發布日期：2021-07
【IT專家網 安全頻(pín)道】央視315晚會曝光(guāng)的(de)招商、工商等多(duō)家銀行内鬼洩露網銀信息，導緻網銀用(yòng)戶隐私洩露，被盜超過23萬元的(de)事件，很多(duō)人(rén)記憶猶新。事實上，敏感的(de)金融行業監管還(hái)算(suàn)嚴格，但仍然出現問題，一般企業則更需警惕。而且，随著(zhe)企業信息化(huà)程度的(de)提高(gāo)，企業90%的(de)數據以電子數據形式存在，通(tōng)過信息系統或網絡來(lái)完成的(de)工作流程也(yě)越來(lái)越多(duō)，這(zhè)對(duì)企業數據的(de)洩露提供了(le)更多(duō)的(de)機會。衆所周知，當下(xià)信息的(de)掌握程度影(yǐng)響著(zhe)商業天平的(de)平衡，企業數據萬一被洩露，對(duì)企業将可(kě)能造成緻命的(de)影(yǐng)響。
爲防範數據不翼而飛(fēi)這(zhè)樣的(de)狀況發生，保護企業正當的(de)商業機密和(hé)利益，企業有必要了(le)解當前數據洩露的(de)途徑，從而才能提高(gāo)認識，有針對(duì)性的(de)杜絕數據洩露的(de)威脅，将企業數據安全風險降到低。那麽，數據洩露的(de)可(kě)能途徑都有哪些？新技術的(de)使用(yòng)對(duì)數據安全提出什(shén)麽挑戰？企業應當采取哪些措施來(lái)保護自己的(de)數據安全？
李兆豐總結了(le)企業數據安全的(de)洩露的(de)五個(gè)主要途徑，以及雲計算(suàn)技術、移動互聯網的(de)使用(yòng)、社交網絡的(de)發達帶來(lái)的(de)一些挑戰，并提出了(le)自己的(de)對(duì)策建議(yì)，指出應當通(tōng)過文檔加密和(hé)授權防護控制這(zhè)樣的(de)技術構建立體的(de)信息安全防護體系。
企業數據洩密的(de)五個(gè)主要途徑
通(tōng)過自身的(de)感受，以及與用(yòng)戶的(de)交流，李兆豐歸納了(le)企業數據安全的(de)洩露的(de)五個(gè)主要途徑：
一點，我們知道外來(lái)襲擊還(hái)有木(mù)馬現在是比較猖獗的(de)，對(duì)企業内部而言，比如我們服務器被入侵，我們用(yòng)戶電腦(nǎo)被木(mù)馬所控制，都可(kě)能造成數據的(de)洩密。
二種場(chǎng)景，是我們内部的(de)員(yuán)工，對(duì)互聯網，對(duì)電子郵件的(de)違規使用(yòng)導緻的(de)數據安全問題，比如說我們的(de)員(yuán)工将一些機密的(de)信息放到了(le)網盤裏面，放到了(le)郵件系統，發布到自己的(de)個(gè)人(rén)空間，當然我這(zhè)裏提到的(de)是機密的(de)信息，這(zhè)樣有一個(gè)區(qū)别，這(zhè)樣是違規的(de)一個(gè)使用(yòng)。
三點，有些系統在建設的(de)時(shí)候沒有按照(zhào)一定的(de)安全設計的(de)原則去做(zuò)，比如說他(tā)的(de)運維人(rén)員(yuán)，他(tā)的(de)管理(lǐ)員(yuán)甚至可(kě)以去查看用(yòng)戶的(de)一些信息，這(zhè)樣會導緻運維人(rén)員(yuán)會竊取企業内部的(de)數據。
四點，是電腦(nǎo)硬盤這(zhè)樣的(de)一些設備，我們在丢失或者送去維修的(de)過程中，可(kě)能會導緻數據洩密。
李兆豐特别強調一點，就是内部員(yuán)工主動洩密，即“家賊”。主動洩密又分(fēn)爲兩種情況：第一種就是惡意地洩密，這(zhè)一般是和(hé)商業的(de)行爲結合在一起的(de);第二就是非惡意地洩密，比如他(tā)把一篇文檔發到了(le)百度文庫，并不是想獲得(de)商業回報，但是無形中損害了(le)企業的(de)利益。
李兆豐表示，用(yòng)戶反饋的(de)這(zhè)些諸多(duō)問題，對(duì)企業下(xià)一步信息安全的(de)防護也(yě)提出了(le)更多(duō)的(de)要求。
熱(rè)點技術帶來(lái)的(de)新挑戰
兩化(huà)融合的(de)深化(huà)，雲計算(suàn)的(de)普及，物(wù)聯網和(hé)移動終端的(de)應用(yòng)，都是我們耳熟能詳的(de)趨勢。李兆豐認爲，從技術的(de)發展來(lái)看，這(zhè)些熱(rè)點技術對(duì)企業信息安全提出的(de)越來(lái)越多(duō)的(de)新的(de)挑戰。
