在老黃前段時間舉辦的“信息防泄漏的選型與實施”線上技術(shù)門診活動中，網(wǎng)友們反響很熱烈。大家紛紛過來“問診”，為企業(yè)所遇到的信息安全困擾尋求“良方妙藥”。

從大家描述的企業(yè)情況可看出目前大部分企業(yè)都意識到了信息防泄漏建設(shè)的重要性，不少企業(yè)也已著手部署了一些措施。但這些企業(yè)都無一例外地遇到了相同的困擾：苦于不知如何更好地開展信息防泄漏這一項目。

老黃將出診情況皆一一記載，接下來對一些經(jīng)典的企業(yè)個案進行系列講解，希望為相似“病情”的企業(yè)提供參考借鑒，構(gòu)建健康安全的防泄漏體系。

在眾多防泄密技術(shù)、功能里，加密的功效無疑是最強的，其理念非常誘人，“絲毫不影響工作，非授信環(huán)境下，帶得走，也看不了”。但只下加密這一劑猛藥，企業(yè)安全問題是否能藥到病除呢？下面這則企業(yè)案例告訴我們，答案是否定的。

出診札記

軟件研發(fā)企業(yè)A，兩年前部署了一套透明文檔加密系統(tǒng)，只在研發(fā)部上加密，對軟件代碼、設(shè)計方案、圖紙等核心機密進行加密防護。使用以來，兼容性的問題一直存在，而且信息保密漏洞百出，還有泄密事件發(fā)生。近期準(zhǔn)備部署準(zhǔn)入及終端管理系統(tǒng)，處于試用階段。對全面的信息防泄漏體系的構(gòu)建、評估以及產(chǎn)品的選型心存疑惑。

癥結(jié)分析：

·缺乏全面、系統(tǒng)化的安全防御體系

A企業(yè)只在核心部門——研發(fā)部上加密，除此之外，沒有其他任何的防泄密措施。老黃認為，問題癥結(jié)就在于只在核心部門裝加密，無法控制和掌握內(nèi)部所有信息的使用及流轉(zhuǎn)，只能保障加密信息在非授信情況下的安全。而一旦加密信息以合法手段變成明文后，核心機密的安全就無從談起。打個比方，加密就好象是把你的機密信息裝進一個保險柜，雖然保險柜很安全，你也不愿意你的保險柜被偷走或者隨意丟在大街上。

· 所采用的透明加密產(chǎn)品兼容性欠佳，廠商提供的售后服務(wù)不夠到位

透明加密存在著兼容性的問題，這是由于所采用的加密系統(tǒng)兼容性不佳而導(dǎo)致，無法滿足系統(tǒng)及業(yè)務(wù)所需。而在兩年來的使用中都出現(xiàn)這樣的問題，則說明了加密廠商所提供的支持不到位，沒有快速響應(yīng)客戶所遇到的問題。

對癥下藥

老黃所在企業(yè)溢信科技10余年來致力于為企業(yè)提供全面的信息防泄漏解決方案。其基于多年的客戶服務(wù)經(jīng)驗以及對市場需求的準(zhǔn)確把握度，領(lǐng)先“研制”出了為企業(yè)全面、系統(tǒng)化解決信息安全問題的方案——IP-guard三重保護信息防泄漏解決方案。下面老黃將結(jié)合這一方案，為A企業(yè)開出老黃的獨家藥方。

· 全方位、整體調(diào)理，一個部門也不能少

A企業(yè)的主要病狀在于裝了加密，但是仍有泄密事件發(fā)生。雖然如今準(zhǔn)備部署準(zhǔn)入及終端管理系統(tǒng)，防護能力較之以前會大大加強。但這個舉措依舊存在誤區(qū)，信息防泄漏最忌的是“頭痛醫(yī)頭腳痛醫(yī)腳”，各種產(chǎn)品堆砌管理。曾經(jīng)遇到過很多企業(yè)，采用了安全審計、準(zhǔn)入控制、透明加密等各種產(chǎn)品，部署之后面臨著后期維護困難、軟件沖突等多重問題，企業(yè)雖然“裝”了安全產(chǎn)品，但根本“用”不了。

