關(guān)注企業(yè)數(shù)據(jù)安全 十招防數(shù)據(jù)泄露

申請免費(fèi)試用、咨詢電話：400-8352-114

導(dǎo)致網(wǎng)絡(luò)癱瘓的黑客攻擊往往引起人們的極大注意，因此公司對于這些威脅采取了嚴(yán)密的保護(hù)措施。不過，如果你的公司只是關(guān)注這種安全，還是遠(yuǎn)遠(yuǎn)不夠的。

不幸的是，預(yù)防DDOS攻擊、病毒、蠕蟲和其它侵害形式的措施并不能解決日益嚴(yán)重的數(shù)據(jù)流失問題：由于競爭對手的網(wǎng)絡(luò)間諜活動造成公司數(shù)據(jù)被竊取。然而你公司的商業(yè)秘密泄露給一個競爭者，或者公司的信息被媒體獲知，在有些情況下，有可能導(dǎo)致比網(wǎng)絡(luò)癱瘓更為嚴(yán)重的后果。

那么，為了防止你的數(shù)據(jù)從公司泄露出去，應(yīng)該采取哪些措施呢?

第一招：貫徹執(zhí)行最少特權(quán)的原則

你可以根據(jù)兩種截然相反的理論觀點(diǎn)設(shè)置你的網(wǎng)絡(luò)訪問策略。第一種，“全面開放”策略，假設(shè)所有的數(shù)據(jù)對每一個人都是可用的，除非明確地限制其訪問。第二種策略即“最少特權(quán)”策略，即所有的數(shù)據(jù)禁止所有用戶的訪問，除非一個用戶被明確地給與這種訪問權(quán)限。后者就像是一個情報機(jī)構(gòu)：除非一個用戶擁有所需要的適當(dāng)證明來訪問一個特定的文件，否則就不能訪問它。

第二招：將策略寫下來形成書面規(guī)章制度

你可能會認(rèn)為你的員工不應(yīng)復(fù)制公司的重要信息，并將其帶回家去;在沒有經(jīng)過允許之前，員工也不應(yīng)該將這些信息通過電子郵件發(fā)送到網(wǎng)絡(luò)之外去。這是很顯明的事情。不過，如果你不將這些策略和規(guī)則寫下來或打印出來，并讓員工在其上簽字，那么如果他們違反了這些要求，你將很難懲罰他們。不形成規(guī)章制度或者未成文的規(guī)則是很難實施的。

你的規(guī)則應(yīng)該具體明確，并舉出例子哪些行為應(yīng)該禁止。員工們可能不理解，除非你清楚地說明之，通過電子郵件將公司的文檔以附件的形式發(fā)送到公司網(wǎng)絡(luò)之外(或者發(fā)送到其家庭賬戶上)違反了公司的規(guī)則，這與下面的行為是一樣的：將這個文檔復(fù)制到磁盤上或一個USB設(shè)備上，然后將其帶出公司大門，它們同樣違反了公司規(guī)則。

不過，對規(guī)則的措詞應(yīng)該體現(xiàn)出：加以禁止的行為不限于你所舉的例子，一切威脅公司安全的行為都應(yīng)禁止。

第三招：設(shè)計限制性的許可和審計訪問

保護(hù)數(shù)據(jù)非常重要的一步就是針對數(shù)據(jù)文件和文件夾設(shè)計恰當(dāng)?shù)脑S可。毋庸質(zhì)疑，Windows網(wǎng)絡(luò)的關(guān)鍵數(shù)據(jù)應(yīng)該存儲到一個NTFS分區(qū)上，因此你才能運(yùn)用某種共享許可實施NTFS許可。NTFS許可比共享許可更加精細(xì)，并能運(yùn)用到訪問本地計算機(jī)和網(wǎng)絡(luò)數(shù)據(jù)的用戶身上。

要盡可能地給用戶最低級的、能完成工作的許可。例如，將“只讀”許可給用戶，防止他們修改文件。

你還可以對包含敏感數(shù)據(jù)的文件和文件夾進(jìn)行審核，因此就可以看出誰在什么時間訪問了數(shù)據(jù)。

第四招：使用數(shù)據(jù)加密

將數(shù)據(jù)存儲在NTFS格式的磁盤上的另外一個好處是你可以實施加密文件系統(tǒng)(Encrypting File System (EFS))的加密。EFS由Windows 2000及以后的操作系統(tǒng)所支持，可以防止其他用戶打開文件，即使他們擁有NTFS許可。至于Windows XP/2003及以后的操作系統(tǒng)，可以通過在加密對話框中給其分配特定的許可，實施加密文件夾的共享。

