CISO為何重視API安全，又該如何保障API安全？
ISO的職責(zé)，在于為企業(yè)制定核心增長計(jì)劃，同時(shí)降低運(yùn)營風(fēng)險(xiǎn)。為此，CISO們必須不斷評(píng)估并權(quán)衡多種戰(zhàn)略計(jì)劃的安全后果，并思考這些路線給企業(yè)帶來的潛在影響：
• 產(chǎn)品上市速度。
• 競爭優(yōu)勢。
• 品牌優(yōu)勢。
只要觀察并考量安全基礎(chǔ)設(shè)施對這三大交付方向的積極或消極影響，CISO們就能摸索出推動(dòng)企業(yè)走向成功的道路。而縱觀當(dāng)前形勢，一種與這三大企業(yè)動(dòng)態(tài)密不可分的新領(lǐng)域已然出現(xiàn)，這就是使用API推動(dòng)創(chuàng)新。
API正在吞噬世界
API已經(jīng)成為企業(yè)支持創(chuàng)新/創(chuàng)新數(shù)字化轉(zhuǎn)型中的關(guān)鍵一步。無論是開放式銀行服務(wù)、移動(dòng)與在線服務(wù)、數(shù)字信息共享應(yīng)用，還是DoorDash、Uber、PayPal、Spotify、Netflix乃至特斯拉等知名品牌，他們的運(yùn)行全都離不開API的加持。
因此，企業(yè)如今需要比以往任何時(shí)候都更快、更規(guī)�；貥�(gòu)建并發(fā)布API。在API的幫助下，企業(yè)得以構(gòu)建起高級(jí)服務(wù)并快速投放市場，同時(shí)開辟出新的業(yè)務(wù)與收入流通道。數(shù)字化進(jìn)程加速了這一趨勢，而新冠疫情的爆發(fā)則迫使實(shí)施進(jìn)度大大提前。于是乎，企業(yè)必須為員工和客戶快速部署遠(yuǎn)程服務(wù)，并建立產(chǎn)品集成以支持無數(shù)設(shè)備——這一切，都離不開API的粘合。結(jié)合種種現(xiàn)實(shí)因素，難怪今年年初公共API中心Postman迎來了創(chuàng)紀(jì)錄的2000萬用戶。
但正是由于API需要與客戶、合作伙伴和員工分享高敏感度數(shù)據(jù)，所以它也成了惡意黑客眼中極具吸引力的攻擊目標(biāo)。CISO們已經(jīng)切身感受到了這種風(fēng)險(xiǎn)。
根據(jù)AimPoint Group、W2 Communications和CISOs Connect發(fā)布的《CISO報(bào)告、展望、挑戰(zhàn)，與2022年及之后計(jì)劃》最新研究報(bào)告，受訪CISO們列出了以下幾項(xiàng)亟需改進(jìn)的主要IT要素：
• API: 42%
• 云應(yīng)用程序 (SaaS): 41%
• 云基礎(chǔ)設(shè)施 (IaaS): 38%
API加快產(chǎn)品上市速度
企業(yè)向市場發(fā)布新服務(wù)的速度越快，相應(yīng)的收益獲取時(shí)間也就越早。因此在疫情壓力之下，相當(dāng)一部分公司的存亡絕續(xù)，可以說就維系在產(chǎn)品/服務(wù)的上市速度身上。而API，則成為企業(yè)組織與業(yè)務(wù)之間的開放通道。
企業(yè)必須根據(jù)能否達(dá)成既定上市速度，來評(píng)估自己的業(yè)務(wù)價(jià)值和運(yùn)營成本，著力清除一切可能阻礙產(chǎn)品上市速度的障礙。但API所帶來的安全威脅也是一種巨大障礙，可能會(huì)拖慢部署速度，甚至在攻擊下令業(yè)務(wù)體系土崩瓦解。
只有防止API遭到濫用，企業(yè)才能穩(wěn)步加快產(chǎn)品上市速度、積累業(yè)務(wù)機(jī)會(huì)、培養(yǎng)競爭優(yōu)勢。
API提供競爭優(yōu)勢
時(shí)至今日，企業(yè)已經(jīng)意識(shí)到上市速度本身就是競爭優(yōu)勢的一大集中體現(xiàn)。作為行業(yè)領(lǐng)導(dǎo)者，企業(yè)必須把握機(jī)會(huì)，抓住最豐厚的市場份額與利潤空間。
在金融服務(wù)領(lǐng)域，建立競爭優(yōu)勢就是企業(yè)的核心業(yè)務(wù)目標(biāo)，而技術(shù)轉(zhuǎn)型則是達(dá)成目標(biāo)的核心戰(zhàn)略步驟。于是，金融科技企業(yè)率先激發(fā)了客戶的服務(wù)期望，而開放式銀行緊隨其后，輕松將移動(dòng)應(yīng)用與銀行賬戶關(guān)聯(lián)起來、為使用者提供以往無法想象的創(chuàng)新和便利性體驗(yàn)。
