統(tǒng)。按照《網絡安全法》要求，上海市對這些信息系統(tǒng)進行了網絡安全等級保護定級和測評工作，其中 29 個系統(tǒng)為三級等保，23 個為二級等保。目前已有 40 個信息系統(tǒng)完成測評并取得證書，12 個信息系統(tǒng)已完成等保備案，正在整改中。關鍵信息基礎設施和信息系統(tǒng)的信息安全等級保護工作切實加強了各快遞企業(yè)信息系統(tǒng)防泄密、防滲透、防阻斷的能力，降低了公民個人信息被泄漏的風險。
對快遞行業(yè)信息泄漏等安全問題已出現(xiàn)司法實踐，起到行業(yè)警醒作用。2018 年，湖北荊州中級人民法院審理宣判了深圳某快遞公司員工及相關人員侵犯公民個人信息罪案件。涉案人員是該公司內部具有一定權限的工作人員，掌握著重要隱私內容，可在后臺查看客戶信息，先后泄露的公民個人信息達千萬余條，涉及交易金額達 20 余萬元。本案涉案人員分別被處以有期徒刑10 個月到 3 年不等。此類案件給物流快遞行業(yè)敲響了警鐘，讓全行業(yè)了解維護企業(yè)和公民信息安全收到法律保護，違法必究；
標準化成為信息安全治理的重要手段
網絡安全標準作為網絡安全保障體系建設的重要組成部分，在構建安全的網絡空間、推動治理體系變革方面發(fā)揮著基礎性、規(guī)范性、引領性作用。對于物流快遞行業(yè)而言，網絡安全標準也是其安全建設的重要基石?！毒W絡安全法》規(guī)定，國家建立和完善網絡安全標準體系，國家標準化主管部門和其他有關部門根據各自職責，組織制定網絡安全管理及網絡產品和服務的國家標準、行業(yè)標準。全國信息安全標準化技術委員會（以下簡稱“信安標委”或“TC260”，秘書處設在中國電子技術標準化研究院）在中央網信辦和國家標準化管理委員會（以下簡稱“國標委”）的領導，以及有關網絡安全主管部門的支持下，對網絡安全國家標準進行統(tǒng)一技術歸口和標準化工作。信安標委下設信息安全標準體系、涉密信息安全、密碼、鑒別與授權、信息安全評估、信息安全管理、大數(shù)據安全等 7 個工作組，分別組織開展本領域標準化工作。
網絡安全國家標準體系已初具規(guī)模。目前，全國信安標委已發(fā)布 268 項國家標準，在研 97 項標準制定項目，陸續(xù)制定實施了信息系統(tǒng)安全等級保護系列標準、產品安全測評、信息安全管理體系、信息安全風險評估、云計算服務安全、個人信息安全規(guī)范、大數(shù)據服務安全能力要求等標準。此外，關鍵信息基礎設施保護、數(shù)據安全能力成熟度模型、數(shù)據出境安全評估、政務信息；
03
信息安全風險防控實踐
今天，快遞企業(yè)面臨著更加嚴格的法律規(guī)制和社會公眾對保護信息安全日益高漲的呼聲。從企業(yè)自身健康、安全、持續(xù)發(fā)展以及履行社會責任的角度出發(fā)，很多快遞企業(yè)通過制定實施本企業(yè)信息安全風險防控制度和規(guī)范、在網絡基礎設施和信息系統(tǒng)建設進行更大投入、采用更高級安全防護技術等方式，系統(tǒng)性地推動風險防控工作，整體提升信息安全水平
3.1 技術層面信息安全風險防控實踐
保障信息安全需要技術先行。沒有強有力的安全技術體系，就談不上切實保障網絡信息安全。據菜鳥統(tǒng)計，約 68%的行業(yè)安全風險與技術相關，如系統(tǒng)漏洞、賬號/權限等。因此，采用先進的安全防護技術是保障物流快遞信息安全的重中之重。
3.1 強化網絡基礎設施安全保障
網絡基礎設施在網絡安全中占據著重要地位。對于網絡基礎設施進行攻擊，往 會造成范圍廣、影響大、持續(xù)時間長的不良后果。例如，2017 年俄羅斯黑帽黑客“Rasputin”利用 SQL注入漏洞獲得了系統(tǒng)的訪問權限，黑掉 60 多所大學和美國政府機構的系統(tǒng)，并從中竊取了大量的敏感信息。同年，洲際酒店旗下 12 家酒店餐廳及酒吧的支付系統(tǒng)被惡意軟件入侵，顧客的信用卡支付信息被竊取。
實施賬號風控
賬號安全是業(yè)務安全風險的重要入口，近年來，各大快遞公司都在完善賬號安全，例如中通快遞為解決賬號權限問題，利用AI、大數(shù)據、機器學習等技術建設了統(tǒng)一身份認證和授權系統(tǒng)，增強了中通業(yè)務系統(tǒng)的安全性。
