创新的科技让我们的日常工作变得更加轻松容易，同时，科技也让不怀好意的坏家伙们可以轻易窃取我们的机密数据。

不管如何，来自企业组织内外部的安全威胁是客观存在的，所以您不能心存侥幸和幻想，任何时候都需要加强安全内功，保护您的公司数据，确保公司不被入侵。

新时期下，自带计算设备BYOD逐渐开始热火，让消费性计算设备进入工作区域可能带来信息安全方面的隐患、造成管理方面的挑战、甚至引发纪律方面的混乱。昆明亭长朗然科技有限公司的安全分析师Bob Xue称：在对待BYOD方面，中小企业多数能够灵活处理，以节省IT开支和提升效率；大型公司往往会比较谨慎，因为法律遵循压力巨大，信息安全也伤不起。

尽管BYOD问题足以复杂到让我们问一句“元芳，你怎么看？”即使元芳再世，也只能回应一句“此事背后一定有一个天大的秘密。”这个天大的秘密核心就是关乎商业价值的业务信息数据的安全！

不少组织实施了自动化的信息资产管理系统和数据防泄露系统，不管这些系统功能有多强大，最终绕不过一个“人”的问题，因为它们毕竟要由人来操控和使用。为了弥补作为技术控管措施的各类系统的不足，我们将重点讨论管理方法，所以分享如下5招保障信息安全的绝世“武功”：

1.列出数据并进行安全等级分类
不管信息安全管理体系ISO 27001，还是等级保护，都过于强调信息“资产”或信息“系统”，而忽略了核心的信息“数据”。它们比较看重场所安全、设备安全、人员安全、网络安全、系统安全和应用安全等基础架构层面，这些对于保障“数据”的周边环境和平台安全很有帮助，但是显然没有抓住业务信息安全的核心问题所在。在数据安全保护方面，亭长朗然公司Bob建议制作一份详细的数据类别清单，并将它们按照业务的关联度、风险级别、机密性、完整性及可用性等划分安全等级。不同的数据安全保护级别需要不同的安全控管措施。这种理念应该不难被信息安全管理负责人理解，只是对象需换成支撑业务流程的数据信息。

2.确认各类数据的“所有者”
终极的情况一般来讲“所有者”会是一个集体组织，如公司等，要算到个人头上可能是董事会主席或总裁或法人，然而这并不符合信息安全管理的责任分解精神。不过国内的安全管理有“谁主管谁负责”、“谁经营谁负责”、“谁运行谁负责”之类的简单粗暴原则，这些原则一定程度上对安全管理的职责有了指定，但是并不够深入细致和科学，尤其是在组织内部容易造成扯皮，更会造成出了安全事故，无关人员也需承担被“株连九族”的连带责任。科学的方法是将数据所服务的业务流程关联，业务流程主管是数据的“所有者”，负责委派“主管、经营或运行”团队。而IT部门则应该是被委派的角色，这样，如果是IT系统或管理方面的安全漏洞或不足造成的问题，IT职责难咎；如果业务流程主管自身泄露或误操作造成安全事故，则不能怪IT保护不力。此外，在业务流程和IT范围内，还可以细分，方法也是一样的，在此不多谈论。

3.确认各类数据的“访问者”及所需“最少”权限
一旦组织架构变得庞大和臃肿，业务流程可能会变得异常复杂，想要梳理一番提升效率是比较有挑战性的。尽管这些貌似和安全关系不大，然而要保障安全却也需要对它们进行一番必要的梳理，要弄清楚这些数据的“访问者”，这里面主要是“用户”，当然也可能是一些相关的系统程序，如某个数据抓取应用如中间件什么的。理清这些“访问者”的同时，需要确认它们对数据的“最小”访问特权，最小特权是信息安全管理中的一个基本原则，和工作无关的附加的特权统统给去掉，可以减少由于“越权”可能造成的安全事故。此外，即使是某些“访问者”的权限失窃，最小权限原则也能帮助将损失限定在较小的范围内。

4.建立访问控制管理机制
明白了信息数据的“访问者”及所需的“最少”访问权限，接着在系统控管层面设置访问控制列表是顺理成章的事情。具体的操作当然应该由专业的信息科技团队成员来完成，IT被认为是“主管、经营或运行”团队，那应该由谁来发起呢？可以利用简单的IT服务管理流程，正确的方式是由“访问者”或相关授权人员提出申请，“所有者”进行审批，而“运行者”进行访问控制权限的设置。

5.对数据访问进行日志记录和定期审计
大型组织里，业务流程和信息系统时刻都在进行缓慢的变化，人员也在不断流动之中，难免会有不合适或未及时清除的访问权限，这就需要我们定期来审计访问控制权限的设置。为了及时发掘和响应未授权的数据访问请求，对数据访问日志进行适当的记录审计也是必须的。这点理念和其它信息系统访问的管理类似，相信不难被读者们所理解。

