公司信息安全现状风险评估及风险控制措施课件

公司文档信息安全现状风险评估及风险控制措施同洲公司信息安全部.公司文档信息安全现状风险评估及风险控制措施同洲公司信息安全部1公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page2公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析2血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面我们的看得见的公司资产被如此公然“盈利”，看不见的电子信息资产呢？更“惨不忍睹”！.血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出3血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面我们的重要信息资料，被批量在网上肆意流转…….血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出4血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面事态严重到无法容忍，我们拿起了法律和道德的武器。可是，没有发现的呢？蚂蚁搬家式逐渐流失的呢？……案件N:基地仓库被盗……案件N+1:物料单信息流失，物料被私下领取出卖……我们不能再坐以待毙！.血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出5公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page6公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析6公司重要信息资料主要来源自主投资研发的各类核心产品及技术机密信息跟随重点招募人才的、基于其知识及经验的各种专业技术及管理文档资料、流失后将带来重大商业隐患的各种信息同洲核心竞争力信息资产重大商业信息，如：1.产品及市场发展规划；2.重要商务合同及竞价信息；3.重要项目人员及骨干人力信息；4.外购咨询公司及顾问服务产生的信息等123.公司重要信息资料主要来源自主投资研发的各类跟随重点招募人才的7使用产生归档退役同洲文档生命周期各环节点存放现状12143或执行销毁，或仍然保存在“归档”的位置，但无监管各工作对应责任员工的办公电脑各工作对应员工的办公电脑部门或项目组自治文档共享库各工作对应员工的办公电脑部门或项目组自治文档共享库部门文控人员电脑公司总裁办文档（档案）室文档生命周期.使用产生归档退役同洲文档生命周期各环节点存放现状12143或8文档信息两大类流动方向部门内部员工之间部门与部门员工之间公司内部流动公司与友商之间内部员工与外界公司之间内部员工与外界个人之间公司与外界之间流动各种渠道.文档信息两大类流动方向部门内部员工之间公司内部流动公司与友商9公司目前可用的各种文档信息流动渠道1.MSN等各类即时聊天通信工具2.各类合法与非法FTP数传工具23.员工个人网络免费邮箱4.公司WEB邮箱5.打印、传真、光盘刻录等……6.各类移动存储介质（借助USB口、网口等）7.公司notes办公系统同洲机密信息.公司目前可用的各种文档信息流动渠道1.MSN等各类即时聊天通10公司目前文档信息安全控制现状安全技术控制现状安全管理控制现状同洲核心竞争力信息只有网络边界防火墙，无其他信息内容监管技术支持措施；Internet上网权限基本全部开通，控制力度非常薄弱公司办公机器各类外连端口如USB口、网口等基本全部处于开放状态；无打印监控系统；公司物理办公区域及办公网络没有严格划分安全等级和配套管理；对于外发文档、邮件等行为没有相关权限控制及审批机制；公司没有对各类文档的机密级别定义和配套管理制度；公司没有统一如PDM文档资料安全存放及管理系统；对于员工收集留存的文档、各系统文档保存及使用情况等没有规范化管理和安全审计机密信息流失.公司目前文档信息安全控制现状安全技术控制现状安全管理控制现状11时时威胁我们的主要重大信息安全隐患1.公司核心竞争力信息资产流失，为别人做了嫁衣5.信息资产外传被多方抄袭引用，引起官司和纷争2.公司重大商业秘密外泄，关键项目流产，公司销售额下滑；4.公司系列重要文档资料在网络上流传，降低公司品牌形象，伤害无形资产；3.公司花大量精力财力投入开发输出的各类信息资料流失，失去优势竞争地位重大信息安全隐患.时时威胁我们的主要重大信息安全隐患1.公司核心竞争5.信息资12公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page13公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析13通过封堵网络、计算机端口、打印机等的“边界安全”控制方案各风险控制措施收益对比直接针对文档保护的“内容安全”控制方案缺点1：需要实施网络通信、计算机端口通信、打印机打印配置等多套控制系统。一方面，将会改变网络结构和办公习惯，实施难度大、周期长，另一方面，必然增大资金、人力投入、系统维护成本、以及安全管理成本优点1：直接针对目标信息本身实施一个文档安全系统，即可确保目标信息资料的全程安全，解决非法网络流转、打印等风险。投资相对少，维护及安全管理较本低。缺点2：文档仍然以明文存储，治标不治本，只要一个环节攻破，明文将无限制扩散优点2：可指定文档合法使用范围、针对文档内容自动透明保护，不改变使用习惯，实施周期短，易于实施。优点3：文档安全问题控制后，对于计算机端口、打印监控、存储介质携带等安全隐患，也得到了控制.通过封堵网络、计算机端口、打印机等的“边界安全”控制方案各风14最佳隐患控制措施——直接使用内容安全服务系统核心信息、文档、数据的存储防止原件及副件的保存

