越来越多的中小企业的业务开始更多的依赖信息系统和互联网，同时我们也看到由于信息安全管理的薄弱，太多的中小企业蒙受了重大的损失。因为大部分的中小企业安全意识普遍薄弱、资金投入相对有限而且技术力量匮乏，所以我们有必要讨论和分享一些知识和经验给中小企业的信息科技职能管理者。
我们将综合全面地讨论保障中小企业机密数据和关键系统的理念与方法，避免安全技术厂商为了诱使客户花钱而过份强调某些方面的技术控管措施的作法。
为什么要信息安全？
对于中小企业来说，讲一大堆的如机密性、完整性和可用性的安全理论总让人觉得安全专家很学究，需要同中小企业的业务经营结合起来讲，就更容易被理解和接受。
首先，保持数据的机密性，防止泄漏，企业的商业机密如核心产品或服务的开发、设计文档；客户的敏感信息如信用卡信息、订单信息甚至联系方式等，在市场竞争日益激烈的今天，关乎企业的生死存亡。
其次，保持数据的真实性和完整性，错误的或被篡改的不当信息可能会导致错误的决策或商业机会甚至信誉的丧失，企业需保证在电子商务世界中的诚信守法经营形象。
最后，信息的可用性，防止由于人员、流程和技术服务的中断而影响业务的正常运作，业务赖以生存的关键系统的失效，如不能得到及时有效的恢复，则会造成重大的损失。
简单点儿说，信息安全是为了保护中小企业的业务持续运作，帮助中小企业有效应对各类威胁到信息安全机密性、完整性和可用性的因素。
信息安全战略规划
或许对中小企业来讲，战略规划一类的词汇会有些夸张，不过，这方面往往是我们大量中小企业的弱点，也常是在处于起步创业或初成长阶段的中小企业容易忽略的地方。我们的方法通常是通过大量的实践，再提炼并升华为指导组织未来前进方向和商业行为的理论。当然，这种传统方法本身并没有错，只是成本太高，而且容易顾此失彼或本末倒置。
战略规划源自于目标的设定，由前面的讨论可知，中小企业的信息安全目标很简单，简单一句话：通过保护数据来保护业务。首先要做的是找出和企业生命息息相关的信息数据、给这些数据加以分类、给这些数据委派给相应的所有人。
所有的数据应该有一个“所有者”，终极所有者多数是企业的老板，一般来讲，应该赋予业务单元和职能单元相应的所有权，有了这个“所有权”，才能让“所有者”担负起管理的职责。举例来讲，潜在客户信息的所有者应该为企业的销售总监，财务数据的所有者应该是财会部门的头儿，而企业专利权和研发机密则应分给“拥有”它们的工程或研发部的头儿。
常见的数据信息应该包括如商业数据如客户及合作伙伴信息，企业专利及其它智慧财产，财务数据如合同、订单，企业知识库如产品、服务相关文档，网络及系统相关配置等。根据业务的不同，各家企业的数据并不限于上述列举的这些。
找出这些信息之后，需要给它们分个安全级别，分级的目的就便于有轻重地对待，即制定保护战略。不需要分太多级别，一般分三个：一、限制级，这是敏感级别最高的，只能有极少数有需要的人员得知，如研发机密，这些如果暴露，会危及企业存亡；二、机密级别，企业内部及可信合作伙伴才可分享，如果暴露给大众尤其是商业竞争对手，企业可能会遭受一定的损失；三、公开文档，经管理层批复后可以公开发布的信息。
当今的数据存储媒介和传输方式可谓非常的丰富，除了纸介质之外，硬盘存取数据是最常见的了，而传统的磁性硬盘容易老化或损坏，首先我们的第一条策略是应用磁盘阵列，在十年前这东西还很昂贵，现在已经非常便宜，甚至市面上有很多非常成熟和简便的产品供我们选择。磁带、光盘备份也是我们传统的做法，如果考虑到以前的投资的话，可以继续坚持使用一些时间；此前没有太多投资的话，现在明智的选择是使用移动介质，小量数据可使用U盘，MP3之类的备份或使用互联网在线存储备份服务，数据量太大的话，可以采用移动硬盘定期和当有重大变动是机动备份。这里需要提醒的是：备份后的数据要放在一个和主要数据物理点不同的、有隔一段距离的、安全的地方，这样，即使比如办公室出现比如被窃或失火的意外，在家里保存的备份数据不会一同遭到毁灭的恶运。
