不要抱怨用于推销和诈骗的电话、短信和消息，更不能责怪搜集我们资料的机构和个人不守信用，唯利是图，我们都是社会的一员，个人数据安全保护需从自我做起，相信我们每个人完全可以影响这个社会，甚至改变这不良的现状，所以有必要分享一些保密理念和实践经验，以帮助朋友们免受不必要的损失。

1.没有绝对的安全，俗话讲“要想人不知，除非己莫为。”就连谷歌的创始人之一施密特也说“If you have something that you don’t want anyone to know, maybe you shouldn’t be doing it in the first place.”所以一方面，做人要正直有道德，做企业要守法经营；另一方面，能不留下痕跡的，尽可能不要留下，除非你认为那些信息数据在未来还有用，要么，就不要让这些秘密数据生成，所有的数据在记录、存储、传输和处理的过程都有可能丢失。

2.虽然没有绝对的安全，但是可以通过努力达到相对的安全。即使我们光明正大，但是也会有个人隐私或企业赖以生存和发展的机密数据，当然它们需要得到相当级别的保护，最终目的是保护我们自己，我们的亲友和尊贵客户、防止恶意的攻击者及赢得市场竞争中的领先地位。

3.现在我们明白了，有些东西需要重点保护，有的则无所谓，甚至有的则希望天下人都知道。我们的哪些东西需要得到特别的保护，只有我们自己知道，我们把重心放在这里；次要的或无所谓的东西也需给予一定的重视，因为它们多少和需要重点保护的东西有关联。这几年政府大力推行信息分级保护也是同样的思想，一个国家如此，个人和企业也是如此。

4.说了这多“废话”，招数在哪儿呢？在分享一些实用招数之前，现在让我们换一个角色，变成想获取我们的机密信息的“敌人”，知己知彼，百战不殆。想一想，有哪些方法可以获得对方的机密呢？最简单的不过是直接去索取啦！不要觉得这个方法太傻，确实有人会笨到诚实地告知，兵不血刃，不战而胜，难道不是最高的境界吗？用安全行业的术语来讲，这叫社会工程学，或社交工程学，它是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势。社会工程学陷阱就是通常以交谈、欺骗、假冒或口语等方式，从合法用户中套取用户系统的秘密。

那么，如何才能很好的防范呢？昆明亭长朗然科技有限公司个人信息安全保护顾问董志军说：答案是我们得变得比对方更加的谨慎和聪明，首先要谨慎，小心行的万年船，对方向你索取东西的时候，别像个奴隶一样乘乘就范，有三条需要检验的：（1）号称的对方是不是真的对方；（2）对方的真实目的是否正当；（3）对方是否有适当的权限来索取。其次要聪明，道高一尺，魔高一丈，不断学习和了解社会工程学的原理及发展趋向，克服人性的弱点，常用的那些招数就如同手机中奖诈骗一样变得脆弱无力。

5.或许您会说“社会工程学防范，也算是招数？”不过当它和其它攻击方法结合起来就不容易防御了，现在继续我们的攻击者角色，好说歹说对方就是不干，看来软的不吃，咱只能来硬的了。问题是对方软的不吃，可能会加强硬的方面的防范，现在我们面临的困难更大，可是困难也代表着机遇，而机遇总是垂青有准备的人，我们要准备什么呢？俗话讲“磨刀不误砍柴功”，我们当然是要“磨刀”了，踩点、搜集对方尽可能多的公开或半公开的信息、进行一些初步的扫描探测。公司网站、个人网站、博客、论坛、往来客户和供应商、业务伙伴、社交圈、新闻媒体、搜索引擎、校友录、同学录、人才网站等等总会露出些些蛛丝马迹。接下来分析这些信息，制定我们的制胜战略，结过充分的策划和详密的准备工作后，我们要开始像网络黑客一样对目标发起攻击！

到这儿，我们明白了，要保护机密信息防止丢失，是一套系统化的工程，需要我们平时做好个人信息的保密工作，提供个人资料给第三方时，不管是通过网上登记还是拿笔填调查表或申请表，要留心这些信息的使用条款，要知道哪些会公开，哪些会受到保护，尤其注意保护关键的信息如联系方式和信用卡号码。

