公司文档信息安全现状风险评估及风险控制措施.ppt

1、公司文档信息安全现状风险评估及风险控制措施,同洲公司信息安全部,Page 2,目录,血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面,我们的看得见的公司资产被如此公然“盈利”，看不见的电子信息资产呢？更“惨不忍睹”！,血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面,我们的重要信息资料，被批量在网上肆意流转,血的教训已经发生，这只是公布知悉的，但还有90%以上的未浮出水面,事态严重到无法容忍，我们拿起了法律和道德的武器。可是，没有发现的呢？蚂蚁搬家式逐渐流失的呢？,案件N:基地仓库被盗 案件N+1:物料单信息流失，物料被私下领取出卖我们不能再坐以待毙！,Page

2、 6,目录,公司重要信息资料主要来源,自主投资研发的各类 核心产品及技术机密 信息,跟随重点招募人才的、基 于其知识及经验的各种专 业技术及管理文档资料、 流失后将带来重大商业隐 患的各种信息,同洲核心竞争力 信息资产,重大商业信息，如： 1.产品及市场发展规划； 2.重要商务合同及竞价信息； 3.重要项目人员及骨干人力信息； 4.外购咨询公司及顾问服务产生的信息等,1,2,3,使用,产生,归档,退役,同洲文档生命周期各环节点存放现状,1,2,1,4,3,文档生命周期,文档信息两大类流动方向,部门内部员工之间 部门与部门员工之间,公司内部流动,公司与友商之间 内部员工与外界公司之间 内部员工与

3、外界个人之间,公司与外界之间流动,各种渠道,公司目前可用的各种文档信息流动渠道,Doc. number to be entered by Header and Footer,同洲机密信息,公司目前文档信息安全控制现状,安全技术控制现状,安全管理控制现状,同洲核心竞争力信息,只有网络边界防火墙，无其他信息内容监管技术支持措施；,Internet上网权限基本全部开通，控制力度非常薄弱,公司办公机器各类外连端口如USB口、网口等基本全部处于开放状态；无打印监控系统；,公司物理办公区域及办公网络没有严格划分安全等级和配套管理；,对于外发文档、邮件等行为没有相关权限控制及审批机制；,公司没有对各类文档的

4、机密级别定义和配套管理制度；,公司没有统一如PDM文档资料安全存放及管理系统；,对于员工收集留存的文档、各系统文档保存及使用情况等没有规范化管理和安全审计,机密信息流失,时时威胁我们的主要重大信息安全隐患,1.公司核心竞争 力信息资产流失， 为别人做了嫁衣,5.信息资产外传被 多方抄袭引用， 引起官司和纷争,2.公司重大商业秘密 外泄，关键项目流 产，公司销售额下滑；,4.公司系列重要文档 资料在网络上流传，降低 公司品牌形象，伤害无形 资产；,3.公司花大量精力财 力投入开发输出的各类信息 资料流失，失去优势竞争 地位,重大信息安全隐患,Page 13,目录,通过封堵网络、计算机端口、打印机

5、等的“边界安全”控制方案,各风险控制措施收益对比,直接针对文档保护的 “内容安全”控制方案,缺点1：需要实施网络通信、计算机端口通信、打印机打印配置等多套控制系统。一方面，将会改变网络结构和办公习惯，实施难度大、周期长，另一方面，必然增大资金、人力投入、系统维护成本、以及安全管理成本,优点1：直接针对目标信息本身实施一个文档安全系统，即可确保目标信息资料的全程安全，解决非法网络流转、打印等风险。投资相对少，维护及安全管理较本低。,缺点2：文档仍然以明文存储，治标不治本，只要一个环节攻破，明文将无限制扩散,优点2：可指定文档合法使用范围、针对文档内容自动透明保护，不改变使用习惯，实施周期短，易于

6、实施。,优点3：文档安全问题控制后，对于计算机端口、打印监控、存储介质携带等安全隐患，也得到了控制,最佳隐患控制措施直接使用内容安全服务系统,核心信息、文档、数据的存储,防止原件 及副件 的保存,防止屏幕 拷贝、拷贝 及编辑,控制打印,防止 变更机器 时间,鉴定及 赋予权限,追查打印文件的泄漏,盗出的文件、数据无法阅读,管理者（配置安全策略）,外部人员无法阅读利用软盘及CD盗出的拷贝文件 利用电子邮件进行传送时, 未经认可者无法阅读,按用户加密文件 - 部门内通过鉴定的用户，可共享信息,所需的文件加密、 授权后下载,内容安全服务系统,文件UPload,文档自动保护系统引进策略,背景问题,解决方