对于中小企业来讲，互联网的优势也体现在物流、现金流和数据流的融合。数据流动或传输的方式太多，电子邮件或许是最频繁的，但是要注意，用它传输机密数据可需要慎重考虑和加强保护。即时通讯与点对点传输，这也是近来非常流行的做法，在不能全部封锁使用的情况下，选择性的开放和加强安全控管必不可少。电子数据交换协议和文件输协议，对于需交换大量文件的特定行业很常用，它们和电子邮件一样，多数在互联网上以明文形式传输，需要对其安全性深加考虑，建议用密文的方式传输。直接连接交换数据如在线支付，近年来越来越挑战着传统的支付方式，大有取代之势，数据的传输量较小，且支付平台安全措施相对稳固，如会提供认证和传输加密措施，但需保证终端和帐户的安全，直接数据交换对中小企业的难度在于开发或采购、管理和维护一套可以提供安全传输的系统给供应商、商业合作伙伴及客户等，所以使用实力强的对方或中间服务商的系统不适为一种不错的战略选择，比如现在有不少基于互联网的服务系统可供中小企业租用。虚拟专用网络，好处是让明文数据得到加密传输，不至于在互联网上裸奔，对于远程办公或出差用户是个不错的方案。其它的特殊方式针对特定行业，如移动设备和远程拨号，虽然显得有些土，但是相对的也是比较可靠的传输方式，而一些支付卡相关的行业，则会面临遵循如支付卡行业数据安全标准PCI-DSS之类的国际标准，只有达到严格要求才能维持和扩大事业的版图。
现在我们了解到了要保障同我们的业务密切相关的数据的存储和传输安全的一些基本战略，但是还不不够，因为安全是成体系的，关键的核心数据需要多层的防护。下面我们将一起学习一些安全控管的理念和常用方法，灵活适当地运用这些理念和方法，可以有效用和效率的保护核心数据的安全，从而达到一个投入和产出的最佳平衡。
一、建立信息安全的政策、标准和指南。企业的管理层需要指定信息安全保障的大方向，采用国际流行的安全管理体系标准来搭建企业内相关的标准、指南和流程框架是比较推荐的做法，除了可以用于引导企业自身外，也有助于加强客户及商业合作伙伴的信心，甚至也是对商业竞争者的优势。
二、安全意识培训。信息安全的方针策略和支持流程需要被所有员工接受，安全是整个企业的目标和责任，所以所有员工必需清楚明白可以做什么，不可以做什么。入职培训、定期再培训考核、特岗培训等各种方式都需要灵活地采用。
三、建立严格的访问控制。前面数据分级时有制定数据的“所有者”及给敏感数据进行分级，按照分级的要求制定严格的访问控制策略，基本的思想是最小特权原则和权限分离原则。最少特权是给定使用者最低的只需完成其工作任务的权限；权限分离原则是将不同的工作职能分开，只给相关职能有必要让其知道的内容访问权限。访问控制的设定也需要灵活进行，得考虑具体的业务特点，不当的安全设置的反面后果可能会影响到员工工作的主动积极性并且增加控制管理的成本。访问控制里面包含物理区域的隔离，账号及权限的管理等工作。
四、加固相关的系统。支撑关键数据流的相关的网络、系统设备及应用平台，当然也需要适当的保护。但是这些系统的本身安全性可能不高，另外也会时常发现新的问题，这就需要我们加强它们，常见的做法是进行仔细和严格的配置、删除不必要的默认开放的服务、及时安装补丁修复已知漏洞等等，具体的操作指南往往系统的厂商和安全组织会提供，并附有检查清单，我们的管理和技术人员应一起制定并执行相应的加固流程，如系统安全加固流程及指南，补丁管理流程等。除了上述的动作之外，甚至可以考虑做一下扫描探测及模仿攻击以检验加固的成果，有相关的软件如Nessus和Metasploit等系统，这些对技术人员的专业水平要求一般较高，建议企业有必要的话可以购买相关的商业安全服务。
五、日常监控。定期定时和不定期的检查系统安全的运行情况是必不可少的，一方面可以检查我们此前的安全保护工作是否到位，另一方面可以发现一些异常的安全情况及早采取相应的措施。日常监控工作包括看看系统的负载、检查和分析系统的日志记录，建立及运作适当的报告及安全事故响应流程等。也有一些监控工具可以采用，如基于主机或网络的入侵检测与监控及防御系统等，企业可以根据情况进行采购。
六、内部安全管理。在这儿实际上不是那么好区分出来内网和外网，实际上我们也没有必要太细分。不过既然是多层防御体系，前面讲了加固相关的支持业务运作的网络和应用系统，在这儿，我们还是分出个桌面安全和网关安全来吧，桌面和网关的保护范围不同，理念和方法倒是很类似。
第一步，先出台相应的互联网使用策略，在策略的指导下好进行相关的技术控制，我们大部分的中小企业缺乏这个简单的文件，往往是发现并认为某些用户有什么不当的互联网使用时才开始从技术上来限制，这种做法本末倒置，现在我们急需将这一策略文件补起来，并及早告知用户，哪些网络使用行为是企业可接受的，比如工作站必需安装授权的防毒软件、员工允许访问其执行工作必需的系统应用；哪些是不做限制的，如可以访问工作相关但并不是完成工作绝对必要的一些资源；哪些是不鼓励但在某些条件下不严格限制的，如中午休息时可上网看看新闻及天气等；哪些是禁止的，如访问不良网站、非授权攻击网络及多线程下载等。在制定了相关安全使用网络的策略并同用户沟通如进行培训之后，要确保策略得以贯彻执行，定期检查和通报应用情况可以将这些政策精神变为企业文化，用户的安全意识得以提升，其它的安全技术控管工作也会更容易。
