漏洞百出的信息安全管理

针对警队成员航班信息泄露之事，今天国泰航空进行了回应：

“我们获悉有关国泰员工在工作期间不合规使用公司信息，并了解一个旅行团组的名字被截图且被分享在该涉事员工所在的WhatsApps社交群组内的情况。虽然，被分享的信息仅是旅行团组的名称，而非团组内旅客的个人信息，但我们对此给大家的困扰表示十分抱歉。我们非常重视乘客信息安全，并对此事件予以高度重视，定当遵照内部程序做进一步深入调查。 ”

从国泰航空的声明来看，这回应是非常标准的“官腔”。从技术角度来说查出泄露者是谁是没有难度的，但国泰航空是否能给予泄露者足够的惩罚依然存疑。毕竟有暴力飞行员廖颂贤不停飞之例在前，国泰航空对泄露者仅仅罚酒三杯也有不小的可能性。

这种使用职权之便泄漏旅客信息的行为不论在哪家公司都是严重违规，属于犯罪行为，性质的严重性和银行员工泄漏客户信息差不多。每一个员工在入职之时都应接受过相关教育，知悉蓄意泄漏旅客信息的严重性。然而国泰员工依然公然泄漏警队行程信息，不由怀疑是不是之前对参与暴动的副驾驶廖颂贤不停飞鼓舞了其他人，认为可以肆无忌惮地进行违法行为而公司不会追究。

对国泰航空公司来说，旅客信息泄露早就不是第一次发生了。在2018年10月，国泰航空公布其信息系统遭到入侵，部分旅客资料被“未授权取览”，涉及到940名旅客，而其中有86万个护照号码以及24.5万个身份证号被“不当浏览”。

根据国泰航空发布的信息，对旅客信息数据的窃取从2018年3月就开始了，国泰航空在5月份就已经确定旅客信息发生了泄漏。然而国泰航空直到2018年10月才向警方报案公开此事，中间长达5个月毫无作为。同样的事情要是发生在笔者所在单位，若是确认信息泄露后一个半小时内没有上报，有关部门那就要吃不了兜着走了。

根据遭到信息泄露的旅客所透露的国泰航空通知邮件，在邮件中，国泰航空只提到泄露了旅客以下信息：地址、航班号与日期、名字和抬头。但是根据国泰自己的通告，有几十万名旅客的护照号码与身份证号也被泄漏，而这两项是最为关键的点。

国泰航空发给信息遭到泄露旅客的邮件，邮件称泄露的信息有：地址、过往行程、名字与抬头（图自水印）

对于民航系统来说，信息系统一直是安全工作的重中之重，信息系统受到攻击会严重影响生产运行系统。而旅客信息数据库则是数据安全的重中之重，理应受到最高级别的数据保护。这些数据泄露出去的后果并不难想象，甚至如果有香港警队的成员也在旅客数据库之内，通过泄露的信息可以轻易查到警队成员的家庭住址等敏感信息。

笔者目前正在进行的民航总局法定自查，其中信息安全就占有不小的内容。在法定自查信息安全一项中，就有以下内容：人员网络安全保密协议、责任追究、网络安全信息通报等项目。民航局的法定自查是需要人人过关，不过关的就整改，所有航空公司、机场以及其他单位无一例外都要符合相应要求。

以笔者这几个月进行法定自查工作的经验来看，这国泰航空怕是有很多项目不符合民航局法定自查的要求啊。作为2019年Skytrax排名第二的航空公司，国泰航空在信息安全与人员保密这一块的表现实在是不符合其地位。

国泰航空的未来

作为目前仍算是全球第一梯队的航空公司，国泰航空在珠三角地区以香港机场为基地占据着巨大的市场份额。其麾下机队虽然只有241架（含港龙航空），但国泰航空均为宽体机，载客量高，且使用率极高，达到平均每天12小时左右。

国泰航空机队数量（不含港龙航空）

过去几年中，国泰航空由于燃油对冲判断失误带来巨大损失，使得16年、17年均处于巨额亏损之中。在2018年国泰航空终于扭亏为盈，盈利36亿港币。然而与国泰航空隔壁邻居，同样位于珠三角的南方航空比起来，国泰航空这点成绩简直不值一提。

作为国内机队规模最大的航空公司，南航截至2019年1月，拥有机队840架，为亚洲第一、世界第三，2018年旅客运载量达到了1.4亿人次。而国泰航空2018年全年旅客运载量为3500万人次，为南航零头。在国泰航空2018年盈利36亿港币（32.4亿人民币），利润率3.2%之时，南航2018年盈利88.2亿元，利润率达到了6%。在财务数据及盈利上，近几年国泰航空的表现明显差于国内三大航。

各航空公司历年利润表

各航空公司历年营业利润率

在国泰航空的2018年年报中，国泰航空表示其主要竞争对手为中国内地航空公司。而由于地理位置等因素，其最主要的内地航空公司竞争对手为南航。