教你應對困惑多數企業的5大信息防泄漏難題
在企業從選擇信息防泄漏方案到最終部署完成，運行維護的過程中，總會遇到許多問題，這些問題是眾多企業和業界共同關注的，是關系到信息防泄漏方案能否成功應用并發揮高效的關鍵。溢信科技作為內網安全領域的領軍企業，見證了許多企業的信息安全部署歷程，也為許多企業在關鍵難題上提供了有力的解決方案。在溢信科技2011-2012企業級信息防泄漏大趨勢中，介紹了過去的一年，內網安全行業在需求、功能、參與者等方面的變化，下面就企業在信息防泄漏方案應用過程中最常遇到的五個難題，予以分析與解答，以供參考。
·在眾多的信息防泄漏方案中，哪一種才是最適合企業自身的，強審計，邊界封堵，信息過濾，還是加密?
目前內網安全市場產品混雜，名號眾多，企業在選擇信息防泄漏方案的時候，難免會眼花繚亂，無所適從。其實企業在部署信息安全方案時，還是要從對自身實際情況出發。要想知道哪種信息防泄漏方案是最適合自己，就必須首先弄清楚企業本身的安全需求，只有清楚地知道自己需要什么，才能找到真正適合自己的信息防泄漏方案。
首先得列出企業的需要保護的機密數據，比如源代碼、設計圖紙等，這些數據放在什么地方?什么人會接觸到這些數據?企業里面可能存在的泄密渠道有哪些?在充分了解自身的信息安全需求的基礎上，企業才能針對性地對進行信息防泄漏部署。
而事實上沒有哪一種單一產品可以幫助企業解決所有問題，不同的產品有不同的側重點。加密產品對于擁有自己核心的知識產權的公司或者公司的核心部門來說效用更大，因為知識產權是這些公司的核心競爭力，安全要求高，稍有疏忽便可能損失巨大，所以必須要部署高強度的保護措施。邊界封堵是對公司網絡出口和各種移動設備進行控制，防護等級要比加密低，但是要防止企業的重要信息隨意流出，。信息過濾更多的是國外DLP產品的思路，在國內市場實際應用性并不高。
于是有企業想到把各個領域的功能強大的產品集中到一起，以期強強聯合，萬無一失，但實際上簡單地把各個功能強大的產品集合到一起，又往往容易發生兼容性等問題，結果強強聯合之后反而發揮不出正常的效果，所以統一平臺集中管理是一個企業選擇信息防泄漏方案非常值得考慮的一點，這樣還有利于企業的防御擴展。
總之部署信息防泄漏方案要充分考慮眼下的問題，還要考慮到未來可能的功能需求，綜合考慮才能找到最適合的方案。
·企業應該如何調和部署信息防泄漏方案過程中面臨的效率、安全和成本三者之間的矛盾?
效率、安全和成本的矛盾是企業經營過程中經常面對的一個命題，在信息防泄漏方面當然也不例外，如何調和三者，往往會決定企業一項部署最終的成效。
首先從理念上講效率、安全和成本是一個既矛盾又融合的綜合體，脫離任何一個去談其他兩個都意義不大。其實安全并不是一個絕對的概念，高效率的背后往往意味著高風險，安全與效率之間只能是去找到二者之間的平衡，在滿足安全需求的同時，讓辦公效率也在可接受范疇之中，這就是***的調和。部署信息防泄漏系統必然或多或少地對企業系統有一些影響，以加密而言，除了會對計算機系統有影響，其本身的工作效率也是與穩定性掛鉤的，加解密效率高，相應的穩定性與安全性就會相對低一點。但這不因此就成為一個死結，企業只要讓兩者處于可接受范圍內即可。
其次從技術上講，要調和效率、安全和成本三者之間的矛盾，就要針對企業的實際情況進行有的放失的部署。企業中不同的部門有不同的安全需求，所以防護力度輕重有別是必然的，越嚴格的安全管控對企業的辦公效率的影響越大，所以企業必須非常清楚本身的安全需求的細節，從每個環節中去提高效率，最終才能追求整體上的高效率。而信息防泄漏方案的成本主要來源于加密產品，所以企業要確認真正需要高強度加密保護的核心機密信息，而不是一密全密。
另外信息防泄漏方案的順利運行還需要相應的規章制度與管理的配合，好的管理會提高信息防泄漏系統運行的效率，人與技術加在一起才能稱作效率。比如說企業中的移動存儲管理，從技術上說是可以對移動存儲進行識別與控制，但如果沒有嚴格的管理制度，企業里面還是會發生U盤泛濫的現象。
企業在選擇信息防泄漏方案時，只要明確自己的底線，在底線之上企業不必過于糾結三者之間的矛盾，況且隨著技術的革新，這種矛盾必會得到逐步改善。
·企業怎樣才能卓有成效地實施推進信息防泄漏方案?
