信文｜盧 凱 包偉華

如今，信息安全已經(jīng)全面進(jìn)入“云時(shí)代”和“大數(shù)據(jù)時(shí)代”，在期待它們給我們帶來(lái)更多驚喜、更多改變的同時(shí)，對(duì)企業(yè)信息安全管理的要求必將大幅提高和升級(jí)。如何把握時(shí)代機(jī)遇，迎接新挑戰(zhàn)，是所有信息安全工作者需要認(rèn)真思考的新課題

數(shù)據(jù)備份是指為了防止數(shù)據(jù)丟失，將全部或部分?jǐn)?shù)據(jù)通過備份軟件和與之相對(duì)應(yīng)的備份策略，復(fù)制到其他存儲(chǔ)介質(zhì)的過程。將數(shù)據(jù)庫(kù)、文檔資料、系統(tǒng)應(yīng)用等重要數(shù)據(jù)備份下來(lái)，在信息系統(tǒng)發(fā)生破壞或丟失的時(shí)候才能夠快速恢復(fù)，所以備份是容災(zāi)的基礎(chǔ)。

回顧過去的十年，信息安全事件不絕于耳；數(shù)據(jù)作為企業(yè)核心的信息資產(chǎn)，也一直是網(wǎng)絡(luò)不法分子覬覦的目標(biāo)。這些數(shù)據(jù)在網(wǎng)上公開或私下出售，造成信息安全事故，給公司和個(gè)人帶來(lái)巨大的損失。

企業(yè)信息安全現(xiàn)狀不容樂觀

現(xiàn)代企業(yè)對(duì)互聯(lián)網(wǎng)及信息系統(tǒng)的依存度達(dá)到前所未有的高度，超過90%的企業(yè)完全或高度依靠互聯(lián)網(wǎng)及信息系統(tǒng)開展業(yè)務(wù)，特別是科技型、金融、通信公司以及各類互聯(lián)網(wǎng)創(chuàng)業(yè)公司。

不同行業(yè)對(duì)網(wǎng)絡(luò)及信息系統(tǒng)的依賴程度

但與這種高度依賴的局面不相稱的是，企業(yè)在信息安全領(lǐng)域的投入顯得嚴(yán)重不足，近30%的企業(yè)幾乎沒有安全團(tuán)隊(duì)；而擁有安全團(tuán)隊(duì)的企業(yè)，團(tuán)隊(duì)建設(shè)也大多停留在被動(dòng)應(yīng)付的初級(jí)階段，扮演“救火隊(duì)”的角色。調(diào)研發(fā)現(xiàn)，約有一半以上企業(yè)在過去三年曾發(fā)生過不同層級(jí)信息安全事故，僅有三分之一的企業(yè)認(rèn)為自己能夠應(yīng)對(duì)大部分安全威脅。

影響企業(yè)信息數(shù)據(jù)安全的因素

2021年，《中華人民共和國(guó)數(shù)據(jù)安全法》的頒布給企業(yè)的信息安全管理工作敲響了警鐘，加強(qiáng)數(shù)據(jù)安全保護(hù)勢(shì)在必行。但保障企業(yè)的信息數(shù)據(jù)安全并不是一件容易的事情，企業(yè)的環(huán)境、員工的工作習(xí)慣、領(lǐng)導(dǎo)者的認(rèn)知，以及新技術(shù)帶來(lái)的新挑戰(zhàn)等都可能對(duì)保護(hù)措施產(chǎn)生沖突或影響。

一般來(lái)說(shuō)，威脅企業(yè)的信息數(shù)據(jù)安全的因素主要是病毒威脅和黑客入侵攻擊。但隨著科技的發(fā)展，在現(xiàn)代企業(yè)安全環(huán)境中，信息系統(tǒng)及其關(guān)聯(lián)的信息數(shù)據(jù)資產(chǎn)遭受著更為廣泛的威脅。

簡(jiǎn)單來(lái)說(shuō)，造成企業(yè)信息安全風(fēng)險(xiǎn)的因素可大致分為環(huán)境和人為兩方面因素。環(huán)境因素包括自然界不可抗拒的事件和其他物理故障，而人為因素則分為惡意（故意）和非惡意（過失）兩類。綜合考慮信息安全事件的起因、表現(xiàn)和結(jié)果，一般從計(jì)算機(jī)和網(wǎng)絡(luò)安全、物理安全防護(hù)、人員安全、數(shù)據(jù)容災(zāi)備份等四個(gè)方面保護(hù)企業(yè)的信息數(shù)據(jù)資產(chǎn)。