綜合A企業(yè)的病狀及需求，老黃認為IP-guard三重保護信息防泄漏解決方案正是醫(yī)治A企業(yè)病狀的良方。

三重保護解決方案包括詳盡細致的操作審計、全面嚴(yán)格的操作授權(quán)以及安全可靠的透明加密。通過三重保護解決方案，A企業(yè)可在企業(yè)全范圍部署審計，對內(nèi)部操作實現(xiàn)可視化，及時發(fā)現(xiàn)安全隱患的所在；而對于一些涉密程度較高的部門，三重保護解決方案提供對包括文檔操作管控、設(shè)備管控、郵件管控、即時通訊管控、移動存儲管控、網(wǎng)絡(luò)準(zhǔn)入管控等15大可能的泄密渠道進行有效的控制，這個既實現(xiàn)了全面的管控，也滿足A企業(yè)欲部署準(zhǔn)入及終端管理系統(tǒng)的需求。

A企業(yè)所屬類型為軟件研發(fā)型企業(yè)，智力資產(chǎn)可說是企業(yè)制勝的核武器，因此覆蓋到企業(yè)所有部門的安全管理以及全面的管控是必不可少的，只有這樣才能實現(xiàn)最大程度的安全。同時，IP-guard系統(tǒng)采用的是模塊化的設(shè)計，A企業(yè)可以根據(jù)每個部門的涉密情況以及實際的安全需求，靈活組合，以最小的投資獲得最高的安全回報。

·選型與評估

A企業(yè)在問診過程中也提出了如何評估防泄漏方案是否完善以及加密產(chǎn)品如何選型這些困惑。老黃平日與客戶溝通交流過程中，也發(fā)現(xiàn)不少客戶對防泄漏方案的評估感到疑惑。依老黃之見，完善的防泄漏方案，必須滿足以下幾個條件。

1. 安全管理措施覆蓋企業(yè)所有部門

2. 對內(nèi)部操作實現(xiàn)全范圍可視化

3. 信息的一切傳播渠道都有相應(yīng)管控

4. 防護力度與涉密程度相匹配

5. 及時發(fā)現(xiàn)及應(yīng)對新的安全威脅

6. 根據(jù)功能需要和規(guī)模迅速擴展

7. 項目效果的可評估性

對于A企業(yè)在兩年來的使用中遇到的兼容性問題，需要該系統(tǒng)的廠商給予足夠的支持才能解決。老黃在這里結(jié)合服務(wù)客戶以及項目經(jīng)驗，總結(jié)一下加密產(chǎn)品選型中需要注意的地方。

市場上加密產(chǎn)品眾多，魚龍混雜，兼容性和穩(wěn)定性都是加密系統(tǒng)中的重要考核指標(biāo)，因此在正式部署前，以下兩步是不可忽視的：

1. 測試環(huán)節(jié)是非常重要的，考察產(chǎn)品的適用性、穩(wěn)定性。首先選取具有代表性的機器首先進行全面的測試。當(dāng)?shù)谝徊綔y試沒問題后再將部署范圍逐步推進，最終做到對所有的電腦進行管理。

2. 除了技術(shù)以外，還要多重視廠商的市場表現(xiàn)和服務(wù)能力。信息防泄漏產(chǎn)品，尤其會涉及到企業(yè)的核心機密，來不得半點的耽擱和馬虎，選擇服務(wù)能力跟的上的廠商，能夠保證產(chǎn)品的正常使用。

出診心得

上述分析的A企業(yè)案例是目前企業(yè)應(yīng)用中較為典型的其中一種“病狀”，有不少問診者都是相類似的情況。這是由于這些企業(yè)過于依賴加密的防泄密功效，寄希望于部署加密后防泄密工作能一勞永逸所導(dǎo)致的。不可否認，透明加密是眾多防泄密技術(shù)中功效最強的，但防泄密工作需要的是各種技術(shù)的整合應(yīng)用，而不是一招吃天下。

企業(yè)每個部門所擔(dān)負的職能不一樣，其涉密程度也不同。老黃認為，正確的信息防泄漏思路是首先將每個部門的安全問題都審視清楚，然后根據(jù)每個部門的具體涉密程度以及安全狀況，整合應(yīng)用審計、權(quán)限管控、加密等多種技術(shù)手段進行統(tǒng)一管理，防護力度輕重有別，從而形成全面、梯度式的整體體系。