制定数据丢失防范策略的六个要点

数据丢失问题如今已经成为广大企业最关心的焦点问题之一，为了降低这个问题所带来的风险，各企业都在努力寻找一种适合自己的数据丢失防范（ Data Loss Prevention ）策略。数据丢失防范策略（以下简称 DLP ）是通过运用深层次的内容分析技术，来识别、监控和保护在静止状态、移动过程或终端设备中机密数据的一种全面解决方案。

现在市面上已经存在了许多拥有数据丢失防范功能的产品，它们主要有基于网络的 DLP 和基于主机的 DLP 两种类型。企业要做的，就是如何根据自身机密数据的实际情况，制定一个行之有效的数据丢失防范策略。在本文中，雪源梅香将为大家描述制定数据丢失防范策略时六个需要重点考虑的方面，以帮助一些对此有需要读者制定一个适合自身需求的数据丢失防范策略。

一、了解数据丢失问题

对于企业来说，现在企业数据最大的安全威胁是来自企业内部，例如企业内部员工的有心无心之过。而恶意软件、木马、垃圾邮件及黑客攻击是紧跟在其后的安全威胁之一。调查显示，由于内部原因造成的企业机密数据丢失，其数量要远远大于外部安全威胁所造成的损失。

    那么，企业机密数据是如何从内部漏泄出去的？要了解这个问题，先来看看数据在企业内部网络中所处的方式。它一共存在三种主要的方式：

1、 数据在移动之中，是指数据正在企业内部同网段之间，以及跨网段之间传输，并且随时会经过企业网关转发到 Internet 上。

2、 数据在静止过程中，是指数据正驻留在企业内部文件服务器、数据库或其它存储设备中。

3、 数据在用户终端之中，这些用户终端包括 USB 设备、 CD/DVD 刻录机、 MP3/MP3 播放器、笔记本电脑，或其可移动存储设备等。

当数据处于用户终端设备之中时，绝大部分是在使用当中。而数据主要是在移动过程和在用户使用过程中，由于人为有心无心造成丢失的。因而，要防范企业机密数据丢失，主要是在这两个方面做足工作。但这也并不意味着企业机密数据只会通过这几种途径造成丢失，其它方式也有可能，例如打印机、数码复印机、传真机、无线产品等，以及一些 Internet 协议，例如 HTTP 、 HTTPS 、 IM 、 WEBMAIL 、电子邮件、 FTP 等都有可能会引起企业机密数据的丢失。也不是说数据在静止状态时对我没什么意义，我们可以通过数据扫描的方式来找到存在于企业网络中所有位置中的机密数据和敏感信息，以便了解要保护的数据存在什么位置之中，然后才能确定对什么设备进行重点防范。因此，要防范数据丢失，与其它安全防范方式是不相同的，必需制定一个非常全面的安全防范策略才能够有效的解决这个问题。

二、企业机密数据有哪些

    这里有两种主要的因素驱使企业进行数据丢失防范工作：要遵从的法规和知识产权保护。随着个人信息的泄漏事件的不断发生，各国对于这类事件不断发布了一系的安全法规，例如萨班斯法案。通过这些法规，让企业对其所保存的员工个人信息、客户信息，以及供应商或合作伙伴的信息必需妥善保管，并且担负造成这信信息丢失的相关法律责任。因此，如果企业不想为此而引起法律诉讼的话，就不得不为它所保管的所有信息进行必要的丢失防范。

    对于处于现在这种高度竞争商业环境中的各类企业来说，知识产权的保护是最重要的。企业知识产权包括：技术、方法、工作模式、处理流程、生产计划等，它们还可以是各种图表和流程图，供应商数据，定价数据和营销战略，或者程序源代码，营销数据和客户数据等等。这些都是企业的商业机密，其中任何一部分数据的丢失，都会给企业带巨额的经济和声誉损失，有时还会带来法律诉讼。但是，使用这些数据的员工有时却并不知道它们是企业的商业机密数据，因而就有可能在有意无意之中造成这些机密数据的丢失。

