2011年4月，國(guó)內(nèi)陸續(xù)有媒體爆出，有某知名外企前雇員涉嫌在離職前偷取涉及到其家電部門(mén)核心技術(shù)的信息，事件暴露后遭到了該國(guó)警方的逮捕。由于一些原因，這起事件很快就像其他的一些泄密案件一樣，沒(méi)再更多的后續(xù)報(bào)道了，留給外界的只是無(wú)盡的猜測(cè)。

信息時(shí)代的大背景下，信息就是生產(chǎn)力這一點(diǎn)已經(jīng)是常識(shí)。先人一步的產(chǎn)品設(shè)計(jì)，快人一步的市場(chǎng)部署，都能轉(zhuǎn)換成巨大的競(jìng)爭(zhēng)優(yōu)勢(shì)。為了保護(hù)已經(jīng)數(shù)字化存儲(chǔ)的各種商業(yè)文檔加密信息，各類企業(yè)和組織可謂絞盡腦汁，與各種信息數(shù)據(jù)泄密與信息犯罪行為進(jìn)行斗爭(zhēng)，稱其為信息數(shù)據(jù)安全戰(zhàn)爭(zhēng)絕不為過(guò)。是戰(zhàn)爭(zhēng)就有輸贏，就有各種戰(zhàn)術(shù)戰(zhàn)略，但凡稍有規(guī)模的信息系統(tǒng)，大多部署了防火墻、入侵檢測(cè)、代理服務(wù)器等各種防御手段，用以防備來(lái)自外界的非法入侵。然而，中國(guó)有句古話，叫做日防夜防，家賊難防，意思是再堅(jiān)固的城池，當(dāng)它被門(mén)內(nèi)的人主動(dòng)打開(kāi)時(shí)，里三層外三層的防線也都成了浮云；再比如計(jì)算機(jī)木馬得以命名的特洛伊之戰(zhàn)，相比大家都耳熟能詳。國(guó)內(nèi)內(nèi)網(wǎng)數(shù)據(jù)安全廠商博睿勤研發(fā)總監(jiān)趙青表示，木馬名稱的由來(lái)，以及上面提到的泄密事件，正形象的描述了在信息時(shí)代的大背景下，組織所面臨的一種不能忽視的安全風(fēng)險(xiǎn)內(nèi)部安全威脅。從這次的泄密事件所流出的為數(shù)不多的細(xì)節(jié)當(dāng)中，他對(duì)企業(yè)所面臨的內(nèi)部安全威脅做了一些解讀。應(yīng)該對(duì)私人設(shè)備乃至私人應(yīng)用作出具體的規(guī)范據(jù)媒體報(bào)道，案例中的前雇員在打印了機(jī)密信息后，并沒(méi)有直接帶出，而是巧妙的采用了拍照后再轉(zhuǎn)移到私人筆記本電腦的策略，可謂煞費(fèi)苦心。這里就暴露出了信息安全管理中的一個(gè)大課題：對(duì)于私人設(shè)備甚至私人應(yīng)用應(yīng)該采用怎樣的安全策略。實(shí)際上，用戶使用公有的信息系統(tǒng)完成工作職能，即代表著IT系統(tǒng)本身是一種公有的生產(chǎn)資料，必須有基于整體信息數(shù)據(jù)安全策略的統(tǒng)一配置，因此，公私不分的IT策略本身就是不可取的。用戶私自安裝盜版加密軟件，運(yùn)行有安全漏洞的程序，都會(huì)對(duì)整體的信息安全造成重大影響，更不用說(shuō)用戶有意利用私人設(shè)備規(guī)避有意盜取資料。對(duì)于信息系統(tǒng)中一些核心的部門(mén)，其IT安全策略應(yīng)該有最嚴(yán)格的限制。作為內(nèi)網(wǎng)專家，趙青表示，實(shí)踐中很多企業(yè)核心部門(mén)的信息系統(tǒng)都采用了內(nèi)外網(wǎng)分離的策略，以杜絕外聯(lián)的安全風(fēng)險(xiǎn)，我們的一些客戶甚至采用了更為嚴(yán)苛的策略進(jìn)入工作環(huán)境不可以攜帶任何私人設(shè)備，包括手機(jī)、相機(jī)等在內(nèi)。在目前便攜設(shè)備發(fā)展迅猛的背景下，這樣的安全策略顯然是必要的。另外，隨著移動(dòng)接入的逐漸普及，Android、i-OS等職能設(shè)備的應(yīng)用對(duì)于組織的移動(dòng)接入安全產(chǎn)生了挑戰(zhàn)，IT管理人員有必要提前應(yīng)對(duì)這些挑戰(zhàn)。由單一的網(wǎng)絡(luò)安全、數(shù)據(jù)安全拓展到整體性的安全戰(zhàn)略從媒體的有限報(bào)道中，我們并不清楚該企業(yè)是如何發(fā)現(xiàn)并阻止這一起信息安全事故的，但這并不妨礙我們?cè)诤侠淼姆秶鷥?nèi)進(jìn)行一些猜測(cè)：該企業(yè)很可能采用了視頻監(jiān)控等技術(shù)手段輔助安全策略，否則難以發(fā)現(xiàn)對(duì)著打印的資料進(jìn)行拍攝這種信息盜取行為。