2017 CIOC全國CIO大會7月20日在青海·西寧盛大舉辦，來自全國的300余位CIO共聚一堂，最接地氣的觀點、最實用的實戰經驗、最前沿的技術、最新的產品在此匯聚，碰撞出屬于CIO的精彩火花。
以下為現場速記。
主持人：我們今天請到三花控股集團CIO葉根平先生為我們分享《企業(云)安全方面的困擾和思考》。有請!
三花控股集團CIO葉根平
葉根平：早上聽了兩家企業蘇寧和南航的方案，他們都是高大上的，我們作為企業來說，我們在工作當中碰到一些困難和困惑，每年在這里講的都是我們工作當中的一些困惑，今天我跟大家分享幾個最近困擾我的幾件事情，我分享一下，我相信對其它企業和乙方也是有一些共鳴的。
我的題目是《安全方面的困擾和思考》，困擾之一是病毒的侵入，5月12日我也有幸“中彩”了，實際上這不是我第一次“中彩”，我們公司2013年12月份也中過一次彩，勒索病毒。關鍵這兩次中彩有一些重要人物，技術部的部長的電腦都中了彩，問題比較嚴重。因為電腦上有一些重要的技術文檔，而且有一些文檔可能是沒有備份出來的，可能在一段時間里面一個團隊的研究成果就會丟失。后來就提到一個比較高的高度來提這個問題，我們也就跟防病毒的一些廠商做了一些交流，他們都說暫時沒有辦法。特別是5月份這一次是全球性的爆發，我也不紙知道為什么。
這里是一個圖，這個圖是全球爆發的情況，實際上是大面積的。也有一張圖是講我們中國中毒的情況，主要集中在華南、華東和北京的一些地區，那么華東地區就是江浙滬地區是一個很密集的紅點，行業也是有一些重點的行業，為什么我們制造業也中彩呢?中彩了沒辦法，我們兩次事件當天或者一段時間里面采取的策略只有一個，就是報警。后來我們就想，我們是不是可以除了報警以外還有其它方案呢?比如現在我們不是很多人介紹什么安全嗎?我們不要說云上的安全，如果我的內部網絡做一個安全，云上的安全就很難去保證。因為內部網絡有一個物理的空間，云上連物理的墻都沒有。所以我就想，有沒有可能這種入侵是有痕跡的，或者是有一些整體性的思考的。比如說像這種端口，我中午跟陳本峰總交流，我很期待聽他的報告。諸如此類，我覺得有沒有可能這種整體性的策略去解決，這是我的思考。這是一個最近困擾我的事情，我也不知道什么時候再來一個莫名其妙的病毒進到我的網絡里面來，把我的一些重要文件破壞掉了。因為這個我們是沒有交錢的，我們不能助長，我們就把系統隔掉了，丟就丟了。這是我的一些困擾和思考，這是第一，目前來看還沒有人給我一些好的解決方案。
第二個，今年5月底某知名軟件公司對我司曾試用過的軟件提出他方的要求。我昨天來了以后，我跟海天(音譯)的錢總或者其他人在交流的時候，其它公司也有。也就是說，有些時候我們的技術人員在網上有些公司免費給我們試用一些軟件，我們的技術人員試用以后忘記卸載了或者卸載得不干凈，結果被對方的軟件公司偵聽到了。后來我專門請教過美國來的一些朋友，他們說很多軟件里面是帶著心跳的模塊，這個心跳是卸不掉的。我交給制造業好的研發團隊，那種心跳是這樣的，只要上網就心跳到了他們公司的一個專門收集這種信息的服務器，到了一定時候，他們覺得有需要的時候，就告訴你這個信息是哪個機器的哪個地址，是通過你這個域名解析出去的，在哪個網段四個數字組成的地址出去的，我查這個地址確實也是我的外網地址。
實際上我們每年的4、5月份開始這件事情，軟件供應商號稱是版權部門、合規部門也好，是各個大學辯論比賽的前幾名，而且也不愿意郵件溝通。我說你有什么問題郵件溝通不了嗎，他一定要打電話給你，一打就是幾個小時，我們心里就會煩躁，煩躁就中了他的套。這個事情本身它是一件說不清楚的事情，可能大家也是有默契的，微微一笑的。但是我們在想，我們有沒有可能在內網上自己主動監聽或者偵聽內網上有些什么問題，比如說類似這種我們不合規的軟件，如果我們知道一些痕跡。實際上軟件廠商提供給我們以后，我們再去找很容易找出來它的痕跡，我們內網和外網全部隔離，在我們公司里面很多研發單元都做了。但是我們想能不能夠主動巡檢，把一些不合規的軟件在內部就自動消除一些不合規的情況。
