當前，數(shù)據(jù)防泄露是當前信息安全的主要問題。基于不同的法律環(huán)境、文化理念和網(wǎng)絡環(huán)境，國內(nèi)外數(shù)據(jù)泄露防護（DLP）體系DLP要解決的具體問題是不同的。區(qū)別于國外DLP以防外部竊密和內(nèi)部無意泄密，國內(nèi)DLP以防止內(nèi)部故意泄密為主，兼防內(nèi)部無意泄密和外部竊密。因此，國內(nèi)DLP強調(diào)的是主動防御，通過“事前主動防御、事中及時控制、事后及時追蹤、全面杜絕泄密”軟件設計理念，以加密技術為核心，結合多種信息安全技術，建立完善的DLP方案。
一、數(shù)據(jù)泄露防護（DLP）體系概念
數(shù)據(jù)泄露防護（Data leakage prevention, DLP），又稱為“數(shù)據(jù)丟失防御”(Data Loss prevention, DLP)，有時也稱為“信息泄漏防御”(Information leakage prevention, ILP)。數(shù)據(jù)泄漏防護是通過一定的技術手段，防止企業(yè)的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式流出企業(yè)。
(一) 企業(yè)先將數(shù)據(jù)進行分類，同時對“涉密數(shù)據(jù)”進行定義，然后確定哪些數(shù)據(jù)需要保護；
(二) 確定涉密數(shù)據(jù)在企業(yè)系統(tǒng)中的存放位置，企業(yè)應清楚確定有多少數(shù)據(jù)存放在員工的計算機、公司的服務器或數(shù)據(jù)庫等；
(三) 清楚掌握數(shù)據(jù)的位置，便能為數(shù)據(jù)的流出、流入提供實時的監(jiān)控及保護，包括經(jīng)電子郵件、http、即時消息等途徑發(fā)放的資料；
(四) 數(shù)據(jù)泄漏很多時都是人為所致，因此企業(yè)必須制定員工傳送機密數(shù)據(jù)的權限；
(五) 企業(yè)亦需監(jiān)控數(shù)據(jù)被送達的地方是否安全，如商業(yè)伙伴或網(wǎng)上電子郵件等；
(六) 最后，企業(yè)必需注意員工運用什么途徑傳送檔案，這些途徑包括所有移動儲存硬盤和點對點傳送等。
完整執(zhí)行上述6個步驟，基本可以企業(yè)的機密資料做出全面梳理，為實施DLP做好基礎性工作。把涉密信息與非涉密信息區(qū)分開來，采用等級管理辦法，針對不同的信息分別進行防護。
二、數(shù)據(jù)泄露防護（DLP）所解決的問題
目前，數(shù)據(jù)泄露的原因主要有三種：竊密、泄密和失密。雖然網(wǎng)絡無邊界，但是人員有內(nèi)外。綜合兩方面因素，數(shù)據(jù)泄露有以下幾種情況：
1）、外部黑客竊密
現(xiàn)在網(wǎng)絡病毒、木馬猖獗，許多電腦在不小心之下就成為肉雞，這已經(jīng)成為普遍現(xiàn)象。黑客已經(jīng)不再是一個技術問題、道德問題，而已經(jīng)成為一種社會現(xiàn)象。黑客竊密已經(jīng)成為信息安全的一大威脅，所以不得不防。
2）、外部間諜竊密
不管是政府、軍隊和企事業(yè)單位，都不可避免面對間諜的威脅。中國處于高速發(fā)展時期，國外許多敵對勢力或者是跨國競爭對手，一直在對中國虎視眈眈。間諜案件屢見不鮮，仍然不可掉以輕心。
3）、外部競爭對手竊密
