企業數據的共享從來都不是那么簡單。員工可以用郵件添加附件，在云上同步文件，用閃存拷貝幾個GB的數據，從外部訪問網絡上資源等等。這樣的優點在于提高了生產力和工作的靈活性。不足就是IT對敏感數據的保護更為艱難，尤其是對內部惡意使用者的防護。企業可以考慮通過終端數據防丟失工具作為終端安全管理的一部分。

注意內部人員的工作

這個春天，Victorinox發布了最新的Swiss Army Knife，其中包含了一個跳盤可以存儲1TB的數據，而且寫入速度支持到最大150MBps。借助這樣的設備，企業內部的惡意人員出于報復或利益的原因可以盜走整個數據中心。

根據Identity Theft Resource Center數據，在2011年全美企業報告的所有數據中心問題中，出現了56起內部人員偷盜案例，占到13.4%的比例。

傳輸大量數據最簡單的辦法就是拷貝到USB設備，但是希望偷盜信息的雇員還可以通過CD、DVD、平板、筆記本或任何其它可移動媒體下載，這些都可以輕松帶出數據中心大樓。

但是終端安全管理軟件不僅限于可移動磁盤上的數據。對公司不滿下決心離開的員工可能通過Web應用、公開網絡、文本信息或email附件來發布機密信息。惡意的內部人員還被發現通過無線訪問，如802.11無線LAN，個人藍牙局域網絡和寬頻廣域網等方式訪問終端。

DLP工具對安全的作用

多數企業中，IT人員花費大量精力用于保護敏感數據不受外部攻擊。甚至內部惡意訪問也可以通過一些最佳實踐來降低，例如控制權限、管理網絡賬戶和升級人力資源策略來區分雇傭和解雇。IT不能保證總是勤勉工作，而且在終端數據防丟失方面發生問題很多是因為試圖監控和防范潛在風險工作本身的復雜性。

這就是終端DLP（data loss prevention (DLP)工具發揮作用的時候。廣泛的防護系統應該包含雇員存儲數據以及在自己的工作站和移動設備上使用敏感數據等方面內容。DLP工具可以掃描終端上的硬盤，并識別機密信息數據存放的地點和哪些數據面臨最大的風險。它們可以針對不同數據類型采取特殊的動作。例如，數據防丟失軟件可以隔離敏感數據，把它移動到安全網絡地點或對它進行加密。

DLP工具還可以監控數據在終端上的使用情況。任何涉及敏感數據的動作，如向跳盤拷貝文件或通過郵件發送附件等都可以跟蹤到。

監控僅僅是終端安全管理工具的功能之一，例如，數據防丟失軟件系統可以防止文件被拷貝到USB設備和通過郵件發送。或者，除了這些防止動作之外，軟件還可以加密機密文件。

敏感數據防丟失方案中還可以設置向IT人員發出通知或隔離數據。它可能會禁止終端設備，或向其它客戶提出申請來檢查是否涉嫌數據丟失。

例如市場上的終端DLP工具有Symantec Data Loss Prevention for Endpoint 和Websense Data Endpoint。盡管Websense不能共享賽門鐵克的知識，這兩個產品提供相似的功能，都提供綜合的敏感數據監控和保護功能。

Symantec或許更擅長制定和管理策略，而且在監控和防止未授權訪問方面也證明了其能力。另一方面，Websense在易安裝和管理方面獲得一致好評，還有它的綜合報告功能。另外，很多IT愛好者考慮ROI的時候認為Websense是更為純粹的產品。此外，還有一些其它類似軟件。

不管您選擇了哪種DLP工具，雇員可能都對限制他們行為的動作不那么配合，除非他們已經被教育過敏感數據保護的重要性。例如，如果雇員理解他們為什么禁止向跳盤下載文件，可能在傳輸文件遇到彈出禁止窗口的時候會更為合作。

DLP工具的限制

使用數據防丟失軟件可能極大提高終端設備的安全管理，但是沒有什么系統可以達到完美。例如，DLP工具必須被安裝到所有的網絡終端上才能完全發揮作用，而且現在的應用不能工作在移動手機設備上。如果用戶在咖啡館網絡通過外部設備，如家庭PC或筆記本，訪問網絡時也不能發揮作用。

終端DLP工具可以緩和數據丟失，但是它也僅僅是多層次安全防護的一部分。例如Symantec的Data Loss Prevention for Endpoint，僅僅是Data Loss Prevention Product Family系列產品的一部分，而Websense Data Endpoint則是Websense Data Security Suite套件的組成部分之一。兩個產品線都可以不僅防止終端上的數據丟失，而且保障任意其它設備或在網絡上傳輸時數據的安全。

為了最好地保護敏感信息，數據防丟失軟件還可作為終端安全管理的組成部分，把其它的一些技術，如訪問控制和惡意監測整合起來。Websense Data Security Suite的配置上就提供了跟防火墻和防病毒軟件的整合功能。

數據丟失防護和DLP工具可以填補其它的一些數據安全漏洞。例如，防病毒軟件或防火墻，不能防止惡意的內部人員下載文件到跳盤上。而DLP工具則可以。沒有什么應用可以根除所有的數據丟失風險，但是把DLP工具作為全面終端安全管理策略的一部分可以幫助達成這個目標。