2月23日晚，微盟公司的SaaS業務突然崩潰，300萬家商戶生意基本停擺，事故發生後經過幾天搶救，微盟都無法修好系統、恢復正常運作，使得幾百萬用微盟服務的商家損失慘重。受此事件影響，從24日到25日短短24小時內，微盟集團市值蒸發超過10億港元！而這樣大的事情，是怎麼造成的呢？經過內部清查，原來是遭到人為惡意破壞，而破壞者居然是自家員工，一位在研發中心運維部的工程師。
這事件可以看出微盟的數據庫管理制度有重大疏漏，一個工程師從遠端操控竟然就可以讓現在企業最寶貴的命脈-----數據庫系統崩潰，所以當大家在責怪這個破壞系統的工程師之虞，是不是更該批判微盟集團資安管理體系的鬆散，他們才是具有不容推脫責任的一方。
一個合乎標準的資安體系該怎樣？首先像這種大型的SAAS或是平臺型企業，平日產生的所有信息與數據，必須要有同步異地備份的機制，這個備份系統最好交給兩組人馬獨立管理。
其次，公司必須同時具有數據維護、數據保管（通常由DBA一職來做）及監察的不同管理人員，沒有任何一方有片面修改系統程式或是底層、重要數據的權力，如有需要必須要先提出申請以及經過層層審核。這個過程的確讓員工很麻煩，但是為了維護公司的命脈（數據），這是必要的步驟。
第三，在系統上有任何重大修改或調整時要另建Data mart，所有的修改、測試都先在Data mart上來操作，這樣萬一出現狀況，受到影響或是崩潰的只是一個Data mart，而不會對企業產生傷筋動骨的損害。
不過，也許上述的事情微盟都有做，或是也有設立相應人員的分級管理制度，但是為什麼還是發生一個工程師就能癱瘓企業系統的重大資安事件呢？很簡單，就是管理的螺絲鬆動，同事因為相處時間久了，大家失去警惕心認為不會出事，於是雖然機制都在，但從上層到下級都沒有人當一回事兒，而是怎麼方便怎麼行事，才導致這出”慘劇”發生。
我前面說，不要只是責備破壞者或關注他犯罪的心理動機為何，因為最大的責任出在公司，是微盟的管理疏失才會讓這件事這麼輕易發生。所以，不管是微盟也好，或是其它公司也好，要從這件事故得到教訓，迅速制定符合自家企業需求的資安制度，如果已經有相關制度的公司，則是在落實的過程要兢兢業業，夙夜匪懈，這樣才不枉費微盟花了十億元 “學費”告訴大家的事。
閱讀更多 博文的博文 的文章