首先，由于信息化(huà)發展，越來(lái)越多(duō)的(de)企業内部的(de)資料都會以電子的(de)形式去存放，現在有一個(gè)數字，說在企業裏面，90%的(de)以上的(de)數據都是電子的(de)數據，我們知道電子文檔是易于擴散的(de)，所以信息化(huà)的(de)發展對(duì)電子文檔安全保護的(de)需求會越來(lái)越強烈。
其次，整個(gè)計算(suàn)機的(de)行業會有一個(gè)集中化(huà)的(de)一個(gè)趨勢，比如我們很多(duō)東西都去集中，比如說我們搜索引擎是把分(fēn)散的(de)數據發在一起然後産生新的(de)價值。很多(duō)企業内部數據也(yě)是這(zhè)樣，比如說檔案以前是分(fēn)散的(de)，現在集中起來(lái)做(zuò)這(zhè)種統一的(de)搜索，那麽集中化(huà)了(le)的(de)數據之後，一旦發生洩密造成影(yǐng)響的(de)程度會越來(lái)越大(dà)，風險也(yě)越來(lái)越大(dà)。
第三點就是移動互聯網。移動終端的(de)使用(yòng)越來(lái)越多(duō)，企業内部無線網絡的(de)建設越來(lái)越多(duō)，越來(lái)越方便，也(yě)更容易産生洩密的(de)風險，這(zhè)是移動終端帶來(lái)的(de)一種挑戰。
就是随著(zhe)現在社交的(de)網絡的(de)發展，網絡信息傳播的(de)速度越來(lái)越快(kuài)，也(yě)就是說一旦我們的(de)信息在發生洩密之後，它是以非常快(kuài)的(de)速度傳播出去，造成的(de)影(yǐng)響和(hé)範圍也(yě)比原來(lái)大(dà)的(de)多(duō)。
管理(lǐ)和(hé)技術防範
李兆豐認爲，企業如果想去防範上述的(de)一些安全問題，管理(lǐ)上的(de)防範和(hé)技術上的(de)防範要兩手抓。
首先，從管理(lǐ)上來(lái)講，企業應該加強内部文檔保護的(de)意識;第二，要建立機密文檔、數據這(zhè)樣的(de)一些安全管理(lǐ)的(de)使用(yòng)的(de)一些辦法，例如，機密的(de)文檔，在使用(yòng)的(de)時(shí)候不允許發布到自己的(de)網盤，不允許帶到家裏邊去，它應該有一套流程的(de)管理(lǐ);第三點，建立一些審計監督檢查的(de)機制，來(lái)強化(huà)大(dà)家保護的(de)意識，這(zhè)是管理(lǐ)上企業應當注意的(de)一點。
從技術上而言，李兆豐認爲，企業可(kě)以采用(yòng)一些産品，比如說建立電子文檔安全管理(lǐ)的(de)平台，主要就是有三個(gè)功能，第一要把文檔加密;第二，在加密的(de)基礎上去做(zuò)授權的(de)防護控制，比如說什(shén)麽人(rén)可(kě)以對(duì)這(zhè)個(gè)文檔做(zuò)什(shén)麽操作，這(zhè)是可(kě)以去做(zuò)控制的(de);第三，加強事後的(de)審計，什(shén)麽人(rén)在什(shén)麽時(shí)間幹了(le)什(shén)麽事情，用(yòng)戶的(de)這(zhè)樣一些行爲，我們企業内部可(kě)以去審計的(de)，這(zhè)是技術上一些具體的(de)措施。
從保護的(de)内容、對(duì)象來(lái)看，李兆豐歸納三點企業要保護的(de)，是易用(yòng)系統裏邊，比如說我們生産的(de)系統，我們的(de)OA，我們知識庫裏邊，這(zhè)樣的(de)一些文檔、數據;第二點，要保護的(de)員(yuán)工電腦(nǎo)終端的(de)數據安全，有些公司的(de)資料啊，包括他(tā)自己一些私密的(de)東西都可(kě)以在保護的(de)範疇;第三點，我們要做(zuò)用(yòng)戶在這(zhè)些文檔資料共享的(de)過程中的(de)一個(gè)保護，比如發郵件的(de)過程中，發給對(duì)方，在郵件服務器上，這(zhè)樣可(kě)能就會被别人(rén)看到了(le)。這(zhè)樣，從這(zhè)三個(gè)方面入手建立一種立體的(de)防護的(de)機制。
李兆豐還(hái)指出，目前市面上已有成熟的(de)産品可(kě)供企業選擇，實現安全與易用(yòng)性的(de)平衡，并且易于部署，不會因爲人(rén)才的(de)缺乏而不能發揮作用(yòng)。
作者：周钜翔出處：IT專家網
