文檔加密的重要性

20世紀(jì)90年代以來，以網(wǎng)絡(luò)技術(shù)及服務(wù)為代表的第二次"信息革命"浪潮席卷全球，迅速滲透到政府、企業(yè)、經(jīng)濟等各個領(lǐng)域。企事業(yè)單位可以充分利用網(wǎng)絡(luò)化的信息新技術(shù)，提高各方面的辦事效率，為客戶提供更好的更快的服務(wù)，、提高自身形象。所以企事業(yè)信息化則被公認(rèn)為帶動整個社會信息化的基礎(chǔ)，企事業(yè)信息化是以"效率，安全，穩(wěn)定"的為目標(biāo)的。

互聯(lián)網(wǎng)恰如一柄"雙刃劍"，為人們工作帶來便利的同時，伴隨著的是日趨嚴(yán)重的網(wǎng)絡(luò)入侵安全問題。作為各類站點，既要訪問Internet 的共享信息資源，又要把Intranet的一部分信息對外提供服務(wù)，資源的共享的同時也帶來了安全問題;而作為企事業(yè)部門內(nèi)部網(wǎng)，事關(guān)很多關(guān)系設(shè)計機密、企事業(yè)市場策略等敏感信息，網(wǎng)絡(luò)的安全性更為重要。從某種意義上說，企事業(yè)內(nèi)部網(wǎng)絡(luò)的信息安全涉及到企事業(yè)單位的整體利益，形象，安全等重要問題。如何保護內(nèi)部網(wǎng)絡(luò)的信息安全,防范來自外部網(wǎng)絡(luò)的黑客和非法入侵者的攻擊,或有效防止企業(yè)內(nèi)部信息泄漏， 建立起強健的網(wǎng)絡(luò)信息安全防范系統(tǒng)，在某種程度上決定著各企事業(yè)單位，包括政府部門信息化建設(shè)的成敗。

在當(dāng)前復(fù)雜的網(wǎng)絡(luò)應(yīng)用環(huán)境下，很難有效的保障用戶網(wǎng)絡(luò)系統(tǒng)、信息資源的安全。據(jù)美國《金融時報》報道，現(xiàn)在平均每10秒就發(fā)生一次入侵計算機網(wǎng)絡(luò)的事件，超過1/3的互聯(lián)網(wǎng)防火墻被攻破。另據(jù)美國聯(lián)邦調(diào)查局(FBI)和計算機安全機構(gòu)(CSI)的計算機犯罪和安全的4月7日公布的統(tǒng)計結(jié)果，美國企業(yè)和政府機構(gòu)因重要信息被竊所造成的損失超過其它對計算機系統(tǒng)攻擊所造成的損失。由此可見，對于高速發(fā)展的電子政務(wù)系統(tǒng)來說，目前迫切要解決的安全問題應(yīng)該是內(nèi)部機密信息的數(shù)據(jù)安全。

2004年5月，某大型企業(yè)研發(fā)中心發(fā)現(xiàn)某國外競爭對手領(lǐng)先一步完成了A產(chǎn)品的設(shè)計開發(fā)，該研發(fā)中心領(lǐng)導(dǎo)一下就懵了。A產(chǎn)品的設(shè)計開發(fā)可是該企業(yè)重大研發(fā)項目，該企業(yè)也想依托A產(chǎn)品完成產(chǎn)品線的轉(zhuǎn)換，企業(yè)為該項目投入了大筆資金，眾多研發(fā)人員也付出了艱辛的勞動。企業(yè)在項目立項及開發(fā)過程中，還從未聽說有哪家單位也在進行A產(chǎn)品的開發(fā)，為什么競爭對手開發(fā)速度如此之快?

情況匯報給企業(yè)老總后，老總第一反應(yīng)就是內(nèi)部人員泄密，隨即下令該項目所有人員停止開發(fā)，迅速離開工作崗位，并向公安部門報案。公安部門技術(shù)人員到達現(xiàn)場后發(fā)現(xiàn)該研發(fā)中心保密工作存在重大疏漏：設(shè)計人員電腦與普通工作人員電腦連在同一個局域網(wǎng)內(nèi)、計算機端口允許人員將資料隨意拷出、設(shè)計人員將某些機密文件設(shè)成共享、打印資料隨意帶出、所有電腦都可以上互聯(lián)網(wǎng)……經(jīng)過檢查，公安部門初步判定為內(nèi)部人員泄密，但是要查出誰將資料泄密，難度太大。后來該案不了了之，企業(yè)也只能對研發(fā)中心領(lǐng)導(dǎo)進行降職處罰，該企業(yè)付出的1000余萬元研發(fā)費用，眾多研發(fā)人員的辛勤勞動全部付諸東流。

