|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
開(kāi)放和安全：數(shù)字時(shí)代的新困境
數(shù)字資產(chǎn)安全現(xiàn)狀：十面埋伏
人們正朝著一個(gè)萬(wàn)物互聯(lián)的時(shí)代走去，所有的設(shè)備與網(wǎng)絡(luò)相連，人們永遠(yuǎn)在線(xiàn)。每個(gè)人作為互聯(lián)網(wǎng)服務(wù)商的用戶(hù)，享受互聯(lián)網(wǎng)發(fā)展提供的便捷服務(wù)的同時(shí)，個(gè)人的數(shù)據(jù)隱私也頻頻被侵犯。一方面，用戶(hù)數(shù)據(jù)成為互聯(lián)網(wǎng)服務(wù)商最有價(jià)值的資源，另一方面，用戶(hù)數(shù)據(jù)也成為互聯(lián)網(wǎng)服務(wù)商最甜蜜的負(fù)擔(dān)，一旦因技術(shù)、道德原因被指侵犯用戶(hù)隱私，往往會(huì)引起大規(guī)模地申討。
近幾年，互聯(lián)網(wǎng)服務(wù)商被詬病的幾點(diǎn)無(wú)外乎，沒(méi)有為用戶(hù)提供有選擇的用戶(hù)協(xié)議，不斷被植入的agent和無(wú)處不在的信息騷擾。移動(dòng)互聯(lián)網(wǎng)的發(fā)展繁榮了應(yīng)用市場(chǎng)，每個(gè)人的手機(jī)里都有幾款常用的APP，但幾乎每個(gè)人都對(duì)下載時(shí)遇到的霸王條款無(wú)可奈何，沒(méi)辦法不去下載，只能被迫接受類(lèi)似“允許服務(wù)商獲取你的位置信息，通訊錄”之類(lèi)的協(xié)議。當(dāng)個(gè)人用戶(hù)的身份信息被收錄在多個(gè)服務(wù)商的數(shù)據(jù)庫(kù)里，也代表隱私有可能被更大范圍地暴露在公共空間里。
2017年，隨著互聯(lián)網(wǎng)的發(fā)展，互聯(lián)網(wǎng)也迎來(lái)了更多的網(wǎng)絡(luò)攻擊。無(wú)論是個(gè)體還是企業(yè)，都無(wú)一幸免。例如2017年2月爆發(fā)的Cloudflare流量泄露事件，受影響的網(wǎng)站預(yù)計(jì)至少200萬(wàn)，其中涉及Uber、1password、FastMail等多家知名公司的服務(wù)。再比如150多個(gè)國(guó)家遭受WannaCry勒索攻擊、1.4億Verizon用戶(hù)數(shù)據(jù)泄露。網(wǎng)絡(luò)安全和數(shù)據(jù)安全正面臨一個(gè)嚴(yán)峻的形勢(shì)。
一方面，開(kāi)放是數(shù)字時(shí)代最明顯的一個(gè)特征，移動(dòng)支付、電子商務(wù)、大數(shù)據(jù)、云計(jì)算等行業(yè)發(fā)展離不開(kāi)數(shù)據(jù)的開(kāi)放。另一方面，企業(yè)、監(jiān)管層等各方參與者需要共同來(lái)建設(shè)一個(gè)安全的數(shù)據(jù)環(huán)境，需要相關(guān)網(wǎng)絡(luò)安全管理的頂層設(shè)計(jì)進(jìn)一步完善，相關(guān)的法律、法規(guī)、標(biāo)準(zhǔn)等監(jiān)管要求不斷修訂完善并推動(dòng)落地執(zhí)行。
安全事件大盤(pán)點(diǎn)：
2012年，中國(guó)最大的安全軟件廠(chǎng)商成為了用戶(hù)隱私安全最大的威脅；
2013年，歷史上最大規(guī)模的漏洞事件和網(wǎng)絡(luò)攻擊；
2014年，某互聯(lián)網(wǎng)公司運(yùn)營(yíng)藥監(jiān)碼，觸動(dòng)醫(yī)藥行業(yè)利益；