商場如戰(zhàn)場。現(xiàn)代的商業(yè)競爭往往各種手段都采用，近幾年競爭對手派人到對方公司臥底，或者是收買競爭公司人員竊取資料，也時常見諸報端。
4）、內(nèi)部人員離職拷貝帶走資料泄密
經(jīng)濟危機到來，許多公司紛紛裁員。美國密西根州的珀納蒙研究所研究報告，研究結果顯示，離職人員帶走的公司信息對競爭者具有價值，67%的人表示他們使用前雇主的商業(yè)機密、敏感信息和專利信息幫助其在新公司立足。離職雇員這種行為不僅是將公司客戶信息以及其他公司商業(yè)機密置于危險之中，還將對公司的競爭力和公司未來的經(jīng)營造成很大的負面影響。
5）、內(nèi)部人員無意泄密
誤將商業(yè)計劃書當作普通文檔發(fā)送給了媒體、無意間將公司內(nèi)部工資表群發(fā)給了所有員工等等。許多泄密事件，并不是有人盜竊，也不是有人在發(fā)泄，而是在沒有意識到是需要保密的機密，以致讓內(nèi)部絕密文件滿天飛。
6）、內(nèi)部人員有意（惡意）泄密
明知是公司保密資料，卻故意發(fā)到論壇上，這種事情雖然為數(shù)不多，卻也不是沒有。這種情況，往往是對公司心懷不滿，處于發(fā)泄目的，或者是為圖個人名利。這種情況所造成的后果往往都會很嚴重，比如3.15晚會上曝光的山東移動公司內(nèi)部員工，出于謀利，把客戶資料販賣到外部，就是一個典型例子。
7）、內(nèi)部文檔權限失控失密
存放在共享服務器上的文檔，成為公共圖書館里的雜志，任何人都可以看上一眼，這恐怕不是公司管理者看到的。一份董事會發(fā)給董秘的文件，只允許當事人閱讀，卻被當事人修改，這往往成為一個災難性的事件。文檔的閱讀、修改、打印、復制等權限在沒受到控制的情況下，往往也會導致泄密。
8）、存儲設備丟失和維修失密
美國FBI在44個月里，就丟掉了160件武器（包括訓練用武器）和160臺筆記本電腦，雖然有嚴格的管理制度，但是遺忘是人大腦的生理機能，無法完全避免。當陳冠希把筆記本電腦送到維修處的時候，他恐怕做夢也想不到自己第二天將成為諸多報紙的頭條主角。存儲設備丟失和維修，是機密泄露的途徑之一，要想設備都不被丟失，這是不可能完成的任務。
9）、對外信息發(fā)布失控失密
當重要資料發(fā)到合作伙伴那里的時候，你是不是也膽戰(zhàn)心驚，擔心合作伙伴隨時都可能把資料發(fā)給第三方？許多時候，我們都希望我們發(fā)送到外部的資料能得到控制，只允許被閱讀三次，或者不允許被打印？如果這些都得不到控制的時候，那對外發(fā)布的信息，很可能就成為泄密的一大原因和途徑。
以上九種，基本囊括了目前主要的泄密原因，任何一種情況下的泄密都可能會帶來致命的危險。一個完善的數(shù)據(jù)泄露防護體系，必須能防止以上種種泄密。否則，花費數(shù)萬、數(shù)十萬甚至數(shù)百萬買來的軟件，只會是一個擺設。當我們在考慮數(shù)據(jù)泄露防護（DLP）體系的時候，我們不僅要求能防止網(wǎng)絡黑客竊密，也要防止內(nèi)部泄密，不僅防止無意間的泄密，也要防止內(nèi)部惡意泄密，不僅防止固定存儲設備安全，還要保證移動存儲設備數(shù)據(jù)不會丟失，還要確保對外發(fā)送的文檔能有效杜絕二次擴散。
三、什么數(shù)據(jù)泄露防護（DLP）體系適合于中國國情？
