隨便瀏覽一下現(xiàn)在的主流出版物，你會(huì)發(fā)現(xiàn)有越來越多關(guān)于商業(yè)企業(yè)和政府機(jī)構(gòu)受到信息安全襲擊的報(bào)道。大量的數(shù)據(jù)泄露事件勢(shì)必會(huì)引發(fā)公眾的焦慮情緒。即便是深知這些威脅的嚴(yán)重性并且采取了適當(dāng)?shù)陌踩烙胧?，企業(yè)們?nèi)匀幻媾R著各種各樣的信息安全風(fēng)險(xiǎn)。
既然對(duì)于這類攻擊的無視已經(jīng)不再是企業(yè)和政府不能妥善保護(hù)數(shù)據(jù)的理由，你可能會(huì)提出這樣的疑問：他們到底在哪兒出了問題？
想想看：今天，數(shù)據(jù)的管理不僅涉及廣泛分布的工作地點(diǎn)和與員工，還必須考慮合作伙伴、供應(yīng)商和共享服務(wù)提供商。隨著在日益復(fù)雜的網(wǎng)絡(luò)環(huán)境下對(duì)數(shù)據(jù)的收集、共享、處理和存儲(chǔ)，企業(yè)也就不得不面臨越來越嚴(yán)重的數(shù)據(jù)失竊和泄露的風(fēng)險(xiǎn)。
傳統(tǒng)的周邊防御，比如防火墻、入侵檢測(cè)和防病毒軟件，已經(jīng)不再能夠解決很多今天的數(shù)據(jù)保護(hù)問題。為了加強(qiáng)這些防御措施并且滿足短期相關(guān)規(guī)范的要求，許多公司對(duì)于數(shù)據(jù)安全紛紛采取了執(zhí)行多點(diǎn)產(chǎn)品的戰(zhàn)術(shù)性措施。這種片面的部署計(jì)劃確實(shí)可以為他們的數(shù)據(jù)提供一點(diǎn)點(diǎn)額外的保護(hù)，但是在管理上花費(fèi)昂貴并且操作困難，這種做法并不能為未來的發(fā)展提供一個(gè)清晰的框架。
為了應(yīng)對(duì)這些挑戰(zhàn)，企業(yè)需要采取以數(shù)據(jù)為中心的方法來實(shí)現(xiàn)真正的企業(yè)數(shù)據(jù)保護(hù)（EDP）——這是一個(gè)通過企業(yè)核心一直到它的邊緣來保護(hù)數(shù)據(jù)本身的戰(zhàn)略，也就是從關(guān)鍵數(shù)據(jù)存儲(chǔ)地到數(shù)據(jù)使用地的保護(hù)措施。EDP把數(shù)據(jù)分為活動(dòng)、靜止或者是正在使用三類——包括數(shù)據(jù)庫、應(yīng)用程序、網(wǎng)絡(luò)、文檔、終端設(shè)備和可移動(dòng)媒體。該解決方案包括加密、安全密鑰管理、集中化控制以及日常管理實(shí)踐。
企業(yè)數(shù)據(jù)保護(hù)始于數(shù)據(jù)的發(fā)現(xiàn)和分類，在這期間應(yīng)該決定哪些數(shù)據(jù)需要保護(hù)。檢測(cè)和報(bào)告功能也是確保數(shù)據(jù)完整和可靠必不可少的部分，這樣企業(yè)可以清楚地了解他們的安全狀態(tài)。任何可能會(huì)導(dǎo)致業(yè)務(wù)上的法律后果或者影響價(jià)格和公司責(zé)任的數(shù)據(jù)風(fēng)險(xiǎn)都是十分敏感的，必須進(jìn)行及時(shí)保護(hù)。
數(shù)據(jù)存在三種不同的狀態(tài)：活動(dòng)數(shù)據(jù)、靜態(tài)數(shù)據(jù)和正在使用的數(shù)據(jù)。一旦發(fā)現(xiàn)了數(shù)據(jù)并進(jìn)行了分類，就必須對(duì)之加密。
加密是確保數(shù)據(jù)安全最重要的環(huán)節(jié)。這是一個(gè)轉(zhuǎn)化信息的過程，除了擁有特殊密鑰的人以外，該信息對(duì)其他人都不可讀。必須確保數(shù)據(jù)加密而不是僅僅依賴一個(gè)防護(hù)基礎(chǔ)架構(gòu)。對(duì)數(shù)據(jù)進(jìn)行加密可以讓數(shù)據(jù)不論是在網(wǎng)絡(luò)中活動(dòng)、在數(shù)據(jù)庫和電腦中靜止或者在工作站中被使用的時(shí)候都能防患于未然。
通過使用數(shù)據(jù)加密這樣的基本措施來保護(hù)數(shù)據(jù)本身，企業(yè)可以在確保這些信息的隱秘性的同時(shí)，對(duì)它們的去向加以控制。由于同樣的措施可以用來保護(hù)整個(gè)公司的多個(gè)應(yīng)用程序，企業(yè)就可以做到在確保隱私的前提下提高運(yùn)營(yíng)效率、管理風(fēng)險(xiǎn)并做到相應(yīng)法規(guī)的遵守。
