傳統(tǒng)信息安全體系忽視了數(shù)據(jù)本身的安全，已經(jīng)成為數(shù)據(jù)泄密大規(guī)模爆發(fā)的溫床。隨著移動(dòng)應(yīng)用的廣泛使用，和大數(shù)據(jù)時(shí)代海量數(shù)據(jù)的新特點(diǎn)出現(xiàn)，數(shù)據(jù)泄密將會(huì)進(jìn)一步加劇發(fā)生。而正在到來(lái)的云計(jì)算時(shí)代，數(shù)據(jù)安全更成為最重要的關(guān)注點(diǎn)。如何通過(guò)全新的數(shù)據(jù)安全理論和技術(shù)架構(gòu)，從根本上避免數(shù)據(jù)泄密？

    針對(duì)當(dāng)前的數(shù)據(jù)安全現(xiàn)狀，和面向未來(lái)的云計(jì)算時(shí)代，全球頂尖的數(shù)據(jù)安全專家各抒己見(jiàn)，各展其能，紛紛推出了不同類型的數(shù)據(jù)安全理論。多年以來(lái)的探索和發(fā)展中，以解決下一代數(shù)據(jù)安全為核心任務(wù)的全新體系已經(jīng)誕生。

    北京思智泰克是由全球頂級(jí)密碼學(xué)和防泄密專家劉昊原所創(chuàng)立，基于十年來(lái)在密碼和加密技術(shù)方面的深度研究，以及在政府、軍隊(duì)軍工、涉密單位和企業(yè)級(jí)用戶的廣泛應(yīng)用基礎(chǔ)上，已經(jīng)推出面向當(dāng)前和未來(lái)數(shù)據(jù)安全需求的全新數(shù)據(jù)安全體系。

一、傳統(tǒng)網(wǎng)絡(luò)分層安全體系的缺陷是大規(guī)模數(shù)據(jù)泄密的根源

    有效地分析網(wǎng)絡(luò)安全現(xiàn)狀和數(shù)據(jù)泄密的各種原因，找出根本點(diǎn)，是創(chuàng)建全新數(shù)據(jù)安全體系的第一步。這一步往往是最重要的，直接決定著新體系的成敗。

    劉昊原，這位獲得過(guò)世界最高級(jí)別的密碼學(xué)成就的專家指出，傳統(tǒng)的信息安全體系，以BMB-17為例，主要從物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)方面來(lái)評(píng)估企業(yè)的安全現(xiàn)狀。在這樣的信息安全體系中，雖然應(yīng)用安全和數(shù)據(jù)安全是其所強(qiáng)調(diào)的核心部分，也是評(píng)估企業(yè)保密工作情況的重要參考點(diǎn)，但恰好在數(shù)據(jù)安全環(huán)節(jié)基本上是一片空白。

    在過(guò)去十多年的信息安全發(fā)展史上，不管是殺毒軟件、防火墻、入侵檢測(cè)防御這“老三樣”，還是終端管理、桌面管理、郵件管理、應(yīng)用管理等，都不是直接以數(shù)據(jù)為中心的安全產(chǎn)品。這些產(chǎn)品主要的作用，是用來(lái)保護(hù)網(wǎng)絡(luò)系統(tǒng)的物理安全，以及各種應(yīng)用的業(yè)務(wù)安全，而不是用于防止數(shù)據(jù)泄密的措施。

    由于傳統(tǒng)的分層安全體系，在建設(shè)中缺少“數(shù)據(jù)安全”這一環(huán)節(jié)，所以才存在這么多的數(shù)據(jù)泄密漏洞，直接導(dǎo)致大規(guī)模數(shù)據(jù)泄密事件的發(fā)生。

二、基于業(yè)務(wù)流，建立數(shù)據(jù)的全生命周期安全體系是前提

    在傳統(tǒng)安全防護(hù)模式下，各個(gè)系統(tǒng)都得到了嚴(yán)密的保護(hù)。但是各個(gè)系統(tǒng)內(nèi)的數(shù)據(jù)卻并沒(méi)有直接進(jìn)行保護(hù)。而且，由于各種系統(tǒng)之間的連接，以及數(shù)據(jù)在脫離系統(tǒng)之后的應(yīng)用方面，缺少有效的防護(hù)，結(jié)果形成了一個(gè)又一個(gè)的獨(dú)立“安全孤島”。

    從各種惡意攻擊中也發(fā)現(xiàn)，攻擊系統(tǒng)之間的連接比直接攻擊指定系統(tǒng)要容易得多，相關(guān)流程中的薄弱環(huán)節(jié)會(huì)讓安全防護(hù)崩潰。云計(jì)算的出現(xiàn)增加了安全防護(hù)的復(fù)雜性與未知性，對(duì)數(shù)據(jù)的不同生命周期都提出了安全考驗(yàn)，可信云計(jì)算面臨新的挑戰(zhàn)。用戶數(shù)據(jù)從終端通過(guò)傳輸環(huán)節(jié)進(jìn)入云端，在虛擬化環(huán)境中分散存放。受“安全孤島”效應(yīng)的影響，數(shù)據(jù)在云端的存儲(chǔ)、遷移、應(yīng)用過(guò)程中都面臨著未知的安全風(fēng)險(xiǎn)。數(shù)據(jù)是云計(jì)算的核心，所以，保護(hù)數(shù)據(jù)的安全性是云計(jì)算的重點(diǎn)與難點(diǎn)。這就需要從源頭上考慮，并且消除獨(dú)立的“安全孤島”，消除分散系統(tǒng)之間的薄弱環(huán)節(jié)，讓云計(jì)算變得可信。

