徐建國(guó)

摘 要：隨著計(jì)算機(jī)系統(tǒng)在各行各業(yè)的普遍應(yīng)用，辦公文件、設(shè)計(jì)圖紙、財(cái)務(wù)報(bào)表等各類數(shù)據(jù)都以電子文件的形態(tài)，在不同的設(shè)備（終端、服務(wù)器、網(wǎng)絡(luò)、移動(dòng)端、云端）上存儲(chǔ)、傳輸、應(yīng)用，數(shù)據(jù)安全已經(jīng)成為政府、軍隊(duì)、企業(yè)及個(gè)人最為關(guān)注的問(wèn)題。

關(guān)鍵詞：敏感數(shù)據(jù);內(nèi)容識(shí)別;數(shù)據(jù)治理

中圖分類號(hào)：TP309 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1671-2064（2019）21-0014-02

0 引言

隨著社會(huì)信息化建設(shè)快速推進(jìn)，政府、企業(yè)保密工作面臨著非常嚴(yán)峻的形勢(shì)，尤其是隨著信息技術(shù)的發(fā)展和通信手段的更新?lián)Q代，計(jì)算機(jī)網(wǎng)絡(luò)泄密、移動(dòng)通信泄密和技術(shù)竊密時(shí)有發(fā)生，特別是智能手機(jī)和4G技術(shù)的普及，微博、QQ、微信等即時(shí)通信軟件的應(yīng)用推廣，致泄密渠道越來(lái)越寬，竊密的技術(shù)越來(lái)越高，稍有疏忽，就有泄密可能。

在政府、企業(yè)內(nèi)部，失泄密隱患也存在，主要表現(xiàn)在計(jì)算機(jī)終端安全管理、信息外發(fā)、移動(dòng)存儲(chǔ)介質(zhì)頻繁使用，聊天工作發(fā)送資料等。有些部門對(duì)保密工作重視度不夠，對(duì)相關(guān)保密工作要求落實(shí)不到位，對(duì)保密管理制度執(zhí)行不力，以及個(gè)別員工缺乏應(yīng)有的保密責(zé)任和意識(shí)造成的。更重要的是數(shù)據(jù)的價(jià)值促成安全威脅的驟然上升，因?yàn)槟缓蟮睦娉蔀槊舾袛?shù)據(jù)的泄漏最大驅(qū)動(dòng)力，數(shù)據(jù)價(jià)值越高，面臨的安全威脅越大。

1 什么是數(shù)據(jù)防泄露

DLP（Data Leakage Provention），被譯為“數(shù)據(jù)泄露防護(hù)”，DLP技術(shù)是指在計(jì)算機(jī)終端、網(wǎng)絡(luò)邊界部署專用檢查軟件，對(duì)客戶端本地硬盤、U盤、DVD盤等外設(shè)、互聯(lián)網(wǎng)和外單位網(wǎng)絡(luò)訪問(wèn)的內(nèi)容，以及網(wǎng)絡(luò)存儲(chǔ)、網(wǎng)絡(luò)出口流量中的內(nèi)容進(jìn)行識(shí)別檢查、告警阻斷和記錄審計(jì)，以檢測(cè)控制企業(yè)內(nèi)部重要敏感信息的未授權(quán)使用和傳送。

從技術(shù)上分析國(guó)內(nèi)外兩種DLP產(chǎn)品，可以發(fā)現(xiàn)這兩種產(chǎn)品源于不同的技術(shù)，從本質(zhì)上是完全不同的兩種產(chǎn)品。國(guó)外由于法律嚴(yán)格（主動(dòng)泄密行為少）DLP產(chǎn)品的目標(biāo)主要是防止信息的無(wú)意泄漏，因此在實(shí)現(xiàn)手段上多以“檢測(cè)”“審計(jì)”為主。而國(guó)內(nèi)DLP產(chǎn)品的目標(biāo)是對(duì)“有意”、“無(wú)意”泄密行為都進(jìn)行防護(hù)，多采取以“內(nèi)容識(shí)別+透明加解密”手段，配合權(quán)限控制、審計(jì)、端點(diǎn)管理、行為管理等功能，形成整套DLP解決方案的方式。

