使用国外信息服务的安全隐患探讨

一直以来,美国在IT领域内的创新引领全球,其它国家只有紧紧跟随的份儿,在网络信息安全领域亦是如此。不过,通常出于“国家安全”战略需要,不少国家都对美国IT公司的深度扩张表示忧虑。

海湾战争时期,美军通过安装后门芯片的打印机感染和破坏了伊拉克的电脑系统,伊朗核武器受到的Stuxnet蠕虫攻击更是受到了美国或以色列等国政府的资助。

不少IT系统设备天生存在安全漏洞,恶意攻击者和国外厂商可以轻松利用这些安全漏洞远程发送摇控指令,窃取机密信息数据、进行安全渗透攻击或实施破坏活动。

而“云计算”时代,美国可以仗着其创新科学技术和领先管理水平,提供极具价格竞争力的云计算服务。但是云计算有个最敏感的问题便是信息数据的远程存储和托管,相信这个信任问题在美国国家内部也有顾虑,但美国毕竟是信用体系相对发达的地区。

尽管国内已经在“云计算”领域进行了大量的投资,但不可否认的是市场反映很冷淡,多数投资已经或即将继续“打水漂”。国家各相关部委早已经观察到国内本土“云计算”竞争力的不足,加之担心关系着“国家安全”的关键领域成为美国云计算的用户,便开始出来相关信息安全法规制度,限制或禁止这些领域使用未经国家相关机构认证授权的云计算服务。

不过,即使不谈托管在美国云计算上的信息服务,金融、电信、能源、交通等关键领域仍然使用着跨国公司及其国内代理商提供的大量信息咨询、系统集成和运营保障服务,跨国公司仍然很容易窃取到我国大量敏感信息数据。使用Google和Salesforce的服务更会让大量数据被存储到海外,进一步被跨国公司分析和利用。但是不使用Google便无法获取解决很多关键问题的信息,不使用Salesforce便会失去获得海外顾客的最佳网络渠道。

如果说种种对外资进入敏感领域的限制是一种国家保护主义的行为,我们相信也是政府出于无奈,又要扶持国内可信的企业获得足够的全球竞争力,又不能放开苛刻而低效的管制来提供崇尚创新与竞争的商业环境体系。

话说过来,即使这些真的对“国家安全”影响很大,我们也不可切断与国外的互联网络连接,更不能因此而拒绝使用国外的领先服务,否则无疑是类似关闭国门的愚蠢决策。信任是双方的,我们不信任他人,他人自然也不会轻易信任我们。人家通过各种渠道收集我们的信息和进行分析,是为了通过提供更好的服务来赚更多钱,只要是合法的渠道,这无可厚非,我们不能怪人家,只能从内部开始加强安全保密防范。此外,我们如果想拥有足够竞争力,也应该向外资学习,如果断了外资和我们接触和互动的渠道,我们如何学习领先的信息数据搜集和分析技术呢?如何了解海外顾客的潜在需要,如何改进产品和服务,进而获得更多国际市场呢?

再让我们看一看美国如何帮助政府机构以商业企业保护机密数据信息,首先颁布了严格的《经济间谍法》,将窃取或未经授权获得机密敏感信息数据定为犯罪,这是法律保障体系层面。其次,美国政府强化对职员进行安全意识教育,并力争将相关安全保密理念灌输给每位国民,这是在获得民众方面的广泛支持。

我国也制定了不少保密条例和信息安全法规,但是这些多数不被大众所知,只为少数精英阶层所了解。显然在不为大众所知的法规在被执行时会碰到困难,“有法不依”的关键原因在于普法教育不够。所以,无论是从国家层面,还是从公司、家庭和个人层面,我们都应该加强信息安全意识的教育和学习。

美国仍然把持着世界的经济秩序,我们不应该仅仅将中美敌对起来,而是要参与到世界秩序建设中来。只有敢于使用美国所提供的优质信息服务,才能有机会在国际秩序下争取和维护我们的权利,才能成为真正受到世界尊敬的大国。而信息安全,可能成为采用国外优质IT服务的政治顾虑,更可能会由于把握不好安全与政绩的平衡,而错过的发展和晋升的良机。

