从AWS泄密事件，谈云数据安全的独立性

四年一次的美国总统大选，无疑是这片“自由之地”的政治盛会，也是整个世界政治领域的聚焦点。随着云计算飞速发展，更多的选民信息以及投票通过互联网的形式运作。而这份至高使命的承载者，交付于美国乃至世界认为最安全，最顶尖的亚马逊AWS。

或许，号称最安全的云服务厂商也有失误的时候。两个月之前，美国一家选票计算机公司证实的一则消息：在AWS上存储的180万伊利诺伊州选民的信息被泄露，给美国公民隐私安全和选举安全蒙上了一层阴影，也给广大云计算服务商以及云计算服务使用者提出了一个无法回避的问题——云端数据安全到底该由谁来保护？云上数据安全的路在何方？如果在美国被视为圣物的“公民隐私”与“选举公平”都在面临威胁，那么谁才是解决这些安全问题的“Right Man”。

我们先来看一下导致这次的泄露事件的罪魁祸首：

在默认状态下，亚马逊的AWS会将其托管的内容设置为保密状态。但是这项操作是可以由用户更改的，而被泄露的选民信息极有可能是数据库管理和设备合同商Election Systems & Software公司内部人员有意或无意的将安全设置设为了“公开”，从而使这180万的选民信息暴露在了互联网上。从常规的意义上来说，亚马逊的做法看起来并没有什么问题，默认选择是保密态存储，并将最终选择权交给了用户。但是巨大的安全隐患恰恰隐藏在这看似“没问题”的规则上，在数据安全领域中，任何偏差都将会把“大数据”变成“大问题”！亚马逊也普遍代表了各大云平台厂商的想法，将控制权交给用户，责任也同时转交给用户。或许泄露就恰恰出现在这个有权利的云平台身上，也就导致上文所说的“有意”或者“无意”。那这时候，正是需要一个独立的、在云平台与用户之间的“隔离带”，保护和承担起这份数据安全的责任，这才是解决问题的根本“答案”。

为何谈及“独立的第三方”？众所周知，赛场上，无论哪个角色都无法既担任裁判员，又充当运动员。因此，无论企业认为自己有多好，特别是数据安全，老王卖瓜的话又有多少公信力？这不是单纯由技术决定的，而是角色定位先天不同。这次公民信息泄密涉及到了公民个人隐私泄露，一个处于独立位置的“第三方”数据安全服务的在场，才应该是那个维护安全的裁判员。“独立的第三方”不会与云计算平台涉及任何利益关联，只有这样才能完全客观的、公正地从安全本身出发思考问题， 交出一份中立的、客观的解决方案。数据安全的保护，需要一个具备强悍能力进行技术对抗的硬角色，而“数据安全服务商”代表了其在数据安全方面专业性，无论是技术的掌握还是经验的积累都具备一定的优势，更有“资格”与“能力”来解决这个问题。好比足球比赛，不会请双方的球员或者工作人员“兼职”比赛裁判，而是会请专业的裁判执法比赛，在中超赛场上更会请外籍裁判组来执法比赛，缘何？看中的就是“独立”与“专业”。苍天大树高百尺，仍需要啄木鸟来医虫。鳄鱼作为活化石进化了千年，仍需要鸟类清洁牙齿。从云计算行业出发，直至自然界的平衡，“独立的第三方”都是维持安全健康发展的关键。

因为有足够自由的权限，将选民数据设为“公开”状态的Election Systems & Software使这些数据脱离了亚马逊的控制范围。自此，不再受亚马逊控制的数据便可由用户意愿肆意行动，直到亚马逊发现后，整个泄露事件早已不受控制。作为独立的第三方数据安全服务商——安华金和认为，如果有第三方数据安全服务商为亚马逊提供更为优秀的备份文件加密能力，或者将事件中的“公开”状态转化为 “更为细粒度的”、“更为严格的”、“更为可控”的“安全公开”，提供更为细致的数据存储与共享的权限控制与告警规则。而非像亚马逊这种一切交给客户决定的“粗粒度”控制，那么这场选民信息泄露的事件也许不会上演

安华金和作为独立的第三方数据安全服务提供商，我们同样会把重要的决定交给用户来定夺。安华金和的角色在于，给数据加了一层无形的铠甲，即保护着用户数据在云端的私密性，又让用户拥有充分的控制权。这份专注的背后是安华金和经过九年发展后化繁为简的“沉淀”，其背后有一整套细粒度的权限控制与告警、应急策略。只有专业数据安全的行业翘楚，才是用户可托付的依靠，云计算厂商的保护伞。

广大云计算服务商，面对从线下IDC机房到线上云计算服务器如影随形的数据安全问题，难免由于其技术的瓶颈或经验的缺失，无法做到万无一失。云数据安全问题也是妨碍传统行业、政府机关“上云”的“最后一根稻草”。而为了顺应科技的发展和市场的需求，独立于云计算平台的第三方数据安全服务商将进入云计算领域，形成“独立的第三方数据安全服务提供商——云计算平台——用户”这样的铁三角，术业有专攻，闻道有先后，保障云计算更为便捷的发展，保证云数据更为安全的使用，是包括安华金和在内的任何第三方数据安全服务商义不容辞的责任。

End.

转载请注明来自36大数据（36dsj.com)： 36大数据 » 从AWS泄密事件，谈云数据安全的独立性