随着信息技术的不断发展,数字信息的价值不断增加,成为一种重要资产,地位甚至超过了承载信息的磁盘、存储和IT基础架构。人员越来越强调对信息进 行周密的保护,防止出现未经许可的泄露、丢失或盗窃。从美国零售业巨头TJX公司465万个信用卡信息被盗窃,到前一段时间的艳照门事件,信息防泄漏和防 护无不引起人们的重视。

更为严重的是,所有信息泄漏事件中,源自内部人员所为的占了绝大部分。根据FBI和CSI对484家公司进行的网络安全专项调查结果显示:超过 85%的安全威胁来自公司内部,在损失金额上,由于内部人员泄密导致了6056.5万美元的损失,是黑客造成损失的16倍,是病毒造成损失的12倍。另据 中国国家信息安全测评认证中心调查,信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪,而非病毒和外来黑客引起。

那么,如何才能够有效的进行信息的防泄漏和信息保护呢?我认为至少要从以下三个角度来考虑:

首先,是对静态信息的保护。最基本的静态信息保护就是数据加密。此外,更为重要的是要建立数据的统一安全策略,贯穿数据产生、流转、销毁的全生命周 期。例如,我们可以针对员工的工资信息制定这样一套安全策略:工资信息必须加密后才能通过email传输,禁止通过http或者https协议传输,只能 存储在指定的服务器和数据库中,只有人力资源部门授权的帐号列表才能访问工资信息,等等。只有建立统一的信息安全保护策略,才能有效地进行信息保护,否则 就可能出现策略真空,导致某个环节发生信息泄漏;或者出现策略冲突,使得信息的传递效率大大降低,影响正常工作。

其次,是对动态信息、也即信息在网络传输过程中的检测和保护。这是信息防泄漏和信息保护的最重要环节。由于网络技术的充分普及,信息传递的速度和传播的范围都极大提升。信息一旦透过网络造成泄漏,后果几乎无法挽回。动态信息保护有两个环节。

1) 防止重要信息由高安全区域向低安全区域的扩散:各种帐号、密码、客户信息、财务信息、工程图纸、设计文档、核心代码等机密信息一般都是存储在 特定的服务器和数据库中。动态信息保护要求对这些服务器、数据库系统的网络连接进行监控和审计、借助统一的安全策略,检查各种违规的网络访问行为,例如通 过FTP和Telnet指令获取服务器上的重要文件;通过SQL语句获取数据库系统重要的库表字段数据;等等。

2) 防止重要信息由内部网络向外部网络的泄漏:这是信息防泄漏的关键一环。我们知道,随着Web2.0技术的兴起,现在内外网之间的连接方式多种 多样,例如各种即时通讯工具(MSN、QQ等)、WEB邮件网站(163、Gmail等)、P2P应用(迅雷、电驴等),以及论坛、聊天室。这些内外部通 讯手段都有可能成为信息泄漏的途径。并且,这些泄漏途径从技术上来看大多基于HTTP协议,或者更为底层的UDP协议,端口也不固定,与正常的业务传输通 道相同,防范起来十分不易,过严则可能影响正常业务开展,过松则可能功亏一篑。动态信息保护要求我们采用具备应用层协议检测技术的设备、并且要采用具备信 息匹配技术的内容过滤引擎,智能地进行网络流量甄别。

最后,就是要对信息的使用者及其载体——终端进行监控和审计,这也就是终端安全监控与审计。因为绝大部分机密信息的泄漏都是内部人员造成的,而这些 内部人员往往都是从终端将信息传播出去。在这个层面,信息保护就是要对人和终端进行管理。对人,就是要加强人员的安全保密意识的培训,并且要制定令行禁止 的安全制度。对终端,就需要建立一套面向终端安全的管理系统,包括终端接入的控制、U盘外设等的接入控制、终端加固和运行监控、终端用户行为的监控与审 计,等等。终端管理的目的是一方面确保终端的合法使用者无法违规,另一方面确保其他非法人员无法利用终端自身的漏洞进行违规操作。

在上述三个层面中,统一安全策略始终是信息防泄漏和保护的核心。静态信息防护、动态信息防护、终端安全和人员安全管理都有赖于一致的、统一的、贯穿信息生命周期的安全策略。各种技术、工具和设备都是这些策略的执行者。

总结一下,信息防泄漏和信息保护体系架构如下图所示: