简便方法 阻挡数据泄漏危害

　　无论是在现实生活中，还是在虚拟的网络世界，永远都是内患难防——许多企业电脑网络安全问题往往是由于内部员工引起的。所谓的“内患”不一定是真正仇视企业的员工，很多都是无心为之。如员工访问了被挂马的网站，间谍软件、广告软件等恶意软件就会不知不觉地下载到他们的电脑中，接下来，这些恶意软件就会在企业内部网络中进行传播。

　　员工给企业造成的危害，无论是否有意而为，其行为导致的结果却是一样：不当使用网络从事各种活动极有可能导致公司信息系统被入侵、机密资料被窃以及公司网络堵塞等问题。企业的商业机密泄露，资产必将遭受巨额损失。

　　数据泄露对企业和员工都是极大损失

　　当企业数据泄露时，遭受损失不仅是企业，与之相关的员工都成为最终的受害者。

　　06年8月，就职于美国在线公司(AOL)首席技术官莫林·高文(Maureen Govern)辞职，其原因就是AOL公司在之前的三个月里泄露了658000位匿名用户的约2000万个关键词搜索信息。

　　此外，AOL技术研究部门的一位研究人员和他的主管也因数据泄露而离开了公司。为平息网上的如潮批评之声，AOL表示将成立一个专门的小组审查公司客户隐私保护政策。

　　数据泄露事件甚至让一个国家蒙受损失，让其政府执政能力遭受质疑——英国首相布朗曾因2500万人信息丢失遭质疑。

　　07年10月份，英国税务及海关总署弄丢两张重要数据光盘，其中包括2500万人的敏感信息。在英国，儿童福利补贴都经过银行转账方式直接存入补助对象的账户，而税务和海关总署丢失的两张光盘就保存了补助人的个人资料等重要信息。

　　此次信息丢失牵涉到的英国家庭数目很大，几乎所有拥有16岁以下儿童的家庭，都丢失了个人信息，甚至连首相布朗一家也未能幸免。丢失信息涉及所有儿童福利补贴受益人，包括2500万人、725万个家庭。英国几乎一半人口的机密信息不慎丢失，其中包含银行账号等重要内容，英国首相布朗21日遭到议员们的强烈质疑。

　　很多企业在数据库、电子邮件以及一些信息管理等方面也制定了一些安全策略，但这些安全策略若只是一个框架，其产生的效果是值得怀疑的。

　　让企业IT负责人最为头痛的就是企业关键数据泄密，他们最不愿意看到的就是这些数据被一些恶意用户所掌握。然而泄密真是在所难免，因为无论企业配备多么强大技术与设备，具有如何全面直观的检测系统也不能全面的避免非法侵入者利用企业某些信息安全防护“短板”。

　　业内专业人士曾警告：企业信息泄密点通常也是最被企业所忽视的——数据库超级用户管理权限、简单的电子邮件设置以及那些漫不经心的安全策略。

　　数据库超级用户管理权限

　　很多企业所用数据库都存在超级管理员权限，这种权限存在是数据库权限滥用的一种体现。存在此类权限的数据库环境也是非常危险的，因为它非常容易被一些不良人员所利用，导致关键数据泄露。

　　约翰逊提供三种设想和建议，以使数据得到充分保护：

　　1、在企业，让IT 运维人员根据用户的实际需求分配权限是一个费力不讨好的工作。所谓的费力，是指IT运维人员若要按需分配首先要从单位行政角度摸清员工(这里也包括高层管理者)的实际需求，其工作量可想而知;很多企业高层管理者要求IT 运维人员要将其数据库的权限设置成“超级管理员”，但这种要求与这些高层实际需求不一定相符，使得IT 运维人员左右为难。

　　不过作为IT主管，即便你很为难，但我还是建议你要坚持原则——相关人员数据库使用权限与其实际工作权限相配套，尤其是要弄清楚那些具有超级用户管理权限的人员获得权限的原因。公司管理层在这方面有一个明确的判断，是要方便还是要安全。不过从前面的这些安全事故中我们可以看出，要想从如此竞争激烈的市场环境中脱颖而出，稳妥的安全措施势在必行。

　　2、很多大型企业还存在这样一个问题，数据库管理员(DBA)和网络管理员到底谁应该赋予更多的更全的管理权限，以完成他们的工作。按照员工比例来讲，即便是数据库管理员和网络管理员二者相加，其总量也是少数。对他们实施管理相对简单。但这里还是存在管理上的漏洞：是不是DBA就可以无限制的看到所有的数据?谁可以拥有数据库备份副本的管理权限?即便是这些拥有超级权限的人是值得信赖的人，就没有数据泄露的隐患了吗?

