創(chuàng)新舉措只有在保證安全的情況下才算成功。下面將介紹首席信息官們?nèi)绾卧诔袚?dān)風(fēng)險(xiǎn)與規(guī)避風(fēng)險(xiǎn)之間維持平衡。
乍一看，網(wǎng)絡(luò)安全措施的部署和對創(chuàng)新的追求似乎是相互排斥的。增強(qiáng)安全性的策略旨在降低風(fēng)險(xiǎn)，而創(chuàng)新工作則要求對風(fēng)險(xiǎn)持開放態(tài)度。
但企業(yè)正在尋找方法來啟動創(chuàng)新性的和全新的數(shù)字業(yè)務(wù)計(jì)劃，同時(shí)采取措施來保護(hù)數(shù)據(jù)和其他IT資產(chǎn)。這樣一來，即使他們加強(qiáng)了安全性要求，對系統(tǒng)和數(shù)據(jù)進(jìn)行了保護(hù)，以及遵守了相關(guān)法規(guī)，但他們?nèi)栽陂_啟一些新的營收方式，改善了客戶體驗(yàn)和增加了在新市場中的機(jī)遇。
畢竟，這是當(dāng)今商業(yè)環(huán)境中取得成功的秘訣：推動實(shí)施變革性舉措，采用云、移動技術(shù)、人工智能、數(shù)據(jù)分析和物聯(lián)網(wǎng)等創(chuàng)新技術(shù)，以確保有價(jià)值的系統(tǒng)和數(shù)據(jù)的安全性得到保障。
為此，如今的企業(yè)需要找到各種方法以達(dá)到一種平衡，既要在競爭中走在前列，又要嘗試新技術(shù)，還要將概念驗(yàn)證投入生產(chǎn)中等等工作，同時(shí)還要采用更多規(guī)避風(fēng)險(xiǎn)的做法來確保這些舉措是安全的。
在某些情況下，這可能涉及到為所有系統(tǒng)的安全性增加預(yù)算和資源;在另一些情況下，這可能意味著要留出預(yù)算和資源以確保開展純粹的創(chuàng)新工作。無論哪種情況，其目標(biāo)都是創(chuàng)新，但要以一種安全、合理的方式進(jìn)行。
以下提供了一些示例，以說明企業(yè)如何針對特定項(xiàng)目或作為常規(guī)做法來平衡創(chuàng)新與安全性。
部署新的在線服務(wù)，同時(shí)確保數(shù)據(jù)安全
高等教育機(jī)構(gòu)需要關(guān)注于對《家庭教育權(quán)利和隱私法案(FERPA)》的遵守情況，該法案旨在保護(hù)學(xué)生數(shù)據(jù)的隱私。
“盡管合規(guī)性長期以來一直是一項(xiàng)首要工作，但傳統(tǒng)的本地學(xué)生信息系統(tǒng)和數(shù)據(jù)通常被存儲在這些系統(tǒng)和文件中，很少有人擔(dān)心外界會獲取這些信息，”賓夕法尼亞州印第安納大學(xué)(IUP)首席信息官比爾•巴林特(Bill Balint)說道。
巴林特說：“但隨著基于網(wǎng)絡(luò)來訪問一些安全系統(tǒng)的出現(xiàn)，大規(guī)模安全漏洞和數(shù)據(jù)泄露的潛在風(fēng)險(xiǎn)使遵守《家庭教育權(quán)利和隱私法案》成為當(dāng)務(wù)之急。”
巴林特表示，隨著高等教育已經(jīng)轉(zhuǎn)變?yōu)楦虡I(yè)化運(yùn)作，這個問題已經(jīng)升級。他說：“努力實(shí)現(xiàn)招生和成功完成學(xué)生學(xué)業(yè)目標(biāo)的教育機(jī)構(gòu)已經(jīng)越來越多地轉(zhuǎn)向在客戶關(guān)系管理和數(shù)據(jù)分析解決方案等領(lǐng)域中基于云端的快速實(shí)施服務(wù)。”
賓夕法尼亞州印第安納大學(xué)正在通過基于云的訂閱服務(wù)來使用這些技術(shù)，而這也讓該大學(xué)可提供一些創(chuàng)新性的服務(wù)，例如幫助創(chuàng)建一些更好的、個性化的大學(xué)助學(xué)金和定制化的學(xué)業(yè)分析，從而有助于吸引并留住學(xué)習(xí)優(yōu)秀的學(xué)生。
