四维山人
管理上的问题，互联网公司最重要的就是数据，删除数据就是要一个公司的命，然而微盟将命放在一个工程师手上，显然管理上有漏洞。技术上的漏洞也有，一般数据都有备份，若是备份数据安全都没有保障，那备份就没有意义了。
java每天学一点
“从入门到删库到跑路”！
原本一个口头禅笑话 ，居然神奇般的发生了，而且还是一个有着3700员工、在香港上市的公司。
这童话般事件的发生了，暴露了从技术到管理、安全合规，风险管理甚至公关都有很大的问题。不知道这3700名员工中有多少人是在这些部门，不过我认为这些部门的人90%都可以开除了。
管理上方面
员工管理，员工岗位培训、安全保障培训有没有到位，安全和保密协议都有没有签，人力资源对员工状态了解够不够，有没有专门指导和帮助机制？员工权限控制做到了么？运维、开发、安全和DBA有没有分工，有没有专职人员？员工有没有操作互备和相互确认机制？
从技术上方面架构
系统架构上首先不合理：数据库为啥没有做多层架构（数据库，缓存、内存数据），没有分布式架构（分区，分库，文件系统分布式存储）。
备份
数据备份机制有没有，数据备份检查有没有？数据回复机制有没有，灾难演练有么有做过？冗余热备库有没有？
审计和告警
监控告警有没有、操作和数据审计有没有。
从公告中内容，操作审计是没有，以至于要大量时间反向追踪查找IP和用户。正常情况下应该是在事故发生时间，异常登陆和操作发出告警。然后是服务器、和数据应用告警，然后是业务上告警。在业务发生告警时候，应该马上就能查到什么时间、来源IP，谁操作了什么。
一般来一个合格的跳板机或者堡垒机都可以实现操作审计，对异常和破坏性操作予以告警和预先阻止，一个大型的公司应该是必须满足的，有专门商业产品可供选择。
小公司和团队也可以选择开源软件方案，也能满足绝大多数的审计和告警需求。比如Gravitational的Teleport工具就可以满足对SSH会话的安全审计，有关这个工具可以参考虫虫最新一篇文章介绍，Teleport用BPF增强SSH会话的安全审计技术方案。
安全合规，风险管理方面
在数据备份上和告警上，审计上都没有做到，说明安全和合规团队是不存在或者完全失职的。按照国家对一个在线商务运营的资质要求来说合规方面应该都要有相关资质要求和措施年检要求，至于怎么拿到资质备案和满足年检这也是值得要问的问题。
公关方面
从涉事后公告中直接暴露了和各种细节方面的问题来说公关团队的也是失职的。还有晚上爆了的该员工、其媳妇以及公司高管方面种种小道爆料来说说明公关方面也做的不到位。
虫虫安全
核心运维人员，如果主观性想删库，在任何公司应该都能实现，与技术与管理无关，只是实现的形式不同而已。原因如下：
1.技术上，作为核心运维人员，一定是技术专家，技术上的限制，对于这类人基本无效，无非就是操作的难易程度而已。
2.管理上，所有的管理机制，都只能是防君子，不防小人。一个技术大拿，如果主观上要做这事，管理机制是无效的。比如门锁，可以阻止普通人开锁，但锁不住一个开锁专家。
randi1002
现在不要问是技术问题还是管理问题。。
是要问问一个成长到核心的人物是因为什么样的原因使他做出这样的举动。。。
一般来说能让一个中国人如此愤怒的原因只有两个。
一个是杀父之仇。
一个是夺妻之恨。
京城小儿王
这就是一个天大的笑话！特权用户怎么管理的？这个技术人员也是没有商业头脑。既然有这么高的权限，把数据拿出去卖也可以卖不少钱的。想想其他云服务平台的特权用户都拥有什么权限吧！想想你的数据有没有隐私吧……
深海淡水
许多公司运维地位地下，开发看不起运维，认为自己会写几行代码就比运维高端了
jacreater
一个黑客都能从外部破解进来干的活，一个核心运维工程师怎么可能做不到呢。这就像特朗普的贴身护卫要杀他一样，抬手就是一枪，这尼玛怎么防得住。
AlexandeR
ansible，salt了解一下，一条命令，所有服务器上同时执行。
yao30472344
老板绿了别人老婆，还要开除运维，没这权限也要想办法弄到权限删库！要死一起死
稀饭2020
首先是公司管理问题，很多现实是十个领导管一个人去干活，那这人的操作权限想必很大。
其次拿自己的职业生涯去做这事，多半是杀父之仇亦或夺妻之恨