6.现在，我们知道，暴露的越多，越可能成为攻击者的目标，也越容易让攻击者得逞，坚定的攻击者会搜集我们不小心透露出去的信息，我们不会轻易地告诉互联网我们的生日；我们也不会轻易地告诉媒体我们的最新战略以及最近正在紧密研发中的创新性产品和服务。除此之外，我们还需要更多的了解常见的攻击方式及应对方法。最常见的就是物理攻击，破了你家的门或公司的窗进行偷窃是最原始的做法了；也有攻击者会假冒物管、送水工、清洁工、快递员、政府主管部门、内部员工、客户或商业合伙伙伴等等，进入您家或公司，进而接近和窃取您的关键数据。应对方法也比较多，把家和公司分为不同的安全区域，对有机密信息的某些重要的区域加强防守、不允许他人未经许可而进入或打开，这是最基本的思想；另外，机密文件的传输比如打印和传真需要约定的时间在终端即时取走；丢弃不用的文件要确保彻底粉碎及删除，防止只为能得到您丢的几张纸而时刻守护在楼下的垃圾桶旁的坚定攻击者。

7.上述这些基本的物理安全访问控制相信大家都会有认识，现在我们不会把打印的公司邮件或移动硬盘放在桌面上，也会留意办公室内部或周围有没有可疑的人员逗留。进一步还需要在数据本身的逻辑保障上。笔记本失窃的新闻屡见不鲜，笔记本电脑本身可能值不了多少钱，但上面的数据的丢失可能会给个人或企业带来巨大的损失。不怕一万，就怕万一，当电脑放在安全区域或锁起来的物理措施失效之后，加密是降低损失的一大法宝。幸好有加密这种近代安全技术的基础，我们得以相对安全地存储、处理和传输机密数据。如果不掌握和灵活应用这些基本的加密方法确实对不起前人的科学贡献，市面上大部分的电脑都已经支持主板BIOS加密和硬盘加密，进入CMOS设置，使用复杂的密码，启用它们吧！如果您还不知道复杂密码的含意，请寻找相关的指南。

8.主板和硬盘的加密会让电脑在丢失之后，电脑里的数据可以得到一定程度的安全保护，电脑本身的BIOS密码可能很容易被清除，硬盘的密码也可能会被成功破解，或绕过。虽然坚定的攻击者、审计和监察人员都有一套侦察和破解的工具，前面的加密工作仍会给他们带来一些阻挠甚至令其望而却步。除了对电脑硬件的加密外，进一步，是对存储信息的加密，新的操作系统大都支持硬盘、分区和文件不同级别的加密，也有不少应用程序如办公软件和压缩软件已经支持对文件夹和文件的加密，启用它们，会大大提升安全性。

9.操作系统的密码很容易被破解，办公软件和压缩软件密码破解程序也随手可得，另外它们也存在或时常会被发现一些安全漏洞，如在打开加密的办公文件和压缩文件时会在系统的临时文件中存一份，而这些临时文件存放硬盘中，所以也是很容易被找到或恢复出来的。这需要我们：一、时常或定期清除系统临时文件，最好安装自动清除的软件由它帮忙；二、将临时文件夹加密，让那些删除文件恢复软件无用武之地；随便提一下，这两招对于防止别人分析我们本地的上网记录进而保护上网隐私也很有用。另外，我强烈推荐大家使用专门的加密软件，这些专门的加密软件会帮忙建立一个加密硬盘分区或加密文件柜（虚拟分区），我们可以将大量的文件放进文件柜，而且随时可以凭密码、智能卡或密码文件打开或关闭文件柜，也很方便将整个文件柜以加密的方式进行备份。更有趣的是，有些加密软件甚至可以帮忙在文件柜上弄个假的文件柜，当攻击者将刀架在您的脖子上的时候，您可以打开假的文件柜以瞒天过海。推荐使用免费的TrueCrypt或商业的BestCrypt。

