4月23日,信息安全专家陆宝华和360集团信息安全中心负责人高雪峰分别接受了21世纪经济报道记者的采访,并围绕企业在数据安全管理方面暴露出的问题进行了分析。
两位受访者均认为,从其中的一些案例可以看出,企业对于一些文件的重要性没有做出准确的判断,也导致这些文件没有得到相应级别的保护。
陆宝华表示,实际上,国家对数据的分级保护有明确规定。如果涉及的是国家秘密,那国家保密局会对数据按照秘密级、机密级或者绝密级来严格划分,相对应的也会有不同的保护措施。
但现实中,绝大部分数据都属于企业的商业机密,无法上升到国家秘密的级别。对于这类信息,公安部、国家保密局等四部委曾于2007年下发过《信息安全等级保护管理办法》,它根据信息系统的重要程度及被破坏后的危害程度,将信息分为五个安全等级。
“该《办法》给企业提供了一个很好的参考标准。”陆宝华说,“比如一些数据泄露会导致企业垮掉,从而引发大批员工失业,这实际上对社会秩序产生了影响,那这些数据就至少应该定为二级。如果还有可能造成更严重的损害,那就需要定到三级,甚至四级。”
国家虽然对数据安全的分级保护做出了引导,但具体实施中还是坚持自主定级、自主保护的原则,因为不同企业对数据的依赖性也有所区别,尤其是一些跨国企业,它的数据涉及到多方国家,这更需要企业自己去衡量。
可自主性太强,也导致在信息安全保护在实际操作中,情况很不乐观。高雪峰告诉记者,在做企业安全工作时,遇到的最大的挑战就是企业缺乏安全意识。“没有事情发生的时候,去跟企业强调数据安全或者网络安全,他们都不会太在意。因为不管什么级别的信息防护,都需要投入成本,如果没有事件发生,有些企业总觉得这部分成本被浪费了。”
这就像是一场赌博,很多企业平日里安全意识不够强,可核心数据一旦泄露,引发的后果往往非常严重。正因为网络安全行业存在这种博弈的状态,使得整个行业的发展,通常会被安全事件所驱动。
据陆宝华介绍,网络安全产业的发展经历过多个阶段,其中有一半的节点是以事件为驱动。比如2001年到2002年间爆发的“红色代码”等病毒,让大家重视起病毒防护;2013年爆发的斯诺登事件,让更多人意识到数据安全的重要性。
俗话说“吃一堑长一智”,企业也是如此。“很多企业在经历过事件之后,在这方面肯定也会加强防护。我们走访很多企业,那些对于办公区隔离保护做得非常严格的,基本都是之前吃过亏。”高雪峰表示。
“人”是最大风险
除了公司层面需要加强安全管理外,高雪峰坦言,在数据安全防护工作中,人的安全意识是最大风险点。“我看到过很多出现安全问题的案列,刨根问底后发现,最主要的原因都是来自于人。比如有的是故意泄露,有的是电脑被入侵,还有的是把机密文件随意给外人看等。”
高雪峰认为,人的意识确实很难标准化管理,所以企业一方面要加强对员工的安全意识培训,让他们意识到哪些数据是重要的以及哪些行为可能引发数据泄露。同时,企业也需要建立一定的惩罚机制,这样员工才会对安全问题更加上心。
对此,陆宝华提出,企业通过技术手段来加强安全防范,也能有效降低人为因素而产生的风险。比如在公司内部,通过技术检查是可以发现网络有没有非法外联、计算机的各种移动介质接口有没有封堵等,这些技术漏洞,往往是导致员工无意识泄露的根本原因。
而在公司外部的数据传输方面,陆宝华认为,即使员工将重要信息直接存放在电脑中也是不正确的。一方面不能直接用计算机带出,另外如果要带出,可以利用加密信道,发送至可信的机构。
“对于一些重要的文件,最好是存放在单独的可加密的介质中,因为电脑涉及到系统安全,外人可以通过一些系统漏洞拿到里面的文件,所以电脑存放是有一定风险的。”
综上可看出,网络安全管理是件环环相扣的事情,任何一个环节的失误,都可能导致全盘皆输。高雪峰告诉记者,从攻防角度来说,没人敢说能做到百分之百的安全,包括上文提及的人为因素,都是不可控的。但不能因为这样,其他的安全防护工作就不做了。
对于中国网络安全的现状,高雪峰表示,一方面需要企业强化自身的安全管理;另一方面,也需要国家进一步完善相关法律。“去年推出的网络安全法是一个很大的进步,但是,真正涉及到不同公司和行业时,还是缺少一些细化的标准。”
至于企业如何做好自身的数据安全管理,陆宝华给出了他的建议:首先是对数据做好梳理,了解数据是什么形态,是文档、音频还是其他,以及数据是集中存储还是分散存储等,这都对应着不同的保护方案;
然后是明确数据属性。数据一般有两个最基本的安全属性,分别是保密性和完整性,保密性要求不能泄露,完整性则要求不能被篡改。这会决定企业该制定怎样的保护策略。
最后,是要从数据的全生命周期来看,不同的环节采取不同的保护手段。比如数据存放在计算机时、传递时、发到网络时等等,这些环节都需要理清楚,然后进行相对应的保护。
数据已经成为互联网时代的一项重要基础设施,它甚至可以决定一家企业的生死存亡,其重要性不言而喻。但同时,数据的电子化、人们对高效的追求等又给安全管理工作带来了全新的挑战。总而言之,对网络安全行业来说,这是一个机遇与挑战并存的时代。
责任编辑:韩希宇
免责声明:
中国电子银行网发布的专栏、投稿以及征文相关文章,其文字、图片、视频均来源于作者投稿或转载自相关作品方;如涉及未经许可使用作品的问题,请您优先联系我们(联系邮箱:cebnet@cfca.com.cn,电话:400-880-9888),我们会第一时间核实,谢谢配合。