面向企业的信息保护与安全审计整体解决方案

随着信息技术的不断发展，数字信息的价值不断增加，成为一种重要资产，地位甚至超过了承载信息的磁盘、存储和IT基础架构。人员越来越强调对信息进行周密的保护，防止出现未经许可的泄露、丢失或盗窃。从美国零售业巨头TJX公司465万个信用卡信息被盗窃，到前一段时间的艳照门事件，信息防泄漏和防护无不引起人们的重视。

更为严重的是，所有信息泄漏事件中，源自内部人员所为的占了绝大部分。根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过85%的安全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了6056.5万美元的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。另据中国国家信息安全测评认证中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起。

那么，如何才能够有效的进行信息的防泄漏和信息保护呢？我认为至少要从以下三个角度来考虑：

首先，是对静态信息的保护。最基本的静态信息保护就是数据加密。此外，更为重要的是要建立数据的统一安全策略，贯穿数据产生、流转、销毁的全生命周期。例如，我们可以针对员工的工资信息制定这样一套安全策略：工资信息必须加密后才能通过email传输，禁止通过http或者https协议传输，只能存储在指定的服务器和数据库中，只有人力资源部门授权的帐号列表才能访问工资信息，等等。只有建立统一的信息安全保护策略，才能有效地进行信息保护，否则就可能出现策略真空，导致某个环节发生信息泄漏；或者出现策略冲突，使得信息的传递效率大大降低，影响正常工作。

其次，是对动态信息、也即信息在网络传输过程中的检测和保护。这是信息防泄漏和信息保护的最重要环节。由于网络技术的充分普及，信息传递的速度和传播的范围都极大提升。信息一旦透过网络造成泄漏，后果几乎无法挽回。动态信息保护有两个环节。

1） 防止重要信息由高安全区域向低安全区域的扩散：各种帐号、密码、客户信息、财务信息、工程图纸、设计文档、核心代码等机密信息一般都是存储在特定的服务器和数据库中。动态信息保护要求对这些服务器、数据库系统的网络连接进行监控和审计、借助统一的安全策略，检查各种违规的网络访问行为，例如通过FTP和Telnet指令获取服务器上的重要文件；通过SQL语句获取数据库系统重要的库表字段数据；等等。

2） 防止重要信息由内部网络向外部网络的泄漏：这是信息防泄漏的关键一环。我们知道，随着Web2.0技术的兴起，现在内外网之间的连接方式多种多样，例如各种即时通讯工具（MSN、QQ等）、WEB邮件网站（163、Gmail等）、P2P应用（迅雷、电驴等），以及论坛、聊天室。这些内外部通讯手段都有可能成为信息泄漏的途径。并且，这些泄漏途径从技术上来看大多基于HTTP协议，或者更为底层的UDP协议，端口也不固定，与正常的业务传输通道相同，防范起来十分不易，过严则可能影响正常业务开展，过松则可能功亏一篑。动态信息保护要求我们采用具备应用层协议检测技术的设备、并且要采用具备信息匹配技术的内容过滤引擎，智能地进行网络流量甄别。

最后，就是要对信息的使用者及其载体――终端进行监控和审计，这也就是终端安全监控与审计。因为绝大部分机密信息的泄漏都是内部人员造成的，而这些内部人员往往都是从终端将信息传播出去。在这个层面，信息保护就是要对人和终端进行管理。对人，就是要加强人员的安全保密意识的培训，并且要制定令行禁止的安全制度。对终端，就需要建立一套面向终端安全的管理系统，包括终端接入的控制、U盘外设等的接入控制、终端加固和运行监控、终端用户行为的监控与审计，等等。终端管理的目的是一方面确保终端的合法使用者无法违规，另一方面确保其他非法人员无法利用终端自身的漏洞进行违规操作。

在上述三个层面中，统一安全策略始终是信息防泄漏和保护的核心。静态信息防护、动态信息防护、终端安全和人员安全管理都有赖于一致的、统一的、贯穿信息生命周期的安全策略。各种技术、工具和设备都是这些策略的执行者。

总结一下，信息防泄漏和信息保护体系架构如下图所示：