安全風險

[企業安全風險]

如果我們將互聯網比作藍色地球上所有的水域網絡,那么辦公信息可以看成陸地上的飲水湖泊,而網絡中的信息則流轉如水。 這樣,我們就能形象的看出辦公信息所面臨的主要威脅是其中流轉的信息存在或者可能存在的危險。

信息如水,控制得當可以成為生產力、競爭力,控制不當或者缺乏控制則可能釀成破壞力、腐蝕力。要保障辦公信息這個小生態 系統的正常、健康和可持續運行,就必須對信息的運轉了如指掌,強化對信息各個環節的控制,如同確保飲用湖水的安全,就必 須清楚“水源來自何方?是否被污染或者可能被污染?”“湖中的水是否經過消毒過濾處理?”“湖中是否存在危險的生物或者污染 的源頭?”“湖區有沒有完整的水體監測系統?”“湖中的水是不是可以自由享用?有沒有人心懷不軌呢?”

[您的企業是否存在如下問題]

文件隨意查看

公司重要文件管理不善,員工可隨意查看和傳播,易造成泄密

員工上網聊天

員工可隨意登錄QQ、MSN、Email等網絡傳輸工具將公司內部的重要數據外發送

員工打印泄密

員工可隨意打印公司文件資料,易造成信息泄密

員工出差泄密

員工攜帶重要資料出差,監管效果無法保障易造成泄密

移動設備丟失

移動存儲設備或筆記本電腦等的丟失會導致公司重要信息泄露

外發文件擴散

發送給客戶或合作伙伴的重要資料被二次傳播導致泄密

員工離職泄密

離職員工將掌握的公司重要資料帶走,易造成信息泄密

商業間諜竊密

商業間諜通過各種手段竊取公司的重要數據

[泄密途徑]

據FBI和CSI對484家公司進行了網絡安全專項調查,調查結果顯示:

超過85%的安全威脅來自公司內部。在損失金額上,由于內部人員泄密導致了6056.5萬美元的損失,是黑客造成損失的16倍,是病毒造成損失的12倍


市場分析

經過十余年的發展,數據安全產品種類不斷豐富、功能也不斷強化,從單獨產品部署到數據安全整體解決方案的提供,數據安全市場開始走 向成熟。目前,市場上的數據安全產品從大的方向上可以分為五個板塊:

  • 桌面運維類產品
  • 安全防護類產品
  • 監控審計類產品
  • 文檔加密類產品
  • 準入控制類產品

桌面運維類產品是網管產品在桌面領域的延伸,能夠實現多種遠程終端維護和管理功能,其價值是作為桌面運維人員的助手,將以前手工的工作實現自動化,能夠高效解決終端 運維工作的同時,大幅度降低決終端運維成本,并且使終端管理更加規范。桌面運維類產品的基本功能就是工具,比如軟件分發、遠程協助、資產管理、補丁分發等。

安全防護類產品是傳統網關安全產品在終端上的實現,其價值是通過終端防護,防止外界對終端的入侵,確保終端及網絡的可用性,同時也防止入侵造成信息資產外泄或受損。其 基本功能以主機防病毒和主機防火墻為核心實現安全防護,包括防病毒、防木馬、主機入侵防護、網絡訪問控制、防ARP欺騙、網頁防掛馬、反間諜軟件等。

監控審計類產品算是最早的一類辦公信息安全產品,采用一種間諜式的工作方式,管理終端上操作者的活動,如在線聊天、郵件、文檔操作、上網等,確保操作者的活動符合法律法規 和規章制度。監控審計類產品的價值在于幫助管理者全盤掌握用戶計算機使用行為,為決策提供依據。基本功能包括即時通訊控制及審計、郵件收發控制及審計、文件操作控制及審計、 網頁訪問控制及審計、打印控制及審計、移動存儲管理及審計等。

文檔加密類產品是目前市場上最熱門的一類辦公信息安全產品,它是通過加密技術將明文文檔變成密文文檔,合法使用者可以通過授權使用文檔,而非法使用者則無權使用文檔,即使竊取 也無法使用。文檔加密類產品的價值在于保證文檔流通效率和不影響用戶操作習慣的同時,從最底層對文檔進行安全防護,確保企業重要信息資產的高度安全。文檔加密類產品的基本功能 包括文檔加密、文檔授權、文檔審計等。

