億格名片 | 服務7000+國際國內零售品牌，SASE成為「數云」高效背后的安全基石
直播電商、私域運營、國貨興起，近年來消費零售行業進入了“卷中卷”的狀態，伴隨著消費流量的崛起，消費零售品牌們也逐步在對消費者進行數字化管理和運營，以便在互聯網下半場競爭里，能提供更“硬”的產品與更好的服務。而在這千萬家消費零售品牌的背后，是一家名叫"數云“的公司。
數云就是這樣一家持之以恒地為消費零售品牌專注提供消費者數字化運營的企業服務公司。截止目前，數云已服務了7000+國際國內零售品牌、以及數千家頭部電商，在年GMV過億的電商中市占率超過35%，在過去十年時間，從電商CRM開創者到全渠道消費者數字化運營軟件探索者、踐行者，現在數云已經成為消費者數字化運營科技領域的絕對領先者。
在高速業務發展的背后，離不開的是數云自身以及對客戶的安全建設與保障。在之前的活動中，數云信息化與安全資深總監 羅興峰 發表了關于數云安全建設的主題演講，他提到，在服務諸多客戶過程中，數云會深度與客戶的高安全數據領域進行融合。可以說，安全是企業業務發展的基石。
（視頻詳情請見億格云科技視頻號）
// 初探安全，數云的摸索與挑戰
在初期規劃企業安全部署時，幾乎是 0 經驗，0 開始，起步很難，最大的困惑是如何生長足夠有效的安全體系，如果采用傳統方案，不斷疊加安全產品、運營各項方案，就可以保障業務的數據安全嗎？答案是否定的，甚至有可能積重難返。于是在沒有設計出清晰有效方案的情況下，數云在做好核心生產防護的基本原點后，開始通過以ISO27001為基礎， ISO27701業務數據安全保護方向為主要思路思考什么是符合數云自身業務特點的安全保障體系，這給了數云團隊極大的啟發——業務安全是至關重要的，于是，圍繞“業務安全”為中心的數據安全管理體系建設就此拉開帷幕。
羅興峰提到，所有企業都從最初的簡單業務，小體量開始，逐漸拓寬與發展。而早期的安全建設是單點且容易的，但隨著企業業務不斷壯大，就必須具備多點位的安全部署，否則將對業務安全帶來極大的考驗。同時，疫情、業務波動等突發因素也會導致企業安全面臨彈性變動。無論是各類生產子系統的業務生長，還是各類業務發展中相關人員的入離職及項目調動，身份與權限的邊界，對于安全團隊來說，都是不小的難度。
基于多年安全探索經驗，羅興峰總結了目前數云面臨的三大挑戰：
1、日益增長的業務量和新的業務模式：使得網絡接入時要保證靈活性的同時實現接入安全。
2、業務開展需要團隊資源的彈性能力：保障項目順利接入同時，實現團隊成員訪問權限最小化。
3、身份源需要管理多方資源：身份源需結合企業人力管理流程和辦公流程，使得安全環節平滑融入到管理流程中。
數云迫切的需要全面接入一種以身份為中心，具有風險識別與控制能力的，在盡可能不干擾日常的工作和流程的融合式辦公安全體系。
// 零信任SASE，安全融合為“上計”
在進行安全評估，羅興峰發現最大的挑戰來自于身份源的識別，弄清楚進入公司內部作業平臺任何一個賬號或者任何一個接入端到底是誰是安全建設的最基礎，離開了身份和接入這兩個基礎要素，其余上層的安全部署都是“空談”。
而擺在眼前的一個很大困境是數云作為發展中企業，整體安全投入以及安全基線無法跟大型企業靠齊。在有限的安全團隊配置下，數云花了將近2-3年時間一直在找尋多端融合安全方案，即融合 VPN 、殺毒，以及數據防泄漏等功能為一體的方案。
直到零信任SASE的出現。
羅興峰發現：建設第一階段，零信任對于數云多外出辦公的場景非常匹配，能精準實現身份的識別與管理。在第二階段，隨著系統的零信任改造，角色權限等細致化模型也在不斷融合跑通。第三階段，新的業務流程和權限模型運營下，會暴露出更多新的問題，便要跟蹤安全流程并進行細化改進。生長型的零信任方案與生長型的企業發展流程一起優化，在不斷發現問題后改進，就有可能“跑”得比攻擊者快，這種持續化的安全優化會讓企業的安全能力越來越強。
