企業(yè)App要留心移動(dòng)后端服務(wù)的安全漏洞
所謂的云端移動(dòng)后端服務(wù)(Cloud Mobile Back-End Service),指的是一種提供專門支持移動(dòng)應(yīng)用程序開發(fā)的特殊平臺(tái)即服務(wù)(Platform as a Service,PaaS)模式。此類云端服務(wù)在部分市場(chǎng)稱為移動(dòng)后端即服務(wù)(Mobile Back-End as a Service),專門提供移動(dòng)應(yīng)用程序所需的后端功能,例如用戶管理、數(shù)據(jù)儲(chǔ)存、推送式通知,以及社群網(wǎng)絡(luò)整合。此外,部分云端移動(dòng)后端服務(wù)亦讓開發(fā)人員能夠部署服務(wù)器端程序代碼。
云端移動(dòng)后端服務(wù)已成為應(yīng)用程序開發(fā)生態(tài)體系中的重要元素,部分企業(yè)可能尚未全然了解以云端服務(wù)為其應(yīng)用程序基礎(chǔ)架構(gòu)所將產(chǎn)生的問題及風(fēng)險(xiǎn),即已貿(mào)然采用。
至2016年,約有40%的移動(dòng)應(yīng)用程序開發(fā)項(xiàng)目使用云端移動(dòng)后端服務(wù),程序開發(fā)主管將無法掌控采用云端的速度與途徑。因此,企業(yè)應(yīng)先盡速熟悉在云端內(nèi)部署應(yīng)用程序功能所需考慮的基本因素。
移動(dòng)后端服務(wù)的主要目標(biāo),是讓應(yīng)用程序開發(fā)人員在使用云端功能(例數(shù)據(jù)儲(chǔ)存)時(shí)盡可能自然順手。程序設(shè)計(jì)人員使用其熟悉的儲(chǔ)存相關(guān)程序機(jī)制開發(fā)移動(dòng)應(yīng)用,而云端服務(wù)則如同黑盒子般負(fù)責(zé)儲(chǔ)存和讀取必要數(shù)據(jù)。
然而,隨著使用云端服務(wù)的移動(dòng)應(yīng)用程序增加,規(guī)范企業(yè)敏感數(shù)據(jù)安全與正當(dāng)使用的挑戰(zhàn)將與日俱增。若未加規(guī)范可能會(huì)造成敏感數(shù)據(jù)不經(jīng)意地移轉(zhuǎn)至云端,亦增加安全性不足的可能性。欲管制此類移動(dòng)應(yīng)用程序、企業(yè)系統(tǒng)與云端之間的互動(dòng),除個(gè)別移動(dòng)應(yīng)用程序開發(fā)平臺(tái)(Mobile Application Development Platform,MADP)所提供的功能之外,可能還需要額外的安全與管理功能。
然而,管理技術(shù)唯有在執(zhí)行后才會(huì)發(fā)揮作用。企業(yè)須于可能存取企業(yè)或客戶數(shù)據(jù)的應(yīng)用程序采用云端移動(dòng)后端服務(wù)之前,就先制定清楚的政策并且讓開發(fā)人員充分認(rèn)知。
許多應(yīng)用程序的開發(fā)項(xiàng)目皆非由IT部門所負(fù)責(zé),包括業(yè)務(wù)單位應(yīng)用程序、終端用戶應(yīng)用程序,以及業(yè)務(wù)單位委外給第三方開發(fā)的程序。傳統(tǒng)上,非由IT部門開發(fā)的移動(dòng)應(yīng)用程序,大部分都是委外。
但隨著圖形化應(yīng)用程序開發(fā)工具與其他類型的移動(dòng)應(yīng)用程序快速開發(fā)工具的出現(xiàn),情況已開始轉(zhuǎn)變。一旦移動(dòng)應(yīng)用程序的需求增加,越來越多的非IT開發(fā)人員將設(shè)法產(chǎn)生應(yīng)用程序以滿足其業(yè)務(wù)需求,甚至自行開發(fā)移動(dòng)應(yīng)用程序。
這將帶來比以往更大的風(fēng)險(xiǎn)。更精密的快速開發(fā)環(huán)境出現(xiàn)、云端服務(wù)的普及以及企業(yè)系統(tǒng)存取的增加,將使得非IT開發(fā)人員更容易開發(fā)出混合企業(yè)敏感數(shù)據(jù)與云端式服務(wù)及儲(chǔ)存的移動(dòng)應(yīng)用程序。因此,整個(gè)企業(yè)都必須認(rèn)知到這樣的問題,以及企業(yè)對(duì)云端服務(wù)所抱持的政策,如此才能讓非IT開發(fā)的移動(dòng)應(yīng)用程序也能和IT開發(fā)的程序受到相同的監(jiān)督和規(guī)范。