DLP導(dǎo)入停、看、聽(tīng) 成功關(guān)鍵在哪里？
從BS7799到ISO27001，我們看到了什么？信息安全管理系統(tǒng)涵蓋的范圍愈來(lái)愈全面，企業(yè)從風(fēng)險(xiǎn)評(píng)鑒的過(guò)程當(dāng)中看到了資安危機(jī)，所以這些年來(lái)，幾乎是全員皆動(dòng)，資安政策的不適應(yīng)也變成自然遵守，靠的就是員工使用習(xí)慣的改善。
而計(jì)算機(jī)處理個(gè)人資料保護(hù)法到個(gè)人資料保護(hù)法，我們又看到了什么？原來(lái)個(gè)人資料這么值錢(qián)!!這是很多客戶(hù)看到個(gè)人信息法的罰則后第一個(gè)提到的問(wèn)題，而且已不再是純計(jì)算機(jī)里的個(gè)人資料，舉凡電子及實(shí)體記錄的個(gè)人資料皆在本法保護(hù)范圍內(nèi)，但企業(yè)最擔(dān)心的還是電子數(shù)據(jù)的個(gè)人信息在哪？該如何保護(hù)？該如何確保已盡善良管理人責(zé)任？企業(yè)即將面臨的種種挑戰(zhàn)，我們首先想到的解決方案，就是目前最熱門(mén)的DLP (Data Loss Prevention)。
重點(diǎn)1：資料外泄問(wèn)題的三個(gè)面向
然在導(dǎo)入DLP解決方案前，必須了解一個(gè)觀念：DLP不是個(gè)人信息保護(hù)的唯一工具，也不是一勞永逸的工具，雖然，DLP的確是一套管理外泄風(fēng)險(xiǎn)的有效工具，但我們所面臨的外泄問(wèn)題，必須從以下三個(gè)面向來(lái)探討：
1、管理風(fēng)險(xiǎn)與確保政府法規(guī)遵循：
在布滿(mǎn)個(gè)人信息的企業(yè)環(huán)境里，必須先要了解這些個(gè)人信息所存在的風(fēng)險(xiǎn)因素，因?yàn)槊糠輦€(gè)人信息都有其價(jià)值性，依據(jù)每種價(jià)值度的高低，及外泄后對(duì)企業(yè)的影響力，訂定風(fēng)險(xiǎn)值，再者，對(duì)于個(gè)人信息法的相關(guān)要求（例如：利用、傳輸），是否有相關(guān)記錄進(jìn)行存查，以確保外泄事件發(fā)生后能提供完善保護(hù)責(zé)任之證據(jù)。
2、數(shù)據(jù)在哪里？
電子數(shù)據(jù)無(wú)時(shí)無(wú)刻都在流動(dòng)，不管這些個(gè)人信息目前存在主機(jī)、數(shù)據(jù)庫(kù)、個(gè)人計(jì)算機(jī)上、甚至是儲(chǔ)存媒體內(nèi)，都必須進(jìn)行清查作業(yè)，以避免是否有個(gè)人信息曝露在高風(fēng)險(xiǎn)的設(shè)備上。
3、審視作業(yè)流程：
企業(yè)對(duì)于個(gè)人信息存取流程是否有誤，這在DLP導(dǎo)入時(shí)是很重要的一個(gè)環(huán)節(jié)，否則員工都可以存取個(gè)人信息（員工、客戶(hù)、廠商），那就不知誰(shuí)才是屬于違法存取的員工了。
重點(diǎn)2：個(gè)人信息法要求 組織應(yīng)正視數(shù)據(jù)防護(hù)的問(wèn)題
個(gè)人信息無(wú)所不在，然最重要卻不是一套最完善的DLP，而是人，個(gè)人信息防護(hù)最重要的不是導(dǎo)入一個(gè)多嚴(yán)密的防護(hù)系統(tǒng)，而是避免人為操作失當(dāng)、疏忽、惡意所造成的外泄風(fēng)險(xiǎn)，當(dāng)然組織也不能因?yàn)閭€(gè)人信息法的緣故，讓員工恢復(fù)以前的紙本作業(yè)，這就等于為了節(jié)能都不準(zhǔn)用電的意思一樣，所以除了透過(guò)科技手法外，也要使用獎(jiǎng)懲方式來(lái)規(guī)范員工行為。