事實(shí)上，安全本身是一個(gè)很綜合的概念，除了通常意義上的網(wǎng)絡(luò)安全、數(shù)據(jù)安全、存儲(chǔ)安全等以外，通常被歸于物理安全或者行政安全的視頻監(jiān)控、門(mén)禁、防災(zāi)備份等技術(shù)，也是安全的重要組成部分。目前，已經(jīng)有很多成熟的組織設(shè)立了首席安全官的職位，統(tǒng)領(lǐng)企業(yè)的安全管理。安全本身并不僅僅是幾項(xiàng)技術(shù)的應(yīng)用，而應(yīng)該是技術(shù)與管理的結(jié)合。趙青建議，在目前信息安全越來(lái)越復(fù)雜的背景之下，組織應(yīng)該把安全從技術(shù)層面上升到整體的戰(zhàn)略層面，前瞻性的考慮安全策略并調(diào)動(dòng)資源。根據(jù)用戶身份進(jìn)行授權(quán)，并注意及時(shí)變更是基礎(chǔ)根據(jù)已知的媒體對(duì)這起泄密事件的報(bào)道，該前雇員即將離職，大概是為了給自己的下一份工作提供一些競(jìng)爭(zhēng)優(yōu)勢(shì)，他利用自己尚未被完全收回的權(quán)限，訪問(wèn)了存儲(chǔ)有機(jī)密信息的服務(wù)器，獲取并打印了相關(guān)的信息。這提示了我們一點(diǎn)：根據(jù)用戶的不同角色，賦予其以差異化的信息使用權(quán)限，并根據(jù)實(shí)際情況及時(shí)變更與跟蹤是內(nèi)部風(fēng)險(xiǎn)控制的基礎(chǔ)。目前，大部分企業(yè)的信息都是存儲(chǔ)在類似文檔服務(wù)器等系統(tǒng)中。在服務(wù)器的邊界部署數(shù)據(jù)防泄密系統(tǒng)，防護(hù)來(lái)自外部的入侵，同時(shí)根據(jù)不同用戶的角色分配其對(duì)不同安全區(qū)域的訪問(wèn)權(quán)限，基本已經(jīng)是普遍的配置策略。基于信任自己人的大前提，類似的安全部署也實(shí)屬正常。然而，當(dāng)用戶的安全角色變成案例中的前雇員時(shí)，及時(shí)根據(jù)其身份的改變變更其IT權(quán)限，就顯得十分必要。事實(shí)上，從各種復(fù)雜的保密協(xié)議可以看出，即將離職的員工被認(rèn)為是非常高危的潛在泄密人群，對(duì)于這一類用戶，逐漸收縮并最終收回其IT權(quán)限是通用的做法。案例中的前雇員，在離職前還擁有可以接觸到涉及核心競(jìng)爭(zhēng)力的機(jī)密信息甚至進(jìn)行打印的權(quán)限，是關(guān)鍵的漏洞所在。及時(shí)告警與強(qiáng)審計(jì)機(jī)制，有時(shí)是必然的選擇我們通常假定擁有合法使用權(quán)限的用戶應(yīng)該能夠遵從組織的文檔加密信息安全策略，在合法的使用范圍內(nèi)使用信息，但用戶不是機(jī)器，在使用信息的過(guò)程中，會(huì)有各種犯錯(cuò)的可能，一個(gè)無(wú)意的復(fù)制粘貼，圖方便發(fā)往個(gè)人郵箱的未完成工作，都可能是潛在的危險(xiǎn)行為，更不用提用戶有主動(dòng)泄密的動(dòng)機(jī)。因此，IT部門(mén)應(yīng)該事先確定一些可能的危險(xiǎn)行為特征，并針對(duì)這些危險(xiǎn)行為設(shè)置報(bào)警策略。例如，對(duì)于最核心的機(jī)密信息，任何訪問(wèn)、修改都必須有完整的記錄，涉及到外發(fā)等高危行為，根據(jù)實(shí)際情況更要有報(bào)警機(jī)制，當(dāng)用戶觸發(fā)對(duì)應(yīng)的策略時(shí)，可以及時(shí)發(fā)現(xiàn)并阻斷有風(fēng)險(xiǎn)的行為。同時(shí)，IT管理人員要擅于從日常的審計(jì)報(bào)告中總結(jié)歸納危險(xiǎn)的行為，從而在后期進(jìn)行有針對(duì)性的防范與管理。特別的，對(duì)于高風(fēng)險(xiǎn)的用戶，如案例中的前雇員群體，審計(jì)政策更可能需要有所偏重，如針對(duì)異常的打印行為進(jìn)行特別分析。需要指出的是，安全審計(jì)不可避免的會(huì)侵犯到用戶的個(gè)人隱私，這是個(gè)有爭(zhēng)議性的話題。溢信科技根據(jù)其從業(yè)經(jīng)驗(yàn)提出了一些建議：在國(guó)內(nèi)法律法規(guī)不健全的背景下，如需要對(duì)用戶的E-mail、IM進(jìn)行行為審計(jì)，更應(yīng)該再有其明確的界限。這里所說(shuō)的審計(jì)，最根本的出發(fā)點(diǎn)應(yīng)該是針對(duì)事件的審計(jì)，即對(duì)事不對(duì)人，這就要求安全審計(jì)應(yīng)該形成制度化的規(guī)范，同時(shí)，分級(jí)的審計(jì)，即對(duì)審計(jì)人員的審計(jì)，也是必要的措施。