被刪除、被泄露、被竊取，企業如何才能保護好自己的數據？
- 2020 年 3 月 6 日
- 筆記
3月1日晚上十點半，一條來自微盟官方微信公眾號的公告，讓其平台上的300萬註冊用戶、超過7萬的SaaS付費商家以及資訊安全業界同仁都放下了心中的巨石：「截止至3月1日晚8點，在騰訊雲團隊協助下，經過7*24小時的努力，我們數據已經全面找回。」隨後，騰訊雲也在官博上正式宣布：經此一役，微盟決定全面上雲，並通過騰訊雲的產品和技術升級數據安全體系。（?《微盟數據被刪後的七天七夜》）
在這場七天七夜爭分奪秒的鏖戰中，騰訊雲完成了一個「不可能完成的任務」。然而，一場數據運維事故，引發了微盟及其平台商戶的業務長達一周的停擺，這樣的代價和教訓足以為全體企業敲響一個警鐘：所有的企業都會面臨數據被刪除、被泄露、被竊取的威脅，企業到底應如何做好數據安全防護？
數據保護正面臨極大的安全風險
產業互聯網時代，企業在生產、運營中都高度依賴數據，數據是企業的核心資產，數據安全大於天。近年來企業數據資產外泄、破壞、丟失的事件屢見不鮮，造成直接或間接的損失不斷刷新行業認知，數據安全已然成為所有企業在產業互聯網時代必須直面的挑戰。那麼，數據安全風險到底源自何處？
數據本身具有流動性。企業數據一旦生產出來後就會進入傳輸、存儲、處理、分析、訪問與服務應用等各環節且循環往複，如同周身流淌的血液。這些關係企業生命線的重要數據在流動過程中，會產生大量的接觸和交互：內部的研發和運營管理人員的經手，伺服器、雲平台、大數據處理與分析系統中的流動，與眾多夥伴、客戶等進行互動和推送。
試想，如果血液裸露在毫無保護的空氣中，就有幾率被污染、流失、竊取；同理，如果企業不能為數據提供全方位的防護，那麼研發運維人員、最終用戶、生態夥伴、伺服器、辦公終端、內外網路、大數據分析平台、雲平台等任意一個環節都會面臨數據安全挑戰，造成企業數據失血。悉數過往案例，數據安全問題的根源往往與內外部相關技術、流程以及人幾大因素息息相關。
從企業內部來看——
風險一：技術層面，選型不當、無備份導致數據不可恢復；
風險二：流程層面，單人許可權過高隱含蓄意破壞、誤操作的風險，比如特權用戶被賦予太多的訪問許可權、第三方外包或共享數據加密處理失誤等；
風險三：人員層面，人為操作導致的服務崩潰或刪除核心資料庫，包括員工數據盜竊、員工賄賂和售賣資訊、運維人員報復性操作等。
從外部環境來看——
風險四：黑客出於炫耀或其他目的，會利用特定的漏洞來竊取資訊；
風險五：來自惡意人士的攻擊，包括網路釣魚詐騙、數據盜竊贖金勒索、魚叉式網路釣魚活動。
隨著企業界在充分利用大數據、雲計算等新一代資訊技術提升運營效率、降低成本的同時，這些新技術手段也帶來了新的數據隱患和攻擊面。
波耐蒙研究所《2019年數據泄露成本研究報告：全球分析》顯示，去年單次數據泄露事件的平均損失為392萬美元，客戶信任度的喪失、對企業形象的負面影響、來自監管的嚴厲處罰帶來的損失更是難以估算。
實際上，想要做好企業的安全防護，需要考慮的安全基本要素包括機密性、完整性、可用性、可追溯審計等等。從業務連續性和災備角度，無論架構和和環境，所有的風險都需要防控。而此次事件中，僅僅是因為機密性和部分完整性受到了影響，微盟目前涉及賠付撥備金就高達1.5億元，數據安全對企業造成的經濟影響可見一斑。這也讓更多的企業管理者清醒地認知到企業資訊安全的重要性，建立完善的資訊安全管理體系，打造適合自己企業應用落地的數據安全防護方案，就顯得至關重要且迫在眉睫了。
要做到哪些企業才能保護好自己的數據？
事實上，此次微盟事件雖然是一次史詩級的災難，但從事後的應對和解決要點上看，這也是一次關於「企業應如何做好數據安全防護」命題上的教科書級經驗分享——構建數據安全的全生命周期、加強數據存儲災備和恢復能力、推動企業全面上雲。
- 將數據保護做到全生命周期的安全防護
在騰訊雲運維中心和客戶服務部門負責人，同時也是這次微盟搶救活動的總指揮徐勇州看來，微盟數據安全事件背後折射出的是僅僅依靠單點防護難以達到真正的安全防護效果，而構建基於全生命周期的安全防護成為必然選擇。
所謂「上醫治未病」，當代企業保護數據應通盤考慮其安全風險，轉向以數據為中心的策略，遵循數據流動的方向構建基於數據全生命周期的安全防護體系——
1）數據生產之初，加強管理數據的分類、治理和策略。數據生產初期的防護重點是需要對數據進行感知、風險識別和分級，明確定位哪些是機密數據、敏感數據、普通數據，進而根據數據的不同等級，設置不同的安全策略，做到加強感知、聯防聯控。