反思該企業(yè)的慘痛教訓(xùn)，國內(nèi)組織機構(gòu)必須以此為鑒，做好安全保密工作，防范機密資料外泄，同時也應(yīng)當(dāng)認(rèn)識到保密工作也是增加組織價值的重要工作內(nèi)容。

在知識型經(jīng)濟之下，企業(yè)信息資產(chǎn)顯得特別重要，能否有效保護專有技術(shù)等內(nèi)部信息，更是求存成功的關(guān)鍵，業(yè)務(wù)保障的基礎(chǔ)。進入信息年代，互聯(lián)網(wǎng)成為企業(yè)與本土外地公司溝通、交換業(yè)務(wù)數(shù)據(jù)及信息的主要渠道。利用互聯(lián)網(wǎng)溝通固然方便，但卻使機密的商業(yè)資料很容易透過開放的互聯(lián)網(wǎng)泄露給競爭對手。機密商業(yè)資料一經(jīng)泄漏，不論是有意還是無意，始終會對企業(yè)的資產(chǎn)構(gòu)成損失。因此企業(yè)需要嚴(yán)格監(jiān)管員工使用電腦，防范因知識產(chǎn)權(quán)和機密商業(yè)資料通過電腦被泄漏而造成的重大損失。

在我們的調(diào)查中發(fā)現(xiàn)，很多企事業(yè)單位，例如會計事務(wù)所、學(xué)校、政府、金融機構(gòu)、高科技研究所等企事業(yè)單位，經(jīng)常利用網(wǎng)絡(luò)來提高業(yè)務(wù)效率，使用者在這樣的環(huán)境下，可以隨便上傳下載和發(fā)行網(wǎng)絡(luò)中的文件，而且可以很輕松地把企業(yè)的許多重要信息流通到網(wǎng)絡(luò)外部。但是另一方面，作為公司或部門的管理者和使用者，他們都希望這些重要的信息資料，比如說財務(wù)數(shù)據(jù)、技術(shù)文檔等特殊資料，不能夠輕易地離開公司的網(wǎng)絡(luò)環(huán)境，甚至不能在公司網(wǎng)絡(luò)內(nèi)部傳遞與交流，那么我們該采取什么預(yù)防措施?當(dāng)然，我們決不能拒絕網(wǎng)絡(luò)的呼喚，不能將公司封閉在一個信息孤島上。

內(nèi)網(wǎng)信息安全現(xiàn)狀

隨著因特網(wǎng)的成熟和廣泛應(yīng)用，引發(fā)了一場全球范圍內(nèi)的信息革命，全球信息化的步伐不斷加快，信息型社會正在形成并走向成熟。信息，逐漸被作為一種重要的社會戰(zhàn)略資源而與物質(zhì)、能源、人才一起被列為現(xiàn)代社會生產(chǎn)力要素中的重要因素。

信息化社會中，信息安全必然很重要。然而信息安全所面臨的威脅也由來已久。自世界上出現(xiàn)計算機病毒理論后，對計算機系統(tǒng)的攻擊就引起了一些人的興趣。至今，這種攻擊已由學(xué)術(shù)上的探討，計算機操作系統(tǒng)的漏洞發(fā)現(xiàn)與彌補演變成了對信息系統(tǒng)的破壞和對涉及國家利益信息、商業(yè)信息及個人隱私信息的竊取和破壞。隨因特網(wǎng)的迅猛發(fā)展，更進一步暴露出了這種自由網(wǎng)絡(luò)空間具有的無中心、無管理、不可控、不可信等不安全的特征，且形成了對一切現(xiàn)存社會秩序的威脅。

在信息產(chǎn)業(yè)高速發(fā)展的今天，內(nèi)網(wǎng)安全已經(jīng)成為信息安全管理行業(yè)的發(fā)展方向之一。而造成這種現(xiàn)狀的根本原因，還是企業(yè)的實際需求。IDC 報告表明，70% 的安全損失是由企業(yè)內(nèi)部原因造成的，另一個為眾多安全廠商經(jīng)常引用的數(shù)據(jù)來自FBI 和CSI，該數(shù)據(jù)稱，超過85%的安全威脅來自企業(yè)內(nèi)部，威脅源頭包括內(nèi)部未授權(quán)的存取、專利信息被竊取、內(nèi)部人員的財務(wù)欺騙等。當(dāng)然更有說服力的，還是一些國內(nèi)活生生的例子，如國內(nèi)某著名企業(yè)的泄密案等等，其損失之巨大，更是足以不寒而栗。

