優(yōu)化安全組織架構(gòu)

　　互聯(lián)網(wǎng)領(lǐng)域新業(yè)態(tài)、新模式不斷涌現(xiàn)，信息安全問(wèn)題也愈加凸顯?？焖俑咝У陌踩M織架構(gòu)具有扁平化、業(yè)務(wù)化及專(zhuān)業(yè)化特點(diǎn)。

　　扁平化：減少管理層級(jí)，提升溝通和反應(yīng)效率。目前京東設(shè)置兩層管理架構(gòu)，即安全委員會(huì)（決策機(jī)構(gòu)）和安全工作組（執(zhí)行機(jī)構(gòu)），讓決策與執(zhí)行快速高效銜接。

　　業(yè)務(wù)化：專(zhuān)業(yè)分工，讓安全管理與業(yè)務(wù)線相對(duì)應(yīng)。比如，京東作為全品類(lèi)綜合電商，業(yè)務(wù)綜合而復(fù)雜，因此在組織設(shè)置上，按照業(yè)務(wù)類(lèi)型、部門(mén)職能、歸屬區(qū)域等維度分為七大業(yè)務(wù)線，每條業(yè)務(wù)線以200：1原則配備安全官，由安全官全權(quán)負(fù)責(zé)本業(yè)務(wù)線所有安全事宜，包括安全審核、安全開(kāi)發(fā)、安全測(cè)試、安全評(píng)估、應(yīng)急響應(yīng)及安全意識(shí)培訓(xùn)等。

　　專(zhuān)業(yè)化：針對(duì)新型安全問(wèn)題，按業(yè)務(wù)領(lǐng)域劃分方向，進(jìn)行專(zhuān)業(yè)研究與處理。比如，啟動(dòng)對(duì)于移動(dòng)安全、智能家居安全、JAVA安全、云安全等新興領(lǐng)域的研究，第一時(shí)間升級(jí)相應(yīng)應(yīng)急響應(yīng)機(jī)制，制定嚴(yán)格細(xì)致的處理流程，針對(duì)不同來(lái)源、不同級(jí)別漏洞設(shè)立相應(yīng)匯報(bào)與處理的通道，及時(shí)識(shí)別和應(yīng)對(duì)風(fēng)險(xiǎn)。

　　搭建安全決策蜂窩模型

　　信息安全風(fēng)險(xiǎn)無(wú)處不在，風(fēng)險(xiǎn)管控首先需要根據(jù)企業(yè)特點(diǎn)定位，找準(zhǔn)安全方向。“安全決策蜂窩模型”綜合了七大決策手段：

　　戰(zhàn)略：服務(wù)公司整體戰(zhàn)略。深入解構(gòu)公司戰(zhàn)略，評(píng)估企業(yè)的潛在風(fēng)險(xiǎn)、技術(shù)差距及人才儲(chǔ)備狀況等。

　　趨勢(shì)：擁抱技術(shù)趨勢(shì)。趨勢(shì)的力量是無(wú)法抵抗的，快速學(xué)習(xí)當(dāng)下熱點(diǎn)，如移動(dòng)安全、智能家居安全等，并及時(shí)布局，否則很可能產(chǎn)生滅頂之災(zāi)。

　　影響：評(píng)估漏洞影響。單個(gè)漏洞背后可能隱藏著更大的風(fēng)險(xiǎn)，應(yīng)該根據(jù)漏洞出現(xiàn)的業(yè)務(wù)位置、業(yè)務(wù)來(lái)源和漏洞級(jí)別，判斷是否影響核心業(yè)務(wù)運(yùn)行，是否為外部接報(bào)漏洞，級(jí)別如何等。京東擁有專(zhuān)屬漏洞風(fēng)險(xiǎn)分析平臺(tái)，監(jiān)控風(fēng)險(xiǎn)及處理緊急事宜。

　　特征：不同漏洞對(duì)癥下藥。當(dāng)漏洞發(fā)生率飆升不降時(shí)，需要具體分析和應(yīng)對(duì)。如是重發(fā)漏洞，需要制定解決方案，避免復(fù)發(fā)；如是頻發(fā)漏洞，需調(diào)研是否因員工缺乏安全意識(shí)、程序員開(kāi)發(fā)習(xí)慣或?qū)υ撀┒搭A(yù)防未定義等，需要安全官加強(qiáng)安全工作；如是典型漏洞，需對(duì)全網(wǎng)業(yè)務(wù)進(jìn)行分析和監(jiān)控，避免大批量出現(xiàn)；如是嚴(yán)重漏洞，則需先判定是否為典型漏洞，若不是，則根據(jù)應(yīng)急響應(yīng)流程及時(shí)處理。

　　業(yè)務(wù)：劃分復(fù)雜級(jí)別。根據(jù)業(yè)務(wù)復(fù)雜程度進(jìn)行分類(lèi)，業(yè)務(wù)內(nèi)容決定業(yè)務(wù)系統(tǒng)級(jí)別，可根據(jù)各公司特點(diǎn)劃分，不同級(jí)別對(duì)應(yīng)不同響應(yīng)流程。

