企业(云)安全方面的困扰和思考

2017 CIOC全国CIO大会7月20日在青海•西宁盛大举办，来自全国的300余位CIO共聚一堂，最接地气的观点、最实用的实战经验、最前沿的技术、最新的产品在此汇聚，碰撞出属于CIO的精彩火花。三花控股集团CIO叶根平出席了大会，并发表了主题演讲，他演讲的主题是：企业云安全方面的困扰和思考。

三花控股集团CIO叶根平去年已经参加过一次CIO大会，上次他分享了企业面临的一些困惑和难题，会上和会后得到了解答，也为企业解决了难题，可谓获益颇丰。这次，三花控股集团CIO叶根平又带着在企业安全和上云方面的一些困扰和思考来参加CIO大会。

安全困扰之病毒侵入

电脑，尤其是公司的电脑被病毒入侵，可是一件大事，因为公司的电脑上面往往存有企业的重要数据。但是不幸的是，公司的电脑被病毒入侵在目前是时有发生的事。三花控股集团CIO叶根平也讲了所在公司中病毒的经历，今年5月12日，中了勒索病毒，2013年12月份也中过一次。而且，这两次中病毒者中，技术部的部长也在其中，可谓问题之严重。电脑中有一些重要的技术文档，有些可能是没有备份的，这样，一个团队一段时间的研究成果就会丢失。所以，这个问题上升到了一个很重要的高度，公司就和防病毒的厂商交流，研究对策，防病毒的厂商表示暂时无计可施。真是泰山压顶，又无可奈何。这两次事件采取的策略只有一个，就是报警。三花控股集团CIO叶根平苦思应对之策，除了报警，有没有其他方案呢，有没有整体的策略应对类似情况?

安全困扰之不合规软件

三花控股集团CIO叶根平在演讲中谈到的第二个困扰是面临非合规软件公司的纠缠。他谈到了这么一个情况，有些时候，公司的技术人员接受软件公司提供的软件免费试用，试用之后忘了卸载或者卸载得不干净，就被软件公司侦听到了，这样就有了麻烦和困扰。三花控股集团CIO叶根平针对这个问题也请教了美国来的一些朋友，得到的信息是软件里面有一个模块，即使卸载了软件，那个模块是卸载不掉的。这样，中招之后，软件供应商号称是版权部门就打电话找上门来，一打就是几个小时，三花控股集团CIO叶根平表示真是不堪其扰。三花控股集团CIO叶根平就在想，有没有可能在内网自己主动监听这种不合规软件呢，并把这些不合规软件在内部自动消除呢?三花控股集团CIO叶根平对这个情况的另一个思考是，是不是能够做一些主动性的预防，通过防火墙或者软件，无论通过什么样的方式，能够跟踪不合规软件的踪迹。

安全困扰之数据保护

对于企业来说，数据是企业的命脉，可谓重中之重，因此，数据的安全是企业关注的焦点。三花控股集团CIO 叶根平在演讲中也提到了这一点，他面临的问题是，三花控股集团在全国各地有很多研发团队，有很多重要客户，这些团队带着某个系列产品的版本代码去做调试的时候，其中的数据有两个风险，第一个是数据被泄露，第二个是技术人员或者外人对代码的更改造成版本不一致。三花控股集团CIO叶根平考虑，有没有一种机制，可以使得外面的数据没有一定的风险，内部又可以有效地进行管理。三花控股集团想过用项目管理，也做过尝试，加密、解密也做过一些尝试，但是效果都不好。三花控股集团CIO叶根平表示，目前在做一个桌面虚拟化的项目，让国内几个地方在外面的研发人员全部通过虚拟桌面的方式跟总部沟通调试，但是效率上有一些问题。因此，这个问题也令三花控股集团CIO叶根平很是困扰。那么，接下来，出路在哪里呢，云可信吗，云能保障数据的安全吗?

安全困扰之数据丢失

三花控股集团CIO叶根平讲到第四个困扰他的是数据丢失的问题，这其中包括两个方面，第一是由于电脑丢失而造成数据丢失，比如有些公司高层带着核心数据较长时间在外面出差，电脑丢失了，电脑丢失的原因可能是被动丢失的，也可能是主动丢失的。三花控股集团就有过这样的经历，近期研发出了一个很有竞争力的产品，研发这个产品花了3到5年的时间，结果有其他公司的一个团队，做了不到一年的时间就做出来了。这个问题不得不令人深思，怎么样确保数据不会流失。三花控股集团也找了一些供应商，是用加密或者加水印的方式，但加水印只是取方便，不能解决已经丢失的情况，加密也尝试过，但这种情况还是不能杜绝。第二个数据丢失的情况是误操作，这种数据丢失如果在短时间里备份没有那么强，就会有很大的损失，因此，三花控股集团CIO叶根平在考虑热备份的事情，还有没有更好的方案。针对这个问题，三花控股集团自己也开发了一些软件，但是在使用过程中，由于各种问题，还是会出现数据丢失。现在的思考是，如果上云，双机热备在云上实现是不是有性价比优势?另外，企业上云，能解决目前存在的问题吗，还是为了上云而上云?

关于企业上云的一些思考

三花控股集团CIO叶根平在演讲中表示，三花控股集团也想上云，但是云是不是一个可信任的模式呢?这个问题一直困扰着他。时有发生的云事故也让三花控股集团CIO叶根平迟迟拿不定主意。今年的2月28日，亚马逊云出了问题，让他很心慌，因为在美国，三花控股集团是完全把应用和服务器都放在亚马逊云上的，庆幸的是，在美国和墨西哥的两个机房不在出事故的服务范围里面，没有受影响。如果万一有影响，受影响几个小时的话是很麻烦的。而且，像这样的云事故不胜枚举。三花控股集团CIO叶根平考虑，云环境是可信的吗?里面的数据是安全的吗?万一出了问题能不能找到责任人?企业自己有没有办法审计数据的安全，云中的数据在一定时间内没有外人使用过。如果数据全都以加密的方式存储、运行，有没有这样的技术?

其实，最令三花控股集团CIO叶根平拿不定主意的是，他没有发现有一个厂商敢承诺一旦发生云事故会承担责任，厂商不敢承担责任，不敢签订明确责任的合同。

以上就是三花控股集团CIO叶根平的一些困扰和思考，现在他不敢把一些应用放到云上，但是已经迫在眉睫，所以希望有供应商和企业的同道有好的解决方案和想法可以分享。