我们大可不必拒绝使用国外先进的科学技术和信息服务,而是需要加强机密信息的保密工作。要想在享受全球最优质服务体验的同时,又能保护到国家敏感数据信息的安全,则应该从安全意识教育抓起。

managed-security-services-and-awareness

移动计算及云计算时代的安全问题探讨

您所在的工作机构是否允许员工使用私人平板电脑或智能手机工作,以便其可以随时随地与办公室保持联系呢?如果答案是确定的,则说明是在顺应大势,紧随潮流。当然,如果答案是否定的,必定是对安全、保密及合规有深深的顾虑,也是可以获得理解和认可的。

私人设备允许员工在家中或路上灵活工作,从而使工作单位受益。虽然一些企业通过发放用于工作的移动设备来实现这一目标,但我相信这种做法将会减弱。千禧一代的年轻人对携带两台移动设备的概念不太能够接受或容忍,并且在使用单个设备进行个人和商业通信时更加舒适和高效。对此,昆明亭长朗然科技有限公司网络安全观察员董志军表示:移动计算与云计算的替代性越来越完善,当计算终端越来越普及,直到无处不在,随时随地可以连接到云服务之时,组织机构已经没有必要分发终端计算设备了,这些计算设备资产本身不值钱。因此,精明的公司将满足员工使用自己私有设备工作的愿望,包括允许他们使用安卓、iOS、Windows或其他任何移动平台或操作系统。

不过,世事都有两面,毫无疑问,从各种私人设备访问工作单位的数据,都会增加安全漏洞的风险,无论是来自黑客攻击,还是员工在不知不觉中下载的恶意软件和病毒。该如何兴利除弊呢?制定关于正当使用移动设备的政策,并向员工强调说明该如何保护驻留在员工的平板电脑或智能手机上的工作信息。

总之,允许员工在世界任何地方工作,可以带来很多好处,也有一些安全泄密隐患。通过一些安全管控方面的作为,可以使远程工作的体验变得既高效又安全。当然,所有的作为,都需要获得员工们的理解和支持。毕竟,员工们是移动工作的主体,移动计算设备是移动工具,端点安全是组织中普遍关心的问题,安全团队应该更广泛地考虑如何保护好终端的信息数据。

诚然,私有计算设备属于员工的资产,如果不关注终端设备保护,终端设备可能成为黑客或病毒等网络威胁进入企业网络、窃取关键信息的跳板;如果只关注设备保护而不是信息数据保护,那么工作单位就面临着巨大的人为因素造成信息失窃的风险。

当下,随着越来越多的设备上线,企业及其信息面临的风险不断增加。估计每年有百亿台配备微控制器的设备被部署在电器、设备和玩具中,这个数字还会不断增长,“高度安全”的物联网设备需要许多设备不具备的属性:基于证书的身份验证、自动安全更新、硬件信任根、防止代码错误的计算基础等等。

同时,云计算正在加速公司收集、处理、存储和使用信息的方式。随着公司过渡到混合基础架构,公司的数据在基于云的系统和本地系统中移动,无疑应该评估他们的端点安全策略,以确保数据在其所在的位置受到保护。身份保护是防范威胁的关键组成部分,企业级组织应通过启用双因素身份验证以减少攻击面、监控和处理安全警报以及使用基于风险的条件访问等解决方案自动修复威胁来增强用户的身份核验。

企业级组织机构必须保护数据在使用、传输和存储等多个生命周期状态下的安全,必须在敏感数据进入环境时对其进行发现和分类,根据策略应用保护,监控和修复威胁,并在数据在整个组织中传输时保持合规性,然后再报废和删除。这些安全控制过程有的可能由信息安全部门独自完成,然而,亦有很大部分需要得到终端用户的理解和支持。毕竟,员工们是信息系统的使用者,是信息数据的创建者和使用者。也就是说,组织机构应通过跨身份、设备、应用程序和数据以及基础设施的可见性、控制和指导来建立其安全态势,以管理其整个组织的安全策略并随着时间的推移改进安全实践。职工们有责任正当使用移动设备,无论是单位派发的,还是私人所有的。这就需要组织机构加强与职员们之间的安全沟通与培训。

昆明亭长朗然科技有限公司推出了大量的网络安全、信息保密及合规意识宣传教育内容,包括动画视频、平面图片和电子课件等各种形式的内容资源,其中也包含网络安全小游戏,以及互动式、场景式、案例式的教程模块,以及稳定可靠的在线培训平台(学习管理系统),欢迎有兴趣的客户及行业合作伙伴联系我们,预览作品、体验平台的功能以及洽谈采购合作。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com