本文从企业的数字化转型的现状说起，到企业的风险与信息安全建设，落地于身份安全建设。

阅读时长：5分钟

适合读者：企业CEO、CIO、信息安全部门、IT部门

相信您能从此文中有所收获

现如今，很多企业的建设模式是：业务部门提出需求->信息部门进行立项->面对集成商招投标->项目开发上线，这样的经典建设方式导致了企业中的每个信息系统都是一座座烟囱，给企业带来的直接影响就是各服务重复建设、打通成本太高、不利于企业的业务沉淀和持续发展。

其中业务沉淀对企业的影响，许多企业为了改变烟囱式的信息孤岛现状，采用企业服务总线ESB来构建内部的服务枢纽和渠道，这在一定程度上解决了服务和数据不通的情况，ESB也成为了大多数企业稳定运行的高速公路，但是ESB大多在建设服务的初期是为了满足服务互通，如果一个服务一味的追求功能的稳定，那么对于企业来讲便是死路，也就缺少了SOA最核心的理念：松耦合的服务带来业务的复用，通过服务的编排助力企业业务的快速响应和创新。企业缺乏业务创新，就无法快速应对千变万化的市场需求，诸多企业为了业务创新经常在一个系统运行几年后，重新规划一套崭新的系统或进行整体升级来满足业务发展需求，且不论基础功能模块的重新建设带来的重复投入有多大，更重要的是，多年的业务沉淀很难全部保留。

因此企业在数字化转型的过程中一方面要考虑到业务沉淀和创新能力，这也是阿里巴巴在构建“中台”时的核心方向，另一方面，云计算和移动化是数字化转型的关键词，很多企业在数字化转型上云的过程中很纠结，上云的价值显而易见，能够给企业带来快速的商业模式重构，可风险也紧跟而来。总而言之，大多数企业对云还是有些许顾忌，数据放在云上便是给了外界一个可乘之机，如果说业务沉淀和创新能力是数字化转型的果实，那么安全便是储存这个果实的盒子，而身份安全正是打开盒子的钥匙。

不安有三，无锁为大。2月23日，微盟对外发布公告：服务器大面积服务集群无法响应，生产环境及数据遭受严重破坏，而事件的原因是遭到研发中心运维人员恶意破坏。

微盟是中国的中小企业云端商业及营销解决方案提供商，同时也是中国的腾讯社交网络服务平台中小企业精准营销服务提供商。微盟围绕商业云、营销云、销售云打造智慧云端生态体系，通过去中心化的智慧商业解决方案赋能中小企业实现数字化转型。

截止2020年2月25日12点，微盟集团在股市报5.660港元，一天时间内，微盟市值蒸发了约9.63亿港元，目前微盟正在拟定商户赔付方案，截止到28日前，微盟仍未恢复。

当大家都沉浸在数字化转型的丰收喜悦中时，微盟的这次安全事件却给我们敲响了警钟，正如上文所言，数字化转型是业务发展必经之路，可是“安全“无论何时都应该放在发展的前面。

信息安全方面，企业要做的还有很多很多······

Gartner数据显示，中国在 2019年的IT支出约达到2.9万亿元规模，而信息安全市场规模为500亿元左右，中国信息安全支出占IT支出比例仅为 1.7%，而这个数字在国际上约为3.1%。无论是等保2等法律法规的要求或是微盟的前车之鉴，“安全问题”必须要引起企业的高度重视。

据 Ponemon Institute《2018年组织内部威胁成本报告》报告显示，64%的企业信息泄漏事件都是由员工或承包商的疏忽导致的，因此对于企业来讲外部的攻击要防，内部的蓄意报复及疏忽也要管。

那么在身份安全方便应该管哪些呢？

A.企业生态上下游的接口（API）身份

B.企业外部供应商（Business）身份

C.消费者、个人用户或终端用户（Customer）的身份

D.企业下游经销商（Dealer）的身份

E.企业内部办公人员、运维人员（Employee）的身份

企业需要通过对数字身份的治理、可信鉴别、访问控制以及监控管理来完成对企业内的现有应用资产、服务器资产、数据资产的“全维度保护”，保障用户能够高效访问、IT部门能够做到有序变更、以及企业可持续发展的安全体系建设。