還有一個思考，這是我們從內，內部加強規范管理，還有一個外是實際上怎么讓這些東西不出去或者別人進來的時候我可以知道。從防火墻上，通過軟件或者通過什么方式，因為國際上很知名很強勢的公司也沒幾個，我們是不是能夠做一些主動性的預防，這也是我的思考。我的困擾是每年都要花很多精力應對這些辯論賽冠軍們，經常在電話里面跟他們糾纏，很影響心情，而且都是快下班跟你打，我的家里人也明顯感覺到我的情緒受到很大的影響。因為我說不過他們，也不知道怎么避免，這是一個困擾。那么有沒有可能有效阻斷?這是我的外部反映，內部反映是自動巡檢，我們也想這樣做。這是第二個困擾。
第三個困擾，我們在全球各地有很多研發團隊，有很多重要的客戶，我們就組成一個研發團隊，他帶著我們某個系列產品的版本代碼做調試。這些東西在我們公司某種意義上是核心產品，這些東西在外面有兩個風險，第一這些東西本身就會被泄露，有些技術人員可能有想法的時候可能會做一些動作，比如說把它私自藏一份起來，諸如此類，這是合法人的。還有一個是其他的外人，我們也做一些更改，版本不一致，在具體的版本管理上，也是有一個問題的。我們在想有沒有這樣的機制，可以使得外面的數據是沒有一定的風險的，內部又是可以有效的可以管理到。我們也想過用項目管理，也做過嘗試，用一些加密、解密，也做過一些嘗試，但是效果都不算是太好。
我們現在做了一個桌面虛擬化，我不說它的名字。我們把國內有幾個地方的外面的研發人員全部通過桌面虛擬的方式跟總部溝通調試，但是效率上也是有一些問題，也出現其它的一些問題。所以這個問題怎么辦呢?效率問題我們是不是上問呢?這就到我下面要講的問題，云可信嗎?數據安全嗎?這是第三個困擾，第三個困擾是研發的關鍵數據怎么保護的問題。
第四個困擾跟它一樣，有些高層級人員帶著核心的數據較長時間的在外面出差，有些時候電腦丟了，有主動和被動的數據丟失的問題。我們的現象是這樣的，最近我們發現在很短的一個時間里面，研發出來跟我們有很強競爭力的一個產品，我們研發這個產品花了3到5年的時間，有一個大團隊在那兒做，只花了不到一年時間就做出來了。這個事情我們就找證據，在訴訟過程中。但是這件事情引發了我們思考，實際上是可以做一些工作的，怎么樣有效保護。遠程桌面受到的困擾也是的，事實上我們最近也是找到一些供應商，他們提供了一些方案，到時候我后面會講到。這個也是用加密或者加水印的方式是不是可以，加水印只是取方便，但不能解決已經丟失的情況。而且我們國內有些有實力的企業，我們中國的企業的仿造能力已經如火如荼，當然我們刻意回避專利。水印可能還不行，加密我們也用了，也還是不能夠很有效或者不能杜絕。
第五個困擾，數據丟失。前兩天就發生了一起丟失事件，一個乙方的工程師在我們人員走開的一段時間里面，他擅自做了一個操作，把我們一段時間的業務數據給搞丟了。因為短時間里面我們的備份沒有那么強，所以我在考慮熱備的事情，熱備的事情有沒有可能有更好的方案。我們也是有自己開發的一些軟件，在過程中因為BUG、因為調試的問題，也會出現數據丟失。我們曾經在一段時間里面，數據丟失的困擾也是一個問題。如果我上云，雙機熱備等功能在云上實現是不是也有性價比優勢?現在浙江上號召企業上云，我問了一個問題，企業上云干什么?很長時間沒有人回答我干什么，是為了上云而上云，其實會有很多后續要思考的問題沒有做，當然我不在這里講，這是政府需要。
以上5個問題，我們再思考一下，我們在傳統模式上的安全策略或者防泄漏策略是這樣的。有外部有內部，從外部來講，黑客的侵入和有平臺違規，所謂平臺違規就是有些提供我們平臺的軟件、硬件做一些小動作，比如說這個軟件公司里面放心跳程序諸如此類的，他知道你用了幾個lensens。我們有系統防護，這個是數據加密，我們現在已經在做了。內部對于惡意的合法訪問，就是有一些合規人員在做一些非法的程序，或者我們的授權人員有一些私心的做法，我們怎么辦呢?通常我們是通過行為分析來做的。比如說，我們前一段時間有一個國外請來的專家，他有一些私心、有一些想法，他在某一個非工作時間段里面從他有授權的服務器上連續的下載了很多產品線的大量數據，通過解密下載到自己的電腦上。這種從行為分析上，我們發現了，但是后面他把自己電腦上的東西有沒有拷到其它地方去呢?我們不知道，因為他是解過密的，而且他是有授權的。從行為分析上，我們知道有這個事情發生，但是我們不能杜絕因為數據泄露而出現的后果。比如賬號被盜用也是一種，我們通過行為分析這個人的使用習慣和那個人的使用習慣不太一樣，使用的時間也不一樣、使用的地點也不一樣，這是通過行為分析，我們在網絡上也有。行為分析要經常去巡檢、監控才知道的，如果執行監控人不勤勉也有問題，會漏掉。
同時我們還可以通過終端管理，我們用一個軟件把內網上所有終端，通過一種方式把U盤封住、端口鎖住、異常報警等等，我們也做了。對于數據的泄漏和損壞這件事情，防數據泄漏的方法也有，但是我剛才說的幾個場景只是在事后知道，真正流出去以后造成的后果我們還是不能防范的，或者沒有更有效的方法。加密是一個方法，但是很多時候我們需要解密，比如走專家評審、到客戶那里做調試，有一些高精尖人士加密解密麻煩要用明文諸如此類的。
大家知道，之前答辯的時候，我跟王興(音譯)他們答辯，我覺得他們有點不講道理，我是很冷靜的提問題。傳統的模式太累，我們也想上網，云是不是一個可信任的模式呢?這是我比較困擾的事情。舉個例子，美國是完全把應用和服務器都放在亞馬遜云上的，但是今年的2月28日我突然在新聞知道，亞馬遜云出了問題，我心里就很慌，我馬上打電話過去。因為時差的問題，問那個管理員，還好我們在美國和墨西哥的兩個機房不在S3的服務范圍里面，沒有影響。如果有影響，我們的業務系統是在上面跑的，財務晚一點沒有關系，業務受影響3.5個小時是很麻煩的。還好沒有，但是他出事故了，我們知道了。
我現在很擔心，他還會不會出事故。我們最近在服務器上還要加一些應用，以前我們是財務供應鏈，現在我們還要加上其它應用，我們就會擔心這件事情。這個擔心不是沒有道理的，不是我庸人自擾。實際上你可以看，我們可以找出很多，比如說我這里有事沒事就列了一些，不是全部，但是有一些。你看從2012年開始有很多，隨便列列都很多，一帶而過。實際上我在思考，云環境當中我要考慮兩個因素。一個是這個環境是可信的嗎?可信的意思是比如說我去年講的有沒有臨時工現象，出現問題說臨時工干的，而且網絡斷掉之后也找不到責任人。我也知道，我這里沒列出來，斷了三天都有過的，我不想說它。這里有一個情況，這個環境是可信任的嗎?還有一個方向，里面的數據是安全的嗎?我列了一下，里面的數據安全有訪問的權限控制，是不是只有我們去管理，還有沒有其它的服務器?然后是在云存儲的私密性，理論上我們是可以分配、可以去管的。但是我有一個絕對，他把硬盤拔出去或者通過另外一個途徑存儲，實際上我們是不知道的，他說有沒有我沒有辦法審計。這個怎么實現?他說沒有我們就說沒有，還是我們可以通過一種方式審計這個數據，到底這段時間有沒有被除了我應用之外的人使用過。還有在存儲過程中的私密性，中間過程是不是有人截取?如果我們全部用加密做業務動作，不知道可不可行，有沒有這樣的技術，我歡迎供應商來給我們提供解決方案。
