車堅女

DOI：10.16660/j.cnki.1674-098x.2103-5640-2655

摘? 要：企業(yè)內(nèi)網(wǎng)數(shù)據(jù)安全管理工作中，本文提出應(yīng)嚴(yán)格進(jìn)行企業(yè)網(wǎng)絡(luò)安全治理、計算機(jī)終端數(shù)據(jù)安全防護(hù)、重要及敏感數(shù)據(jù)專網(wǎng)管理等意見，希望從根本上預(yù)防發(fā)生在企業(yè)內(nèi)外部數(shù)據(jù)損壞、丟失、泄露的安全隱患或不足，充分利用先進(jìn)的網(wǎng)絡(luò)信息技術(shù)、數(shù)據(jù)防泄漏技術(shù)、建立制度管理等多種手段，維護(hù)企業(yè)內(nèi)網(wǎng)數(shù)據(jù)的安全性，達(dá)到預(yù)期的數(shù)據(jù)安全管理目的。

關(guān)鍵詞：企業(yè)數(shù)據(jù)? 數(shù)據(jù)安全? 安全隱患? 防護(hù)舉措。

中圖分類號：TP393.08? ? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識碼：A文章編號：1674-098X（2021）05（a）-0129-03

Discussion on Hidden Danger and Protection Measures of Enterprise Intranet Data Security

CHE Jiannv

（Hainan Branch of CNOOC （China） Co.， Ltd.， Haikou， Hainan Province， 570311? China）

Abstract： This paper proposes that the data security management of the enterprise intranet， we should strictly carry out the enterprise network security management， computer terminal data security protection， important and sensitive data private network management， and so on. We hope to fundamentally prevent the hidden danger or deficiency of data damage， loss and leakage inside and outside the enterprise， and make full use of the advanced network information technology， data leakage prevention technology， data security management， establish system management and other means to maintain the security of enterprise intranet data， to achieve the expected purpose of data security management.

Key Words： Enterprise data; Data security; Security risks; Protective measures

隨著互聯(lián)網(wǎng)和信息技術(shù)的發(fā)展，企業(yè)在從業(yè)務(wù)數(shù)據(jù)化到數(shù)據(jù)業(yè)務(wù)化的發(fā)展進(jìn)程中快速實(shí)現(xiàn)全面數(shù)據(jù)化轉(zhuǎn)型，數(shù)據(jù)逐漸成為企業(yè)重要乃至核心資產(chǎn)。雖然企業(yè)數(shù)據(jù)的重要性、價值性日益提升，但仍然存在巨大的安全隱患，以下內(nèi)容針對企業(yè)內(nèi)網(wǎng)數(shù)據(jù)面臨的安全隱患和防護(hù)舉措展開討論。

1? 企業(yè)數(shù)據(jù)

廣義上的企業(yè)數(shù)據(jù)指所有與企業(yè)經(jīng)營相關(guān)的信息、資料，包括公司概況、產(chǎn)品信息、經(jīng)營數(shù)據(jù)、研究成果等，其中不乏涉及商業(yè)敏感信息，這類信息是不為公眾所知悉、能為權(quán)利人帶來經(jīng)濟(jì)利益、具有實(shí)用性并經(jīng)權(quán)利人采取保密措施的技術(shù)信息和經(jīng)營信息，如公司的重要決策、經(jīng)營規(guī)劃、合同、客戶資料、設(shè)計、程序等，如若損壞、遺失、公開，會給企業(yè)造成某種損害或潛損害。隨著計算機(jī)系統(tǒng)在各行各業(yè)的普遍應(yīng)用，企業(yè)的各類數(shù)據(jù)主要以電子文件的形態(tài)，在不同的設(shè)備（終端、服務(wù)器、數(shù)據(jù)庫、網(wǎng)絡(luò)、移動端、云端）上存儲、傳輸、應(yīng)用。

