據(jù)CSI和FBI每年的聯(lián)合調查報告顯示：近幾年信息安全事件造成的損失當中，30%～40%是由電子文件的泄漏造成的。而在《財富》雜志排名前1000位的公司每年因電子文件泄漏造成的損失總值高達500多億美元，該數(shù)值增速呈逐年加快之勢。

這則數(shù)據(jù)已經(jīng)清楚無誤的表明，在企業(yè)快速發(fā)展的今天，隨著企業(yè)信息化應用的深入，電子文件泄密給企業(yè)帶來的損失已經(jīng)呈逐年加速之勢，如何保護企業(yè)的核心資產成為了當務之急。本篇文章將就如何保住企業(yè)的核心資產展開討論，具體分為四大部分：安全評估、風險分析、風險治理、價值體現(xiàn)。

一、企業(yè)信息保密狀態(tài)安全評估

要清楚認識到企業(yè)自身的數(shù)據(jù)安全現(xiàn)狀,就必須有一套清晰的評估方法。這里可以提供三點評估方法供各位參考。

1. 數(shù)據(jù)保密意識是否具備？

2. 數(shù)據(jù)保密措施是否缺乏？

3. 數(shù)據(jù)保密制度是否健全？

在我們看來，評估一家企業(yè)的數(shù)據(jù)安全現(xiàn)狀，必須以人為本。企業(yè)領導是否有數(shù)據(jù)保密意識？員工是否能遵守保密制度？這都是關鍵。企業(yè)領導和員工具備良好的保密意識，輔之健全措施和制度，能大大提升企業(yè)核心資產的信息安全。當然，這與企業(yè)的信息化程度以及數(shù)據(jù)是否以電子文檔形式存在也有很大關系。

圖１企業(yè)數(shù)據(jù)安全現(xiàn)狀評估

目前，國內外的信息安全管理標準的核心要點都是圍繞技術和制度展開說明的。以BMB-17為例，技術方面主要從物理安全、網(wǎng)絡安全、主機系統(tǒng)安全、應用安全和數(shù)據(jù)安全等五個方面來評估企業(yè)的安全現(xiàn)狀，其中應用安全和數(shù)據(jù)安全是其所強調的核心部分，也是評估企業(yè)保密工作情況的重要參考點。制度上，包括機房管理制度、計算機使用制度、人員管理制度、信息資產安全管理制等各方面的安全制度，都是企業(yè)需要考慮的。從我走訪的一些大型制造業(yè)來看，企業(yè)管理層對如何平衡技術和管理制度方面往往不知所措。這里可以給在座各位提個建議，即從生產經(jīng)營的各個角度和途徑尋找薄弱點，然后給予技術和制度上的改進。

二、企業(yè)信息保密風險分析

企業(yè)數(shù)據(jù)泄密風險主要分為兩個方面：主動泄密和被動泄密。從相關統(tǒng)計數(shù)據(jù)觀察，主動泄密占據(jù)高達80%，被動泄密為20%。本文開頭已引述了一則因數(shù)據(jù)泄密給企業(yè)帶來的經(jīng)濟損失數(shù)據(jù)。這里我再提及一個案例。不久前去臺州，曾經(jīng)的亞洲最大的縫紉機廠倒閉的原因就是因為生產數(shù)據(jù)沒有保護好，內部相關人員能輕易的將核心資料拿到市場低價出售，這些核心資料一旦落到競爭者手中，其后果將是致命的。因此，保證企業(yè)的核心資料不被泄露是保證企業(yè)能否在競爭激烈市場的立足之本。

圖2 企業(yè)數(shù)據(jù)泄密途徑

對于數(shù)據(jù)泄密途徑，我們歸納出了七點，包括移動終端遺失、跨部門或跨計算機的數(shù)據(jù)轉移以及外來計算機非法入侵、存儲介質隨意使用、網(wǎng)絡外發(fā)程序(Mail\QQ\MSN\...)、打印以及CD刻錄、數(shù)據(jù)非法二次轉播、PDA等移動辦公終端對于辦公系統(tǒng)的接入。

以上提到的每一個環(huán)節(jié)都不可忽視。對于制造企業(yè)，客戶信息、交易數(shù)據(jù)、研發(fā)數(shù)據(jù)都是企業(yè)的核心資產，必須封堵有可能導致這些數(shù)據(jù)泄密的途徑。對于上市的制造企業(yè)，還必須防止各種負面消息的出現(xiàn)，避免對股市產生不良影響。#p#

