您的位置:主页 > 葡京娱乐网 >
陈育武:微信企业号,帮助企业更加安全地互联
作者:网络采集 日期:2017-03-15 13:44 人气:
分享到: 0

  

  

  微信企业号高级工程师陈育武

  

  2016年11月24日下午,由由腾讯公司、网络空间安全协会联合主办的“第二届互联网安全责任论坛微信生态安全分论坛”在北京举行。论坛围绕微信“平台治理”展开,来自互联网企业、行业研究机构、高校专家学者以及互联网安全从业者济济一堂,共同探讨移动互联网新生态下的微信生态面临的机遇和挑战。微信企业号高级工程师陈育武介绍了微信企业号的安全体系。

  以下为演讲全文:

  陈育武:大家好,很高兴来参加这次的安全责任论坛,这里我分享的主题是《企业号安全实践》。

  回顾企业的信息化历程,我们归纳出了四个阶段:最早是纸质办公,这也是我们常见的方式,它主要以会议、文件、电话为主,这种方式的问题是在于,它的沟通成本比较高,消息无法进行高效检索。到1993年,随着个人电脑的普及,更多企业通过PC来管理信息,提高了整个效率。2005年,随着手机移动设备的接入,使得移动改造让员工更方便地访问这个系统。PC信息化和移动信息化的主要问题有两点:第一是它的建设周期比较长,第二是它的消息速达率无法保证。到2015年,我们认为企业经过了一个互联网化的时代,在这个过程中,企业可以随时随地的去连接员工、系统还有上下游。

  互联网化的企业有哪些特征呢?互联网提供了丰富的资源以及能力,企业能够充分利用这些资源,来整合自己的系统,连接是核心竞争力,它可以帮助企业快速成长,聚焦自己的核心业务。

  在互联网化的过程中,企业号可以帮助企业更好地实现这一过程。为什么这么说呢?首先,企业号是基于一个微信生态。微信的月活用户超过8亿,覆盖度非常广。第二,微信有一个丰富的延伸能力,比如红包、摇一摇、卡券,都是用户熟悉的功能。这就意味着使用企业号,企业不需要一个额外的安装和培训成本,就可以很方便有效地触达用户。第三,企业号有完善的管理机制,适用于紧密关系的组织,它可以帮助企业降低管理成本。同时,企业号有一个统一的应用入口,通过这个入口,员工也可以方便地去查看和检索信息。第四,我们有一个开放的生态,大量活跃的第三方服务商,可以给企业提供丰富并且专业的能力,让企业聚焦于自己的业务。

  下面是介绍企业号的基本使用页面。首先,企业号作为一个一级入口,展示在微信的消息列表,成员的关注以及消息接收都通过这个入口进行。点击这个入口就可以看到企业配置的个性化应用,这个应用列表由管理员来配置的,每个成员看到的列表都不尽相同。点击应用,就可以看到应用下发的消息,还支持、语音、视频、图文,消息类型非常丰富。

  同时,我们认为企业号的员工都是可信任的,因此,他的消息发送量也是非常宽松。最后点击到“消息”,这个时候可以进入到企业的系统。由于这里有一个“统一”的识别认证,用户不需要再输入账号密码,就可以访问到系统,系统也能识别到用户的身份。

  我们对使用企业的行业进行了分析,发现了这12个行业的都有活跃用户,像医院、学校,企业号不仅仅连接的是企业,还有政府部门和组织。

  接下来介绍两个使用企业号的场景。

  最多的一个场景是移动办公,通过企业号,员工进行摇一摇可以进行考评签到,通过考评的有一个微信红包,这样提高员工积极性。像请假这些审批流程,也可以通过应用来承载。由于微信的高活跃度,使得整个过程也是非常流畅,并且高效的。同时,员工也可以通过微信企业号来去查看自己的培训资料,利用自己的碎片化时间,整个过程也十分方便。

  第二个场景是连接上下游。传统的上下游管理可能是PC以及APP的方式,整个过程可能是推广非常难。通过企业号上下游只需要关注一下企业,就可以获取到它的信息以及在线查看定单、下单等。

  企业号是2014年9月18日发布的,历时15个月,月活用户到达了一千万,随后7个月时间到达了两千万,它的增长速度翻了一倍。从这个数据看,企业号的发展潜力是非常巨大的。以上是我们对企业号的说明。

