制度软件化？当一群字节跳动的工程师想要改变办公安全( 二 ) 文丨刘鉴2020年1月27日

但市面上的产品都达不到令人满意的效果。
制度软件化，一群工程师的选择
想象很丰满，现实很骨感。为了解决现实中的痛点，对于习惯于用工程思维解决问题的他们来说， “做一款软件”几乎是第一时间的共同选择。这种用软件平台去落地全局办公安全制度的思路，被他们总结为“制度软件化” 。
“办公安全问题的解决思路与生产网不同，因为生产网的设备是‘死的’ ，但办公场景中的人是活的。安全措施与要求，在执行过程中会面临很多变数，不光是来自于员工安全意识，还包括管理员的复杂操作。制度软件化，则是通过软件消除了由人引入的变数，而且这种解决思路是体系化的、易于扩展的、可复制的。 ”林涛解释道。
人不可能严格依照制度运转，但软件可以。

文章图片
基于此，字节跳动在2017年开始打造自己内部使用的数字化安全办公平台——飞连（内部代号为Seal），其能力逐渐覆盖身份认证、终端管控、办公网络管控等各方面。同时，飞连引入“全链路动态控制”安全防护概念，以多能力融合与持续评估为特点，保障员工、企业网络、设备、办公应用安全连接。

文章图片
（飞连以身份为中心，打通了网络与终端管理）
数字化业务中，员工往往需要在数个、甚至数十个应用系统中穿梭办公。飞连则提供了应用系统入口的整合能力（SSO单点登录），经由飞连，员工可一键访问所有相互信任的应用系统。管理员可对敏感系统设置MFA多因素认证，实现应用管理、身份验证、角色管理的结合。
在身份认证层面，它实现了MFA多因素身份认证。 MFA多因素身份认证区别于SFA单因素身份验证。单因素认证通常只需要用户现有的知识，也就是说，只要用户知道密码就可以登录。在当下复杂的网络环境下，别说保证登录的是本人了，你甚至都不能确定申请登录的是不是人。
【制度软件化？当一群字节跳动的工程师想要改变办公安全】MFA多因素身份认证则要求通过两个或三个独立的凭证：用户知道什么（知识型身份验证），拥有什么（安全令牌或智能卡），是什么（生物识别验证）。确保了人、终端、权限的一一对应。
MAF下的OTP一次性密码则是根据专门算法，随机生成一个不可预测的数字组合。由于生活中大量场景与应用都需要密码，用户为了方便记忆，经常多平台、多流程设置的密码是相同的，这就为企业防护安全带来了巨大的隐性风险。 OTP的一次性和实时性，从根本上解决了密码丢失风险，同时也防止了密码遗忘带来不便，堪称“健忘人群的福音” 。
丢了设备是不是风险很大？实际上，敏感系统检验可以预防源自终端设备的风险。对于此类系统，管理员可以加高防护水平，在每次登录时都核验人、终端、权限的对应关系。
对于设备本身，则是首先通过安全基线检测，如锁屏密码检查，来确保员工设备已设置系统级的安全措施，在丢失、维修等对设备失去掌控的情况下，哪怕是回收废手机坏电脑，旧手机换刀换盆换剪子后，也能保证不会成为风险入口。
随着多终端接入办公网络，特别是其中还包含着员工非制式的个人设备，终端安全管理也面临着复杂性难题。作为高效简便的统一平台，飞连尝试成为一把“斩乱麻的快刀” 。在终端基线检查的基础上，飞连还实现了应用与进程风险检测、病毒查杀与软件管理，只有符合标准且当前被判定为安全的设备才可以接入，用一个平台实现了多视角的安全水平提升。