當(dāng)然，在導(dǎo)入DLP前，企業(yè)需先思考，外泄管道為何？如果企業(yè)的對(duì)外網(wǎng)絡(luò)服務(wù)皆為自建自管(Web、Mail、DNS……等)，就要考慮外部防護(hù)解決方案(Web AP Firewall、 IPS……等)，如果為員工外泄就必須要限制使用者行為。
問(wèn)題在于管理使用者是一門(mén)大學(xué)問(wèn)，處理的好相安無(wú)事，處理不好，造成對(duì)公司反感，甚至故意破壞及盜取數(shù)據(jù)，所以，針對(duì)用戶(hù)就要試想哪種管理方式比較好，如：封鎖使用設(shè)備或網(wǎng)絡(luò)服務(wù)(USB/Web/FTP/IM)，還是監(jiān)控網(wǎng)絡(luò)使用內(nèi)容。
重點(diǎn)3：我該如何選擇DLP？
市場(chǎng)上已有很多廠商提供了很好的DLP解決方案，組織該如何選擇，并沒(méi)有對(duì)或錯(cuò)，但在功能選擇上還是可以多加留意，包括了：
1、軟/硬件的差別：
目前市面上大部份的DLP解決方案都是以軟件為主，但開(kāi)始有廠商提供了專(zhuān)屬設(shè)備，主要是因?yàn)镈LP需要監(jiān)控網(wǎng)絡(luò)封包，這時(shí)硬件的效能就很重要了，所以專(zhuān)屬設(shè)備對(duì)于軟件優(yōu)化來(lái)說(shuō)就非常好，但如遇到組織成員擴(kuò)增時(shí)，專(zhuān)屬設(shè)備就顯得沒(méi)有彈性了，而軟件沒(méi)有專(zhuān)屬設(shè)備，所以可以依據(jù)組織成員規(guī)模布署適合的設(shè)備，當(dāng)然也可以預(yù)留升級(jí)的空間，但因不是專(zhuān)屬設(shè)備，所以并未對(duì)軟件進(jìn)行優(yōu)化，所以設(shè)備效能各方面都必須考慮(CPU、RAM、I/O、Network)。
2、保護(hù)標(biāo)的物：
舉凡存放個(gè)人信息的所有主機(jī)與數(shù)據(jù)庫(kù)，或是用戶(hù)的個(gè)人計(jì)算機(jī)與移動(dòng)設(shè)備，甚至儲(chǔ)存媒體與組織對(duì)外的所有網(wǎng)絡(luò)服務(wù)，都應(yīng)納入保護(hù)的重要標(biāo)的物，當(dāng)然DLP并非一勞永逸的工具，所以搭配防火墻進(jìn)行對(duì)外網(wǎng)絡(luò)服務(wù)的封鎖，是比較適當(dāng)?shù)淖鞣āＲ韵聻槠髽I(yè)可以監(jiān)看的檔案類(lèi)形：
A、于網(wǎng)絡(luò)端可以監(jiān)控的類(lèi)型：像是HTTP(S)、WebMail、社群、Web HD、FTP、IM及組織使用之郵件系統(tǒng)等
B、于使用者端可以監(jiān)控的類(lèi)型：像是個(gè)人信息檔案移動(dòng)、檔案內(nèi)容拷貝、媒體復(fù)制、打印機(jī)、上網(wǎng)行為甚至透過(guò)SmartPhone同步數(shù)據(jù)。
3、內(nèi)建范本：
從BS10012、PCI、HIPPA、或是各國(guó)個(gè)人信息法令要求規(guī)范，這些都是與我國(guó)個(gè)人信息法都有涵蓋的范圍，所以為了有效設(shè)定正確的DLP防范政策，這些都是可以參考調(diào)整的政策模板，當(dāng)然有些業(yè)者甚至還有提供我國(guó)個(gè)人信息法的政策范本，值得讓需要導(dǎo)入的讀者參考，最后要提的是，評(píng)估政策模板不在于數(shù)量多寡，而是能否自行調(diào)整政策，讓我們?cè)O(shè)計(jì)與組織最適合的政策并符合個(gè)人信息法，這才是我們所需要的。
4、用戶(hù)許可證與整合性：