所以，從本質(zhì)上看，國(guó)內(nèi)數(shù)據(jù)防泄漏是基于數(shù)據(jù)的主動(dòng)防泄漏，以人為控制為主;而國(guó)外數(shù)據(jù)防泄漏是基于內(nèi)容的審計(jì)，以審計(jì)為主。

2 為什么要做數(shù)據(jù)防泄露

數(shù)據(jù)防泄漏系統(tǒng)能夠幫助解答三個(gè)根本的問(wèn)題：

（1）我都有那些敏感信息？分布在什么地方？

（2）誰(shuí)在使用這些數(shù)據(jù)？流轉(zhuǎn)情況怎樣？

（3）我如何能夠更好的保護(hù)這些數(shù)據(jù)防止其丟失？

為了解決上述問(wèn)題，數(shù)據(jù)防泄漏系統(tǒng)需要做到以下三點(diǎn)：

（1）深入文件內(nèi)容識(shí)別與檢查;

（2）跨終端、網(wǎng)絡(luò)和存儲(chǔ)系統(tǒng)自動(dòng)保護(hù)敏感數(shù)據(jù);

（3）提供事件響應(yīng)工作流程及審計(jì)報(bào)表，實(shí)現(xiàn)糾正違規(guī)行為。

企業(yè)信息化目的是為了信息和數(shù)據(jù)的共享，而數(shù)據(jù)的生命周期中包括存儲(chǔ)（生成數(shù)據(jù)的服務(wù)器和存儲(chǔ)設(shè)備）、使用（數(shù)據(jù)的使用者對(duì)數(shù)據(jù)進(jìn)行操作）和傳輸（數(shù)據(jù)從一個(gè)地點(diǎn)傳送到到另外一個(gè)地點(diǎn)）、銷毀四個(gè)基本的生命過(guò)程。

憑借數(shù)據(jù)防泄漏系統(tǒng)，企業(yè)管理者能夠看到有哪些數(shù)據(jù)庫(kù)、文件服務(wù)器、筆記本電腦和移動(dòng)存儲(chǔ)設(shè)備存有敏感數(shù)據(jù);能夠了解誰(shuí)在通過(guò)電子郵件、IM即時(shí)通訊、網(wǎng)盤或是USB存儲(chǔ)介質(zhì)傳輸使用敏感數(shù)據(jù);還可阻斷包含敏感數(shù)據(jù)的邊界等通道傳輸執(zhí)行，防止企業(yè)的敏感信息不被非法的存儲(chǔ)、使用和傳輸。

3 DLP遵循原則

防止數(shù)據(jù)泄漏并非僅靠信息中心/科技/IT部門便可解決，事實(shí)上，數(shù)據(jù)防泄漏從根本而言是業(yè)務(wù)問(wèn)題，它需要不同部門給予不同方面的支持與協(xié)作，包括設(shè)備負(fù)責(zé)人、法務(wù)遵從負(fù)責(zé)人、企業(yè)風(fēng)險(xiǎn)負(fù)責(zé)人、人力資源部門、市場(chǎng)營(yíng)銷部門以及銷售部門。企業(yè)需要在安全層面從傳統(tǒng)的安全域、網(wǎng)絡(luò)安全視角轉(zhuǎn)變?yōu)橐詳?shù)據(jù)為核心的視角，必然需要彌補(bǔ)很多的空缺和不足。為了保持防護(hù)效果，最好的方式是通過(guò)績(jī)效考核的方式督促各部門加強(qiáng)數(shù)據(jù)泄露防護(hù)工作，也對(duì)員工加強(qiáng)數(shù)據(jù)防泄露的教育和震撼效果。在具體落地實(shí)施，考慮技術(shù)手段時(shí)，必須結(jié)合自身實(shí)際情況，選擇最容易落地，對(duì)現(xiàn)有環(huán)境和人員改變最小，影響最小的方式，最大程度體現(xiàn)自動(dòng)化，對(duì)現(xiàn)有工作流程影響最小，最全面的覆蓋敏感數(shù)據(jù)的發(fā)現(xiàn)、流轉(zhuǎn)、泄露監(jiān)控、阻斷以及審計(jì)，實(shí)現(xiàn)數(shù)據(jù)泄露防護(hù)的安全管理閉環(huán)。

