三 ，內(nèi)鬼攻擊
永遠(yuǎn)不要考驗(yàn)人性。
內(nèi)部人員犯案的例子屢見(jiàn)不鮮，從底層的員工到高管甚至是合伙人，都比比皆是。
對(duì)于底層員工，哪怕原本再正直善良兢兢業(yè)業(yè)，也可能有自己的經(jīng)濟(jì)壓力或是遇到突發(fā)的狀況，就像《絕命毒師》中演的那樣，他即使不為自己，但也可能為老婆孩子而冒險(xiǎn)。
對(duì)于高層，當(dāng)一個(gè)人面對(duì)上千萬(wàn)上億的誘惑時(shí)，沒(méi)有多少正常人能把持得住，我們有時(shí)候?qū)ω澒傥劾羿椭员?，是因?yàn)槲覀冞€沒(méi)有設(shè)身處地的在那個(gè)位置上。
案例太多，大到騰訊公司麻花藤的左膀右臂，小到中小型公司的一線員工。這里就不一一例舉，感興趣的朋友可以自己去查。重點(diǎn)說(shuō)下預(yù)防策略：
1， 所有操作記錄可追溯
在后臺(tái)應(yīng)該備份有所有人的操作記錄
2， 權(quán)限精細(xì)劃分
涉及到以下幾類權(quán)限時(shí)，必須要設(shè)置高的權(quán)限級(jí)別
-
網(wǎng)站敏感運(yùn)營(yíng)數(shù)據(jù)
-
業(yè)務(wù)核心流程
-
財(cái)務(wù)相關(guān)的操作
-
涉及利益鏈的某一環(huán)節(jié)
高權(quán)限賬號(hào)要唯一對(duì)應(yīng)，每個(gè)賬號(hào)要對(duì)應(yīng)到唯一的責(zé)任人；
個(gè)別歸屬不明的賬號(hào)，如名為Test，Admin等賬號(hào)都可能埋伏著安全隱患；
一定要設(shè)置登錄手機(jī)驗(yàn)證碼驗(yàn)證，以避免其他人冒用；
員工離職時(shí)務(wù)必注意賬號(hào)的清除；
定期對(duì)賬號(hào)進(jìn)行清查。
3， 高危操作管理
根據(jù)具體業(yè)務(wù)流程定義一些行為為高危操作；
當(dāng)出現(xiàn)高危操作時(shí)設(shè)置二次確認(rèn)機(jī)制；
當(dāng)多次出現(xiàn)高危操作時(shí)設(shè)立報(bào)警機(jī)制。
4， 敏感系統(tǒng)獨(dú)立
涉及到敏感信息如財(cái)務(wù)信息的系統(tǒng)，應(yīng)該在別的域名及服務(wù)器下獨(dú)立建立，而不要在一個(gè)系統(tǒng)上劃分一個(gè)板塊。
綜述
拼多多的事件，表面上看是一個(gè)技術(shù)性Bug，但實(shí)際上暴露的是整個(gè)運(yùn)營(yíng)監(jiān)控體系，風(fēng)控體系的不到位，一個(gè)不嚴(yán)密周全的運(yùn)營(yíng)活動(dòng)/流程/制度設(shè)計(jì)，輕則導(dǎo)致企業(yè)上百萬(wàn)上千萬(wàn)的損失，重則引發(fā)產(chǎn)品信任危機(jī)，失去用戶忠誠(chéng)度，甚至影響到產(chǎn)品的生死存亡。
中國(guó)互聯(lián)網(wǎng)公司的高管們，在謀求高速發(fā)展的同時(shí)，不僅僅是步子邁大了扯沒(méi)扯著蛋的問(wèn)題，而是要回頭看看蛋有沒(méi)有跟上自己的腳步。
畢竟，深淵在那凝視著您咧。