當前，由于企業(yè)信息的深入開展，使得計算機成為員工上班的必備工具。相應地，企業(yè)員工在上班時間形成的勞動成果、無形資產(chǎn)，甚至商業(yè)機密信息也大都存儲在公司的電腦上。這使得，一些員工可以輕易通過一些USB存儲設(shè)備，如U盤、移動硬盤和手機等USB存儲設(shè)備而將電腦文件復制出去，或者通過網(wǎng)盤、郵件附件、FTP文件上傳、QQ發(fā)送文件等方式輕松將電腦重要文件發(fā)送出去，從而使得企業(yè)信息安全和商業(yè)機密面臨著巨大風險，甚至還影響到企業(yè)的穩(wěn)健經(jīng)營和持續(xù)發(fā)展。為此，企事業(yè)單位必須采取有效的舉措來保護電腦文件安全，保護無形資產(chǎn)和商業(yè)機密。

面對日漸嚴重的內(nèi)部泄密事件，我們?nèi)绾问刈o企業(yè)的核心信息，如何防止內(nèi)部泄密也就成了擺在各個企業(yè)領(lǐng)導面前的一大問題。其實，針對內(nèi)網(wǎng)安全，防止內(nèi)部信息泄漏早已有了比較成熟的體系。這得益于一個還不為廣大企業(yè)所知的行業(yè)——信息防泄漏行業(yè)。信息防泄漏從這個行業(yè)誕生時刻開始就致力于保護國家秘密，維護國家涉密內(nèi)網(wǎng)安全，防止涉密信息泄漏。隨著企業(yè)保護核心信息的需求日益增長，信息防泄漏行業(yè)也開始逐漸為廣大企業(yè)提供信息安全服務。面對企業(yè)的內(nèi)網(wǎng)安全問題，信息防泄漏行業(yè)憑借多年來服務于國家政府機關(guān)積累的經(jīng)驗，提出六項措施，有效防止內(nèi)部泄密，守護企業(yè)核心機密。

措施一：嚴控計算機外設(shè)端口，監(jiān)控、審計所有計算機的操作行為，封鎖信息外泄途徑。

在企業(yè)當中，有一種非常普遍的情況，就是對于計算機外設(shè)完全沒有任何監(jiān)控。每臺計算機可以任意使用各種USB設(shè)備，可以隨意讀取光盤，可以連接打印機，能夠隨時的打印文件。這也就極大地方便了內(nèi)部人員將核心信息，商業(yè)機密帶離公司，從而導致信息泄漏。也有一部分公司，感覺都到了內(nèi)部泄漏的風險，采取了一些手段，例如拆掉光驅(qū)，塑封USB口一些簡單的方式，希望能夠控制內(nèi)部人員隨意使用外設(shè)端口，但是這些控制方式都能夠很輕易的破解，并沒有帶來真正意義上的效果。更有一些公司，感覺到簡單的控制手段無法保證效果，就采用了一些技術(shù)手段，例如利用修改注冊表或者設(shè)置組策略等形式，達到禁止外設(shè)端口的效果。

這樣在一定程度上，起到了一定效果，然而，針對那些真正企圖泄漏內(nèi)部機密的幕后黑手而言，這些手段能夠很輕易地被破解。要達到徹底封鎖信息外泄途徑，就需要應用專門技術(shù)，例如大勢至公司的“大勢至USB端口監(jiān)控軟件”（下載地址：http://www.grabsun.com/monitorusb.html），通過基于底層的電腦USB端口控制功能，可以完全禁用U盤、禁用USB存儲設(shè)備、禁止光驅(qū)刻錄、禁止藍牙、禁止手機等所有帶有USB存儲功能的設(shè)備使用。如下圖所示：

圖：電腦USB端口管理軟件、電腦U口禁用軟件

同時，還可以禁止員工發(fā)郵件附件、禁止上傳文件到網(wǎng)盤、禁止通過FTP上傳文件以及禁止QQ發(fā)文件等，從而防止了通過網(wǎng)絡(luò)途徑泄露商業(yè)機密的行為。此外，為了防止員工隨意反向修改操作系統(tǒng)相關(guān)配置而重新啟用U盤、USB存儲設(shè)備的情況，大勢至USB管理軟件還集成了禁止修改注冊表、禁止修改組策略、禁止設(shè)備管理器以及禁止開機進入安全模式等功能，從而徹底防止了員工試圖通過技術(shù)手段來重新啟用USB存儲設(shè)備的功能，從而真正保護了電腦文件的安全。

