體系認證
產(chǎn)品認證
資質認證
項目申報
管理培訓
ISO 三個體系認證之間的差異
2022-12-08
辦公輔助軟件是怎么做信息安全的
2018-08-07 11:19:47
現(xiàn)在不少企業(yè)是用企業(yè)聊天協(xié)作工具輔助辦公的，比如說釘釘、紛享銷客、iWork365等。一旦涉及到工作，就有不少信息、甚至工作內容是涉及到企業(yè)機密的。那么，這些知名的寫作平臺又會采取什么手段來做保密工作呢？
首先，偷竊企業(yè)信息最大的可能性來自于商業(yè)對手，或可以從商業(yè)對手那里獲得好處的機構。他們需要盜取核心的數(shù)據(jù)，例如董事會討論戰(zhàn)略部署的內容、經(jīng)理對下屬部署投標報價，還有董事長叫美女秘書來辦公室述職的命令。這些信息本來就是非常私密的交流，通過買通普通員工并沒有辦法獲得這類聊天記錄。于是利用黑客技術潛入服務器系統(tǒng)是一種最為理智的選擇。所以，接下來的戰(zhàn)場轉移到了技術攻防。
IM系統(tǒng)的安全防護有簡單的地方，是因為聊天記錄以靜態(tài)的形式存儲。對于靜態(tài)資料，國際上有一種通用的成熟解決方案，那就是密文存儲。通過密碼學的方式把數(shù)據(jù)加密，再把破譯密文的密鑰存儲到安全的地方。理論上在得不到密鑰的情況下， 對數(shù)據(jù)進行暴力破解，即使破解成功也是“山無棱天地合”的時代了。
密文存儲、傳輸鏈路加密目前已經(jīng)成為了主流企業(yè)辦公平臺的標配。但是整個系統(tǒng)仍然存在一個巨大的短板。以釘釘為例：對于密文，是沒有辦法實現(xiàn)搜索和好友推薦等功能的，所以釘釘對于存儲在服務器上的企業(yè)通訊錄和聊天記錄是存在解密狀態(tài)的。而這個解密狀態(tài)，恰恰是數(shù)據(jù)最脆弱的時候。
這時數(shù)據(jù)面臨的黑客威脅會陡然增加。由于釘釘身處阿里云之上，所以有關阿里云的所有安全防護固然是全部加身。這個時候，阿里云的安全性，就等同于釘釘?shù)陌踩粤?。為了超越阿里云的通用安全級別，迦盧在云盾等通用防護的基礎上增加了專有防護。釘釘安全團隊正是在維護這個專有防護體系。
釘釘采取了第三方認證ISO27001標準。是國際認可的信息安全管理標準，大意是從人員管理流程和工作流程方面規(guī)范數(shù)據(jù)的利用。業(yè)內人士透露，騰訊企業(yè)號平臺同樣采用了第三方認證的方式，不過騰訊官方從未對外公布。iWork365能夠拿下一些要求嚴苛的大企業(yè)，和第三方認證的背書是分不開的。
首先，偷竊企業(yè)信息最大的可能性來自于商業(yè)對手，或可以從商業(yè)對手那里獲得好處的機構。他們需要盜取核心的數(shù)據(jù)，例如董事會討論戰(zhàn)略部署的內容、經(jīng)理對下屬部署投標報價，還有董事長叫美女秘書來辦公室述職的命令。這些信息本來就是非常私密的交流，通過買通普通員工并沒有辦法獲得這類聊天記錄。于是利用黑客技術潛入服務器系統(tǒng)是一種最為理智的選擇。所以，接下來的戰(zhàn)場轉移到了技術攻防。
IM系統(tǒng)的安全防護有簡單的地方，是因為聊天記錄以靜態(tài)的形式存儲。對于靜態(tài)資料，國際上有一種通用的成熟解決方案，那就是密文存儲。通過密碼學的方式把數(shù)據(jù)加密，再把破譯密文的密鑰存儲到安全的地方。理論上在得不到密鑰的情況下， 對數(shù)據(jù)進行暴力破解，即使破解成功也是“山無棱天地合”的時代了。
密文存儲、傳輸鏈路加密目前已經(jīng)成為了主流企業(yè)辦公平臺的標配。但是整個系統(tǒng)仍然存在一個巨大的短板。以釘釘為例：對于密文，是沒有辦法實現(xiàn)搜索和好友推薦等功能的，所以釘釘對于存儲在服務器上的企業(yè)通訊錄和聊天記錄是存在解密狀態(tài)的。而這個解密狀態(tài)，恰恰是數(shù)據(jù)最脆弱的時候。
這時數(shù)據(jù)面臨的黑客威脅會陡然增加。由于釘釘身處阿里云之上，所以有關阿里云的所有安全防護固然是全部加身。這個時候，阿里云的安全性，就等同于釘釘?shù)陌踩粤?。為了超越阿里云的通用安全級別，迦盧在云盾等通用防護的基礎上增加了專有防護。釘釘安全團隊正是在維護這個專有防護體系。