三、为什么数据丢失非常普遍

    无论是在途中，还是在办公定，或者在家中，我们都可以通过各种电子连接方式与近在咫尺，或远在天涯的人联系，电子访问方式已经越来越成为日常商务活动中最主要的途径。

    我们在通过电子方式进行全球合作的时候，也为机密数据的丢失打开了潘多拉之盒。在过去的许多年以来，我们都将所有的安全防范精力集中在对外部威胁的防范之上，但根据调查显示，其实超过一半以上的企业机密数据是通过企业内部泄漏出去的。可是，一些企业现有的安全防范措施，例如防火墙或入侵检测防御系统（ IDS/IPS ），对于来自内部的正常数据流都是完全放行的。这让企业花费大量心血的安全防范措施显得非常的可笑，也让企业内部机密数据的丢失变得只要点击一下鼠标这么简单。而且，大多数数据丢失都是无心之过，当员工将企业机密数据透露出去后，可能还不明白刚才发送的电子邮件或粘贴到博客上的图片及文本正是企业的机密数据呢！

    同时，随着 USB 设备、 MP3 播放器、笔记本电脑等移动设备的大量使用，在这些设备之中，往往承载着企业大量的机密数据，而这些设备更加容易被带到企业外部。调查显示，移动设备也已经是造成企业机密数据丢失的主要原因之一。

四、数据丢失的核心是不受控制的通信

    如今，电子通信无处不在，数据在移动时就很容易造成数据丢失。例如，员工将文件发送到他（她）的电子邮箱中，以便他（她）回家时一样能处理；医师将病人病历信息错误地发送给其他（她）人；或者一个雇员将新产品还没有发布的图片贴到了自己的博客上。所有的这些，都可能造成企业机密数据的丢失。

    但是，这还不是数据在移动中造成丢失的唯一途径，另外还有其它的通信方式可以将企业机密数据或敏感信息由内转发到 Internet 上。所有的这些包括：

1、 电子邮件

2、 WEB 邮件

3、 QQ 、 MSN 等即通信软件

4、 P2P 软件

5、 论坛、留言板

6、 博客

7、 网络存储

8、 FTP

但是现在的防火墙和其它安全解决方式对于数据丢失防范的能力还不够完善，数据丢失防范需要更加严格的控制，例如深入的内容扫描、阻止可能包含机密信息的通信会话，或者应用强力加密等措施。同时，如果企业对数据丢失防范做了许多重要的工作，但是没有对员工进行相应的安全教育，以及对其行为进行有效的管理和监控，那么，所有的数据丢失防范工作将变得一无事处，机密数据仍然会通信各种途径泄漏出去。

数据丢失解决方案必需降低数据在静止及处于终端设备上的风险，但是，对于任何一个发展健康的企业来说，任何时期都有机密数据在移动当中。这样，就要求企业必需制定一个更加全面的数据丢失防范解决方案，以防止雇员、企业顾员、供应商、合作伙伴或其它授权用户将企业机密数据发送到企业之外。与此同时，还必需进行深入多层次的解决方案，来防止机密数据通过电子邮件、 WEB 邮件、即时通信软件或 P2P 等途径泄漏出去。

五、数据丢失防范策略应当包括的功能

    为了能够解决数据在移动过程中的漏洞，以及防止通过各种电子通信方式造成机密数据丢失，企业就必需控制任何一个可以引起机密数据离开企业的通信，而不管其使用什么类型的传输方式。

    一个全面的数据丢失防范解决方案应当包括：

1、 监控所有进出企业的通信数据包；

2、 加密包含机密信息的电子邮件内容；

3、 遵从当地的隐私权和数据安全法规；

4、 确保与外包商和合作伙伴的通信；

5、 保护企业知识产权；

6、 防止木马病毒等恶意软件的数据收集；

7、 增强可接受的数据使用策略；

8、 提供一种可以震慑恶意用户的手段，例如法律诉讼和被捕。

另外， DLP 解决方案不仅要阻止在通信时将机密数据发送到企业之外，还应当能够帮助企业遵守相应法规，对包含机密信息的电子邮件内容及附件进行自动加密。

    当一个企业在寻求一种数据丢失问题的解决方案时，对 DLP 进行相应的实践操作能让企业找到一个适合自身特别要求的最佳数据丢失解决方案。

数据丢失防范的一个关键组成部分是定义和强制执行一个适当的可接受的电子通信使用策略。一个典型的合适的使用策略应当包括防止非法的或恶意性的活动，禁止使用大附件，或者禁止发送没有法律免责声明的文件等。要想执行这些适当的使用策略，企业可能需要 DLP 解决方案具有下列的功能：