10.在文件的存储上，在线存储已经很流行，所谓云计算的存储即服务，对知名的厂商如谷歌的安全存储似乎可以放心，我们要注意的是账号安全、权限设置和传输安全的问题，如果我们的密码被人窃取、搜索引擎很容易找出我们上传的文件、任何人都可以下载我们上传的文件，那存在云上的机密文件不是很危险？所以给出几点建议如下：一、在线系统密码，要够复杂和各不相同；二、不要随意与人或搜索引擎分享上传的文件；三、高保密性的文件先经过本地加密后再上传；四、选择提供通讯加密的正规成熟的知名厂商，对常见的网络服务启用加密传输如HTTPS,FTPS,SSH,POP3S,SMTPS等，如发现在用户登录系统过程都未加密，建议马上换一家服务提供商，否则，即使密码再复杂，在明文传输的过程中很容易被截取。

11.在电脑系统的生命周期的最后，会出现类似我的老同学的要求——回收处理旧的电脑中的数据，简单的方法是物理破坏，比如拿锤子将硬盘砸了，不过这种做法不够经济；使用彻底删除的软件如Eraser来帮忙，这些软件的工作原理在原有的存储空间里反复多次清除和填充随机的数据。

12.补充一下，对于机密邮件，在传输和本地存储方面的加密还不够，我们需要采用端到端的加密方法如免费的GPG或商业的PGP，它们会支持更高级的加密和身份验证功能，在传输机密文件时非常有用。

13.最后，对客户终端安全和应用服务端安全的保障不是我们本次讨论的内容，不过却和个人机密数据的保护密切相关，可以参考此前关于保障个人信息安全的话题。

简单总结一下，通过提升安全意识、加强物理防范、落实加密措施、慎选服务商及提升终端安全等几招，可以帮助我们更好地保护人个机密信息。昆明亭长朗然科技有限公司有多部保障家庭及个人信息安全的互动小游戏，希望能够给您更多的启发。此外，我们也开发制作了数百部安全、保密与合规相关教程及动画视频，员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验，便可了解基础的安全防范理念。欢迎各类型的客户联系我们，预览作品和洽谈采购使用。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898

越来越多的中小企业的业务开始更多的依赖信息系统和互联网，同时我们也看到由于信息安全管理的薄弱，太多的中小企业蒙受了重大的损失。因为大部分的中小企业安全意识普遍薄弱、资金投入相对有限而且技术力量匮乏，所以我们有必要讨论和分享一些知识和经验给中小企业的信息科技职能管理者。

我们将综合全面地讨论保障中小企业机密数据和关键系统的理念与方法，避免安全技术厂商为了诱使客户花钱而过份强调某些方面的技术控管措施的作法。

为什么要信息安全？

对于中小企业来说，讲一大堆的如机密性、完整性和可用性的安全理论总让人觉得安全专家很学究，需要同中小企业的业务经营结合起来讲，就更容易被理解和接受。

首先，保持数据的机密性，防止泄漏，企业的商业机密如核心产品或服务的开发、设计文档；客户的敏感信息如信用卡信息、订单信息甚至联系方式等，在市场竞争日益激烈的今天，关乎企业的生死存亡。

其次，保持数据的真实性和完整性，错误的或被篡改的不当信息可能会导致错误的决策或商业机会甚至信誉的丧失，企业需保证在电子商务世界中的诚信守法经营形象。

最后，信息的可用性，防止由于人员、流程和技术服务的中断而影响业务的正常运作，业务赖以生存的关键系统的失效，如不能得到及时有效的恢复，则会造成重大的损失。

简单点儿说，信息安全是为了保护中小企业的业务持续运作，帮助中小企业有效应对各类威胁到信息安全机密性、完整性和可用性的因素。

信息安全战略规划 
或许对中小企业来讲，战略规划一类的词汇会有些夸张，不过，这方面往往是我们大量中小企业的弱点，也常是在处于起步创业或初成长阶段的中小企业容易忽略的地方。我们的方法通常是通过大量的实践，再提炼并升华为指导组织未来前进方向和商业行为的理论。当然，这种传统方法本身并没有错，只是成本太高，而且容易顾此失彼或本末倒置。