計(jì)算機(jī)和網(wǎng)絡(luò)安全需日常維護(hù)

企業(yè)員工的日常辦公和業(yè)務(wù)活動(dòng)都離不開電腦和網(wǎng)絡(luò)，而木馬病毒、有害程序、安全漏洞、黑客攻擊等都是各種來(lái)自內(nèi)部和外部的網(wǎng)絡(luò)威脅。特別在網(wǎng)絡(luò)高度發(fā)達(dá)的今天，企業(yè)的信息數(shù)據(jù)安全難以得到保障。

計(jì)算機(jī)安全防護(hù)。如今，很多企業(yè)員工已經(jīng)認(rèn)識(shí)到來(lái)自網(wǎng)絡(luò)的各種風(fēng)險(xiǎn)，但基于過往習(xí)慣往往忽略對(duì)自身的影響，甚至抵觸各類安全軟件和安全措施。而安裝企業(yè)殺毒軟件、定期更新密碼、定期升級(jí)系統(tǒng)補(bǔ)丁等常規(guī)操作是保護(hù)計(jì)算機(jī)安全的最簡(jiǎn)單有效的措施。

網(wǎng)絡(luò)安全防護(hù)。常見的網(wǎng)絡(luò)安全防護(hù)工具有防火墻、網(wǎng)絡(luò)態(tài)勢(shì)感知、漏洞掃描和入侵檢測(cè)系統(tǒng)等。防火墻是阻止網(wǎng)絡(luò)破壞行為的第一道關(guān)卡，網(wǎng)絡(luò)態(tài)勢(shì)感知設(shè)備能夠幫助企業(yè)主動(dòng)識(shí)別公司網(wǎng)絡(luò)中存在威脅和風(fēng)險(xiǎn)，并且能夠與防火墻、入侵檢測(cè)系統(tǒng)、漏洞掃描工具等互相配合形成更為立體的網(wǎng)絡(luò)防御體系，確保企業(yè)網(wǎng)絡(luò)和信息設(shè)備的安全運(yùn)行。

數(shù)據(jù)脫敏。數(shù)據(jù)脫敏指對(duì)企業(yè)的敏感信息通過預(yù)設(shè)的策略進(jìn)行數(shù)據(jù)的加密或變形，從而實(shí)現(xiàn)對(duì)敏感隱私數(shù)據(jù)的保護(hù)。在系統(tǒng)需要傳輸或顯示用戶敏感信息時(shí)，對(duì)其中部分?jǐn)?shù)據(jù)進(jìn)行加密、截?cái)?、隱藏或無(wú)效化替換，從而避免用戶信息在網(wǎng)絡(luò)上被非法盜用。

準(zhǔn)入和訪問控制。建立企業(yè)網(wǎng)絡(luò)準(zhǔn)入和訪問控制列表，是對(duì)網(wǎng)絡(luò)的邊界進(jìn)行保護(hù)，通過安全策略來(lái)保障只有授權(quán)用戶才可以訪問指定的網(wǎng)絡(luò)資源，從而達(dá)到對(duì)訪問進(jìn)行控制的目的，防止用戶非法接入和獲取信息數(shù)據(jù)。但是隨著企業(yè)分支機(jī)構(gòu)增多、人員流動(dòng)性增加，以及移動(dòng)辦公成為常態(tài)等原因，企業(yè)的網(wǎng)絡(luò)邊界在慢慢消退，傳統(tǒng)的網(wǎng)絡(luò)安全模型逐漸失效。一種新的理念——零信任架構(gòu)（ZTA）開始被廣泛接受并嘗試應(yīng)用。目前國(guó)內(nèi)已經(jīng)有不少安全廠家開始涉足零信任安全領(lǐng)域，如深信服、奇安信、安恒信息、火山引擎等，都有相關(guān)產(chǎn)品開發(fā)落地。

物理安全防護(hù)避免環(huán)境因素造成的安全事故

物理安全防護(hù)是保護(hù)信息設(shè)備、信息系統(tǒng)免遭地震、火災(zāi)、水災(zāi)等環(huán)境災(zāi)害事故和人為錯(cuò)誤操作、破壞行為的措施和過程。

環(huán)境安全保護(hù)。機(jī)房環(huán)境、水電設(shè)施、互聯(lián)網(wǎng)通信、消防等這些外圍設(shè)施一旦出現(xiàn)故障，如果沒有盡快進(jìn)行補(bǔ)救，將產(chǎn)生重大安全事故。對(duì)企業(yè)而言，最重要的場(chǎng)地就是數(shù)據(jù)機(jī)房，要保障信息系統(tǒng)和數(shù)據(jù)的安全可靠，就必須先保證企業(yè)數(shù)據(jù)機(jī)房的環(huán)境安全。建造機(jī)房時(shí)，應(yīng)該遵循如《計(jì)算機(jī)場(chǎng)地通用規(guī)范》等國(guó)家相關(guān)的標(biāo)準(zhǔn)文件。