1、 阻止非法的活动，例如浏览黄色网站；

2、 严禁通过 P2P 文件共享软件散发受版权保护的音频和视频文件；

3、 防止利用网络进行赌博活动；

4、 强化信息策略，例如规定电子邮件附件大小，不准发送个人邮件等；

5、 对要可能涉及到法律法规的电子邮件，在发送前，应当在其后添加相应的法律免责声明。

虽然，数据丢失的风险在企业的商业活动过程中总是会存在，但是，应用 DLP 解决方案能够最大程度的减少数据丢失风险的机率，帮助企业规范数据使用方式。

六、制定数据丢失防范策略的通用守则

1、 了解 DLP 的需求

要解决数据丢失问题，最关键的第一步就是全面了解企业中有哪些类型的机密数据，以及这些数据处于什么位置。你还必需为此建立一个易于理解的档案库，用来帮且后续的工作，以及以后检查时使用。同时，你要确定哪些策略需要控制和强化，哪些数据可以被共享。要做到这一点，企业还应当审查其内部哪些数据要遵守某种法规，以及要确定知识产权的保护方式，哪些策略需要强制执行等等。

    例如，有时候要考虑所要遵循的条例是适合整个企业，还是只是个人用户、部门或远程办事处。另外，一个特别的企业可能只需要使用内容扫描或自动加密来保护其隐私信息。

    了解了企业中哪些机密数据需要保护后，企业还应当考虑数据丢失防范策略的工作流程。你要确保你的工作流程充满活力和灵活性，同时要确保数据丢失防范策略的完整实施，以及能灵活应对在策略实施过程中的任何突发事件，并能及时对工作流程做出调整和修改。还有，任何一项策略的成功实施，都离不开企业高层领导的支持，因此，你所制定的数据丢失防范策略应当能得到上级领导的全面支持，这样，才有可能让策略在企业全面实施。

2、 区分 DLP 保护的重点

企业现在已经高度依赖电子邮件、即时通信软件，或者基于 WEB 的通信方式，来与供应商、合作伙伴，以及其它的重要客户保持有效的国际国内沟通。当电子通信成为现在最主要的沟通方式之时，它也同时给企业的机密数据带来了新的丢失风险，以及需要企业遵从更多的法律法规。例如，一个心怀不满的员工可能将企业重要的产品信息透露给第三方；一个新员工可能由于一次不小心的鼠标单击事件，就会造成企业重要的客户资料发送给了其它非授权者。这些事件，并不只是某此饭桌上的谈资，而是会给企业带来巨额的经济损失，以及非常麻烦的后期补救工作，甚至会给企业带来一场意想不到的法律诉讼，让企业声誉扫地。

    数据丢失防范是一个非常复杂的问题，需要整合绝大多数的保护方式，以便能解决某个特定企业所有的数据丢失问题。这就要求企业首先必需了解数据可能在哪些载体中造成丢失，例如在静止、移动或在终端设备之中，然后将它们按优先顺序进行排序。排序的标准可以根据以往在某个位置的违规率，某种通信的使用频率，某种数据的使用频率及每次的数据量，以及用户访问某一区域时造成违规行为的频率来制定。

根据调查显示，企业大部分的数据都是在一些经常发生违规行为的区域丢失的，因此，重点对这些划分出来的重点防范区域进行防范，能让减轻你大量的工作量，让你在防范过程中条理清晰，让数据丢失防范效率明显提高。能使后面的工作变得相对简单，以及能为企业节省大量的资金。举例来说，由于电子邮件和网络通信是如今大多数企业最主要的通信方式，因此，它也就可能成为造成机密数据丢失最主要区域。

