數據安全的現狀和發展

2013-10-17 10:53:13 EP電力信息化網　點擊量：評論 (0)

隨著數據價值的體現和科技的發展，世界各地的政府、銀行、電信公司、制造業以及零售業等相關機構，不斷發生數據泄密事件。2011年末國內最大程序員社區CSDN的數據庫泄露事件橫掃整個中國互聯網，引起了億萬網

隨著數據價值的體現和科技的發展，世界各地的政府、銀行、電信公司、制造業以及零售業等相關機構，不斷發生數據泄密事件。2011年末國內最大程序員社區CSDN的數據庫泄露事件橫掃整個中國互聯網，引起了億萬網民的關注。今年的315晚會上報道了多家銀行員工向其他人出售客戶個人信息，導致銀行客戶資金被盜。一夜之間，數據外泄和數據安全的重要性終于真正得到體現。

    數據安全是信息系統建設的基石，如果數據安全沒有保障，那么信息系統建設得有多大，損失就會有多大。由于IT技術變化很快，每隔一段時間就會出現新的技術和新的安全威脅，因此數據安全這個概念自誕生以來就不斷地在發生改變。

    從數據安全的發展來看，數據安全經歷了關注安全技術、關注人的行為、關注管理、關注整體解決方案到最近回歸本質的關注信息本身的立體化整體信息防泄漏體系這五個過程，技術、體系、理念都在不斷進步和完善，不斷的加固著企業的數據安全防護體系。

    在技術發展的過程中，數據權限管理和加密技術大大提高了數據安全的發展和影響。DRM（Data Right Management）數據權限管理是主要基于企業內部一些特定文件類型（例如：doc,xls,pdf等）進行保護的產品，通過它可以對這些辦公文件進行訪問權限的設定，只有那些有權限的人員才可以打開這些DRM過的文件，并且進行修改。Encryption加密是針對一些特定部門的特定機密文件進行保護。通過這類產品可以將對應的機密文件加密，只有對應密鑰的人才可以打開。加密產品在小范圍內可以讓一些特定的文件靈活安全的使用。加密軟件可以將企業圖紙、辦公文檔等文檔進行加密處理，整個過程對用戶透明，不改變工作習慣。文檔只有在授信范圍內才能打開，離開了授信范圍文檔就是一堆亂碼，號稱“偷得走，打不開”。

    數據安全的發展方向是將傳統的分散部署整合起來，整合之后的管理系統能夠通過對網絡中所有設備的統一策略制定、用戶行為的統一管理，安全工具的集中審計，最大限度地減少安全隱患。一些廠商將國外的DLP（數據泄漏防護）概念引入中國，根據中國企業的實際需求整合終端防護、存儲磁盤、文件管理、版權管理以及U盤、外設端口控制、網頁信息保護、即時通訊攔截等多個功能，推出了具有中國特色的DLP產品。

    DLP（Data Loss Prevention）數據丟失防護是主要基于內容檢測的產品，它針對整個企業的范圍進行監控、發現和保護，通過DLP也可以使企業進行SOX以及PCI等法規的遵從。DLP是目前市場上運用比較多且比較成熟的技術之一，像數據著名的數據信息安全產提供商賽門鐵克采用的就是DLP技術。雖然從技術角度看，DLP系統仍然是各種傳統技術的整合，并沒有但是它體現出國內廠商已經不再盯著單一的產品或技術，而是開始進行概念和整體解決方案的推廣，這無疑比過去單純的技術概念炒作要高出一個層次，也代表著數據安全產品和技術更加的成熟。

    只有從全局的視角出發，對安全問題進行統籌規劃、統一管理，整合運用審計、權限管理、加密等防泄密功能，根據涉密程度的不同（如核心部門和普通部門），部署力度輕重不一的梯度式防護，將技術、管理、審計進行有機的結合，在內部構建起立體化的整體信息防泄漏體系，使得成本、效率和安全三者達到最優平衡，才能實現真正意義上的數據安全。

    在信息安全行業，有“三分技術、七分管理，的說法。在大企業中，技術解決的是局部問題。內部的很多問題在于溝通、體制執行不到位等，而非技術本身的問題。管理是從宏觀上的把控，技術是實在的落地；技術以管理為指導，管理以技術為落腳點，因此兩手都要抓。”從安全的一些標準實現上來看，比如IS0270001等，都是從管理入手，而后落地到相應的技術上。在推廣方面，如果沒有管理的支持，一個技術很難在大企業里全面推廣。在企業的安全體系中，管理體系是主干，嚴格的管理制度、明確的職責劃分、合理的人員配置能夠堵住大部分的漏洞，大幅度降低安全風險。在執行的部分，技術就很重要了，企業需要一些安全技術來保證制度的執行，兩相結合之下，企業就能構建起一個較好的內網安全體系。

    《信息安全技術、公共及商用服務信息系統個人信息保護指南》中對個人信息的處理包括收集、加工、轉移和刪除四個主要環節，并提出了個人信息保護的原則。對竊取并曝光用戶信息的行為表示強烈譴責，并責成各網站切實保障用戶信息安全，做好事前預防和事后補救措施，避免類似事件的再度發生。