浅谈企业IM之：「信息安全」

        数据爆炸的时代，人们对信息安全的关注也越来越高。尤其是B端用户，对于企业内部的数据安全尤为重视。今天想要从什么是信息安全、什么信息需要安全、如何做到信息安全三个方面聊一聊，企业IM产品的信息安全。

一、什么是信息安全？

        信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

对于B端来说，信息安全就是防范商业企业机密泄露。

二、什么信息需要安全？

       对于B端IM用户来说，人事信息，员工数据资产，工作沟通内容，文档文件等数据的敏感性是非常高的。以设计为核心业务的公司，核心的设计师信息就需要被保护；员工离职后，该员工在司期间所产生的一切工作成果都应该归属于公司；对于公司战略思考和讨论的内容不能被他人获取；公司内部的重要文件文档不能泄露等。

要做到B端IM工具的信息安全，必须为用户保护好敏感性高的数据。

三、如何做到信息安全？

       系统安全的加固策略，大致可以从三个方面进行，分别是网络层、数据层和应用层。网络层和数据层主要是技术层面的措施。例如分布式存储，传输加密，存储加密，防火墙等，这部分不多做介绍。今天主要重点聊一下，从产品层面，有哪些关键措施。

（1）账号安全管理

        账号安全管理的目的是确保用户所做的操作是符合本人意愿的。试想一下，如果登录了账号的不是用户本人、用户的设备丢失后，本地的数据被有心之人查看甚至是解析出来另作他用，这些场景的存在，对于数据安全来说是很大的隐患，为此产品能做到的关键措施包括现在比较常见的人脸识别登录、登录异常时候的告警和二次确认、设备丢失后可以通过后台远程一键清除数据信息等。

通过对账号的保护，为信息安全提供保障。 

（2）事前防范措施

        如果担心应用内数据被以图片的形式传播出去，在产品层面可以做到一些事前防范。目前市面上的水印有两种，一种是图片水印，通过技术手段，将一张带有用户标识的图片显示在页面底层。一种是数字水印。它是将一些标识信息直接嵌入数字载体当中（包括多媒体、文档、软件等）或是间接表示（修改特定区域的结构），且不影响原载体的使用价值，也不容易被探知和再次修改。图片水印更多的是事前防范，在用户想要截屏/录屏的时候，起到震慑作用。而数字水印更多的是便于事后追溯。

        但是添加水印，毕竟还是一种''防君子不防小人''的举措，如果想要更严格的做到数据保护，可以通过硬件处理的方式，让应用内无法截频/录屏。

（3）私密传输

         在IM中，发送的文字，图片，文档等，无论如何处理，还是很难避免有心之人传播和泄露。从产品层面，可以结合用户的使用场景，设计密聊、阅后即焚的产品能力。用户发出去的消息如果被阅读，就立即消失，数据不会被保存。

（4）权限管理

         在企业中，其实并不是所有人的数据敏感性都很高的。如果为了保护敏感性高的数据，而做了统一的限制，难免会牺牲很多的用户体验，也会失去了协同办公的意义。那么，当一个企业甚至是部门，对人员和数据的要求不一致的时候，怎么办呢？可以为用户提供权限设置和后台管理的能力。管理者可以配置保密人员名单、配置通讯录查看权限等，保护人员信息；

（5）管理后台

         除了在前台做一些产品层面的限制外，平台也需要做好后台也管理。例如当用户误删除重要数据后，是否可以通过平台恢复。当一个时间段内，某个账号在频繁的下载大量文件，可以视为是异常情况，可以向管理员推送告警。同时，需要做好用户的操作日志，及文件的传输日志。

信息安全，是做企业应用绕不开的课题，希望后面也能结合用户场景，去补充这方面的经验。