构筑立体化数据防泄密体系(三)

3 立体化数据防泄密体系的构筑

3.1 立体化数据防泄密体系的框架

立体化数据防泄密体系的思路是围绕“你是谁”、”谁能用“、”谁乱用“为控制点,利用行政管理手段进行流程规范管控,同步实施严格的终端准入控制,并综合利用数据加密与权限管理技术、数据防泄密技术对应用数据的流转、外送,存储,进行有效的跟踪、审计、实时阻止与保护,达到企业枧密数据防泄密的要求,整体框架如图l所示。

3.1.1 行政管理手段
通过行政管理手段梳理企业机密数据,明确机密数据的等级,规范机密数据的审批流程、加密规则、授权要求、使用责任及义务;同时通过制定完善的考核办法为各种防泄密技术的实施提供管理保障。

3.1.2 统一身份认证与终端准入控制

建立企业统一的身份认证体系,确保企业员工在使用机密数据的过程中身份的唯一性,解决“你是谁”的问题。
实旄严格的终端准人控制策略,对终端进行身份认证及合规检查,非认证、非合规终端无法接入企业网络;解决了终端的“谁能用“问题,并控制“谁乱用”现象。

3.1.3 数据加密与权限管理系统
部署数据加密与权限管理系统,实现对需要加密的文档进行细密授权管理,加密文档能够授予只读、修改、打印、离线等权限满足了企业机密数据精细化权限控制的要求,解决了数据“谁能用”的问题。

3.1.4 数据防泄密系统
数据防泄密系统,以下称之为DLP系统,通过发现敏感或机密数据,在跟踪其用户的使用行为,记录或阻止敏感信息泄漏,通过自动识别、自动监控、自动稽核保护的方式实现对机密数据的安全保护,解决了数据“谁乱用“的问题。

3.2 立体化数据防泄密体系的部署
3.2.1 行政管理手段的部署
通过对企业数据的梳理,明确定义公司年度工作会等l5类为企业机密数据,同时将机密数据分级,进一步制定了分层、分级的权限矩阵表。如表l列举了公司年度工作会的权限矩阵表。

所有企业机密数据在使用、传播,存储过程中,公司规定必须依据权限矩阵表,使用数据加密与权限管理系统进行合规貹的加密与授权,不得私自扩大知悉范围,防止泄密。
此外,公司保密管理部门定期进行重要机密数据的使用审计,对未做好机密数据管理的单位与个人,直接通过绩效进行考核。

3.2.2 统一身份认证的部署
身份管理是指企业管理终端用户和网络实体整个安全生命周期的过程。结合当前业界统一身份管理技术和产品的最新发展和趋势,建设了以”统一身份管理“和”统一登录验证“为核心的统一身份认证实施方案,如图2所示。

通过统一身份认证系统的实施,不但解决使用机密数据的过程中身份的唯一性,同时提高了应用程序安全性,降低了企业管理成本,改善了用户体验。

3.2.3 终端准入控制的部署
实施严格的终端准入控制策略,终端必须加入公司的AD域且安装终端监控客户端软件。由终端监控客户端软件进行身份谁和安全合规性检查,才能接入办公网络。安全合规性检查包括终端的基本防护策略、是否安装数据加密与权限管理系统与DLP系统等。

合规性检查合格,则允许进入企业核心网络,否则进入修复区,如图3所示。
规范统一的终端准入管理,整体提高接入终端的安全防护等级,有效防范蠕虫病毒可能引发的防泄密风险,阻止了非认证、非合规终端的接入。

3.2.4 数据加密与权限管理的部署

数据加密与权限管理系统通过部署DSM系统实现了对需要文档进行加密授权管理,实现了对企业机密数据的分层分级授权,同时确保了企业机密数据离开企业内部环境后的不可读性,防范机密数据因丢窃、盗取等原因造成的数据泄密,如图4所示。

3.2.5 数据防泄密技术的部署

根据数据源走向分析,总结出了本地硬盘、移动介质、截屏拷贝、电子邮件等l4种泄密途径。基于泄密途径,制定出了明确的管控方式。表2列举了其中3种泄密途径及管控方式。

基于管控方式与防泄密策略,在DLP系统上部署了l2种策略参数。表3列举了其中检测向外传送的数据中是否包含l5位或l8位身份证号码的客户信息与是否包含客户账单两种策略参数的设置。

经验证,通过泄露途径的管控与策略参数的部署,能够有效的检测机密数据的存储及流转,由DLP系统完成告警、记录、审计和阻止。

3.3 立体化数据防泄密体系的应用效果

根据研究成果和项目实施,2010年起开始在某电信运营公司部署并快速应用。经实践证明,通过数据防泄密管理体系的构筑,将数据防泄密从以前的“事后查找取证”转变为现在的“事前预防审核“,有效降低了可能对企业经营造成危害的各项信息风险。

4 下一步研究方向
(1)进一步加强DLP系统和DSM系统两种技术的自动结合,以实现敏感信息的完整生命周期管理;
(2)研究在互联网出口和无线WLAN环境下的密文破解和如何进行更有效的实时拦截防护。