战略规划源自于目标的设定，由前面的讨论可知，中小企业的信息安全目标很简单，简单一句话：通过保护数据来保护业务。首先要做的是找出和企业生命息息相关的信息数据、给这些数据加以分类、给这些数据委派给相应的所有人。

所有的数据应该有一个“所有者”，终极所有者多数是企业的老板，一般来讲，应该赋予业务单元和职能单元相应的所有权，有了这个“所有权”，才能让“所有者”担负起管理的职责。举例来讲，潜在客户信息的所有者应该为企业的销售总监，财务数据的所有者应该是财会部门的头儿，而企业专利权和研发机密则应分给“拥有”它们的工程或研发部的头儿。

常见的数据信息应该包括如商业数据如客户及合作伙伴信息，企业专利及其它智慧财产，财务数据如合同、订单，企业知识库如产品、服务相关文档，网络及系统相关配置等。根据业务的不同，各家企业的数据并不限于上述列举的这些。

找出这些信息之后，需要给它们分个安全级别，分级的目的就便于有轻重地对待，即制定保护战略。不需要分太多级别，一般分三个：一、限制级，这是敏感级别最高的，只能有极少数有需要的人员得知，如研发机密，这些如果暴露，会危及企业存亡；二、机密级别，企业内部及可信合作伙伴才可分享，如果暴露给大众尤其是商业竞争对手，企业可能会遭受一定的损失；三、公开文档，经管理层批复后可以公开发布的信息。

当今的数据存储媒介和传输方式可谓非常的丰富，除了纸介质之外，硬盘存取数据是最常见的了，而传统的磁性硬盘容易老化或损坏，首先我们的第一条策略是应用磁盘阵列，在十年前这东西还很昂贵，现在已经非常便宜，甚至市面上有很多非常成熟和简便的产品供我们选择。磁带、光盘备份也是我们传统的做法，如果考虑到以前的投资的话，可以继续坚持使用一些时间；此前没有太多投资的话，现在明智的选择是使用移动介质，小量数据可使用U盘，MP3之类的备份或使用互联网在线存储备份服务，数据量太大的话，可以采用移动硬盘定期和当有重大变动是机动备份。这里需要提醒的是：备份后的数据要放在一个和主要数据物理点不同的、有隔一段距离的、安全的地方，这样，即使比如办公室出现比如被窃或失火的意外，在家里保存的备份数据不会一同遭到毁灭的恶运。

对于中小企业来讲，互联网的优势也体现在物流、现金流和数据流的融合。数据流动或传输的方式太多，电子邮件或许是最频繁的，但是要注意，用它传输机密数据可需要慎重考虑和加强保护。即时通讯与点对点传输，这也是近来非常流行的做法，在不能全部封锁使用的情况下，选择性的开放和加强安全控管必不可少。电子数据交换协议和文件输协议，对于需交换大量文件的特定行业很常用，它们和电子邮件一样，多数在互联网上以明文形式传输，需要对其安全性深加考虑，建议用密文的方式传输。直接连接交换数据如在线支付，近年来越来越挑战着传统的支付方式，大有取代之势，数据的传输量较小，且支付平台安全措施相对稳固，如会提供认证和传输加密措施，但需保证终端和帐户的安全，直接数据交换对中小企业的难度在于开发或采购、管理和维护一套可以提供安全传输的系统给供应商、商业合作伙伴及客户等，所以使用实力强的对方或中间服务商的系统不适为一种不错的战略选择，比如现在有不少基于互联网的服务系统可供中小企业租用。虚拟专用网络，好处是让明文数据得到加密传输，不至于在互联网上裸奔，对于远程办公或出差用户是个不错的方案。其它的特殊方式针对特定行业，如移动设备和远程拨号，虽然显得有些土，但是相对的也是比较可靠的传输方式，而一些支付卡相关的行业，则会面临遵循如支付卡行业数据安全标准PCI-DSS之类的国际标准，只有达到严格要求才能维持和扩大事业的版图。

现在我们了解到了要保障同我们的业务密切相关的数据的存储和传输安全的一些基本战略，但是还不不够，因为安全是成体系的，关键的核心数据需要多层的防护。下面我们将一起学习一些安全控管的理念和常用方法，灵活适当地运用这些理念和方法，可以有效用和效率的保护核心数据的安全，从而达到一个投入和产出的最佳平衡。