　　形象：評(píng)估品牌影響。信息安全也會(huì)涉及公司品牌和信譽(yù)，這時(shí)不是簡(jiǎn)單修復(fù)技術(shù)漏洞就可以，還應(yīng)考慮外部風(fēng)險(xiǎn)應(yīng)急控制，制定對(duì)外部接報(bào)漏洞的合理化處理方案，維護(hù)公司整體形象。

　　價(jià)值：衡量漏洞價(jià)值。根據(jù)漏洞嚴(yán)重級(jí)別判斷緊急程度，根據(jù)所處業(yè)務(wù)類(lèi)型確定風(fēng)險(xiǎn)范圍，借由這兩個(gè)維度評(píng)估安全工作成果，也即針對(duì)每個(gè)漏洞合理標(biāo)價(jià)，量化體現(xiàn)通過(guò)內(nèi)部檢測(cè)和外部控制所挽回的損失。比如，京東針對(duì)不同來(lái)源、不同級(jí)別漏洞嚴(yán)格計(jì)算，得出每個(gè)來(lái)源的漏洞價(jià)值，對(duì)安全工作成果進(jìn)行量化展現(xiàn)。

　　構(gòu)筑技術(shù)保障體系

　　構(gòu)建信息安全技術(shù)屏障，需將基礎(chǔ)安全手段、核心信息保持舉措及外部技術(shù)資源相結(jié)合。

　　注重基礎(chǔ)安全保障

　　信息安全工作量巨大且簡(jiǎn)單重復(fù)，因此，通常以系統(tǒng)為主、人工為輔方式開(kāi)展工作，并在例行關(guān)鍵節(jié)點(diǎn)介入人工審核。

　　完善安全流程。讓整個(gè)流程順暢運(yùn)行并且有據(jù)可循，根據(jù)公司業(yè)務(wù)特征可先制定上線安全評(píng)估流程、應(yīng)急響應(yīng)流程、生產(chǎn)環(huán)境評(píng)估流程等，在其基礎(chǔ)上再著手制定安全開(kāi)發(fā)規(guī)范、安全測(cè)試手冊(cè)、安全知識(shí)庫(kù)的積累等，讓開(kāi)發(fā)對(duì)應(yīng)開(kāi)發(fā)手冊(cè)、安全對(duì)應(yīng)安全測(cè)試手冊(cè)、漏洞對(duì)應(yīng)漏洞實(shí)踐。

　　搭建掃描平臺(tái)。掃描范圍涵蓋上線項(xiàng)目評(píng)估、外網(wǎng)域名、獨(dú)立重點(diǎn)項(xiàng)目評(píng)估及外網(wǎng)IP應(yīng)用層評(píng)估等。在流程中針對(duì)不同漏洞采取不同集成方式，如針對(duì)struts2、spring等嚴(yán)重漏洞及SVN泄漏直接在上線部署中檢查，若沒(méi)匹配到安全策略則不允許上線；基礎(chǔ)項(xiàng)目上線可直接進(jìn)入掃描引擎；重點(diǎn)項(xiàng)目需單獨(dú)進(jìn)行手工檢測(cè)，保證安全。

　　外網(wǎng)異常監(jiān)控。外網(wǎng)所暴露的任何信息都可能為黑客創(chuàng)造入侵條件，所以需進(jìn)行7×24小時(shí)檢查，利用程序?qū)τ袦?zhǔn)確特征的監(jiān)控進(jìn)行報(bào)警，對(duì)常見(jiàn)風(fēng)險(xiǎn)控制利用差異比對(duì)方式監(jiān)控。

　　異常流量測(cè)試與防御。根據(jù)公司條件搭建對(duì)應(yīng)的DDOS攻擊流量實(shí)驗(yàn)室，讓企業(yè)在重大促銷(xiāo)前能預(yù)演高流量攻擊風(fēng)險(xiǎn)。

　　統(tǒng)一登錄方案。如果登錄接口存在安全隱患，將可能導(dǎo)致業(yè)務(wù)所使用賬號(hào)系統(tǒng)遭遇撞庫(kù)、掃號(hào)或暴力破解密碼等威脅，給用戶(hù)和業(yè)務(wù)安全帶來(lái)極大威脅。登錄可分為三類(lèi)：對(duì)外網(wǎng)站登錄、對(duì)外移動(dòng)端登錄和內(nèi)部ERP等系統(tǒng)登錄，每種都需要定義IP限制、驗(yàn)證碼限制、登錄頻率限制和綁定限制等。

　　架構(gòu)安全設(shè)計(jì)。仔細(xì)調(diào)研企業(yè)安全架構(gòu)的風(fēng)險(xiǎn)點(diǎn)，并與開(kāi)發(fā)架構(gòu)師商討方案，將安全策略增加到使用框架之中，形成穩(wěn)固的安全系統(tǒng)。