目前越來越多的企業意識到內網安全的重要性，紛紛開始著手部署相關產品。但是由于內網安全建設經驗不足，大家在選擇與部署相關產品和方案時很茫然，如何選擇適合自己的方案，怎樣讓方案從最開始的計劃書變成最終高效運行的企業系統，是大家面臨的一個重要課題。
一個項目的順利實施離不開全面詳細的規劃與科學的管理。要使信息防泄漏方案能夠卓有成效地實施，必須從一開始就要進行嚴密的分析與科學的選擇。從流程上來講主要有以下幾點：
首先***成立專門的項目組，確定各自的工作內容。
然后要弄清楚企業的信息安全需求點。為什么要部署信息防泄漏方案?是為滿足國家信息安全保護要求，還是身處在一個商業機密泄露高發行業?企業的重要數據在哪里?是研發部?還是設計部?誰可以接觸到它?企業中可能存在的泄密渠道有哪些?網絡通訊還是移動存儲設備?等等，最終落實到項目需求分析書中。
再根據項目需求分析來設計實施計劃，詳細的安全保護策略和配套的安全管理制度。這個階段涉及到產品選型，企業在選擇產品的時候，除了考慮效率、安全性、穩定性、兼容性等技術指標外，還應該考慮廠商的研發能力、行業成功案例、售后服務等因素，綜合實力強的廠商可信度更高。
接下來是信息防泄漏方案的部署與測試。這個環節要注意科學的管理，人員的選擇，進度的把握等等。如果是按模塊進行部署的，可以在每個模塊部署后及時進行測試與驗證，以便發現問題與解決。
***在信息防泄漏系統運行與維護時，要注意與管理相結合，正所謂“七分技術，三分管理”，只有與管理配合，信息防泄漏方能達到***效果。
·信息防泄漏解決方案怎樣才能囊括對企業原有的ERPPLMOA等業務系統中數據的保護?
隨著企業信息管理系統的普及，應用系統的安全問題日漸成為企業的一個重要需求點，這些系統往往存儲著企業重要的數據，而且訪問量大，用戶身份雜，所以必須進行控制。實際上內網安全系統與企業原來的應用系統并不存在不相容的問題，內網安全系統的作用之一就是要保護存儲于ERP/OA/PLM這些系統中數據的安全。目前來說可以從以下兩方面進行安全部署：
一是充分利用好這些應用系統本身的權限控制機制，嚴格分配不同人員的權限及流動人員的權限管理，這是最基本的。
二是可以在這些系統前部署加密安全網關，對系統訪問的權限進行嚴格的控制，確保只有經過認證的程序和用戶可以訪問，這樣既可以保證數據的正常使用，又可避免數據在終端泄露;同時也要對打印、復制等行為進行適當管控，并且對操作進行詳盡的審計，便于隨時核查。
·企業應該怎樣看待審計在信息防泄漏體系中的角色?如何才能避免審計帶來的隱私難題?
雖然審計功能已經出現一段時間，但其實一直處于被忽視的位置。不少企業認為審計除了在事故發生后用于溯尋原因，無其他重要用處。是一個誤解，實際上審計應該說是企業部署信息防泄漏方案的基礎。部署前審計幫助企業發現存在的問題，應用過程中審計幫助企業掌握網絡實況，***審計是企業檢驗效果與實行改進的依據。可以說，審計就是企業信息安全的晴雨表，但如何將審計的作用發揮到***，同時避免有關隱私的法律問題，需要企業做好以下幾方面。
1、要明確審計的范圍，比如是不是需要審計所有的內容，還是只審計上網就夠了?從安全角度來說是越全越好，但從合理性角度來說，不該審計的，就不應該去碰;
2、對審計人員的權限，要有所限制。誰有審計的權限，什么情況下可以審計，需要走什么樣的流程，都該有成文的規定。由于審計人員擁有直接查看可能涉及到隱私的信息的權限，就有必要對其審計行為進行再審計。
3、要合理利用審計的來的信息，善于將得到的信息根據自己的需要做成高度可視化的報表，反映出關鍵的問題，為決策提供指導。
4、從實施的角度來說，***做到告知義務，同時形成制度性，在員工入職時進行保密協議等的簽署和公司制度、安全制度的培訓。
相信隨著審計本身的功能(如報表)的強大，越來越多的企業會認可它的重要性，也會花更多時間與精力去研究與應用它。
以上五個問題是溢信科技在2011-2012調研數據中精選出來的，企業在部署信息防泄漏方案時最常面對的幾個難題，但是答案顯然是不足以解決所有問題的。信息防泄漏建設不是一蹴而就的，需要企業結合自身的實際情況慢慢地去探索。未來隨著新技術的發展，企業面臨的網絡必然更加復雜，而業務的發展也必然會要求企業的內網具有更大的開放性，信息安全是企業發展一項基礎性工作，企業必須真正重視起來，并投入足夠的人力物力進行研究與執行，才能找到適合自己的卓有成效的信息防泄漏方案。
【編輯推薦】