在低級別的網絡安全域中使用。根據數(shù)據安全分級，對數(shù)施相應的保護策略。保證數(shù)據完整性，建立數(shù)據的災難恢復份機制。菜鳥利用 DSM （數(shù)據安全能力成熟度模型）將數(shù)據安全經驗標準化，其數(shù)據安全保障能力獲得國內外權威機構的認菜鳥高分通過三級等保評定及歷年復測評、具有 ISO270 資質并通過歷年 審、通過美國注冊會計師協(xié)會（AICPA2 TYPE I 審計，獲得 SOC2 TYPE I 和 SOC3 審計報告，國內首家通過 SOC2 審計的物流公司，其系統(tǒng)安全性、可用保密性處于國際先進水平
構建物流安全管防控體系
郵政速遞物流為首的一些物流快遞企業(yè)逐漸開始安全管防控體系來維護企業(yè)和用戶信息安全。中郵速生物識別技術、大數(shù)據和風險模型，建成了“E 盾”安全臺。管，主要是管理郵件郵包中用戶個人信息等敏感數(shù)據端實施加密脫敏，在應用端實施權限管控，并對生產環(huán)節(jié)使用信息的內部人員應用手機認證、指紋識別等生物認證技術進行實人制認證。防，重點是防范黑灰產攻擊盜取郵件郵包信息。通過結合業(yè)務場景、流程、賬號屬性設計防御閾值，對超出工作正常需要的異常行為主動防御，自動注銷工號并觸發(fā)系統(tǒng)短信告警，自動通知專職安全管理員開展調查。控，重點是控制風險行為。
依托大數(shù)據技術對海量日志數(shù)據進行智能分析，結合賬號登錄異常、賬號查詢量異動、賬號越權訪問、服務流量異常等風險模型，實施風險識別預警和主動安全防御。平臺建成以來，已對數(shù)起可疑行為進行主動攔截和預警，結合現(xiàn)場逐一復查，強化了用戶數(shù)據安全意識，有效遏制了黑灰產業(yè)滲透竊取信息行為。
04
提升物流快遞行業(yè)信息安全水平
物流快遞行業(yè)的繁榮，與“新零售”的迅速發(fā)展密切相關，在物流快遞行業(yè)幫助“新零售”走完“最后一公里”的同時，也使得物流快遞行業(yè)信息安全治理變得極其重要。物流快遞行業(yè)的信息安全治理需要政府、行業(yè)組織、企業(yè)、公眾等各利益相關方共同參與、共同投入。為構建安全、便捷、高效的安全環(huán)境，本報告嘗試提出以下建議：
4.1 加強物流快遞安全相關法律制度建設
首先，目前與物流快遞安全相關的法律主要有《網絡安全法》及相關配套法律法規(guī)、《中華人民共和國郵政法》和《快遞暫行條例》等物流快遞行業(yè)法律法規(guī)。這些法律法規(guī)仍存在內容零散、針對性不足等問題。因此，建議圍繞《網絡安全法》等通用法律法規(guī)要求，結合物流快遞行業(yè)的特點，制定物流快遞行業(yè)的個人信息保護、數(shù)據安全等相關政策法規(guī)。此外，加強《刑法》、《民法》、《消費者權益保護法》等相關法律法規(guī)中對于泄露信息，侵犯消費者權益、危害公共利益和社會秩序的個人和組織的懲罰力度。
其次，加強跨部門、跨區(qū)域協(xié)作配合，加強物流快遞行業(yè)信息安全監(jiān)管與執(zhí)法力度。對于出售、非法提供和竊取、獲取用戶個人信息等違法犯罪行為，堅持零容忍，依法嚴厲打擊。寄遞企業(yè)及從業(yè)人員旦發(fā)生出售非法提供和竊取獲取用戶個人信息；
其次，鼓勵物聯(lián)網、傳感器、大數(shù)據、云計算、人工智能等新型信息技術，以及網絡入侵檢測、入侵防御、安全隔離、數(shù)據管理等信息安全技術的研發(fā)和應用。引導快遞企業(yè)加強與信息安全服務提供商的合作，共同構建全生命周期的縱深安全防御體系在提高企業(yè)經營效率的同時全面提升信息安全保護水平。
再次，加強信息安全標準化建設。技術標準作為固化技術創(chuàng)新成果的重要載體，在推進技術創(chuàng)新中發(fā)揮著重要作用。應鼓勵和引導重點快遞企業(yè)、互聯(lián)網企業(yè)、信息安全企業(yè)積極參與國家和行業(yè)標準的制修訂，逐步建立系統(tǒng)、科學的物流快遞信息安全標準體系。
最后，鼓勵企業(yè)開展服務模式創(chuàng)新，提升信息安全保護水平。在全國范圍內大力推廣使用電子面單，指導寄遞企業(yè)采取身份掩護、權限管理、信息加密、建立線上線下投訴舉報制度等多種措施，強化對寄遞用戶個人信息保護。
最新論文