防止屏幕拷贝、拷贝及编辑

控制打印防止变更机器时间

鉴定及赋予权限

追查打印文件的泄漏

盗出的文件、数据无法阅读

管理者（配置安全策略）

外部人员无法阅读利用软盘及CD盗出的拷贝文件

利用电子邮件进行传送时,未经认可者无法阅读

按用户加密文件--部门内通过鉴定的用户，可共享信息

所需的文件加密、

授权后下载

内容安全服务系统文件UPload.最佳隐患控制措施——直接使用内容安全服务系统核心信息、文档、15文档自动保护系统引进策略背景问题解决方案…一方面，因为直接针对文档加密，所以系统本身性能至关重要，需要引进品牌系统，周期比较长；另一方面，公司目前处于变革期，各方信息流转量大，保护不好影响严重，因此急需上线这样一个系统首先：近期多方认证，选择一个资质和性能比较好、同时愿意提供较长试用时间的产品，解决近期信息安全紧迫需求；然后：留出时间考察资质和性能好的品牌系统，经过技术和商务审核后引进，平稳换掉试用的产品目前，大成天下铁卷、亿赛通、以及曾与韩国安全产品MarkAny合作的安全厂商紫色力腾，均可引入试用。我们对比确认风险最小的一家、双方确认好风险规避控制方案后，即可引入免费试用.文档自动保护系统引进策略背景问题解决方案…一方面，因为直接针16计划引入试用系统的对比结果产品关键情况(资质、背景、供试用度)对比结果大成天下1.资质：有中型企业（1000左右客户端）推广的客户经验，自身研发实力中等；2.背景：自主研发的产品3.可以试用300客户端左右，时间2-3个月可以试用大成天下“铁卷”，但功能比较单一；亿赛通如果确认原厂商同等承诺后，可以试用“紫色力腾”功能和技术背景较为可靠，不过大客户经验有待验证结论：3家对比，响应快者入围亿赛通1.资质：有中型企业（1000左右客户端）推广的客户经验；产品功能比较全面2.背景：中国产品的代理厂商；3.可以试用400客户端左右，时间2-3个月紫色里腾1.资质：产品内核与为原韩国总统奖MarkAny安全产品基本一致，是其中国大陆原代理商；2.背景：有大品牌技术背景，自主研发改造产品；3.可以试用400客户端左右，时间4个月.计划引入试用系统的对比结果产品关键情况(资质、背景、供试用度17公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page18公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析18部署文档安全系统花费分析预算总投入…中档配置服务器一套…根据客户端单价收费(公司全部客户端约2500，框架采购价格将更低)…日常安全监控维护人力投入，有望压缩到3个(兼职)若全公司范围推广，预计投入约50万若对重要信息产生源推广，以1/3客户端计算，预计投入20万硬件软件人力.部署文档安全系统花费分析预算总投入…中档配置服务器一套…根据19系统部署后的收益有形收益有形收益一避免绝大部分因信息资产的流失而带来的各类已知和未知损失有形收益二利于促进公司人员整体信息安全意识提高，利于推动员工职业化素质水平良性发展，最终增强公司竞争力和盈利水平。促进公司信息安全管理体系的完善，促进形成符合大型规范公司的信息安全体系和职业氛围。有形收益三.系统部署后的收益有形收益有形收益一避免绝大部分因信息资产的流20人员安全意识整体提升，利于凝聚公司团结文化意识、于无形中推动公司战略转型良性进行。无形收益一系统部署后的收益无形收益无形收益二避免公司信息资产在的外界失控流转，利于提升公司品牌形象，进而增强公司市场占有能力和盈利水平。.人员安全意识整体提升，利于凝聚公司团结文化意识、于21公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page22公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析22项目实施5步曲风险评估第一步内部调研第二步安全系统选型第三步系统部署上线第四步系统例行维护第五步综合评估分析，选择一个投资受益比最大化的文档信息安全控制方案确定多家安全方案供应商进入产品测试；调查供应商能力背景、售后服务、产品在市场上的等使用情况；根据测试和调查结果确定3家供应商进入招标范围，最后确定供应商输出系统部署计划；确