|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
安全與創(chuàng)新：IT部門需要平衡的一件最棘手的工作
乍一看，網(wǎng)絡(luò)安全措施的部署和對(duì)創(chuàng)新的追求似乎是相互排斥的。增強(qiáng)安全性的策略旨在降低風(fēng)險(xiǎn)，而創(chuàng)新工作則要求對(duì)風(fēng)險(xiǎn)持開放態(tài)度。但企業(yè)正在尋找方法來(lái)啟動(dòng)創(chuàng)新性的和全新的數(shù)字業(yè)務(wù)計(jì)劃，同時(shí)采取措施來(lái)保護(hù)數(shù)據(jù)和其他IT資產(chǎn)。這樣一來(lái)，即使他們加強(qiáng)了安全性要求，對(duì)系統(tǒng)和數(shù)據(jù)進(jìn)行了保護(hù)，以及遵守了相關(guān)法規(guī)，但他們?nèi)栽陂_啟一些新的營(yíng)收方式，改善了客戶體驗(yàn)和增加了在新市場(chǎng)中的機(jī)遇。畢竟，這是當(dāng)今商業(yè)環(huán)境中取得成功的秘訣：推動(dòng)實(shí)施變革性舉措，采用云、移動(dòng)技術(shù)、人工智能、數(shù)據(jù)分析和物聯(lián)網(wǎng)等創(chuàng)新技術(shù)，以確保有價(jià)值的系統(tǒng)和數(shù)據(jù)的安全性得到保障。為此，如今的企業(yè)需要找到各種方法以達(dá)到一種平衡，既要在競(jìng)爭(zhēng)中走在前列，又要嘗試新技術(shù)，還要將概念驗(yàn)證投入生產(chǎn)中等等工作，同時(shí)還要采用更多規(guī)避風(fēng)險(xiǎn)的做法來(lái)確保這些舉措是安全的。在某些情況下，這可能涉及到為所有系統(tǒng)的安全性增加預(yù)算和資源；在另一些情況下，這可能意味著要留出預(yù)算和資源以確保開展純粹的創(chuàng)新工作。無(wú)論哪種情況，其目標(biāo)都是創(chuàng)新，但要以一種安全、合理的方式進(jìn)行。以下提供了一些示例，以說(shuō)明企業(yè)如何針對(duì)特定項(xiàng)目或作為常規(guī)做法來(lái)平衡創(chuàng)新與安全性。部署新的在線服務(wù)，同時(shí)確保數(shù)據(jù)安全高等教育機(jī)構(gòu)需要關(guān)注于對(duì)《家庭教育權(quán)利和隱私法案(FERPA)》的遵守情況，該法案旨在保護(hù)學(xué)生數(shù)據(jù)的隱私。“盡管合規(guī)性長(zhǎng)期以來(lái)一直是一項(xiàng)首要工作，但傳統(tǒng)的本地學(xué)生信息系統(tǒng)和數(shù)據(jù)通常被存儲(chǔ)在這些系統(tǒng)和文件中，很少有人擔(dān)心外界會(huì)獲取這些信息，”賓夕法尼亞州印第安納大學(xué)(IUP)首席信息官比爾?巴林特(Bill Balint)說(shuō)道。巴林特說(shuō)：“但隨著基于網(wǎng)絡(luò)來(lái)訪問一些安全系統(tǒng)的出現(xiàn)，大規(guī)模安全漏洞和數(shù)據(jù)泄露的潛在風(fēng)險(xiǎn)使遵守《家庭教育權(quán)利和隱私法案》成為當(dāng)務(wù)之急?！卑土痔乇硎?，隨著高等教育已經(jīng)轉(zhuǎn)變?yōu)楦虡I(yè)化運(yùn)作，這個(gè)問題已經(jīng)升級(jí)。