措施二：所有重要信息集中存儲，終端不留密，信息使用權(quán)限細分

隨著信息化程度的不斷提高和自動化辦公的不斷普及，公司文件由傳統(tǒng)的紙質(zhì)文件越來越多的向電子化文檔轉(zhuǎn)換，而這些公司文件零散的存儲在各計算機中，然而大多數(shù)的公司在進行防護系統(tǒng)建設(shè)的時候，更多的是把目光放到了網(wǎng)絡(luò)邊界安全，也更多的偏向于監(jiān)控計算機設(shè)備以及計算機使用者的操作，對于真正重要的核心信息本身的防護卻有限。同時由于許多的公司業(yè)務流程已不再是狹窄孤立的，而是非常具有動態(tài)性、協(xié)作性和廣泛性的合作過程。例如：在日常辦公過程中，可能需要公司內(nèi)外的人員通過演示文稿、電子表格或文檔的形式來復制、共享、打印輸出等信息。這也帶來一個問題就是沒有一個行之有效、更加細分化的策略權(quán)限控制手段，幫助管理者限定核心信息針對個人具體的使用權(quán)限。這是一個很有效地手段，就是將核心信息集中存儲，保證終端不保存機密信息，在利用驅(qū)動級文件權(quán)限控制技術(shù)、剪貼板防護技術(shù)、數(shù)據(jù)消除技術(shù)、進程數(shù)字簽名技術(shù)等技術(shù)，強制終端用戶只能通過系統(tǒng)提供的安全虛擬平臺訪問文檔集中管理服務器上的資源。這樣就既解決了核心信息分散不易管理的難題，又可以針對核心信息進行詳細的權(quán)限控制，針對不同的內(nèi)部人員執(zhí)行不用的讀、寫、復制、刪除等等操作策略。保證公司能夠?qū)佑|使用核心信息的內(nèi)部人員進行控制，全面了解核心文件“誰能看、誰能改、誰能用、誰能帶”。有效的降低了內(nèi)部人員泄密的可能。

措施三：通過移動介質(zhì)泄密往往是信息泄漏的主要方式。需要嚴格控制移動介質(zhì)使用，劃分介質(zhì)使用范圍與責任人。

目前廣泛應用于企業(yè)單位中的信息交互工具就是移動介質(zhì)，作為最有效的信息移動的手段之一，移動存儲介質(zhì)具有使用方便，存儲空間大等眾多的優(yōu)點。然而移動存儲介質(zhì)的容量越做越大，體積卻越做越做小，非常容易丟失。而移動存儲設(shè)備本身在設(shè)計上由于考慮較多的是易用性，所以往往沒有任何防護措施。一旦移動存儲設(shè)備丟失或被盜，就會造成存儲其中的信息外泄。并且大多數(shù)企業(yè)在日常使用的過程中，并不限定移動介質(zhì)的使用范圍，使得員工無論是在公司內(nèi)的電腦，還是個人電腦，或者網(wǎng)吧等等其他地方的電腦上任意使用，使得文件可被輕易復制或者被病毒、木馬侵害，造成信息泄密。由此可見不被管控的移動存儲設(shè)備成為了最為危險的信息泄漏途徑與工具。這也就需要我們嚴格控制移動介質(zhì)的使用，劃分介質(zhì)使用范圍與責任人。即對介質(zhì)使用狀態(tài)、配置信息全面的掌控；嚴格監(jiān)控介質(zhì)從購買后的注冊發(fā)放、使用、統(tǒng)一臺帳監(jiān)控、狀態(tài)查詢到收集注銷的運行周期，以及介質(zhì)從插入、進行各種操作、到拔除全程進行跟蹤記錄和實時報警的運行周期。通過對公司內(nèi)移動介質(zhì)的注冊，實現(xiàn)移動存儲介質(zhì)管理可信化、全程監(jiān)控；防止移動存儲介質(zhì)使用導致的信息泄漏及木馬病毒傳染。因為經(jīng)過公司對移動介質(zhì)的統(tǒng)一注冊管理，做到了公司內(nèi)部移動介質(zhì)無法被外部電腦識別，這樣一旦出現(xiàn)介質(zhì)丟失事件，也可以最大程度避免存儲其中的核心數(shù)據(jù)外泄。