定部署步骤及范围；输出配套的各场景使用标准；规划系统支持维护、日常安全审计等工作调查确认公司信息资料类别、密级、流转方式等，基于调研和确认信息，制定适合公司业务和安全需求的文档加密使用标准平稳交接运维部门，规划与确认运维服务相应承诺；确定系统安全监控服务人员及安全维护标准.23项目实施5步曲风险评估第一步内部调研第二步安全系统选型第三步WBS进度计划.WBS进度计划.24ProjectSchedule-甘特图.ProjectSchedule-甘特图.25ProjectSchedule-网络图.ProjectSchedule-网络图.26公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page27公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析27潜在风险及控制措施可能的风险风险控制措施潜在风险1.深入调查，选择资质背景、客户背景高的供应商，放弃小的供应商，从长远全局考虑，不局限与只关注产品价格；2.基于公司长远安全需求出发，定制且审核购买合同，深入关注系统功能、售后服务、系统升级以及处罚条款。1.加密系统自身健壮性差，常出故障，影响使用；2.加密系统升级优化有问题，支持新需求有难度，不利于长期使用；.Page28潜在风险及控制措施可能的风险风险控制措施潜在风险1.深入调查28潜在风险及控制措施可能的风险风险控制措施潜在风险1.各种实用场景考虑不足，影响实际业务；2.培训、宣传不到位，使得加密使用、系统维护、安全监控等达不到预期目标；3.加密文件无法正常使用，严重影响公司业务。1.详细规划公司内部之间、公司内部与外部之间、公司人员出差、离线办公等各种场景的使用策略，开展进行调查和测试；2.要求厂家一起，深入开展各层面角色的使用和维护培训和考试，确保系统使用和维护顺畅；3.一方面，确保系统提供不受限制的超级管理员权限功能；另一方面，规划出公司机密文档明文备份机制并设计合理实施方案。.Page29潜在风险及控制措施可能的风险风险控制措施潜在风险1.各种实用29公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page30公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析30需要领导的支持高层达成共识，项目正式立项参加kickoff项目开工会议高层领导的支持，提供基础保障持续优化运作的公司信息安全管理体系.需要领导的支持高层达成共识，项目正式立项参加kickoff31ThankYou!.ThankYou!.32公司文档信息安全现状风险评估及风险控制措施同洲公司信息安全部.公司文档信息安全现状风险评估及风险控制措施同洲公司信息安全部33公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page2公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析34血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面我们的看得见的公司资产被如此公然“盈利”，看不见的电子信息资产呢？更“惨不忍睹”！.血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出35血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面我们的重要信息资料，被批量在网上肆意流转…….血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出36血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面事态严重到无法容忍，我们拿起了法律和道德的武器。可是，没有发现的呢？蚂蚁搬家式逐渐流失的呢？……案件N:基地仓库被盗……案件N+1:物料单信息流失，物料被私下领取出卖……我们不能再坐以待毙！.