基于等級保護和分級保護，實現數據泄露防護
一、等級保護和分級保護的基本思想解讀
1、信息系統等級保護
等級保護制度，經歷過長達7年的醞釀和修訂。2006年1月17日，公安部、國家保密局、國家密碼管理委員會辦公室、國務院信息辦下發了《信息安全等級保護管理辦法（試行）》，該項法律明確了信息安全等級保護的基本思想。等級保護思想認為，信息系統結構是應社會發展、社會生活和工作的需要而設計、建立的，是社會構成、行政組織體系的反映，因而這種系統結構是分層次和級別的，而其中的各種信息系統具有重要的社會和經濟價值，不同的系統具有不同的價值。系統基礎資源和信息資源的價值大小、用戶訪問權限的大小、大系統中各子系統重要程度的區別等就是級別的客觀體現。因此，信息安全保護必須符合客觀存在和發展規律，按照"分級、分區域、分類和分階段"的基本思路做好國家信息安全保護。
信息系統安全等級保護將安全保護的監管級別劃分為五個級別：用戶自主保護級、系統審計保護級、安全標記保護級、結構化保護級、訪問驗證保護級。
在等級保護的實際操作中，強調從五個部分進行保護，即：物理部分、支撐系統、網絡部分、應用系統、管理制度。由這五部分的安全控制機制構成系統整體安全控制機制。
2、涉密信息系統分級保護
分級保護思想，主要是對涉及國際秘密的信息系統進行分級保護。2004年12月23日中央保密委員會下發了《關于加強信息安全保障工作中保密管理若干意見》明確提出要建立健全涉密信息系統分級保護制度。2005年12月28日，國家保密局下發了《涉及國家秘密的信息系統分級保護管理辦法》，同時，《保密法》修訂草案也增加了網絡安全保密管理的條款。隨著《保密法》的貫徹實施，國家已經基本形成了完善的保密法規體系。
涉密信息系統實行分級保護，先要根據涉密信息的涉密等級，涉密信息系統的重要性，遭到破壞后對國計民生造成的危害性，以及涉密信息系統必須達到的安全保護水平來確定信息安全的保護等級；涉密信息系統分級保護的核心是對信息系統安全進行合理分級、按標準進行建設、管理和監督。涉密信息系統安全分級保護根據其涉密信息系統處理信息的最高密級，可以劃分為秘密級、機密級和機密級（增強）、絕密級三個等級。
涉密信息系統分級保護的管理過程分為八個階段，即系統定級階段、安全規劃方案設計階段、安全工程實施階段、信息系統測評階段、系統審批階段、安全運行及維護階段、定期評測與檢查階段和系統隱退終止階段等。在實際工作中，涉密信息系統的定級、安全規劃方案設計的實施與調整、安全運行及維護三個階段，尤其重要。
2、等級保護和分級保護思想的重點
等級保護和分級保護的核心思想是一致的，其重點在于定級和分別保護。
在定級方面，基本依據是信息系統的重要性。包括：1、信息系統與其對應的組織架構本身的重要性；2、信息系統遭受破壞之后的危害性。#p#
二、當前信息安全建設的重大缺陷
根據信息安全等級保護管理辦法，各個信息安全廠商紛紛推出自己的信息安全等級保護解決方案。但是，這些解決方案都存在著先天性的缺陷，無法實現真正的等級保護和分級保護。
以北京某公司推出的等級保護解決方案為例，其主體內容如下圖：
上述信息安全體系出自中國最大的信息安全廠商。經過分析，可以看出上述的信息安全保障體系存在著重要的缺陷：
1.采用的是傳統的"邊界保護"理論，使用"筑圍墻"的方式來建立防護體系，無法做到等級保護。
傳統信息安全架構核心思想是邊界保護，也就是通過防火墻、VPN、安全網關等技術，把自己的信息隔離在一個相對封閉的區域里，如同在信息周圍筑起一道高圍墻。但是，隨著互聯網的普及，網絡和信息系統不可避免地對外開放，要越來越多地同外界共享應用系統和信息。網絡邊界阻隔信息流動，從而限制了信息發揮作用。采用邊界劃分思想來保護信息安全，是把信息安全當做城堡，把信息當做城堡里的人，這樣設計的信息安全系統只能是粗放的，不能將安全防護貫穿到信息本身；實際上，真正要保護的對象是城堡里的人，而擁有城堡的是城堡的主人，因此需要因人而異，設定重點保護對象，而不是一視同仁。
等級保護就是要把信息資產分為不同等級、根據信息資產不同的重要等級，采用不能的措施進行防護，它的出發點就是要突出重點，分級負責，分層實施，是對信息安全細粒度劃分的體現，打破了傳統信息安全保護"一刀切"的做法。
