搜尋此網誌

2009年8月20日 星期四

[研究報告] 高達8成的公司使用真實資料進行開發與測試

在一份由 Ponemon Institute LLC 所公布的研究報告中指出,有高達八成的受訪者表示使用真實資料進行開發與測試。使用真實資料進行開發有甚麼問題,不都是在內部掌控的環境下嗎?如果再搭配其他兩項數據,問題的嚴重性應該就不言可喻。

data 001

第一項數據是危害資料安全的主要來源是內部使用者(無意或有意)以及協力廠商。

data 002

第二項數據是有接近一半的受訪者表示對於開發/測試環境的保護並不如正式環境一般”安全”。

data 003

也就是說儘管有良好的安全機制保護線上的資料,但是這些資料的分身(有時候甚至超過一個分身)在開發/測試環境中卻是沒有受到良好保護的。這些資料可供內部使用者、甚至協力廠商利用,而這些人正是資料安全最大的危害來源。資料內容包含客戶資料、員工資料、信用卡資料、交易資料…無所不包。

事實上,我也實際遇過在開發環境中看到真實的員工資料,其中包含薪資。這個問題說大不大,說小也不小。薪資資料在所有公司都是極高的機密,甚至很多公司明文禁止討論。

系統開發/測試期間有時候確實需要”接近”真實的資料,才不會在上線後才發現很多莫名其妙的錯誤。但是,並不是每個人都需要用到全部的資料,甚至很多人往往只要利用假造的資料就可以進行相關工作。所以,我們應該套用最小權限的概念,只提供特定角色任務執行上所需的資料內容。使用的方法可包含 Masking (把不需要的資料欄位改成無意義的內容) 及 Reduction (只取出必要的資料筆數)等。透過有效的管控與 Masking/Reduction 機制,將可以大幅減少資料安全受到威脅的機會。對於協力廠商,除了這些機制外,其他傳統上使用的方法 (簽訂NDA、定期Auditing等)也必須一併考慮開發/測試資料的保護,以達更完整的防護。

相關連結:

About