設(shè)備安全保護(hù)。這里的設(shè)備安全主要是指保護(hù)企業(yè)的信息設(shè)備、設(shè)施不易被損壞和竊取，特別是數(shù)據(jù)中心里的每一件設(shè)備都價(jià)值不菲；如果這些設(shè)備被盜或人為損壞，其造成的損失甚至遠(yuǎn)遠(yuǎn)超出了設(shè)備本身購(gòu)買價(jià)值。傳統(tǒng)的防御措施如通過指紋識(shí)別、刷卡門禁等技術(shù)來(lái)控制人員出入，安裝攝像頭等監(jiān)控設(shè)備來(lái)發(fā)現(xiàn)和預(yù)警非法闖入，都能夠起到有效防范的作用。

設(shè)備的安全性除上文提到的因素之外，也受自身影響。由于電子設(shè)備設(shè)計(jì)制造上的缺陷或正常老化而引起的安全事故，在企業(yè)中并不少見。雖然可以通過定期的維護(hù)和集群化部署，來(lái)保障其功能的可用性，但遠(yuǎn)超正常使用期或有問題的設(shè)備，還是應(yīng)該堅(jiān)決淘汰掉，確保設(shè)備始終處于良好的工作狀態(tài)。

人員安全是企業(yè)信息安全的最大風(fēng)險(xiǎn)

根據(jù)國(guó)家計(jì)算機(jī)應(yīng)急響應(yīng)中心發(fā)布的數(shù)據(jù)，在所有的信息安全事件中，約有60%是人為因素造成的，因此企業(yè)信息安全管理最大的風(fēng)險(xiǎn)在于內(nèi)部人員的安全問題。人員的操作失誤、責(zé)任心不強(qiáng)、專業(yè)能力不足或沒有嚴(yán)格遵守相關(guān)的安全制度和操作流程，都會(huì)導(dǎo)致嚴(yán)重的安全事故。甚至有內(nèi)部人員因不滿情緒等有預(yù)謀地對(duì)企業(yè)信息系統(tǒng)、數(shù)據(jù)、設(shè)備進(jìn)行惡意破壞篡改，或竊取機(jī)密信息以期獲得不法收益。任何管理工作，基礎(chǔ)在于人；所以要保障信息數(shù)據(jù)安全，必須做好人員安全管理。

對(duì)于企業(yè)人員的安全管理，首先需要針對(duì)不同公司的現(xiàn)狀和要求，制定和完善包括懲戒機(jī)制在內(nèi)的各項(xiàng)安全規(guī)章制度，并嚴(yán)格執(zhí)行，落實(shí)安全責(zé)任；其次在日常工作中經(jīng)常進(jìn)行信息安全宣傳和教育培訓(xùn)，消除安全管理工作在員工中的抵觸情緒，使安全意識(shí)深入人心；再次要明確劃分人員職責(zé)，權(quán)限分配根據(jù)最小化原則，關(guān)鍵性操作遵循多人在場(chǎng)原則。

此外，為了防范和降低數(shù)據(jù)安全事故，企業(yè)還應(yīng)建立一套完整的監(jiān)控和自動(dòng)響應(yīng)機(jī)制，及時(shí)預(yù)警或阻斷事故和非法操作，并確保事后能追溯。對(duì)于重視數(shù)據(jù)安全的企業(yè)來(lái)說(shuō)，數(shù)據(jù)防泄漏系統(tǒng)（DLP）、運(yùn)維安全控制與審計(jì)系統(tǒng)（堡壘機(jī)）和日志審計(jì)系統(tǒng)是必不可少的技術(shù)工具。

企業(yè)數(shù)據(jù)容災(zāi)措施能系統(tǒng)性保障安全

數(shù)據(jù)容災(zāi)是指為了保護(hù)信息系統(tǒng)及數(shù)據(jù)不受自然災(zāi)害和人為破壞造成信息數(shù)據(jù)損失，降低災(zāi)難事件對(duì)信息系統(tǒng)和業(yè)務(wù)流程所造成影響的一項(xiàng)系統(tǒng)性保障工程。在前面章節(jié)已經(jīng)涉及部分，但在企業(yè)數(shù)據(jù)保護(hù)實(shí)踐中還需兩個(gè)重要保障措施，即數(shù)據(jù)備份和災(zāi)備中心。