2.在安全管理方面采用的是"木桶短板"理論，完全將信息（文檔和數據）與信息安全隔離。
"木桶短板理論"是對信息安全實踐起到重要指導作用的典型信息安全理論。該理論認為，信息安全的防護強度取決于"木桶"中最短的那塊"木板"。以此理論為基礎，必須導致安全管理實踐上的諸多不足：發現病毒危害大，就買最好的反病毒軟件，發現邊界不安全，就部署最強的防火墻，發現黑客入侵，就采用最先進的IDS。從實質上講，這是一種"頭痛醫頭，腳痛醫腳"的做法，是治標不治本的方法。該理論的隱性的假設是：信息安全是用來保護信息的"桶"，信息則是被保護的"水"。這個理論將信息（文檔和數據）和信息安全割裂開來，其結果必然是信息安全實踐中，只注重堆積信息安全技術，而忽視要保護的對象--信息（文檔和數據）。
等級保護和分級保護，強調層次化，立體防護。按此觀念，信息安全和信息絕不是桶和水的關系，而是緊密結合在一起的有機體。信息安全依存于信息和信息系統中，要做到整體信息安全，不能孤立去研究信息安全技術，而應該將信息、信息系統和信息安全技術作為一個整體考慮。只有這樣，信息安全建設才不至于走向偏離。
3.主要考慮物理安全、系統安全、應用安全和網絡安全，忽視了信息自身(文檔和數據)的安全。
在傳統的信息安全架構中，由于采用的邊界保護和"木桶短板"理論，信息安全技術的研究重點就放在了邊界的安全性和木桶木板的等高性方面。這種架構直接導致的后果是，對信息系統中的信息（文檔和數據）放任不理。不做防護。一旦邊界被攻破，木桶某個木板被鋸短，信息安全就全面失守。
等級保護和分級保護不僅要求對信息系統的物理安全、系統安全、網絡安全和應用安全進行保護，還要求直接針對信息（文檔和數據）自身的安全進行保護。尤其是分級保護，直接要求將涉及國家秘密的信息分級分類進行保護，這是傳統信息安全保障體系的空白。#p#
三、數據泄露防護(DLP)體系是等級保護和分級保護思想的最佳實踐
近年來，數據泄露防護（DLP）在中國市場上正如火如荼的高速發展。這是一種全新的產品體系，從設計原理、系統架構和保護策略等多方面超越了傳統信息安全產品，與國家正在大力推廣的等級保護和分級保護思想具備天然的吻合性，突破了傳統信息安全理論的局限，直接有效地保護信息安全（文檔和數據），是一種革命性的創新產品體系。
為了便于分析，筆者以中國數據泄露防護（DLP）的代表--北京億賽通數據泄露防護（DLP）為例，對數據泄露防護（DLP）體系的特點進行簡單介紹。
1.數據泄露防護（DLP）直接針對信息（文檔和數據）自身的安全進行保護。
億賽通DLP體系主要功能是防泄密、防止數據泄露，是直接針對信息（文檔和數據）的安全性進行保護，確保信息（文檔和數據）的保密性、完整性和可用性。
2.數據泄露防護（DLP）從源頭上確保信息（文檔和數據）安全。
億賽通DLP核心的功能是加密。其核心加密技術是"智能動態加解密技術"。這項技術能強制透明地對所有核心信息進行加密保護，從源頭上確保信息安全。
3.數據泄露防護（DLP）充分體現了等級保護和分級保護的思想。
億賽通DLP體系基于驅動層透明動態加解密技術，采用對應客戶需求的安全策略，以透明加密功能為核心，結合文檔透明加密、文檔權限管理、文檔外發控制、文檔備份、業務流程審批、磁盤全盤加密、磁盤分區加密等基本功能，融合身份認證、日志審計、端口管理、移動存儲管控和系統容災管理等功能，構建完整的數據泄露防護（Data Leakage Prevention，DLP）體系。采用分域安全架構，將整個網絡分為終端、端口、磁盤、服務器、局域網五大安全域，并以筆記本電腦、移動存儲設備、數據庫為安全域特例，針對各個安全域采取對應的安全策略，在確保內部網絡各個節點數據安全的基礎上，實現整體一致的全面防護。
4.數據泄露防護（DLP）能與傳統信息安全保障體系兼容，組成真正完整的信息安全架構。
億賽通DLP不僅可以作為一個單獨的產品體系使用，還能結合傳統信息安全體系，組成一個加強型保護方案，實現邊界管理和內容管理雙重保護。
【編輯推薦】
