企业数据安全管理方案

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,数据安全,数据安全泄露、防范、措施,一、企业数据安全管理,1,、无安全意识,大多数中小企业认为自己的数据无关紧要，加上对自己的员工信心满满，对数据防泄密措施置若罔闻，直到数据泄密给企业带来严重损失后才采取亡羊补牢的措施。,企业生产经营过程产生的任何数据，都是企业在日积月累中反复摸索出来的，无论是某个人的劳动成果，还是集体的劳动成果，都是企业的财富。一些貌似不紧要的数据和文件，其实在产生过程中都是付出了大量心血。因此，企业经营者一定要采取有效措施保护好这些数据财富的安全意识。,一、企业数据安全管理,2、企业应当建立有效规章制度和防范措施,企业应当制定相应的数据安全制度,企业自身应设定相应的数据安全防范措施,1、安装相应的硬件对数进行防范,2、安装加密软件对数据进行防范,3、日常数据安全防范,一、企业数据安全管理,3、有意识，嫌麻烦,有些企业在加装硬件或者加密软件后，过份担忧硬件或者加密软件给现状带来的冲击，比如担心安装后影响员工效率、使用起来比较麻烦等，最后项目就不了了之了。,企业数据防泄密措施与企业管理一样，也是要根据企业不同的发展阶段采用不同的手段的。如果只有几个创业者，完全可以靠自律保证数据的安全；而企业在快速发展过程中，数据的安全性和应用的灵活性必须同时兼顾。,一、企业数据安全管理,4、有措施，无管理,有些企业虽然上了硬件和加密软件，但仍然出现一些泄密事件，有人便开始怀疑硬件和加密软件是否有用了。硬件和加密软件不是地牢，为方便企业交流也会有审批及解密的功能，这些关口都是由人去掌握的，如果没有相应的管理措施，出现数据泄密甚至形同虚设也不足为怪。这就跟一个企业有大门，有保安，但大门总是开着，保安对进出人员不闻不问一个道理。,管理不当引起的失败尤其应引起企业的重视。管理方面主要有以下两个原因：,1.主管领导不重视。硬件、软件买来了，装上了，就不过问了，只有管理员在维护。有些中高领导还要求管理员开后门，甚至以各种借口卸载软件。慢慢地，数据的重要性就变得不重要了，加密软件也就可有可无了。,2.系统管理员经常换。硬件、加密软件的管理员掌握着企业数据仓库的钥匙，如果对其没有有效的监督，企业数据安全便没有保障。保持系统管理员的相对稳定，对其权限进行约束尤为重要。,二、数据泄露途径、防范措施,数据泄露途径,数据泄露防范措施,数据泄密统计分析表,数据泄密途径示意图,泄密途径具体分析,泄密的原因有内部泄密、内部失密和外部窃密。,1、内部人员离职拷贝带走资料泄密这类情况发生概率最高。,2、内部人员无意泄密和恶意泄密企业内部人员在上网时候不小心中了病毒或木马，电脑上存储的重要资料被流失的情况也非常多,3、外部竞争对手窃密竞争对手采用收买方式，买通企业内部人员，让内部人员把重要信息发送竞争方，从而窃取机密的情况也非常多。,泄密途径具体分析,4、黑客窃密目前国内许多黑客，通过层出不穷的技术手段，窃取国内各种重要信息。,5、存储设备丢失和维修失密 移动存储设备例如笔记本电脑、移动硬盘、手机存储卡、数码照相/摄录机等，一旦遗失、维修或者报废后，其存储数据往往暴露无遗。随着移动存储设备的广泛使用，家庭办公兴起，出差人员的大量事务处理等等都会不可避免地使用移动存储设备。因此，移动存储设备丢失和维修导致泄密也是当前泄密事件发生的主要原因之一。,例如,U,盘泄露数据,数据泄密统计分析表,数据泄露防范措施,1、切断源头，设立信息级别制度对公司的机密文件进行级别划分，确定机密文件传播的范围，让所有人了解信息的传播界限，员工由自身的岗位确定相应的信息级别，低层次的岗位级别不能查阅、了解、拷贝、接触到高层次的信息级别。,2、重视保密协议无规矩不成方圆，无论作用大小，和员工签署清晰的保密协议还是必要的。保密协议的内容越详细越好，如果对方心胸坦白，自然会欣然同意。,3、责任分解明确每个人对相关信息的安全责任。