怎樣避免企業(yè)移動(dòng)設(shè)備的數(shù)據(jù)泄漏(1)

數(shù)據(jù)泄漏

移動(dòng)設(shè)備信息安全保護(hù)的根本關(guān)鍵問題是數(shù)據(jù)泄露。如果使用者不將機(jī)密信息復(fù)制到手機(jī)、筆記本計(jì)算機(jī)、優(yōu)盤和其它移動(dòng)設(shè)備中的話，對(duì)違規(guī)行為的控制將變得更簡(jiǎn)單。

我對(duì)數(shù)據(jù)泄露的定義很簡(jiǎn)單;它是指將信息從受到信任的地方移動(dòng)或者復(fù)制到缺乏信任或者信任等級(jí)較低的地方。換句話說，信息的存放地點(diǎn)控制措施不完善，不能充分保護(hù)它的安全。

圖A中顯示的就是已經(jīng)發(fā)現(xiàn)的用戶可能導(dǎo)致數(shù)據(jù)泄露的途徑，看上去數(shù)量非常多。如果不希望信息通過未知途徑廣泛傳播開的話，我們就應(yīng)該采取措施，堵住其中的一些漏洞。

圖A

建立相應(yīng)的策略是一個(gè)很好的開始。很多公司還沒有開始對(duì)包括移動(dòng)設(shè)備的使用方式在內(nèi)的可接受使用策略進(jìn)行更新。當(dāng)然，監(jiān)控解決方案應(yīng)該檢查使用者是否已經(jīng)了解并遵循相關(guān)策略。此外，利用技術(shù)手段防范不必要行為也是降低風(fēng)險(xiǎn)的另外一種有效控制措施。在這里，數(shù)據(jù)丟失防護(hù)(DLP)和電子發(fā)現(xiàn)解決方案可以提供幫助。

數(shù)據(jù)丟失防護(hù)控制包含了兩個(gè)層次：網(wǎng)絡(luò)和主機(jī)。網(wǎng)絡(luò)層會(huì)對(duì)整張網(wǎng)絡(luò)中數(shù)據(jù)的流動(dòng)情況進(jìn)行監(jiān)測(cè)。不過，防止數(shù)據(jù)泄露的最好模式是利用如圖A所示基于主機(jī)的DLP。

基于主機(jī)的解決方案可以在從本地存儲(chǔ)設(shè)備中移出數(shù)據(jù)時(shí)予以阻止，在本地存儲(chǔ)設(shè)備移動(dòng)時(shí)進(jìn)行必要的加密，并且可以容許系統(tǒng)管理員對(duì)移動(dòng)存儲(chǔ)設(shè)備的使用進(jìn)行監(jiān)視和限制。如果使用者沒有對(duì)移動(dòng)數(shù)據(jù)的需求，就不要讓他或它復(fù)制任何數(shù)據(jù)到CD、DVD、USB驅(qū)動(dòng)器等存儲(chǔ)設(shè)備中。關(guān)于是否采用家庭辦公模式的爭(zhēng)論往往會(huì)導(dǎo)致策略失效。特別是人力資源部門(HR)選擇這種方式，以回避加班費(fèi)之類州勞動(dòng)法的限制時(shí)。

對(duì)移動(dòng)存儲(chǔ)設(shè)備的另一種訪問控制模式是采用設(shè)置了活動(dòng)目錄組策略的計(jì)算機(jī)。微軟公司免費(fèi)提供了相關(guān)的.adm必備文件。關(guān)于它的使用說明，《防止信息泄漏指南》，在第三節(jié)：限制可移動(dòng)存儲(chǔ)設(shè)備的使用中。該文件中還包含了圖A中很多泄露方式的相關(guān)信息。

電子發(fā)現(xiàn)解決方案可以對(duì)企業(yè)共享和隱私文件夾中的機(jī)密信息進(jìn)行確認(rèn)。很多供應(yīng)商已經(jīng)將在發(fā)現(xiàn)機(jī)密信息處于低信任區(qū)域時(shí)發(fā)出警告和自動(dòng)移動(dòng)功能添加進(jìn)來。通過使用電子發(fā)現(xiàn)解決方案，你可以對(duì)數(shù)據(jù)泄露情況進(jìn)行檢測(cè)，并從結(jié)果中發(fā)現(xiàn)更多的信息。

從回答下面的問題開始，創(chuàng)建一個(gè)數(shù)據(jù)泄漏預(yù)防策略(歐扎克，2010年發(fā)表于首席安全官在線。)

· 公司是否禁止在桌面系統(tǒng)上保存文件?是否會(huì)將文件重定向保存到網(wǎng)絡(luò)存儲(chǔ)設(shè)備(舉例來說，文件服務(wù)器和網(wǎng)絡(luò)附加存儲(chǔ))上?如果桌面系統(tǒng)采用的是Windows，那我的文檔是否會(huì)重定向到網(wǎng)絡(luò)存儲(chǔ)上?

· 申請(qǐng)或數(shù)據(jù)倉(cāng)庫(kù)解決方案，是否會(huì)將機(jī)密數(shù)據(jù)分配到最終用戶使用的設(shè)備上?他們這么做是因?yàn)闆]有別的可行解決方案么?能否利用其它方式來提供這些信息(舉例來說，門戶網(wǎng)站)?

· 公司是否對(duì)包括筆記本計(jì)算機(jī)在內(nèi)保存機(jī)密信息的移動(dòng)存儲(chǔ)設(shè)備進(jìn)行了加密?

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]