数据丢失防护 防御由内至外

　　企业数据丢失会带来法律责任、损害商标信誉，这就加大了对数据泄漏防御（DLP）技术的需求。这些技术主要注重数据自动管理的需求。这种“由内而外”的安全模式导致企业努力通过各种产品快速实现数据治理，这些产品往往强调外流内容符合规范（OCC）策略、内部威胁管理和入侵防御体系（EPS）。

　　然而，在考虑综合的企业数据管理产品或平台之前，信息安全部门必须了解组织的商业流程及其如何保护现有的IT资产。这个过程应该包括调查并锁定网络基础设施的关键部分，因为基础设施有可能是数据丢失的来源。在确定数据泄漏的潜在领域时，还要考虑一些重要问题。

• 随着IT基础设施变得越来越复杂，要了解数据的保存位置、如何获取数据、由谁获取数据等问题也变得越来越困难。
• 数据管理员和存储管理员的作用开始模糊，很难明确应该由谁负责创建数据排列制度。
• 企业必须努力评价其危险程度。一旦发现了所有的数据内容，就必须制定分类方案，根据敏感度对数据进行分类。
• 那些能访问数据的人通常应该对数据丢失负责。明确哪些用户获得了过度的访问控制权，如高级管理员，他们通常需要高度优先权，但是却没有经过合适的数据安全训练。
• 人们会分析内收邮件，抵御内部威胁，却常常没有注意到外发邮件才是主要的数据丢失源。内部邮件会意外丢失保密信息和专利信息，这是最大的数据丢失领域之一。使用个人网上账户、不合适的邮件自动转发功能等行为也会引起威胁，产生严重的法律、经济和监管后果。
• 未经认可使用互联网协议和服务，如IM、点对点文件共享、博客、社会网址及未经认可将数据上传（FTP）到互联网，这些都是发生数据安全事件的主要原因，应该通过详细的政策加以控制。
• 雇用合同工和外部咨询人员通常需要创建新的用户证书。然而，必须掌握这些用户账户及其责任，因为账户很容易丢失。
• 闪存驱动器、光介质、外部硬盘和个人媒体设备等可移动的存储媒体都是引起数据丢失的便携式设备。
• 移动计算平台（如笔记本电脑、PDA）可从公司环境中移除数据，而使公司所有的监测和控制系统失效。

　　防御战略规划

　　企业存储远远不止直连式存储（DAS）、基本的网络文件共享和简单的数据库存储。今天的架构采用iSCSI和光线通道、分层和分级存储模型、虚拟存储系统、高端存储阵列以及集群存储，实现储存区域网络（SAN）。由于硬件、软件、及其配置方式的多样性，数据泄漏的修复战略最终应公司而定。

　　尽管如此，所有的数据损失防御规划（DPL）都应该考虑以下内容：

• 根据员工的数据使用权和信息拥有权，制定基本的公司标准和程序；
• 根据数据丢失和数据暴露引起的企业风险，评价并排列数据；
• 对数据内容进行语句检查，保证监测和分类软件采用有效的识别算法；
• 经常审核企业的关键数据，保证其得到实时防护，同时保证安全协议得到更新；
• 采用有效的数据安全模型，简化基于角色的访问控制（RBAC）以及独立用户的网格控制；
• 根据公司邮件的认可度对员工进行训练，执行此类政策。考虑建立邮件保护平台，自动管理外发邮件；
• 保证员工了解计算机采用的监测系统，阻止其违反政策；
• 经常对具有优先权的用户进行审核，评价并确认每位用户的配置都十分合理；
• 通过采用数字权限管理（DRM）技术，将访问控制直接嵌入敏感数据；
• 采用联邦身份管理，在与商业合作伙伴合作时维护数据安全；
• 形成常规的审计和数据流评价报告，监测数据泄漏威胁，根据时间和用户需求定位数据。

　　防御数据丢失已经成为一个法律问题，对保护公司的保密性数据、保护客户的私人数据至关重要。今天，数据增长率很高，有效管理新的数据、现有的数据是一项很大的挑战。企业安全策略在解决数据增长问题的同时，必须维持数据的可获取性、企业的生产力、操作的持续性以及数据的可恢复性。最重要的是，要避免终端用户误认为你的DPL战略是IT法律，就需要全面的通讯和教育，使得企业DPL规划的认可度成为一项重要的平行战略。

作者简介： Noah Schiffman曾是一名黑帽黑客，将近二十五年的时间他曾一直在攻击财富500强公司。目前，他是一个自由IT安全咨询师，专攻风险评价、渗透测试、加密和数字取证、预测分析模型、安全度量和安全策略。他拥有心理学和机械工程学位，也是位于南加州大学医学院的博士。