所有的机密文件如果出现泄露，可以根据规定找到责任人，追究是次要的，相互监督和防范才是责任分解的最终目的。,数据泄露防范措施,4、防病毒 计算机病毒一般都隐藏在程序和文档中。目前典型的防病毒技术就是对信息中的病毒特征代码进行识别和查杀。,5、VPN加密通道 虚拟专用网VPN需要通过不可信的公用网络来建立自己的安全信道，因此加密技术是重要的选择。,6、水印技术 水印技术是信息隐藏技术的一种。一般信息都是要隐藏在有一定冗余量的媒体中，比如图像、声音、录像等多媒体信息，在文本中进行隐藏比较少。水印技术是可以替代一般密码技术的保密。,安全措施小例,1、提示语：“请擦去黑板并将你所有的秘密文件处理掉，工业间谍在你之后预定了这一房间。”,2、办公区放置了碎纸机，员工需要将所有用过的废纸进行处理。,三、数据安全体系,物理层面,网络层面,系统层面,应用层面,管理层面,安全管理制度,业务处理流程,业务应用系统,数据库应用系统,身份鉴别机制,强制访问控制,防火墙,入侵检测系统,物理设备安全,环境安全,数据安全体系,物理层面,一、物理设备安全,1.1、服务器、路由器、交换机、工作站、打印机等硬件实体和通信链路免受自然灾害、人为破坏、和搭线窃听攻击。,1.2、验证用户的身份和权限，防止越权操作；,1.3、建立完备的机房安全管理制度，妥善保管备份文件和文档资料，防止非法人员进入机房进行偷窃和破坏活动等。,二、环境安全,2.1、确保网络设备有一个良好的电磁兼容环境，物理位置选择、物理访问控制、防盗和防破坏、防雷击、防火、防水、防潮湿、防静电、电力保障、电磁防护抑制和防止电磁泄漏，可以采用屏蔽措施和伪噪声技术等来解决。,网络层面,一防火墙,1.1、安装并开启防火墙,二、入侵检测系统,2.1、网络入侵检测的目的主要是监控主机和网络系统上发生的一切事件，一旦发现有攻击的迹象或其它不正常现象就采取截断、报警等方式进行处理并通知管理员，同时详细记录有关的事件日志，以备分析取证。它的实时监控和反应大大增强了网络系统的安全性。,2.2、入侵检测系统一般分为主机型和网络型，前者监控宿主机系统上的攻击特征，后者监控网络上有符合入侵特征的数据包，当前的入侵检测系统大多都可以与防火墙和反病毒软件连动，从而更有效地阻断黑客或病毒的入侵,系统层面,一、身份鉴别机制,1.1、建立用户和分配权限，定期检查用户实际权限与分配权限的符合性；,1.2、通过身份鉴别、访问控制等严格的规定限制远程管理账户的操作权限和登录行为；,1.3、明确各类用户的责任、义务和风险，对系统账户的登记造册、用户名分配、初始口令分配、用户权限及其审批程序、系统资源分配、注销等作出规定；,应用层安全,身份鉴别,访问控制,通信保密性,通信完整性,软件容错,资源控制,数据安全,数据完整性,数据保密性,数据备份与恢复,网络安全,结构安全和网段划分,网络访问控制,网络入侵防范,网络设备防护,恶意代码防范,主机系统安全,身份鉴别,自主访问控制,强制访问控制,系统保护,剩余信息保护,入侵防范,恶意代码防范,资源控制,四、企业数据安全防范,1、数据安全防范大纲,2、企业数据安全防范措施,3、企业职工数据安全防范措施,数据安全防范大纲,1,、保证企业数据财富的安全，一定是人防与技防并举，指望靠一个硬件或者一个加密软件解决所有问题，是企业信息化过程中很容易犯的低级错误。,用好硬件和加密软件的主要要素，最少应该包括如下三点：,1.,领导重视。要把企业数据看成财富和资产，有强烈的数据安全意识，建立制度并监督执行。,2.,建立制度。用制度规范不同岗位职责和数据流向，时刻提醒员工扣紧数据安全这根弦。,3.,做好服务。出现使用问题及时处理，出现业务冲突及时解决，但必须保证数据是安全的。,企业数据安全防范措施,1,、强化安全保护意识，加强计算机及系统本身实体的安全管理。,2,、建立健全企业信息安全管理制度和操作规程制度建设是确保企业信息安全的关键。,3,、结合自身硬软件、数据和网络等方面实际情况，提高工作人员安全意识通过设置身份限制，对不同设备设置访问权限，对于各子系统工作人员每人设置一个账号，并且每个账号设置口令，并要求定期进行更改口令。