信息安全内患突显 防止泄密刻不容缓

 随着计算机网络技术的快速发展和应用，电子商务、网络管理、网络通信等已经成为国家和社会正常运转，企业正常运营的必要环境。正当我们越来越依赖信息技术的同时，伴随的信息安全问题越来越紧迫，有一句话让我们触目惊心：外部网络的入侵就像一个人被打了脸； 而对内部网络的成功入侵，就像一个人被伤及了五脏六腑……，事实给我们敲醒了警钟。
       内网安全隐患突显 
       内部重要文档自由使用造成泄密。即使是加密文档一旦被授限打开，使用者就拥有了对文档进行操作的所有权力，并且无法对重要文档使用过程进行控制、追踪和审计。这个安全漏洞成为不法分子的可趁之机。 
某省政府办公厅原助理调研员，被境外情报机构收买，通过个多月的时间，多次利用省政府某些部门保密工作和内部管理存在的漏洞，获取近百份秘密文件和内部材料，提供给境外间谍分子，从中获得美元4300元、台币14万元、人民币6600元情报酬金及其他酬物。他的行为，给国家的安全和利益造成极大危害。 
离职、辞职人员带走内部机密资料造成严重损失。制度在一定程度上能够约束泄密行为的发生，但是当面临巨大的利益诱惑时，就显得微弱无力，如果不通过技术手段防止泄密，制度就成为纸上谈兵。 
国家某军工基地3名技术骨干集体辞职。12月，另两名技术骨干失踪。厂方在清理资料时发现，这5人不仅带走了历年的工作笔记本、工作手册、草稿本，还带走一块120M硬盘和104张软盘，其中不少技术资料事关国家机密。5人离开才几天，工厂的一条生产线突然发生随机故障，经检查，系人为破坏所致，因此，一批急需的军品未能按时交货，造成了严重的损失。 
针对该领域的企业应用需求，已经涌现出一批类似北京思智科技的高技术公司，提供成熟的解决方案。
       内网信息有效防泄密解决方案 
       1．内部重要文档安全保护。核心数据的安全需要关注它的存储、共享、传输、使用的整个生命周期的过程，首先需要加强电子文档本身的安全性，而且控制传输与使用过程的安全性，同时能够控制文档访问权限。由安全策略服务器进行授权分配和管理。而国内也有一些优秀的厂商推出了比较完善的文档安全技术应用解决方案，作为该领域软件产品发展的领导厂商，北京思智科技认为，企业做好内部文档信息管理刻不容缓。在对网络的重要文件加密的同时，根据用户在企业内的级别和权限，不同程度的开放给其使用。做到部分用户只拥有对文件操作的部分权限。具体的权限设计依赖于管理者或文件拥有者的设置。这样既达到了防止文件泄密的功能，也达到了公司知识积累和文件的共享。管理者从使用者下载文档操作开始，控制使用者的读取、存储、复制、输出的权限。从而防止使用者之间非法复制、外部发行、光盘拷贝。杜绝使用优盘、软盘、光盘，电子邮件等方式窃取企业的机密技术文件、事业计划书、设计图稿、会计帐目、战略计划书、研究论文等文档。解决了电子文档安全共享的，防止信息在发布共享后产生二次传播泄密，保护了电子文档的安全性。这类产品根据市场的需求可细分为两类：固定版式格式和非固定版式格式。后一种格式的应用比较第一种更加广泛一些，对于协同工作以及很多的设计行业和制造行业都有着非常大的用途，不改变文件格式就能保证文件的安全共享，提高了工作效率。 
       2．重要文档动态加密保护。从信息泄密角度来看，只要是明文文件在硬盘上保存，无论是从访问控制、设备监控、安全审计等手段都无法从根源上彻底解决信息的安全。最有效的手段就是对存储信息进行主动加密保存。但是，传统意义上的加密产品过多地依赖于应用程序，实现被动地加密解密，这样无法化解信息安全和工作效率之间的矛盾，也不能防止企业内部人员主动泄密的隐患发生。目前，世界众多安全厂商也正在积极地从动态加密解密技术手段着手解决信息情报泄漏问题。有的只是做到以整个磁盘级动态加解密，有效地解决了笔记本计算机丢失和非法获得计算机中加密数据，但是，并不能解决计算机使用者有意非法泄密机器中重要数据的问题；另一类产品可以做到针对与某一类具体文件在使用中自动进行加密解密，但是，因为无限多的文件类型和版本决定了此类产品只能适用于某一狭小范围，不可能解决复杂广泛的实际应用领域。国内只有极少数的厂家如思智科技的动态加密技术能够根据用户的不用需求设置不同的安全加解密策略，对不同的文件类型、各种网络外设、移动设备进行强制性的透明地动态加密解密，又不影响企业的正常工作。 
       3．采用全面的日志审计。日志审计一方面可以为企业和机构的安全事件追踪提供有力依据，同时为安全审计提供有效安全的数据来源。日志功能可以记录产品部署中所有相关信息及操作记录。实时采集在系统运行过程中产生的日志、消息等各种状态信息，在审计模块分析的基础上，监测各种软硬件系统的运行状态，发现各种异常事件并发出实时告警，并提供对存储的历史日志数据进行数据挖掘和关联分析，通过可视化的界面和动、静态报表向管理人员提供准确、详尽的统计分析数据和异常分析报告，协助管理人员及时发现安全漏洞，采取有效措施，提高安全等级。 
       4．建立完善的安全管理制度。三分技术七分管理，任何技术都无法保障信息完全的安全，因此企业首先需要建立完善的内部安全管理制度，然后通过先进的技术手段，有效的实施并执行制度，从而达到真正意义的安全。
       全局安全 综合考虑 
       以上所述从不同方面、不同层次解决了内网信息安全的一部分问题，但完整地内网安全需要从用户身份认证、数据安全存储、文件分级权限管理、安全日志审计、内网监控管理、终端安全管理、数据安全备份等多方面入手。如何能够使每一种产品都能够发挥出最大的优势，还需要从资源整合做起，就如同木桶定律，因此内网安全这桶水也同样需要建立完善的安全平台，核心的加解密技术如同捅底那一块关键的木板，而其他内网安全技术如同桶壁。只有当每一块木板发挥最大的优势，才能够达到最优效果，从根源上彻底防止信息泄密。 
       前赴后继打造安全平台 
       现在信息安全产业正处于一个非常好的历史发展时期。国家从总体上为信息安全的发展创造了良好的政策环境，信息化发展对安全的强劲需求，为我们产业的发展带来了一个难得的发展机遇，这是我们发展信息安全的极为有利的条件。众所周知，信息安全是一个技术性非常强的高技术对抗，我们要确保我国的信息安全，必须不断加大技术研发和自主创新的力度，特别是应当着力于关键领域的技术攻关，加强信息安全技术平台的建设。在这方面，我们应当多一些战略的眼光，从长远出发，不断完善，健全和发展壮大自己。