7、案,一方面，因为直接针对文档加密，所以系统本身性能至关重要，需要引进品牌系统，周期比较长； 另一方面，公司目前处于变革期，各方信息流转量大，保护不好影响严重，因此急需上线这样一个系统,首先：近期多方认证，选择一个资质和性能比较好、同时愿意提供较长试用时间的产品，解决近期信息安全紧迫需求； 然后：留出时间考察资质和性能好的品牌系统，经过技术和商务审核后引进，平稳换掉试用的产品,目前，大成天下铁卷、亿赛通、以及曾与韩国安全产品MarkAny合作的安全厂商紫色力腾，均可引入试用。 我们对比确认风险最小的一家、双方确认好风险规避控制方案后，即可引入免费试用,计划引入试用系统的对比结果,产品,关键情况(

8、资质、背景、供试用度),对比结果,可以试用大成天下“铁卷”，但功能比较单一； 亿赛通如果确认原厂商同等承诺后，可以试用 “紫色力腾”功能和技术背景较为可靠，不过大客户经验有待验证 结论：3家对比，响应快者入围,Page 18,目录,部署文档安全系统花费分析,预算总投入,中档配置服务器一套,根据客户端单价收费(公司全部 客户端约2500，框架采购价格将更低),日常安全监控维护人力投入， 有望压缩到3个(兼职),若全公司范围推广，预计投入约50万,若对重要信息产生源推广，以1/3客户端计算，预计投入20万,硬件,软件,人力,系统部署后的收益,有形收益,有形收益一,避免绝大部分因信息资产的流失而带来

9、的各类已知和未知损失,有形收益二,利于促进公司人员整体信息安全意识提高，利于推动员工职业化素质水平良性发展，最终增强公司竞争力和盈利水平。,促进公司信息安全管理体系的完善，促进形成符合大型规范公司的信息安全体系和职业氛围。,有形收益三,人员安全意识整体提升，利于凝聚公司团结文化意识、于无形中推动公司战略转型良性进行。,无形收益一,系统部署后的收益,无形收益,无形收益二,避免公司信息资产在的外界失控流转，利于提升公司品牌形象，进而增强公司市场占有能力和盈利水平。,Page 22,目录,项目实施5步曲,23,综合评估分析，选择一个投资受益比最大化的文档信息安全控制方案,确定多家安全方案供应商进入产

10、品测试；调查供应商能力背景、售后服务、产品在市场上的等使用情况；根据测试和调查结果确定3家供应商进入招标范围，最后确定供应商,输出系统部署计划；确定部署步骤及范围；输出配套的各场景使用标准；规划系统支持维护、日常安全审计等工作,调查确认公司信息资料类别、密级、流转方式等，基于调研和确认信息，制定适合公司业务和安全需求的文档加密使用标准,平稳交接运维部门，规划与确认运维服务相应承诺；确定系统安全监控服务人员及安全维护标准,WBS进度计划,Project Schedule-甘特图,Project Schedule-网络图,Page 27,目录,潜在风险及控制措施,可能的风险,风险控制措施,Page

11、 28,潜在风险,1.深入调查，选择资质背景、客户背景高的供应商，放弃小的供应商，从长远全局考虑，不局限与只关注产品价格； 2.基于公司长远安全需求出发，定制且审核购买合同，深入关注系统功能、售后服务、系统升级以及处罚条款。,1.加密系统自身健壮性差，常出故障，影响使用； 2.加密系统升级优化有问题，支持新需求有难度，不利于长期使用；,潜在风险及控制措施,可能的风险,风险控制措施,Page 29,潜在风险,1.各种实用场景考虑不足，影响实际业务； 2.培训、宣传不到位，使得加密使用、系统维护、安全监控等达不到预期目标； 3.加密文件无法正常使用，严重影响公司业务。,1.详细规划公司内部之间、公司内部与外部之间、公司人员出差、离线办公等各种场景的使用策略，开展进行调查和测试； 2.要求厂家一起，深入开展各层面角色的