加密软件的选型注意事项.20120323---复制---复制.doc

项目设计和实施方案数据加密软件产品选型注意事项山丽信息安全有限公司Sanlen Information Security Co., LTD. 版权所有20082012目 录目 录21 项目背景的必要性31.1 外部信息化现状31.2 企业泄密风险31.3 内部自身管理需要51.4市场竞争的需要51.5 国家法律监管需要52 加密产品实施过程中遇到的问题与阻力和应对措施62.1 产品选型错误62.2 产品安全性不够62.3 内部配套管理不够73 加密产品实施前宣传教育的重点和方式7版权声明81 项目背景的必要性1.1 外部信息化现状2012年1月16日，中国互联网络信息中心(CNNIC)发布第29次中国互联网络发展状况统计报告(下称报告)。报告显示，截至2011年12月底，中国网民规模突破5亿，达到5.13亿。网民的生活、信息交流、办公已经无法离开互联网；基于网络的工作、创新、仿真、制造、管理已经是当代企业生存的必要条件。但因为国际、国内企业之间之间的进一步加剧、各个国家保护产权创新的力度和范围大有不同，基于个人或者企业的信息泄密事件时时在发生中其中，超过80%是由内部员工故意或无意地泄漏和破坏引起的对IT资产中电脑硬件的终端管理，和对电脑硬件里面的数据管理成为信息泄密安全管理问题亟待解决的两大问题。信息安全的核心是内部信息安全的问题，是对内部电脑资源设备的管控和电脑资源设备上的数据文档的管控。1.2 企业泄密风险对企业来讲，信息化的不断发展，意味着信息安全泄密风险的不断增加，分析泄密途径对企业的防范安全泄密措施具有重要的意义。可能的泄密途径，应该来讲主要包括： 服务器上泄密、 工作站泄密、 移动设备泄密、 网络泄密、 输出设备泄密、 客户泄密、 合作单位员工转发泄密等主要的表现形式如下： 服务器泄密：1、 网络维护人员在进行维护时使用移动硬盘将服务器上的资料自备一份。2、 维护人员知道服务器密码，远程登陆上，将服务器上的资料完全的拷到本地或者自己家里的机器上。工作站泄密：1、 乘同事不在，开启同事电脑，浏览，复制同事电脑里的资料。2、 内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走。3、 将笔记本（或者台式机）带出管控范围重装系统或者安装另外一套系统从而将资料拷走。4、 将笔记本（或者台式机）带出管控范围利用GHOST程序进行资料盗窃。5、 将笔记本（或者台式机）的硬盘拆回家盗窃资料，第二天早早来装上。6、 将办公用便携式电脑直接带回家中。7、 将笔记本（或者台式机）带出管控范围使用光盘启动的方式，使用磁盘管理工具将资料完全拷走。8、 将笔记本（或者台式机）的硬盘或整机送修，资料被好事者拷走。9、 电脑易手后，硬盘上的资料没有处理，导致泄密。10、 笔记本（或者台式机）遗失或者遭窃，里面的资料被完整的窃取。网络泄密：1、 内部人员通过互联网将资料通过电子邮件发送出去。2、 内部人员通过互联网将资料通过网页bbs发送出去。3、 随意将文件设成共享，导致非相关人员获取资料。4、 将自己的笔记本带到公司，连上局域网，使用各种手段如ftp、telnet窃取资料5、 随意点击不认识的程序、上不熟悉的网站导致中了木马产生的泄密。输出设备（移动设备）泄密：1、 移动存储设备共用，导致非相关人员获取资料。移动设备包括：u盘、移动硬盘、蓝牙、红外、并口、串口、1394等2、 将文件打印后带出。 客户泄密：1、 客户将公司提供的文件自用或者给了竞争对手。2、 客户处管理不善产生的泄密。3、 员工收到文件后将文件发送给其他人员产生的泄密。1.3 内部自身管理需要按照管理学的有关定律，比如破窗理论：一个房子如果窗户破了，没有人去修补，隔不久，其它的窗户也会莫名其妙地被人打破；一面墙，如果出现一些涂鸦没有被清洗掉，很快的，墙上就布满了乱七八糟、不堪入目的东西;一个很干净的地方，人们不好意思丢垃圾，但是一旦地上有垃圾出现之后，人就会毫不犹疑地抛，丝毫不觉羞愧。企业产品的信息资产实际上已经是企业不可或缺的宝贵资产，如果企业管理人员任由信息资产随意被泄密而不作为，最后迎接企业管理人员的就是更多的破窗。不作为、不管理不是善意，是企业走向失败的最大杀手。因此，从自身管理需求上，企业也需要上数据加密产品对企业的核心数据进行防护。只有加密才是最终的管理手段，非加密的手段都是治标不治本的管理手段。加密是信息安全的基础。1.4市场竞争的需要竞争对手如影随行，更有的竞争对手已经派遣和培养了商业间谍进入自己的公司。所有这些不得不防；企业给创造力强的员工提供了一个非常好的发展平台，员工在这个平台上不断发展，随着发展程度的提高，员工的自我定义也已经在悄然的发生变化，对企业的作用也由一个跟随者变化为了独挡一面的支撑者；当高级管理人员的管理沟通方式没有更快变化的时候，原来的这个员工现在的合作伙伴外出发展的可能性极大，如果法律足够健全，我们将会有力的保护参与者在其间掌握的企业信息资产，当法律不健全或者执行不够，实际上企业将沦为“黄埔军校”的脚色；实际上，有创新力者离开原来的环境外出进行新的创造是人的本性、社会发展的必然。企业管理者最好的馈赠是给予了他们成长的能力而不是企业原来持有的信息资产。那样，不是支持他们而是害他们了。1.5 国家法律监管需要不同行业，国家的监管法律不一样，这个需要根据用户所在的行业来分析，比如银行，就有银监局有关的规定。