一、建立信息安全的政策、标准和指南。企业的管理层需要指定信息安全保障的大方向，采用国际流行的安全管理体系标准来搭建企业内相关的标准、指南和流程框架是比较推荐的做法，除了可以用于引导企业自身外，也有助于加强客户及商业合作伙伴的信心，甚至也是对商业竞争者的优势。

二、安全意识培训。信息安全的方针策略和支持流程需要被所有员工接受，安全是整个企业的目标和责任，所以所有员工必需清楚明白可以做什么，不可以做什么。入职培训、定期再培训考核、特岗培训等各种方式都需要灵活地采用。

三、建立严格的访问控制。前面数据分级时有制定数据的“所有者”及给敏感数据进行分级，按照分级的要求制定严格的访问控制策略，基本的思想是最小特权原则和权限分离原则。最少特权是给定使用者最低的只需完成其工作任务的权限；权限分离原则是将不同的工作职能分开，只给相关职能有必要让其知道的内容访问权限。访问控制的设定也需要灵活进行，得考虑具体的业务特点，不当的安全设置的反面后果可能会影响到员工工作的主动积极性并且增加控制管理的成本。访问控制里面包含物理区域的隔离，账号及权限的管理等工作。

四、加固相关的系统。支撑关键数据流的相关的网络、系统设备及应用平台，当然也需要适当的保护。但是这些系统的本身安全性可能不高，另外也会时常发现新的问题，这就需要我们加强它们，常见的做法是进行仔细和严格的配置、删除不必要的默认开放的服务、及时安装补丁修复已知漏洞等等，具体的操作指南往往系统的厂商和安全组织会提供，并附有检查清单，我们的管理和技术人员应一起制定并执行相应的加固流程，如系统安全加固流程及指南，补丁管理流程等。除了上述的动作之外，甚至可以考虑做一下扫描探测及模仿攻击以检验加固的成果，有相关的软件如Nessus和Metasploit等系统，这些对技术人员的专业水平要求一般较高，建议企业有必要的话可以购买相关的商业安全服务。

五、日常监控。定期定时和不定期的检查系统安全的运行情况是必不可少的，一方面可以检查我们此前的安全保护工作是否到位，另一方面可以发现一些异常的安全情况及早采取相应的措施。日常监控工作包括看看系统的负载、检查和分析系统的日志记录，建立及运作适当的报告及安全事故响应流程等。也有一些监控工具可以采用，如基于主机或网络的入侵检测与监控及防御系统等，企业可以根据情况进行采购。

六、内部安全管理。在这儿实际上不是那么好区分出来内网和外网，实际上我们也没有必要太细分。不过既然是多层防御体系，前面讲了加固相关的支持业务运作的网络和应用系统，在这儿，我们还是分出个桌面安全和网关安全来吧，桌面和网关的保护范围不同，理念和方法倒是很类似。

第一步，先出台相应的互联网使用策略，在策略的指导下好进行相关的技术控制，我们大部分的中小企业缺乏这个简单的文件，往往是发现并认为某些用户有什么不当的互联网使用时才开始从技术上来限制，这种做法本末倒置，现在我们急需将这一策略文件补起来，并及早告知用户，哪些网络使用行为是企业可接受的，比如工作站必需安装授权的防毒软件、员工允许访问其执行工作必需的系统应用；哪些是不做限制的，如可以访问工作相关但并不是完成工作绝对必要的一些资源；哪些是不鼓励但在某些条件下不严格限制的，如中午休息时可上网看看新闻及天气等；哪些是禁止的，如访问不良网站、非授权攻击网络及多线程下载等。在制定了相关安全使用网络的策略并同用户沟通如进行培训之后，要确保策略得以贯彻执行，定期检查和通报应用情况可以将这些政策精神变为企业文化，用户的安全意识得以提升，其它的安全技术控管工作也会更容易。

