在2017年OneLogin公司的云身份和访问管理平台遭遇数据泄露事故后，该公司做出了重大改变，其中涉及新的管理层。

Justin Calmus在2018年4月加入OneLogin担任首席安全官，当时这个云计算IAM提供商推出了围绕统一访问管理构建的新产品战略。作为OneLogin公司安全主管，Calmus主要负责该公司的风险管理、安全及合规性计划。

在2017年5月31日发生事故后，该公司开始试图重新构建其安全计划以及OneLogin安全性。根据OneLogin的最初报告显示，该公司收到警告称其云端单点登陆服务受到未经授权访问，这些异常数据库活动可能泄露客户数据、应用信息及各种密钥。当时，OneLogin在44个国家拥有约2000名客户，包括SAAP提供商和全球企业。

在这个采访的第二部分，Calmus探讨了OneLogin公司在2017年数据泄露事故后安全模型的改变。

当我与OneLogin公司首席执行官Brad Brooks交谈时，我问到他自2017年事故以来OneLogin安全模型发生的变化，那么，你对此的见解是？

Justin Calmus：我们非常重视透明度，我可以谈谈去年发生的事故。

我简要地谈一下：当时我们在使用亚马逊云计算服务，通过该服务，你会获得一个密钥，而该密钥通常包含你正在启动的任何环境的访问权限。当时发生的情况是，攻击者获得该密钥，并利用该密钥启动新实例，然后试图将数据复制到他们的新实例。

实际上，在这种情况发生的那一刻，我们的技术操作和安全团队就跳进来，他们关闭了该实例。并且，我们立即通知了我们的客户。这是积极的步骤，以确保我们的操作非常透明。

在2017年的事故中，您认为贵公司处理事故的方式是否有可让其他首席安全官借鉴的地方？

Calmus：保持透明度，以及确保你与客户保持积极互动。我认为我们做得非常好。

首席安全官应该注意的一件事情是：当你启动AWS环境时，请彻底检查你的密钥可访问的所有内容。请确保你正在使用临时会话令牌等类似事物，这现在是AWS中的选项。我可以说，如果你是首席安全官，并且你有一个正在运行的环境，那么，你至少需要检查一下密钥。

请问贵公司是否知道攻击者的身份？

Calmus：我无法详细说明。这仍然是我们正在努力调查的事情，但我很乐意谈谈技术细节。

攻击者试图启动一个新实例，然后尝试复制数据，而这些数据可能包含客户数据。我们仍然无法100%确定哪些内容被泄漏，由于调查正在进行中，我不能过多地谈论这个问题。

但在基础设施方面，这里的问题在于，我们使用的密钥包含对很多基础设施的访问权限。因此，在那之后，我们仔细检查了所有基础设施及所有策略，甚至检查我们的执行管理曾。

我们提高了基础设施的安全性；我们部署了临时会话令牌—在AWS中这被称为临时凭证；我们还部署了多因素身份验证。你必须实际使用YubiKeys来获得令牌，所以你必须亲自到场。还有很多小的基础设施变化。

从策略的角度来看，我们在内部审视了我们的策略，然后让外部承包商过来进行全面的审计，包括对基础设施以及策略和程序。

我们做的最后一件事，也正是我的职责所在，即我们改变了执行管理链。现在我们的执行管理链在安全领域拥有超过100年的经验，这对于企业向前发展而言非常重要。

您谈到OneLogin采取的一些措施，那么，您能否介绍一下当前安全模型与2017年5月事故前的安全模型有何不同吗？

在2017年事故后，我们对风险建模进行全面审视—采取何种方法进行风险建模以及如何推动其向前发展。

现在我们所做的一切（从产品到安全）都带有风险模型。风险模式是事故后发生变化的事情之一；现在我们通过风险模型做所有事情。

好的，那么，这是什么意思呢？换句话说，您如何定义风险模型？

Calmus：风险模型会根据类别而有所不同。基础设施的风险模型可能是：有些员工通过VPN进入数据中心以访问批处理主机或中间人主机以进入生产环境，那企业面临的实际风险在哪里？是否捆绑有VPN？基础设施和主机是否有双因素身份验证？这些事情在改变吗？改变的频率是怎样？你多久更改一次环境中的密码？

所有这些问题都帮助构建风险模型，因此，对于你的问题，我想说的是，风险模型完全不同于了解你的基础设施。你还需要了解人员，了解技术，了解流程。

然后通过所有这些问题，你就可以开始计算。这对我们环境是风险吗？部署多因素身份验证会降低风险，而‘好吧，我可通过SSH连接到任何主机’则会极大增加风险。

您正在负责这项工作吗？

Calmus：是的，我们的风险管理部门包括首席技术高和联合创始人。根据对企业的风险水平，这可涵盖到我们的大多数高管，因此，这是高管支持的风险管理委员会。

对于OneLogin安全模型的改变，您认为还有什么其他重要内容？

Calmus：我认为就这里的影响而言—涉及我们的高管和整体员工，我们所做的基础设施改变以及策略变更，甚至让外部人员来审计，这是我们应该采取的正确步骤。因此，我非常有信心我们走在正确的道路。

还有确保我们与客户保持着积极沟通和保持透明度，我认为很多大公司也在采取同样的做法。所以，总体而言，我们在采取正确的步骤，大家可以看到这一点。