第64章 審查
“王工，這個OA係統的權限設置，我有點不明白。”
我把打印出來的技術文檔推到對麵工程師麵前，指著用紅筆圈出的地方。
屏幕上是那個新外包公司做的OA係統測試界麵，背景是長城石化燕山分公司醒目的Logo。
工程師小王湊近看了看：“林姐，哪裏不明白？”
“這個權限樹是按部門層級設計的，很標準啊。”他是我們IT技術部派來配合我這個法務專員做OA係統合規審查的。
“標準？”我點了點文檔裏的一行小字。
“你看這裏，‘超級管理員賬戶可臨時開放全庫數據查詢權限，用於緊急技術支持’。這個‘全庫數據’，包含哪些？”
小王愣了一下：“呃……理論上，是整個係統的後台數據庫吧，用戶信息、流程審批記錄、文件存儲路徑……”
“係統裏有的，都能看。”
我心裏不禁打了個問號：“給一個外包公司的臨時技術支持人員開這麽高的權限？而且，這權限怎麽收回？有記錄嗎？”
“流程上……”小王點開係統後台的一個設置頁麵。
“需要甲方，也就是我們這邊，有審批權限的主管授權，生成一次性臨時密碼。”
“用一次就失效了。記錄……後台操作日誌應該會記吧？”他說著，自己也不太確定地翻找起來。
我盯著他屏幕上的後台管理界麵，那個權限管理模塊的菜單項名字叫“上帝之眼”。
這名字讓我很不舒服，“王工，麻煩你模擬一下，給這個‘上帝之眼’授權，看看操作日誌裏到底記不記，記什麽。”
小王依言操作。他用自己的賬號發起授權申請，我模擬主管審批通過。
係統很快生成了一個臨時賬號和密碼。他用這個臨時賬號登錄，然後在數據庫查詢界麵隨便點了個“查詢所有用戶信息”。
“好了，看看日誌。”我催著他。
小王切到係統日誌模塊，“奇怪……隻記了‘臨時管理員賬號登錄’和‘執行數據庫查詢操作’。”
“查了哪個表？查了什麽內容？沒記錄。”
這不就是個後門嗎？一個可以繞過所有常規審計，悄無聲息翻看公司核心數據的洞！
“立刻終止測試！斷開測試環境與內網的連接！馬上！”我急切的提醒道。
小王也意識到問題嚴重性，手忙腳亂地操作起來。
我抓起桌上的電話，直接撥給了法務陳總監。
“陳總，OA係統審查發現重大安全隱患！”我語速飛快。
“外包方案裏預留了‘超級管理員’臨時權限，授權流程不嚴謹，關鍵操作日誌記錄不全，形同虛設！”
“我懷疑這權限能被用來隨意訪問甚至導出我們所有的數據、審批流程甚至文件！”
電話那頭沉默了一秒，傳來的是陳總監嚴肅的聲音，“你確定？測試環境斷開了嗎？”
“確定！王工正在斷，剛模擬操作驗證了日誌缺失問題。”
“那個權限模塊名字就叫‘上帝之眼’，感覺設計者根本沒把數據安全當回事！”我忍不住加了一句。
“名字不重要，漏洞性質才要命。小林，你做得對，反應很快。”陳總監的聲音帶著肯定，“立刻把發現的所有問題點、操作記錄截圖、技術文檔相關頁，整理成書麵報告，加密發我郵箱。”
“我馬上向分管領導匯報。這個外包公司，叫‘智捷科技’是吧？”
“讓他們負責人下午兩點，到我辦公室來一趟！我倒要看看，他們這‘智’和‘捷’，用在什麽地方！”
“明白！”我放下電話，小王已經把測試環境徹底隔離了，正緊張地看著我。
“林姐，這……問題這麽大嗎？”
“用戶信息、通訊錄、所有文件的審批流轉記錄、甚至可能涉及一些非公開的技術文檔編號路徑……你覺得呢？”
我反問他，“這要是正式上線了，被有心人利用，後果不堪設想。”
“小王，你幫我把剛才操作的所有步驟、頁麵截圖，都保存下來，越詳細越好。”
“特別是那個‘上帝之眼’的授權過程和日誌記錄缺失的證據。”
“好！好！”小王連連點頭，立刻埋頭操作起來。
下午一點五十分，我抱著整理好的材料，站在陳總監辦公室門口。
他正打電話，語氣很強硬：“對，這安全紅線！這不是技術瑕疵，是原則問題！必須徹查！”
“……好，下午我們先會會他們。”
他掛斷電話，示意我進去。“材料給我。”
他快速翻閱著我整理的報告，“‘上帝之眼’？好大的口氣！等會兒讓前台帶他們進來。”
兩點整，前台領著兩個人進來了。
領頭的是個穿著條紋POLO衫的中年男人，臉上堆著職業化的笑容，後麵跟著個拎著電腦包的年輕人，應該是助理。
“陳總您好您好！鄙人張明，智捷科技的銷售總監。”
“這位是我們技術顧問小李。貴公司對我們係統有什麽寶貴意見，盡管提！”張明熱情地伸出手。
陳總監無視了他伸過來的手，隻是指了指對麵的椅子。
“坐。林專員，你把發現的問題跟張總詳細說說。”
我翻開報告，直接點出核心。
“張總，貴公司設計的OA係統中，‘上帝之眼’這個超級管理員臨時權限模塊，存在嚴重安全隱患。”
“授權流程中甲方審批流過於簡化，最關鍵的是，獲得權限後的操作日誌嚴重缺失，無法追溯具體查看了哪些敏感數據。”
“這在技術上等於開了一個不受控的後門，完全違反了我們合同裏關於數據安全和審計追蹤的強製性條款。”
張明的笑容僵了一下，“哎喲，林專員，您太專業了！”
“這個權限嘛，主要是為了方便我們的工程師在緊急情況下快速定位問題，提高服務效率。”
“日誌記錄我們確實優化得不夠到位，但初衷絕對是好的！都是為了給貴公司提供更高效的服務嘛！”
“這個功能，很多大公司都在用的，沒聽說出什麽問題……”
“張總，”陳總監打斷他，“‘很多大公司在用’不能成為借口。長城石化的數據安全標準，就是我們的底線。”
“‘初衷好’更不能掩蓋設計上的重大缺陷和潛在風險。你們這個‘上帝之眼’，在我們看來，是‘漏洞之眼’！”
“這個權限必須取消，相關的日誌審計功能必須按照合同要求，完整、準確地實現。”
“否則，這個項目，我們隻能按合同約定，終止合作，並保留追究貴公司違約責任的權利！”
張明的笑容徹底消失，“陳主任，林專員，別激動，別激動！”
“我們改！我們一定按要求改！這個功能我們立刻下線，審計模塊我們連夜加班優化，保證達到您的要求！”
“您看，合作這麽久了，給個機會……”
陳總監沒鬆口：“機會不是我們給的，是看你們整改的實際行動和結果。”
“信息數據安全無小事，這不是討價還價的生意。林專員會持續跟進你們的整改方案和技術驗證。”
“記住，我們要的是看得見、查得著的安全，不是空頭支票。”
送走臉色灰敗的智捷科技兩人，我長長舒了口氣。
陳總監揉了揉眉心：“小林，這次多虧你心細。”
“安全這根弦，一刻都不能鬆。他們後續的整改驗證，盯緊點。”