在企業(yè)從選擇信息防泄漏方案到最終部署完成，運(yùn)行維護(hù)的過(guò)程中，總會(huì)遇到許多問(wèn)題，這些問(wèn)題是眾多企業(yè)和業(yè)界共同關(guān)注的，是關(guān)系到信息防泄漏方案能否成功應(yīng)用并發(fā)揮高效的關(guān)鍵。溢信科技作為內(nèi)網(wǎng)安全領(lǐng)域企業(yè)，見(jiàn)證了許多企業(yè)的信息安全部署歷程，也為許多企業(yè)在關(guān)鍵難題上提供了有力的解決方案。在溢信科技2011-2012企業(yè)級(jí)信息防泄漏大趨勢(shì)中，介紹了過(guò)去的一年，內(nèi)網(wǎng)安全行業(yè)在需求、功能、參與者等方面的變化，下面就企業(yè)在信息防泄漏方案應(yīng)用過(guò)程中最常遇到的五個(gè)難題，予以分析與解答，以供參考。

·在眾多的信息防泄漏方案中，哪一種才是最適合企業(yè)自身的，強(qiáng)審計(jì)，邊界封堵，信息過(guò)濾，還是加密？

目前內(nèi)網(wǎng)安全市場(chǎng)產(chǎn)品混雜，名號(hào)眾多，企業(yè)在選擇信息防泄漏方案的時(shí)候，難免會(huì)眼花繚亂，無(wú)所適從。其實(shí)企業(yè)在部署信息安全方案時(shí)，還是要從對(duì)自身實(shí)際情況出發(fā)。要想知道哪種信息防泄漏方案是最適合自己，就必須首先弄清楚企業(yè)本身的安全需求，只有清楚地知道自己需要什么，才能找到真正適合自己的信息防泄漏方案。

首先得列出企業(yè)的需要保護(hù)的機(jī)密數(shù)據(jù)，比如源代碼、設(shè)計(jì)圖紙等，這些數(shù)據(jù)放在什么地方？什么人會(huì)接觸到這些數(shù)據(jù)？企業(yè)里面可能存在的泄密渠道有哪些？在充分了解自身的信息安全需求的基礎(chǔ)上，企業(yè)才能針對(duì)性地對(duì)進(jìn)行信息防泄漏部署。

而事實(shí)上沒(méi)有哪一種單一產(chǎn)品可以幫助企業(yè)解決所有問(wèn)題，不同的產(chǎn)品有不同的側(cè)重點(diǎn)。加密產(chǎn)品對(duì)于擁有自己核心的知識(shí)產(chǎn)權(quán)的公司或者公司的核心部門(mén)來(lái)說(shuō)效用更大，因?yàn)橹R(shí)產(chǎn)權(quán)是這些公司的核心競(jìng)爭(zhēng)力，安全要求高，稍有疏忽便可能損失巨大，所以必須要部署高強(qiáng)度的保護(hù)措施。邊界封堵是對(duì)公司網(wǎng)絡(luò)出口和各種移動(dòng)設(shè)備進(jìn)行控制，防護(hù)等級(jí)要比加密低，但是要防止企業(yè)的重要信息隨意流出，。信息過(guò)濾更多的是國(guó)外DLP產(chǎn)品的思路，在國(guó)內(nèi)市場(chǎng)實(shí)際應(yīng)用性并不高。

于是有企業(yè)想到把各個(gè)領(lǐng)域的功能強(qiáng)大的產(chǎn)品集中到一起，以期強(qiáng)強(qiáng)聯(lián)合，萬(wàn)無(wú)一失，但實(shí)際上簡(jiǎn)單地把各個(gè)功能強(qiáng)大的產(chǎn)品集合到一起，又往往容易發(fā)生兼容性等問(wèn)題，結(jié)果強(qiáng)強(qiáng)聯(lián)合之后反而發(fā)揮不出正常的效果，所以統(tǒng)一平臺(tái)集中管理是一個(gè)企業(yè)選擇信息防泄漏方案非常值得考慮的一點(diǎn)，這樣還有利于企業(yè)的防御擴(kuò)展。

