1、數(shù)據泄露泛濫成災 企業(yè)客戶數(shù)據安全該如何保障?

　　2、大規(guī)模數(shù)據泄露愈演愈烈誰來保障企業(yè)客戶的數(shù)據安全?

　　3、數(shù)據泄露泛濫成災 金山云為企業(yè)數(shù)據安全保駕護航

　　最近關于數(shù)據泄露的事件可謂“一波未平一波又起”。上月末，F(xiàn)acebook 5000萬用戶數(shù)據泄露的事件還沒有解決，4月23日曝出的外賣平臺數(shù)據泄露又一次刺激著大眾的神經，數(shù)據精確到訂餐人的姓名、地址、訂餐平臺、訂餐次數(shù)等詳細信息，若被別有用心的人加以利用，后果極為嚴重。

　　其實，近年來各界對于信息安全工作已經越來越重視了，《網絡安全法》的發(fā)布，媒體對于信息安全的宣貫等。但伴隨著移動互聯(lián)網的飛速發(fā)展，網絡與生活幾乎融為一體，數(shù)據的搜集無時無刻不在發(fā)生，但數(shù)據的保護只要有一點疏漏，就有可能造成極大的影響，特別是企業(yè)而言，平臺數(shù)據一旦泄露往往規(guī)模極大，需要進行重點防范。

　　找準數(shù)據泄露途徑，有的放矢

　　據中國國家信息安全測評認證中心調查顯示，信息安全的現(xiàn)實威脅主要是內部信息泄露和內部人員犯罪，由病毒和外來黑客引起占比較小。具體而言，包括公司內部人員倒賣、黑客入侵以及數(shù)據最底端傳遞環(huán)節(jié)如快遞員賣單等。

　　對于公司內部人員倒賣信息，這是最難杜和防范的。由于各種利益的誘惑，管理者或者有機會接觸數(shù)據的員工私下把客戶的數(shù)據賣給第三方(各種廣告商和黑產)，這些數(shù)據大多按照真實和豐富程度，按條計費出售。比如此次外賣平臺數(shù)據泄露事件，雖然每條個人信息售價不到一毛錢，但龐大的數(shù)據量會帶來可觀的經濟利益。

　　對于黑客入侵類型，此類主要是因為網站或者系統(tǒng)存在漏洞，黑客有機可乘，入侵到系統(tǒng)后臺，接觸到客戶數(shù)據。此類數(shù)據在市場上流通的特征是便宜，基本上數(shù)據里面會包含密碼或者哈希。比如，在暗網里面出售的非常著名的雅虎的數(shù)據庫，雅虎幾乎是被扒了一層又一層，其用戶完全沒有信息安全可言。

　　在數(shù)據最底端傳遞環(huán)節(jié)，如快遞員賣快遞單，外賣小哥賣外賣單，這些單據上的個人信息，與前面兩種相比，價值雖然低，但是傷害卻不小，可以做到極其精準的打擊。如果想獲取某人的住址或者電話，只要找對應的服務人員(該區(qū)域的快遞員或者外賣員)幾乎都能買得到。

　　加強系統(tǒng)安全結構設計，有效隔離

　　信息泄露隨時可能發(fā)生，對于企業(yè)而言，應該做到在整個業(yè)務流程的開始環(huán)節(jié)，就把安全因素考慮進去。具體而言，在總體架構設計階段，有明確的授權管理要求、用戶認證要求、日志審計要求等。對于互聯(lián)網應用，應當明確網絡安全、應用安全、數(shù)據安全相關的安全防護手段。

　　常見的安全設計有以下三點：在技術架構上，應采用分層的架構，實現(xiàn)對底層業(yè)務邏輯進行有效隔離，避免將底層實現(xiàn)細節(jié)暴露給最終用戶;在部署架構上，應采用應用服務器、數(shù)據庫服務器分離的部署模式，即我們經常說的站庫分離的思想，優(yōu)點是在應用服務器被攻擊時，不會導致核心應用數(shù)據的丟失。在外部接口設計方面，應采用最小接口暴露的原則，避免因開發(fā)不必要的服務而帶來的安全隱患。

　　除設計架構時考慮安全之外，還需要在編寫代碼時引入安全概念。開發(fā)人員在日常編碼中應該要注意不要出現(xiàn)SQL注入、XSS跨站腳本、文件包含、命令執(zhí)行等OWASP常見Web漏洞。隨時關注重大漏洞，特別是Apache Struts2這類帶有RCE(遠程命令執(zhí)行)的漏洞，及Discuz、WordPress等第三方應用的漏洞。項目上線前，有條件的客戶最好做一下黑白盒安全審計。

