是企业安全防护等级不够高吗? 文 | 琥珀 这场由运维工程师恶意操作引爆的微盟300万商家数据删除案过后,留下的不该只有抨击始作俑者的一地鸡毛和不愿正视安全风险的敏感与恐慌。 1 1.5亿元的教训 2020年2月25日,微盟发布公告称,公司线上生产环境及数据遭到员工恶意破坏,导致公司系统服务不可用。经过数天“抢救”,3月1日,微盟再次发布公告称,数据已全部找回,将于3月2日进行系统上线演练,于 3月3日上午9点恢复数据正式上线,同时针对受到影响的商家也给出了赔付计划。 微盟因内部运维人员恶意删库而导致300万商家生意停摆事件,成为中国互联网公司史上宕机持续时间最长的一次。 事后,微盟拿出了1.5亿商家赔付计划,并表示放弃自建数据库,基础设施全力上云。与此同时,微盟还表示,将邀请外部数据安全专家一同评估数据安全保障方案,并制定数据安全保障计划,以杜绝此类事故的再次发生。 实际上,将用户核心数据保存在本地自建的服务器上,是当下不少对全面上云心存戒备者的一种物理安慰。 怎么讲?在企业用户看来,如果把所有数据交给SaaS服务商,数据就显得并不安全。实际上,这是一条不能触碰的红线,没有任何一家SaaS服务商会监守自盗。重要的是,SaaS服务商会选择如何安全合法地利用系统上已经留存的数据。 互联网商业分析师谢秉航在回答“SaaS软件能保证数据安全吗?”这一问题时,指出SaaS服务商通过更多的数据沉淀留住用户,提高用户的替换成本,这对于SaaS续约率的提高是绝对利好。 正如互联网公司主打ToB免费策略的背后,软件即服务从来不是盈利的来源,而是基于网络效应带来的成本下降、价值提升,背后其实就是数据的积累。 本地部署是否一定比SaaS安全?往往出现这种对比的前提会归结于企业用户投入了多少安全成本。 腾讯视频云业务总经理李郁韬告诉雷锋网:
近日,明道云推出了私有化版本,这无疑反映出从PC时代到移动端,再到如今构建了AI算法模型的中国企业服务供应商一路走来的心路历程。 明道云创始人任向晖解释:
实际上,包括友盟+、明略科技、达观数据、百分点等服务互联网、金融、安防等数据量丰富的用户时,均会提供SaaS、私有云/专有云模式的解决方案。 2 私域流量一把火 微盟赔付政策公布后的一周,由于后台系统恢复解决方案仍有待逐步完善,仍有商户表示后台订单数据未完全恢复,甚至无法进入后台。某微盟商户向雷锋网表示,“直到今天(3月11日)才恢复正常。” 为什么微盟数据被删的影响面如此之久?根据目前微盟、腾讯云团队在修复数据时公布的信息,想必不少对此事关注的人应该已经了解一二。 根据《微盟数据被删后的七天七夜》的表述,运维人员用一种让程序员闻风丧胆的Linux系统下文件删除命令,整体进行了不可逆的删除。删除自建数据库(包括备份),导致被删除的文件一般都难以恢复。 不过从另一个层面来讲,时下正值国内疫情复工以来的一段复苏前期。对于不少基于营销平台做线上生意的商户们,其实是一段宝贵的黄金发展期。 数据显示,短视频、影视观看、图书阅读等应用留存率在1月2日-1月29日期间占比最高。如何通过产品及运营留存客户,是各行业在疫情期及之后均需要考虑的事项。 据了解,在此期间,传统的面销、会销方式基本停滞,大量企业都加大力度拓展移动端私域流量营销,数字营销、营销自动化、智能营销等基于线上拉新和激活沉睡客户的方式具备更高的优先级。
“私域流量”概念在疫情期间大火,与之相关的SaaS服务商纷纷股价上涨。2月25日钉钉发布的“圈子”功能,对准的就是私域流量。 受疫情催化的无接触经济热,使得云服务能力在企业市场中再次被证实,只有接入云端的IT系统才能满足企业快速开展远程数字营销的诉求。 在国内的数字营销市场,线上营销品类众多,有像微盟、有赞这样的综合电商营销平台,基于全域大数据智能处理的友盟,构建数据感知到认知闭环的明略数据,基于RPA+NLP技术输出的达观数据,也有基于用户行为数据分析的神策、TalkingData 。 归根究底,是利用数据进行产品运营、推广策略的过程。 尽管疫情期间展开营销模式的转型多是出于无奈,线上营销能否带来真实销量转换还有待观察,但显然,此时的线上营销变成为数不多的选项,甚至可以说是唯一的。而在微盟事件中,影响的恰恰就是因疫情导致复工延迟,转阵线上营销这一节骨眼上的企业。 尽管不少企业代表认为该起事件还是极端案例,也不该就此对SaaS的安全问题持怀疑态度,但国内企业服务商们对用户数据安全问题做足准备了吗? 3 追问:安全复工,企业做足 准备了吗? 疫情期间,员工在家办公,想要访问企业内部局域网的应用和文档,就需要借助VPN技术,不过企业内部VPN不稳定、存在受攻击风险的问题时有发生。一旦遭遇这类问题该如何解决? 达观数据CEO陈运文指出:
陈运文还补充,“系统的安全性与可靠性并不矛盾,其实是相辅相成的。关键在于技术管理方面能否提供更多的投入。比如,安全机制是否变得复杂,权限分配是否更为合理,这些问题综合在一起,也相对需要投入更大的成本。” 那么,这是否意味着对于多数对IT预算投放有限的中小企业而言,其抗安全风险能力更低?中小企业如何维护自身的经营数据安全? 友盟+数据技术专家邓鸿飞表示:
据了解,友盟+在数据的采集、传输、存储、使用、销毁等一整套数据全生命周期提供了安全保障。
4 还要多少次亡羊补牢? 那么,回到一开始企业客户长期以来所纠结的问题:是将核心数据保存在本地自建的服务器上,还是全面上云? 一般而言,中小企业更愿意采用SaaS,服务商们也会租用各大云平台的公有云服务;大型企业、政企客户则更偏向于私有化的部署模式。私有化部署在某客户内网的机房里,很少会对公网开放接口,相对来说受到干扰和攻击的概率也会低些。 很难说,中国的企业服务商与用户们就没有在安全保障方面下足功夫。 还记得多年前的斯诺登事件?还记得不久前杭州某公司的删库事件?还记得某企业代码包含账号密码的事情?出现这些安全事件,是因为企业的安全防护等级不够高吗? 可能并非是技术手段的问题,很多情况下,人为因素也为企业安全风险中带来了很多挑战。企业需要正视长期存在的IT运维权限风险问题。 陈运文表示:
为此,在对权限管理和对生产系统的访问控制方面,提供企业级安全服务的奇安信,正寻求自动化/智能化的解决方案以解决安全运维效率低下的问题。 据了解,堡垒机在运维管理中有至关重要的作用。可以把堡垒机理解为一个IT系统的看门人,任何人都只能通过堡垒机作为门户单点登录系统。 奇安信数据安全子公司副总经理刘宏志表示:
正如安全不是一个产品,也不是一套方案,而是一整套架构,一个风险控制体系,首先要做风险评估,风险定位,然后思考安全架构,最后才是用哪种安全技术和产品来实现。 据了解,不少企业服务公司在微盟事件发生后,纷纷组织内部安全培训活动,并要求团队定期执行安全演练以应对突发状况。 在安全这条路上,我们究竟还需要经历多少次亡羊补牢? |
|
来自: 昵称71360118 > 《待分类》