信息防泄的背景
背景
隨著企業信息化的發展，信息系統越來越多的使用於日常工作中，成為不可或缺的工具和手段。通過企業信息化大大提高了企業生產效率，從 ERP 到SOA，成熟的企業已經越來越依賴於信息系統而運行發展並壯大；虛擬化、雲計算等技術的發展更是為許多跨地區、跨國家的企業節約了大筆的專線費用，並且提供了信息傳送的實時性、可靠性、保密性的保證。
電子商務、海外分公司、各地專賣店……企業正在利用信息化技術來打破地域之間的阻礙，同時還會產生大量如客戶資料、行銷方案、財務報表、研發數據等關乎企業核心競爭力的機密資料。然而，信息技術本身的雙刃劍特性也在組織區域網路不斷顯現：強大的開放性和互通性催生了商業泄密、網路間諜等眾多灰色名詞，“力拓案”、“維基泄密”等事件讓信息安全事件迅速升溫，信息防泄漏成為企業越來越關注的焦點。
前景
中國的企業正在由中國製造向中國創造轉變，企業內部如客戶資料、行銷方案、財務報表、研發數據等信息資產對於自身來說的重要性越來越大，這些智慧財產權甚至是核心競爭力所在，一旦外泄後果不堪構想。同時企業內部的IT套用不斷增多，企業對於IT的依賴性加強，這就導致信息外泄的渠道也大大增多，安全風險無處不在。因此，信息防泄漏的管理越來越重要，不僅是IT人員關心的問題，而是企業領導者都必須認真對待的棘手問題。
於是，信息防泄漏問題成為困擾信息化發展與否的重要問題，更多的機構把信息系統的安全問題列為整體戰略發展的重要環節之一。
定義
信息防泄漏是指通過一定的技術手段，防止企業的指定（重要或者敏感的）數據或信息資產以違反安全策略規定的形式流出企業的一種策略。
信息防泄漏以文檔加密技術為核心，資料庫加密為基礎，結合安全審計機制、嚴格管控機制掌握、控制內部文檔操作，有效防止任何狀態（使用、傳輸、存儲）的內部資料和信息資產泄漏。
標準法規
國外：(Trusted Computer System Evaluation Criteria; commonly called the "Orange Book")美國可信計算機安全評價標準（TCSEC）。
信息安全管理體系標準(ISO27001)可有效保護信息資源，保護信息化進程健康、有序、可持續發展。ISO27001是信息安全領域的管理體系標準，類似於質量管理體系認證的ISO9000標準。
為了提升企業信息安全性，美國證券市場頒布實施了針對上市公司財務和公司治理的《塞班斯法案》（Sarbanes-Oxley Act，簡稱SOX法案）
中國： 由全國人民代表大會制定的國家基本法律，如《中華人民共和國保守國家秘密法》、《中華人民共和國國家安全法》、《中華人民共和國電子簽名法》等。
由國務院頒布的行政法規，如《中華人民共和國計算機信息系統安全保護條例》、《商用密碼管理條例》、《關於加強信息安全保障工作的意見》等。
中國公安部計畫建立一個“等級保護制度”， 2007年連續發布了《信息安全等級保護管理辦法》、《關於開展全國重要信息系統安全等級保護定級工作的通知》，2009年公安部又頒發了《關於開展信息安全等級保護安全建設整改工作的指導意見》，進一步督促規定範圍的機構採取信息安全保護。
信息泄漏的原因
根據美國CSI/FBI的調查顯示，80%的安全威脅來自企業內部，將近60%的離職者或被辭退者在離開時會攜帶企業數據。Ponemon研究所（Ponemon Institute）進行的一項最新研究調查顯示，內部泄密已經成為企業數據外泄的頭號原因，而黑客僅位列第五。
1. 內部人員無意泄密和惡意泄密
企業內部人員在上網時候不小心中了病毒或木馬，電腦上存儲的重要資料被流失的情況也非常多。由於病毒和木馬泛濫，使得企業泄密的風險越來越大。而部分不良員工明知是企業機密信息，還通過QQ、MSN、郵件、部落格或者是其他網路形式，把信息發到企業外部，這種有針對性的泄密行為，導致的危害也相當嚴重。
2. 內部人員離職拷貝帶走資料泄密
這類情況發生機率最高。據調查，中國企業員工離職拷貝資料達到70%以上。在離職的時候，研發人員帶走研發成果，銷售人員帶走企業客戶資料，甚至是財務人員也會把企業的核心財務信息拷貝帶走。