EDP的核心是對(duì)敏感數(shù)據(jù)進(jìn)行加密和解密所使用的密鑰。企業(yè)必須部署一個(gè)密鑰管理解決方案從而能讓管理員通過唯一的中央控制處輕松管理這些密鑰。一個(gè)完善的密鑰管理系統(tǒng)應(yīng)該可以讓你知道何種其它設(shè)備會(huì)擁有這個(gè)密鑰的副本。
理想情況下，一個(gè)密鑰管理方案應(yīng)該為其它設(shè)備可以保持這樣的副本的期限加以限定，至于這些設(shè)備屆時(shí)是否能做到真正刪除這些副本，這可能需要一定程度的信任。中央控制處可以決定將這種權(quán)力授予企業(yè)的其他部門，但是前提必須是在系統(tǒng)發(fā)生故障或者失去控制的時(shí)候收回這種控制權(quán)?？梢酝瑫r(shí)啟用集中化的日志和監(jiān)察措施，這樣就可以跟蹤到所有用戶和管理員的操作了。
大多企業(yè)會(huì)在部署密鑰管理的時(shí)候考慮到以下環(huán)節(jié)——創(chuàng)建、存儲(chǔ)、歸檔/備份、分布、循環(huán)、過期和刪除。所有這些密鑰管理周期中的環(huán)節(jié)在推行起來必須符合企業(yè)的商業(yè)和安全需求。
基于策略的管理系統(tǒng)可以讓管理員們定義他們的規(guī)則然后在該規(guī)則系統(tǒng)之下進(jìn)行管理。這些規(guī)則可以遵循“如果條件，然后采取何種行動(dòng)”的形式。這個(gè)條件可能是一個(gè)用戶或者群體、一天中的某個(gè)時(shí)間、應(yīng)用程序類型或者是網(wǎng)絡(luò)地址等等。然后將規(guī)則分配到網(wǎng)絡(luò)資源中去?；诓呗缘墓芾硐到y(tǒng)最適合大型網(wǎng)絡(luò)，通過中央控制可以輕松管理大量設(shè)備。
控制是監(jiān)察、日志記錄和監(jiān)控網(wǎng)絡(luò)活動(dòng)必不可少的環(huán)節(jié)。企業(yè)應(yīng)該學(xué)會(huì)利用多憑證技術(shù)——三重要素身份驗(yàn)證，一定數(shù)量的用戶必須被授權(quán)某個(gè)特定的操作比如策略改變——由此來防患惡意管理員試圖授予他們自己未經(jīng)授權(quán)就可創(chuàng)建或者刪除密鑰的權(quán)力。這種程度的粒狀通路控制可以讓企業(yè)密切監(jiān)控管理員的操作行為，從而顯著降低風(fēng)險(xiǎn)和來自內(nèi)部的攻擊。
企業(yè)數(shù)據(jù)保護(hù)還勾勒了未來擴(kuò)展和整合的基本框架。隨著企業(yè)的不斷發(fā)展，IT環(huán)境的不斷多樣化，數(shù)據(jù)隱私的需求日益增加，以及新規(guī)范的介入，新型數(shù)據(jù)和數(shù)據(jù)元素的安全越來越受到重視。今天，企業(yè)不但需要EDP來保障信用卡數(shù)據(jù)安全并遵守PCI安全規(guī)范，同時(shí)也必須積極尋求一個(gè)可擴(kuò)展方案來確保人力資源數(shù)據(jù)、有價(jià)證券投資、平面文件、新的應(yīng)用程序和引入數(shù)據(jù)環(huán)境的數(shù)據(jù)庫的安全。
最后，一個(gè)有效的EDP策略還需要?jiǎng)潏?jiān)持對(duì)安全管理人員的培訓(xùn)和堅(jiān)持不懈的系統(tǒng)管理。這包括自動(dòng)化流程，比如通過推行密鑰循環(huán)和職責(zé)分離政策來防止因某個(gè)管理員權(quán)限過大而導(dǎo)致的內(nèi)部襲擊事件。換言之，就是授予某個(gè)管理員進(jìn)行網(wǎng)絡(luò)配置的權(quán)限，而授予另一個(gè)僅僅是認(rèn)證管理控制的權(quán)力。
在選擇數(shù)據(jù)安全解決方案的時(shí)候，企業(yè)出現(xiàn)差錯(cuò)往往是因?yàn)椴荒軟Q定如何妥善安排他們的數(shù)據(jù)，不夠了解他們的數(shù)據(jù)，或者沒有尋求工作中所需的基于標(biāo)準(zhǔn)技術(shù)，亦或是因?yàn)闆]有堅(jiān)持恰當(dāng)?shù)囊?guī)劃和合作。簡(jiǎn)單地說，他們沒有對(duì)真正的EDP進(jìn)行仔細(xì)思考。
企業(yè)數(shù)據(jù)保護(hù)能夠確保一個(gè)有效的安全解決方案，可以降低企業(yè)IT基礎(chǔ)架構(gòu)的復(fù)雜性以及管理和維護(hù)成本。通過中央化的策略管理，它能夠提供一個(gè)集成的安全平臺(tái)和具備成本效益的無縫加密數(shù)據(jù)。通過防止數(shù)據(jù)破壞和泄露，為你的企業(yè)減少負(fù)面公共輿論，它也為未來數(shù)據(jù)的保護(hù)需求、業(yè)務(wù)流程和相應(yīng)法規(guī)的遵從提供了基礎(chǔ)。
原作者：Joe Moorcones