“裸奔”的政務云，急需構筑云堡壘機制保障數據安全

　　這是11月22日，國家密碼管理局商用密碼管理辦公室副主任霍煒在2017云棲大會·廣東分會上透露的信息，一石激起千層浪，政務云安全問題引發各方探討。
 

　　一、多地政務云安全狀況堪憂，存在重大數據安全隱患
 

　　眾所周知，近年來云計算快速發展，已經上升到國家戰略層次，中央政府出臺了相關的頂層設計方案，各級政府積極響應，將引入和發展云計算列為下一階段政務建設和經濟建設重點項目。尤其是在政務建設方面，地方政府積極性很大，電子政務上云也就是建設政務云形成一股席卷全國的浪潮。
 

　　政務云并非我國先創，美國、英國、日本以及歐盟各國早就提出了在電子政務中引入云計算技術與服務，利用云計算成本低、可靠性及靈活性高的特點提升電子政務的應用效能。我國政府也積極跟進，《中華人民共和國國民經濟和社會發展第十二個五年規劃綱要》中明確指出要“大力推進國家電子政務建設，加強云計算服務平臺建設，構建下一代信息基礎設施”。
 

　　近兩年政務云的發展非常迅速，從許多地方政府披露的信息來看，電子政務上云已經拓展延伸到鄉鎮一級，這為提高電子政務效率，最終惠及于民打下堅實的基礎。但是迅猛發展的同時，也出現了新的問題，那就是不少地方的政務云只追求快速上線，而忽視數據安全保障體系的構建，導致整個系統安全性很弱。甚至可以說這些政務云的數據在“裸奔”，一擊即潰。
 

　　云計算行業人士告訴記者，政務云的數據安全性不足，會給存儲在系統上的廣大人民群眾的重要數據帶來極大安全威脅，一旦出現問題將后果嚴重，有可能引發大規模數據泄露。今年的勒索病毒蔓延全球，我國也是主要受害國之一，該病毒主要攻擊的就是政府機構、銀行、學校等，而這些單位的網絡系統恰恰是與政務云相關性更強。
 

　　就此問題，記者采訪了云安全管理領域的專家郅偉。郅先生的團隊曾多次為中興、農行、氣象局、交通局等大型政企機構提供服務，從系統集成到云計算部署，從業超過十年，深諳政企用戶核心需求和問題所在，在政務云安全問題上頗有見解。并且，他們自主研發的云計算安全管理平臺“行云管家”現在正被兩萬家企業采用，在行業內備受關注。
 

　　二、加筑堡壘機，是政務云安全問題的優質解決方案
 

　　郅偉分析，當前階段政務云多為私有云形態，許多政府部門認為私有云部署在內部，更加安全，不會或者甚少遭遇來自外部的網絡攻擊。然而關鍵的問題是，通過對過去數據安全危機事件的統計會得出一個結論，超過半數的數據安全危機是由內部安全隱患引發的。
 

　　私有云可以在很大程度上隔離外部攻擊，但是卻有一定可能從內部被攻破。舉一個例子，黑客要通過外部的因特網入侵政務云很難，但是如果因為政府內部員工密碼設置薄弱被破解，該黑客直接通過密碼登錄系統就可以隨心所欲進行破壞。
 

　　郅偉認為要解決政務云安全問題，首先要保障內網安全可靠，堵上內網漏洞，由內而外建立安全機制。完全可以參照許多全球500強企業的做法，即從全局管理的角度出發，在政務云已有的安全模塊基礎上，再加筑一重具備高防護功能且拓展性強的堡壘機，通過體系化、精細化的密碼管理、資源授權、安全審計等措施確保政務云安全高效。
 

　　拿密碼管理來講，許多政務云系統內部的密碼管控十分松散，多個成員用同一套賬戶密碼，或者一個成員可以使用多套賬戶密碼，這種松散會留下密碼丟失被盜的隱患。另外，沒有密碼二次驗證措施(業內稱雙因子認證)，密碼設置過于簡單，均給不壞好意的人留下可趁之機。而堡壘機可以很好解決這一問題，不僅集中管理和分配賬號，而且配備二次甚至多重密碼認證功能，可以確保密碼管理完全精確到個體，安全性也大大提升。
 

　　郅偉又從資源安全的角度分析，他說政務云的性質就決定了依托在其上數據的高度敏感性，這些數據都存儲在不同的資源上，且有著嚴格的使用權限規定，相應的人員只能操作相應權限的資源，不可以越權操作。而事實上，許多政務云的權限管理形同虛設，不同部門的人員可以隨意查看甚至操作自己沒有權限的資源，越權操作、違規操作時有發生，歸根結底就是沒有一套強有力的約束機制。
 

　　堡壘機的核心功能之一就是權限管理，郅偉用行云管家內置的堡壘機做案例講解，解析堡壘機如何幫助政務云實現精細化的權限管理。在行云管家內，通過設置角色來承載資源權限，資源授權就是針對角色的，而每一個政務云的內部成員只需加入某個角色，便可獲得該角色擁有的資源權限。這種技術模型可以完美解決精細化資源授權問題，確保所有成員只可以在規定的資源權限下操作，防止違規的發生。
 

　　郅偉還給記者詳解，堡壘機的另一個核心功能是做安全審計，不僅允許政務云管理員自定義關鍵設備資源，對它們添加安全度極高的防護策略;還可以對來自政務云內部外部的高危操作(比如異常登錄)進行攔截;除此之外，堡壘機可以通過高清錄像記錄每一個政務云內部成員的全部操作記錄，一旦出現問題就可以及時追溯問題緣由、清晰責任完成追責。郅偉堅信，堡壘機是當前階段政務云安全問題的最佳解決方案之一。
 

　　三、強化政務云安全體系，讓政務云不再蒙眼狂奔
 

　　《國務院關于促進云計算創新發展培育信息產業新業態的意見》指出，充分發揮云計算對數據資源的集聚作用，實現數據資源的融合共享，推動大數據挖掘、分析、應用和服務。政務云建設進入一個新的階段，稱之為政務云2.0階段。
 

　　新階段對政務云提出了更高的要求，勢必進一步推動政務云的全盤落地，速度不會是政務云的發展阻礙，云安全才是政務云的攔路虎。強化政務云安全體系，讓政務云不再蒙眼狂奔，保障人民群眾息息相關的重要數據安全無虞，是各級政府機構必須重視的。無論是構筑云堡壘機制，由內而外增強政務云防護力，還是尋找其他解決方案，都已迫在眉睫。

        轉自：號外財經

　　版權及免責聲明：凡本網所屬版權作品，轉載時須獲得授權并注明來源“中國產業經濟信息網”，違者本網將保留追究其相關法律責任的權力。凡轉載文章，不代表本網觀點和立場。版權事宜請聯系：010-65363056。

延伸閱讀