要保證防止以上九種泄密，采用國外DLP解決方案是做不到的。以內(nèi)容識別、出口檢測、涉密信息警告和日志審計為主的數(shù)據(jù)泄露防護（DLP）能夠做到的是防止外部網(wǎng)絡黑客竊密，或者是防止內(nèi)部無意間泄密。對于那些處心積慮盜竊內(nèi)部機密信息的內(nèi)部人員，或者是滿腹怨氣拷貝重要資料的離職員工，甚至是把硬盤直接卸下偷走，一個警告是沒有絲毫作用的。所以現(xiàn)在國外DLP方案在國內(nèi)乏人問津，偶有測試，卻實施者全無，正是因為這一點。
國外DLP廠商也正是認識到了這一點，所以紛紛集成了加密技術，現(xiàn)在多數(shù)國外DLP軟件都具備加密功能。但是，即便如此，這些集成了加密功能的DLP卻不能在中國銷售。根據(jù)國家法律規(guī)定，凡是涉及到商用密碼的軟件產(chǎn)品，都必須取得國家商用密碼管理局頒發(fā)的“國家商用密碼生產(chǎn)銷售單位”許可證，由于眾所周知的原因，國外DLP廠商根本無法獲得這個許可證。如果國外DLP廠商敢冒天下之大不韙，公然違反法律在中國銷售帶加密功能的DLP，必定遭到國家法律的嚴懲，而且其用戶也將因此遭到巨大損失。
通過數(shù)據(jù)加密來保證數(shù)據(jù)安全，防止泄密，已經(jīng)成為國內(nèi)外DLP廠商的共識，而且也是當前最有效的解決辦法。以數(shù)據(jù)加密為核心的數(shù)據(jù)泄露防護（DLP）解決方案，已經(jīng)成為中國國內(nèi)主流方案，并得到了眾多用戶的認可。不同行業(yè)不同類型的用戶，紛紛采用DLP方案來保護機密信息。以北京億賽通為例，其用戶包括政府行業(yè)、軍隊、軍工企業(yè)、金融機構、通信行業(yè)、制造企業(yè)等。全國數(shù)百家用戶如國家外交部、酒泉衛(wèi)星發(fā)射中心、解放軍二炮、中國空軍、中國移動集團、聯(lián)想移動、浙江正泰集團等等，已經(jīng)采用了億賽通DLP解決方案來防止內(nèi)部和外部造成的竊密、泄密和失密。
四、科學嚴謹?shù)臄?shù)據(jù)泄露防護（DLP）解決方案功能體系
除了加密之外，還需要具備哪些功能才能夠構成完善的DLP方案解決方案呢？是不是只需要加密就可以完全搞定所有的防泄密問題？
答案是：NO。
在整個內(nèi)網(wǎng)架構中，存在終端、磁盤（硬盤）、服務器、端口、移動存儲設備等等不同的節(jié)點。不同的節(jié)點，信息產(chǎn)生和保存的情況都是不一樣的。如果采用靜態(tài)加密方式，卻又不適合于用戶的業(yè)務流程，更做不到全程加密，必然留下泄密的漏洞。即使是對密文的保護，也要結合訪問控制、身份認證、日志審計、文檔備份、系統(tǒng)容災、業(yè)務流程審批、全磁盤加密、移動設備保護、服務器加密、數(shù)據(jù)庫加密等等多種手段相結合。
一個科學嚴謹?shù)臄?shù)據(jù)泄露防護（DLP）解決方案必須具備哪些功能呢？筆者參考了億賽通數(shù)據(jù)泄露防護（DLP）解決方案，畫出了完善的DLP方案功能圖，供讀者參閱。
億賽通基于驅(qū)動層透明動態(tài)加解密技術，采用對應客戶需求的安全策略，以透明加密功能為核心，結合文檔透明加密、文檔權限管理、文檔外發(fā)控制、文檔備份、業(yè)務流程審批、磁盤全盤加密、磁盤分區(qū)加密等基本功能，融合身份認證、日志審計、端口管理、移動存儲管控和系統(tǒng)容災管理等功能。億賽通DLP產(chǎn)品分為文檔加密級DLP和數(shù)據(jù)加密級DLP兩大系列，通過對終端、端口、磁盤、服務器、筆記本電腦、移動存儲設備、數(shù)據(jù)庫等進行管理，嚴密防止內(nèi)部泄密和外部竊密。
如下圖：
圖片1
