淺談企業(yè)如何實現(xiàn)防數(shù)據(jù)泄露
病毒、木馬、黑客攻擊，仿佛互聯(lián)網(wǎng)上存在著各種各樣的安全威脅。如今，網(wǎng)絡(luò)安全防護(hù)不僅僅是針對于這樣或那樣代碼組成的程序而進(jìn)行，由于競爭對手的網(wǎng)絡(luò)間諜活動造成公司數(shù)據(jù)被竊取又成為了新的網(wǎng)絡(luò)威脅。自然，防數(shù)據(jù)泄露就成為了我們關(guān)注的話題。
那么，為了防止你的數(shù)據(jù)從公司泄露出去，應(yīng)該采取哪些措施呢?
防數(shù)據(jù)泄露第一招：貫徹執(zhí)行最少特權(quán)的原則
你可以根據(jù)兩種截然相反的理論觀點設(shè)置你的網(wǎng)絡(luò)訪問策略。第一種，“全面開放”策略，假設(shè)所有的數(shù)據(jù)對每一個人都是可用的，除非明確地限制其訪問。第二種策略即“最少特權(quán)”策略，即所有的數(shù)據(jù)禁止所有用戶的訪問，除非一個用戶被明確地給與這種訪問權(quán)限。后者就像是一個情報機構(gòu)：除非一個用戶擁有所需要的適當(dāng)證明來訪問一個特定的文件，否則就不能訪問它。
防數(shù)據(jù)泄露第二招：將策略寫下來形成書面規(guī)章制度
你可能會認(rèn)為你的員工不應(yīng)復(fù)制公司的重要信息，并將其帶回家去;在沒有經(jīng)過允許之前，員工也不應(yīng)該將這些信息通過電子郵件發(fā)送到網(wǎng)絡(luò)之外去。這是很顯明的事情。不過，如果你不將這些策略和規(guī)則寫下來或打印出來，并讓員工在其上簽字，那么如果他們違反了這些要求，你將很難懲罰他們。不形成規(guī)章制度或者未成文的規(guī)則是很難實施的。
你的規(guī)則應(yīng)該具體明確，并舉出例子哪些行為應(yīng)該禁止。員工們可能不理解，除非你清楚地說明之，通過電子郵件將公司的文檔以附件的形式發(fā)送到公司網(wǎng)絡(luò)之外(或者發(fā)送到其家庭賬戶上)違反了公司的規(guī)則，這與下面的行為是一樣的：將這個文檔復(fù)制到磁盤上或一個USB設(shè)備上，然后將其帶出公司大門，它們同樣違反了公司規(guī)則。
不過，對規(guī)則的措詞應(yīng)該體現(xiàn)出：加以禁止的行為不限于你所舉的例子，一切威脅公司安全的行為都應(yīng)禁止。
防數(shù)據(jù)泄露第三招：設(shè)計限制性的許可和審計訪問
保護(hù)數(shù)據(jù)非常重要的一步就是針對數(shù)據(jù)文件和文件夾設(shè)計恰當(dāng)?shù)脑S可。毋庸質(zhì)疑，Windows網(wǎng)絡(luò)的關(guān)鍵數(shù)據(jù)應(yīng)該存儲到一個NTFS分區(qū)上，因此你才能運用某種共享許可實施NTFS許可。NTFS許可比共享許可更加精細(xì)，并能運用到訪問本地計算機和網(wǎng)絡(luò)數(shù)據(jù)的用戶身上。
要盡可能地給用戶最低級的、能完成工作的許可。例如，將“只讀”許可給用戶，防止他們修改文件。
你還可以對包含敏感數(shù)據(jù)的文件和文件夾進(jìn)行審核，因此就可以看出誰在什么時間訪問了數(shù)據(jù)。
防數(shù)據(jù)泄露第四招：使用數(shù)據(jù)加密
將數(shù)據(jù)存儲在NTFS格式的磁盤上的另外一個好處是你可以實施加密文件系統(tǒng)(Encrypting File System (EFS))的加密。EFS由Windows 2000及以后的操作系統(tǒng)所支持，可以防止其他用戶打開文件，即使他們擁有NTFS許可。至于Windows XP/2003及以后的操作系統(tǒng)，可以通過在加密對話框中給其分配特定的許可，實施加密文件夾的共享。
竊取數(shù)據(jù)的一種方法是竊取整臺計算機，特別是筆記本電腦等。對于Vista 企業(yè)版和終極版，為防止萬一計算機被竊取的造成的數(shù)據(jù)丟失，可以利用BitLocker的完全驅(qū)動器加密來保護(hù)數(shù)據(jù)。
防數(shù)據(jù)泄露第五招：實施權(quán)限管理