4 DLP業(yè)務(wù)邏輯

要達(dá)到保護(hù)敏感數(shù)據(jù)的目的首先需要定義和甄別敏感數(shù)據(jù)。定義與甄別敏感數(shù)據(jù)是整個(gè)DLP業(yè)務(wù)流程中最開(kāi)始的環(huán)節(jié)也是最重要的環(huán)節(jié)，如果敏感數(shù)據(jù)的甄別與定義沒(méi)有做好，DLP系統(tǒng)無(wú)法分辨出對(duì)于用戶業(yè)務(wù)來(lái)說(shuō)最有價(jià)值的數(shù)據(jù)，那么DLP系統(tǒng)的其他監(jiān)控與防護(hù)功能都將失去準(zhǔn)確的目標(biāo)。做好敏感數(shù)據(jù)的甄別與定義也是實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)差別管控，找到數(shù)據(jù)使用安全與效率最好平衡點(diǎn)的基礎(chǔ)。

但是，對(duì)于不同用戶來(lái)說(shuō)，敏感數(shù)據(jù)的定義不同，即便是同行業(yè)的不同用戶，敏感的定義也可能存在差異。所以要做好敏感數(shù)據(jù)的甄別與定義，需要同時(shí)依靠經(jīng)驗(yàn)豐富的安全服務(wù)團(tuán)隊(duì)和技術(shù)工具，并按照：數(shù)據(jù)梳理、分類分級(jí)、策略制定的方法論來(lái)完成，具體流程見(jiàn)（圖1）。

4.1 數(shù)據(jù)梳理

如果用戶敏感數(shù)據(jù)難以定義，或?qū)ψ陨沓钟械拿舾袛?shù)據(jù)沒(méi)有清晰界限，那么定義敏感數(shù)據(jù)則需要一套完整的方法論，我們稱其為“數(shù)據(jù)梳理”，其目的之一就是幫助用戶認(rèn)識(shí)和定義敏感數(shù)據(jù)，進(jìn)而對(duì)敏感數(shù)據(jù)進(jìn)行分類分級(jí)。數(shù)據(jù)梳理既是實(shí)現(xiàn)敏感數(shù)據(jù)差別管控方案的核心，也是制定DLP策略的有力輔助。

4.2 分類分級(jí)

根據(jù)聚類結(jié)果得到的用戶數(shù)據(jù)類別，以及類別的語(yǔ)義特征，對(duì)用戶真實(shí)數(shù)據(jù)進(jìn)行內(nèi)容分類，安全服務(wù)團(tuán)隊(duì)和用戶還可以進(jìn)一步的對(duì)已分類的數(shù)據(jù)根據(jù)其他的特征維度（文件類型、大小、位置、流轉(zhuǎn)渠道等）進(jìn)行進(jìn)一步的細(xì)化分類;在分類的基礎(chǔ)上，可以針對(duì)數(shù)據(jù)的不同類別劃分不同密級(jí)，當(dāng)同一大類數(shù)據(jù)需要根據(jù)其內(nèi)容再劃分細(xì)致級(jí)別時(shí)，需要將同類數(shù)據(jù)再進(jìn)行更細(xì)致的分類，以便將某一大類數(shù)據(jù)再分為更小的類別，再對(duì)小類別進(jìn)行密級(jí)劃分。