總之部署信息防泄漏方案要充分考慮眼下的問(wèn)題，還要考慮到未來(lái)可能的功能需求，綜合考慮才能找到最適合的方案。

·企業(yè)應(yīng)該如何調(diào)和部署信息防泄漏方案過(guò)程中面臨的效率、安全和成本三者之間的矛盾？

效率、安全和成本的矛盾是企業(yè)經(jīng)營(yíng)過(guò)程中經(jīng)常面對(duì)的一個(gè)命題，在信息防泄漏方面當(dāng)然也不例外，如何調(diào)和三者，往往會(huì)決定企業(yè)一項(xiàng)部署最終的成效。

首先從理念上講效率、安全和成本是一個(gè)既矛盾又融合的綜合體，脫離任何一個(gè)去談其他兩個(gè)都意義不大。其實(shí)安全并不是一個(gè)絕對(duì)的概念，高效率的背后往往意味著高風(fēng)險(xiǎn)，安全與效率之間只能是去找到二者之間的平衡，在滿足安全需求的同時(shí)，讓辦公效率也在可接受范疇之中，這就是***的調(diào)和。部署信息防泄漏系統(tǒng)必然或多或少地對(duì)企業(yè)系統(tǒng)有一些影響，以加密而言，除了會(huì)對(duì)計(jì)算機(jī)系統(tǒng)有影響，其本身的工作效率也是與穩(wěn)定性掛鉤的，加解密效率高，相應(yīng)的穩(wěn)定性與安全性就會(huì)相對(duì)低一點(diǎn)。但這不因此就成為一個(gè)死結(jié)，企業(yè)只要讓兩者處于可接受范圍內(nèi)即可。

其次從技術(shù)上講，要調(diào)和效率、安全和成本三者之間的矛盾，就要針對(duì)企業(yè)的實(shí)際情況進(jìn)行有的放失的部署。企業(yè)中不同的部門(mén)有不同的安全需求，所以防護(hù)力度輕重有別是必然的，越嚴(yán)格的安全管控對(duì)企業(yè)的辦公效率的影響越大，所以企業(yè)必須非常清楚本身的安全需求的細(xì)節(jié)，從每個(gè)環(huán)節(jié)中去提高效率，最終才能追求整體上的高效率。而信息防泄漏方案的成本主要來(lái)源于加密產(chǎn)品，所以企業(yè)要確認(rèn)真正需要高強(qiáng)度加密保護(hù)的核心機(jī)密信息，而不是一密全密。

另外信息防泄漏方案的順利運(yùn)行還需要相應(yīng)的規(guī)章制度與管理的配合，好的管理會(huì)提高信息防泄漏系統(tǒng)運(yùn)行的效率，人與技術(shù)加在一起才能稱作效率。比如說(shuō)企業(yè)中的移動(dòng)存儲(chǔ)管理，從技術(shù)上說(shuō)是可以對(duì)移動(dòng)存儲(chǔ)進(jìn)行識(shí)別與控制，但如果沒(méi)有嚴(yán)格的管理制度，企業(yè)里面還是會(huì)發(fā)生U盤(pán)泛濫的現(xiàn)象。

企業(yè)在選擇信息防泄漏方案時(shí)，只要明確自己的底線，在底線之上企業(yè)不必過(guò)于糾結(jié)三者之間的矛盾，況且隨著技術(shù)的革新，這種矛盾必會(huì)得到逐步改善。

·企業(yè)怎樣才能卓有成效地實(shí)施推進(jìn)信息防泄漏方案？

目前越來(lái)越多的企業(yè)意識(shí)到內(nèi)網(wǎng)安全的重要性，紛紛開(kāi)始著手部署相關(guān)產(chǎn)品。但是由于內(nèi)網(wǎng)安全建設(shè)經(jīng)驗(yàn)不足，大家在選擇與部署相關(guān)產(chǎn)品和方案時(shí)很茫然，如何選擇適合自己的方案，怎樣讓方案從最開(kāi)始的計(jì)劃書(shū)變成最終高效運(yùn)行的企業(yè)系統(tǒng)，是大家面臨的一個(gè)重要課題。