    在數(shù)據(jù)的不同生命周期，所面臨的可信環(huán)境不同，其安全風(fēng)險(xiǎn)也就不同，只有在全生命周期里都能對(duì)用戶數(shù)據(jù)提供可靠的安全防護(hù)，才是可信的云計(jì)算。簡(jiǎn)單而言，能夠保護(hù)數(shù)據(jù)生命周期的各個(gè)方面安全性的云計(jì)算才是可信的云計(jì)算。這就需要將信息安全保護(hù)方式從關(guān)注處理數(shù)據(jù)的系統(tǒng)的可信性模型轉(zhuǎn)到為數(shù)據(jù)本身提供安全防護(hù)的模型。

    數(shù)據(jù)的全生命周期安全防護(hù)，意味著從數(shù)據(jù)創(chuàng)建、存儲(chǔ)、使用、流轉(zhuǎn)和銷毀的整個(gè)過(guò)程對(duì)數(shù)據(jù)進(jìn)行保護(hù)。要分析數(shù)據(jù)的全生命周期，就不得不基于業(yè)務(wù)流進(jìn)行。單純地談數(shù)據(jù)保護(hù)，往往只會(huì)覆蓋部分環(huán)節(jié)，而基于業(yè)務(wù)流，對(duì)于數(shù)據(jù)的全生命周期保護(hù)才有更為全面和實(shí)際的意義。

    針對(duì)企業(yè)級(jí)用戶來(lái)說(shuō)，用全生命周期來(lái)分析，數(shù)據(jù)可以分為以下幾個(gè)部分：

    1、數(shù)據(jù)的創(chuàng)建、產(chǎn)生環(huán)節(jié)

    內(nèi)部核心數(shù)據(jù)部門(mén)，比如研發(fā)部、設(shè)計(jì)部等

    內(nèi)部的辦公區(qū)域，比如財(cái)務(wù)、銷售、行政機(jī)構(gòu)等

    2、數(shù)據(jù)的使用環(huán)節(jié)

    針對(duì)具體的文檔和數(shù)據(jù)的使用、分配等

    3、數(shù)據(jù)的存儲(chǔ)環(huán)節(jié)

    服務(wù)器區(qū)、臺(tái)式機(jī)、工作站、移動(dòng)存儲(chǔ)設(shè)備、筆記本電腦等

    4、數(shù)據(jù)流轉(zhuǎn)環(huán)節(jié)

    個(gè)體之間的、部門(mén)之間的數(shù)據(jù)交互，以及數(shù)據(jù)需要交換到外部等

    5、數(shù)據(jù)的銷毀環(huán)節(jié)

    針對(duì)數(shù)據(jù)的直接刪除，或者各種存儲(chǔ)設(shè)備如服務(wù)器、移動(dòng)存儲(chǔ)設(shè)備、硬盤(pán)等的報(bào)廢等

三、部署和實(shí)施針對(duì)數(shù)據(jù)進(jìn)行安全保護(hù)的先進(jìn)系統(tǒng)是關(guān)鍵

    要想實(shí)現(xiàn)這種全數(shù)據(jù)生命周期的安全防護(hù)，至少需要做的五點(diǎn)：

    1、對(duì)數(shù)據(jù)進(jìn)行嚴(yán)密的加密防護(hù)；

    2、更加精準(zhǔn)的身份認(rèn)證；

    3、確保數(shù)據(jù)的細(xì)粒度使用權(quán)限；

    4、對(duì)數(shù)據(jù)流轉(zhuǎn)和使用的各個(gè)環(huán)節(jié)進(jìn)行掌控；

    5、對(duì)數(shù)據(jù)全生命周期進(jìn)行安全審計(jì)。

    如前所述，不管是殺毒軟件、防火墻、入侵檢測(cè)防御這“老三樣”，還是終端管理、桌面管理、郵件管理、應(yīng)用管理等等，都不是直接以數(shù)據(jù)為中心的安全產(chǎn)品。

    目前全球針對(duì)數(shù)據(jù)安全為中心的系統(tǒng)，有兩大類型，一類是以賽門(mén)鐵克為代表的數(shù)據(jù)丟失防護(hù)（DLP），另一類就是以思智泰克為首的企業(yè)權(quán)限管理ERM。

    思智泰克，創(chuàng)立于2001年，是中國(guó)首批從事加密技術(shù)和產(chǎn)品開(kāi)發(fā)的國(guó)內(nèi)安全廠商，與國(guó)家信息安全技術(shù)研究中心簽署有戰(zhàn)略合作協(xié)議。思智ERM是第五代革命性數(shù)據(jù)無(wú)損加密系統(tǒng)，在政府、軍隊(duì)軍工、電信、制造、汽車、設(shè)計(jì)院所等近萬(wàn)家用戶實(shí)施，是國(guó)內(nèi)加密軟件行業(yè)處于領(lǐng)先地位的品牌，一直處在加密軟件產(chǎn)品研發(fā)和應(yīng)用的前沿。