第二步，部署防病毒、防恶意软件、防火墙等，经过这多年的病毒事件后，今天我们都能接受这是基本的安全防范措施，传统的安全厂商的防毒产品都已经非常成熟，赛门铁克、趋势科技、McAfee、瑞星、金山软件等纷纷推出了一系列专门针对中小企业的安全解决方案，有单机版，几台机器的版本，人数极少的话，直接买几台机版安装即可；软件也分为防病毒、互联网安全和客户端安全，其中，客户端安全包含防病毒和一些其它的组件，如防火墙、防垃圾邮件、防入侵、应用程序控制、上网保护等，当然建议使用客户端安全，因为互联网的安全状态不断恶化，单纯的防病毒并不能达到足够的安全保障。互联网安全产品的功能和客户端安全差不多，主要为家庭用户设计，如是个人公司也可以考虑，它们的差别在于客户端安全支持集中管理，这对于人数较多的中型企业很有用，因为人数较多的话，有必要部署网络版的防病毒系统，网络版的好处是集中管理，包括设定客户端的安全策略、集中更新病毒代码库、制定病毒扫描计划、监控企业防病毒状况等。另外，新近流行的云安全可以让中小企业省去安装网络版而直接在网上“租用”，也是个不错的方法，在线病毒扫描如趋势科技的HouseCall等也都是好工具，可以帮助发现和清除病毒。除了传统的安全厂商之外，IT的厂商也有提供相关的方案，如微软的Windows防火墙、恶意软件清除工具、WindowsDefender等也都是不错的工具，可以免费安装并提升桌面系统的安全性。
第三步，加密和备份数据，在桌面的客户端，多少会有不少重要的数据分布和存储，可参简单的招数帮您保护个人机密数据。
第四步，网络边缘防护，即所谓的边界安全防护，主要是应对来自互联网的威胁，保护的范围包括整个网络，一般分布在因特网接入的位置，所以也可称为网关安全。传统的网关安全包括许多组件如：防火墙、入侵检测与防御、虚拟专用网络、网关防病毒和上网内容过滤等。如果分开部署各系统，成本会比较高昂，并且会让网络变得复杂、难以协调兼容性和排差故障；好的消息是近些年来一体化的安全网关技术和产品已经很成熟和稳定，对中小企业来讲，目前有不少整合型的统一威胁管理（UTM）产品可供选择，整合型的系统的好处是降低了成本，并且简化了网络部署和管理，所以从多层次安全防护体系的角度来讲，统一威胁管理是网关设备的不二选择。这里需要说明的是，统一威胁管理设备虽然保护了整个内部网络防范外部攻击，但是它对内部网络之间的安全问题如内部蠕虫攻击内部主机却无能为力，所以桌面的安全也必不可少。另外，由于统一威胁管理虽然和桌面客户端安全的原理类似，但是却需要较高的技术水准，技术力量比较薄弱的中小企业可以考虑外包给专业的管理服务提供商。
第五步，内部网络行为监控和规范，和我们上述的日常监控类似，通过对内部网络行为的监控可以规范内部的上网行为，提高工作效率，不但可以保护内部资源不受外部网络的侵犯，同时可以阻止内部用户对外部不良资源的滥用。统一威胁管理系统基本都提供这些功能，政府相关主管部门也要求企业记录和保留相关的上网行为以备日后侦察和断案使用。
七、业务持续性计划。由于中小企业关注的重点始终是客户，所以针对防灾的备份尤其重要。系统的可用性不仅仅局限在信息安全保护的层面，更是关系企业的信誉和长久存在及发展，除了采用如前文所讲的对重要文件进行异地备份外，相关的支撑系统也要考虑冗余，如电力、网络接入、异地系统及代替性服务等都应提早考虑并建立和测试相应的计划，并需和前文所讲安全事件响应流程结合起来，不断教育和培训员工直到成为企业文化的一部分。
讲了这一些，因为每家中小企业都不一样，可能这次提供的仍然不够允分，我们会继续不断地分享专业的知识和技能，希望能继续得到中小企业的不断支持和鼓励。
昆明亭长朗然科技有限公司开发制作了数百部安全、保密与合规相关教程及动画视频，员工们通过电脑、手机、平板等随时随地进行简单的移动式学习和体验，便可了解基础的安全防范理念。欢迎各类型的客户联系我们，预览作品和洽谈采购使用。
电话：0871-67122372
微信：18206751343
邮件：info＠securemymind.com
QQ: 1767022898