巴林特說：“但是為了做到這一點(diǎn)，供應(yīng)商通常還會要求將有關(guān)學(xué)生的許多敏感學(xué)業(yè)和/或財(cái)務(wù)信息導(dǎo)入供應(yīng)商管理的云應(yīng)用程序中。”“而這些操作使教育機(jī)構(gòu)失去了對安全性的控制。相反，教育機(jī)構(gòu)還常常必須“接受供應(yīng)商的合同規(guī)定”，即敏感數(shù)據(jù)要在傳輸和存儲狀態(tài)下確保安全。”
為了確保不泄漏敏感數(shù)據(jù)，賓夕法尼亞州印第安納大學(xué)采取的第一步是考慮云端服務(wù)存在的安全與隱私隱患，并且僅共享與某一工具功能相關(guān)的核心數(shù)據(jù)。
巴林特說：“例如，某一供應(yīng)商的工作側(cè)重于學(xué)生學(xué)業(yè)是否優(yōu)秀，那么與其共享成績信息就非常重要。”“但與其共享社會安全號碼就沒有任何意義，也不應(yīng)共享。”
除此之外，賓夕法尼亞州印第安納大學(xué)還要求與之合作的所有云供應(yīng)商都要通過簽訂正式的合同和服務(wù)水平協(xié)議(SLA)以符合數(shù)據(jù)隱私和安全性的行業(yè)標(biāo)準(zhǔn)。
巴林特說：“很少有高等教育機(jī)構(gòu)能夠在其內(nèi)部擁有專業(yè)知識來提供這些供應(yīng)商所具有的功能，但這些供應(yīng)商提供的服務(wù)對許多教育機(jī)構(gòu)的生存越來越重要。” “教育行業(yè)必須繼續(xù)發(fā)展出自身的最佳做法，以保護(hù)敏感和機(jī)密數(shù)據(jù)。”
在新的移動應(yīng)用程序中增加安全性
在2019年末，科羅拉多州宣布在myColorado移動應(yīng)用程序中推出“科羅拉多數(shù)字身份證”，以改變居民與州政府之間的互動方式。該myColorado應(yīng)用程序的愿景是為該州居民提供一種創(chuàng)新的、安全的和便捷的移動解決方案，使他們可以憑數(shù)字身份與政府服務(wù)建立聯(lián)系。
“我們的目標(biāo)是通過一個中央移動平臺將本州居民與各項(xiàng)服務(wù)聯(lián)系起來，從而使他們更容易與州政府之間辦理業(yè)務(wù)，例如更新駕照，”科羅拉多州首席信息安全官黛博拉•布萊斯(Deborah Blyth)說。“這樣就不需要前往州辦公機(jī)構(gòu)，從而節(jié)省了居民的時(shí)間和交通成本，并最終幫助實(shí)現(xiàn)客戶的滿意度。”
自去年10月公開推行以來，已超過30,000多名居民下載了myColorado應(yīng)用程序。
布萊斯表示，州政府意識到，對于確保向居民提供的任何產(chǎn)品或服務(wù)被廣泛使用，獲取和維護(hù)來自公眾的信任是至關(guān)重要的，而實(shí)現(xiàn)這一點(diǎn)的最佳途徑是要確保安全性成為應(yīng)用程序開發(fā)工作中的關(guān)鍵組成部分。
myColorado應(yīng)用程序中的個人信息通過多重身份驗(yàn)證和數(shù)據(jù)加密進(jìn)行保護(hù)，以保證該應(yīng)用程序的隱私性和安全性。另外，myColorado應(yīng)用程序在多個級別上進(jìn)行用戶身份驗(yàn)證、確認(rèn)和聯(lián)合身份驗(yàn)證，以確保該用戶的身份，布萊斯說道。
“自myColorado應(yīng)用程序還只是一個想法的時(shí)候，安全架構(gòu)師就在應(yīng)用程序設(shè)計(jì)團(tuán)隊(duì)中扮演著不可或缺的角色，”布萊斯說。“從該項(xiàng)目開始時(shí)，就需要驗(yàn)證移動用戶的身份，以使該用戶與該州系統(tǒng)中保存的相關(guān)信息匹配起來。”
其他需要考慮的因素包括確保通過適當(dāng)?shù)纳矸蒡?yàn)證才允許訪問用戶的信息，以防止未經(jīng)授權(quán)進(jìn)行訪問，以及評估和選擇一個支付服務(wù)提供商以安全地處理各項(xiàng)付款。