2? 數(shù)據(jù)安全

數(shù)據(jù)安全，就是保障數(shù)據(jù)全生命周期的安全與處理合規(guī)。全生命周期包括數(shù)據(jù)的收集、使用、存儲、傳輸、披露、跨境轉(zhuǎn)移、銷毀等;安全包括保密性（保障數(shù)據(jù)不被未授權(quán)的用戶訪問或泄露）、完整性（保障數(shù)據(jù)不被未授權(quán)的篡改）、可用性（保障已授權(quán)用戶的合法訪問數(shù)據(jù)的權(quán)利）。本文所述數(shù)據(jù)安全是指廣義上的“以數(shù)據(jù)為中心的安全”，更重視發(fā)現(xiàn)數(shù)據(jù)存儲位置的能力;數(shù)據(jù)在不同情況下可訪問、修改、阻斷等策略的能力;阻止數(shù)據(jù)泄露或非授權(quán)使用的能力;對數(shù)據(jù)使用異常行為監(jiān)測發(fā)現(xiàn)的能力。

3? 安全隱患

3.1 人員數(shù)據(jù)安全意識薄弱

在企業(yè)運(yùn)營過程中，部分人員數(shù)據(jù)安全意識薄弱，對數(shù)據(jù)的重要性、敏感性、合規(guī)性等缺乏足夠的安全認(rèn)識，出現(xiàn)弱口令、孤本存儲、明文存儲高敏信息、隨意轉(zhuǎn)發(fā)數(shù)據(jù)等，導(dǎo)致數(shù)據(jù)遺失、泄漏等事件頻發(fā)。

3.2 數(shù)據(jù)安全管理制度體系不完善

企業(yè)未建立數(shù)據(jù)安全管理制度體系，或雖建立制度體系，但未能嚴(yán)格落實(shí)安全責(zé)任和規(guī)范操作流程，未對數(shù)據(jù)資產(chǎn)識別梳理，進(jìn)而制定分類分級管理體系等，也是導(dǎo)致數(shù)據(jù)安全隱患的主要因素。

3.3 缺乏有效的網(wǎng)絡(luò)信息安全技術(shù)

缺乏網(wǎng)絡(luò)安全軟硬件配置管理，缺少網(wǎng)絡(luò)邊界防護(hù)、無法監(jiān)管員工上網(wǎng)行為、沒有及時更新殺毒軟件、沒有做好數(shù)據(jù)冗余備份、災(zāi)難備份等，導(dǎo)致企業(yè)遭受網(wǎng)絡(luò)攻擊、黑客入侵時，引發(fā)數(shù)據(jù)安全事件。

3.4 數(shù)據(jù)泄露

數(shù)據(jù)泄露是企業(yè)數(shù)據(jù)安全的最大隱患。數(shù)據(jù)盜竊是信息泄露最常見的原因之一，是指竊取存儲在公司設(shè)備終端、服務(wù)器，以及數(shù)據(jù)庫上、云端等任何有價值信息的行為，可能發(fā)生在組織內(nèi)部和組織外部。除了數(shù)據(jù)竊取，企業(yè)數(shù)據(jù)泄露還有其他以下常見原因：很多重要文件和科研成果都分散存儲在個人電腦上，無法集中管控，無法控制數(shù)據(jù)外泄;員工離職會帶走公司的重要信息和資料，無法有效控制;文件共享過程中，無法控制使用者的權(quán)限，給數(shù)據(jù)安全造成巨大隱患;企業(yè)移動U盤丟失，導(dǎo)致數(shù)據(jù)信息泄露;重要文件由于沒有保護(hù)措施，很容易外泄，給公司造成巨大損失;數(shù)據(jù)庫漏洞被黑客攻擊而遭受企業(yè)數(shù)據(jù)泄露等[3-4]。這些信息泄露可以是無意的，也可以是有意的。網(wǎng)絡(luò)時代，數(shù)據(jù)的泄露途徑主要包括：網(wǎng)絡(luò)木馬、病毒與黑客攻擊導(dǎo)致敏感信息泄露;工作軟件自帶的通訊功能造成敏感信息泄露;網(wǎng)絡(luò)存儲過程引發(fā)的敏感信息泄露等。企業(yè)發(fā)生信息泄露后可能會損失金錢、客戶、多年來一直在從事的知識產(chǎn)權(quán)及企業(yè)良好的聲譽(yù)等。