造成企業(yè)信息安全風(fēng)險(xiǎn)的因素可大致分為環(huán)境和人為兩方面因素。環(huán)境因素包括自然界不可抗拒的事件和其他物理故障，而人為因素則分為惡意（故意）和非惡意（過失）兩類。綜合考慮信息安全事件的起因、表現(xiàn)和結(jié)果，一般從計(jì)算機(jī)和網(wǎng)絡(luò)安全、物理安全防護(hù)、人員安全、數(shù)據(jù)容災(zāi)備份等四個(gè)方面保護(hù)企業(yè)的信息數(shù)據(jù)資產(chǎn)。

數(shù)據(jù)備份是指為了防止數(shù)據(jù)丟失，將全部或部分?jǐn)?shù)據(jù)通過備份軟件和與之相對(duì)應(yīng)的備份策略，復(fù)制到其他存儲(chǔ)介質(zhì)的過程。將數(shù)據(jù)庫(kù)、文檔資料、系統(tǒng)應(yīng)用等重要數(shù)據(jù)備份下來(lái)，在信息系統(tǒng)發(fā)生破壞或丟失的時(shí)候才能夠快速恢復(fù)，所以備份是容災(zāi)的基礎(chǔ)。在對(duì)企業(yè)的重要數(shù)據(jù)完成備份之后，定期對(duì)備份數(shù)據(jù)的完整性和有效性進(jìn)行檢查也是不可或缺的重要環(huán)節(jié)，因?yàn)檫@能檢測(cè)備份策略是否成功實(shí)施以及數(shù)據(jù)是否可以真實(shí)還原。災(zāi)備中心是在生產(chǎn)環(huán)境以外，建立一個(gè)或多個(gè)數(shù)據(jù)中心，用于容災(zāi)的冗余節(jié)點(diǎn)。當(dāng)災(zāi)難發(fā)生時(shí)，容災(zāi)節(jié)點(diǎn)不受破壞能夠接管系統(tǒng)和業(yè)務(wù)，達(dá)到業(yè)務(wù)不中斷的目的?？梢哉f(shuō)，災(zāi)備中心的實(shí)質(zhì)目的就是保障業(yè)務(wù)的連續(xù)性。

當(dāng)實(shí)施企業(yè)數(shù)據(jù)容災(zāi)方案時(shí)，應(yīng)考慮兩個(gè)關(guān)鍵指標(biāo)：恢復(fù)點(diǎn)目標(biāo)(RPO)和恢復(fù)時(shí)間目標(biāo)(RTO)。RPO代表能夠承受多大量的數(shù)據(jù)丟失，RTO則指最快多久能夠重新啟動(dòng)和恢復(fù)發(fā)生故障的系統(tǒng)。這兩個(gè)指標(biāo)的量級(jí)直接影響著方案的選擇。但需要注意的是，管理人員不能理想化地追求最小損失。因?yàn)閾p失越少恢復(fù)時(shí)間越短，所需投入的資金和實(shí)施的難度也就越高，信息安全建設(shè)也要從企業(yè)的實(shí)際需求出發(fā)，遵循經(jīng)濟(jì)合理性的原則。

研究企業(yè)信息數(shù)據(jù)安全的意義在于，通過科學(xué)的分析，找到一套適合本企業(yè)的安全措施和安全機(jī)制，將企業(yè)信息系統(tǒng)和數(shù)據(jù)資產(chǎn)的安全維持在一個(gè)可以接受的安全水平線上。合適的方法和機(jī)制可以有效減少信息風(fēng)險(xiǎn)帶來(lái)的損失，或者將損失控制在一定范圍之內(nèi)。此外，做好企業(yè)信息數(shù)據(jù)安全工作需要管理層的重視。只有領(lǐng)導(dǎo)重視才能把信息安全工作列入議事日程，放到重要的位置，在安全工作遇到困難時(shí)及時(shí)協(xié)調(diào)和解決。所以安全管理人員在日常工作中需要有策略地輸出安全管理理念，提高領(lǐng)導(dǎo)的安全意識(shí)，給予安全工作最大的支持。如今，信息安全已經(jīng)全面進(jìn)入“云時(shí)代”和“大數(shù)據(jù)時(shí)代”，在期待它們給我們帶來(lái)更多驚喜、更多改變的同時(shí)，對(duì)企業(yè)信息安全管理的要求必將大幅提高和升級(jí)。如何把握時(shí)代機(jī)遇，迎接新挑戰(zhàn)，是所有信息安全工作者需要認(rèn)真思考的新課題。