一個(gè)項(xiàng)目的順利實(shí)施離不開(kāi)全面詳細(xì)的規(guī)劃與科學(xué)的管理。要使信息防泄漏方案能夠卓有成效地實(shí)施，必須從一開(kāi)始就要進(jìn)行嚴(yán)密的分析與科學(xué)的選擇。從流程上來(lái)講主要有以下幾點(diǎn)：

首先***成立專門(mén)的項(xiàng)目組，確定各自的工作內(nèi)容。

然后要弄清楚企業(yè)的信息安全需求點(diǎn)。為什么要部署信息防泄漏方案？是為滿足國(guó)家信息安全保護(hù)要求，還是身處在一個(gè)商業(yè)機(jī)密泄露高發(fā)行業(yè)？企業(yè)的重要數(shù)據(jù)在哪里？是研發(fā)部？還是設(shè)計(jì)部？誰(shuí)可以接觸到它？企業(yè)中可能存在的泄密渠道有哪些？網(wǎng)絡(luò)通訊還是移動(dòng)存儲(chǔ)設(shè)備？等等，最終落實(shí)到項(xiàng)目需求分析書(shū)中。

再根據(jù)項(xiàng)目需求分析來(lái)設(shè)計(jì)實(shí)施計(jì)劃，詳細(xì)的安全保護(hù)策略和配套的安全管理制度。這個(gè)階段涉及到產(chǎn)品選型，企業(yè)在選擇產(chǎn)品的時(shí)候，除了考慮效率、安全性、穩(wěn)定性、兼容性等技術(shù)指標(biāo)外，還應(yīng)該考慮廠商的研發(fā)能力、行業(yè)成功案例、售后服務(wù)等因素，綜合實(shí)力強(qiáng)的廠商可信度更高。

接下來(lái)是信息防泄漏方案的部署與測(cè)試。這個(gè)環(huán)節(jié)要注意科學(xué)的管理，人員的選擇，進(jìn)度的把握等等。如果是按模塊進(jìn)行部署的，可以在每個(gè)模塊部署后及時(shí)進(jìn)行測(cè)試與驗(yàn)證，以便發(fā)現(xiàn)問(wèn)題與解決。

***在信息防泄漏系統(tǒng)運(yùn)行與維護(hù)時(shí)，要注意與管理相結(jié)合，正所謂“七分技術(shù)，三分管理”，只有與管理配合，信息防泄漏方能達(dá)到***效果。

·信息防泄漏解決方案怎樣才能囊括對(duì)企業(yè)原有的ERP\PLM\OA等業(yè)務(wù)系統(tǒng)中數(shù)據(jù)的保護(hù)？

隨著企業(yè)信息管理系統(tǒng)的普及，應(yīng)用系統(tǒng)的安全問(wèn)題日漸成為企業(yè)的一個(gè)重要需求點(diǎn)，這些系統(tǒng)往往存儲(chǔ)著企業(yè)重要的數(shù)據(jù)，而且訪問(wèn)量大，用戶身份雜，所以必須進(jìn)行控制。實(shí)際上內(nèi)網(wǎng)安全系統(tǒng)與企業(yè)原來(lái)的應(yīng)用系統(tǒng)并不存在不相容的問(wèn)題，內(nèi)網(wǎng)安全系統(tǒng)的作用之一就是要保護(hù)存儲(chǔ)于ERP/OA/PLM這些系統(tǒng)中數(shù)據(jù)的安全。目前來(lái)說(shuō)可以從以下兩方面進(jìn)行安全部署：

一是充分利用好這些應(yīng)用系統(tǒng)本身的權(quán)限控制機(jī)制，嚴(yán)格分配不同人員的權(quán)限及流動(dòng)人員的權(quán)限管理，這是最基本的。

