內網安全重要性日益突出 該如何把握內網安全應用變化趨勢
內網安全已經不再是只能看到“病毒”、“木馬”而無法對這些安全事件進行控制的擺設。如何利用現有硬件資源對內網進行優化？如何進行內網安全管理已經成為企業的最大需求，在這樣的需求點之下，方案商如何把握企業客戶對內網安全應用變化的趨勢，已經成為擺在所有人面前的一大問題。
尋找內網安全新機
我們談內網安全時，已經同以前有了很大區別，內網安全不再是只能看到“病毒”、“木馬”而無法對這些安全事件進行控制的擺設。如何利用現有硬件資源對內網進行優化，如何進行內網安全管理已經成為企業的最大需求。我們看到今天的客戶的內網系統中，結構比較清晰、用戶和資源的情況也比較清楚。在這種情況下，如果依然只能做到技術層面的“事件”報告和分析，顯然意味著網絡安全工作還沒做好。
從這一點而言，客戶內網安全應用的變化趨勢實際上是網絡快速發展的一個現實寫照，客戶今天已經非常明確自己要保護的是“信息”而不是“信息系統”。而“信息”通過我們的用戶、通過我們的網絡系統和存儲設備，可能在網絡中不停地移動。有時候，你的“重要信息系統”沒問題，可是重要信息在別的地方被偷走了；有時候，你的重要信息系統發生了變化，可是原來的一些重要信息被扔在無人問津的角落里忘記了，被人偷走了都不知道。
由此而言，在內網中，由于網絡本身是隔離的，這導致用戶本身會更加大意地處理信息，對個人計算機的安全防護也覺得不重要，同時還導致內網中的系統升級和隔離非常不及時。這兩個因素都導致內網中的實際安全隱患更多，一旦出現問題，更容易遇到重要信息被竊取等危害。
另一方面，這種應用需求的改變，顯然需要方案商為客戶排憂解難，換句話說，這為方案商帶來了新機會。
趙立生：作為一名方案商，我認為“等級保護的概念”幾乎所有的方案商都知道了，但是今天客戶這樣應用需求的轉變讓我們對內網安全有了新的認識，如果今天用戶對于內網安全的需求還被狹義地理解為對信息系統的保護，而忽略了針對信息本身的信息確保等工作，那一定不能達到企業用戶安全保護的目的。
事實上，企業今天面臨的問題，方案商可以考慮能否從合規性方面解決這些問題：用戶的敏感信息為什么會出現在不該在的地方？是否當初存放個人的這些信息是合規的，只是技術升級以后很多情況都變化了，這些信息卻沒有得到妥善的處理，出現了合規性的問題也沒人知道。
構建應用新方案
合規管理是否就是目前解決用戶內網安全應用變化的最佳辦法？方案商應該如何給客戶進行合規性管理建設呢？
目前合規性管理很重要，在企業內網里，不符合規定的做法大量存在?，F實中，IT領域的合規性問題解決得很不好，對不合規的做法監督不到位、方法過時、技術手段也不到位；有關的規定不合理，又不幫助員工解決問題，導致員工為了工作不得不違規；靜態的安全檢查效果很差，周期很長，不能滿足實際要求，等等。2007年以來，我國披露了很多互聯網失泄密事件，大部分都屬于這個原因。當時在分析時不是沒有規定，而是規定沒有被很好地執行；不是規定全都是錯的，而是沒有技術手段幫助規定產生應有的作用。這就引出合規性管理問題。
管理的概念不同與考核、監督檢查等。這也是為何現在我們談為企業進行內網構建都會考慮到合規性管理，它的意義在于制定相關制度和策略的最終目標要定在管理，幫助大家滿足策略要求、達到要求，而不是只去檢查一下。這種管理工作，并不是列一些規定，隔一段時間去檢查就可以完成的，而是要包括很多方面工作的互相配合，例如制度上的設計，甚至包括生產流程的調整；組織結構上的設計調整，以確保制度和其它有關工作的落實效果；技術能力上的建設，包括相應的系統發現網絡安全威脅和不合規現象；人員能力上的建設，包括讓每個人參與到合規性保障的過程中等等。
從近一年來客戶需求的改變來看，對于現在的內網安全保護工作，方案商在抓住這種應用轉變的時候可以從技術角度和案例實施兩方面來考慮問題。
在技術角度方面，今年，我們已經可以看到廠商網絡安全產品上的升級，比如：上網行為監管、設備管理、用戶管理、系統管理等很多系列的產品。不過似乎在把這些相關技術進行整體的整合方面還不太夠。我們方案商可以將這些產品進行方案整合，制定相應的解決方案在圍繞信息確保的思想，幫助用戶以信息追蹤、保護為核心來進行內網安全保護這方面，似乎還需要更多的技術和產品。
在案例實施過程中，我們看到用戶本身存在的最大問題是重視不夠。很多用戶還是屬于感知期，認為產品和方案是解決自身網絡安全問題的根本，而忽略了管理問題的重要性。我們要做的就是向用戶普及認知，讓他們了解到今天內網安全應用趨勢已經發生了很大的轉變。如果今天用戶還是不重視管理，不重視質量控制，那么還是不能從根本上提升客戶的能力和水平。
把握用戶需求變化
內網管理確實對于現在的企業客戶而言很重要，但是內網安全角度講，方案商在給客戶解決目前的應用需求的時候，應該把握住那些方面呢？
從內網的安全角度來說，首要解決的問題還應該集中在防止黑客攻擊上，那么，技術上而言就要解決硬件黑客技術，我們以前比較熟悉的是軟件攻擊，產品端而言，有新一代身份證、電子護照進行破解（中國的第二代身份證，香港、澳門電子護照皆采用了帶芯片的技術）等。
其實，方案商角度看，內網安全應用趨勢從技術上考慮，很重要的便是“密碼”技術，很多方案商在整合解決方案的過程中，實際上就是在進行密碼技術管理。
概括地講，人們可以用硬件化、標準化、系統化總結密碼的應用趨勢。
除了這三點趨勢外，在不用應用領域，密碼技術也有其不同的特點。對于這一點在信息安全與通信保密雜志社承辦的內網安全論壇上聽到過很多業內討論關于這方面的觀點。
首先在電子政務領域，需要建立一個統一的密碼服務平臺，利用密鑰管理基礎設施實現密碼設備的統一管理、統一密碼策略和統一的密鑰分發。利用電子認證基礎設施在電子政務內網中建立統一的信任體系，提供統一的PKI基礎設施；利用安全應用支撐平臺建立安全的應用支撐環境和密碼服務；在終端采用電子政務專用密碼算法和設備。電子政務外網也在逐步向這個方向發展，開始建立財務統一的認證基礎設施。
另外，可信計算也離不開密碼技術。事實上，可信計算的核心技術就是密碼技術，針對內網來說，可信計算可以包括以下3個方面：第一用戶身份可信，從源頭控制，要保證用戶身份可信；第二設備的可信，只有受信任的載體能夠進入終端；第三應用程序的可信，不管原因是什么，只要是允許在內網里運行的程序都是可信的；第四是行為可信，這要求內網里邊所有用戶行為要可控，主要在可信框架中完成。
最后，等級保護也需要密碼技術的安全項，重點是對三級以上系統密碼技術的使用，密碼技術在等級保護里提供的主要保護措施是身份鑒別、信息機密性保護、信息完整性保護還有防抵賴。
內網安全的發展是多元化的，這還需要企業多多關注才可以。
【編輯推薦】