2）在數據存儲、傳輸、使用過程中，充分應用先進的數據保護技術，如加密技術以及脫敏技術，尤其是機密數據需要持續性的保護，因為它們在企業內部和組織內共享，企業必須確保其資料庫、文檔管理系統、文件伺服器在整個生命周期內正確分類和保護機密數據。
3）通過密鑰管理對數據訪問許可權進行限定。在應用加密技術之後，數據安全問題也就轉化成了密鑰的安全問題，如何保護密鑰的安全也因此成了一大難點。為了避免越權操作行為，需要集中管控以及安全存儲資料庫憑證、API密鑰和其他密鑰、配置資訊等敏感憑據。
4）重視事件監測分析。數據安全不僅是技術問題，更是管理問題，企業遭遇「內鬼」泄密的案例已屢見不鮮。在運維審計和資料庫審計方面應該雙管齊下，一方面為企業提供運維人員操作審計，對異常行為進行告警，防止內部數據泄密，一方面對資料庫運行進行智慧化審計，對資料庫運行過程中的潛在風險進行挖掘，兩條腿走路才能做好事件監測分析，及時發現每一條異常行為並予以攔截。
- 及時的數據災備和恢復
數據「災備」是指利用IT技術對資訊系統的數據和應用程式進行保護，確保系統在遭受災難時數據的安全，以及業務的快速恢復。產業互聯網時代，隨著層出不窮的新技術進入垂直應用領域並不斷迭代，企業在享受科技紅利的同時也要面臨比以往更多的、更難以預知的攻擊面和災難風險，這對企業的數據災備和恢復能力要求更為嚴苛。
1）最常見的方法是跨地域複製、冷備，實現異地容災，即當主存儲中的數據被刪除時，可從備份存儲中通過批量拷貝的方式恢複數據，確保數據誤刪或者被惡意刪除時可及時恢復。
2）定期快照，即通過生產系統的milestone進行備份，當數據丟失時實現恢復並降低存儲成本。
- 將公司業務全面上雲
企業上雲已經大勢所趨。但部分企業仍然抱持「把安全掌握在自己身上」的觀念，拒絕上雲或者僅僅是業務上雲。實際上，自建資料庫是把雙刃劍，本身也隱藏極大的風險：在「不上雲」的狀態下，運維人員更容易有機會執行類似「rm -rf /*」和「fdisk」類型的極端操作；另一方面，由於沒有相對完善的自動備份和恢復機制，數據恢復的技術難度也大大增加。
而公有雲安全運營中心在面對安全威脅時可提供體系化的全流程安全保障——覆蓋全生命周期的預防、檢測、響應和可視的安全體系，能夠為雲上業務數據的安全運行提供覆蓋「事前、事中、事後」的全流程安全保障，打造「感知-防禦-響應」一體的安全運營體系，讓數據安全管理更簡單、更有效、更有價值。
事前：通過攻擊面測繪可以發現有不該暴露的運維埠在公網；通過雲產品安全配置管理，可以檢查伺服器、資料庫有沒有做訪問控制，有沒有開啟數據備份，防患於未然。
事中：可以通過Cloud UBA（用戶行為分析）分析發現一些過度授權的子帳號與協作者帳號以及相關用戶的異常操作行為，例如用戶許可權提升 、高危操作等，有效識別雲控制台只能夠用戶操作的異常行為。同時通過流量威脅感知功能，可識別雲上資產互聯網流量中的異常外連等內到外數據泄漏威脅。此外，通過泄漏監測，可幫助用戶實現對Github及暗網上的數據泄漏事件進行監測。
事後：通過接入的雲操作行為日誌、雲產品配置變更日誌及各類安全產品日誌，可以實現事後的全面分析和調查溯源，及時分析定位安全事件。
以人為本從高層到員工，強化安全意識
在全球資訊安全領域風向標RSAC大會今年收到的2400份發言申請中，眾多針對「數據、威脅、風險、隱私、管理和團隊」的內容均涉及安全方面的人為因素，尤其是數據安全方面，大量數據顯示企業員工有意或無意的行為，是致使企業數據資產泄露的罪魁禍首。（?以人為本深度解讀戳）
人是商業系統中最大的變數，也是安全的重要要素，而安全本質上就是人與人之間的對抗。要想做好數據安全，相關聯人員結構複雜，對「人治」的要求更高——從高層到員工、從數據經手者到安全運維人、從企業內部到服務商，只有讓安全意識滲透到每一個人，強化人的安全能力與安全意識才是數據安全防護的內驅力。
1. 通過持續的培訓、實操演練，不斷強化從高層到員工的安全風險意識。
2. 培養安全人才團隊，鼓勵安全團隊培養超前的技術與能力儲備，賦予安全團隊充分的信任與授權，是開展數據乃至資訊安全工作的基礎。
3. 合理借力，通過安全平台和生態合作引入專業人才的支援，提升數據安全能力建設的「性價比」。
安全問題歸根結底是「人+方法+工具」的綜合作用結果；對於數據安全來說，既要見微知著，也要舉重若輕。想要真正實現數據全生命周期防護需要內外兼「修」：充分了解每個業務的數據流，梳理出數據的產生、傳輸、存儲、處理、共享、使用、銷毀等環節，並對這些環節的關鍵風險點進行分析，充分運用雲服務廠商提供的工具和方法、人才，方能形成一個完整、行之有效的數據安全防護能力。
