企業(yè)需重新審視數(shù)據(jù)丟失防護(hù)(DLP)
不斷出現(xiàn)在媒體頭條的數(shù)據(jù)違規(guī)事件極大影響了公司的信譽(yù)和利潤。組織投入大量資金購買預(yù)防數(shù)據(jù)丟失的產(chǎn)品來監(jiān)控、記錄和防止敏感信息在未經(jīng)授權(quán)的情況下離開組織。問題是，很多人把這個(gè)問題想錯(cuò)了。
美國國立衛(wèi)生研究院、WellCare健康規(guī)劃公司與WellPoint公司和美國聯(lián)邦政府近期發(fā)生的安全事故造成數(shù)十萬個(gè)病人信息泄漏，包括社會(huì)保障卡號(hào)碼、生殖治療和癌癥記錄均受到威脅。在很多例子中，如果組織采取不同的措施就可能避免這些事情發(fā)生。
傳統(tǒng)上，組織在預(yù)防數(shù)據(jù)丟失時(shí)主要關(guān)注“移動(dòng)中的數(shù)據(jù)”——通過電子郵件或即時(shí)消息離開組織，或復(fù)制到移動(dòng)存儲(chǔ)設(shè)備的信息。某些產(chǎn)品專注于網(wǎng)關(guān)或內(nèi)部網(wǎng)絡(luò)與互聯(lián)網(wǎng)連接的地方，而其它產(chǎn)品注重用戶的筆記本電腦等端點(diǎn)設(shè)備。這些解決方案在保護(hù)移動(dòng)數(shù)據(jù)時(shí)非常成功，但是根本無法保護(hù)靜態(tài)數(shù)據(jù)。
筆記本電腦丟失和靜止數(shù)據(jù)問題
數(shù)據(jù)在大多數(shù)時(shí)間都處于靜止?fàn)顟B(tài)。公司有很多措施來保護(hù)服務(wù)器上的靜止數(shù)據(jù)，但卻忽視了員工筆記本電腦上的靜止數(shù)據(jù)。把筆記本電腦遺忘在機(jī)場(chǎng)、出租車司機(jī)或酒店房間的事情很可能發(fā)生。事實(shí)上，今年發(fā)生的多數(shù)數(shù)據(jù)丟失事件都是因?yàn)楣P記本電腦丟失或被盜。根據(jù)Privacy Clearinghouse的說法，超過1.66億條美國人的記錄(個(gè)人數(shù)據(jù))已經(jīng)受到危害。
市場(chǎng)上有很多產(chǎn)品會(huì)讓盜賊很容易地越過用戶的密碼并訪問硬盤上的數(shù)據(jù)。很多時(shí)候，員工會(huì)把計(jì)劃書或被要求把機(jī)密信息存儲(chǔ)到筆記本電腦上。最普通的例子是包含數(shù)千個(gè)機(jī)密客戶記錄的電子表格文件。取得這種筆記本電腦，訪問記錄并使用其中的信用卡號(hào)碼對(duì)某些人來說并不是困難的事情。
2007年2月，McAfee對(duì)美國企業(yè)進(jìn)行的一項(xiàng)調(diào)查(內(nèi)部威脅：數(shù)據(jù)丟失災(zāi)難)發(fā)現(xiàn)，由于企業(yè)不能全面溝通自己的安全政策與松懈的員工行為，企業(yè)為抵御外部威脅和黑客所購買的解決方案經(jīng)常被削弱。
實(shí)際上，這份研究報(bào)告顯示，許多美國企業(yè)沒有制定敏感文檔的處理政策，而對(duì)于確實(shí)制定了政策的企業(yè)，24%的員工根本不知道這些政策是什么。
不管怎么說，員工讓企業(yè)面臨甚至更為嚴(yán)重的安全威脅，而且有時(shí)候是在無意識(shí)中。這種威脅不僅會(huì)危害組織的品牌和聲譽(yù)，而且甚至可能危害到企業(yè)本身的生存能力。
該怎么辦?
加密必定是任何數(shù)據(jù)泄露防護(hù)計(jì)劃中的關(guān)鍵考慮因素。這在筆記本電腦丟失事件中尤其重要。當(dāng)筆記本電腦丟失或被盜時(shí)，加密可以防止非法系統(tǒng)訪問并讓其中的數(shù)據(jù)失效。
公司還可以通過透明的加密和解密保持運(yùn)營效率。隨著技術(shù)的進(jìn)步，空閑時(shí)加密成為可能，因此不會(huì)造成系統(tǒng)性能降低。
訪問控制可以防止非法訪問和數(shù)據(jù)丟失。兩級(jí)和三級(jí)啟動(dòng)前認(rèn)證等技術(shù)支持多種不同的智能卡和USB令牌。端點(diǎn)加密可以支持單一登錄，最小化對(duì)授權(quán)用戶的騷擾以及與Windows的密碼同步。
另外一項(xiàng)關(guān)鍵要求是內(nèi)容感知控制，通過監(jiān)控?cái)?shù)據(jù)的訪問、創(chuàng)建和操縱來防止丟失。復(fù)制、粘貼、壓縮或加密的數(shù)據(jù)也必須進(jìn)行保護(hù)，而且不中斷日常業(yè)務(wù)活動(dòng)。
企業(yè)至少需要負(fù)責(zé)監(jiān)控、評(píng)估和更新安全解決方案，把員工行為和外部威脅都考慮在內(nèi)。擁有防止違規(guī)和保護(hù)數(shù)據(jù)的程序和技術(shù)非常重要，同時(shí)員工的行為和態(tài)度也需要改變。
消費(fèi)者信任企業(yè)能夠保護(hù)其信息的安全。這些企業(yè)必須證明，他們很嚴(yán)肅地看待這種責(zé)任，并盡全力保持用戶數(shù)據(jù)安全。
【編輯推薦】
