近日，某SaaS服務商/微盟遭遇員工刪庫跑路，服務器出現大面積故障，一時間讓平臺上的幾百萬家商戶生意基本停擺。這一事件發生后，不管是廠商還是平臺上的用戶，都在經歷著非常不容易的時刻。

        據官方公布信息，歷經了一周多的時間，數據已全面找回并且已恢復正式上線。針對事故給平臺用戶造成的影響，公司準備了專門的賠付計劃。

        在社交媒體和專業論壇中，這次事件也成了很多技術人員在討論的話題，數據歷經一周多時間才恢復，有人推測可能備份數據庫也被同時刪除了，本質上這也反映了數據安全管理機制不夠健全。

        作為一名多年堅守在IT技術領域的從業者，聽到這個消息的時候還是比較震驚的，數據庫被惡意刪除，恢復時間漫長，很清楚這對企業用戶意味著什么。我也想從這次的警醒，和大家聊聊，云時代，我們在災備建設與數據安全方面的考驗與防護。

        SaaS應用，被忽視的數據安全

        本來新冠肺炎防控需要，帶動了全中國2億人的云辦公，相較于各種花哨的營銷大戰，此次刪庫事件更值得警醒，這已不僅僅是一家云服務廠商的市值蒸發，還有幾百萬用戶的經濟損失，更是因為這里暴露出來的網絡安全債，是國內很多企業以往普遍忽視的、不重視的。

        就以我自己工作的領域來看，我已經在HR SaaS行業工作十多年，從供給端和需求端兩個方面來看，很多公司在實踐過程中還是存在不少業務應用中的數據安全風險。

        比如，國內很多SaaS廠商認為運維團隊是成本中心，不重視信息安全，從而在這個方面不斷地縮減投入，只有在遇到傷痛的時候，才會臨時增加投入來彌補損失。但我們知道，真的發生了的話，每一次的代價都將是慘痛的。 

        而在需求方，很多企業在選擇SaaS產品時，會更多關注產品看起來好不好看、用起來好不好用，卻容易忽略安全性的考量。另外也有一些企業為了保證安全性，進行本地化部署，但往往本地化之后，系統安全性會變得更加脆弱。

        中國的互聯網發展速度非常快，SaaS是云計算市場的最大細分市場，這幾年繁榮發展，越來越多的組織轉向了軟件即服務（SaaS），把它做為解決企業需求的一種方法。此次疫情更是對國內企業采購SaaS應用起到了推波助瀾的作用。

        云端過渡，數據安全也是優先事項

        對于我們從業者來說，非常樂于看到越來越多的中國企業采購SaaS產品來提高生產力，但還是誠懇建議采購時需要將數據隱私和安全性作為不可忽視的優先事項。分享一些我們作為SaaS服務商，日常的做法對策：

        第一，分散控制權限，做好人員分工

        做好最小程度的權限管理（最小權限原則），3個人3把鑰匙，每人只能打開自己盒子，3個人同時在一起才能打開完整的盒子。在日常管理上重點關注特殊權限賬戶和VPN權限管理。

        第二，加強生產系統訪問的安全控制

        建立數據安全治理制度并不斷持續優化，對運維行為進行事前審批、事中控制、事后審計、定期報表，避免運維人員惡意操作和誤操作的行為，確保高效審批及準確執行。

        不允許研發人員對數據層面進行直接篡改，每次生產系統的直接訪問必須通過特定審批，并且由專職運維人員協調進行只讀操作。配套的流程管理制度和審批機制，確保關鍵負責人了解每一次的聯機操作，并做好操作日志保存。

        第三，技術上做好預防措施，重視數據資產保護

        與專業的安全廠商配合定期進行安全掃描，加強生產系統的軟硬件安全防控能力。

        定期進行對生產環境進行數據備份，肯耐珂薩的數據中心采用容災技術，具備2地3備份體系，保障系統高可用。傳統的備份系統將數據從B端還原至A端，過程中數據容量、傳輸速度、磁盤性能等諸多方面都會制約其還原時間。容災技術則可以實現B端直接運行可用系統，極大程度縮短停機時間。

        定期的安全演練也能提高團隊在面對突發事件時能應對能力，過程中也能檢驗備份數據的完整性，避免有時候一切準備就緒時，卻發現備份數據損壞而導致無法正常恢復。

        寫在最后的話

        數據安全的前題是什么呢？是數據好好地被保存在服務器里，系統良好地運行。如果這個前題沒有了，也就沒有所謂的數據安全了。 

————————————————

版權聲明：本文為CSDN博主「CSDN云計算」的原創文章，遵循 CC 4.0 BY-SA 版權協議，轉載請附上原文出處鏈接及本聲明。

原文鏈接：https://blog.csdn.net/FL63Zv9Zou86950w/article/details/104681414