所以，如今的銀行和金融機(jī)構(gòu)必須走在服務(wù)的最前沿，才能維持競爭優(yōu)勢、在市場上占據(jù)一席之地。而API則是服務(wù)功能的底層支撐，是機(jī)構(gòu)參與競爭、贏得競爭的前提。
但安全威脅與不合規(guī)行為可能影響到API的成功實(shí)施，甚至帶來高額罰款。企業(yè)必須確保新型應(yīng)用和客戶的寶貴財(cái)務(wù)數(shù)據(jù)之間始終由安全通道相連。在這里，API代表的是個(gè)人身份信息（PII）及其他重要數(shù)據(jù)資產(chǎn)的接入點(diǎn)，企業(yè)應(yīng)該意識(shí)到惡意黑客一直將這些資產(chǎn)作為攻擊目標(biāo)，打算借此謀取私利、破壞業(yè)務(wù)。
正確的安全方法，有助于保護(hù)品牌聲譽(yù)
一旦品牌聲譽(yù)受損，企業(yè)可能會(huì)失去競爭優(yōu)勢。在整個(gè)商業(yè)風(fēng)險(xiǎn)領(lǐng)域，品牌聲譽(yù)受損都是影響最大、最難以擺脫的負(fù)面沖擊。與之相應(yīng)，積極的品牌聲譽(yù)則承載著穩(wěn)定、誠信，自然也對應(yīng)著牢固的客戶忠誠度。
API有助于提升品牌在發(fā)展前瞻性和以客戶為導(dǎo)向的良好聲譽(yù)。而一旦這些API遭到破壞，所有收益都將立即消失，取而代之的就是不信任、恐懼乃至客戶流失。
道理雖不難理解，但如今API在數(shù)量和部署速度上都在狂飆猛進(jìn)，再加上API那獨(dú)特的業(yè)務(wù)邏輯，導(dǎo)致保護(hù)方式變得異常復(fù)雜。傳統(tǒng)的安全解決方案（例如Web應(yīng)用程序防火墻和API網(wǎng)關(guān)）雖然能夠抵御基礎(chǔ)攻擊，但卻搞不定持續(xù)增長的API攻擊數(shù)量和復(fù)雜性。最新研究表明，API攻擊流量的增長速度，已經(jīng)達(dá)成API自身流量增速的兩倍以上。
將專門的API保護(hù)機(jī)制視為業(yè)務(wù)運(yùn)營成本
API代表著可觀的業(yè)務(wù)價(jià)值與收益。但要發(fā)掘出這些價(jià)值和收益，CISO必須先解決API保護(hù)這道難題。畢竟API所承載的，其實(shí)就是企業(yè)皇冠上的明珠——數(shù)字商品與服務(wù)交付所必需的基礎(chǔ)/敏感數(shù)據(jù)。
時(shí)至今日，每一家軟件開發(fā)公司都已經(jīng)成為API驅(qū)動(dòng)型企業(yè)。對這類企業(yè)而言，對API的保護(hù)已經(jīng)不再是額外舉措，而是在數(shù)字化環(huán)境下開展業(yè)務(wù)的一類日常成本。而如果不為這些核心互連工具設(shè)置專門的API安全方案，那么業(yè)務(wù)體系內(nèi)的一切都將暴露在風(fēng)險(xiǎn)之下——包括產(chǎn)品上市速度、競爭優(yōu)勢乃至整個(gè)品牌形象。
最后，CISO必須為API安全探索出一種協(xié)同方法。API涵蓋業(yè)務(wù)中的所有領(lǐng)域，CISO需要引導(dǎo)和教育技術(shù)團(tuán)隊(duì)，讓他們理解API安全計(jì)劃、意識(shí)到這些工作對于降低運(yùn)營風(fēng)險(xiǎn)的重要意義。CISO的職責(zé)，就在于根據(jù)安全目標(biāo)為整個(gè)企業(yè)提供答案和見解。
當(dāng)下的CISO們已經(jīng)達(dá)成共識(shí)，必須將強(qiáng)大且跨職能部門的“安全意識(shí)”文化作為企業(yè)發(fā)展的第一要?jiǎng)?wù)。為了建立這種積極的安全心態(tài)，領(lǐng)導(dǎo)者必須優(yōu)先考慮組織關(guān)系、掌握每位員工的安全貢獻(xiàn)，并不斷傳達(dá)安全對于實(shí)現(xiàn)整體業(yè)務(wù)目標(biāo)的重要意義。畢竟，只有能夠持續(xù)穩(wěn)定運(yùn)轉(zhuǎn)的組織機(jī)器，才是能不斷產(chǎn)出豐富價(jià)值的好機(jī)器。