有一些數(shù)據(jù)竊取確實可以通過上述的方法來避免。然而，對于那些你需要給與訪問權(quán)限的人造成的數(shù)據(jù)竊取怎么辦?可以利用Windows Rights Management Services(權(quán)限管理服務(wù),簡稱 RMS)，以及許多Office 2003和 Office 2007版本中的信息權(quán)限管理(Information Rights Management,IRM)來防止用戶利用轉(zhuǎn)發(fā)、復(fù)制等手段濫用你發(fā)給他們的電子郵件消息和Office文檔(主要是Word、 Excel、 PowerPoint)。
防數(shù)據(jù)泄露第六招：限制可移動媒體的使用
將數(shù)字信息偷盜出公司的一個最普遍的方法是將其復(fù)制到某種可移動媒體或設(shè)備上。USB設(shè)備價格便宜、易于隱藏，高容量的SD，CF卡和其它的 fash存儲卡能夠存儲大量的數(shù)據(jù);用戶可以將數(shù)據(jù)復(fù)制到MP3播放器上，通過CD或DVD刻錄機也可以將數(shù)據(jù)轉(zhuǎn)移出去。不過，可以通過移除USB端口等方法永久性限制USB設(shè)備的安裝和使用，可以通過注冊表或者利用其它軟件來禁止在某臺計算機或整個網(wǎng)絡(luò)上使用可移動媒體。
在Vista中，可以利用組策略限制對可移動媒體的使用。具體可參考相關(guān)文章。
防數(shù)據(jù)泄露第七招：控制筆記本電腦的使用
用戶可以將文件帶走的另外一種方法，是用一臺筆記本電腦或掌上電腦連到內(nèi)部網(wǎng)絡(luò)上，將文件復(fù)制到其硬盤上，然后將其計算機帶走。你應(yīng)該控制有哪些電腦可以連接到你的局域網(wǎng)，不僅僅是對遠(yuǎn)程訪問的控制，而是應(yīng)該控制誰可以將網(wǎng)絡(luò)電纜插入到你的集線器或交換機。
可以使用IPSec來防止不是域成員的計算機連接到你的文件服務(wù)器以及局域網(wǎng)上的其它計算機。具體相關(guān)內(nèi)容請參考有關(guān)文章。
防數(shù)據(jù)泄露第八招：為傳出的網(wǎng)絡(luò)信息制定規(guī)則
防火墻所做的不僅僅是阻止不合需要的通信訪問你的網(wǎng)絡(luò)，還可以防止特定的通信離開你的網(wǎng)絡(luò)。你可以設(shè)置防火墻來阻止某些類型的傳出協(xié)議，如p2p軟件所使用的協(xié)議。
你可以設(shè)置郵件服務(wù)器來阻止發(fā)出郵件附件，還可以利用內(nèi)容過濾的軟件或服務(wù)來阻止發(fā)出去的內(nèi)容，例如，可以使用Reconnex iGuard MX Logic，Microsoft ForeFront，GFI Mail Security等。
防數(shù)據(jù)泄露第九招：控制無線通信
即使你通過防火墻或者過濾系統(tǒng)阻止發(fā)出某些類型的數(shù)據(jù)，一個意志堅定的家伙還是可能將公司的電腦連接到某個范圍內(nèi)的不同無線網(wǎng)絡(luò)，即一個沒有實施阻止機制的無線網(wǎng)絡(luò)。或者他可能將計算機連接到一部擁有互聯(lián)網(wǎng)訪問能力的移動電話上，然后將此電話作為一個調(diào)制解調(diào)器，實現(xiàn)無線上網(wǎng)的企圖。
因此，跟蹤可能離開公司所在地的無線網(wǎng)絡(luò)其及其設(shè)備，如果可能的的話，阻止其信號。
防數(shù)據(jù)泄露第十招：當(dāng)心其它的具有“創(chuàng)造性”的數(shù)據(jù)竊取方法
記住，你的數(shù)據(jù)流出網(wǎng)絡(luò)可能會有許多方法。一個用戶可以打印一份文檔，將其以紙張的形式帶出公司;或者一個竊賊可能從垃圾桶里竊取沒有進(jìn)行銷毀處理的文檔資料。即使你已經(jīng)實施了版權(quán)管理等技術(shù)來防止復(fù)制或打印文檔，某個人還是可以通過膠片或數(shù)字電影的形式帶走資料，或者是坐下來手工抄寫文檔信息。因此，需要萬分小心，采取縝密的措施來保護(hù)你的數(shù)據(jù)安全。
【編輯推薦】
