從AWS泄密事件看，為什么云數(shù)據(jù)安全需要獨立的第三方

AWS泄密云數(shù)據(jù)安全大數(shù)據(jù)

安華金和 | 2017-10-26 12:47

【數(shù)據(jù)猿導(dǎo)讀】四年一次的美國總統(tǒng)大選，無疑是這片“自由之地”的政治盛會，也是整個世界政治領(lǐng)域的聚焦點。隨著云計算飛速發(fā)展，美國最大的云計算服務(wù)商亞馬遜的產(chǎn)品AWS也應(yīng)用在了選舉之中。而其扮演的重要角色之一就是存儲選民信息

四年一次的美國總統(tǒng)大選，無疑是這片“自由之地”的政治盛會，也是整個世界政治領(lǐng)域的聚焦點。隨著云計算飛速發(fā)展，美國最大的云計算服務(wù)商亞馬遜的產(chǎn)品AWS也應(yīng)用在了選舉之中。而其扮演的重要角色之一就是存儲選民信息。

而就在兩個月之前，美國一家選票計算機公司證實的一則消息：在AWS上存儲的180萬伊利諾伊州選民的信息被泄露，給美國公民隱私安全和選舉安全蒙上了一層陰影，也給廣大云計算服務(wù)商以及云計算服務(wù)使用者提出了一個無法回避的問題——云端數(shù)據(jù)安全到底由誰來保護(hù)，云上數(shù)據(jù)安全路在何方？如果在美國被視為圣物的“公民隱私”與“選舉公平”都在面臨威脅，那么誰才是解決這些安全問題的“Right Man”——既作運動員又做裁判的亞馬遜？還是獨立的第三方數(shù)據(jù)安全服務(wù)商？

我們先來看一下這次選民信息泄露的慘劇是如何發(fā)生的：在默認(rèn)狀態(tài)下，亞馬遜的AWS會將其托管的內(nèi)容設(shè)置為保密狀態(tài)。但是這項操作是可以由用戶更改的，而被泄露的選民信息極有可能是數(shù)據(jù)庫管理和設(shè)備合同商Election Systems & Software公司內(nèi)部人員有意或無意的將安全設(shè)置設(shè)為了“公開”，從而使這180萬的選民信息暴露在了互聯(lián)網(wǎng)上。安華金和數(shù)據(jù)庫安全專家表示：從常規(guī)的意義上來說，亞馬遜的做法看起來并沒有什么問題，默認(rèn)選擇是保密態(tài)存儲，并將最終選擇權(quán)交給了用戶。但是巨大的安全隱患恰恰隱藏在這看似“沒問題”的規(guī)則上，在數(shù)據(jù)安全領(lǐng)域中，任何偏差都將可能變成“大問題”！對于用戶的建議是：獨立出云平臺，將數(shù)據(jù)安全交給獨立的第三方提供商來承擔(dān)，這才是問題的“答案”。

為何談及“獨立的第三方”？很好理解，“獨立的第三方”代表與云計算平臺不涉及任何利益關(guān)聯(lián)，才能完全客觀的、公正地從安全本身出發(fā)思考問題，交出一份中立的、客觀的解決方案。而“數(shù)據(jù)安全服務(wù)商”代表了其在數(shù)據(jù)安全方面，無論是技術(shù)的掌握還是經(jīng)驗的積累都具備一定的優(yōu)勢，更有“資格”與“能力”來解決這個問題。好比足球比賽，不會請雙方的球員或者工作人員“兼職”比賽裁判，而是會請專業(yè)的裁判執(zhí)法比賽，在中超賽場上更會請外籍裁判組來執(zhí)法比賽，緣何？看中的就是“獨立”與“專業(yè)”。蒼天大樹高百尺，仍需要啄木鳥來醫(yī)蟲。鱷魚作為活化石進(jìn)化了千年，仍需要鳥類清潔牙齒。從云計算行業(yè)出發(fā)，直至自然界的平衡，“獨立的第三方”都是維持安全健康發(fā)展的關(guān)鍵。

將選民數(shù)據(jù)設(shè)為“公開”狀態(tài)的Election Systems & Software無疑使這些選民數(shù)據(jù)脫離了亞馬遜的控制范圍，使事件開始失控。作為獨立的第三方數(shù)據(jù)安全服務(wù)商——安華金和認(rèn)為，如果有第三方數(shù)據(jù)安全服務(wù)商為亞馬遜提供更為優(yōu)秀的備份文件加密能力，或者將事件中的“公開”狀態(tài)轉(zhuǎn)化為 “更為細(xì)粒度的”、“更為嚴(yán)格的”、“更為可控”的“安全公開”，提供更為細(xì)致的數(shù)據(jù)存儲與共享的權(quán)限控制與告警規(guī)則。而非像亞馬遜這種一切交給客戶決定的“粗粒度”控制，那么這場選民信息泄露的事件也許不會上演。

我們看到目前云上已經(jīng)出現(xiàn)一些獨立的第三方數(shù)據(jù)安全服務(wù)提供商，如安華金和等，依靠專業(yè)的技術(shù)積累，與各大云平臺在私有云、公有云等領(lǐng)域展開了深度合作，這些安全企業(yè)同樣會把一些重要的決定交給用戶來定奪，但是這個“交給用戶”的背后是專業(yè)安全企業(yè)經(jīng)過多年發(fā)展后化繁為簡的“沉淀”，其背后有一整套細(xì)粒度的權(quán)限控制與告警、應(yīng)急策略。選擇這類術(shù)業(yè)專攻的數(shù)據(jù)安全行業(yè)翹楚，應(yīng)當(dāng)是用戶更為可靠的托付，同時也是云計算服務(wù)商的保護(hù)傘。

廣大云計算服務(wù)商，面對從線下IDC機房到線上云計算服務(wù)器如影隨形的數(shù)據(jù)安全問題，難免由于其技術(shù)的瓶頸或經(jīng)驗的缺失，無法做到萬無一失。云數(shù)據(jù)安全問題也是妨礙傳統(tǒng)行業(yè)、政府機關(guān)“上云”的“最后一根稻草”。而為了順應(yīng)科技的發(fā)展和市場的需求，獨立于云計算平臺的第三方數(shù)據(jù)安全服務(wù)商將進(jìn)入云計算領(lǐng)域，形成“獨立的第三方數(shù)據(jù)安全服務(wù)提供商——云計算平臺——用戶”這樣的鐵三角，術(shù)業(yè)有專攻，聞道有先后，保障云計算更為便捷的發(fā)展，保證云數(shù)據(jù)更為安全的使用，應(yīng)當(dāng)是任何第三方數(shù)據(jù)安全服務(wù)商義不容辭的責(zé)任。

來源：數(shù)據(jù)猿

收藏分享

聲明：數(shù)據(jù)猿尊重媒體行業(yè)規(guī)范，相關(guān)內(nèi)容都會注明來源與作者；轉(zhuǎn)載我們原創(chuàng)內(nèi)容時，也請務(wù)必注明“來源：數(shù)據(jù)猿”與作者名稱，否則將會受到數(shù)據(jù)猿追責(zé)。