这两天删库跑路的事情又成为大家关注的热点。对于这个问题，从技术、管理等方面都有很多业内人士做出了很好的分析。老白今天从另外一个角度来讨论一下这个问题，其实这个问题涉及的范围不仅仅是删库跑路这一种情况，包括前些年salesforce的数据库损坏等情况，其后果其实和删库跑路有类似的情况。其实这件事又让我想起了十年前某个旅游网站的删库跑路事件，当时我在Oracle粉丝网上发了一个帖子讨论那次事件，引起了那个企业CIO的注意，所以他亲自给我打了个电话聊了聊这件事情。他希望我帮他推荐几个SYBASE方面的高手（当时那个被删除的数据库是SYBASE），从而尽可能避免出现类似问题后如此被动。我当时就和他讨论说，这不是一个DBA能解决的问题，他们的IT基础架构肯定出现了问题，他们的IT管理肯定出了问题，哪怕他们有顶级的SYBASE DBA,也无法避免下回出现类似问题，更无法在下回出现类似问题的时候能够快速恢复系统。其实上面说的这个例子还是技术与管理的问题，和今天老白想讨论的问题无关。今天老白想讨论的是数据安全的成本管理。我们的所有应对删库跑路的方法都是成本决定的，因此需要根据你的数据的价值，配置相应的成本来保证数据的安全性。主备库、备份、CDM等数据保护基础设施，DBA对生产数据的访问隔离，备份数据的专人管理与专属读写权限等技术与管理手段的背后都是企业在这方面投入的IT成本。
在这个“地主家也没余粮”和数据爆炸的年代，用最豪华的技术与管理手段来保护我们的所有数据是不现实的。所以作为一个局外人，你可以说发生了折以悲剧的公司的CIO应该自裁，但是对于普遍缺乏数据安全成本管理的企业来说，这种悲剧的发生虽然是必然，但是不一定你来干这个CIO就能够不会以自裁作为结局。
数据安全成本管理是一个新名词，是老白前些年那次与那个CIO交流后想出来的，不一定准确，不过用来说清楚这件事已经足够了。在数据爆炸的时代，数据十分重要，不过保证数据的绝对安全的成本是极高的。20年前我们遇到过一个问题，就是银行的数据库有时候需要开发人员上去做一些操作，或是统计，或是纠正错误的数据，刚开始的时候这些操作的管理是十分有限的，于是经常出现误操作甚至是恶意操作的事情。于是我们帮银行开发了一个小程序，所有的数据库访问都不能直接在服务器上通过工具连接生产账号，而是要通过一个小工具连上去，这个小工具上可以直接执行SQL，不过这个SQL在提交到数据库上执行之前会做一个审计，如果是查询操作，会检查访问者对数据表的访问权限，如果是DML操作，则必须根据你连接操作的类型进行审计，如果是计划内的运维操作，则第一个人敲命令，第二个人确定执行；如果是平时的日常运维，则所有DML必须提交给一个主管领导进行审批，审批通过后才会执行，结果会异步返回执行者的执行工具或者作为离线消息反馈到执行者的邮箱。这个小工具当时2个开发人员做了半个月就完成了，不过出人意料的是，后来这个小工具卖了上百万，让我们都觉得十分不可思议。但是几年后，我们又花了半年时间，投入了7/8个人把它开发成一个产品，再向其他行业的客户销售的时候，却遇到了问题，这个更为完善的工具居然没有卖出一套。
上面这个案例其实也是数据安全与成本的问题。很多IT管理人员都会衡量这方面的成本。几年前一个客户因为存储故障多个数据库都出现了坏块，我们帮他们抽取出数据，重建了数据库，客户也给了我们一些服务费。后来我和他们的IT主管讨论，希望他们花一笔钱，我们帮他们建立整个数据安全的防护体系与数据拯救工具集体系，出问题的那个责任人对此十分感兴趣，但是当项目报到上级主管那边的时候，被否决了。否决这个项目的理由是，如果下回再出现类似问题，我们再找老白你来帮忙处理就行了，没必要一次性花一大笔钱来做这件事。
其实上面这个例子的IT主管也并不是水平不够，而是他有他的数据安全成本考虑，他觉得他们的数据还没有这么高的安全要求，出问题，花点钱来请人搞定对于他们这个组织来说是成本最佳的。其实这些例子里IT主管们进行数据安全成本评估的时候都是通过一个十分简单的个人感觉来进行的，作为一个组织，他们并不存明确的在数据安全成本评估的管理活动。随着企业信息化的发展，企业的数据爆发性增长，因此开展数据安全成本评估工作对于企业来说也越来越重要，只有对数据的价值进行合理的分级，同时对不同数据价值级别的数据采取不同的数据安全保护策略，这样，才能让合理的资金获得最大的数据安全收益。用一两种数据安全策略来应对企业中的所有数据的做法是无法真正做到企业数据安全的。
幸运的是，现在越来越多的企业发现了数据安全的价值，去年有一家省电网公司和老白一起做了一个关于数据分级存储的软课题，其中的一部分目的也是让不同安全等级的数据能够得到其所需要的存储安全等级的保障。虽然这个软课题涉及的数据安全领域还不够全面，但是也是企业在数据安全成本评估方面走出的第一步。数据安全与数据安全成本评估是一个新兴的业务领域，相关的方法论、技术方案也还相对简单，不过随着企业信息化的发展，这个领域将会迎来巨大的商业机会，老白也会陆续和大家一起来探讨这方面的问题，今天我们就先聊这么多吧。
