企業App要留心移動后端服務的安全漏洞
所謂的云端移動后端服務(Cloud Mobile Back-End Service),指的是一種提供專門支持移動應用程序開發的特殊平臺即服務(Platform as a Service,PaaS)模式。此類云端服務在部分市場稱為移動后端即服務(Mobile Back-End as a Service),專門提供移動應用程序所需的后端功能,例如用戶管理、數據儲存、推送式通知,以及社群網絡整合。此外,部分云端移動后端服務亦讓開發人員能夠部署服務器端程序代碼。
云端移動后端服務已成為應用程序開發生態體系中的重要元素,部分企業可能尚未全然了解以云端服務為其應用程序基礎架構所將產生的問題及風險,即已貿然采用。
至2016年,約有40%的移動應用程序開發項目使用云端移動后端服務,程序開發主管將無法掌控采用云端的速度與途徑。因此,企業應先盡速熟悉在云端內部署應用程序功能所需考慮的基本因素。
移動后端服務的主要目標,是讓應用程序開發人員在使用云端功能(例數據儲存)時盡可能自然順手。程序設計人員使用其熟悉的儲存相關程序機制開發移動應用,而云端服務則如同黑盒子般負責儲存和讀取必要數據。
然而,隨著使用云端服務的移動應用程序增加,規范企業敏感數據安全與正當使用的挑戰將與日俱增。若未加規范可能會造成敏感數據不經意地移轉至云端,亦增加安全性不足的可能性。欲管制此類移動應用程序、企業系統與云端之間的互動,除個別移動應用程序開發平臺(Mobile Application Development Platform,MADP)所提供的功能之外,可能還需要額外的安全與管理功能。
然而,管理技術唯有在執行后才會發揮作用。企業須于可能存取企業或客戶數據的應用程序采用云端移動后端服務之前,就先制定清楚的政策并且讓開發人員充分認知。
許多應用程序的開發項目皆非由IT部門所負責,包括業務單位應用程序、終端用戶應用程序,以及業務單位委外給第三方開發的程序。傳統上,非由IT部門開發的移動應用程序,大部分都是委外。
但隨著圖形化應用程序開發工具與其他類型的移動應用程序快速開發工具的出現,情況已開始轉變。一旦移動應用程序的需求增加,越來越多的非IT開發人員將設法產生應用程序以滿足其業務需求,甚至自行開發移動應用程序。
這將帶來比以往更大的風險。更精密的快速開發環境出現、云端服務的普及以及企業系統存取的增加,將使得非IT開發人員更容易開發出混合企業敏感數據與云端式服務及儲存的移動應用程序。因此,整個企業都必須認知到這樣的問題,以及企業對云端服務所抱持的政策,如此才能讓非IT開發的移動應用程序也能和IT開發的程序受到相同的監督和規范。