01、前言
網路攻擊沒有國界，現今面對的威脅已非單一人、單一部門乃至於單一企業可以有效防守，孤軍奮戰難以抗衡全球更複雜、規模更大且有組織的縝密惡意攻擊。因此，很多企業開始意識到保護自身企業的資安至關重要。
而在企業的業務運轉過程中，要用到各種各樣的軟體服務，包括CRM系統，ERP系統，財務系統，報表系統等等，企業的核心資料都會在這些系統上流轉。
那麼如何在進行這些企業級產品的選型時，就系統全面地評估它們的安全性呢？是不是對方提供一個安全檢測報告就夠了？
筆者目前負責的就是一款中國大陸市場佔有率第一的資料視覺化產品——FineReport，服務的企業客戶多達上萬家，其中不乏對資安非常敏感的行業龍頭，在產品的安全性這塊可謂打磨頗多。
這篇文章中筆者將從一位負責企業級產品安全模塊設計的專案經理的角度，為大家提供一些建議。
02、大方向
我們先用一張流程圖來整理一下企業資料有可能在哪些過程中洩漏：
從這張圖中，我們可以清晰地看到，提供產品的企業、駭客和使用產品的企業都有可能成為企業資料的泄漏源。
那麼，對一款企業級產品進行選型時，我們就可以從以下3個大方向進行考慮：
- 提供該產品的企業是否會竊取客戶的資料或者操作失誤導致資料丟失;
- 該企業提供的產品是否存在嚴重的安全漏洞，被駭客攻擊導致資料泄露;
- 該產品是否提供完善的措施防止企業內部員工竊取資料或操作失誤導致資料泄露。
03、細節拆分
我們可以看到，企業資料泄露的威脅來自於內外部，而且這3個大方向的關係是層層遞進的。
但是如果我們只看到這些大方向，還遠遠不夠。只有把每一個方向都分解到最細節的點，才能夠真正幫助我們去進行企業級產品安全性的選型評估。
1、首先來看第一個方向： 提供該產品的企業是否會竊取客戶的資料或者操作失誤導致資料丟失
很多時候，我們在進行企業級產品選型時，我們會下意識地選擇那些口碑好，實力強的公司，而pass掉那些新成立，沒聽說過的小公司。
這種下意識是有道理的，從實際情況來看，口碑好實力強的公司一般也要比沒聽說過的小公司更加安全。
但是不是說這樣的企業就絕對安全呢？或者說我們是不是只要隨便挑一家這樣的大公司就行了呢？顯然是不行的。否則Facebook資料泄露事件的就不會引起這麼大的風波了。
所以，除了口碑好，實力強，我們還可以從以下幾個細節點來評估：
- 是否能夠私有雲部署，從源頭上掃除產品提供方監守自盜的或者操作失誤導致客戶資料被盜的可能性;
- 是否有一套產品提供方內部員工操作資料的行為規範和萬一發生了操作失誤的搶救措施;
- 是否能夠在一旦發生了因為產品提供方的失誤而導致的客戶資料丟失時進行合理地補償。
2、再來看第二個方向：該企業提供的產品是否存在嚴重的安全漏洞，被駭客攻擊導致資料泄露
這可能是大部分人在進行企業級軟體產品選型時首先會想到的點，那麼就像文章開頭問的那樣：是不是對方提供一個安全檢測報告就夠了？顯然也是不夠的。
安全監測報告只是一種基本的滯後的安全漏洞掃描，除了這些被動的安全漏洞修補措施，安全的企業級軟體產品還應該提供主動的安全防禦措施。
所以我們可以從以下幾個細節點來評估：
- 是否會定期檢測和修復安全漏洞，並定期進行安全性更新，保證系統的安全性，可以讓該企業提供權威檢測機構的安全報告;
- 是否採用了先進的加密演演算法，所有需要加密資訊儲存和傳輸的地方，使用經過時間考驗、業界認可的加密演演算法;
- 是否提供基本的web應用防護，如文件上傳檢測，SQL防注入，XSS跨站攻擊防護，SessionID加密防止遍歷，防止CSRF跨站請求偽造等;
- 是否提供登入防暴力破解措施，即可設置對使用者的登入進行驗證，如簡訊驗證、郵箱驗證和滑塊驗證等，防止機器登入及他人盜用密碼。連續登入失敗鎖定帳號或ip，防止遍歷暴力破解密碼;
- 是否提供強密碼策略，管理員可設定密碼複雜度限制，登入時如密碼不符合強度限制需要先修改密碼才能登入平台。提供定期修改密碼選項，到規定時間時提示客戶修改密碼，且新舊密碼不允許相同。
3、最後來看第三個方向：該產品是否提供完善的措施防止企業內部員工竊取資料或操作失誤導致資料泄露
很多公司往往會忽略來自公司內部的資安風險，但有統計顯示，【內鬼】和操作失誤造成的資料泄露佔了企業資料泄露事件的很大一個比例。
因此，企業級產品中是否提供完善的措施，防止企業內部員工竊取資料就非常重要。同時，企業員工誤操作也在所難免，關鍵是產品能否提供完善的提醒和恢復機制。
所以我們可以從以下幾個細節點來評估：
- 是否提供完善的權限管理功能，將權限劃分為管理權限、目錄權限、範本權限和資料權限，這些權限可以快捷地分配給相應的部門，角色或者使用者，也可以快捷地停用相應的權限，防止越權行為的發生;
- 是否提供全面的日誌審計功能，所有使用者的訪問，上傳、下載、匯出等操作都會記錄詳細的的IP、時間、操作項目等，方便客戶可以發現異常操作並且定位到操作源;
- 是否提供易用的安全浮水印功能，可以通過公式自定義要顯示的浮水印，如浮水印中顯示使用者的昵稱、手機號、ID時間等，一方面提醒使用者這是敏感資料，嚴禁外泄，另一方面也在出現資料泄露時，便於定位泄露源或提高泄露成本;
- 是否提供強大的資料備份功能，客戶可以主動進行資料備份，或者設定定時備份，這樣即使出現一些操作失誤，也可以回到原來的狀態，消除或者減少誤操作帶來的損失;
- 是否提供敏感操作提醒功能，當使用者進行一些如刪除資料、權限、範本等敏感操作時，出現彈框提醒可能會造成的風險，客戶了解風險後可以繼續進行該操作或者取消本次操作。
獲得帆軟最新動態：數據分析，報表實例，專業的人都在這裡！加入FineReport臉書粉絲團！
相關閱讀：
喜歡這篇文章嗎？歡迎分享按讚，給予我們支持和鼓勵！