2015年，某云服務(wù)商升級(jí)安全產(chǎn)品觸發(fā)bug，導(dǎo)致部分服務(wù)器的少量文件被系統(tǒng)誤隔離；
2016年，某國(guó)內(nèi)知名地產(chǎn)公司因存在數(shù)據(jù)安全隱患，全部遷移至中立云服務(wù)商平臺(tái)；
2017年，某支付軟件年度賬單的默認(rèn)用戶(hù)協(xié)議觸及用戶(hù)隱私安全；
保護(hù)數(shù)字資產(chǎn)的關(guān)鍵在云安全
隨著企業(yè)布局IT架構(gòu)的思路從購(gòu)買(mǎi)服務(wù)器到往云上遷移，云計(jì)算已經(jīng)成為互聯(lián)網(wǎng)發(fā)展的新引擎。具備技術(shù)實(shí)力的巨頭們紛紛開(kāi)始開(kāi)放平臺(tái)，輸出計(jì)算能力，往產(chǎn)業(yè)鏈的各個(gè)環(huán)節(jié)滲透。而創(chuàng)業(yè)公司和中大型公司，甚至是政府機(jī)構(gòu)，也開(kāi)始借力使力，使用公有云服務(wù)商提供的服務(wù)建立發(fā)展自己的IT業(yè)務(wù)。
云計(jì)算強(qiáng)大的計(jì)算能力和儲(chǔ)存能力讓它有足夠的想象空間，無(wú)論是公有云還是私有云，都有很大的市場(chǎng)潛力，研究公司Market Research的預(yù)測(cè)數(shù)據(jù)顯示，2020年全球云服務(wù)市場(chǎng)規(guī)模將超過(guò)2700億美元。
當(dāng)數(shù)據(jù)都集中到云上，云安全成為數(shù)字時(shí)代安全領(lǐng)域的核心議題。選擇一家能兼具穩(wěn)定性和安全性的云服務(wù)商也就變得極其重要。盡管保證云安全是一個(gè)共性問(wèn)題，依賴(lài)于基礎(chǔ)性技術(shù)的發(fā)展程度，但各家云服務(wù)商針對(duì)云安全都有自己獨(dú)特的解決方法，無(wú)論是抵御外部攻擊還是對(duì)內(nèi)部數(shù)據(jù)體系的開(kāi)放和保護(hù)，都有自己的一套管理制度和體系。
所以，云服務(wù)商的技術(shù)實(shí)力和可信程度又成為一個(gè)云安全等級(jí)高低的關(guān)鍵性指標(biāo)。隨著商用CASB（Cloud Access Security Broker，云訪(fǎng)問(wèn)安全代理）產(chǎn)品進(jìn)入快速發(fā)展期，CASB部署于企業(yè)網(wǎng)絡(luò)和云服務(wù)商之間，檢查發(fā)往云端的網(wǎng)絡(luò)流量，加密混淆發(fā)送到云上的數(shù)據(jù)，可以有效解決云端數(shù)據(jù)安全管理、數(shù)據(jù)存儲(chǔ)安全合規(guī)、跨域數(shù)據(jù)受控傳遞的問(wèn)題，保護(hù)企業(yè)客戶(hù)自身的信息安全。此外，終端檢測(cè)和響應(yīng)（EDR，Endpoint Detection and Response）解決方案和產(chǎn)品逐漸起勢(shì)，基于“檢測(cè)+響應(yīng)”的防御思路，改善“檢測(cè)+攔截”的防護(hù)模式。這些技術(shù)的進(jìn)步將會(huì)為用戶(hù)隱私的保護(hù)提供新的思路。
云安全究竟談的是什么？
云計(jì)算的產(chǎn)生和發(fā)展都伴隨著開(kāi)源，它不是在一個(gè)封閉的環(huán)境中運(yùn)行，而是處于一個(gè)開(kāi)放和合作的市場(chǎng)中。從最先起步的亞馬遜AWS的發(fā)展路徑來(lái)看，它是一步步將自己的能力對(duì)外開(kāi)放，服務(wù)其他企業(yè)。但開(kāi)放的另一面就是不確定因素、不可控因素變得更多。
