终端用户保障数据安全从何处入手

不能否认的是大量的终端计算用户执掌着各类关键数据的安全使用,这远超过信息中心的IT安全经理和下属员工们所能想象,所以这不是任何中央集权式的数据管理管理系统所能覆盖和保护到的。

信息化不得不让这些最终用户访问和使用这些关键的业务数据,即使在终端和大型机时代也是如此,这并不是数据安全管理方面的无奈,而消费类终端计算设备的普及更让业务数据变得无处不在。

信息安全总监和经理们的担子不轻啊,控管安全网关门户和内部安全管理系统往往被视为基础架构安全的一部分,强化各类应用平台和数据库安全无疑是在信息安全管理上前进了一大步,而最终用户端,看似简易,却无疑是信息安全获得成功的“最后一公里”。

如何确保最终用户能够保障其所访问和使用的关键数据呢?昆明亭长朗然科技有限公司James Dong说:建立内部集中式的安全管理系统,比如网络防病毒、补丁系统、信息资产管理和各类终端安全控管系统都有所帮助,但是并不足够,关键的问题在于终端系统的使用主角,即最终用户的安全水平需要得到相应的提升。

在早期的微机时代,信息数据的安全和存储介质密不可分,当年承担数据安全大任的3.5寸1.44M的软盘如今都已经成为进入了博物馆。今天也有一个怪异的现象是很多电脑带有DVD驱动器,即使DVD的容量已经远超3.5寸软盘,但人们已经很少使用它们。因为免费的线上存储都已经有了几个G,而且U盘之类的USB存储已经掉到白菜价。

您是否准备将所有计算终端的USB口都给封了呢?还是准备禁用所有的USB设备进入工作区域?如果在组织内部没有这么强大推动力量,您应该不能过于信任不管哪款终端安全管理工具。

因为数据失窃的渠道除了网络,还有USB设备,更有员工的手机和嘴巴。U盘的丢失或“借用”不是个案,USB设备如智能手机和平板电脑更是大量数据的载体,不封U口,不拿到USB芯片,重要的信息数据就这么分散。

给USB设备中的数据加密是个不错的方案,要让您的员工接受加密的理念,并且会使用加解密方案。

不说运营商和窃听器相中了您公司员工的手机,路人或许都会对电话中所谈的内容感兴趣,您没办法让员工在“指定时间和指定地点”谈论工作事务,您也没办法不让使用移动电话,能做什么呢?教育最终用户通过手机讨论机密信息时注意周边环境,防止窃听呢。

除去通过网络入侵的家伙们,也不USB设备,那些利用社交工程学方法进行电话诈骗的家伙们,冒充公检法、或者客户或者供应商,或拿出利益诱饵,几句话或一个钓鱼附件就放倒了您公司的员工,让其交出关键的信息数据。如何应对?教育员工如何识别和防范社交工程攻击啊。

您公司的员工偶尔也会出差吧?路途中处理紧急事务被周边人偷看了屏幕,或被窃取了笔记本电脑,那您公司的信息数据不一起也丢了吗?应该怎么办?告知员工如何保障在差旅时保障信息安全的最佳实践吧。

您公司的信息数据会随着计算终端到处跑,也会随着员工到处跑,不能囚禁这些数据、终端设备和员工,只能强化安全控管措施和加强对员工们进行足够的信息安全意识教育。

几人知晓系统及安全日志审查

IT人在进行故障排查时往往会检查系统、应用或安全相关的日志,特别是类UNIX系统管理员更是如此。而网络安全团队中意的类似SOC、审计等的中央日志管理系统会搜集、筛选、分析和整理关键系统和设备的运行日志,以便提供必要的信息安全事故预测、告警和报告。可是,对于桌面终端的普通用户,有没有必要了解这些理念和掌握这些技能呢?一次内部信息安全意识研讨会上,昆明亭长朗然科技有限公司的资深安全讲师Alice Wong提出这个问题。

尽管桌面安全管理并不难,可以说没有太多“技术含量”,但是却是信息安全管理中最为耗时耗力的工作内容。当形形色色的消费型计算终端出现在工作场所之后,自带计算设备BYOD便应运而生,无疑,这将让桌面安全管理难上加难。

在桌面终端安装客户端引擎,进而通过中央服务台,远程管理终端安全的系统往往会搜集系统的各类运行日志,不过这也不是最终用户需要了解的哦。

那到底有没有必要让桌面终端用户学会基本的日志检查和分析方法呢?这要看具体情况,Alice说,让终端用户学会检查和分析系统日志,除了能够帮助排差电脑故障之外,对信息安全事件的正确响应也会有很大帮助。

如同有的公司怕没有足够电脑经验的用户折腾坏电脑一样,有的公司也担心最终用户在安全响应上帮倒忙,的确,经验不足的用户如果自行调查和处理安全事故,可能会毁掉宝贵的入侵证据。

不过,也有另外一些公司为了节省IT资源,可能鼓励用户在IT问题上主动学习和探索,甚至让高级用户帮助入门用户自行解决简单的问题。当然,表现在信息安全事故处理上也是如此,他们乐意让用户快速报告安全事件和对事件进行简单的诊断,以便能够根据情况分配适当的安全事故响应资源。

孰是孰非?我们不能断下结论,这和企业文化和IT安全环境有关。不过,可以肯定的是,如果信息安全资源不是很充足,安全应急响应团队忙不过来的话,则需要教导最终用户简单的信息安全事故诊断和处理流程,当然系统和安全日志的分析就是必要的环节和步骤了。

几人知晓系统及安全日志审查呢?的确非IT背景的人员中难找出几个,是否需要让员工们知晓一些呢?当然有必要。不过,不需要将这些单独拿出,而在信息安全意识教育活动中,同信息安全事故报告及响应流程一起培训给员工,是正确的解决之道。