本文從企業(yè)的數字化轉型的現狀說起，到企業(yè)的風險與信息安全建設，落地于身份安全建設。

閱讀時長：5分鐘

適合讀者：企業(yè)CEO、CIO、信息安全部門、IT部門

相信您能從此文中有所收獲

現如今，很多企業(yè)的建設模式是：業(yè)務部門提出需求->信息部門進行立項->面對集成商招投標->項目開發(fā)上線，這樣的經典建設方式導致了企業(yè)中的每個信息系統(tǒng)都是一座座煙囪，給企業(yè)帶來的直接影響就是各服務重復建設、打通成本太高、不利于企業(yè)的業(yè)務沉淀和持續(xù)發(fā)展。

其中業(yè)務沉淀對企業(yè)的影響，許多企業(yè)為了改變煙囪式的信息孤島現狀，采用企業(yè)服務總線ESB來構建內部的服務樞紐和渠道，這在一定程度上解決了服務和數據不通的情況，ESB也成為了大多數企業(yè)穩(wěn)定運行的高速公路，但是ESB大多在建設服務的初期是為了滿足服務互通，如果一個服務一味的追求功能的穩(wěn)定，那么對于企業(yè)來講便是死路，也就缺少了SOA最核心的理念：松耦合的服務帶來業(yè)務的復用，通過服務的編排助力企業(yè)業(yè)務的快速響應和創(chuàng)新。企業(yè)缺乏業(yè)務創(chuàng)新，就無法快速應對千變萬化的市場需求，諸多企業(yè)為了業(yè)務創(chuàng)新經常在一個系統(tǒng)運行幾年后，重新規(guī)劃一套嶄新的系統(tǒng)或進行整體升級來滿足業(yè)務發(fā)展需求，且不論基礎功能模塊的重新建設帶來的重復投入有多大，更重要的是，多年的業(yè)務沉淀很難全部保留。

因此企業(yè)在數字化轉型的過程中一方面要考慮到業(yè)務沉淀和創(chuàng)新能力，這也是阿里巴巴在構建“中臺”時的核心方向，另一方面，云計算和移動化是數字化轉型的關鍵詞，很多企業(yè)在數字化轉型上云的過程中很糾結，上云的價值顯而易見，能夠給企業(yè)帶來快速的商業(yè)模式重構，可風險也緊跟而來。總而言之，大多數企業(yè)對云還是有些許顧忌，數據放在云上便是給了外界一個可乘之機，如果說業(yè)務沉淀和創(chuàng)新能力是數字化轉型的果實，那么安全便是儲存這個果實的盒子，而身份安全正是打開盒子的鑰匙。

不安有三，無鎖為大。2月23日，微盟對外發(fā)布公告：服務器大面積服務集群無法響應，生產環(huán)境及數據遭受嚴重破壞，而事件的原因是遭到研發(fā)中心運維人員惡意破壞。

微盟是中國的中小企業(yè)云端商業(yè)及營銷解決方案提供商，同時也是中國的騰訊社交網絡服務平臺中小企業(yè)精準營銷服務提供商。微盟圍繞商業(yè)云、營銷云、銷售云打造智慧云端生態(tài)體系，通過去中心化的智慧商業(yè)解決方案賦能中小企業(yè)實現數字化轉型。

截止2020年2月25日12點，微盟集團在股市報5.660港元，一天時間內，微盟市值蒸發(fā)了約9.63億港元，目前微盟正在擬定商戶賠付方案，截止到28日前，微盟仍未*恢復。

當大家都沉浸在數字化轉型的豐收喜悅中時，微盟的這次安全事件卻給我們敲響了警鐘，正如上文所言，數字化轉型是業(yè)務發(fā)展必經之路，可是“安全“無論何時都應該放在發(fā)展的前面。

信息安全方面，企業(yè)要做的還有很多很多······

Gartner數據顯示，中國在 2019年的IT支出約達到2.9萬億元規(guī)模，而信息安全市場規(guī)模為500億元左右，中國信息安全支出占IT支出比例僅為 1.7%，而這個數字在國際上約為3.1%。無論是等保2等法律法規(guī)的要求或是微盟的前車之鑒，“安全問題”必須要引起企業(yè)的高度重視。

據 Ponemon Institute《2018年組織內部威脅成本報告》報告顯示，64%的企業(yè)信息泄漏事件都是由員工或承包商的疏忽導致的，因此對于企業(yè)來講外部的攻擊要防，內部的蓄意報復及疏忽也要管。

那么在身份安全方便應該管哪些呢？

A.企業(yè)生態(tài)上下游的接口（API）身份

B.企業(yè)外部供應商（Business）身份

C.消費者、個人用戶或終端用戶（Customer）的身份

D.企業(yè)下游經銷商（Dealer）的身份

E.企業(yè)內部辦公人員、運維人員（Employee）的身份

企業(yè)需要通過對數字身份的治理、可信鑒別、訪問控制以及監(jiān)控管理來完成對企業(yè)內的現有應用資產、服務器資產、數據資產的“全維度保護”，保障用戶能夠高效訪問、IT部門能夠做到有序變更、以及企業(yè)可持續(xù)發(fā)展的安全體系建設。

