企業(yè)安全所涉及的范圍正在迅速減少。從公司的財(cái)務(wù)信息、源代碼郵件、非結(jié)構(gòu)化文件到其他形式的數(shù)據(jù)都游離于企業(yè)防火墻之外，在非IT控制設(shè)備上。劍橋和Forrester研究公司發(fā)現(xiàn)北美和歐洲的企業(yè)里有一半左右（47%）企業(yè)認(rèn)為為第三方合作伙伴執(zhí)行安全需求是很重要的。

IT界的安全長(zhǎng)期以來都遵循一個(gè)簡(jiǎn)單的原則：公司擁有所有用戶的終端設(shè)備（訪問公司信息），設(shè)備安全了其上的數(shù)據(jù)也就安全了。但是如果這個(gè)原則不再適用，那會(huì)怎么樣呢？敏感信息在非公司所屬設(shè)備的儲(chǔ)存和傳輸?shù)牟槐阍絹碓矫黠@，表明這個(gè)原則是行不通的。

從事制造、媒體和季節(jié)性服務(wù)的企業(yè)之間的對(duì)話揭示了一個(gè)非常規(guī)的但卻充滿智慧的概念：控制并不一定需要所有權(quán)。不僅這樣，要成功地控制敏感信息在網(wǎng)絡(luò)上的傳播就需要徹底扭轉(zhuǎn)傳統(tǒng)的概念，即假設(shè)企業(yè)沒有任何設(shè)備的控制權(quán)。Forrester研究公司把這個(gè)策略稱為零信托模型。對(duì)這個(gè)策略更為簡(jiǎn)單的解釋就是：假設(shè)所有終端設(shè)備都是不友好的。

在最近的研究中，F(xiàn)orrester研究公司列出實(shí)行零信任策略的五個(gè)數(shù)據(jù)安全設(shè)計(jì)模式：瘦客戶機(jī)、瘦設(shè)備、進(jìn)程保護(hù)、數(shù)據(jù)保護(hù)和跟蹤。所有的這些模式都假設(shè)企業(yè)沒有終端設(shè)備的擁有權(quán)。將所有權(quán)和控制權(quán)分開，企業(yè)能夠設(shè)計(jì)出一個(gè)網(wǎng)絡(luò)終端安全政策，它包含了所有可能的所有權(quán)形式，如“技術(shù)大眾主義”、境外生產(chǎn)和外包。最終用戶可以通過以下方式來保障公司的信息安全。

1.瘦客戶端：進(jìn)程集中化，信息本土化

瘦客戶端很早就被零信托計(jì)劃策略采用，它集中了很多技術(shù)。像流媒體服務(wù)器、虛擬主機(jī)桌面技術(shù)和虛擬工作間技術(shù)。為了加強(qiáng)它的安全性，須將敏感數(shù)據(jù)集中在安全性能更好的設(shè)備里，遠(yuǎn)程設(shè)備只有通過瘦客戶機(jī)的終端應(yīng)用程序才能進(jìn)行數(shù)據(jù)訪問。由于這里需要與網(wǎng)絡(luò)對(duì)接，所以瘦客戶端不支持脫機(jī)使用。

瘦客戶端的優(yōu)點(diǎn)是數(shù)據(jù)從不離開服務(wù)器：它只將數(shù)據(jù)提供給終端設(shè)備。出于安全考慮，IT能夠限制主機(jī)的粘貼復(fù)制操作，限制數(shù)據(jù)轉(zhuǎn)移，并要求使用tokens.Client進(jìn)行兩方身份驗(yàn)證。

2.瘦設(shè)備：出于設(shè)備安全考慮，使用備份數(shù)據(jù)

瘦形設(shè)備模式通過限制允許訪問數(shù)據(jù)的設(shè)備類型來控制訪問途徑。智能手機(jī)等設(shè)備只能儲(chǔ)存一定量的敏感信息。它們所儲(chǔ)存的信息是復(fù)制而來的，原始數(shù)據(jù)則儲(chǔ)存在數(shù)據(jù)中心。由于它們的體積、儲(chǔ)存容量和處理速度的限制，應(yīng)用程序被局限在電子郵件、小規(guī)模瀏覽網(wǎng)頁(yè)和簡(jiǎn)單的網(wǎng)頁(yè)程序中，根本談不上通常的數(shù)據(jù)處理。而在薄形設(shè)備模式中，IT安全團(tuán)隊(duì)仍能控制設(shè)備的安全，即使他們并不具備設(shè)備的擁有權(quán)。使用本土的管理工具或者第三方移動(dòng)設(shè)備平臺(tái)，如Sybase公司的產(chǎn)品，可以通過備份和強(qiáng)制加密等加強(qiáng)智能手機(jī)的安全。出于安全考慮，瘦形設(shè)備可以被遠(yuǎn)程移除，做到真正意義上的可控制，這點(diǎn)與PC機(jī)不同。然而，在不屬于自己的設(shè)備上強(qiáng)加IT安全政策會(huì)存在技術(shù)上或者政策上的不便。