措施四：監(jiān)控本地上網(wǎng)行為，監(jiān)控員工的上網(wǎng)行為，避免信息從本地被轉(zhuǎn)移。

隨著網(wǎng)絡(luò)的不斷發(fā)展與進步，每個公司都會因為工作的需要，連接互聯(lián)網(wǎng)。水能載舟亦能覆舟！互聯(lián)網(wǎng)一方面能夠幫助企業(yè)提高生產(chǎn)力、促進企業(yè)發(fā)展；另一方面也在企業(yè)管理、工作效率、信息安全、法律遵從、IT投資等方面給企業(yè)提出了嚴峻的問題與挑戰(zhàn)。日益發(fā)達的互聯(lián)網(wǎng)讓員工有了更多的選擇，員工很難不受眾多網(wǎng)絡(luò)娛樂的誘惑，大家在或多或少地利用工作時間進行非業(yè)務操作。同時，由于某些公司員工信息安全意識比較薄弱，很多時候?qū)⒖蛻粜畔?、?nèi)部敏感信息等在公網(wǎng)上隨便傳播，并沒有加密，這樣的信息數(shù)據(jù)很容易被竊取修改。由此產(chǎn)生的泄密事件，也會給公司帶來巨大損失。為此，某些公司高層反對開通網(wǎng)絡(luò)，也曾經(jīng)實施過懲罰制度，但效果不理想，因為如果不開通網(wǎng)絡(luò)工作，會給工作帶來不便。事實上并不是所有的員工都需要網(wǎng)絡(luò)的，銷售、采購外部協(xié)作、生產(chǎn)管理等部門的員工可能需要上網(wǎng)，但是像人事、工程設(shè)計等部門上班時間用網(wǎng)絡(luò)的很少。這就是說，我們需要找到一個合適的手段例如網(wǎng)絡(luò)信息監(jiān)測系統(tǒng)，控制本地上網(wǎng)，監(jiān)控員工上網(wǎng)行為。結(jié)合內(nèi)核數(shù)據(jù)截收和預處理技術(shù)、深度內(nèi)容檢測技術(shù)、智能識別阻斷等專利技術(shù)，為客戶解決網(wǎng)頁過濾、封堵與工作無關(guān)的網(wǎng)絡(luò)應用需求。讓企業(yè)可以根據(jù)行業(yè)特征、業(yè)務需要和企業(yè)文化來制定個性化的網(wǎng)頁訪問策略，過濾非工作相關(guān)的網(wǎng)頁。同時制定精細的帶寬管理策略，對不同崗位的員工、不同網(wǎng)絡(luò)應用劃分帶寬通道，并設(shè)定優(yōu)先級，合理利用有限的帶寬資源，節(jié)省投入成本。并且可以制定全面的信息收發(fā)監(jiān)控策略，有效控制關(guān)鍵信息的傳播范圍，以及避免可能引起的信息泄漏風險。