4? 防護(hù)舉措

4.1 加強(qiáng)企業(yè)內(nèi)網(wǎng)安全管理

企業(yè)通過部署態(tài)勢感知平臺、上網(wǎng)行為管理、防火墻、漏掃工具、數(shù)據(jù)庫日志審計、系統(tǒng)入侵防護(hù)系統(tǒng)等多種網(wǎng)絡(luò)安全設(shè)備，并制定和發(fā)布完善、高效的網(wǎng)絡(luò)安全策略，提升企業(yè)整體網(wǎng)絡(luò)安全。同時，企業(yè)局域網(wǎng)內(nèi)各計算機(jī)終端也是存儲企業(yè)信息數(shù)據(jù)的主要載體之一，需加強(qiáng)計算機(jī)終端安全管理。通過發(fā)下組策略，強(qiáng)制用戶設(shè)置強(qiáng)密碼并定期更新;搭建WSUS服務(wù)器，及時推送系統(tǒng)補(bǔ)丁更新;部署終端安全管理系統(tǒng)，實(shí)時動態(tài)掌握企業(yè)內(nèi)網(wǎng)里的計算機(jī)終端情況，啟用網(wǎng)絡(luò)訪問控制、殺毒軟件檢查及病毒庫更新等，加強(qiáng)計算機(jī)終端安全管理。

4.2 加強(qiáng)企業(yè)內(nèi)網(wǎng)計算機(jī)終端數(shù)據(jù)安全防護(hù)

部署數(shù)據(jù)防泄漏系統(tǒng)對辦公網(wǎng)計算機(jī)的敏感信息進(jìn)行檢查和防泄漏[5]。數(shù)據(jù)防泄漏系統(tǒng)定期掃描計算機(jī)中的文件，對于存在敏感內(nèi)容的文件，系統(tǒng)及時上傳審計記錄;員工在使用互聯(lián)網(wǎng)（包括郵箱、網(wǎng)盤和即時聊天工具等）外發(fā)文件涉及敏感信息時，自動彈出對話框提示前操作存在泄密風(fēng)險，并且話框中提供兩種擇方式：繼續(xù)發(fā)送、禁止發(fā)送，同時系統(tǒng)上傳審計記錄;對郵件的標(biāo)題、內(nèi)容、附件傳輸發(fā)送敏感信息的方式進(jìn)行審計和攔截;對通訊工具的聊天的內(nèi)容、附件輸發(fā)送敏感信息的方式進(jìn)行審計和攔截;對上傳到網(wǎng)盤和云盤包含敏感信息的文件進(jìn)行審計和攔截。

4.3 建設(shè)用于處理重要數(shù)據(jù)的專用網(wǎng)絡(luò)

通過對企業(yè)數(shù)據(jù)資產(chǎn)識別梳理，進(jìn)而對企業(yè)數(shù)據(jù)進(jìn)行分類分級管理。對于企業(yè)特別重要的、屬于企業(yè)核心商業(yè)秘密的敏感信息的數(shù)據(jù)，應(yīng)在專用網(wǎng)絡(luò)內(nèi)存儲和應(yīng)用。該專用網(wǎng)絡(luò)與企業(yè)辦公網(wǎng)絡(luò)物理隔離。如專用網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)要與指定的設(shè)備、單位進(jìn)行數(shù)據(jù)交互，文件的傳輸不受影響，可部署相應(yīng)的安全設(shè)備，利用安全隔離技術(shù)使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)連接兩個獨(dú)立的主機(jī)系統(tǒng)，實(shí)現(xiàn)兩個隔離網(wǎng)絡(luò)之間的信息交換，如圖1所示。

4.4 加強(qiáng)企業(yè)專用網(wǎng)絡(luò)的計算機(jī)數(shù)據(jù)安全防護(hù)