他說(shuō)：“努力實(shí)現(xiàn)招生和成功完成學(xué)生學(xué)業(yè)目標(biāo)的教育機(jī)構(gòu)已經(jīng)越來(lái)越多地轉(zhuǎn)向在客戶關(guān)系管理和數(shù)據(jù)分析解決方案等領(lǐng)域中基于云端的快速實(shí)施服務(wù)。”賓夕法尼亞州印第安納大學(xué)正在通過(guò)基于云的訂閱服務(wù)來(lái)使用這些技術(shù)，而這也讓該大學(xué)可提供一些創(chuàng)新性的服務(wù)，例如幫助創(chuàng)建一些更好的、個(gè)性化的大學(xué)助學(xué)金和定制化的學(xué)業(yè)分析，從而有助于吸引并留住學(xué)習(xí)優(yōu)秀的學(xué)生。巴林特說(shuō)：“但是為了做到這一點(diǎn)，供應(yīng)商通常還會(huì)要求將有關(guān)學(xué)生的許多敏感學(xué)業(yè)和/或財(cái)務(wù)信息導(dǎo)入供應(yīng)商管理的云應(yīng)用程序中?！薄岸@些操作使教育機(jī)構(gòu)失去了對(duì)安全性的控制。相反，教育機(jī)構(gòu)還常常必須“接受供應(yīng)商的合同規(guī)定”，即敏感數(shù)據(jù)要在傳輸和存儲(chǔ)狀態(tài)下確保安全?！睘榱舜_保不泄漏敏感數(shù)據(jù)，賓夕法尼亞州印第安納大學(xué)采取的第一步是考慮云端服務(wù)存在的安全與隱私隱患，并且僅共享與某一工具功能相關(guān)的核心數(shù)據(jù)。巴林特說(shuō)：“例如，某一供應(yīng)商的工作側(cè)重于學(xué)生學(xué)業(yè)是否優(yōu)秀，那么與其共享成績(jī)信息就非常重要。”“但與其共享社會(huì)安全號(hào)碼就沒有任何意義，也不應(yīng)共享。”除此之外，賓夕法尼亞州印第安納大學(xué)還要求與之合作的所有云供應(yīng)商都要通過(guò)簽訂正式的合同和服務(wù)水平協(xié)議(SLA)以符合數(shù)據(jù)隱私和安全性的行業(yè)標(biāo)準(zhǔn)。巴林特說(shuō)：“很少有高等教育機(jī)構(gòu)能夠在其內(nèi)部擁有專業(yè)知識(shí)來(lái)提供這些供應(yīng)商所具有的功能，但這些供應(yīng)商提供的服務(wù)對(duì)許多教育機(jī)構(gòu)的生存越來(lái)越重要?！?“教育行業(yè)必須繼續(xù)發(fā)展出自身的最佳做法，以保護(hù)敏感和機(jī)密數(shù)據(jù)?！痹谛碌囊苿?dòng)應(yīng)用程序中增加安全性在2019年末，科羅拉多州宣布在myColorado移動(dòng)應(yīng)用程序中推出“科羅拉多數(shù)字身份證”，以改變居民與州政府之間的互動(dòng)方式。該myColorado應(yīng)用程序的愿景是為該州居民提供一種創(chuàng)新的、安全的和便捷的移動(dòng)解決方案，使他們可以憑數(shù)字身份與政府服務(wù)建立聯(lián)系?！拔覀兊哪繕?biāo)是通過(guò)一個(gè)中央移動(dòng)平臺(tái)將本州居民與各項(xiàng)服務(wù)聯(lián)系起來(lái)，從而使他們更容易與州政府之間辦理業(yè)務(wù)，例如更新駕照，”科羅拉多州首席信息安全官黛博拉?布萊斯(Deborah Blyth)說(shuō)?！斑@樣就不需要前往州辦公機(jī)構(gòu)，從而節(jié)省了居民的時(shí)間和交通成本，并最終幫助實(shí)現(xiàn)客戶的滿意度?！弊匀ツ?0月公開推行以來(lái)，已超過(guò)30，000多名居民下載了myColorado應(yīng)用程序。