措施五：建立基于硬件級別的防護體系，避免眾多安全防護產(chǎn)品基于操作系統(tǒng)的脆弱性。

在企業(yè)的日常工作中，計算機終端是信息存儲、傳輸、應用處理的基礎(chǔ)設(shè)施,它可以稱為信息的源頭，其自身安全性涉及到系統(tǒng)安全、數(shù)據(jù)安全等各個方面, 這就要求企業(yè)及時調(diào)整安全防護策略,重視計算機終端安全。目前多數(shù)計算機終端的防護思路是在既有操作系統(tǒng)上加載軟件。這種方式就像建立在沙丘之上的堡壘，存在致命的弱點。例如，操作系統(tǒng)本身不安全;重裝系統(tǒng)會使軟件的功能全部失效，非法卸載安全軟件，使敏感信息系統(tǒng)主機失去保護;硬盤丟失，所有重要信息數(shù)據(jù)將全部暴露等等。針對這些問題，目前就有一些產(chǎn)品，以PCI適配卡為硬件載體、基于BIOS級別的設(shè)計，實現(xiàn)了重要敏感信息終端的安全“硬”保護，從信息的源頭保證了硬件級安全。因為PCI總線已成為當今計算機終端使用的事實總線標準，具有豐富的硬件資源，不易受資源環(huán)境限制。同時，PCI設(shè)備配置空間采用自動方式，反跟蹤能力強。且從BIOS級別上對計算機終端進行防護，是較高層次的技術(shù)實現(xiàn)途徑，可行并有效。這種安全性不依賴于任何操作系統(tǒng)或軟件，實現(xiàn)了強制終端從硬盤啟動，杜絕從光盤啟動，防止隨意重裝操作系統(tǒng);用戶可指定主機必須安裝的軟件，開機后該產(chǎn)品會自動對其進行檢測，如果系統(tǒng)中不存在指定軟件(可能被卸載)則主機不能啟動和使用。同時實現(xiàn)了基于BIOS的硬件級登錄認證，以及芯片級的數(shù)據(jù)全盤保護，但保護對用戶完全透明，即使硬盤丟失數(shù)據(jù)也不可能被恢復。另外，這種可對硬盤實施整盤加密，對包括操作系統(tǒng)文件在內(nèi)的所有硬盤數(shù)據(jù)實施全盤保護。即使硬盤丟失，其中的數(shù)據(jù)也無法被數(shù)據(jù)恢復技術(shù)破解而遭到竊取。部署這種基于硬件設(shè)備的防護產(chǎn)品，可以進一步阻止惡意破壞導致的信息泄漏，保護企業(yè)核心信息。

措施六：制定合適的制度，對違反企業(yè)規(guī)定的行為進行獎懲。對員工進行教育并嚴格執(zhí)行制度，從頭腦中杜絕信息泄漏。

我們知道有一句老話，"三分技術(shù)，七分管理"，這里切實反映出了制度規(guī)范在信息防泄漏的中重要性。內(nèi)網(wǎng)安全系統(tǒng)是重要的安全系統(tǒng)，但也因為涉及到很多應用和便攜設(shè)備，多少會對普通用戶的使用習慣造成影響。這個時候，就要求企業(yè)能夠利用成文規(guī)章來合理的約束用戶的行為，加強用戶教育，為系統(tǒng)的實施創(chuàng)造制度依據(jù)，才能讓安全更加深入人心。“技術(shù)服務于管理，管理依托于技術(shù)”，管理和技術(shù)相結(jié)合，技術(shù)限制配合制度管理，對違反企業(yè)規(guī)定的行為進行獎懲，對員工進行教育并嚴格執(zhí)行制度，這樣企業(yè)信息安全不再內(nèi)憂外患。

當今世界，信息化已經(jīng)是大勢所趨，計算機不僅成為人們生活工作不可或缺的工具，也是眾多企業(yè)日常開展工作須臾不可離的工具，隨著而來的，就是電子化辦公，數(shù)字化信息存儲帶來的信息安全壓力。越來越多的中國企業(yè)開始具有核心的知識產(chǎn)權(quán)與不可外泄的商業(yè)秘密，因而眾多的企業(yè)也開始重視信息安全體系的建設(shè)。但是，更多的企業(yè)把自己的注意力放在了防止外部入侵即網(wǎng)絡(luò)邊界安全，而恰恰忽略了身邊的威脅——內(nèi)部泄密。據(jù)FBI和CSI曾對484家公司進行的網(wǎng)絡(luò)安全調(diào)查結(jié)果顯示：超過85%的安全威脅來自公司內(nèi)部，由于內(nèi)部人員泄密所導致的資產(chǎn)損失高達6000多萬美元，它是黑客所造成損失的16倍、病毒所造成損失的12倍。企業(yè)若是忽略了其內(nèi)網(wǎng)安全防范措施，將損失許多寶貴的核心數(shù)據(jù)、專利技術(shù)信息，多年累積的技術(shù)資產(chǎn)和研發(fā)投入成為他人的嫁衣，甚至可能因此導致企業(yè)失去競爭力。企業(yè)還可能喪失的是其聲譽，以及員工、合作伙伴與客戶的信賴。

總之，在企事業(yè)單位保護電腦文件安全、保護無形資產(chǎn)和商業(yè)機密，除了上述管理舉措之外，還應該結(jié)合本單位的特點而建立專門的商業(yè)機密保護舉措。同時，還應該密切關(guān)注、綜合利用最新的數(shù)據(jù)防泄密、商業(yè)機密保護的相關(guān)技術(shù)，從而實現(xiàn)商業(yè)機密的持續(xù)、全方位管理。