4.3 策略制定

通過(guò)對(duì)真實(shí)數(shù)據(jù)中同類數(shù)據(jù)的特征提?。P(guān)鍵字詞典、語(yǔ)義特征、數(shù)據(jù)指紋、文件屬性、保存及流轉(zhuǎn)條件等），制定數(shù)據(jù)識(shí)別策略，結(jié)合安全服務(wù)團(tuán)隊(duì)對(duì)數(shù)據(jù)使用行為的分析調(diào)研結(jié)果，制定最終的數(shù)據(jù)保護(hù)策略，導(dǎo)入DLP，以達(dá)到準(zhǔn)確識(shí)別敏感數(shù)據(jù)與針對(duì)敏感數(shù)據(jù)不當(dāng)使用行為的目的;另外用戶也可以直觀定義敏感數(shù)據(jù)及保護(hù)策略：在定義敏感數(shù)據(jù)的過(guò)程中，如果用戶對(duì)需要保護(hù)的敏感數(shù)據(jù)定義非常清晰，則可以直接針對(duì)此類數(shù)據(jù)提取特征，比如通過(guò)數(shù)據(jù)相關(guān)應(yīng)用、數(shù)據(jù)保存格式、數(shù)據(jù)典型內(nèi)容（詞典、數(shù)據(jù)標(biāo)識(shí)符、數(shù)據(jù)指紋）等，制定識(shí)別及保護(hù)策略。

其次，通過(guò)已定義的敏感數(shù)據(jù)識(shí)別策略，對(duì)分布在用戶機(jī)構(gòu)內(nèi)部的數(shù)據(jù)進(jìn)行全面掃描，發(fā)現(xiàn)定位敏感數(shù)據(jù)。其中包括用戶內(nèi)網(wǎng)中的數(shù)據(jù)庫(kù)、文檔服務(wù)器、郵件服務(wù)器、Web服務(wù)器、存儲(chǔ)、終端辦公設(shè)備等，以達(dá)到對(duì)全局敏感數(shù)據(jù)分布可視的目的，同時(shí)對(duì)于發(fā)現(xiàn)的不當(dāng)存儲(chǔ)敏感信息進(jìn)行合規(guī)整理。

再次，通過(guò)已定義的策略，對(duì)用戶機(jī)構(gòu)內(nèi)部向內(nèi)部、內(nèi)部向外部、終端與外接設(shè)備之間的不合規(guī)敏感數(shù)據(jù)流轉(zhuǎn)進(jìn)行監(jiān)控，以識(shí)別策略為依據(jù)，根據(jù)使用者的身份、數(shù)據(jù)內(nèi)容、使用方式進(jìn)行自適應(yīng)響應(yīng)管控，例如：審計(jì)、審批、加密、阻斷、移動(dòng)等。而其中保護(hù)動(dòng)作可以分為自動(dòng)響應(yīng)與手動(dòng)響應(yīng)兩種，自動(dòng)響應(yīng)是根據(jù)預(yù)先制定好的策略自動(dòng)執(zhí)行保護(hù)動(dòng)作;而手動(dòng)響應(yīng)則是在發(fā)現(xiàn)違規(guī)情況后由管理員手動(dòng)審批，執(zhí)行保護(hù)動(dòng)作。

最后，把敏感數(shù)據(jù)的發(fā)現(xiàn)、監(jiān)控和保護(hù)所產(chǎn)生的事件直觀并且系統(tǒng)的展示給用戶，以便用戶處理與分析，整體邏輯流程見(jiàn)（圖2）。

5 結(jié)語(yǔ)

數(shù)據(jù)泄漏防護(hù)作為一項(xiàng)長(zhǎng)期的工程，需考慮其自身的復(fù)雜性和系統(tǒng)性，為避免總體實(shí)施風(fēng)險(xiǎn)過(guò)大，結(jié)合信息安全建設(shè)規(guī)劃階段需求，應(yīng)采取“總體規(guī)劃，分步實(shí)施，先試點(diǎn)，后推廣”的總體思路，協(xié)助逐步提升企業(yè)數(shù)據(jù)治理能力。