这里，细心的读者发现我们并没有列出诸如“加密”、“备份”等等保障数据安全的常规措施，也未细谈业务信息架构设计和商业流程逻辑安全、应用平台和数据库安全等方面，不可否认的是保障商业的安全，与多方面的因素都悉悉相关，财务审计方面乐于从业务控管下手，信息科技方面乐于从基础架构开始，中间部分的数据安全则是需要较多互动的核心部分，往往却成为真空，或被人们所忽视。

本文的目的便是提醒朋友们注重信息数据安全的保护，需从管理出发，需和业务流程以及各类人员结合起来。实际上，要说到人员，在技术和管理控管层面之外，仍然很缺乏的是信息安全意识的教育。昆明亭长朗然科技有限公司是信息安全意识教育行业的领袖企业，借助对信息安全管理的深入理解，可以将专业知识技能充分利用起来，帮助客户有效防范来自内外部的各类安全威胁，建立和实现全面的立体化数据信息安全保障控管体系，进而通过保障业务的持续性运行，使客户的基业得以长青。

云计算的安全问题是一个热门话题，它应该包括用来保护云计算相关的基础架构、应用程序和数据安全的一系列控制措施，包含技术以及流程，市面上也有不少基于云计算的安全软件或安全服务，尽管业界通常认为这不是来保护云计算的安全，也会使用云安全概念。

和云计算相关的安全问题要么在最终用户方，要么在云计算服务提供方。云计算服务的提供者必须确保基础架构的安全，这些包括数据中心的物理安全、虚拟硬件平台的安全，如果提供应用程序服务，还需要保障应用程序的安全，在运行于这些云系统服务之上的客户的数据安全保护方面，当然也会有，并且应该有一定的安全措施。

在云计算服务的客户方，要确保运云提供商已经实施了适当的安全控制措施，以便能更好保障应用程序和数据的安全，由于虚拟化的原因，客户方不需要接触到公有云的数据中心和各类硬件设备，所以他们会担心云厂商的硬件和操作系统的安全问题，此外还会担心虚拟化软件系统的安全、以及云服务商的安全能力问题。

总体来说，云计算安全会落到几个要点：1.合约，2.隐私及安全，3.法律遵循。

在合约层面，云计算最终用户会和服务商探讨双方的权利和职责、产权归属以及服务中止等问题。需要明确发生安全问题时双方各需承担的责任，不再续约合同的时候如何交还或迁移客户的数据及应用程序等等，国内多数客户对IT服务的概念接受度还不够，相关法律不够健全，法务人员也缺乏这方面的经验，所以在合约层面想达成一致相对较难。

在隐私及安全层面，最终用户必须有自己可控的帐户管理系统来访问云计算及相关的信息资源，当然云服务商要确保经过身份验证的授权用户可以访问到云系统服务，包括应用程序和数据，在应用程序的安全方面，如果云服务厂商只提供计算平台即服务，则用户自己需负责应用程序的安全，如果云计算厂商提供了软件即服务，那必须保证基于云计算的软件系统的安全，举例讲，提供基于云计算的存储或数据库服务的，需保障数据存储软硬件平台的安全。云计算厂商要提供用户管理和针对数据安全的保护，不仅需要非常庞大的应用系统开发和运维力量，更需要及早将安全控管功能嵌入到云服务平台和应用系统之中。

在法规遵循方面，国内针对云计算安全的法规尚未成型，但会参考服务外包相关的规定，通常涉密行业受到严格监管，如果要外包或使用云计算，相关的云计算服务也需受到同样的监管要求，而且这些用户还需得到监管机构的审批，这些规定无疑会成为公有云计算在国内重点行业普及的障碍。另外，法规对审计方面的要求也非常高，但是目前对云计算相关的安全审计标准、指导和措施都不够成熟，另外云计算在建设初期往往只会关注功能的实现上，而忽略日志和记录的维护，这也需要引起重视。

简单总结一下，大型企业级用户使用公有云计算的路子还很长，一方面是安全问题难以解决，另一方面，即便是使用私有云，大量数据和应用的迁移也会耗费多年的时间。而国内多地政府主导的公有云计算目前多侧重于计算能力和平台即服务上，往往是政绩项目，在应用和安全方面明显乏力；由互联网大腕投资的云计算也多侧重于网站建设及电子商务相关领域，显然满足不了大型组织的复杂企业应用要求，最终注定公有云计算服务只能停留在较低层面的计算平台、空间租用或简单的大众化应用，也只能吸引来自非涉密行业、个人、家庭及中小企业买家的关注。

要解决上述云计算普及的最大障碍，关键是加强云计算服务商和潜在大客户的安全意识教育，让卖家了解如何提供安全的云计算服务，如何做好服务，让买家了解如何挑选安全的云计算，如何管理外包服务，只有双方都清楚了这些，才能可能进行下一步的沟通，才有合作的可能。

不能渴求立法和监管机构在产业尚未成型时便做出可操作性的规范或指南，向云计算的变革过程必定要经历一段动荡期，能获得大量客户并保留住这些客户的云计算厂家，一定是那些能证明自己的安全能力可以保护客户的应用程序和数据安全的，而要达到这一点，唯有从全体员工的信息安全意识教育抓起。