近日国内发生一起数据删库安全事件，某医院离职人员白某因不甘心领导对其工作的不重视，加之原同事经常让他帮忙解决网络问题，白某某便产生了“制造网络故障让某医院再来找其解决”的想法，于是通过 VPN 远程操作、重置路由器、篡改管理员密码、删除虚机文件等一系列操作，最终导致网络信息系统的瘫痪。在全球来看，数据泄露、删库事故并非偶发现象：

2015年，美国一家“在全球拥有数千名员工及众多办事处”的跨国企业，解雇了一位负责防止前任雇员破坏企业网络的 IT 人士。轮到他自己离职的时候，大家可能猜到了，没错，他删库了......离职的时候，这名员工并没有正常退还公司下发的相关设备，而是直接将它带回了家，并进行了一系列删库行为，不仅导致部分客户和用户的数据丢失，更加令人肉疼的是在这名员工删除文件之前，尚未被纳入最新备份副本中的客户及用户数据最终永！久！丢！失！

同样的事情，国内再来「一百遍」：比如某企业前员工承认了其删库行为，在他离职后，曾使用个人账户部署代码，删掉456台用于交付视频会议、视频消息收发、文件共享以及其他协作工具服务的虚拟机。同样地，该员工的行为导致企业在财政方面损失惨重，而他本人也将面临法律制裁。

这足以为所有企业敲响警钟——任何对网络、数据、业务系统安全防护抱有侥幸心理，或不重视、不在意的管治方式，都会让企业在面对突如其来的紧急事件中置自身于险境，造成直接或间接的经济损失，更严重者有可能遭受灭顶之灾。在产业互联网时代，没有一家企业可以完全不使用网络、系统、数据。但是员工可以删库、离职的员工也能访问公司网络，这就说明企业的安全部署和权限管理存在非常严重的问题。

根源上，企业信息安全往往与内外部相关技术、流程以及人息息相关，而这三者中又以「人」的变量最为明显。

从企业内部来看——

风险一：技术层面，IT技术人员对于选型不当，会造成系统间歇宕机、无备份数据的不可恢复等；

风险二：流程层面，单人权限过高隐含蓄意破坏、误操作的风险，比如特权用户被赋予太多的访问权限等；

风险三：人员层面，人为操作导致的服务崩溃或删除核心数据库，包括员工数据盗窃、员工贿赂和售卖信息、运维人员报复性操作等。

从外部环境来看——

风险四：黑客出于炫耀或其他目的，会利用特定的漏洞来窃取信息；

风险五：来自恶意人士的攻击，包括网络钓鱼诈骗、数据盗窃赎金勒索、鱼叉式网络钓鱼活动。

以上种种，皆为人祸，无论有意或无意，最终都会导致网络安全事故的发生。

安全问题归根结底是“人+方法+工具”的综合作用结果，三者共同作用，不仅互为牵制约束，也能产生1+1+1＞3的安全防护加成效果。这次医院的前员工报复事件，很大程度上印证了业务信息系统要重视安全防护的能力、优化权限管理方法、强化相关人员的法律意识。

那么如何快速构建安全、稳定、高性价比的业务IT能力呢？

将公司业务全面上云，是企业信息安全防护一个行之有效、降本增效的有效途径。企业上云已经是大势所趋。但部分企业仍然抱持“把信息掌握在自己身上”的观念，拒绝上云或者仅仅是部分业务上云。实际上，自有网络和系统构架是把双刃剑，本身也隐藏极大的风险：在“不上云”的状态下，运维人员更容易有机会执行类似“rm -rf /*”和“fdisk”类型的极端操作；另一方面，由于没有相对完善的自动备份和恢复机制，数据恢复、系统维护的技术难度也大大增加。

随着云基础设施建设的深入，上云已经是应对数字时代安全问题的“最优解”。譬如京东公有云安全运营中心可提供体系化的全流程安全保障——覆盖全生命周期的预防、检测、响应和可视的安全体系，能够为云上业务安全运行提供覆盖“事前、事中、事后”的流程保障，打造“感知-防御-响应”一体的安全运营体系，让业务安全管理更简单、更有效、更有价值。

最后站在人文角度看，企业需要防患于未然，我们也需要站在“程序员”的角度进行思考。系统流程上的相关联人员结构复杂，对“人治”的要求更高——从高层到员工、从系统经手者到安全运维人、从企业内部到服务商，只有让安全意识渗透到每一个人，强化人的安全能力与安全意识才是内驱力。