血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出37公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page6公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析38公司重要信息资料主要来源自主投资研发的各类核心产品及技术机密信息跟随重点招募人才的、基于其知识及经验的各种专业技术及管理文档资料、流失后将带来重大商业隐患的各种信息同洲核心竞争力信息资产重大商业信息，如：1.产品及市场发展规划；2.重要商务合同及竞价信息；3.重要项目人员及骨干人力信息；4.外购咨询公司及顾问服务产生的信息等123.公司重要信息资料主要来源自主投资研发的各类跟随重点招募人才的39使用产生归档退役同洲文档生命周期各环节点存放现状12143或执行销毁，或仍然保存在“归档”的位置，但无监管各工作对应责任员工的办公电脑各工作对应员工的办公电脑部门或项目组自治文档共享库各工作对应员工的办公电脑部门或项目组自治文档共享库部门文控人员电脑公司总裁办文档（档案）室文档生命周期.使用产生归档退役同洲文档生命周期各环节点存放现状12143或40文档信息两大类流动方向部门内部员工之间部门与部门员工之间公司内部流动公司与友商之间内部员工与外界公司之间内部员工与外界个人之间公司与外界之间流动各种渠道.文档信息两大类流动方向部门内部员工之间公司内部流动公司与友商41公司目前可用的各种文档信息流动渠道1.MSN等各类即时聊天通信工具2.各类合法与非法FTP数传工具23.员工个人网络免费邮箱4.公司WEB邮箱5.打印、传真、光盘刻录等……6.各类移动存储介质（借助USB口、网口等）7.公司notes办公系统同洲机密信息.公司目前可用的各种文档信息流动渠道1.MSN等各类即时聊天通42公司目前文档信息安全控制现状安全技术控制现状安全管理控制现状同洲核心竞争力信息只有网络边界防火墙，无其他信息内容监管技术支持措施；Internet上网权限基本全部开通，控制力度非常薄弱公司办公机器各类外连端口如USB口、网口等基本全部处于开放状态；无打印监控系统；公司物理办公区域及办公网络没有严格划分安全等级和配套管理；对于外发文档、邮件等行为没有相关权限控制及审批机制；公司没有对各类文档的机密级别定义和配套管理制度；公司没有统一如PDM文档资料安全存放及管理系统；对于员工收集留存的文档、各系统文档保存及使用情况等没有规范化管理和安全审计机密信息流失.公司目前文档信息安全控制现状安全技术控制现状安全管理控制现状43时时威胁我们的主要重大信息安全隐患1.公司核心竞争力信息资产流失，为别人做了嫁衣5.信息资产外传被多方抄袭引用，引起官司和纷争2.公司重大商业秘密外泄，关键项目流产，公司销售额下滑；4.公司系列重要文档资料在网络上流传，降低公司品牌形象，伤害无形资产；3.公司花大量精力财力投入开发输出的各类信息资料流失，失去优势竞争地位重大信息安全隐患.时时威胁我们的主要重大信息安全隐患1.公司核心竞争5.信息资44公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page13公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析45通过封堵网络、计算机端口、打印机等的“边界安全”控制方案各风险控制措施收益对比直接针对文档保护的“内容安全”控制方案缺点1：需要实施网络通信、计算机端口通信、打印机打印配置等多套控制系统。一方面，将会改变网络结构和办公习惯，实施难度大、周期长，另一方面，必然增大资金、人力投入、系统维护成本、以及安全管理成本优点1：直接针对目标信息本身实施一个文档安全系统，即可确保目标信息资料的全程安全，解决非法网络流转、打印等风险。投资相对少，维护及安全管理较本低。缺点2：文档仍然以明文存储，治标不治本，只要一个环节攻破，明文将无限制扩散优点2：可指定文档合法使用范围、针对文档内容自动透明保护，不改变使用习惯，实施周期短，易于实施。优点3：文档安全问题控制后，对于计算机端口、打印监控、存储介质携带等安全隐患，也得到了控制.通过封堵网络、计算机端口、打印机等的“边界安全”控制方案各风46最佳隐患控制措施——直接使用内容安全服务系统核心信息、文档、数据的存储防止原件及副件的保存