那么针对数字化转型过程中遇到的这么多身份，应该从何下手呢？

零信任是近年较为流行的网络安全框架之一。

百因必有果，为什么有零信任这个概念呢？那就不得不提边界信任，边界信任是现代网络中见的传统信任模型，所谓边界信任就是明确什么是可信任的设备或网络环境，什么是不可信任的设备或网络环境，并在这两者之间建立“城墙”，从而保证不可信任的设备或网络环境无法在携带威胁信息的情况下，访问到可信任的设备或网络环境的信息。随着防火墙技术的发展，越来越多的威胁信息都可以被防火墙直接拦截，这使得边界信任模型看起来无缺。

但是，边界信任模型存在一些致命弱点：

1) 如今网络攻击的花样层出不穷，攻击方式变幻莫测。然而，由于将所有的“防护”都孤注一掷地依赖于防火墙，一旦有新的威胁形式超出防火墙的防护范围，那么防火墙就形同虚设；

2) 如果攻击者使用了某些方法绕过了防火墙，比如：利用恶意邮件直接进入内网；

3) 无法识别可信设备对其他可信设备进行攻击的行为；

所有的弱点，归根到底都是对可信任设备与网络环境的“过度信任”造成的。相比于边界信任模型中对信任设备及网络区域的“过度信任“，“零信任”在考虑敏感信息时，默认情况下不应该信任网络中的任何设备和区域，而是应该通过基于认证和重构访问控制的信任体系，对访问进行“信任”，并且这种和信任应当是动态的，即“信任”应当基于访问实时地进行评估与变换。

那么零信任应用在上文各种身份场景下，又应该如何做呢？

1.API身份

企业需要通过企业级API网关来实现API接口数据的集中出和入，特定场景下进行API认证鉴权及限流熔断重发等业务处理；

详情参考“API网关与服务安全实践”（←可点击查看）

2.内部员工和合作伙伴

通过可信数字身份的自动化治理来横向打通所有业务系统，以身份大数据风险感知和分析加强零信任下的身份安全；

详情参考“零信任安全架构的核心基础--统一身份认证”（←可点击查看）

3.C端用户的身份

C端用户是很多企业的最终用户，车企的车主、制造业的消费者、金融行业的储户等等，企业需要通过对互联网数字身份的治理来构建2C的生态服务，呈现C端用户的智能画像，为精准用户营销和全渠道消费营销赋能，也为企业提供未来扩展开发能力；

详情参考“企业C端消费者用户身份认证安全探讨”（←可点击查看）

4.特权账号的身份

Gartner 《2019 特权访问管理实践》提出，良好 PAM 解决方案应建立在四大基础之上：

? 提供所有特权账户的完整可见性

? 治理和控制特权访问

? 监视和审计特权活动

? 自动化和集成特权账号管理工具

特权账号管理方案能够帮助公司企业保护敏感数据特权访问，特别是在云计算大行其道的今天，运维的边界扩大，难度也增大，很多企业直接把业务系统交给第三方或外包进行运维，甚至于直接把密码告诉运维人员，其中存在的风险不言而喻。

针对内部的运维人员恶意泄漏，如果微盟能够在特权身份安全上满足以下六点，可避免甚至杜绝大部分事故：

1. 持续收集并管理特权账户

2. 多因素认证（强认证、核心资产二次认证、命令二次认证）

3. 访问控制（实时监控、双岗复核、高危命令黑白名单）

4. 用户行为分析（风险动态感知并预警）

5. 权限控制（运维、命令细粒度、分权分域管理）

6. 密码管理（密码不落地、定期改密、密码信封、密码分段）

最后要说的是，信息安全建设绝非易事，企业要做的不止于身份安全，数据安全、网络安全、终端安全等同样重要。但身份安全是企业内部核心资产的钥匙，数字化转型是一条风险与机遇并存的路，如果在转型的过程中没有保管好这个钥匙，那么企业的数字化转型也就失去了价值，任何成果都随时可能付之一炬。