開發(fā)團(tuán)隊(duì)進(jìn)行了測試，以確保該移動應(yīng)用程序和后端服務(wù)器不存在可能被利用的漏洞，從而導(dǎo)致敏感數(shù)據(jù)被泄漏。布萊斯表示，在開發(fā)過程中也采取了其他預(yù)防措施，以防止開發(fā)人員訪問敏感數(shù)據(jù)。
布萊斯表示，myColorado應(yīng)用程序安全功能成功部署的一個關(guān)鍵因素是，在設(shè)計(jì)和構(gòu)建該應(yīng)用程序過程中，所有安全要求都得到大家一致認(rèn)可，然后通過一個迭代過程被整合到應(yīng)用程序中。
她說：“讓安全架構(gòu)師作為創(chuàng)新團(tuán)隊(duì)中一個積極和平等參與者，這就確保了從項(xiàng)目一開始就建立起重要的安全標(biāo)準(zhǔn)，而并非在開發(fā)周期結(jié)束時(shí)簡單地將其作為一個可選項(xiàng)。”
采用實(shí)驗(yàn)性方法進(jìn)行IT創(chuàng)新
O.C. Tanner公司會為客戶提供員工認(rèn)同和獎勵服務(wù)，該公司正在利用人工智能、3D打印和DevOps等新技術(shù)或方法來開展一些項(xiàng)目。在此過程中，該公司遵循一系列的做法，以確保數(shù)據(jù)和系統(tǒng)的安全，并且隱私權(quán)得到保護(hù)，同時(shí)又不會扼殺創(chuàng)新。
最重要的一點(diǎn)是將新的IT舉措視為謹(jǐn)慎的科學(xué)實(shí)驗(yàn)。O.C. Tanner公司會使用自己現(xiàn)有的流程和工具進(jìn)行小型的技術(shù)試驗(yàn)，而且這些工作與公司外部的實(shí)體是隔離開的。
“如果我們的某項(xiàng)實(shí)驗(yàn)有漏洞或產(chǎn)生了漏洞，則我們現(xiàn)有的流程應(yīng)該會發(fā)現(xiàn)該漏洞，”高級副總裁兼首席信息官Niel Nickolaisen說。“但如果情況并非如此，則該漏洞也不會使我們其他系統(tǒng)處于危險(xiǎn)之中。”
有時(shí)，某一漏洞可能導(dǎo)致公司取消該實(shí)驗(yàn)或想辦法進(jìn)行補(bǔ)救或繞過此問題。“在某一案例中，我們當(dāng)時(shí)正在試驗(yàn)一項(xiàng)新技術(shù)，發(fā)現(xiàn)了一些問題，然后與(初創(chuàng)企業(yè))提供商合作解決了這些問題，”Nickolaisen說。
Nickolaisen表示，由于實(shí)驗(yàn)會經(jīng)過某些驗(yàn)證點(diǎn)，而這些驗(yàn)證點(diǎn)是隨技術(shù)和實(shí)驗(yàn)類型不同而存在差異的，同時(shí)“因?yàn)槲覀儞碛袑?shí)驗(yàn)規(guī)模的生產(chǎn)價(jià)值標(biāo)準(zhǔn)，因此要求也變得更加嚴(yán)格”。“在我們的生產(chǎn)環(huán)境中發(fā)布任何東西之前，它必須符合我們的標(biāo)準(zhǔn)——這些標(biāo)準(zhǔn)包括安全性(和)隱私性。”
在一個案例中，O.C. Tanner公司相信自己擁有足夠多的數(shù)據(jù)，可以為客戶提供關(guān)于員工離職原因的一些見解。為了證明這一點(diǎn)，在必須保證客戶員工數(shù)據(jù)安全的情況下，公司需要使用這些數(shù)據(jù)來構(gòu)建基于云端的人工智能/機(jī)器學(xué)習(xí)算法。
Nickolaisen說：“從小處著手，我們對一部分客戶數(shù)據(jù)進(jìn)行匿名化，然后在云服務(wù)中進(jìn)行了初步的概念驗(yàn)證。”“其結(jié)果令人鼓舞，我們覺得應(yīng)該將工作繼續(xù)推進(jìn)。但在某些時(shí)候，我們會需要使用真實(shí)的而非匿名的數(shù)據(jù)。”
隨著O.C. Tanner公司對實(shí)驗(yàn)規(guī)模的擴(kuò)大，其還對可用的云端人工智能和機(jī)器學(xué)習(xí)服務(wù)的安全性和隱私流程進(jìn)行了評估。“與此同時(shí)，我們與客戶合作，這樣他們也可以參與到我們對云提供商的安全性/隱私性實(shí)踐的評估工作中，” Nickolaisen說道。“我們需要他們和我們一樣對做出的選擇感到滿意。”
