信息安全如何防患于未然

互联网 | 编辑: 毛付俊 2006-04-06 10:00:00转载

信息安全远不是“技术”二字可以解决的问题。技术固然重要,但首先即是加强防患意识,不要在技术上已近乎完美,却因一时疏忽而满盘皆输。

  危机也许就在身边

  2005年6月,美国发生了一起4000万个信用卡账户资料被盗的事件,这是有史以来最严重的信息安全案件。随着美国联邦调查局介入调查,更多的细节被披露。原来,漏洞出在为万事达、维萨和美国运通卡等主要信用卡进行数据处理服务的“卡系统”公司,它的网络上被恶意黑客植入了木马程序。

  “卡系统”公司负责审核商家传来的消费者信用卡号码、有效期和验证码等信息,审核后再传送给银行完成付款手续。这家公司最近处理的4000万信用卡账户的号码和有效期等已被木马程序“一览无余”,其中包括2200万个维萨卡账户、1390万个万事达卡账户。安全专家确信:已有20万个账户的信息被转移出去,可能被恶意黑客出售或盗用消费,因此处于“高度危险”状态。

  原来,是这家公司违反数据安全规定留下了隐患。万事达卡公司等信用卡发行机构,要求“卡系统”公司处理的数据不得过夜保存,但这家公司为进行市场研究,自己保存了所有经手的账户信息,而且这些数据不加密、不保护就存储在公司电脑中。而公司的网络又建立在经常暴露出安全漏洞的“WINDOWS2000”操作系统之上,也没有及时更新升级。这都让恶意黑客有机可乘。

  而在这些技术性漏洞背后,暴露的是企业对信息安全的忽视和侥幸心理。

  虽然上面的案例存在特殊性,但这种对信息安全的忽视和侥幸心理却普遍存在于企业当中,“我们只是个制造业或服务业的中小企业而已,黑客攻击离自己还很遥远”,这正是许多企业的普遍心态。

  也因为这种心态的普遍存在,世界上每分钟都有两个企业因为信息安全问题倒闭,有11个企业因为信息安全问题造成大约800多万美元的直接经济损失……也许出乎你的意料,但却是事实。

  随处可见的安全隐患

  一边是安全防范意识的薄弱,另外一边则是残酷的事实。

  敌人随时都在瞄准你的任何一个漏洞,一个细节的失误,足以一分钟毁灭你的公司,一个信息就可以左右企业的成败。这个信息在自己手里是王牌,在对手手里是炸弹。

  在如今的互联网时代,全球范围的网民数量近7亿,而黑客网站高达20多万个。经常出现的网络安全事件,如:网页篡改、网络蠕虫、特洛伊木马、计算机病毒等,严重干扰了网络的正常运作,一些大型的著名网站也经常遭受影响。间谍软件如今也从几年前的边缘角色走到前台,成为威胁信息安全的又一大隐患。间谍软件能在用户觉察不到的情况下安装到一台电脑上,并秘密地收集信息。如果不特意加强数据安全措施,一旦被黑客盯上造成的损失就很惨重。

  企业的信息安全危险还绝不仅仅局限于外部攻击,在信息系统遭到的攻击中,一半以上是由公司自己的职员有意或无意引发的。

  而贵企业的重要信息,可能在老板的大脑里、公司电脑里、一个打印稿的背面,甚至在一个垃圾筐里,随时都有泄漏的可能。泄漏的结果轻则使公司蒙受损失,重则毁灭公司。

  一个简单的例子:节约用纸是很多公司的好习惯,员工往往会以使用背面打印纸为荣。其实,将拥有这种习惯公司的“废纸”收集在一起,你会发现打印、复印造成的废纸所包含的公司机密竟然如此全面,连执行副总都会觉得汗颜,因为废纸记载了公司里比他的工作日记都全面的内容。类似的例子还有很多。

  当然,信息也并不是一定与电脑有关。几年前,一家著名的市场调查公司调查麦当劳的产品销售量,他们使用了痕迹调查方法,收集了当天麦当劳所有的垃圾,雇用了许多临时工从麦当劳店内收集垃圾,包括包装纸盒等。他们就是通过计算这些垃圾得出了麦当劳每一种产品的销售量,并且推算出卖当劳下一年的销售计划。在这之后,麦当劳门店内的垃圾都要经过自己的处理后才运走。

  同样的事情也发生在雅芳和玫琳凯化妆品公司之间。雅芳就曾经雇佣私人侦探收集了玫琳凯的丢弃物,并且进一步破解了竞争对手的新化妆品配方。对于玫琳凯来说,它无法夺回这些珍贵的东西,因为雅芳只是研究了它的垃圾而已,这是完全合法的。

  而你又如何能够保证,你的竞争对手不用同样的方法来窃取你的信息?

  不仅是技术问题

  你该怎么办?采用技术手段,这是首先会想到的做法。

  但信息安全远不是“技术”二字可以解决的问题。技术固然重要,但首先即是加强防患意识,不要在技术上已近乎完美,却因一时疏忽而满盘皆输。千万不要像有些公司的总裁,严格规定不允许任何员工随意进入自己的办公室,但却忘了防范清洁工;也不要像有些银行完全有能力购买故障率为千万分之一的服务器,却让过期的磁带轻易流入二手市场;不要等到某一天公司的一个普通员工捧着一叠董事会的协议交给你,说是从他身旁的打印机里取出来的;也不要等到竞争对手对自己第二年的战略规划已了如指掌,只因花几百元买通普通员工轻易取走了你上一年的人事变动情况表,才恍然大悟。

  “我们的加密方针是所有的数据都必须用128位密钥加密”某券商网络部的经理得意地说。但是,就在他这么说的时候,一个敞开办公的区域,一台已经打开的电脑前却一个人都没有,如果谁想要在里面动点手脚可以说连黑客知识都免了。

  一位知名的CIO曾经提出过保卫信息安全的四大要素:技术、制度、流程和人。合适的标准、完善的程序、优秀的执行团队,是一个企业信息安全的重要保障。技术只是基础保障,技术不等于全部,很多问题不是装一个防火墙或者一个IDS就能解决的。在组织架构上,这家企业有两个小组:一是规模较小的一组人,专门制定安全政策和规则,另外一组是负责执行的员工,分散在软件、硬件以及网络等相应部门。一旦遇到紧急情况,散落在各地的应急响应小组能在最短时间内集合起来。

  任何问题归根到底都是人的因素,加强对员工的管理,对企业管理者来说比单纯购买产品或者制定规则重要得多。很多企业信息安全措施部署得很全面,但只要一个员工不按规定办事,机密很有可能就这样流出。

  所以我们认为:信息安全=先进技术+防患意识+完美流程+严格的制度+优秀的执行团队+法律保障。

  总之,企业的信息安全,绝对不是一个人的战斗,但是很多时候,中小企业却为了信息安全做出一些本末倒置的动作。面对企业里形形色色的信息安全规章,到底哪些是应该摒弃的?企业的信息安全规则应该如何确定?在信息化建设中哪些是“本”,哪些是“末”?这都是应该仔细琢磨的问题。 
 
《中外管理》

相关阅读

每日精选

点击查看更多

首页 手机 数码相机 笔记本 游戏 DIY硬件 硬件外设 办公中心 数字家电 平板电脑