　　建议还是取消数据库管理员以及网络管理员(系统管理员)的超级用户管理权限。因为他们只要做好自己工作就好了，不必也没有任何理由完全掌握企业的数据库管理权限。对这些IT管理人员的职责也应该细分，让他们在自己职权范围内设定自己的用户名和密码，并自己保存。这些管理员们向CIO提交他们的用户与密码副本，而这些副本也不应该有CIO随意掌控，而是将其放进“LOCKBOX”这样的密码保护软件中。这种方法可以说基本上没什么技术含量，但它可以防止企业过度分配超级管理员权限。

　　3、还有种情况可能出现：某些IT用户可能不需要拥有强大的特权，但由于他们的工作性质，有可能使用别人的超级管理特权。一个典型的例子就是一个低级别的数据中心业务人员，他或者仅负责生产调度环境，而他有些工作却有可能涉及到数据库管理和系统管理员的用户名和密码。这对于任何企业而言都是一个重大潜在威胁。

　　这种情况看似难办，实际上也不是很难解决。无论是最终用户还是那些具有超级用户权限的人，对他们赋予权限的规则是帮助诚实的人留下诚实。让所有的人都知道，在企业中的网络行为都会受到监控，这样就可以阻止数据泄露事故的大量发生。

　　停止大规模邮寄您的机密信息

　　“核心商业机密对于企业的价值自是不言而喻。而核心机密的头号泄露途径确实最为普通的电子邮件。”Proofpoint公司 CEO 加里斯蒂尔如此认为。

　　上述言论正好说明了最近的一项调查的准确性——据Forrester进行的调查发现，IT主管和经理们认为，出站电子邮件的最容易造成数据泄露，尤其是想机密备忘录、极具价值的知识产权和交易信息。

　　然而观察一些泄密事件后，你就会发现，这些事件中恶意泄露的只占很小的一部分。绝大部分都是疏忽造成的。在加利福尼州，亚康特拉科斯塔县的一位雇员就因为选错了邮件列表这个疏忽，将很多机密文件通过邮件误发给瑞典的一个朋友。法院庭审档案无疑是机密的，而某个粗心大意的法庭听证会书记员曾复制科比强奸案的法院誊本后，将其不小心放入了错误的邮件组发送了……

　　不可否认，现实生活中确实存在恶意泄露事件。企业用户应对此有防范意识，如采用Proofpoint这样的保护服务器软件等，可以帮助企业搭建信息保护平台，防范入站邮件威胁(如垃圾邮件和病毒) ，并确保出站邮件符合公司的政策和外部法规。

　　TELXAR公司创始人见首席执行官Jeff Bowling强调说，堵住数据泄露的最好的方法是执行一个比较好的安全计划——应该包括拒绝服务攻击和内部网络的安全注意事项，同时还应该对网络管理员的指南服务。下列信息应该包含在计划之中，却又被忽视的：

　　1. 表明获得小时

　　2. 指定的登录凭证和权利

　　3. 禁用外部软件

　　4. 考虑内部审计/入侵监测应用

　　5. 锁定内部硬件组件

　　6. 进行定期审计，安全和资源

　　7. 禁用USB或FireWire端口

　　8. 限制邮件大小和/或阻止所有附件

　　9. 不允许使用相机装置内限制/敏感领域

　　10. 定义一个严格的政策，接受设备及其使用情况

　　11. 确定一个联络点，政策问题的网络和它的内容

　　12. 执行保密和保密协议

　　13. 确定的指挥链和升级程序

　　14. 确保管理人员和用户了解的安全计划和政策

　　非技术的方法也值得考虑

　　Johnson提出了另一种安全策略：“现在的企业太沉迷于技术手段保护数据的安全了。这是让我非常惊讶的——实际上使用一些飞技术手段会打到意想不到的效果。在可能的情况下，企业应该对在敏感职位上员工的真是背景进行深入调查，察看这些员工的可信度是否适宜目前的工作。这一策略并不是我的发明，我过去工作过的国防工业中，这样的审查程序是必须的，也是绝对必要的。”

　　作为企业安全主管有一条原则，那就是安全系统是不能只由一个人负责——进入机房的时候，应该是一对伙伴共同操作。一个人操作时，另外一个人将密切关注对方登录和登出等动作。