隨著近幾年準入控制理念逐漸深入人心,準入控制已經成為辦公信息終端管理的一個基礎平臺。準入控制最主要的價值在于終端接入管理和保證辦公信息終端管理產品客戶端的部署。終端接 入管理確保只有受信的用戶及受控的終端才能接入內網,而內網終端管理產品客戶端的部署是實現有效管理的基礎。

[以湖為鏡,我們可以直觀的看到企業數據安全面臨的種種威脅]

雖然數據安全產品種類繁多,但并不意味著企業應該“全副武裝”。根據自身業務流需要,選擇適合自己的數據安全產品才是明智 之舉。因此,在企業選擇數據安全產品的時候,切勿急于求成、倉促執行,盲目堆砌,時刻保持警惕和理性,應盡量避免以下幾 大誤區:

誤區一

信息安全頭痛醫頭腳痛醫腳>>

辦公信息安全不是簡單的產品堆砌這早已是行業的共識,但是用戶往往缺乏整體的防護意識,對自身的辦公信息安全需求和 解決方法也不甚了解,通常是出現了U盤泄密問題,就封鎖了所有的USB接口;出現了郵件外泄機密的問題,就上一套郵件外 發管理軟件……這樣頭痛醫頭腳痛醫腳,不僅造成產品的無序疊加,兼容困難,成本增加,更是影響了內網的工作效率。

誤區二

技術手段可以完全解決安全問題>>

“三分技術,七分管理”同樣是行業早有的共識,很多企業將解決辦公信息安全問題的希望全部寄托在辦公信息安全產品上, 希望通過技術問題可以完全解決內網出現的各種“疑難雜癥”。殊不知好的產品和技術都必須通過強大的管理力來推動實施 的,如果產品得不到員工的支持,得不到執行部門的認可,技術再先進也可能成為擺設,效果難以顯現。強化安全管理意識 ,優化安全管理執行,是安全產品和技術達到最佳效果的前提。

誤區三

信息安全只要解決點上的問題>>

辦公信息安全是一項系統工程,我們在進行安全的規劃就是應立足系統安全的高度來分析需求。從基本的制度安全、物理安 全到人員的認證、授權、審計管理,再到數據的安全管理等,其中任何一個環節上的安全措施處理的不當都有可能帶來嚴重 的后果。因此,信息安全應該是解決安全面上的問題,部署安全體系之前先應當做好分析和規劃,確保信息安全的全面防護。

誤區四

以產品價格權衡安全的投入

辦公信息安全產品屬于管理型軟件,不能直接給企業創造效率,對其價值的評估和投入權衡需要強調的是我們做辦公信息安全規劃時 應當以信息資產的價值重要程度和相應的安全風險來決定信息安全的投入。如果是為了防止員工上班時間做其他與工作無關的事,可 以部署一套上網行為監控軟件就足夠了,但如果涉及到企業設計圖稿的防護,就要考慮加密技術和整體防泄漏方案了。此外,在產品 策略方面也可以做靈活的配置。


選型推薦

數據安全市場的火熱點燃了諸多企業的需求,但是由于缺乏統一的標準,部署一套適合企業自身情況的數據安全管理系統并不是一件容易的 事情,眾多網絡管理員和CIO對能否確保成功建立企業數據安全管理系統,確保數據安全投資的效果,表現出擔憂。


所幸的是,基于大量數據安全解決方案的成功經驗,已經有一些值得我們參照的最佳依據。這些最佳依據包括:“制定安全策略、數據安全產 品性能和數據安全產品服務”,通過三個環節的整體體系的設計和規劃可以幫助我們在建立適合自己的企業數據安全管理系統上邁出成功的第 一步。

[制定安全對略]

制定一個全面的數據安全總體策略是部署數據安全管理系統的前提,包括需求分析、預期目標和部署計劃。


需求分析是一項十分復雜的工程,企業首先應該明確哪些環節最需要部署安全措施,以及哪些數據屬于機密數據。有的企業辦公數據安全 風險主要來自人員不合法的上網行為,有的企業數據安全風險主要來自移動存儲設備的隨意使用,有的企業辦公數據安全風險主要來自溝 通環節上的數據隨意使用……在制定總體策略時應當適當的主次偏重、重點防護。而企業的機密數據類型上,技術代碼、方法專利、發展戰 略、設計圖紙、供應商信息、營銷數據和客戶信息等等也應當采取不同策略的防護手段,盡量避免給企業帶巨額的經濟和無形資產的損失。


