#网络安全#从微盟删库事件，看安全的本质和IT转型方向( 八 )
在进入21世纪的第2个10年 ， 运维领域里的两大主流理念ITIL和DevOps正在积极融合 ， 比如新发布的ITIL 4已经融入了DevOps的敏捷和精益特性 ， DevOps也开始强调安全与合规 。 精鲲的产品一直在致力于ITIL与DevOps的落地 ， 我们也相信两种框架融合的运维理念将是未来的一个趋势 。
本文插图
7、凯馨科技创始人孙诚：数据防护体系建设关乎企业生死存亡 数据本身的使用安全 ， 目的是如何更好、更安全的使用数据 。
把客户生产系统看作一个核心 ， 围绕核心的外部访问对象大体上可以分为三类：应用用户、运维用户和离线用户 。
外部应用 ， 如业务网站以及OA系统等 。 其特点是在网络中有大量的网络安全设备 ， 比如防火墙、审计和防高级App攻击等等 ， 这些安全设备能够起到对于应用本身漏洞或者不太正规的访问行为进行安全防控 。
外部应用访问者绝大多数直接通过应用、网站、商城之类的接口通过固定模式访问应用服务器 。 这类访问的操作行为比较统一 ， 遵循着程序设定的模式操作 ， 但是也存在着非正规的访问行为 ， 通过利用应用的某些“缺陷”进行破坏行为 。
第二部分是来自于内部 ， 这次微盟事件是典型的获得合规授权的人做了不合规的事 ， 属于逻辑错误 。 逻辑错误大体上可以分为两类 ， 一类是合法授权的人干了非法的事 ， 另外一类是连授权都没有的人对生产系统的破坏 。 国家这两年对于数据使用的安全要求非常高 ， 自从美国的塞班斯法案和欧盟的GDPR法案落地之后 ， 我们国家也加强了对这方面的重视 。 2019年中国三大标准化委员会 ， 还有国家各个部委 ， 以及行业性监管机构 ， 累计出台了30+项法规或者行业规范指导意见 ， 约束各个厂商安全使用数据 。 所有企业都有一个共识 ， 数据的价值已经上升到非常高的高度了 ， 如何安全的使用数据 ， 这已经不仅仅是合规性的要求 ， 而是关系到企业生命的关键点 。
本文插图
如何防范这种对企业产生伤害的事情发生？这就是数据对内防护体系要做的事 ， 以数据使用为中心 ， 为客户构建一整套安全体系 ， 在这个安全体系里面 ， 对于外部用户、运维用户和开发测试人员的使用数据流程和方法进行监控和防护 ， 在这中间会有动态的脱敏审计服务器 ， 一旦发生了不合规的行为或这个行为很少发生甚至从未发生过 ， 接下来标记发送这种行为的IP地址 ， 立刻向管理员报警 ， 管理员就可以快速界定该行为是否有风险 ， 这是对外部的 。
而对运维人员却很难防 ， 因为运维人员对整个系统非常了解 ， 可以走任何一条路都能到达目标端 。 在这种情况下 ， 就需要采用第二种模式——串联的代理 ， 不管跳几重模式 ， 在最终的目标端前会有权限限制 ， 一旦发现有异常操作就会立刻阻止该操作 ， 这就是通过代理的模式从中间进行动态管控 。
第三部分 ， 将数据给离线开发测试人员的时候 ， 自动根据需求去抽取数据 ， 但是这个数据是已经过滤了敏感隐私的部分 ， 通过脱敏或者同态加密的方法将数据变换 ， 成为一个完整的防护体系 ， 这样可以使内部的生产循环得到一定的保障 。
本文插图
最后需要给客户提供一个可视化的平台 ， 即所谓的资产梳理 。 在建设IT防护系统的时候 ， 很多人更加关注如何保护系统安全 ， 但是由于客户数据量越来越大 ， 业务系统越来越多 ， 甚至达到了没有一个运维人员可以100%了解所有业务系统 ， 在这个时候一套好的数据可视化平台是可以给客户带来更高的数据资产全景享受 。
推荐阅读
![[雅马哈]1.5w左右预算怎么选车（二），为大家带来名厂性价比好车](http://img88.010lm.com/img.php?https://image.uc.cn/s/wemedia/s/upload/2020/206980fc87361e9850dd7cdefe78c243.jpg)
- 『数码狂人』华为网络工程师可以从事网络安全方面的工作吗？
- 军事的第一线■美国互联网协会：国防部网络安全认证计划（CMMC）或产生反作用
- 「军事的第一线」美国互联网协会：国防部网络安全认证计划（CMMC）或产生反作用
- 『服务器区』铭冠网安深信服网络安全审计方案
- 网络安全：全球能源互联网研究院副院长高昆仑：数字化转型加剧电力网络安全挑战
- 『天马股份』收购不成巨亏2.46亿元，微盟创始人孙涛勇状告*ST天马
- 云服务@云服务客户落实网络安全等级保护2.0
- 『千锋上海』作为技术小白,该如何学习网络安全？
- 网络安全投资风向标来了！2020安全创客汇年度明星赛正式启动
- 迪普科技助力浙江省公路与运输管理中心建立网络安全威胁感知大数据平台