3. 內部文檔許可權失控失密
在單位內部，往往機密信息會分為秘密、機密和絕密等不同的涉密等級。一般來說，根據人員在單位中的地位和部門的不同，其所接觸和知悉的信息也是不同。然而，當前多數單位的涉密信息的許可權劃分是相當粗放的，導致不具備相應密級的人員獲知了高密級信息。
4. 存儲設備丟失和維修失密
移動存儲設備例如筆記本電腦、移動硬碟、手機存儲卡、數碼照相/攝錄機等，一旦遺失、維修或者報廢后，其存儲數據往往暴露無遺。隨著移動存儲設備的廣泛使用，家庭辦公興起，出差人員的大量事務處理等等都會不可避免地使用移動存儲設備。因此，移動存儲設備丟失和維修導致泄密也是當前泄密事件發生的主要原因之一。
5. 對外信息發布失控失密
在兩個或者多個合作單位之間，由於信息互動的頻繁發生，涉密信息也可能泄露，導致合作方不具備許可權的人員獲得涉密信息。甚至是涉密信息流至處於競爭關係的第三方。因此，對於往外部傳送的涉密信息，必須加以管控，防止外發信息失控而導致失密。
6. 外部競爭對手竊密
競爭對手採用收買方式，買通企業內部人員，讓內部人員把重要信息傳送競爭方，從而竊取機密的情況也非常多。這種方式直接損害了企業的核心資產，給企業帶來致命的打擊。
7. 黑客和間諜竊密
國際國內許多黑客和間諜，通過層出不窮的技術手段，竊取國內各種重要信息，已經成為中國信息安全的巨大威脅。雖然許多企業都部署了防火牆、防毒軟體、入侵檢測等系統，但是對於高智商的犯罪人員來說，這些防禦措施往往形同虛設。
信息泄漏的途徑：
信息泄漏的途徑多種多樣，在企業內部，信息有可能通過以下途徑被帶走：
檔案可能通過USB口拷貝到隨身碟、移動硬碟等移動存儲介質帶離公司；
可通過3G上網卡等連線網路，把信息通過網路帶走；
可將檔案通過郵件（NOTES、WEB）傳送給外部人員；
能通過列印把電子文檔轉換成紙質資料帶走；
通過已分享資料夾將檔案拷貝到筆記本電腦帶離公司；
電腦或者硬碟丟失則難以防範。
防護之道
系統化的、全方位立體化的信息防泄漏解決方案才能真正的保護企業的數據。
所謂系統化，即要系統化地運用加密、管控、審計等多種手段，盛行的“加密風”讓不少企業選擇了加密產品，但其實單純的加密是不夠的，企業還需要審計技術來了解內部發生了什麼，管控技術來防止泄密事件發生，只有把多種技術結合在一起，才能真正意義上的保護企業的數據安全。
全方位、立體化的信息防泄漏解決方案，指的是要全面考慮到企業信息可能泄漏出去的每一個方面，最大限度消除數據外泄風險；同時，還要針對企業多部門多層級的內部結構，合理劃分員工的文檔訪問許可權，建立一個立體化的分級保密體系。
因為，在信息安全領域中，信息安全的整體防護強度取決於“馬奇諾防線”中最為薄弱的一環。由於缺乏必要的技術管理手段，安全事件可能從各種地方發生。如果無法明確安全漏洞，很可能內部價值上千萬的機密信息，只是因為一個隨身碟的不慎使用，或者是一個普通員工的無意識操作，就瞬間外泄出去。
所以，全面的信息防泄漏體系是企業數據防泄漏的考察重點。
解決方案
結合企業實際情況，建立全面的信息防泄漏三重保護安全體系：首先通過完整的文檔操作審計發現網內安全的威脅，及時進行防禦；其次，根據企業內部的部門和職位劃分立體化的保密體系，同時對網路和外部設備等可能的泄密渠道加以控制，防止文檔外流；高強度的透明加密作為文檔保護最後也是最有力的一道保護盾，保證文檔在任何地方都能得到有效保護。
信息防泄漏解決方案，不僅為防止信息通過隨身碟、Email等泄露提供解決方法，更大的意義在於，它能夠幫助企業構建起完善的信息安全防護體系，使得企業可以實現“事前防禦—事中控制—事後審計”的完整的信息防泄漏流程，從而達到信息安全目標的透明性、可控性和不可否認性的要求。信息防泄漏三重保護體系包括 詳盡細緻的操作審計、全面嚴格的操作授權和安全可靠的透明加密三部分。
詳盡細緻的操作審計是三重保護體系的基礎，也是不可或缺的部分，它使得龐大複雜的信息系統變得透明，一切操作、行為都可見可查。
