江苏龙网

  1. 首页 > 资讯 > 资讯 > >

云安全了没？( 三 )


微博用户数据泄露
：3月19日上午 ， 默安科技CTO云舒发微博称“很多人的手机号码泄露了 ， 根据微博账号就能查到手机号” 。 根据他在微博上的表述 ， 数据泄露的原因或是由于微博在2019年被人通过接口“薅走了一些数据” ， 而不是所谓的“数据拖库” 。


此次微博个人信息数据泄漏原因有很多 ， 很多常见的攻击方式如“撞库”、“漏水”、通讯录好友匹配攻击等 ， 都可以造成个人信息数据的泄露 。 现今数据泄露已成为互联网行业的典型事故 ， 甚至可以称作“新常态” ， 国内外多家知名公司、网站在不同时间都遭遇过数据泄露事件 。
要防范数据泄露事件的发生 ， 个人层面需要有意识地做好个人信息的管理和安全检查 ， 比如密码尽量不要用容易被联想的数字、不同账号用不同的密码等 。 从公司层面 ， 除了做好数据库的安全防护、对业务流程管控更加严格外 ， 也需要在业务体系的设计和思想上作出改变 。 已有安全行业人士建议大公司尽量关闭通讯录匹配功能 ， 如果开启 ， 必须对此接口进行各种数据泄漏监测和流控/风控措施 。
这两起事件的接连爆发 ， 表明企业的安全壁垒并不如我们所想象的那样坚固 ， 这次暴露出来的只是其中的一部分 ， 更多的漏洞亟待修补 。 希望这两起事件的爆发能为整个行业敲响警钟 。
02
对于大部分企业来说 ， 如何做好公司的云和数据安全 ， 是一个全新的课题 。
中国整体的信息安全市场规模将随着云计算市场规模的增长和对数据安全的重视而快速崛起 。
根据ESG的年度IT支出意向研究报告 ， 到2020年 ， 有62％的组织将增加网络安全支出 ， 其中科技企业最有可能增加网络安全支出 ， 其次是制造业和零售/批发业 。
这不仅是公司IT系统的任务 ， 而是对组织架构、责任分级、事态监控、平衡支出等公司运营的全方位挑战 。
越来越多的公司认识到：安全应当是CEO、CIO和公司董事会的重要任务 。 此外 ， 企业网络安全投入的增加 ， 也意味着当前市场已有的产品并没有满足客户的预期 。
放眼世界 ， 这也是大势所趋 。 国外很多大型公司都为企业安全投入了大量资金 ， 越来越多的公司不断改进自己的组织架构和业务流程 ， 以适应新环境下的安全挑战 。
以谷歌为例 ， 为了让谷歌员工都可以在不借助VPN的情况下通过不受信任的网络顺利开展工作 ， 从2011年起谷歌就开始实施BeyondCorp架构 ， 这一行动持续至今 ， 积累了大量技术和实践成果 ， 甚至在《login:》杂志上发表了6篇BeyondCorp相关的论文 。
这其中的技术细节不详细展开 ， 从结果上看 ， BeyondCorp如今已融入大部分谷歌员工的日常工作 ， 在零信任安全领域具有教科书级的意义 。 而BeyondCorp作为一个零信任安全模型而非一个产品 ， 谷歌仅仅抽象其一部分能力做成了商业化的产品（IAP）在谷歌云平台（GCP）上发布 ， 这也在某种程度上助力GCP在工程实力上敢于声称自己是世界上最安全的云平台 。
03
除了系统层面的薄弱外 ， 由于员工信息安全意识薄弱所带来的安全隐患也不可忽视 。
使用家庭环境中的缺乏防护的个人设备进行办公、使用容易被攻击的家庭网络、个人设备接入公司内部网络、冒充同事领导的钓鱼事件... ， 这些都是远程办公方便稳定的表象下所存在的安全隐患 。 对员工的网络安全意识的教育不可松懈 ， 没有公司希望因为员工缺乏网络安全意识而亡羊补牢 。
关于其中的市场机会 ， 我认为：员工信息安全意识的培训目前还不是一个成熟的市场 ， 原因是受众面相对较窄 ， 付费意愿不强 。 比如谷歌并没有要求全员进行高强度的安全培训 ， 而是通过安全体系的强化让员工无感知地享受安全环境的提升 ， 这也可能是未来的主流趋势 。
当然 ， 对于安全从业者来说 ， 安全意识的培训还是很有必要 。 谷歌在这一点上 ， 一方面是建立起各种云安全的标准与认证 ， 与培训组织、专业机构合作普及云安全意识 ， 未来可能会投入大量资源 ， 进行更专业的培训和市场营销活动；另一方面 ， 让安全主管转变安全思路 ， 与合作伙伴紧密协作开发云平台的垂直行业应用 ， 并将这些垂直行业上的工作推广到行业内的安全体系内 。


推荐阅读


上一篇：定了! 高中开学后实行月休, 周末和7月暑假补课…下学期时间紧任务重, 如何绝地求生?

下一篇：大众、奥迪换车标，提醒人们疫情中保持距离做好社交隔离