企業(yè)App要留心移動后端服務的安全漏洞
所謂的云端移動后端服務(Cloud Mobile Back-End Service),指的是一種提供專門支持移動應用程序開發(fā)的特殊平臺即服務(Platform as a Service,PaaS)模式。此類云端服務在部分市場稱為移動后端即服務(Mobile Back-End as a Service),專門提供移動應用程序所需的后端功能,例如用戶管理、數(shù)據(jù)儲存、推送式通知,以及社群網(wǎng)絡整合。此外,部分云端移動后端服務亦讓開發(fā)人員能夠部署服務器端程序代碼。
云端移動后端服務已成為應用程序開發(fā)生態(tài)體系中的重要元素,部分企業(yè)可能尚未全然了解以云端服務為其應用程序基礎架構所將產(chǎn)生的問題及風險,即已貿然采用。
至2016年,約有40%的移動應用程序開發(fā)項目使用云端移動后端服務,程序開發(fā)主管將無法掌控采用云端的速度與途徑。因此,企業(yè)應先盡速熟悉在云端內部署應用程序功能所需考慮的基本因素。
移動后端服務的主要目標,是讓應用程序開發(fā)人員在使用云端功能(例數(shù)據(jù)儲存)時盡可能自然順手。程序設計人員使用其熟悉的儲存相關程序機制開發(fā)移動應用,而云端服務則如同黑盒子般負責儲存和讀取必要數(shù)據(jù)。
然而,隨著使用云端服務的移動應用程序增加,規(guī)范企業(yè)敏感數(shù)據(jù)安全與正當使用的挑戰(zhàn)將與日俱增。若未加規(guī)范可能會造成敏感數(shù)據(jù)不經(jīng)意地移轉至云端,亦增加安全性不足的可能性。欲管制此類移動應用程序、企業(yè)系統(tǒng)與云端之間的互動,除個別移動應用程序開發(fā)平臺(Mobile Application Development Platform,MADP)所提供的功能之外,可能還需要額外的安全與管理功能。
然而,管理技術唯有在執(zhí)行后才會發(fā)揮作用。企業(yè)須于可能存取企業(yè)或客戶數(shù)據(jù)的應用程序采用云端移動后端服務之前,就先制定清楚的政策并且讓開發(fā)人員充分認知。
許多應用程序的開發(fā)項目皆非由IT部門所負責,包括業(yè)務單位應用程序、終端用戶應用程序,以及業(yè)務單位委外給第三方開發(fā)的程序。傳統(tǒng)上,非由IT部門開發(fā)的移動應用程序,大部分都是委外。
但隨著圖形化應用程序開發(fā)工具與其他類型的移動應用程序快速開發(fā)工具的出現(xiàn),情況已開始轉變。一旦移動應用程序的需求增加,越來越多的非IT開發(fā)人員將設法產(chǎn)生應用程序以滿足其業(yè)務需求,甚至自行開發(fā)移動應用程序。
這將帶來比以往更大的風險。更精密的快速開發(fā)環(huán)境出現(xiàn)、云端服務的普及以及企業(yè)系統(tǒng)存取的增加,將使得非IT開發(fā)人員更容易開發(fā)出混合企業(yè)敏感數(shù)據(jù)與云端式服務及儲存的移動應用程序。因此,整個企業(yè)都必須認知到這樣的問題,以及企業(yè)對云端服務所抱持的政策,如此才能讓非IT開發(fā)的移動應用程序也能和IT開發(fā)的程序受到相同的監(jiān)督和規(guī)范。