布萊斯表示，州政府意識(shí)到，對(duì)于確保向居民提供的任何產(chǎn)品或服務(wù)被廣泛使用，獲取和維護(hù)來(lái)自公眾的信任是至關(guān)重要的，而實(shí)現(xiàn)這一點(diǎn)的最佳途徑是要確保安全性成為應(yīng)用程序開發(fā)工作中的關(guān)鍵組成部分。myColorado應(yīng)用程序中的個(gè)人信息通過(guò)多重身份驗(yàn)證和數(shù)據(jù)加密進(jìn)行保護(hù)，以保證該應(yīng)用程序的隱私性和安全性。另外，myColorado應(yīng)用程序在多個(gè)級(jí)別上進(jìn)行用戶身份驗(yàn)證、確認(rèn)和聯(lián)合身份驗(yàn)證，以確保該用戶的身份，布萊斯說(shuō)道?！白詍yColorado應(yīng)用程序還只是一個(gè)想法的時(shí)候，安全架構(gòu)師就在應(yīng)用程序設(shè)計(jì)團(tuán)隊(duì)中扮演著不可或缺的角色，”布萊斯說(shuō)?！皬脑擁?xiàng)目開始時(shí)，就需要驗(yàn)證移動(dòng)用戶的身份，以使該用戶與該州系統(tǒng)中保存的相關(guān)信息匹配起來(lái)。”其他需要考慮的因素包括確保通過(guò)適當(dāng)?shù)纳矸蒡?yàn)證才允許訪問用戶的信息，以防止未經(jīng)授權(quán)進(jìn)行訪問，以及評(píng)估和選擇一個(gè)支付服務(wù)提供商以安全地處理各項(xiàng)付款。開發(fā)團(tuán)隊(duì)進(jìn)行了測(cè)試，以確保該移動(dòng)應(yīng)用程序和后端服務(wù)器不存在可能被利用的漏洞，從而導(dǎo)致敏感數(shù)據(jù)被泄漏。布萊斯表示，在開發(fā)過(guò)程中也采取了其他預(yù)防措施，以防止開發(fā)人員訪問敏感數(shù)據(jù)。布萊斯表示，myColorado應(yīng)用程序安全功能成功部署的一個(gè)關(guān)鍵因素是，在設(shè)計(jì)和構(gòu)建該應(yīng)用程序過(guò)程中，所有安全要求都得到大家一致認(rèn)可，然后通過(guò)一個(gè)迭代過(guò)程被整合到應(yīng)用程序中。她說(shuō)：“讓安全架構(gòu)師作為創(chuàng)新團(tuán)隊(duì)中一個(gè)積極和平等參與者，這就確保了從項(xiàng)目一開始就建立起重要的安全標(biāo)準(zhǔn)，而并非在開發(fā)周期結(jié)束時(shí)簡(jiǎn)單地將其作為一個(gè)可選項(xiàng)?！辈捎脤?shí)驗(yàn)性方法進(jìn)行IT創(chuàng)新O.C. Tanner公司會(huì)為客戶提供員工認(rèn)同和獎(jiǎng)勵(lì)服務(wù)，該公司正在利用人工智能、3D打印和DevOps等新技術(shù)或方法來(lái)開展一些項(xiàng)目。在此過(guò)程中，該公司遵循一系列的做法，以確保數(shù)據(jù)和系統(tǒng)的安全，并且隱私權(quán)得到保護(hù)，同時(shí)又不會(huì)扼殺創(chuàng)新。最重要的一點(diǎn)是將新的IT舉措視為謹(jǐn)慎的科學(xué)實(shí)驗(yàn)。O.C. Tanner公司會(huì)使用自己現(xiàn)有的流程和工具進(jìn)行小型的技術(shù)試驗(yàn)，而且這些工作與公司外部的實(shí)體是隔離開的。