臺(tái)灣很多都是中小企業(yè)起家，甚至網(wǎng)絡(luò)商店業(yè)者，但員工數(shù)量卻是屈指可數(shù)，幾乎很多都是微型企業(yè)，不過(guò)這些企業(yè)手上都擁有大量可觀的個(gè)人資料，但在導(dǎo)入DLP的第一步，可能就會(huì)遇到用戶(hù)許可證的難題，有些業(yè)者的DLP最少是50或100人為一個(gè)基數(shù)，但網(wǎng)絡(luò)商店業(yè)者的員工人數(shù)可能只有5人，卻要買(mǎi)100人授權(quán)，這個(gè)問(wèn)題就需要業(yè)者思考對(duì)于基數(shù)的調(diào)整了。#p#
另外就是整合性的問(wèn)題，無(wú)論保護(hù)標(biāo)的物是主機(jī)或是個(gè)人端設(shè)備，一定都已安裝防病毒軟件，也已行之有年了，若能讓Endpoint端監(jiān)控程序與防病毒軟件整合在一起，除了管理容易外，對(duì)于端點(diǎn)設(shè)備的資源負(fù)載也減輕不少。
重點(diǎn)4：為何導(dǎo)入DLP會(huì)失敗？
前面提過(guò)DLP不是一勞永逸的工具，并非一帖見(jiàn)效保證成功的藥材，所以在導(dǎo)入前，整個(gè)組織在個(gè)人信息的安全維護(hù)計(jì)劃一定要夠周延，否則DLP充其量只是個(gè)空殼子，終究無(wú)法發(fā)揮最大的效果，以下簡(jiǎn)單列出導(dǎo)入DLP的成功關(guān)鍵。
1、訂定個(gè)人信息的相關(guān)政策與程序
清查與明白個(gè)人信息存放位置與個(gè)人信息訪問(wèn)控制列表的建立是非常重要的，這悠關(guān)對(duì)于DLP的特征比對(duì)政策是否有效，另外對(duì)于個(gè)人信息搜集處理利用及傳輸之使用限制，也必須明訂清楚，有了這些使用限制，管理者也就可以依規(guī)定來(lái)制定DLP個(gè)人信息政策。
2、倡導(dǎo)與訓(xùn)練
從以往信息安全訓(xùn)練就已是組織內(nèi)基礎(chǔ)知識(shí)的一環(huán)，所以對(duì)于個(gè)人信息安全的倡導(dǎo)并不會(huì)有太多阻力，只是，在明確定義個(gè)人信息與適用法規(guī)時(shí)，是有對(duì)員工加強(qiáng)倡導(dǎo)的必要性，另外每個(gè)員工都有保護(hù)個(gè)人信息的相關(guān)責(zé)任與權(quán)力義務(wù)，也都必須讓員工清楚，避免造成作業(yè)疏失個(gè)人信息外泄。
3、應(yīng)配合相關(guān)端點(diǎn)管理
除了DLP防范個(gè)人信息外泄外，對(duì)于端點(diǎn)的軟件安裝、系統(tǒng)設(shè)定的權(quán)限限制等，也必須多方考慮，因?yàn)槭褂谜叩男袨橥屓艘庀氩坏剑詫?duì)于網(wǎng)絡(luò)服務(wù)限制、加密硬盤(pán)與USB、甚至OTP都必須考慮，務(wù)必做到個(gè)人信息防范滴水不漏。
4、誰(shuí)該看？
從以前有關(guān)員工行為管理解決方案的記錄里，就一直在討論這個(gè)問(wèn)題，當(dāng)然DLP也不例外，主要也是這些被攔截的任何個(gè)人信息，在DLP上都看的清清楚楚，不管是信件內(nèi)容、網(wǎng)頁(yè)內(nèi)容、甚至傳送出去的任何檔案，都可以開(kāi)啟，如果DLP的管理人員都可以看，是否又是另一條外泄管道？所以DLP的權(quán)責(zé)分工與權(quán)限最小化，是相當(dāng)重要的議題，另外DLP記錄稽核作業(yè)，也是要注意的部份，本文最后答案并不會(huì)左右管理者誰(shuí)該看，而是讓組織內(nèi)的相關(guān)人員可以思考這個(gè)問(wèn)題。
結(jié)論
DLP雖然是這幾年才有的解決方案，但我們?nèi)绻堰@些相關(guān)功能拆解開(kāi)來(lái)，各位讀者是否也有似曾相識(shí)的感覺(jué)呢？個(gè)人信息外泄這個(gè)議題，除了有效的科技手法外，制度面與人員的倡導(dǎo)也是缺一不可，否則企業(yè)買(mǎi)到的工具永遠(yuǎn)只是一個(gè)空殼、無(wú)法發(fā)揮效益。
【編輯推薦】
