移動存儲介質六大誤區(qū)威脅用戶數(shù)據(jù)安全
每隔幾個月，就會傳出磁帶丟失或筆記本電腦被盜的糟糕事件；于是我們就在想存儲在介質上的信息會不會被壞人所利用，因而不但使公司面臨公關危機，還會使個人面臨泄密威脅。
保護企業(yè)關鍵數(shù)據(jù)安全是IT運維人員最為基本的工作之一。很多企業(yè)均采用移動介質存儲方式來對數(shù)據(jù)進行備份保護。為保證他們保護數(shù)據(jù)安全的工作能夠順利完成，本文提醒你要小心——不要步入移動介質存儲方面六個誤區(qū)之中。
***個誤區(qū)：磁帶過時了
簡陋的磁帶讓人聯(lián)想到久遠的大型機和批處理時代，在一些情況下已經(jīng)被磁盤到磁盤備份（通過網(wǎng)絡備份至遠程站點）所取代。但是說到迅速而高效地備份、歸檔及恢復大量數(shù)據(jù)，沒有什么比得過磁帶。
Iron Mountain公司既提供通過網(wǎng)絡連接的數(shù)據(jù)備份，又提供在其站點的磁帶存儲服務。這家信息保護和存儲公司的高級副總裁Ken Rubin說：“遇到災難的情況下――這時候需要爭分奪秒，沒有什么比把一堆磁帶放到車上、開車送到恢復站點更有效的了。由于帶寬方面的限制，通過網(wǎng)絡連接傳輸數(shù)TB或數(shù)PB的數(shù)據(jù)是不切合實際的?！?/P>
不過，有些用戶想改用其他存儲服務。Affiliated Computer Services Inc.（ACS）公司的***信息安全官Christopher Leach說：“由于磁帶面臨丟失的威脅，我們正在設法退出磁帶存儲這一塊業(yè)務?！彼硎荆珹CS正在開發(fā)一項服務：要是文件不是太大，把經(jīng)過加密的數(shù)據(jù)備份通過網(wǎng)絡瀏覽器發(fā)送給客戶。
誤區(qū)二 保護磁帶和筆記本電腦是網(wǎng)管的工作
保護信息技術當然是IT人員的一項工作。但是公司里面其他人同樣有著重要作用，可是這種作用經(jīng)常被人們所忽視。
紐約州的CIO Melodie Mayberry-Stewart動用由12個人組成的法律團隊來研究***安全實踐，特別是金融行業(yè)方面的安全實踐。她表示，其中一些人專門從事加密和電信等領域。
另外，她還有一支不同的技術團隊，成員專門從事安全和風險管理。Mayberry-Stewart表示，律師們與Iron Mountain等運送及保存紐約州磁帶的公司協(xié)商簽訂“事無巨細”的合同以及“服務級別方面的備忘錄”――每個月要從四個大型機數(shù)據(jù)中心運走大約4000只磁帶。
Sun公司在世界各地的七個數(shù)據(jù)中心經(jīng)常創(chuàng)建磁帶。盡管每個數(shù)據(jù)中心管理各自的一套數(shù)據(jù)保留流程，“它們不需要制訂各自的所有規(guī)則，”Sun公司的***信息安全官Leslie Lambert說。那么，這些規(guī)則、政策和程序從何而來？她說：“我們有一支非常警覺的法律團隊、一支隱私團隊、商業(yè)行為規(guī)范團隊、內部審計員、外部審計員以及信息保護法律小組――大家都相互合作?！?/P>
Leach表示，時時遵守數(shù)據(jù)保護和保留方面的政府法規(guī)需要具備專業(yè)知識，不過這項工作的難度太大了，于是他通過Relational Security公司的風險和合規(guī)管理軟件來獲得自動化幫助。
誤區(qū)三 丟失磁帶主要是個安全問題
當然，丟失磁帶也可能是場安全災難；要是被公眾知道，那對公關部門來說無疑是一場噩夢。但另外可能還存在危害性同樣大的后果。
醫(yī)療產(chǎn)品生產(chǎn)商Stryker 公司的IT副總裁Brian Lurie說：“我并不過于擔心丟失員工信息（比如社會保障號碼），不過這個問題肯定很重要。讓我夜不能寐的是，可能會丟失磁帶，然后不得不向管理當局FDA出示數(shù)據(jù)。我擔心的是公司因丟失信息而要承擔的責任；按照法律，我們必須妥善保留信息?！?/P>
Lurie表示，盡管法律要求一些信息要保存7年，但Stryker必須長期保留人體內使用Stryker產(chǎn)品的客戶們的信息、直到他們去世。雖然該公司在遠程站點恢復中心對磁盤做了鏡像處理，但經(jīng)過一段時間后，有些數(shù)據(jù)只保存在磁帶上，這些磁帶被Iron Mountain運送過去、存儲在遠地。