我想起來網絡負擔還是很重的，通過每個關口加密解密。如果我們全球部署應用，還有一個是云上的服務器都是在全球分布部署的，傳輸過程中的安全可靠我們也是要思考的。還有完全性問題，持續可用性以及一些訪問速度，沒有一個完整的關于數據安全的云服務提供商給我的方案，而我們現在最關心的是兩個，可信嗎?可信我們可以通過合同約定，比如云提供商說得很好，我說可以，斷了以后多長時間能恢復，他說24小時能恢復，我說好，24小時保證我的業務正常性，哪怕我設置離線終端來做，你說24小時恢復，如果24小時不能恢復，你承擔什么責任。他不敢承擔責任，我要跟他簽訂很明確的合同，24小時不能恢復，1分鐘賠我多少錢，根據我的業務量，他不肯。所以很重要的問題是，這些可信和數據安全的責任主體到了真正要我們企業去選擇的時候，我們會發現這個責任主體始終并不到一個點上去。這是我最困擾的地方。
像我們企業三花雖然不是很大，但是我們的產品在全球的競爭力是很強的。我們的產品在全球的市場份額占到50%，有些產品占到80%，有絕對的競爭優勢或者技術優勢。這是我的困惑，當然我們目前有些還是沒有辦法的。我在想云環境中有沒有防火墻?以前我們通過防火墻侵入，至少我們內部好像是安全的，剛才說我可能是合法的、非法的，但是我放到云上去，我是很想放云的，很久以前可以放我都放了，歐洲的服務器都是在云上的，我們是沒有機房的，也沒有專業的運維人員。我們的應用放在云上面去，我就會考慮有沒有這樣的一個防火墻，能夠阻斷非法訪問，合法訪問能夠通過，而且數據是安全的，這個有沒有?有人告訴我有，但是我沒有看到，那么有還不能解決問題，好不好呢?就是能不能符合我剛才提出的這些要求呢?這個實際上是一個很實在的問題，我們說那些拓撲圖畫得很好的，對我來說我只是覺得看了很新鮮，但是企業上會涉及到很具體的問題。
還有數據，數據是明文，這個結構也是典型的。企業內部是明文，企業外部是密文，包括我到云上去也可以加密，重要數據可以這樣做。比如說圖文、技術檔案，我們都是加密傳送的。但是加密傳送現在歐洲有一個研發中心、杭州有一個研發中心，但是我們發現傳輸的速度太慢，一個設計圖要傳三個小時，通過加速又受到很多基礎設施甚至是國家級的審核制度的要求。我們最近通過和一家公司做了一種方式，我記得我在這里也介紹過，現在他們改了名字、改了集團，我也不說他的名字。我們提高了一些效率，提高了至少60%的速度，成本也很低，但是還不能滿足需求。
我這里的困惑和思考，我有應用存取，哪個模塊哪個功能需要存取什么樣的數據，這樣的行為我是可以通過行為管理或者通過審計發現的。但是我要知道這個也有異常，比如說某個人在這段工作時間，他以前的存取頻率是一個小時10次左右，突然那天他這個小時里面存取超過50次，我們認為就異常，我需要報警，至少告訴我這里有異常。我們現在正在測試一個軟件，可以做到有應用存取的異常情況會報警，可以及時干預，而不是事后通過審計來發現。這是我們想的，最重要的還是非法異動，我要告警和加鎖。我們現在也找了一家公司在做，我也不說他的名字，我們在試。
以上就是我的一些困惑和思考，我的問題是這樣的，可以相信云嗎?可以相信云服務提供商嗎?我提出這個困惑和思考，實際上我是希望在這個平臺上找到跟我類似的客戶或者供應商提供解決方案。大家不要小看這個平臺，去年我在這里提出問題，我們找到了本峰總，我們搭建的系統怎么樣把它很方便的移動到現在新的比如說手機端。去年7、8月份我們就接觸，他們團隊進來，我們現在做到手機端，給老板看，老板也很滿意。今年我們也是這樣的，我們希望在這個地方把我的一些困惑和需求提出來，也希望有一些供應商或者客戶或者企業朋友有好的想法，也可以跟我交流，以解決我的問題。我現在不是太相信云上，我不敢把應用放上去，但是我現在已經迫在眉睫。
我有一個應用，我的倉儲在全國有100多個，如果現在倉儲系統還是放在總部，讓這100個倉儲發貨都是從這里走，我們現在條形碼掃碼出貨。如果遠程存取，我要解決很多問題，比如網絡設備、網絡帶寬、服務區承載、存儲，所以我很想上云。我上了云以后，至少我要找一個在各地至少在幾個大區有服務大點的，他們自己有分布式的RDC，我就很方便，我就上云，我的數據也可以放上去。謝謝各位!
京公網安備 11010502049343號