,4,、企业数据安全简单说主要分为是防御和恢复两个部分，防御就是安装一些杀毒软件，服务器防火墙等等，恢复的话主要就是数据的备份，已经数据的恢复。,企业职工具体数据安全防范措施,1、打印机打印时人必须在跟前，防止走开别别人复印泄露信息。,2、打印纸背面提醒：重要文档不要戴着节约的帽子，就顺手纳入到废物利用的行列！,3、电脑易手了解新公司最好的渠道,提醒：电脑部的管理人员必须将工作资料清空再格式，小心驶得万年船，况且这只是举手之劳。,4、共享做好文件再通知窃取者,提醒：要么不用共享，要用的话，记住删除你的共享文件，或者提示一声“拷完就删”。,5、新进培训无所保留只会有所失望,提醒：培训是好事，但对新员工而言，重要的是基础培训，而不是一切信息告知。,企业职工具体数据安全防范措施,6、公用设备不等于公用信息，例如移动硬盘公用，那数据可能会泄密。,7、光盘刻录资料在备份过程中流失,要求重新备份，大多情况下，留在光驱里的“废盘”就可以在下班后大大方方带出公司。,8、会议记录被忽视的黄金,提醒：行政要有安全意识。,9、应该按照一定的规则设置桌面系统的登录密码，并且定期修改，减少登录密码泄露或被破解的可能性。,10、定时清除IE浏览器的临时文件夹，可以防止部分敏感内容的泄露。,企业职工具体防范措施,11、为防止恶意代码植入系统，预防计算机病毒感染，在收到来历不明的电子邮件时，应注意不要随意打开邮件，并立即予以删除。,9、禁止在未经授权的情况下，私自修改系统的计算机命名标识和网络配置。,10、禁止在未经授权的情况下，私自安装任何应用软件，在获得授权后，只允许安装与工作有关的正版应用软件。,11、禁止访问互联网上与工作无关或来历不明的站点，禁止从互联网下载与工作无关的文件。,四、系统运维管理,ISO27001信息安全管理体系标准,数据安全应急方针,数据安全防范措施,数据安全硬件启用方针,ISO27001,信息安全管理体系标准,数据安全应急方针,数据安全防范措施,运维,1、指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；,2、根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；,3、进行网络系统漏洞扫描，对发现网络系统安全漏洞进行及时的修补；应保证所有与外部系统连接均应得到授权和批准；,4、建立网络安全管理制度，对网络安全配置、网络用户以及日志等方面作出规定；,5、对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求；,数据安全防范措施,运维,6,、明确各类用户的责任、义务和风险，并按照机构制定的审查和批准程序建立用户和分配权限，定期检查用户实际权限与分配权限的符合性；,7,、对日志的备份、授权访问、处理、保留时间等方面做出具体规定，使用统一的网络时间，以确保日志记录的准确；,8,、通过身份鉴别、访问控制等严格的规定限制远程管理账户的操作权限和登录行为；,9,、定期检查违反规定或其他违反网络安全策略行为。,10,、指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户；,数据安全防范措施,运维,11、制定系统安全管理制度，对系统安全配置、系统帐户以及审计日志等方面作出规定；,12、对能够使用系统工具的人员及数量进行限制和控制；,13、定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份；,14、根据业务需求和系统安全分析确定系统的访问控制策略，系统访问控制策略用于控制分配信息系统、文件及服务的访问权限；,15、对系统账户进行分类管理，权限设定应当遵循最小授权要求；,数据安全防范措施,运维,16,、对系统的安全策略、授权访问、最小服务、升级与打补丁、维护