第二步，部署防病毒、防恶意软件、防火墙等，经过这多年的病毒事件后，今天我们都能接受这是基本的安全防范措施，传统的安全厂商的防毒产品都已经非常成熟，赛门铁克、趋势科技、McAfee、瑞星、金山软件等纷纷推出了一系列专门针对中小企业的安全解决方案，有单机版，几台机器的版本，人数极少的话，直接买几台机版安装即可；软件也分为防病毒、互联网安全和客户端安全，其中，客户端安全包含防病毒和一些其它的组件，如防火墙、防垃圾邮件、防入侵、应用程序控制、上网保护等，当然建议使用客户端安全，因为互联网的安全状态不断恶化，单纯的防病毒并不能达到足够的安全保障。互联网安全产品的功能和客户端安全差不多，主要为家庭用户设计，如是个人公司也可以考虑，它们的差别在于客户端安全支持集中管理，这对于人数较多的中型企业很有用，因为人数较多的话，有必要部署网络版的防病毒系统，网络版的好处是集中管理，包括设定客户端的安全策略、集中更新病毒代码库、制定病毒扫描计划、监控企业防病毒状况等。另外，新近流行的云安全可以让中小企业省去安装网络版而直接在网上“租用”，也是个不错的方法，在线病毒扫描如趋势科技的HouseCall等也都是好工具，可以帮助发现和清除病毒。除了传统的安全厂商之外，IT的厂商也有提供相关的方案，如微软的Windows防火墙、恶意软件清除工具、WindowsDefender等也都是不错的工具，可以免费安装并提升桌面系统的安全性。

第三步，加密和备份数据，在桌面的客户端，多少会有不少重要的数据分布和存储，可参简单的招数帮您保护个人机密数据。

第四步，网络边缘防护，即所谓的边界安全防护，主要是应对来自互联网的威胁，保护的范围包括整个网络，一般分布在因特网接入的位置，所以也可称为网关安全。传统的网关安全包括许多组件如：防火墙、入侵检测与防御、虚拟专用网络、网关防病毒和上网内容过滤等。如果分开部署各系统，成本会比较高昂，并且会让网络变得复杂、难以协调兼容性和排差故障；好的消息是近些年来一体化的安全网关技术和产品已经很成熟和稳定，对中小企业来讲，目前有不少整合型的统一威胁管理（UTM）产品可供选择，整合型的系统的好处是降低了成本，并且简化了网络部署和管理，所以从多层次安全防护体系的角度来讲，统一威胁管理是网关设备的不二选择。这里需要说明的是，统一威胁管理设备虽然保护了整个内部网络防范外部攻击，但是它对内部网络之间的安全问题如内部蠕虫攻击内部主机却无能为力，所以桌面的安全也必不可少。另外，由于统一威胁管理虽然和桌面客户端安全的原理类似，但是却需要较高的技术水准，技术力量比较薄弱的中小企业可以考虑外包给专业的管理服务提供商。

第五步，内部网络行为监控和规范，和我们上述的日常监控类似，通过对内部网络行为的监控可以规范内部的上网行为，提高工作效率，不但可以保护内部资源不受外部网络的侵犯，同时可以阻止内部用户对外部不良资源的滥用。统一威胁管理系统基本都提供这些功能，政府相关主管部门也要求企业记录和保留相关的上网行为以备日后侦察和断案使用。

七、业务持续性计划。由于中小企业关注的重点始终是客户，所以针对防灾的备份尤其重要。系统的可用性不仅仅局限在信息安全保护的层面，更是关系企业的信誉和长久存在及发展，除了采用如前文所讲的对重要文件进行异地备份外，相关的支撑系统也要考虑冗余，如电力、网络接入、异地系统及代替性服务等都应提早考虑并建立和测试相应的计划，并需和前文所讲安全事件响应流程结合起来，不断教育和培训员工直到成为企业文化的一部分。

讲了这一些，因为每家中小企业都不一样，可能这次提供的仍然不够允分，我们会继续不断地分享专业的知识和技能，希望能继续得到中小企业的不断支持和鼓励。

昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频，员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验，便可了解基础的安全防范理念。欢迎各类型的客户联系我们，预览作品和洽谈采购使用。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898