光大银行牟健君: 谈企业敏感信息泄密的防护

　　前言

　　目前国内外信息安全形势严峻，多起信息安全或泄密事件接连发生， 从CSDN互联网用户账号泄密开始，多家互联网机构被暴露也存在账号外泄问题，2012年央视315晚会也曝光了国内一些金融机构员工向外兜售、泄露客户信息的事件，信息泄密直接造成了企业或用户的经济损失，甚至影响了企业公众形象影及品牌价值，加强敏感信息的管理已经成为企业信息安全管理的重中之重。

　　本文列举了企业敏感信息泄密的渠道，防护措施，管理要素，系统的阐述企业内网信息防泄密的方法，敏感信息的泄密防护是一个复杂的工程，无法采用单一的技术或管理规范来实现，在信息安全管理中只有建立了一个了人员、技术、管理和谐，才能构筑起强大企业的信息泄密的防护体系。

　　一、信息泄密的途径

　　1、互联网。

　　互联网高速发展的今天，企业很难和互联网隔绝，互联网泄密是信息泄密的主要渠道，常见的如下：

　　即时通讯软件如QQ、MSN等。主要表现在利用即时消息软件文件传输传输功能、QQ空间，这些软件的不当使用会传播木马，好奇和无知有助于木马的传播，当然这些软件也给主动泄密者提供了很大的方便。

　　文件共享与传输软件。BT、迅雷、等P2P传输软件，FTP文件传输，邮件，互联网“云”资源，如网盘、云盘的不当使用。

　　BBS、论坛、微薄。

　　木马控制内部机器后，将窃取的信息后从内部由互联网传出。

　　互联网对外服务如网站或论坛，系统或应用漏洞被暴露或被黑客攻破。

　　2、电脑外设接口。电脑外设接口是文件传输的物理渠道，常见的主要有USB、蓝牙、无线网卡、串口、SD卡、红外接口、1394口、MMC卡。

　　3、移动存储。U盘、移动硬盘、各类flash、数码相机、mp3/4等，值得一提的是手机及智能移动设备，也是需要重点关注的存储介质。

　　4、移动终端。

　　企业使用的笔记本电脑，由于其移动性应是企业泄密防控的重点管理对象，这些电脑染毒、木马或者设备本身丢失和被盗会导致员工存在本地存档的电子邮件和文件或将永久丢失，由于员工可能在本地保存重要或敏感数据，对企业也带来非常大的风险;此外，自带设备办公(BYOD)被越来越多企业关注，一些企业已经开始BYOD应用，这种环境下企业信息流入个人设备也是一个泄密途径。

　　5、非法外联。一些企业对内部网和外部网进行了物理或逻辑隔离，统一互联网出口的管控策略，但是内部机器利用拨号、代理、wifi无线路由非法连接，同时使用内外网。

　　6、非法接入。不合规的终端和无权用户的非法访问网络资源，通过植入木马或人为故意窃取企业内部信息。

　　7、维修或报废的电脑或硬盘。残留数据造成泄密。

　　8、人。数据的产生、存储、传递、使用、销毁，数据生命周期管理中人是最重要的参与者和数据的使用者，人员的信息安全意识差，安全策略的执行力低，人员管理是信息泄密管理的难点。

　　二、信息泄密的类型

　　信息的泄密可分为被动泄密和主动泄密。被动泄密是指信息资产拥有者或使用人非主观意愿下的泄密的风险，包括计算机硬件(笔记本电脑、硬盘、移动存储)的遗失或被窃风险;计算机感染病毒或木马导致的文件被外泄风险，或无意识的信息泄密，而主动泄密指主观故意泄露或窃取信息，具赛迪网统计80%的泄密为主动泄密，主动泄密是信息防护的主要目标。

　　三、信息泄密的防护

　　1、信息泄密的防护策略。安全分级，适度保护的策略。

　　信息安全的目标是保护企业的信息资产，避免遭受各种威胁，降低对企业之伤害。信息资产安全管理的重点是信息资产的安全分级和基于分级的安全保护，企业必须明确定义出敏感信息全生命周期的保护策略，并使相关人员知悉。制定安全策略，并使企业人员知悉是企业信息安全的一切工作的基石。

　　对不同安全级别的信息资产施以相应程度的保护手段是实现“适度保护”的思路之一，“适度保护”并非中庸之道，而是指建立与企业信息安全要求相适应的安全防控体系，具体到信息资产保护策略是指要和企业信息资产的安全分级相适应的安全防护策略，矫枉过正，防护过度，给员工日常办公带来极大不便。

　　需要说明的是，安全分级比较复杂，根据不同的管理需要分类方法也比较多，常见的有基于系统的分级、基于信息或数据的分级、基于信息风险的分级等。目前大多数企业使用较多的分级是基于系统的等保分级，但采用单一的维度进行安全分级仍然难以提供有针对的性的保护，对于信息的泄密防护，针对数据安全分级将使管理目标更为明确和直接，但较难实施，建议关注受保护数据的生命周期管理，包括数据产生、数据传输使用、数据变更、数据存储、数据处置或销毁。

　　2、信息泄密防护技术

　　企业内部的防泄密管理手段从根本上可以归结成四类：泄密渠道及边界管控，数据隔离，数据加密，审计(含身份管理)。审计可以说是“跨界”手段，通过审计可找到泄密事件的线索和证据从而震慑恶意泄密者，而身份管理是将信息打上身份标记，确定归属，是审计的基础。

　　2.1企业网边界的管控

　　企业网络边界管控分为外网(互联网、企业间网络)的管控，和内网接入的管控。

　　互联网边界管控。需要控制主流即时通讯软件如QQ、MSN的文件传输，P2P软件的使用，过滤和审计上网关键字，并留存记录，记录和控制文件传输、论坛发帖、控制互联网邮件使用，过滤不良网站，发现木马和发现异常行为。一般可以在互联网边界部署上网行为管控产品，配合网络防毒墙实现上述控制功能,这类产品通常有强大审计回放功能。
(本文不涉密)
责任编辑：

转载：感谢您对网站平台的认可，以及对我们原创作品以及文章的青睐，非常欢迎各位朋友分享到个人站长或者朋友圈，但转载请说明文章出处。