數(shù)據(jù)安全的新機會

李昊原

數(shù)據(jù)安全有多重要？想象一家智能物流公司，由于派單的數(shù)據(jù)庫或是機械手掃碼的數(shù)據(jù)被篡改，讓你期待已久的包裹被派送到了另一個地方去，你該多惱火？而實際中可能出問題的數(shù)據(jù)不止這些，物流公司每天都要交互大量的數(shù)據(jù)，與買家和賣家、分銷商和中間物流、終端的應用接口等，這其中很多信息是敏感的。比如你的地址和聯(lián)系方式，更大范圍來講，你的生活習慣、喜好、行為軌跡等個人畫像，也許這家公司的內(nèi)部人員查看下你的數(shù)據(jù)，就會變得比你多年的朋友還了解你。

層出不窮的電信詐騙、越來越聰明的黑產(chǎn)者，都讓人覺得信息時代毫無隱私可言，處處是陷阱;對于企業(yè)，自己的業(yè)務數(shù)據(jù)被偷走，損失自不用說。5月25日實施的《通用數(shù)據(jù)保護條例》（GDPR），用戶的數(shù)據(jù)丟失也將帶來嚴重的后果——2000萬歐元的罰款就算是巨頭也吃不消——騰訊已停止了QQ在歐洲的服務：而在正式實施的第一天，F(xiàn)acebook和谷歌便遭到了起訴。

數(shù)據(jù)是企業(yè)重要的資產(chǎn)，難免會引來覬覦，不只來自外部，內(nèi)部的漏洞甚至“內(nèi)鬼”也兼有之。而在數(shù)字化、互聯(lián)網(wǎng)的時代，萬物互聯(lián)，內(nèi)外的界限也很模糊，如許多用于企業(yè)內(nèi)部的應用，實際服務的終端卻是在外網(wǎng)上。

從管理開始

作為一家成立了22年的公司，Commvault已連續(xù)七年榮膺Gartner“數(shù)據(jù)中心備份和恢復解決方案”魔力象限領導者殊榮。Commvault亞太區(qū)企業(yè)解決方案架構師李可告訴《IT經(jīng)理世界》，在一年多前，公司就在為GDPR做準備。

“很多人以為只需要上一個軟件或者系統(tǒng)就可以萬事大吉，但他們忽略了歐盟GDPR的重要要求，是每個企業(yè)必須要有一個管理框架。”李可說，購買軟件并不能解決數(shù)據(jù)保護的問題，企業(yè)要有數(shù)據(jù)安全觀，這需要有統(tǒng)一化的管理視角和平臺，以分析自己的數(shù)據(jù)類型、收集渠道、管理流程、中間環(huán)節(jié)、存儲、分級、使用和分享等。“歐盟之所以給了一年的寬限期，就是希望企業(yè)用這段時間來建立制度，并用軟件和系統(tǒng)去告訴客戶自己是如何改變的。”

在企業(yè)數(shù)據(jù)安全的不同象限，Commvault更集中在偵測、使用訪問、存儲和恢復上。李可介紹，比如針對勒索病毒的進攻，除了常規(guī)的自動檢測、設置蜜罐等，Commvault會對數(shù)據(jù)進行備份保護，確保備份數(shù)據(jù)的隔離和安全，在數(shù)據(jù)丟失時進行恢復，并對數(shù)據(jù)自動化脫敏。“我們的底線，是設想所有的防御都已經(jīng)被攻破的情況下，如何在被感染的環(huán)境下守住企業(yè)的數(shù)據(jù)。”

而要做到這一點，最重要的原則就是做到“多副本、完全隔離、副本間不存在自動化的復制關系。”李可說，企業(yè)要盡可能地切割數(shù)據(jù)和生產(chǎn)的關系，“以前的高可用、多副本，其實跟生產(chǎn)環(huán)境是在同一個地方，我們通過隔離切割和權限的轉變，形成類似于保險庫的方式。”其次，是對物理和邏輯隔離權限的重新切分，讓數(shù)據(jù)不會因為單個網(wǎng)絡或應用而被入侵者溯源找到。“比如有三個備份，（入侵者）他沒辦法關聯(lián)，意味著不可能一下子破壞或獲取，使得我們有機會進行恢復——類似于地下防空洞。”

李可曾經(jīng)收到過一封來自Commvault客戶之一的公安系統(tǒng)的感謝信，對方的關鍵數(shù)據(jù)由于物理性的丟失，只能通過備份從異地拷貝進行恢復。這種方式雖然看起來“老舊”，但在攻擊突破安全系統(tǒng)的時候，可能就是企業(yè)數(shù)據(jù)的最后一道防線。

新的市場

《網(wǎng)絡安全法》實施已有一年，有關個人隱私數(shù)據(jù)保護的立法也正在進行時，全球范圍內(nèi)，對企業(yè)數(shù)據(jù)安全（是的，即使個人隱私數(shù)據(jù)，終歸也會落腳在企業(yè)身上）的重視激勵了安全市場的增長。