通過對專用網(wǎng)絡(luò)內(nèi)終端計算機(jī)的移動存儲介質(zhì)和打印刻錄機(jī)進(jìn)行管控和審計、計算機(jī)非法外聯(lián)時阻斷報警等安全防護(hù)手段，提高專網(wǎng)內(nèi)計算機(jī)數(shù)據(jù)安全防護(hù)。打印刻錄管控與審計主要對文件全生命周期的各環(huán)節(jié)進(jìn)行安全處理和管控，同時建立審計、日志系統(tǒng)，對文件的安全流轉(zhuǎn)進(jìn)行全程監(jiān)控。移動存儲介質(zhì)管理可實(shí)現(xiàn)只有通過標(biāo)簽認(rèn)證的U盤才能在專用網(wǎng)中使用，從而實(shí)現(xiàn)對移動存儲介質(zhì)中的數(shù)據(jù)進(jìn)行保護(hù)和加密，還可對移動存儲介質(zhì)進(jìn)行使用范圍授權(quán)、訪問控制等綜合的管理。開啟計算機(jī)主機(jī)監(jiān)控與審計功能，并采取雙因素認(rèn)證方式，如采用USB key+PIN碼進(jìn)行身份鑒別。

4.5 加強(qiáng)企業(yè)數(shù)據(jù)安全、保密制度體系建設(shè)和培訓(xùn)

隨著企業(yè)越來越多的使用移動辦公，以及云技術(shù)越來越普及、物聯(lián)網(wǎng)應(yīng)用爆發(fā)式增長，企業(yè)所面臨的數(shù)據(jù)安全風(fēng)險成倍放大。但是，很多企業(yè)還沒有充分意識到數(shù)據(jù)安全形勢的嚴(yán)峻，防護(hù)力量普遍不足的問題。我們必須“雙管齊下”，一方面通過自主創(chuàng)新為企業(yè)數(shù)據(jù)安全提供更加可靠的技術(shù)支持;另一方面加強(qiáng)企業(yè)相關(guān)制度建設(shè)，落實(shí)數(shù)據(jù)安全責(zé)任，加強(qiáng)宣傳和培訓(xùn)，提升員工安全意識、保密意識，提高數(shù)據(jù)防泄漏、防丟失技能，從管理上堵住數(shù)據(jù)安全風(fēng)險[6]。

5? 結(jié)語

綜上所述，近年來企業(yè)在生產(chǎn)運(yùn)營過程中，經(jīng)常發(fā)生網(wǎng)絡(luò)被黑客攻擊、入侵而發(fā)生數(shù)據(jù)泄露、數(shù)據(jù)損壞，或因公司內(nèi)部數(shù)據(jù)被盜竊、員工無意識的數(shù)據(jù)泄露、數(shù)據(jù)存儲不得當(dāng)導(dǎo)致數(shù)據(jù)不可用等安全隱患問題，對企業(yè)高效、安全的運(yùn)行管理，以及知識產(chǎn)權(quán)管理、管理策略、客戶管理等方面產(chǎn)生了不利的影響。為了確保企業(yè)重要數(shù)據(jù)的安全性，在工作中應(yīng)注重考慮如何防范來自不同方向、不同領(lǐng)域的數(shù)據(jù)安全威脅，積極運(yùn)用先進(jìn)的網(wǎng)絡(luò)信息安全技術(shù)、管理手段，保證企業(yè)重要的、有價值的信息數(shù)據(jù)的安全。

參考文獻(xiàn)

[1] 黃遜.大型企業(yè)集團(tuán)信息安全管理體系研究[D].廈門：廈門大學(xué)，2019.

[2] 劉均超.石化企業(yè)安全管理系統(tǒng)的設(shè)計與實(shí)現(xiàn)[D].青島：山東大學(xué)，2019.

[3] 王磊.淺談計算機(jī)網(wǎng)絡(luò)信息安全中的數(shù)據(jù)加密技術(shù)[J].中國信息化，2021（2）：70-71.

[4] 馬紅霞，張樹周.基于計算機(jī)網(wǎng)絡(luò)信息安全中數(shù)據(jù)加密技術(shù)的研究[J].信息系統(tǒng)工程，2020（11）：62-63.

[5] 呂瑩.計算機(jī)網(wǎng)絡(luò)信息安全保密技術(shù)探討[J].科技創(chuàng)新與應(yīng)用，2021（11）：164-166.

[6] 羅麗.基于大數(shù)據(jù)的物流網(wǎng)絡(luò)信息安全管理方法研究[J].中國儲運(yùn)，2020（10）：134-135.