大部分智能移动终端中含有敏感数据

计算终端越来越轻巧,网络接入也无处不在,移动工作成了商业趋势,笔记本电脑、上网本、超级本等等成了高效办公人士的工作必备,而平板电脑和智能手机更是成为商务人员路途之中不可或缺的随身伙伴。

在人们享受着高效和便利的同时,是否忘了保障敏感数据信息的安全呢?昆明亭长朗然科技有限公司的一项安全调查表明:多数公司员工会在笔记本电脑或智能移动终端中存储敏感数据,当然,这些设备甚至可能都是首要的工作设备,PC行业近几年的笔记本电脑出货量已经超越台式机便是一个侧面的例子。

实际上,不管移动计算终端是否是首要工作设备,只要是用于工作,多少都有一些敏感数据,比如产品和服务相关的文档以及电子邮件等等。而消费型电子设备的热潮让自带计算设备BYOD成为工作场所的一项安全挑战,以往往公私分明的界限越来越显得模糊。

同时,当数据游离于传统的边界网络保护之外时,就需要强化对终端的安全控管,让终端具备必需的互联网边界保护实力,问题是终端用户往往并非安全方面的专家,即使给他们最好的工具,也需要培训他们必要的基础知识和使用工具的技能。

实际上,我们看到不少公司都有提供各类终端安全技术产品如防病毒和个人防火墙等等,但是它们没有得到正确的安装、没有得到及时更新、被刻意绕过、被禁用或被卸载都是常见的情形。这些终端用户可能会认为这些安全控管措施限制了互联网的应用并且造成了一些终端计算设备的性能低下。虽然运行任何一种程序都会耗用一些计算资源,但是终端用户对待安全控管措施的这些态度和行为说明安全意识沟通不足。

首先,需要制定移动终端安全相关的政策标准,您的组织是否有移动计算设备使用的相关政策标准或规章制度?有四分之一的大型公司已经专门针对移动终端的使用制定了相关的安全策略。

其次,昆明亭长朗然科技有限公司认为,需要强化对终端用户进行移动设备的安全基础理念和技能培训教育,这些工作的紧要性应该超越终端安全控管系统的部署规划和安装实施。特别是在保护敏感信息数据方面,需要强化几点:首先,保障设备存储的加密,如果终端支持,则需启用硬盘密码和访问密码;其次,在应用层面,也应该保障数据的加密和访问控制,不少设备都有文件加密的应用程序,当然也有不少应用有数据加密功能,只需启用它们;在数据通讯方面,必须考虑使用加密通信,以防止数据被窃听或中途截取甚至篡改,简单的方案是教育用户使用VPN加密所有工作流量。

移动设备信息数据的安全与公司的核心竞争力以及商业成功越来越密不可分,让员工们具备必要的移动终端安全意识和技能,是安全管理层非常紧迫的工作目标之一。

员工安全培训帮助实现终端安全以及法规遵循

当今的各类组织面临着一系列的安全挑战,包括终端安全、法规遵循和自带计算设备BYOD等等。通过实施必要的网络安全控管措施,比如常见的内网安全套件、桌面安全套件,网络信息系统管理员可以实现一定程度的控管目标,但是通常并不足够充分。

网络信息安全技术和产品呈现整合趋势,各类控管措施的功能越来越强,随之的软件设置也越来越复杂,这将导致实现一种控管目标需要庞大的工作量,特别是细力度和动态的控管需求会让负责任的信息系统管理操作员精疲力竭,日程月累,最终系统管理员只能选择放弃那些复杂的系统设置。

实际上,多数网络安全控管系统并没有发挥其主要的功效,有的甚至成了摆设,终其原因,不是网络管理员技术不足或偷懒,而是没有处理好与相关人员之间的关系。拿上网行为管理系统来说,多数组织都没有明确的互联网使用安全政策,全凭IT部门的经理主管和系统管理员拍脑袋来制定各类网站的安全访问规则,这显然是很搞笑和不靠谱的。

此外,还有技术层面的问题,不少网络信息安全产品为了渗透市场,往往会添加同类产品的部分功能,但是又非核心功能,所以控管力度不精细,这就会出现为实现一个目标有多个控管措施,而多项 控管措施之间互相冲突和碰撞的问题,比如为了控制员工使用某些互联网聊天软件,有管理员喜欢添加到聊天服务器的虚假路由;有管理员喜欢从防火墙层面设置访问列表,屏蔽即时通讯服务的认证服务器和网络协议;有管理员喜欢在代理服务器设置访问限制,阻断相关的网络通讯流量;当然也有管理员喜欢使用上网行为管理或上网审计系统来进行相关的控制;还有管理员喜欢从桌面应用安全策略上进行相关的设置……

不要指望这些冲突和碰撞在科技不断创新的大潮中会减少,相反,在竞争日益白热化的市场,即使冲突和碰撞不会变得严重,也会增加信息系统、网络信息安全控管和法规遵循的复杂度,最终让控管本身变得得不偿失。

实际上,市面上多数的网络安全产品都是多余的,至少并没有太大的必要去实施,特别对那些没有明确的安全方针政策和标准的组织更是如此,安全服务价值的接受度不高逼使安全厂商拼命研发和制造安全控管产品,进而通过忽悠客户来“创造”新的市场需求,这显然是本末倒置,“屁股指挥大脑”的一种网络信息安全市场怪相。

要解决终端安全以及信息安全相关的法规遵循问题,就要摆正信息安全中关于流程Process、技术Product和人员People的关系,三者相辅相成,缺一不可。不过现状是在安全控管流程Process方面,市场对安全管理咨询服务和安全解决方案设计服务等等的接受度高,但愿意花钱的不多;在人员People的安全资质和防范技能方面,认识到通过必要而适当的安全意识教育来提升员工安全水平的很多,但知道如何有效建立和实施信息安全培训方案的很稀少。

相比被市场牵着鼻子实施安全硬件设备又将其闲置,加强信息安全方面的软实力,对员工进行信息安全意识教育和培训,可以减轻网络信息安全系统管理员的工作负担,更能在节省资源的情况下获得更良好的终端安全控管绩效。而信息安全法规遵循不仅重点看各类安全方针政策和标准流程,更注重核查相关的记录和结果,以及否有人员参与必要的安全意识培训和流程沟通活动之中。