2012年發(fā)生的一連串備受關(guān)注的數(shù)據(jù)泄露事件，包括國(guó)外著名的LinkedIn和Global Payments，這些數(shù)據(jù)安全事故使得數(shù)據(jù)安全防護(hù)受到越來(lái)越多的重視。但是，當(dāng)企業(yè)遇到數(shù)據(jù)安全事故時(shí)，注意力依然放在了救災(zāi)這種被動(dòng)的方式上，而不是實(shí)施更長(zhǎng)遠(yuǎn)的策略。最近，企業(yè)加密和密鑰管理技術(shù)供應(yīng)商Vormetric對(duì)企業(yè)在安全管理上常犯的四個(gè)錯(cuò)誤進(jìn)行了分析，并提出相應(yīng)的解決方法。
2012年發(fā)生的一連串備受關(guān)注的數(shù)據(jù)泄露事件，包括國(guó)外著名的LinkedIn和Global Payments，這些數(shù)據(jù)安全事故使得企業(yè)數(shù)據(jù)安全防護(hù)受到越來(lái)越多的重視。但是，當(dāng)企業(yè)遇到數(shù)據(jù)安全事故時(shí)，注意力依然放在了救災(zāi)這種被動(dòng)的方式上，而不是實(shí)施更長(zhǎng)遠(yuǎn)更有效的策略。最近，企業(yè)加密和密鑰管理技術(shù)供應(yīng)商Vormetric對(duì)企業(yè)在安全管理上常犯的四個(gè)錯(cuò)誤進(jìn)行了分析，并提出相應(yīng)的解決方法。
企業(yè)安全管理的四個(gè)短視行為
1. 缺乏統(tǒng)一標(biāo)準(zhǔn)。特定的安全常常建立在多重“標(biāo)準(zhǔn)”之上，并由不同功能的IT小組提供相應(yīng)的解決。這種模式帶來(lái)一系列的問(wèn)題，比如，數(shù)據(jù)加密常常由于IT專業(yè)人士不懂?dāng)?shù)據(jù)安全的相關(guān)要求而執(zhí)行不力。有些機(jī)構(gòu)在加密過(guò)程中采用新興的業(yè)界標(biāo)準(zhǔn)為依據(jù)，比如密鑰管理互操作協(xié)議(KMIP)。然而，它還不夠成熟因而不是萬(wàn)全之策。由于缺乏整體的標(biāo)準(zhǔn)，導(dǎo)致更高的管理成本，更繁復(fù)的流程和更大的數(shù)據(jù)泄露風(fēng)險(xiǎn)。
2. 缺少集中控制。相互獨(dú)立的安全加密工具通過(guò)相似的方式，為管理員提供了各自的管理控制、監(jiān)視/審計(jì)和密鑰管理后臺(tái)。每個(gè)特定的方案都要單獨(dú)配置，并且具有不同級(jí)別的功能、復(fù)雜性和認(rèn)證方式。這讓操作陷入泥潭：每一個(gè)工具，包括它的實(shí)現(xiàn)方式均引入不同程度的風(fēng)險(xiǎn)。同時(shí)，首席安全官們也沒(méi)有一個(gè)統(tǒng)一的方法，去評(píng)估、監(jiān)視、了解和報(bào)告這些不同安全措施的效果。因?yàn)槊總€(gè)獨(dú)立的安全工具都有自己獨(dú)立的策略、配置和管理系統(tǒng)。這轉(zhuǎn)化為不斷增加的成本和復(fù)雜性。
3. 分立的管理系統(tǒng)。眾多的安全技術(shù)每一個(gè)都要單獨(dú)配置，管理和監(jiān)視。由于沒(méi)有集中的管理或策略，管理員必須在每一個(gè)工具內(nèi)部執(zhí)行相應(yīng)的操作。增加的管理操作次數(shù)加大了配置出錯(cuò)的風(fēng)險(xiǎn)，可能會(huì)造成安全事故或者關(guān)鍵文件不可恢復(fù)。
4. IT業(yè)務(wù)偏差。特定的安全工具往往被部署成不安全的方式，即允許具有相關(guān)業(yè)務(wù)關(guān)聯(lián)的IT小組訪問(wèn)和控制這些系統(tǒng)。以加密密鑰管理為例，當(dāng)企業(yè)執(zhí)行多重密鑰方案時(shí)，加密密鑰被暴露給太多有關(guān)聯(lián)業(yè)務(wù)的成員。這和密鑰的理想操作方式相去甚遠(yuǎn)，也就是說(shuō)分離了責(zé)任。由于加密密鑰暴露給太多的人，受到內(nèi)部攻擊的風(fēng)險(xiǎn)大大增加。
從上面的問(wèn)題可以看出，安全管理工具系統(tǒng)和具體操作方式分而治之的方式，使得企業(yè)安全管理的效率和效果大打折扣。對(duì)應(yīng)的，實(shí)施集中安全管理，能有效解決以上的問(wèn)題。
集中安全管理實(shí)施的三個(gè)步驟
企業(yè)組織可以采取以下三步走的策略，以克服特定安全實(shí)現(xiàn)方式的幾個(gè)缺點(diǎn)。
第一步，制定統(tǒng)一的規(guī)則。包括策略管理，配置管理和報(bào)告/審計(jì)在內(nèi)，企業(yè)內(nèi)部實(shí)施時(shí)一定要?dú)w同一中心控制。反過(guò)來(lái)，所有管理信息要能回到中央管理庫(kù)，用于分析和生成報(bào)告。
第二步，強(qiáng)制執(zhí)行分配的策略。集中的安全策略必須強(qiáng)制下發(fā)到企業(yè)下面的多個(gè)系統(tǒng)。要做到這一點(diǎn)，中央管理控制臺(tái)必須具備分發(fā)代理，配置獨(dú)立系統(tǒng)，可靠管理并記錄所有活動(dòng)的能力。
第三步，部署分層管理。企業(yè)要設(shè)置并強(qiáng)制執(zhí)行企業(yè)和部門對(duì)應(yīng)的策略，并允許安全管理員(而非其他職能相關(guān)的IT人員)在安全域管理控制時(shí)分離責(zé)任。比如，一個(gè)財(cái)務(wù)公司的員被合法地授予維護(hù)的權(quán)力，但是他沒(méi)有權(quán)力連接管理的財(cái)務(wù)數(shù)據(jù)。這種方法可保護(hù)敏感數(shù)據(jù)的保密性和完整性，通過(guò)限制訪問(wèn)來(lái)實(shí)現(xiàn)工作中的安全管理。
誠(chéng)然，企業(yè)對(duì)自身數(shù)據(jù)安全的重視，達(dá)到了前所未有的高度。但只有科學(xué)合理的安全管理策略，才能讓企業(yè)的安全戰(zhàn)略真正落地。Vormetric的建議，從企業(yè)內(nèi)部安全管理出發(fā)，幫助企業(yè)理清脈絡(luò)，從而大大降低數(shù)據(jù)安全面臨的風(fēng)險(xiǎn)。