“如果我們的某項(xiàng)實(shí)驗(yàn)有漏洞或產(chǎn)生了漏洞，則我們現(xiàn)有的流程應(yīng)該會(huì)發(fā)現(xiàn)該漏洞，”高級(jí)副總裁兼首席信息官Niel Nickolaisen說(shuō)。“但如果情況并非如此，則該漏洞也不會(huì)使我們其他系統(tǒng)處于危險(xiǎn)之中?！庇袝r(shí)，某一漏洞可能導(dǎo)致公司取消該實(shí)驗(yàn)或想辦法進(jìn)行補(bǔ)救或繞過(guò)此問題?！霸谀骋话咐?，我們當(dāng)時(shí)正在試驗(yàn)一項(xiàng)新技術(shù)，發(fā)現(xiàn)了一些問題，然后與(初創(chuàng)企業(yè))提供商合作解決了這些問題，”Nickolaisen說(shuō)。Nickolaisen表示，由于實(shí)驗(yàn)會(huì)經(jīng)過(guò)某些驗(yàn)證點(diǎn)，而這些驗(yàn)證點(diǎn)是隨技術(shù)和實(shí)驗(yàn)類型不同而存在差異的，同時(shí)“因?yàn)槲覀儞碛袑?shí)驗(yàn)規(guī)模的生產(chǎn)價(jià)值標(biāo)準(zhǔn)，因此要求也變得更加嚴(yán)格”。“在我們的生產(chǎn)環(huán)境中發(fā)布任何東西之前，它必須符合我們的標(biāo)準(zhǔn)——這些標(biāo)準(zhǔn)包括安全性(和)隱私性?！痹谝粋€(gè)案例中，O.C. Tanner公司相信自己擁有足夠多的數(shù)據(jù)，可以為客戶提供關(guān)于員工離職原因的一些見解。為了證明這一點(diǎn)，在必須保證客戶員工數(shù)據(jù)安全的情況下，公司需要使用這些數(shù)據(jù)來(lái)構(gòu)建基于云端的人工智能/機(jī)器學(xué)習(xí)算法。Nickolaisen說(shuō)：“從小處著手，我們對(duì)一部分客戶數(shù)據(jù)進(jìn)行匿名化，然后在云服務(wù)中進(jìn)行了初步的概念驗(yàn)證?！薄捌浣Y(jié)果令人鼓舞，我們覺得應(yīng)該將工作繼續(xù)推進(jìn)。但在某些時(shí)候，我們會(huì)需要使用真實(shí)的而非匿名的數(shù)據(jù)。”隨著O.C. Tanner公司對(duì)實(shí)驗(yàn)規(guī)模的擴(kuò)大，其還對(duì)可用的云端人工智能和機(jī)器學(xué)習(xí)服務(wù)的安全性和隱私流程進(jìn)行了評(píng)估?！芭c此同時(shí)，我們與客戶合作，這樣他們也可以參與到我們對(duì)云提供商的安全性/隱私性實(shí)踐的評(píng)估工作中，” Nickolaisen說(shuō)道?！拔覀冃枰麄兒臀覀円粯訉?duì)做出的選擇感到滿意?！绷硪粋€(gè)示例涉及到公司正在使用的DevOps流程和工具。為了確保DevOps流程符合其安全標(biāo)準(zhǔn)，同時(shí)仍可以快速部署，O.C. Tanner公司希望創(chuàng)建一些自動(dòng)化過(guò)程，這樣新服務(wù)和功能的創(chuàng)建者僅能夠自行部署那些預(yù)先批準(zhǔn)的更改內(nèi)容。Nickolaisen說(shuō)：“這需要使用我們所沒有的功能或工具?！監(jiān).C. Tanner公司找到了一款這樣的工具，但它來(lái)自一家剛起步的初創(chuàng)公司，因此存在一定的風(fēng)險(xiǎn)。他說(shuō)：“我們對(duì)其工具進(jìn)行了實(shí)驗(yàn)，以評(píng)估其功能?！