　　整個系統(tǒng)的運營，也起到了非常關鍵的作用。運維安全是企業(yè)安全保障的基石，不同于Web安全、移動安全或者業(yè)務安全，運維安全環(huán)節(jié)出現(xiàn)問題往往會比較嚴重。運維服務位于底層，涉及到服務器，網絡設備，基礎應用等，一旦出現(xiàn)安全問題，直接對最底層的服務造成影響，而現(xiàn)在的自動化運維經常會因為一臺機器出問題，導致一批機器出現(xiàn)問題。一個運維漏洞的出現(xiàn)，通常反映了一個企業(yè)的安全規(guī)范、流程或者是這些規(guī)范、流程的執(zhí)行出現(xiàn)了問題。

　　此外，安全管理的重要性也需要引起注意。通常情況下，造成安全問題并非是安全技術的缺陷，更多的是安全規(guī)范、標準流程覆蓋不全的情況，如新業(yè)務、第三方業(yè)務、收購的業(yè)務，運維體系還未統(tǒng)一，運維安全建設沒有及時跟上;即使在安全規(guī)范和流程覆蓋完全的情況下，在具體的執(zhí)行上也會出現(xiàn)一系列問題。

　　金山云完備安全保障機制 守護數(shù)據安全

　　當前，數(shù)據安全形勢日益嚴峻，對于很多企業(yè)來講，它們的業(yè)務核心就是數(shù)據，一旦信息泄露，往往面臨的就是巨額的賠償、業(yè)務受損、被低價收購，甚至現(xiàn)實生活中的人身安全等問題。因此，除了系統(tǒng)安全建設及運營外，尋求專業(yè)的合作伙伴來提高自身的安全防范能力，也是眾多企業(yè)的重要選擇。對此，金山云提供了一整套完善的安全保護機制，來有效保障企業(yè)客戶數(shù)據安全，降低數(shù)據泄露風險。

　　在數(shù)據安全層面，金山云從數(shù)據訪問規(guī)范、數(shù)據使用審計、數(shù)據流轉監(jiān)控、數(shù)據加密存儲、數(shù)據傳輸安全和數(shù)據安全培訓教育等方面，對用戶數(shù)據進行嚴格管理?；诙嗄甑陌踩战涷?，讓用戶可以把一部分的安全服務托付給金山云，自己專注于核心業(yè)務能力的提升。

　　對于數(shù)據的存儲，金山云提供包括對象存儲、關系型數(shù)據庫、Redis數(shù)據庫等多種存儲方式，每一種存儲方式都具有完備的數(shù)據安全方案，通過安全隔離、加密存儲、訪問控制、隱私保護、數(shù)據監(jiān)控等技術手段，有效保證數(shù)據的安全可靠。

　　在業(yè)務安全方面，金山云通過防攻擊中心、Web應用防火墻、服務器安全、漏洞掃描、高級安全服務、證書管理等多項產品多層級全方位為用戶保駕護航。對于開放的服務，及時做好服務器的安全配置，修復底層架構存在的漏洞。

　　此外，通過建立主動防御體系，充分利用現(xiàn)有的公有云提供的安全屬性(VPC和安全組)減少業(yè)務系統(tǒng)的攻擊面，幫助云上用戶降低數(shù)據泄露風險。包括對外Web服務對接云WAF防止黑客通過應用漏洞入侵云主機;安裝云端服務器安全軟件降低來自主機的安全威脅;對于網絡游戲、SaaS、直播等云應用使用公有云廠商提供的高防業(yè)務服務等。對企業(yè)自身數(shù)據庫的安全，金山云提供容災、備份等高可用方案，防止黑客刪除用戶云上數(shù)據庫，極大提高數(shù)據的高可靠性。

　　互聯(lián)網帶來的信息化浪潮日新月異，數(shù)據的呈現(xiàn)方式也愈發(fā)多樣化，作為21世紀的石油，數(shù)據已經成為數(shù)字化時代最大的資產，當前，數(shù)據的非法獲取、網上兜售、甚至違規(guī)利用所組成的利益鏈條正在悄然形成，對于企業(yè)來說，必須盡快提高數(shù)據安全的警覺性，通過安全的體系架構設計、專業(yè)的合作伙伴來幫助自身完善安全防范能力，提前設置好邊界、做好規(guī)則，將是企業(yè)發(fā)展中最重要的一步。