四、科學(xué)而有效的數(shù)據(jù)防泄密風(fēng)險(xiǎn)評(píng)估和治理是保證

    要確保建立全生命周期的數(shù)據(jù)安全體系，就必須有一套科學(xué)嚴(yán)謹(jǐn)?shù)姆椒ㄕ�。以全球領(lǐng)先的企業(yè)權(quán)限管理ERM產(chǎn)品的代表者思智泰克的體系為例，主要有以下三個(gè)方面的要點(diǎn)：

    1、數(shù)據(jù)安全評(píng)估

    思智泰克有一套自成體系的數(shù)據(jù)安全評(píng)估方法，主要針對(duì)數(shù)據(jù)安全保護(hù)的意識(shí)、措施和制度三個(gè)方面來(lái)考察。評(píng)估一家企業(yè)的數(shù)據(jù)安全現(xiàn)狀，要考慮三個(gè)基本環(huán)節(jié)：人、設(shè)備和數(shù)據(jù)。其中必須以人為本，以數(shù)據(jù)為中心，以設(shè)備為落腳點(diǎn)。

    企業(yè)領(lǐng)導(dǎo)是否有數(shù)據(jù)保密意識(shí)？員工是否能遵守保密制度？這些都是重點(diǎn)。企業(yè)領(lǐng)導(dǎo)和員工具備良好的保密意識(shí)，部署實(shí)施先進(jìn)的防泄密系統(tǒng)，輔之健全措施和制度，能大大提升企業(yè)核心資產(chǎn)的信息安全。

    2、數(shù)據(jù)安全風(fēng)險(xiǎn)分析

    不同類型的數(shù)據(jù)形式，以及數(shù)據(jù)的不同狀態(tài)，都有其不同的泄密風(fēng)險(xiǎn)層級(jí)。根據(jù)思智泰克的方法論，對(duì)數(shù)據(jù)可以分為以下幾種類型:業(yè)務(wù)類(客戶資料、財(cái)務(wù)報(bào)表、交易數(shù)據(jù)、分析統(tǒng)計(jì)數(shù)據(jù));行政類(市場(chǎng)宣傳計(jì)劃，采購(gòu)成本、合同定單、物流信息、管理制度等);機(jī)要類(公文、統(tǒng)計(jì)數(shù)據(jù)、機(jī)要文件，軍事情報(bào)、軍事地圖);科研類(調(diào)查報(bào)告、咨詢報(bào)告、招投標(biāo)文件、專利、客戶資產(chǎn)、價(jià)格;設(shè)計(jì)類，包括設(shè)計(jì)圖、設(shè)計(jì)方案、策劃文案等)。文檔和數(shù)據(jù)往往并不是以靜態(tài)的方式保存，還包括數(shù)據(jù)的使用、流轉(zhuǎn)、外發(fā)等形式。

    針對(duì)數(shù)據(jù)，可以分為不同的風(fēng)險(xiǎn)等級(jí)，比如內(nèi)部核心數(shù)據(jù)部門(mén)，像研發(fā)部、設(shè)計(jì)部等，風(fēng)險(xiǎn)高度集中；而內(nèi)部的辦公區(qū)域，比如財(cái)務(wù)、銷售、行政機(jī)構(gòu)等，也需要加強(qiáng)防范；對(duì)于服務(wù)器區(qū)域，數(shù)據(jù)的存在方式以及訪問(wèn)的權(quán)限都需要重點(diǎn)把控；對(duì)外出辦公的人員，注重安全的同時(shí)也需要兼顧便捷；對(duì)外發(fā)數(shù)據(jù)和文檔，需要嚴(yán)密控制。往往在實(shí)際應(yīng)用中，數(shù)據(jù)處于不同的場(chǎng)景，其管控的方式也不一樣。

    3、數(shù)據(jù)安全風(fēng)險(xiǎn)治理

    面對(duì)前面提到的種種風(fēng)險(xiǎn)，企業(yè)該如何避開(kāi)這些風(fēng)險(xiǎn)？將企業(yè)面臨的數(shù)據(jù)泄露風(fēng)險(xiǎn)降到最低？這就是涉及到對(duì)風(fēng)險(xiǎn)的管控和治理。

    要做好企業(yè)風(fēng)險(xiǎn)治理，首先必須明確目標(biāo)，這個(gè)目標(biāo)就是將企業(yè)信息泄露風(fēng)險(xiǎn)降到可接受水平。，就是要分析企業(yè)信息安全盲點(diǎn)，包括技術(shù)上和制度上的，然后逐一消除這些盲點(diǎn)。

核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/

本文標(biāo)題：下一代數(shù)據(jù)安全之：全新的數(shù)據(jù)防泄密體系

本文網(wǎng)址：http://www.oesoe.com/html/consultation/1083955156.html