二是可以在這些系統(tǒng)前部署加密安全網(wǎng)關(guān)，對(duì)系統(tǒng)訪問(wèn)的權(quán)限進(jìn)行嚴(yán)格的控制，確保只有經(jīng)過(guò)認(rèn)證的程序和用戶可以訪問(wèn)，這樣既可以保證數(shù)據(jù)的正常使用，又可避免數(shù)據(jù)在終端泄露；同時(shí)也要對(duì)打印、復(fù)制等行為進(jìn)行適當(dāng)管控，并且對(duì)操作進(jìn)行詳盡的審計(jì)，便于隨時(shí)核查。

·企業(yè)應(yīng)該怎樣看待審計(jì)在信息防泄漏體系中的角色？如何才能避免審計(jì)帶來(lái)的隱私難題？

雖然審計(jì)功能已經(jīng)出現(xiàn)一段時(shí)間，但其實(shí)一直處于被忽視的位置。不少企業(yè)認(rèn)為審計(jì)除了在事故發(fā)生后用于溯尋原因，無(wú)其他重要用處。是一個(gè)誤解，實(shí)際上審計(jì)應(yīng)該說(shuō)是企業(yè)部署信息防泄漏方案的基礎(chǔ)。部署前審計(jì)幫助企業(yè)發(fā)現(xiàn)存在的問(wèn)題，應(yīng)用過(guò)程中審計(jì)幫助企業(yè)掌握網(wǎng)絡(luò)實(shí)況，***審計(jì)是企業(yè)檢驗(yàn)效果與實(shí)行改進(jìn)的依據(jù)?？梢哉f(shuō)，審計(jì)就是企業(yè)信息安全的晴雨表，但如何將審計(jì)的作用發(fā)揮到***，同時(shí)避免有關(guān)隱私的法律問(wèn)題，需要企業(yè)做好以下幾方面。

1、要明確審計(jì)的范圍，比如是不是需要審計(jì)所有的內(nèi)容，還是只審計(jì)上網(wǎng)就夠了？從安全角度來(lái)說(shuō)是越全越好，但從合理性角度來(lái)說(shuō)，不該審計(jì)的，就不應(yīng)該去碰；

2、對(duì)審計(jì)人員的權(quán)限，要有所限制。誰(shuí)有審計(jì)的權(quán)限，什么情況下可以審計(jì)，需要走什么樣的流程，都該有成文的規(guī)定。由于審計(jì)人員擁有直接查看可能涉及到隱私的信息的權(quán)限，就有必要對(duì)其審計(jì)行為進(jìn)行再審計(jì)。

3、要合理利用審計(jì)的來(lái)的信息，善于將得到的信息根據(jù)自己的需要做成高度可視化的報(bào)表，反映出關(guān)鍵的問(wèn)題，為決策提供指導(dǎo)。

4、從實(shí)施的角度來(lái)說(shuō)，***做到告知義務(wù)，同時(shí)形成制度性，在員工入職時(shí)進(jìn)行保密協(xié)議等的簽署和公司制度、安全制度的培訓(xùn)。

相信隨著審計(jì)本身的功能（如報(bào)表）的強(qiáng)大，越來(lái)越多的企業(yè)會(huì)認(rèn)可它的重要性，也會(huì)花更多時(shí)間與精力去研究與應(yīng)用它。

以上五個(gè)問(wèn)題是溢信科技在2011-2012調(diào)研數(shù)據(jù)中精選出來(lái)的，企業(yè)在部署信息防泄漏方案時(shí)最常面對(duì)的幾個(gè)難題，但是答案顯然是不足以解決所有問(wèn)題的。信息防泄漏建設(shè)不是一蹴而就的，需要企業(yè)結(jié)合自身的實(shí)際情況慢慢地去探索。未來(lái)隨著新技術(shù)的發(fā)展，企業(yè)面臨的網(wǎng)絡(luò)必然更加復(fù)雜，而業(yè)務(wù)的發(fā)展也必然會(huì)要求企業(yè)的內(nèi)網(wǎng)具有更大的開(kāi)放性，信息安全是企業(yè)發(fā)展一項(xiàng)基礎(chǔ)性工作，企業(yè)必須真正重視起來(lái)，并投入足夠的人力物力進(jìn)行研究與執(zhí)行，才能找到適合自己的卓有成效的信息防泄漏方案。