3.進(jìn)程保護(hù)：在一個(gè)安全的環(huán)境中處理本地信息

瘦客戶機(jī)模式中用戶設(shè)備不儲(chǔ)存敏感信息，但進(jìn)程保護(hù)模式與此不同，它允許數(shù)據(jù)運(yùn)行在非IT所有的設(shè)備中。一個(gè)獨(dú)立進(jìn)程環(huán)境中的敏感信息，即從用戶的本地操作系統(tǒng)環(huán)境中分離出來——基本上是一個(gè)“氣泡”——其中的安全和備份性能是由IT控制。進(jìn)程保護(hù)模式有很多優(yōu)勢(shì)：本地執(zhí)行、脫機(jī)操作、中央管理和一個(gè)高精度的安全控制，包括遠(yuǎn)程擦除功能。但是要記住，大多數(shù)操作系統(tǒng)和應(yīng)用虛擬化產(chǎn)品僅支持英特爾或Windows。

4.數(shù)據(jù)保護(hù)：文檔自我保護(hù)不受位置限制

鑒于以前的模式都設(shè)法通過控制運(yùn)行環(huán)境來處理信息，而數(shù)據(jù)保護(hù)模式保護(hù)的是數(shù)據(jù)本身。如企業(yè)版權(quán)管理（ERM）這樣的技術(shù)可直接訪問文件規(guī)則。無論文件放置在何處，這些依靠密碼方式強(qiáng)制執(zhí)行的規(guī)則都是適用的，這是一個(gè)重要的優(yōu)勢(shì)。所有零信托數(shù)據(jù)安全戰(zhàn)略里的模式保護(hù)數(shù)據(jù)都是最精細(xì)、最有效的，因?yàn)樗闹攸c(diǎn)是信息，而不是信息的載體。

這種模式缺點(diǎn)之一是，ERM的每個(gè)終端都需要客戶端代理。該技術(shù)還會(huì)給部署帶來挑戰(zhàn)：一些機(jī)構(gòu)告訴弗里斯特研究公司，ERM的商業(yè)客戶制定的政策有時(shí)過于嚴(yán)厲，使得數(shù)據(jù)難以獲取，而且政策不能很好地適應(yīng)機(jī)構(gòu)改革。

5.跟蹤：明確重要的信息移除的時(shí)間

零信托數(shù)據(jù)安全設(shè)計(jì)的第五種模式使用的是補(bǔ)充數(shù)據(jù)檢測(cè)控制技術(shù)，用來檢測(cè)、記錄和選擇性封殺物理或邏輯企業(yè)邊界的敏感數(shù)據(jù)。數(shù)據(jù)泄漏防護(hù)（DLP）技術(shù)和較小程度的安全信息和事件管理（SIEM）工具，是這一模式的重要組成部分。

該模式的主要優(yōu)點(diǎn)是，它可以檢測(cè)敏感數(shù)據(jù)，因?yàn)樗谶壿嫲踩吔缫酝膺\(yùn)行，所以它能很好地理解信息流的速度和方向，并發(fā)現(xiàn)異常傳輸。不幸的是，大多數(shù)企業(yè)都不能要求其業(yè)務(wù)伙伴在他們的計(jì)算機(jī)上安裝的DLP代理?；谶@個(gè)原因，企業(yè)應(yīng)把空中監(jiān)管模式作為個(gè)人電腦保護(hù)的一種補(bǔ)充。  

【編輯推薦】

1. 搜索結(jié)果網(wǎng)絡(luò)準(zhǔn)入，主動(dòng)防御——終端安全面面觀
2. 終端安全系列談：準(zhǔn)入控制保障“內(nèi)網(wǎng)合規(guī)”