審計不僅可以用作事後審計以幫助追查責任，更能夠幫助洞察到可能的危險趨向，還能夠幫助發現未知的安全漏洞。
全面嚴格的操作授權從網路邊界、外設邊界以及桌面套用三方面做以全方位控制，達到信息安全目標中的“可控性”的要求，防止對信息的不當使用和流傳，使得文檔不會輕易“看得到、改得了、發得出、帶得走”。
安全可靠的透明加密為重要信息提供最有力的保護，它能夠保證涉密信息無論何時何地都是加密狀態，可信環境內，加密文檔可正常使用，在非授信環境內則無法訪問加密文檔，在不改變用戶操作習慣的同時最大限度保護信息安全。
以上參考IP-guard信息防泄漏解決方案。
方法
第一重保護：詳盡細緻的操作審計
——及時發現危險趨向，提供事後追蹤證據！
文檔全生命周期審計
完整而詳細地將文檔從創建之初到訪問、修改、移動、複製、直至刪除的全生命周期內的每一項操作信息記錄下來，同時，記錄共享文檔被其它計算機修改、刪除、改名等操作。
另外，對於修改、刪除、列印、外發、解密等可能造成文檔損失或外泄的相關操作，在相關操作發生前及時備份，有效防範文檔被泄露、篡改和刪除的風險。
文檔傳播全過程審計
細緻記錄文檔通過印表機、外部設備、即時通訊工具、郵件等工具進行傳播的過程，有效警惕重要資料被隨意複製、移動造成外泄。
桌面行為全面審計
螢幕監視功能，能夠對用戶的行為進行全面且直觀的審計。通過對螢幕進行監視，企業甚至可以了解到用戶在ERP系統或者財務系統等信息系統中執行了哪些操作。
第二重保護：全面嚴格的操作授權
——管控所有程式操作，封堵可能泄密漏洞！
文檔操作管控
控制用戶對本地、網路等各種位置的檔案甚至資料夾的操作許可權，包括訪問、複製、修改、刪除等，防範非法的訪問和操作，企業可以根據用戶不同的部門和級別設定完善的文檔操作許可權。
移動存儲管控
授予移動存儲設備在企業內部的使用許可權。可以禁止外來隨身碟在企業內部使用，做到外盤外用；同時還可對內部的移動盤進行整盤加密，使其只能在企業內部使用，在外部則無法讀取，做到內盤內用。
終端設備規範
能夠限制USB設備、刻錄、藍牙等各類外部設備的使用，有效防止信息通過設備外泄出去。
網路通訊控制
能夠控制用戶經由QQ、MSN、飛信等即時通訊和E-mail等網路套用傳送機密文檔，同時還能防止通過上傳下載和非法外聯等方式泄露信息。
網路準入控制
及時檢測並阻斷外來計算機非法接入企業區域網路從而竊取內部信息，同時還能防止區域網路計算機脫離企業監管，造成信息外泄。
桌面安全管理
設定安全管理策略,關閉不必要的共享,禁止修改網路屬性,設定登錄用戶的密碼策略和賬戶策略。
第三重保護：安全可靠的透明加密
——透明加密指定文檔，最大限度保護文檔安全！
強制透明加密
對電子文檔進行強制性的透明加密，授信環境下加密文檔可正常使用，非授信環境下加密文檔則無法使用。同時，鑒於內部用戶主動泄密的可能性，在加密文檔的使用過程中默認禁止截屏、列印，以及剪下、拖拽加密文檔內容到QQ、Email等可能造成泄密的套用。
內部許可權管理
對於多部門多層級的組織，提供了分部門、分級別的許可權控制機制。根據文檔所屬部門和涉密程度貼上標籤，擁有標籤許可權的用戶才能夠訪問加密文檔，控制涉密文檔的傳播範圍，降低泄密風險。
文檔外發管理
對於合作夥伴等需要訪問涉密文檔的外部用戶，提供了加密文檔閱讀器，通過閱讀器企業可以控制外發加密文檔的閱讀者、有效訪問時間以及訪問次數，從而有效避免文檔外發後的二次泄密。
可靠的防災機制
採用備用伺服器機制以應對各種軟硬體及網路故障，保證加密系統持續不斷的穩定運行。加密文檔備份伺服器可以對修改的加密文檔實時備份,給客戶更多一份的安心保證。
目的
1.最大限度企業內部機密如個人（企業）客戶資料、未公開的政策法規、商業信息等核心信息外泄。
2.詳細掌握內部所有操作，使用戶操作的更加可視化、規範化、流程化。
3.完全符合國家正積極推進的等級保護和監管部門推出關於信息安全保障工作等法律法規的要求。
4.保護企業機密資產，幫助其專注於核心事業，規避商業、法律、政治上的風險。