  在信息化建设过程中,我们认为安全是首要考虑的因素。对企业号的安全体系包含了四个方面:首先,企业号是基于微信的平台,因此微信平台的安全性是首要考虑的因素。其次是企业号如何保障这个信息安全。第三是企业号如何保障企业介入的安全管理。最后是第三方的安全保障。

  微信平台有一个超过50人的安全团队来管理,并且在今年获得了一个ISO27001的国际安全认证,这个证书也证实了这个平台的可靠性。同时,微信大量活跃的用户每天都在不断地实践并且检验这个平台的安全,并且经受住了这个考验。

  对于企业号的安全策略,我们也分成三个维度来讲。

  第一,数据安全。我们认为这是一个系统的基石,如何保障在单台服务器挂掉,单个园区不可用的时候,数据不会丢失,服务依然可用,就是我们的容灾。

  第二,我们对通讯录这种重要的数据进行存储级加密,存储级加密能够保证即使数据被偷,黑客依然无法得到这个可用信息。

  第三,我们在消息类似的数据传输上只做通道,消息只能通过在客户端以及企业端去获取。客户端使用微信,它的通信安全可以保障。Web端我们采用https,这个数据传输的时候不会被篡改或者伪造。服务端我们使用的是票据,在访问用户数据还有修改用户数据的时候,就会对这个票据进行检查,如果这个票据跟这个用户没关系,这个请求就会被拦截。比如企业A要去访问企业B的数据,由于两个企业它没有关系,这个时候请求就会拦截掉,这就保证的数据访问者的安全。

  对于运维安全,我们认为服务的稳定性是一个重要的方面,因此我们有一套完备的运营系统,它可以保证我们每次都能够安全的变更和升级这个服务。另外,我们会对机器进行安全控制,这个权限控制是为了避免在操作中的一些误操作导致的问题。

  对于企业的安全管理:第一,我们认为企业里的人员都是可控制的,管理员将信息录入到系统,成员再去关注到这个企业号才能正常使用,未录入信息的成员,关注是无法通过验证的。通过这种可控的方式,就可以保证后续企业发布信息的安全,不会将信息发布到外面。比如员工离职了,这个时候管理员可以将用户给禁用或者删除,确保了信息发布的可控范围。

  第二,我们提供的是一个有效的分级管理控制。在成员管理上,可以将组织架构的成员聚合到一起。另外,应用也可以配置一个自定义的应用成员集合,对于分级管理员也可以配置管理员可以管理哪些应用和部门。通过分级管理,确保了管理的安全。

  第三是信息的安全发送和查看。常见的场景是,我需要把这个信息发布给特定的成员,但不希望这个成员转发或者分享,这个时候就可以通过保密消息,保密消息就确保了我这个消息只有发送范围的人才能查看,其他人查看是会提示无权限的。在消息发送后会被截图或者保存,这个时候企业可以开启水印,这个时候文档以及图片就会带上查看文本的信息,就确保了信息传播的跟踪。对于有更高安全的企业,它可以在成员访问系统的时候,通过我们的接口能力,判断用户是否为常用的设备访问,即使用户的信息泄露也可以保证这个访问的安全。

  关于第三方的安全策略,我们考虑两个点:一个是如何保障接入第三方的安全,另一个是接入第三方如何保障企业的安全。对于第三方的安全,我们认为首要的关注因素是,如何确保调用端是真实的第三方。因此我们对这个来源控制加了一些策略,第一个是token的双重校验,带上这个token意味着它的来源正确性,即使这个信息被泄露,也是有限的。第三方可以配置一个IP白名单,只有服务商的机器才能调用这个接口。

  第二个是接入企业安全。企业怎么保证这个安全,首先第三方的套件会经过一个审核,确保信息的正确性;其次在这个提交过程中,我们会对第三方服务进行安全扫描,这个扫描过程就可以提前发现一些安全漏洞,通知第三方整改。对于安装套件的企业,它也可以配置一个可见范围,也可以在安装完成之后随时取消授权。还有就是第三方在调用企业接口的时候,我们有一个详尽的操作日志,方便后续的追踪问题。

  以上就是我们一个企业号的安全体系介绍,随着用户数的增加,我们的安全体制也不断地在完善,我们希望打造出一个开放又安全的生态,让企业更多地、更快地加入这个互联网化,创造更多的价值,谢谢大家!

上一篇:女人一生睡多少个男人才“够本”百度文库
下一篇:吉林省白山市人民检察院诉白山市江源区卫生和
 
栏目分类
本类热门


地址: 电话: