數(shù)據(jù)防泄密項(xiàng)目經(jīng)驗(yàn)分享
素包子近期也負(fù)責(zé)過(guò)一個(gè)數(shù)據(jù)防泄密項(xiàng)目，磕磕碰碰半年走下來(lái)，用兩個(gè)字來(lái)總結(jié)就是：值得。
這個(gè)數(shù)據(jù)防泄密項(xiàng)目（DLP）涉及形形色色的角色：國(guó)內(nèi)外供應(yīng)商、大集團(tuán)的領(lǐng)導(dǎo)和同事、產(chǎn)業(yè)集團(tuán)的領(lǐng)導(dǎo)和同事、事業(yè)部的領(lǐng)導(dǎo)和同事、試點(diǎn)部門的領(lǐng)導(dǎo)和同事；在這么多角色中，輸出了各式各樣的想法，也就有很多根杠桿，有的需要平衡，有的需要壓制，有的需要抬高；多的不說(shuō)，謝謝各位角色的支持和包容，特別感謝沒(méi)中標(biāo)的供應(yīng)商們，你們?cè)陧?xiàng)目前期也給予了我很重要的支持和幫助。
#ChangeLog |
2010.09.07 補(bǔ)充權(quán)限及加密的選擇，控制項(xiàng)目需求。
今天在TT安全上看到一個(gè)名為《終端數(shù)據(jù)丟失防護(hù)部署中的5大安全技巧》，由于TT明文要求不能轉(zhuǎn)載，我也就不轉(zhuǎn)了，有興趣的同學(xué)自己去注冊(cè)個(gè)帳號(hào)看吧。
我非常認(rèn)同文中的“在你推出部署數(shù)據(jù)丟失防護(hù)解決方案的第一個(gè)部門確定一些關(guān)鍵用戶，根據(jù)需要對(duì)他們進(jìn)行培訓(xùn)，并在測(cè)試階段與他們密切合作。通過(guò)關(guān)鍵用戶的幫助，可以避免非技術(shù)業(yè)務(wù)部門測(cè)試中出現(xiàn)的問(wèn)題，也可避免部署中沒(méi)有任何用戶反饋的情形發(fā)生。”和“慢慢來(lái)，逐步推出代理和策略”這兩個(gè)觀點(diǎn)。
前者決定了我們是否可以很好的邁出第一步。小范圍的試用是最關(guān)鍵的。在這個(gè)過(guò)程里，數(shù)據(jù)和事件運(yùn)營(yíng)非常重要，真的是要“積跬步”才有機(jī)會(huì)“至千里”的。在這個(gè)階段，乙方項(xiàng)目團(tuán)隊(duì)做的非常漂亮，他們的專業(yè)，穩(wěn)健，快速，靈活讓我十分佩服，也讓我學(xué)到不少東西。
后者小步快跑的思路決定了我們的項(xiàng)目阻力。“積跬步”僅僅是一個(gè)開(kāi)頭，我們要“至千里”的話，還有很長(zhǎng)很崎嶇的路要走。我在這個(gè)項(xiàng)目里的感覺(jué)是前期一定要“小”，小為我們快速發(fā)現(xiàn)并解決大部分問(wèn)題爭(zhēng)取了時(shí)間和空間。
我還有一些其他的觀點(diǎn)：
1、盡量避免把數(shù)據(jù)防泄密項(xiàng)目做成一個(gè)咨詢項(xiàng)目。
沒(méi)錯(cuò)，前期的調(diào)研很重要，中期的展示很重要，后期的領(lǐng)導(dǎo)認(rèn)可更重要，這些都要做漂亮，但我想提醒的是，管理手段等這些“務(wù)虛”的內(nèi)容在這個(gè)項(xiàng)目里是非常必要的而且是非常重要的，但所占比例不宜太大，項(xiàng)目時(shí)間有25%在做這些東西事情就差不多了。
為啥？高樓大廈平地起，只有把“務(wù)實(shí)”的基礎(chǔ)打好了，務(wù)虛的東西才能站的更高，更穩(wěn)更久，一個(gè)如此復(fù)雜的項(xiàng)目，走的越空，問(wèn)題越多，問(wèn)題越多，越不利于務(wù)虛的東西；另外務(wù)虛的項(xiàng)目的驗(yàn)收是一個(gè)大問(wèn)題。我不是想論證三分技術(shù)七分管理還是七分技術(shù)三分管理，其實(shí)根本沒(méi)這必要，不同的行業(yè)，不同的企業(yè)，不同的領(lǐng)導(dǎo)要求都不一樣，我的想法是如果條件允許的話，先跑穩(wěn)，再跳高；如果條件不允許，只能硬著頭皮先摸高，再軟著陸了。
2、選擇一個(gè)負(fù)責(zé)的供應(yīng)商。
素包子還是要感謝那將近20個(gè)供應(yīng)商，但是坦白說(shuō)，從我個(gè)人的判斷來(lái)看，這些供應(yīng)商各有所長(zhǎng)，當(dāng)然也各有所短。為了更好的提高數(shù)據(jù)防泄密項(xiàng)目的成功率，我覺(jué)得負(fù)責(zé)和經(jīng)驗(yàn)豐富是最重要的。當(dāng)然這不能憑口說(shuō)，得看他們的作為。口沫橫飛天花亂墜的說(shuō)；但不著邊際忽忽悠悠的做，實(shí)在是無(wú)法讓我放心把項(xiàng)目交付給他們。我不排斥售前或者銷售忽悠我，我也不想和他們?nèi)K某一個(gè)細(xì)節(jié)的真?zhèn)危蚁Ｍ蠹以谧鍪碌臅r(shí)候，一是一二是二。作為甲方來(lái)說(shuō)，走錯(cuò)了這一步，啥都別說(shuō)了，拿出勇氣抽自己一巴掌，趁早回頭是岸；下不了手或者要抽很多人巴掌？那就自求多福吧。
3、選擇一個(gè)經(jīng)驗(yàn)豐富的供應(yīng)商
供應(yīng)商的經(jīng)驗(yàn)也很重要，我們不能做供應(yīng)商在某個(gè)領(lǐng)域的小白鼠，應(yīng)用市場(chǎng)細(xì)分的很厲害，安全市場(chǎng)也細(xì)分的很厲害，DL產(chǎn)品同質(zhì)化也比較厲害；但在DLP項(xiàng)目里不同行業(yè)之間經(jīng)驗(yàn)復(fù)制程度還是有較大差別的，一個(gè)有經(jīng)驗(yàn)豐富供應(yīng)商可以傳遞很多經(jīng)驗(yàn)給我們，給我們提供合適的方案，讓我們少走彎路，少摔跤，這對(duì)數(shù)據(jù)防泄密這種用戶敏感度較高項(xiàng)目來(lái)說(shuō)非常關(guān)鍵。
至于國(guó)內(nèi)還是國(guó)外的供應(yīng)商，我們選擇了國(guó)內(nèi)供應(yīng)商。原因很簡(jiǎn)單，你要想找老外按你的意思改個(gè)東西，dream!不過(guò)這個(gè)缺點(diǎn)對(duì)廠商自身來(lái)說(shuō)也是優(yōu)點(diǎn)，標(biāo)準(zhǔn)化，好維護(hù)，好服務(wù)，就看廠商的取舍和平衡了。
另外老外的DLP產(chǎn)品很少文件加密的，大多是權(quán)限、網(wǎng)關(guān)類的產(chǎn)品，還有需要考慮的是外國(guó)的加密類產(chǎn)品在國(guó)內(nèi)是不允許銷售的，小企業(yè)采購(gòu)的話無(wú)所謂，大企業(yè)采購(gòu)的時(shí)候要考慮法務(wù)風(fēng)險(xiǎn)。說(shuō)到這個(gè)銷售許可，有一些國(guó)內(nèi)的廠商喜歡拿這個(gè)東西大做文章攻擊國(guó)內(nèi)的其他競(jìng)爭(zhēng)對(duì)手。這些廠商也就是在許可這塊投入了較多的精力，但這對(duì)項(xiàng)目的質(zhì)量影響不大，不必太在意。
4、選擇一個(gè)合適的產(chǎn)品。
為什么素包子現(xiàn)在才說(shuō)產(chǎn)品的問(wèn)題呢？因?yàn)榻Y(jié)合我們個(gè)人的認(rèn)識(shí)及前期與各供應(yīng)商洗腦，及互相PK的結(jié)果，再結(jié)合2、3兩點(diǎn)，會(huì)自然而然的輸出合適的DLP大方向（文件加密、磁盤加密、格式轉(zhuǎn)換、權(quán)限控制、網(wǎng)關(guān)控制等）及產(chǎn)品，這是一個(gè)水到渠成的過(guò)程。退一步說(shuō)：產(chǎn)品要不好可以改進(jìn)，但供應(yīng)商有問(wèn)題的話，那可不是說(shuō)換就換的。
什么叫合適的產(chǎn)品？素包子的理解就是符合滿足多種角色需求的產(chǎn)品，項(xiàng)目所處的環(huán)境越復(fù)雜，我們要滿足和均衡的人和事就越多，下面列舉一些有共性的需求：
A、滿足企業(yè)高管需求的產(chǎn)品。
B、滿足項(xiàng)目經(jīng)理領(lǐng)導(dǎo)需求的產(chǎn)品。
C、滿足項(xiàng)目經(jīng)理需求的產(chǎn)品。
D、滿足維護(hù)人員需求的產(chǎn)品。
E、滿足使用人員需求的產(chǎn)品。
橫向再插入三個(gè)關(guān)鍵詞：穩(wěn)定，簡(jiǎn)單，可靠。
以上幾點(diǎn)看似廢話，但要真的想清楚，權(quán)衡好，再做好，對(duì)甲方和乙方的項(xiàng)目負(fù)責(zé)人都是非常大的挑戰(zhàn)。換一個(gè)說(shuō)法可能更好理解，這里面的眾多角色想通過(guò)這個(gè)項(xiàng)目讓什么人可以獲得什么，規(guī)避什么，說(shuō)明什么，推動(dòng)什么，阻止什么。
作為項(xiàng)目負(fù)責(zé)人，我們得搞清楚keyman是哪些人，我們選擇的產(chǎn)品的輸出能滿足他們的需求嗎？需要提醒的是，在項(xiàng)目的不同階段，keyman有可能是變化的 ：）哪怕在試點(diǎn)測(cè)試的這一個(gè)階段里，不子階段的keyman也不一樣。
至于穩(wěn)定、簡(jiǎn)單、可靠。就不用說(shuō)太多了，一個(gè)要在3萬(wàn)用戶終端上跑的東西：
能不成熟嗎？三天兩頭就崩潰或者占用大量資源，上述C、D、E人員也會(huì)跟著崩潰的一塌糊涂，進(jìn)而A、B人員崩潰，項(xiàng)目夭折。
能不簡(jiǎn)單嗎？我一直認(rèn)為一個(gè)優(yōu)秀的產(chǎn)品就要做到”dont make me think”，幾萬(wàn)人，就算我們培訓(xùn)，發(fā)手冊(cè)，有30%的人看就不錯(cuò)了，即使還有5%不到的IT人員能自學(xué)，那剩下的65%的人中如果每天有個(gè)1%的E人員打電話問(wèn)D咋用，那大家也是崩潰的。這里說(shuō)的簡(jiǎn)單并不是單純的簡(jiǎn)單，而是產(chǎn)品設(shè)計(jì)者要真正從用戶的角度去考慮和實(shí)踐，才知道怎么樣才是從架構(gòu)上、從流程上、從產(chǎn)品上真正的簡(jiǎn)單，當(dāng)然接受用戶的反饋并改進(jìn)這非常有利于做到“簡(jiǎn)單”，這也是國(guó)內(nèi)產(chǎn)品的潛在優(yōu)勢(shì)，國(guó)外產(chǎn)品你給反饋個(gè)想法，不管好是不好，等個(gè)3579個(gè)月再說(shuō)吧。
能不可靠嗎？如果不可靠，可能會(huì)在務(wù)實(shí)和務(wù)虛的層面的ABCDE人員中全面起火。當(dāng)然我也是做安全的，我也知道安全是需要均衡的，所以我對(duì)可靠的定義是：首先能正視問(wèn)題，然后能主動(dòng)的發(fā)現(xiàn)問(wèn)題和快速的解決問(wèn)題，如果短期內(nèi)不能解決問(wèn)題，就必須提供緩解方法。
正如實(shí)施SDL，我們不怕0day漏洞，只怕出了0day后無(wú)法快速發(fā)現(xiàn)，更怕發(fā)現(xiàn)了沒(méi)響應(yīng)或不及時(shí)，還怕響應(yīng)了但解決不了問(wèn)題。SDL里的一些mitigation手段就是緩解問(wèn)題的好方法。
上述成熟和簡(jiǎn)單的問(wèn)題或許有點(diǎn)夸張和孤立，但是當(dāng)放大到一個(gè)很復(fù)雜的環(huán)境里的時(shí)候，還真可能有這么夸張，即使真沒(méi)那么夸張，但是用戶就說(shuō)的這么夸張，供應(yīng)商也挺頭疼，雖然有一些辦法緩解 ：）
本文持續(xù)更新，最新版本請(qǐng)?jiān)L問(wèn)《數(shù)據(jù)防泄密項(xiàng)目經(jīng)驗(yàn)分享》 http://baoz.net/share-the-experience-of-data-lost-prevent-project/
5、權(quán)限還是加密？
前幾天有朋友問(wèn)到我這個(gè)問(wèn)題，補(bǔ)充分享一下我個(gè)人的觀點(diǎn)。首先我們?cè)谛枨笳{(diào)研的時(shí)候業(yè)務(wù)部門對(duì)權(quán)限控制的呼聲是比較大的，我們也仔細(xì)分析和討論過(guò)權(quán)限控制這個(gè)方向，得出的結(jié)論是：“權(quán)限，看起來(lái)很美，做起來(lái)要命”。
A、業(yè)務(wù)部門期望太高。權(quán)限結(jié)合文件，的確是完美的控制，也是業(yè)務(wù)部門（需求方）的呼聲。對(duì)這么一個(gè)完美的東西，大家對(duì)這個(gè)項(xiàng)目的期望必須是80分以上的。在這個(gè)期望之上，如果我們做到了80分，那是勉強(qiáng)及格，如果低于80分，那就是一個(gè)失敗的項(xiàng)目了，項(xiàng)目如何走下去？如何驗(yàn)收？如何。。。？由于各種周知的原因，終端數(shù)據(jù)防泄密項(xiàng)目想做60分就不容易，更別說(shuō)80分了。這類項(xiàng)目一般是企業(yè)高管或業(yè)務(wù)部門逼著IT部門做的，一般來(lái)說(shuō)IT部門都不愿意主動(dòng)折騰這事，因?yàn)榻o別人找麻煩，就是給自己找麻煩，項(xiàng)目風(fēng)險(xiǎn)太高，IT部門的投資回報(bào)率太低。
B、很多東西看起來(lái)很美，但落地（落到責(zé)任人）就有問(wèn)題。如果企業(yè)每天文件流轉(zhuǎn)300個(gè)的話，誰(shuí)負(fù)責(zé)權(quán)限的設(shè)置（用戶數(shù)*權(quán)限*文件數(shù)=天文數(shù)字）？權(quán)限給誰(shuí)？誰(shuí)負(fù)責(zé)流轉(zhuǎn)時(shí)的權(quán)限變更？變更結(jié)果如何審計(jì)？誰(shuí)審核權(quán)限是否有被濫用（做了權(quán)限，領(lǐng)導(dǎo)能不要求出這個(gè)審計(jì)報(bào)告嗎？誰(shuí)來(lái)出？IT部、審計(jì)部還是業(yè)務(wù)部？）？誰(shuí)負(fù)責(zé)舊文檔的權(quán)限的設(shè)置，如何設(shè)置？誰(shuí)來(lái)決定以上所有問(wèn)題？看到了吧，這一堆的問(wèn)號(hào)，千萬(wàn)不要輕易的回答，因?yàn)榻涣鞯臅r(shí)候可以隨意說(shuō)，但是實(shí)施的時(shí)候要落實(shí)到具體的責(zé)任人或角色的時(shí)候，大家是最怕?lián)?zé)任的。這些責(zé)任分不出去的話，IT部的同學(xué)估計(jì)就只有自己扛著了。
C、權(quán)限管理有不少問(wèn)題，一旦被繞過(guò)，那就是批量的丟失文檔。簡(jiǎn)單的方法都不少，就不贅述了，說(shuō)個(gè)案例吧。我一哥們所在的公司用了微軟的DRM，離職前他問(wèn)我，他想搞走一些文檔，咋繞DRM，我還沒(méi)來(lái)得及回復(fù)他，他就說(shuō)：網(wǎng)上說(shuō)用虛擬機(jī)就可以搞定。退一步說(shuō)，個(gè)別的文檔流失是可以容忍的，但是批量的文檔丟失，DLP項(xiàng)目的意義就會(huì)受質(zhì)疑了。
D、某些公司實(shí)施過(guò)基于文件權(quán)限的DLP，最后項(xiàng)目還是掛了。掛的原因就是上述的A+B。
E、業(yè)務(wù)部門對(duì)權(quán)限的呼聲很大，怎么辦？這個(gè)就要看我們控制項(xiàng)目需求的能力了，和業(yè)務(wù)部門及高管溝通，特別是在需求調(diào)研的過(guò)程中，可以通過(guò)調(diào)研表很好的引導(dǎo)相關(guān)人員的需求。數(shù)據(jù)防泄密本來(lái)就不是一蹴而就的事，必須從多個(gè)維度，結(jié)合管理及技術(shù)手段完善的。我們可以把權(quán)限的需求放在應(yīng)用系統(tǒng)里面做，比如PDM，OA等，通過(guò)對(duì)這些系統(tǒng)的改進(jìn)，而實(shí)現(xiàn)權(quán)限管理。另外可以把數(shù)據(jù)防泄密項(xiàng)目分期來(lái)做，一期做成60分，二期想辦法奔80分。話說(shuō)如果項(xiàng)目管理等務(wù)虛的工作做的好的話，60分的期望或許會(huì)帶來(lái)80分的收獲的。所以說(shuō)選擇一個(gè)正確的供應(yīng)商和正確的項(xiàng)目經(jīng)理非常重要。
6、成功案例考察很重要。
我們得選擇一些供應(yīng)商的成功案例進(jìn)行考察，當(dāng)然，如果可以考察到失敗案例就更好了。通過(guò)這個(gè)考察，我們可以從第三方考察前面說(shuō)的1、2、3、4點(diǎn)。這里面也有一些竅門，一是我們自主選擇案例，二是問(wèn)題要設(shè)計(jì)好，三是要注意觀察。
在這里我不點(diǎn)名的說(shuō)一下，某些供應(yīng)商還沒(méi)驗(yàn)收的“成功案例”就真別拿來(lái)忽悠人了，最后可能會(huì)令你們自己難堪的：）
說(shuō)在最后的話：
當(dāng)我在這個(gè)項(xiàng)目之前，領(lǐng)導(dǎo)說(shuō)了三年前我們失敗過(guò)一次，產(chǎn)業(yè)集團(tuán)的人也在這個(gè)上面碰過(guò)釘子，事業(yè)部也栽過(guò)跟頭，是個(gè)硬骨頭，但我堅(jiān)定的啃了。
當(dāng)我在這個(gè)項(xiàng)目之中，我感覺(jué)有非常大的壓力，非常的累，非常的坎坷，偶爾晚上做夢(mèng)都會(huì)夢(mèng)到這項(xiàng)目的事情，但從頭到尾都非常有信心。
當(dāng)我回頭再審視這個(gè)項(xiàng)目的時(shí)候，整個(gè)過(guò)程還有不少可以改進(jìn)的地方，但我感覺(jué)非常有成就感和收獲感。
【編輯推薦】