三、企業(yè)信息保密風險治理

面對前面提到的種種風險，企業(yè)該如何避開這些風險？將企業(yè)面臨的數(shù)據(jù)泄露風險降到最低？這就是涉及到對風險的管控和治理。

要做好企業(yè)風險治理，首先必須明確目標，這個目標就是將企業(yè)信息泄露風險降到可接受水平。之所以這樣講，是因為保證信息的絕對安全是不存在的，索尼PSN泄密事件可能已經(jīng)讓在座各位深刻的認識到這一點。其次，就是要分析企業(yè)信息安全盲點，包括技術上和制度上的，然后逐一消除這些盲點。

那么如何將企業(yè)的信息泄露風險降低到可接受水平，并消除企業(yè)可能存在的信息安全管控盲點？明朝萬達的專業(yè)解決方案如圖3所示。

圖3 企業(yè)信息不同層級保密解決方案

第一層是基于終端的數(shù)據(jù)保密，即所有網(wǎng)內的計算機都是企業(yè)需要保護的目標。終端保密是明朝萬達信息保密解決方案中的核心，其中包括身份認證管理、移動存儲管理、本地硬盤加密、網(wǎng)絡傳輸控制、外部設備控制、敏感數(shù)據(jù)過濾六個方面，如圖4所示。

圖4 終端保密解決方案#p#

明朝萬達的終端保密產品能通過場景設定與應用，實現(xiàn)工作模式和個人模式的切換。在個人模式下，員工只能訪問非工作資源區(qū)，員工可以隨意下載、訪問互聯(lián)網(wǎng)，但無法訪問企業(yè)關鍵數(shù)據(jù)。只有將模式切換到工作模式，接受系統(tǒng)監(jiān)控才能訪問工作資源區(qū)，從而平衡了員工對外網(wǎng)的訪問需求。

圖5 個人/工作模式切換

第二層是應用保密，應用保密需要結合企業(yè)的實際應用情況來打造專門的解決方案。圖５是明朝萬達提供的專用于PDM應用保密解決方案。允許員工將辦公文檔存儲在指定的路徑下，只有當計算機處于"工作模式"時才能訪問該路徑。屆時，計算機處于嚴格的受控狀態(tài)，只留有辦公權限，嚴控各類數(shù)據(jù)外帶途徑與行為。

圖6應用保密解決方案

圖６提供的是針對OA等大型化、分布式的業(yè)務系統(tǒng)的數(shù)據(jù)安全加固方案。明朝萬達提供的解決方案是部署一個權限運維管理服務器。對于不同的員工可以賦予對下載文件的不同權限，包括復制、拷貝、截屏、導出等。通過這種方式。這種防護力度，只有在員工訪問涉密應用(如訪問OA時)時會體現(xiàn)出來，其它場景不受任何約束。籍此，企業(yè)可以將信息泄密的可能性降到最低，但服務器端仍保證完全的明文式存儲，有效降低產品上下線風險。

第三層是移動保密，這是針對移動終端保密的解決方案。隨著移動終端越來越多的被應用于企業(yè)的業(yè)務系統(tǒng)，基于移動終端的數(shù)據(jù)保密將變得非常重要，涵蓋接入安全、數(shù)據(jù)傳輸保密等方面。

圖7 移動安全接入解決方案

圖7為明朝萬達針對移動終端接入的解決方案,該解決方案的關鍵設備是Chinasec移動安全接入網(wǎng)關，這是明朝萬達專門開發(fā)的針對移動終端接入的網(wǎng)關產品。企業(yè)只需將該網(wǎng)關產品部署到服務器前端，只有通過授權的終端才能通過網(wǎng)關接入到企業(yè)業(yè)務系統(tǒng)，根據(jù)接入終端的不同，授權方式可以是數(shù)字證書、也可以是SD/TF加密卡或USBkey。

四、信息保密的價值體現(xiàn)

中國制造業(yè)發(fā)展到今天，行業(yè)正處于由"制造"向"創(chuàng)造"的轉型，除部分高端領域外，行業(yè)同質化競爭非常嚴重，模仿加改良等于創(chuàng)新的情況很多，，這是目前中國制造業(yè)所處的現(xiàn)狀。在這樣一種行業(yè)發(fā)展大環(huán)境下，企業(yè)更應該重視對核心資產的保護，把企業(yè)智慧的結晶很好的保護起來，防止信息泄密或被復制。

圖8 制造業(yè)發(fā)展現(xiàn)狀

在制造業(yè)，目前明朝萬達擁有著非常龐大的客戶群，在我們的客戶中有499家是制造企業(yè)，占總客戶的54%，行業(yè)涉及電子電器、機械制造、汽車制造、軌道交通等。一汽集團、奇瑞汽車、三一重工、長虹電器、上海電氣等大型企業(yè)集團都成功應用了明朝萬達為用他們量身訂制的數(shù)據(jù)安全解決方案。