3、 确保策略能全面实施及实施的效果

当企业已经确定了要保护的资料，以及了解了造成机密数据丢失的重要渠道后，接下来要做的，就是确定数据丢失防范策略是否真正适应特定的企业防止数据丢失的需求。

    就总体而言，一个 DLP 解决方案必需能够有效和全面地检测到企图违反安全策略的任何行为。你还要确保你的 DLP 策略有效和全面性。这些内容包括：

（ 1 ）、多协议监控和防范；

（ 2 ）、对所有的文件和附件进行内容分析；

（ 3 ）、有选择性地阻止或隔离信息或邮件；

（ 4 ）、自动执行企业加密策略。

另外，企业组织机构要确保企业上下人员能够遵守 DLP 中的规章制度，以及 DLP 策略能全面执行。在 DLP 解决方案的实施过程中，企业中不同的人有不同角色和责任，这一定要分清楚。如果一个 DLP 解决方案能做到这些，那么数据丢失防范并不只是一句空话。

4、 确保数据丢失防范策略不影响正常的业务

此时，你要解决的一个重要任务就是要保证数据丢失防范策略的实施不影响企业正常的业务。在整个解决方案执行时期要确保有效的通信能够正常进行，同时应当确保能管理和控制客户和机密数据的使用。这即需要一个深思熟虑的数据丢失解决方案，又要能够全面控制通信的内容。任何的违反活动都必需立即阻止，并且不会影响最终用户的使用。因为任何造成电子邮件通信或其它网络通信的明显延迟，都会给商业流通带来影响，以及影响员工的工作效率等。

    这就意味着 DLP 解决方案必需工作在线速状态，并且要满足企业日益增长的带宽需求。因此，企业在选择 DLP 解决方案时，应当在考虑安全性的同时，还应当考虑它的性能，以及它的扩展性和灵活性。选择的 DLP 解决方案要满足企业今年某段时间以来性能及带宽的要求。很幸运的是，随着微电子技术的发展，高性能的 DLP 产品已经不断的出现， 1000Mbps 的以太网也已经成为主流。因此，在企业经济能力允许的范围内，选择一个满意的 DLP 解决方案将不会是什么难题。

5、 查看工作流程、管理和报告

当企业选择了一个 DLP 解决方案后，还应当为此部署一个管理控制中心。这个管理控制中心可以用来对 DLP 进行全面的管理，以及接受来自它的监测报告。             一个全面的 DLP 解决方案应当具有报告功能的，这些报告功能能让方案执行人员随时访问监控数据，并对其进行相应的操作：

（ 1 ）、分析和改进企业 DLP 功能；

（ 2 ）、自动提供及时的决策分析信息；

（ 3 ）、能产生可以上报的结构文档；

（ 4 ）、报告文档可以导出和打印。

一个好的 DLP 解决方案应当易于管理和维护的，并且，应当具有自动更新各种特征库及自身核心文件的功能，这能为管理员节省大量的时间来处理其它必要的事情。同时，为了降低企业的总体拥有成本，在选择管理控制中心设备时，应当选择简单的、一体化的，以及能在企业内部网络中能够即插即用的产品。

6 、组合使用各种相应的解决方案

        解决数据丢失的防范策略在不断的演变当中，目前仍然没有一个单独的 DLP 产品能够具有防范数据丢失的所有功能，以及满足不同企业的需求。举例来说，防范数据在移动过程中与在静止状态时造成的丢失所使用的解决方案肯定是不相同的，因为这是两种不同的数据存在方式，并且所处的载体也不完全相同。纵观整个数据流向，企业要解决数据丢失问题，就需要创建一个端到端的解决方案，并且综合使用多种相应的解决方案。

        一个称得上好的 DLP 解决方案，应当具有高度的灵活性，以及与其它 DLP 产品无缝兼容。。随着 DLP 行业的不断发展，具有高度扩展性和灵活性，以及与其它第三方产品连接并提供数据共享功能的产品将是最终的发展潮流。企业应当尽量避免选择的 DLP 产品没有任何扩展性

    综上所述，数据丢失是现在绝大多数企业正面临的严峻问题，企业中员工各种有意或无意的错误，都会造成企业机密数据的丢失。这些丢失的数据可能会降低企业的品牌价值、股票价格，并损害企业的商誉和声誉。因此，企业可以利用本文所提及的做法，尽快为自己找到一个适合自身需求的数据丢失防范策略。这些解决方案不仅能帮助企业减少机密数据丢失的风险，而且还可以与其它企业安全方案相结合，为企业打造出一个全面的一体化的强大的安全解决体系，确保企业有形和无形资产的安全。

本文出自 “雪源梅香” 博客，谢绝转载！