一般企业，可以遵循企业内部控制基本规范对自己进行约束。2 加密产品实施过程中遇到的问题与阻力和应对措施加密产品在实施中遇到的阻力主要是来自于三个方面，分别是产品选型错误、产品安全性不够、和内部配套管理不够；2.1 产品选型错误一般公司进行加密产品的选型，喜欢把稳定性作为首选的考虑，岂不知稳定性就如我们买食品必须能吃一样，是任何信息化产品的基本要求，用这一点作为对数据加密产品的要求结果就是非常明显了，选择出来的产品扩展性就远远不够了。这个也不能埋怨我们企业的产品选型者了，君不见市场上也有不能吃的食品吗？还有吃了要人命的食品呢。加密产品最要命的一点是，当企业采用的办公软件变化或者升级后，数据加密产品必须也进行升级，这样的结果是信息化管理人员不断在数据加密产品上耗费自己的精力，而员工对这一点将成为他们最深痛恶绝的了。而一个公司，因为脚色的不同，所采用的安全管理措施必然不同，对数据加密产品而言，就是应该根据脚色的不同，可以赋予不同的加密策略。比如，对研发人员，因为其过程产物和结果产物都非常重要，而且大部分的研发人员对系统都比较了解，会使用管理人员也不了解的开发软件进行产品开发，因此，对这样的部门，就应该上全盘加密；对企业的所有者而言，上一套数据加密产品的目的可不是为了加密自己的，但管理人员又有查看其他人密文的需求，因此，对最高级的人员，加密系统还应该能提供空加密的模式可以供用户选择；对其他的部门，如财务部门、行政部门等等，则可以更据需要，设置为目录加密或者是某些固定程序可以加密就可以了。因此，加密产品的选型，应该将加密产品支持的文件格式不受任何限制、不需要任何二次开发（包括支持所有的压缩格式），和产品可以同时支持多种加密模式、包括全盘加密、空加密、目录加密、程序加密、手动加密作为选型的标准，以防止出现重复作业和重复投资。2.2 产品安全性不够如果实施加密产品而不考虑产品的安全性，那信息化管理人员就不是在买安全产品了。因此，加密产品的安全性应该成为产品购买和实施的重点考虑对象。目前的加密产品，按照国家管控的要求，加密算法必须是采用国家指定的加密算法（也是公开的），否则产品不能在国内进行销售。这个也是国外的安全产品迟迟不能今进入中国境内进行销售的原因。但国外安全产品的安全性往往又非常高，这个又是什么原因呢？这个是因为，有的数据加密产品，在产品交付给用户的时候，往往供应商会讲，是给用户提供一个密钥，或者说给一个部门一个密钥。不要相信什么不能破解的神话。没有不能破解的。当其他人一旦获得了公司的密钥或者一个部门的密钥，加密算法是公开的（也不用费神破解加密算法了），企业的数据还有什么不能破解的。因此，一文一密钥是安全的基本保证。国外产品的安全性高的原因就是一文一密钥（一个文件一个密钥）。这样，破解者即使得到了一个产品的密钥，也不会对数据安全产生根本性的影响要实现一文一密钥，必须采用对称加密和非对称加密的相结合的方法。目前pdf的加密、windows的efs的加密是这样的，国内也有山丽防水墙是这样的。因此，采用对称加密和非对称加密，并实现一文一密钥是产品安全性的保证。2.3 内部配套管理不够千万不要认为上了数据加密产品就万事大捷，可以高枕无忧了。实际上，我们还必须在实施厂家的协助下，对企业有关的信息安全制度进行一些梳理，如安全策略变更流程、数据解密管理流程等等。数据加密产品的目的是对我们的信息安全工作提供一套技术的支持手段。而不是将数据加密之后不再进行协助管理。3 加密产品实施前宣传教育的重点和方式在部署数据加密产品之前，营造部署产品的气氛和文化氛围是非常有必要的。不然贸贸然就进行产品的部署，会带来员工情绪的不满，从而挫伤员工的积极性，带来员工不满情绪的增加，加速或者驱动员工的分离，那就得不偿失了。实施前宣传教育的重点在于宣讲国家有关的安全保密法律，在违反这些法律后对公司和歌个人带来的后果。（法规宣讲）实施前宣传教育的重点还在于数据泄密会给国家、企业带来多大损失（不一定是自己公司的），争取员工的情感认同，毕竟大多数人对公司的感情还是非常深的。（动之以情）实施前宣传教育的重点还在于列举出泄密后法律惩戒的后果，如华为工程师的入狱等等，告诉大家红线在哪里，这样也各大家树立了反面典型，知道了不遵守红线的严重后果。（晓之以礼）。版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属上海山丽信息安全有限公司所有，受到有关产权及版权法保护。任何个人、机构未经上海山丽信息安全有限公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。 山丽、Sanlen、防水墙、数据门卫、Datagate、安铁诺、Antiunknown、环境指纹均是山丽信息安全有限公司的注册商标。本方案提供商山丽信息安全有限公司(简称“山丽网安”)是信息安全防泄漏产品国家标准的起草者之一；本方案中提到的数据生命周期管理（DLM：Data Life Management）原创提出者是山丽网安；本方案提供商山丽网安持有数据防泄密产品国内第一个专利，也是一个奠基性的发明专利。（专利号：ZL 2004 1 0017241.3）专利名称：具有指纹限制的机密文件访问授权系统。（2009年9月19日得到授权）本方案提供商山丽网安持有数据防泄密产品国际专利，也是一个奠基性的发明专利。（专利号：US 7，890，993 B2）专利名称：Secret