安全防御无处不在 移动办公也需确保安全

ZDNet安全频道原创翻译 转载请注明作者以及出处

根据计算机安全协会(CSI)最近一次的年度调查显示，企业中移动设备的丢失或失窃，排在企业最关注的安全事故第三位，仅次于病毒感染和内部攻击。
--------------------------------------------------------------------------------------------

　　在这样的背景下，我们仍然很惊讶的发现，大约三成的被访企业并没有针对移动设备上的企业数据进行加密，这意味着竞争对手或者小偷，可以轻松的获取公司内部数据。

　　另外还有少部分企业甚至觉得加密数据太麻烦。仅有53%的被访企业表示他们会定期加密企业数据。

　　正如Yankee Group高级副总裁Zeus Kerravala解释的：“移动设备将数据安全这个棘手的问题摆在了大家面前。用户携带着各种移动设备，每种设备都有其自身的程序，它们将给未经备份或适当加密的企业数据带来严重的安全隐患。如今针对移动设备实施的安全解决方案，大部分都是针对如何确保终端的接入或数据流出，很少有解决方案将重点放在移动设备上存储的企业数据的加密工作上的。”

　　不过大部分企业已经意识到应该在移动数据安全方面做更多的努力，其中一部分就是识别员工使用非公司设备处理工作文件，以及使用办公电脑处理私人事务。

　　Domino's Pizza 的IT经理Jane Kimberlin表示：“在Domino，每周有大概三成的工作是集中在周五和周六晚上的，因此我们希望员工能够在工作时具有足够的灵活性。我们正在评估使用加密的数据棒，访问私人电子邮箱以及是否需要屏蔽社交网络等。”

　　防火墙

　　当连接方式很有限，并且在一个办公室里采用统一的局域网时，防火墙就很有用处了。

　　防火墙是在受信网络环境和非受信网络环境间的隔离网，有了它，局域网中的一切都是受信的，而另一边的一切都是非受信的。

　　在受信和非受信网络间传递的数据要经过防火墙扫描，如果有威胁安全的内容，则被防火墙拦截。不过这种防护只能应付简单的网络环境，像移动办公这种复杂的问题就会让公司这种简单的安全设备毫无办法。

　　要让防火墙能够在这种环境下正常工作，公司就要在防火墙规则上进行设置，为移动设备留出一个专用通道，让使用移动设备的员工可以通过这个通道访问企业内部资源，或者从内部访问外部应用。

　　传统的做法就是进行硬件设置，但是这也有可能带来相关的安全风险。相反，企业应该从如何建立一个可靠的安全架构的角度出发，设计解决方案。

　　安全组织Jericho Forum 的董事会成员Paul Simmonds认为，建筑师在设计大桥时要考虑到最坏的情况，比如飓风袭击，这样才能确保大桥在建造好后能够抵御未来出现的恶劣气候。同样,良好的安全方案设计也应该要求所有的产品在最坏的环境下也能正常运行。对于安全来说，其环境就是互联网，也就是确保企业信息在任何位置都能够安全存储。

　　虽然安全性和可用性总被看作是对立的两个方面，但Simmonds认为这种认识是基于错误的观念的：“问题在于我们对于安全的考虑总是滞后的，这使得安全性问题天生就不健全。然而，如果在一开始就将安全性作为策略的基础，那么未来整个架构的安全性就要好办的多。”

　　确保移动安全

　　从最基本的角度来讲，企业应该认识到保护数据安全的重要性，并假设数据总是在一个不良的互联网环境中传输。 Simmonds 认为，如果企业的防御手段过于死板，对企业来说是没有好处的。

　　比如，为什么要将企业的防护网扩展到家庭办公或者远程的小型办公室，还让他们通过企业网络接入互联网?更便宜并且功能更强的方式是采用本地接入方式，而且可以确保数据受到保护。

　　将Jericho Forum提供的建议付诸实施并不是你所想象的那样，需要彻底清除头脑中现有的安全思想， Simmonds表示，而是将重点转移到保护企业数据安全最需要什么上来。

　　比如，与其设计连接到安全网络，不如将重点放在连接到安全资源上，与其建立从设备到网络节点的安全通道，不如在设备和安全资源间使用安全协议。

　　访问数据的权限应该总被限制在数据层，因为越是接近数据，越容易保护数据。

　　要抛弃防火墙吗?

　　传统的防火墙在安全领域仍然有重要地位。计算机安全协会的Robert Richardson指出，目前很多安全工具仍然是以传统的扫描方式工作，客观来说，这些工具在今年确实让安全威胁的数量达到了历史低点。

　　就连Jericho Forum也认为防火墙在安全架构层面上扮演着重要角色。但是防火墙需要选择性的部署，作为公司的外围防护，它需要有更简单的规则，并且没有漏洞。