數云構建了零信任SASE的辦公安全運營體系， 以身份為中心，員工設備分別去接入就近PoP 點，連接各個 IDC 云資源與機房，這給企業的安全管理與連接提供了極大的便利，并且，就近的PoP點接入，相較于傳統的 VPN 連接方式更穩定，不僅如此，數云零信任SASE平臺落地接入后還實現多項安全控制能力：
身份準確識別與權限管理：
根據億格云樞連接狀態+身份角色區分可訪問應用及數據；不管是公司內部人員還是合作伙伴，統一執行最小化訪問權限控制，非授權人員無法訪問高敏感應用及數據；
全流程數據防泄露：
可精準實現敏感數據下載可見&可攔截，通過數字水印協助提高安全意識。從應用訪問、應用數據下載、本地文件外發實現全流程數據防泄漏。
外設與敏感數據管控：
區別于單點的桌管軟件，SASE融合安全基線對USB、藍牙等外設進行統一管控，實現敏感文件數字水印，敏感數據本地掃描。
敏感數據可管可控：
敏感數據識別和外發審計；對高風險通道（網盤，郵箱，FTP，IM，代碼倉）檢測和外發攔截
此外，零信任SASE有效融合數云現有SSO系統，實現了身份和安全策略的聯動。實現企業組織身份跟與零信任SASE架構身份的銜接，無需再進行額外的定制化開發，為運營管理者提供了非常便捷與愉悅的操作體驗。
SASE與SSO的貫通，以身份為中心串聯了數云內部安全運營全鏈路。通過接入組織人員 、業務系統 、業務數據，使得業務與安全不再呈現割裂狀態，讓獲取敏感數據的權限與企業組織配置完全同步，隨時隨地實現安全抓手的統一管理。高靈活性與0入侵性的安全框架，融合接入辦公OA系統、CRM系統、費控系統、KM系統、PM系統等等，大大降低了自研時間周期與開發成本，還有效增加了安全能力。
羅興峰表示，持續性安全運營并不是天天只去干苦活，更要去關注和發現企業真實運轉跟安全策略配置是否有差異，是否能落地？零信任SASE用實力讓“理想”落地：針對不同的安全風險環節（如外部協作、內部入離職、部門調崗，外部合作審批、特定業務數據防泄漏），常態化高頻執行流程整合身份識別與鑒權，實現高頻率開展日常安全巡檢。
公司重視人力、外部協作、數據防泄漏這三大板塊，用相對合理的人力投入通過高效的運營數據審計審核方式，有效進行日常的安全運營。
// 安全價值，事實說話
談及零信任SASE落地帶給數云的變化與價值，羅興峰用了五個點來概括：“全覆蓋的安全落地體系”、“安全體系與業務流程整合”、“融合型的運營方式”、“拓展生態業務合作”、“人力和合作資源的彈性能力”。
這五個點清晰說明了零信任SASE帶來的改變：
01全覆蓋的安全落地體系
安全體系全覆蓋所有端點。任何一個端點的接入與訪問符合安全策略，零信任SASE架構快速彈性融合所有安全配置，保障全場景一致的安全水位。
02安全體系與業務流程整合
安全體系與辦公業務流程融合，零信任SASE架構靈活融合所有安全配置，立即生效，在日常體系中植入控制點，配合效率大大提升。
03融合型的運營方式
把運營分析和流程改進結合起來，在運營分析中發現的問題點，通過優化流程來實現改進。
04拓展生態業務合作
讓公司的業務可以協作更多的外部生態資源，提升生態伙伴安全水位，實現共享共贏。
05人力和合作資源的彈性能力
因為安全可控，帶來人力和合作資源可以做到快速的彈性擴容和釋放。
安全能力多數是“隱形”的，可能并不被大部分人所感知，但一個擁有完備安全能力的框架是能有效推動企業業務又快又穩向前，這是企業業務發展的基石之一，也是數云安全團隊持續追求的。