另一個示例涉及到公司正在使用的DevOps流程和工具。為了確保DevOps流程符合其安全標(biāo)準(zhǔn)，同時(shí)仍可以快速部署，O.C. Tanner公司希望創(chuàng)建一些自動化過程，這樣新服務(wù)和功能的創(chuàng)建者僅能夠自行部署那些預(yù)先批準(zhǔn)的更改內(nèi)容。
Nickolaisen說：“這需要使用我們所沒有的功能或工具。”O.C. Tanner公司找到了一款這樣的工具，但它來自一家剛起步的初創(chuàng)公司，因此存在一定的風(fēng)險(xiǎn)。他說：“我們對其工具進(jìn)行了實(shí)驗(yàn)，以評估其功能。”“在該實(shí)驗(yàn)成功后，我們就開始應(yīng)用自己的生產(chǎn)價(jià)值標(biāo)準(zhǔn)，然后發(fā)現(xiàn)了其產(chǎn)品中存在一些安全性和認(rèn)證方面的缺陷。”
然后，O.C. Tanner公司與該公司進(jìn)行合作，在該工具投入生產(chǎn)之前將這些問題解決掉。
優(yōu)先考慮客戶體驗(yàn)和數(shù)據(jù)保護(hù)
全球公共機(jī)構(gòu)雇員保險(xiǎn)(WAEPA)是一個團(tuán)體定期人壽保險(xiǎn)的提供商，其目標(biāo)是超越競爭對手，超出普通聯(lián)邦雇員和退休人員的預(yù)期，為他們提供服務(wù)。
“隨著服務(wù)和數(shù)字工具的不斷發(fā)展，全球公共機(jī)構(gòu)雇員保險(xiǎn)公司意識到需要轉(zhuǎn)變和提升在用戶體驗(yàn)中的每個平臺和接觸點(diǎn)，”首席信息官布蘭登·瓊斯(Brandon Jones)說道。
瓊斯表示，擁有強(qiáng)大的數(shù)字化影響力是實(shí)現(xiàn)這一愿景的基礎(chǔ)。為了增強(qiáng)其在線影響力，該組織首先進(jìn)行了一項(xiàng)可用性研究，分析了客戶數(shù)字化體驗(yàn)的當(dāng)前狀態(tài)，進(jìn)行了可用性測試和用戶訪談，然后對這些數(shù)據(jù)進(jìn)行整合以找到在所收集到的信息中的趨勢、模式和共性。
該項(xiàng)研究和分析工作為他們提高服務(wù)的可用性提供了可能，讓全球公共機(jī)構(gòu)雇員保險(xiǎn)公司獲得了一系列的研究結(jié)果和建議。
然后，全球公共機(jī)構(gòu)雇員保險(xiǎn)公司啟動了一項(xiàng)“客戶旅程分析工作”，以確定客戶和潛在客戶在交易過程中所經(jīng)歷的各個階段，他們在每一步中期望得到什么，在每一步中都遇到什么問題，以及在每一步中他們的感受如何。
瓊斯說：“這項(xiàng)工作讓我們能夠掌握會員們使用我們產(chǎn)品和服務(wù)的步驟，他們在這一過程中關(guān)聯(lián)的其他內(nèi)容，我們需要改進(jìn)的空間以及應(yīng)該合并或拆分哪些步驟。”“通過系統(tǒng)地繪制我們會員所經(jīng)歷的各個步驟，我們可將該項(xiàng)工作作為一個診斷工具。”
全球公共機(jī)構(gòu)雇員保險(xiǎn)公司開始利用之前在可用性研究和客戶旅程圖中的工作結(jié)果來建立一個新的網(wǎng)站和會員入口。該新網(wǎng)站的目標(biāo)是更好地向用戶介紹產(chǎn)品和申請流程;提高整個網(wǎng)站的一致性和易用性;提供自助服務(wù)工具和信息，以便于用戶做出明智的決定;以及使客戶體驗(yàn)“人性化”，幫助、指導(dǎo)在線用戶，使其更安心。
在整個工作過程中，保護(hù)客戶數(shù)據(jù)是首要考慮因素，同時(shí)安全性也已納入到新網(wǎng)站和支持基礎(chǔ)架構(gòu)中。安全策略包括使用一些工具，例如冗余防火墻、虛擬專用網(wǎng)(VPN)、防止垃圾郵件和網(wǎng)絡(luò)釣魚，以及身份和訪問管理等。
通過采取以上及其他措施，全球公共機(jī)構(gòu)雇員保險(xiǎn)公司可以為其客戶營造更好的客戶體驗(yàn)，同時(shí)提供了高度的安全性。