Commvault大中華區(qū)總經(jīng)理王波曾參與國家級重大信息系統(tǒng)項目的規(guī)劃和編纂，他總結了未來安全市場三個可能的重要增長點。首先是來自合規(guī)性的管控，“我們看到不同的國家、區(qū)域，由政府驅(qū)動的合規(guī)性要求越來越多，比如歐盟的GDPR，這讓我們在數(shù)據(jù)保護的命題下，可以做的事情也越來越多。”他同樣認為，合規(guī)性要求實際并非技術層面的需求，而是管理層面的需求——但管理層面的需求最終要靠技術的方式來解決，并促進市場增長。

以往在缺少合規(guī)性要求的時候，許多企業(yè)會將數(shù)據(jù)安全問題視為企業(yè)管理上的問題而選擇規(guī)避，“現(xiàn)在很多組織已經(jīng)在設置新的崗位，叫DPO（Data Protection Officer）數(shù)據(jù)保護官，承擔數(shù)據(jù)保護合規(guī)的責任，這在以前是不需要的。”王波說。

比如Commvault就專門針對GDPR研發(fā)了解決方案，可以幫助企業(yè)發(fā)現(xiàn)和搜索相關的個人可識別信息（PII信息）的存放，提供統(tǒng)一視圖，以實現(xiàn)GDPR要求的環(huán)節(jié)：包括發(fā)現(xiàn)數(shù)據(jù)、識別數(shù)據(jù)和保證刪除等。“對很多企業(yè)來講，他們認為數(shù)據(jù)存放在數(shù)據(jù)庫或系統(tǒng)里面，就是那幾張表，保護數(shù)據(jù)就是保護好表，刪除數(shù)據(jù)就是去掉幾行，但實際上大量的隱私數(shù)據(jù)是存放在過程數(shù)據(jù)中，以文件或者郵件、甚至圖片的形式存在。在進入系統(tǒng)用于分析后，比如在Hadoop平臺上，又會變成新的格式，企業(yè)實際是做不到對這些數(shù)據(jù)保證識別和刪除的。”李可舉例某個全球的云服務商，當長時間在它的系統(tǒng)存放數(shù)據(jù)后，它甚至沒辦法對這些數(shù)據(jù)做到按需調(diào)取和刪除。

其次是互聯(lián)網(wǎng)的發(fā)展，王波將互聯(lián)網(wǎng)比喻成催化劑，把以往被認為非顯性或不存在的需求，以爆發(fā)性的方式被激發(fā)了。“比如，以前除了攝影師，沒有人會整天隨手帶著相機拍照，但現(xiàn)在每個人都有智能手機，像素又很高，每個消費者拍攝的大量的數(shù)碼照片最終可能會保存到本地存儲或云平臺。”類似的被互聯(lián)網(wǎng)激發(fā)的需求，比如網(wǎng)購、打車、外賣等，最終都需要相應的存儲平臺來對其進行支撐，而云平臺也需要數(shù)據(jù)保護解決方案。由此就不難理解，為什么做互聯(lián)網(wǎng)的騰訊會有項尖的七大安全實驗室，而搜索出身的360，最終成了安全公司。可以預見的是，在未來，互聯(lián)網(wǎng)激發(fā)的需求只會更多，而不會減少。

第三個領域是工業(yè)及制造業(yè)。工業(yè)互聯(lián)網(wǎng)、工業(yè)4.0、智能制造等概念的提出，將促進工業(yè)及制造業(yè)領域?qū)?shù)據(jù)管理產(chǎn)生新的需求。“在過去一兩年中，我們發(fā)現(xiàn)制造業(yè)領域的需求變得越來越旺盛。”王波說，之前來自制造業(yè)的數(shù)據(jù)保護需求被認為只來自于最終的銷售、財務等系統(tǒng)，而在生產(chǎn)的過程中，很少會有企業(yè)考慮對過程數(shù)據(jù)進行保護。隨著企業(yè)通過分析過程數(shù)據(jù)，看到數(shù)據(jù)在解決質(zhì)量缺陷、改進工藝等方面應用的價值，也逐漸產(chǎn)生了保護過程數(shù)據(jù)的強烈需求，這在以前是不存在的。

與之相對應的是，工業(yè)企業(yè)在數(shù)據(jù)安全上的相對落后。有報道稱，對工業(yè)互聯(lián)網(wǎng)安全水平進行評估，只有4%-5%的企業(yè)認為處于領先水平，20%左右的企業(yè)表示已經(jīng)建立起比較標準的框架，而超過70%的企業(yè)，還處于初始階段甚至完全沒意識。“但令人擔憂的是，他們的業(yè)務量并不少。”

王波“很多組織已經(jīng)設置數(shù)據(jù)保護官（DPO），承擔數(shù)據(jù)保護合規(guī)的責任，這在以前是不需要的。”