從國(guó)家層面來(lái)說(shuō)，中國(guó)政府對(duì)云計(jì)算的態(tài)度是，所有中國(guó)的數(shù)據(jù)必須留在中國(guó)，并且由中國(guó)公司來(lái)提供技術(shù)服務(wù)。政府從宏觀(guān)層面為保障云安全定了調(diào)。外資企業(yè)的做法是與中國(guó)的企業(yè)合作，將中國(guó)用戶(hù)的數(shù)據(jù)遷移到中國(guó)企業(yè)的云上。例如亞馬遜 AWS 與 光環(huán)新網(wǎng) 達(dá)成合作，蘋(píng)果將數(shù)據(jù)服務(wù)交由云上貴州來(lái)運(yùn)營(yíng)，印象筆記的用戶(hù)數(shù)據(jù)則遷移到騰訊云。
而中國(guó)的云計(jì)算公司則為了實(shí)現(xiàn)技術(shù)自主，重點(diǎn)研發(fā)屬于中國(guó)企業(yè)的云操作系統(tǒng)。除此之外，云計(jì)算公司都積極采取不同的措施來(lái)保證平臺(tái)上用戶(hù)數(shù)據(jù)的安全。例如為客戶(hù)設(shè)立獨(dú)立的云服務(wù)賬戶(hù)，通過(guò)多種隔離方式來(lái)保證客戶(hù)的數(shù)據(jù)隱私。通過(guò)自主可控的虛擬化平臺(tái)將服務(wù)器CPU、內(nèi)存、I/O 等物理資源轉(zhuǎn)化為一組嚴(yán)格隔離的邏輯資源，保障用戶(hù)執(zhí)行環(huán)境的獨(dú)立性與封閉性。
當(dāng)越來(lái)越多的企業(yè)選擇上云，將數(shù)據(jù)安全交給云平臺(tái)，云平臺(tái)保護(hù)數(shù)據(jù)隱私安全的責(zé)任也就越大。云安全不僅事關(guān)企業(yè)數(shù)據(jù)安全，也會(huì)對(duì)中國(guó)經(jīng)濟(jì)的發(fā)展產(chǎn)生很大的影響。
中立的云服務(wù)商
想要保證數(shù)據(jù)的安全，云服務(wù)商必須要做到恪守業(yè)務(wù)邊界，不能私自動(dòng)用用戶(hù)數(shù)據(jù)，不能將數(shù)據(jù)倒賣(mài)以此來(lái)牟利，同樣在企業(yè)內(nèi)部也要有明確的規(guī)定，確保數(shù)據(jù)足夠安全。此外，當(dāng)云服務(wù)商和合作伙伴的業(yè)務(wù)有所重疊，云服務(wù)商也要保持客觀(guān)中立的態(tài)度，遵守職業(yè)規(guī)范。
僅僅有相關(guān)的邊界約束還遠(yuǎn)遠(yuǎn)不夠，實(shí)際項(xiàng)目運(yùn)作過(guò)程中利潤(rùn)的誘惑極有可能會(huì)吸引服務(wù)商鋌而走險(xiǎn)。
事實(shí)上，政府、大中型企業(yè)客戶(hù)在采購(gòu)此類(lèi)服務(wù)以及后續(xù)的運(yùn)營(yíng)保障中有著較為成熟的體系和經(jīng)驗(yàn)。在新一輪國(guó)家倡導(dǎo)數(shù)據(jù)安全、網(wǎng)絡(luò)安全建設(shè)的過(guò)程中，有法可依是約束眾多服務(wù)商的重要抓手，而政府、大中型企業(yè)客戶(hù)過(guò)往的實(shí)際選擇，也具有相當(dāng)重要的實(shí)際參考意義。
云計(jì)算的發(fā)展帶來(lái)了新的安全問(wèn)題，也同樣需要新的方法來(lái)保障云安全，保障用戶(hù)的數(shù)據(jù)安全。
云安全要看服務(wù)商的技術(shù)和服務(wù)能力，但更重要的是企業(yè)的擔(dān)當(dāng)和責(zé)任感。
|