薄霸谠搶?shí)驗(yàn)成功后，我們就開始應(yīng)用自己的生產(chǎn)價(jià)值標(biāo)準(zhǔn)，然后發(fā)現(xiàn)了其產(chǎn)品中存在一些安全性和認(rèn)證方面的缺陷?！比缓?，O.C. Tanner公司與該公司進(jìn)行合作，在該工具投入生產(chǎn)之前將這些問題解決掉。優(yōu)先考慮客戶體驗(yàn)和數(shù)據(jù)保護(hù)全球公共機(jī)構(gòu)雇員保險(xiǎn)(WAEPA)是一個(gè)團(tuán)體定期人壽保險(xiǎn)的提供商，其目標(biāo)是超越競(jìng)爭(zhēng)對(duì)手，超出普通聯(lián)邦雇員和退休人員的預(yù)期，為他們提供服務(wù)?！半S著服務(wù)和數(shù)字工具的不斷發(fā)展，全球公共機(jī)構(gòu)雇員保險(xiǎn)公司意識(shí)到需要轉(zhuǎn)變和提升在用戶體驗(yàn)中的每個(gè)平臺(tái)和接觸點(diǎn)，”首席信息官布蘭登·瓊斯(Brandon Jones)說(shuō)道。瓊斯表示，擁有強(qiáng)大的數(shù)字化影響力是實(shí)現(xiàn)這一愿景的基礎(chǔ)。為了增強(qiáng)其在線影響力，該組織首先進(jìn)行了一項(xiàng)可用性研究，分析了客戶數(shù)字化體驗(yàn)的當(dāng)前狀態(tài)，進(jìn)行了可用性測(cè)試和用戶訪談，然后對(duì)這些數(shù)據(jù)進(jìn)行整合以找到在所收集到的信息中的趨勢(shì)、模式和共性。該項(xiàng)研究和分析工作為他們提高服務(wù)的可用性提供了可能，讓全球公共機(jī)構(gòu)雇員保險(xiǎn)公司獲得了一系列的研究結(jié)果和建議。然后，全球公共機(jī)構(gòu)雇員保險(xiǎn)公司啟動(dòng)了一項(xiàng)“客戶旅程分析工作”，以確定客戶和潛在客戶在交易過(guò)程中所經(jīng)歷的各個(gè)階段，他們?cè)诿恳徊街衅谕玫绞裁矗诿恳徊街卸加龅绞裁磫栴}，以及在每一步中他們的感受如何。瓊斯說(shuō)：“這項(xiàng)工作讓我們能夠掌握會(huì)員們使用我們產(chǎn)品和服務(wù)的步驟，他們?cè)谶@一過(guò)程中關(guān)聯(lián)的其他內(nèi)容，我們需要改進(jìn)的空間以及應(yīng)該合并或拆分哪些步驟。”“通過(guò)系統(tǒng)地繪制我們會(huì)員所經(jīng)歷的各個(gè)步驟，我們可將該項(xiàng)工作作為一個(gè)診斷工具?！比蚬矙C(jī)構(gòu)雇員保險(xiǎn)公司開始利用之前在可用性研究和客戶旅程圖中的工作結(jié)果來(lái)建立一個(gè)新的網(wǎng)站和會(huì)員入口。該新網(wǎng)站的目標(biāo)是更好地向用戶介紹產(chǎn)品和申請(qǐng)流程；提高整個(gè)網(wǎng)站的一致性和易用性；提供自助服務(wù)工具和信息，以便于用戶做出明智的決定；以及使客戶體驗(yàn)“人性化”，幫助、指導(dǎo)在線用戶，使其更安心。在整個(gè)工作過(guò)程中，保護(hù)客戶數(shù)據(jù)是首要考慮因素，同時(shí)安全性也已納入到新網(wǎng)站和支持基礎(chǔ)架構(gòu)中。安全策略包括使用一些工具，例如冗余防火墻、虛擬專用網(wǎng)(VPN)、防止垃圾郵件和網(wǎng)絡(luò)釣魚，以及身份和訪問管理等。通過(guò)采取以上及其他措施，全球公共機(jī)構(gòu)雇員保險(xiǎn)公司可以為其客戶營(yíng)造更好的客戶體驗(yàn)，同時(shí)提供了高度的安全性。
|