竊取數(shù)據(jù)的一種方法是竊取整臺計算機(jī)，特別是筆記本電腦等。對于Vista 企業(yè)版和終極版，為防止萬一計算機(jī)被竊取的造成的數(shù)據(jù)丟失，可以利用BitLocker的完全驅(qū)動器加密來保護(hù)數(shù)據(jù)。

第五招：實施權(quán)限管理

有一些數(shù)據(jù)竊取確實可以通過上述的方法來避免。然而，對于那些你需要給與訪問權(quán)限的人造成的數(shù)據(jù)竊取怎么辦?可以利用Windows Rights Management Services(權(quán)限管理服務(wù),簡稱 RMS)，以及許多Office 2003和 Office 2007版本中的信息權(quán)限管理(Information Rights Management,IRM)來防止用戶利用轉(zhuǎn)發(fā)、復(fù)制等手段濫用你發(fā)給他們的電子郵件消息和Office文檔(主要是Word、 Excel、 PowerPoint)。

第六招：限制可移動媒體的使用

將數(shù)字信息偷盜出公司的一個最普遍的方法是將其復(fù)制到某種可移動媒體或設(shè)備上。USB設(shè)備價格便宜、易于隱藏，高容量的SD，CF卡和其它的 fash存儲卡能夠存儲大量的數(shù)據(jù);用戶可以將數(shù)據(jù)復(fù)制到MP3播放器上，通過CD或DVD刻錄機(jī)也可以將數(shù)據(jù)轉(zhuǎn)移出去。不過，可以通過移除USB端口等方法永久性限制USB設(shè)備的安裝和使用，可以通過注冊表或者利用其它軟件來禁止在某臺計算機(jī)或整個網(wǎng)絡(luò)上使用可移動媒體。

在Vista中，可以利用組策略限制對可移動媒體的使用。具體可參考相關(guān)文章。

第七招：控制筆記本電腦的使用

用戶可以將文件帶走的另外一種方法，是用一臺筆記本電腦或掌上電腦連到內(nèi)部網(wǎng)絡(luò)上，將文件復(fù)制到其硬盤上，然后將其計算機(jī)帶走。你應(yīng)該控制有哪些電腦可以連接到你的局域網(wǎng)，不僅僅是對遠(yuǎn)程訪問的控制，而是應(yīng)該控制誰可以將網(wǎng)絡(luò)電纜插入到你的集線器或交換機(jī)。

可以使用IPSec來防止不是域成員的計算機(jī)連接到你的文件服務(wù)器以及局域網(wǎng)上的其它計算機(jī)。具體相關(guān)內(nèi)容請參考有關(guān)文章。

第八招：為傳出的網(wǎng)絡(luò)信息制定規(guī)則

防火墻所做的不僅僅是阻止不合需要的通信訪問你的網(wǎng)絡(luò)，還可以防止特定的通信離開你的網(wǎng)絡(luò)。你可以設(shè)置防火墻來阻止某些類型的傳出協(xié)議，如p2p軟件所使用的協(xié)議。

你可以設(shè)置郵件服務(wù)器來阻止發(fā)出郵件附件，還可以利用內(nèi)容過濾的軟件或服務(wù)來阻止發(fā)出去的內(nèi)容，例如，可以使用Reconnex iGuard MX Logic，Microsoft ForeFront，GFI Mail Security等。

第九招：控制無線通信

即使你通過防火墻或者過濾系統(tǒng)阻止發(fā)出某些類型的數(shù)據(jù)，一個意志堅定的家伙還是可能將公司的電腦連接到某個范圍內(nèi)的不同無線網(wǎng)絡(luò)，即一個沒有實施阻止機(jī)制的無線網(wǎng)絡(luò)?；蛘咚赡軐⒂嬎銠C(jī)連接到一部擁有互聯(lián)網(wǎng)訪問能力的移動電話上，然后將此電話作為一個調(diào)制解調(diào)器，實現(xiàn)無線上網(wǎng)的企圖。

因此，跟蹤可能離開公司所在地的無線網(wǎng)絡(luò)其及其設(shè)備，如果可能的的話，阻止其信號。

第十招：當(dāng)心其它的具有“創(chuàng)造性”的數(shù)據(jù)竊取方法

記住，你的數(shù)據(jù)流出網(wǎng)絡(luò)可能會有許多方法。一個用戶可以打印一份文檔，將其以紙張的形式帶出公司;或者一個竊賊可能從垃圾桶里竊取沒有進(jìn)行銷毀處理的文檔資料。即使你已經(jīng)實施了版權(quán)管理等技術(shù)來防止復(fù)制或打印文檔，某個人還是可以通過膠片或數(shù)字電影的形式帶走資料，或者是坐下來手工抄寫文檔信息。因此，需要萬分小心，采取縝密的措施來保護(hù)你的數(shù)據(jù)安全。 （互聯(lián)網(wǎng)實驗室）