那么針對數字化轉型過程中遇到的這么多身份，應該從何下手呢？

零信任是近年較為流行的網絡安全框架之一。

百因必有果，為什么有零信任這個概念呢？那就不得不提邊界信任，邊界信任是現代網絡中見的傳統(tǒng)信任模型，所謂邊界信任就是明確什么是可信任的設備或網絡環(huán)境，什么是不可信任的設備或網絡環(huán)境，并在這兩者之間建立“城墻”，從而保證不可信任的設備或網絡環(huán)境無法在攜帶威脅信息的情況下，訪問到可信任的設備或網絡環(huán)境的信息。隨著防火墻技術的發(fā)展，越來越多的威脅信息都可以被防火墻直接攔截，這使得邊界信任模型看起來無缺。

但是，邊界信任模型存在一些致命弱點：

1) 如今網絡攻擊的花樣層出不窮，攻擊方式變幻莫測。然而，由于將所有的“防護”都孤注一擲地依賴于防火墻，一旦有新的威脅形式超出防火墻的防護范圍，那么防火墻就形同虛設；

2) 如果攻擊者使用了某些方法繞過了防火墻，比如：利用惡意郵件直接進入內網；

3) 無法識別可信設備對其他可信設備進行攻擊的行為；

所有的弱點，歸根到底都是對可信任設備與網絡環(huán)境的“過度信任”造成的。相比于邊界信任模型中對信任設備及網絡區(qū)域的“過度信任“，“零信任”在考慮敏感信息時，默認情況下不應該信任網絡中的任何設備和區(qū)域，而是應該通過基于認證和重構訪問控制的信任體系，對訪問進行“信任”，并且這種和信任應當是動態(tài)的，即“信任”應當基于訪問實時地進行評估與變換。

那么零信任應用在上文各種身份場景下，又應該如何做呢？

1.API身份

企業(yè)需要通過企業(yè)級API網關來實現API接口數據的集中出和入，特定場景下進行API認證鑒權及限流熔斷重發(fā)等業(yè)務處理；

詳情參考“API網關與服務安全實踐”（←可點擊查看）

2.內部員工和合作伙伴

通過可信數字身份的自動化治理來橫向打通所有業(yè)務系統(tǒng)，以身份大數據風險感知和分析加強零信任下的身份安全；

詳情參考“零信任安全架構的核心基礎--統(tǒng)一身份認證”（←可點擊查看）

3.C端用戶的身份

C端用戶是很多企業(yè)的最終用戶，車企的車主、制造業(yè)的消費者、金融行業(yè)的儲戶等等，企業(yè)需要通過對互聯網數字身份的治理來構建2C的生態(tài)服務，呈現C端用戶的智能畫像，為精準用戶營銷和全渠道消費營銷賦能，也為企業(yè)提供未來擴展開發(fā)能力；

詳情參考“企業(yè)C端消費者用戶身份認證安全探討”（←可點擊查看）

4.特權賬號的身份

Gartner 《2019 特權訪問管理實踐》提出，良好 PAM 解決方案應建立在四大基礎之上：

? 提供所有特權賬戶的完整可見性

? 治理和控制特權訪問

? 監(jiān)視和審計特權活動

? 自動化和集成特權賬號管理工具

特權賬號管理方案能夠幫助公司企業(yè)保護敏感數據特權訪問，特別是在云計算大行其道的今天，運維的邊界擴大，難度也增大，很多企業(yè)直接把業(yè)務系統(tǒng)交給第三方或外包進行運維，甚至于直接把密碼告訴運維人員，其中存在的風險不言而喻。

針對內部的運維人員惡意泄漏，如果微盟能夠在特權身份安全上滿足以下六點，可避免甚至杜絕大部分事故：

1. 持續(xù)收集并管理特權賬戶

2. 多因素認證（強認證、核心資產二次認證、命令二次認證）

3. 訪問控制（實時監(jiān)控、雙崗復核、高危命令黑白名單）

4. 用戶行為分析（風險動態(tài)感知并預警）

5. 權限控制（*運維、命令細粒度、分權分域管理）

6. 密碼管理（密碼不落地、定期改密、密碼信封、密碼分段）

最后要說的是，信息安全建設絕非易事，企業(yè)要做的不止于身份安全，數據安全、網絡安全、終端安全等同樣重要。但身份安全是企業(yè)內部核心資產的鑰匙，數字化轉型是一條風險與機遇并存的路，如果在轉型的過程中沒有保管好這個鑰匙，那么企業(yè)的數字化轉型也就失去了價值，任何成果都隨時可能付之一炬。