防止屏幕拷贝、拷贝及编辑

控制打印防止变更机器时间

鉴定及赋予权限

追查打印文件的泄漏

盗出的文件、数据无法阅读

管理者（配置安全策略）

外部人员无法阅读利用软盘及CD盗出的拷贝文件

利用电子邮件进行传送时,未经认可者无法阅读

按用户加密文件--部门内通过鉴定的用户，可共享信息

所需的文件加密、

授权后下载

内容安全服务系统文件UPload.最佳隐患控制措施——直接使用内容安全服务系统核心信息、文档、47文档自动保护系统引进策略背景问题解决方案…一方面，因为直接针对文档加密，所以系统本身性能至关重要，需要引进品牌系统，周期比较长；另一方面，公司目前处于变革期，各方信息流转量大，保护不好影响严重，因此急需上线这样一个系统首先：近期多方认证，选择一个资质和性能比较好、同时愿意提供较长试用时间的产品，解决近期信息安全紧迫需求；然后：留出时间考察资质和性能好的品牌系统，经过技术和商务审核后引进，平稳换掉试用的产品目前，大成天下铁卷、亿赛通、以及曾与韩国安全产品MarkAny合作的安全厂商紫色力腾，均可引入试用。我们对比确认风险最小的一家、双方确认好风险规避控制方案后，即可引入免费试用.文档自动保护系统引进策略背景问题解决方案…一方面，因为直接针48计划引入试用系统的对比结果产品关键情况(资质、背景、供试用度)对比结果大成天下1.资质：有中型企业（1000左右客户端）推广的客户经验，自身研发实力中等；2.背景：自主研发的产品3.可以试用300客户端左右，时间2-3个月可以试用大成天下“铁卷”，但功能比较单一；亿赛通如果确认原厂商同等承诺后，可以试用“紫色力腾”功能和技术背景较为可靠，不过大客户经验有待验证结论：3家对比，响应快者入围亿赛通1.资质：有中型企业（1000左右客户端）推广的客户经验；产品功能比较全面2.背景：中国产品的代理厂商；3.可以试用400客户端左右，时间2-3个月紫色里腾1.资质：产品内核与为原韩国总统奖MarkAny安全产品基本一致，是其中国大陆原代理商；2.背景：有大品牌技术背景，自主研发改造产品；3.可以试用400客户端左右，时间4个月.计划引入试用系统的对比结果产品关键情况(资质、背景、供试用度49公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page18公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析50部署文档安全系统花费分析预算总投入…中档配置服务器一套…根据客户端单价收费(公司全部客户端约2500，框架采购价格将更低)…日常安全监控维护人力投入，有望压缩到3个(兼职)若全公司范围推广，预计投入约50万若对重要信息产生源推广，以1/3客户端计算，预计投入20万硬件软件人力.部署文档安全系统花费分析预算总投入…中档配置服务器一套…根据51系统部署后的收益有形收益有形收益一避免绝大部分因信息资产的流失而带来的各类已知和未知损失有形收益二利于促进公司人员整体信息安全意识提高，利于推动员工职业化素质水平良性发展，最终增强公司竞争力和盈利水平。促进公司信息安全管理体系的完善，促进形成符合大型规范公司的信息安全体系和职业氛围。有形收益三.系统部署后的收益有形收益有形收益一避免绝大部分因信息资产的流52人员安全意识整体提升，利于凝聚公司团结文化意识、于无形中推动公司战略转型良性进行。无形收益一系统部署后的收益无形收益无形收益二避免公司信息资产在的外界失控流转，利于提升公司品牌形象，进而增强公司市场占有能力和盈利水平。.人员安全意识整体提升，利于凝聚公司团结文化意识、于53公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析3项目实施计划4项目潜在风险及控制措施5请领导决策的决策点6目录公司短期内发生的重大案例0.Page22公司文档流转现状及安全隐患1最佳隐患控制措施2投资与收益分析54项目实施5步曲风险评估第一步内部调研第二步安全系统选型第三步系统部署上线第四步系统例行维护第五步综合评估分析，选择一个投资受益比最大化的文档信息安全控制方案确定多家安全方案供应商进入产品测试；调查供应商能力背景、售后服务、产品在市场上的等使用情况；根据测试和调查结果确定3家供应商进入招标范围，最后确定供应商输出系统部署计划；确定部署步骤及范围；输出配套的各场景使用标准；规划系统支持维护、日常安全审计等工作调查确认公司信息资料类别、密级、流转方式等，