預期目標是指部署數據安全產品希望達到怎樣的效果,如將企業機密外泄的概率降到1%,企業不會出現重大的機密外泄事件,員工上網工作合 規率提升60%……為了使這個預期目標可以衡量出來,我們還需要一套效果測評指標,可以通過具體數據來反應產品部署前后的情況變化。


最后一份具體執行的計劃書將確保整個數據安全策略能夠完好的推行下去,不會因為種種原因擱淺、甚至撤下。這份計劃書必須包含產品如何 去部署,部署之后如何去管理,以及如何發揮員工的能動性,如何劃分數據的最終責任人等。事實上,很多突發情況是計劃書無法涵蓋到的, 對于這一部分我們只能根據具體部署環境做相應的調整,以達到最佳的部署效果。

[產品性能指標]

在進行具體產品選型之前,必須仔細考慮產品的性能指標是否符合單位的需要。數據安全產品的性能,主要體現在安全性、維護性、兼容性和擴展性四個 方面。


安全性是數據安全產品首先需要考核的要點。不同的數據安全產品,依據其設計理念不同,其安全性區別很大。譬如監控審計產品,其重點在于事后審計, 其事前防范的能力有限,如果員工安裝了雙操作系統,那么很容易就可以避開辦公信息安全系統的監管。而文檔加密產品,由于基于文件類型進行加密和區 分,采用了臨時文件等技術,使得臨時文件、剪貼板和內存等成為顯著的安全漏洞,但是也具有部署簡單的優勢。


維護性是選擇數據安全產品的時候CIO要考慮的另外一個問題,因為數據安全產品跟傳統安全產品最大的區別在于其基于終端控制技術,要盡可能選擇跟上層 應用無關的產品,這樣可以確保在應用產品升級和增加新應用等信息化建設的時候辦公信息安全體系依然可以支持。有些文檔加密產品可維護性就存在比較大 的爭議,以至于即便AutoCAD版本升級的時候,也需要廠商進行二次開發工作。選擇一個可維護性好的數據安全產品,是數據安全系統能否有效運行的關鍵。


兼容性是數據安全產品發展初期曾經出現的致命問題,目前已經有所改善,但是,跟所有終端安全產品一樣,兼容性依然是很多數據安全產品面臨的問題,甚至 一些最早進入數據安全領域的廠商,在該問題上都遲遲得不到提高。在兼容性的考慮上,應該盡可能選擇通過采用系統底層技術和正常系統機制實現的數據安全 產品,而盡量避免選擇鉤子技術(如剪貼板攔截和DLL替換)和非正常系統技術實現的數據安全產品,這樣可以確保系統的兼容性。


擴展性是在數據安全產品選型中容易受到忽視的問題,事實上,數據安全是一個完整的體系,只有進行整體的規劃,才能達到最大的效果,雖然一個單位在初期 可能僅具有簡單的數據安全需求,但應該從長遠著想,選擇擴展性能良好,模塊化程度高的數據安全產品。很難想象,為了達到監控審計、數據保密和授權管理 的目標,在客戶端安裝三個不同的數據安全產品,使用三個不同的服務器進行管理,這無論對管理還是系統穩定性,都會造成很大的不便和隱患。

安全性

維護性

兼容性

擴展性

[服務能力]

數據安全系統的實施跟其它安全系統的重要區別在于,企業數據安全體系建立的過程,是一個咨詢、實施和改進的過程,涉及到對單位管理制度、 網絡拓撲、應用系統和使用習慣等調研、協調和設計的過程,要求數據安全廠商和供應商能夠提供高質量和持續的服務。

  是否是專注于信息安全行業?

只有專注的廠商,才可能以辦公信息安全產
品為其企業生命線,提供高質量的服務。

  考查信息安全廠商的核心隊伍結構

信息安全產品是一個技術含量相當高的產品,
其隊伍的專業背景和組成決定了該產品的優
越性。

  信息安全產品的本地化服務能力如何?

具有本地化服務的提供商,能夠為本單位提
供及時有效的服務。

新疆35选7彩票开奖