Lurie定期派審計人員到Iron Mountain的地方去清查Stryker的磁帶。他表示，定期審計是分三部分的磁帶保護計劃的一部分；該計劃還包括精心擬訂合同、與信譽可靠的磁帶存儲供應商合作。
專家們表示，有人竊取磁帶后非法利用這種事很少發(fā)生，幾乎不用擔心。簡單的人為錯誤引起磁帶丟失、從而影響將來處理磁帶，顯然是最常見的問題。#p#
誤區(qū)四 技術解決不了，關鍵是嚴格控制
專家們表示，精心設計、盡可能自動化以及經(jīng)過測試的規(guī)程和控制措施，能夠最有效地限制磁帶和筆記本電腦因無人看管而引起的丟失。但是技術也能起到很大的幫助。
數(shù)據(jù)加密仍然是首要的工具。盡管這項技術消除不了Lurie擔心因無法恢復數(shù)據(jù)而吃官司的憂慮，但是可以放心地告訴律師、記者和警方：壞人對筆記本電腦無從下手，因為硬盤經(jīng)過加密；或者對磁帶無從下手，因為磁帶上的數(shù)據(jù)無法讀取。
Leach表示，ACS的所有員工臺式機和筆記本電腦都要求“經(jīng)過全盤加密”。“一旦磁盤經(jīng)過了加密，我們可以監(jiān)控及跟蹤；如果你試圖解密硬盤，我們就會知道，然后會通知你的管理人員?！?/P>
ACS放在達拉斯磁帶庫的磁帶超過了100萬只，其標準做法是對這些磁帶上的內容進行加密。Leach表示，但是有些客戶不想費錢又費力地對ACS送過來的備份磁帶進行解密，所以他們要求保存的內容采用明文格式。他說：“對這些磁帶而言，我們在每一步都有非常嚴格的包裝、標記及跟蹤，幾乎就像是案件中的監(jiān)管鏈（chain of custody）。磁帶放入到龜形盒，這種盒子需要兩頭上鎖及開鎖?！?/P>
另外，他說“我們?yōu)檫@些磁帶保了高額險，倒不是因為磁帶或光盤很值錢，而是因為這會促使運送方采取更嚴格的流程和更認真的檢查。”
用戶聲稱，他們在研究新的技術來補充或代替加密。紐約州正在關注保護筆記本電腦和磁帶盒的拇指紋掃描。ACS也在考慮三款磁設備的原型：一旦上鎖的盒被摔開，這種設備就會清除上鎖盒里面磁帶上的內容。
Iron Mountain表示，最有效的自動化幫助可能來自磁帶庫存控制系統(tǒng)，它有助于杜絕磁帶丟失的首要原因：公司內部的人為錯誤。
誤區(qū)五 加密后可萬無一失
盡管加密常常被認為是***的技術解決方案，但它也有缺點。比方說，如果你要恢復磁帶上的內容，卻丟了用來解密的密鑰，可能要倒霉了。另外，把數(shù)據(jù)寫入到磁帶、筆記本電腦硬盤或移動介質之前進行加密要占用大量的計算機資源。***，加密在許多公司不是一項硬性要求，員工可能會規(guī)避。
由于這些原因，Stryker對筆記本電腦的硬盤不加密，除非硬盤上有敏感數(shù)據(jù)。遠程用戶可能需要的敏感信息放在受保護的服務器上；只有需要服務器上的敏感信息時，才可以訪問；并不保留在本地。Lurie承認這不是***的做法，因為這需要用戶主動遵守規(guī)定。
Lurie表示，如果Stryker改用Windows Vista，他可以省不少事；因為該操作系統(tǒng)提供了對數(shù)據(jù)自動加密的選項。他補充說：“不過加密選項是個負擔――你需要額外內存，還會使機器的運行速度減慢?！?/P>
誤區(qū)六 如果你保護了，就可無憂了
新聞報道的注意力集中在丟失的磁帶和筆記本電腦上，但還有其他許多設備每天晚上從貴公司的大門溜走。Lurie表示，“黑莓”手機等移動設備在Stryker得到了保護。他解釋：“我有能力遠程清除移動設備上的內容。一旦移動設備丟失，我們會立即向設備發(fā)出信號、清除上面存儲的內容?！?/P>
但是，閃存驅動器、光盤和DVD更成問題。Lurie的解決辦法就是：“如果沒有經(jīng)過加密，我們就阻止把敏感信息下載到它們上面?！?/P>
Lurie表示，他甚至擔心不太起眼的手機。他說：“我們不允許把相機帶入辦公大樓，但很多人的手機有拍照功能。要是誰給某人或某樣東西拍了照，然后發(fā)到網(wǎng)上，我們可能就要承擔責任。我還不太清楚如何處理這種問題，但一直在認真思考該問題?！?BR>
【相關文章】