　　強(qiáng)化核心信息保護(hù)

　　近年來(lái)，電商面臨的最大風(fēng)險(xiǎn)演變?yōu)楹诋a(chǎn)利益鏈最為關(guān)注的數(shù)據(jù)安全、賬戶(hù)安全和業(yè)務(wù)詐騙安全，無(wú)論哪項(xiàng)都會(huì)帶來(lái)嚴(yán)重危害，因此需要將其加入決策模型，制定應(yīng)對(duì)之道。

　　數(shù)據(jù)安全。核心數(shù)據(jù)信息包括用戶(hù)個(gè)人信息、用戶(hù)名、密碼、交易信息等敏感信息。保護(hù)核心數(shù)據(jù)首先保證訪問(wèn)的縝密性，例如采用堡壘機(jī)和一次一密的密碼體制訪問(wèn)；密碼采用主流加鹽加密方式保存，不使用類(lèi)似MD5加密等單一加密算法。對(duì)于支付交易的保護(hù)，可參考業(yè)內(nèi)專(zhuān)門(mén)針對(duì)支付安全制定的標(biāo)準(zhǔn)PCI實(shí)施。

　　帳號(hào)安全。目前問(wèn)題較多的是撞庫(kù)，當(dāng)用戶(hù)在不同網(wǎng)站使用相同賬號(hào)和密碼時(shí)，黑客可通過(guò)獲取用戶(hù)在A網(wǎng)站的賬戶(hù)，嘗試登陸B(tài)網(wǎng)址。安全部門(mén)可聯(lián)合業(yè)務(wù)部門(mén)共同建設(shè)風(fēng)險(xiǎn)用戶(hù)監(jiān)控平臺(tái)，監(jiān)控用戶(hù)的登錄行為、驗(yàn)證碼破解行為，建立IP、用戶(hù)黑名單，快速解封風(fēng)險(xiǎn)用戶(hù)，后續(xù)問(wèn)題自定義加入風(fēng)險(xiǎn)策略之中。

　　業(yè)務(wù)安全。2014年年初電商網(wǎng)站大量遭遇退單、商品異常等詐騙事件困擾。這種詐騙行為不能單純從技術(shù)角度分析，而是需要通過(guò)整體流程審核并借助公安執(zhí)法共同打擊。企業(yè)層面可以共同建立和維護(hù)詐騙分子特征庫(kù)，類(lèi)似騰訊的“雷霆行動(dòng)”，把所有詐騙信息及時(shí)同步到各通信平臺(tái)、IM通信工具、瀏覽器等，讓實(shí)施詐騙行為的用戶(hù)信息在各公司聯(lián)動(dòng)禁封或標(biāo)記。

　　借力第三方資源

　　首先，廣泛借力外部安全專(zhuān)家，建立外部安全響應(yīng)中心。2013年在騰訊公司的牽引下，各互聯(lián)網(wǎng)公司都在搭建自己的安全中心，回收外部風(fēng)險(xiǎn)漏洞，并通過(guò)評(píng)分獎(jiǎng)勵(lì)形式激勵(lì)安全專(zhuān)家，通過(guò)安全響應(yīng)中心彌補(bǔ)外部不可控的安全威脅。

　　其次，借助第三方公司技術(shù)力量，補(bǔ)充自身能力不足。1.在安全規(guī)則方面，借助安全咨詢(xún)公司進(jìn)行風(fēng)險(xiǎn)分析、制度梳理，同時(shí)引入和實(shí)施ISO27001信息安全管理體系等。2.在安全測(cè)試方面，驗(yàn)證公司安全部門(mén)成果，或在大促來(lái)臨之前，借助第三方力量對(duì)安全現(xiàn)狀進(jìn)行測(cè)試和完善，目前較主流的測(cè)試方式為乙方遠(yuǎn)程/駐場(chǎng)測(cè)試和眾測(cè)方式。3.在反詐騙方面，與業(yè)內(nèi)專(zhuān)業(yè)反欺詐公司深度合作，利用對(duì)方風(fēng)險(xiǎn)IP庫(kù)、詐騙手機(jī)號(hào)庫(kù)、釣魚(yú)網(wǎng)站庫(kù)等，彌補(bǔ)自身平臺(tái)數(shù)據(jù)空缺等。

　　總之，互聯(lián)網(wǎng)領(lǐng)域新模式和新業(yè)態(tài)層出不窮，目前難以形成成熟、統(tǒng)一的安全解決方案。未來(lái)希望進(jìn)一步促進(jìn)電商行業(yè)合作，分享資源、情報(bào)和經(jīng)驗(yàn)，并加強(qiáng)技術(shù)安全協(xié)作，打造綠色購(gòu)物生態(tài)圈。

　　文/晉亮

關(guān)注讀覽天下微信， 100萬(wàn)篇深度好文， 等你來(lái)看……