現(xiàn)在一提到信息安全，人們首先想到的就是病毒、黑客入侵，在媒體的宣傳下，病毒、黑客已經(jīng)成為危害信息安全的罪魁禍?zhǔn)?。然而，對計算機系統(tǒng)造成重大破壞的往往不是病毒、黑客，而是組織內(nèi)部人員有意或無意對信息的窺探或竊取。從技術(shù)上來講，內(nèi)部人員更易獲取信息，因為內(nèi)部人員可以很容易地辨識信息存儲地，另外也不需要他們擁有精深的IT知識，只要會操作計算機，就可以輕易得獲取自己想要得資料;相對而言，黑客從外部竊取資料就比較困難，首先他們要突破防火墻等重重關(guān)卡，然后還要辨別哪些是他們想要的信息，這就對黑客提出了比較高的技術(shù)要求。

FBI和CSI在2007年對5484家公司進行了網(wǎng)絡(luò)安全專項調(diào)查，調(diào)查結(jié)果顯示：超過85%的安全威脅來自公司內(nèi)部、有6%來自內(nèi)部未授權(quán)的存取，有4%來自專利信息被竊取，有3%來自內(nèi)部人員的財務(wù)欺騙，而只有2%是來自黑客的攻擊;在損失金額上，由于內(nèi)部人員泄密導(dǎo)致了560，565，000美元的損失，是黑客所造成損失的16倍，病毒所造成損失的12倍。這組數(shù)據(jù)充分說明了內(nèi)部人員泄密的嚴(yán)重危害，同時也提醒國內(nèi)組織應(yīng)加強網(wǎng)絡(luò)內(nèi)部安全建設(shè)。

內(nèi)部人員造成的危害如此巨大，為什么媒體披露的卻比較少呢?這是因為黑客帶來的危害是比較公開的，例如篡改主頁，拒絕服務(wù)攻擊，網(wǎng)絡(luò)釣魚，編寫并傳播病毒等黑客行為，這些行為造成的后果影響的面比較廣，因此媒體得到這些信息也比較便捷，曝光率也就比較高。相比黑客入侵，內(nèi)部人員的破壞行為往往具有隱蔽性，另外有些單位怕曝光后社會影響不好，影響單位聲譽，因此也就捂住不報。

隨著這幾年的發(fā)展，人們對網(wǎng)絡(luò)安全的認(rèn)識也日益深入，入侵檢測、VPN、信息加密等安全產(chǎn)品也逐步得到認(rèn)可，但是這些產(chǎn)品有一個共同點：防外不防內(nèi)。各個組織在網(wǎng)絡(luò)安全建設(shè)上投資不小，但這些安全建設(shè)完全基于“內(nèi)部人行為可信賴”這一假設(shè)。這樣一來，網(wǎng)絡(luò)內(nèi)部安全必然疏于防范，信息暴露于內(nèi)部人面前，假如這些信息有可利用的價值，就可能被內(nèi)部人員截獲并獲取非法利益，而一旦泄密事故出現(xiàn)，不僅損失慘重，而且很難追查到泄密人員，只能對相關(guān)領(lǐng)導(dǎo)進行處罰。其實這種情況是可以通過一些手段避免的，只不過這些組織沒有認(rèn)識到內(nèi)部安全問題而已。

信息社會，信息就是價值，信息就是生產(chǎn)力。IT技術(shù)的發(fā)展使得人們獲取信息的速度日益加快，這也給犯罪分子提供了便利，通過一個U盤，一分鐘的時間就可以拷走上百兆的資料，而這些資料可能價值不菲，因此說一分鐘損失幾千萬，上億元絕對不是危言聳聽。我們在安全建設(shè)上“重防外，輕防內(nèi)”無疑會給自己留下安全隱患。

由于內(nèi)部網(wǎng)絡(luò)監(jiān)控的缺位，有許多漏洞可以被內(nèi)部人員所利用以截獲資料，目前來看，內(nèi)部泄密主要是通過如下途徑：1、內(nèi)部人員將資料通過軟盤、U盤或移動硬盤從電腦中拷出帶走;2、內(nèi)部人員通過互聯(lián)網(wǎng)將資料通過電子郵件發(fā)送到自己的郵箱;3、將文件打印后帶出;4、將辦公用便攜式電腦直接帶回家中;5、電腦易手后，硬盤上的資料沒有處理，導(dǎo)致泄密;6、隨意將文件設(shè)成共享，導(dǎo)致非相關(guān)人員獲取資料;7、移動存儲設(shè)備共用，導(dǎo)致非相關(guān)人員獲取資料;8、將自己的筆記本帶到公司，連上局域網(wǎng)，竊取資料;9、乘同事不在，開啟同事電腦，瀏覽，復(fù)制同事電腦里的資料。此外，還有很多其他途徑可以被別有用心的內(nèi)部人員利用以竊取資料。

那么如何才能解決內(nèi)部人員泄密問題呢?這就要求組織配置必要的技術(shù)裝備，另一方面也要加強管理，做好內(nèi)部人員的保密教育，法制教育?！凹夹g(shù)與管理”并重，才能從根本上杜絕內(nèi)部人員泄密。

在技術(shù)上，目前有許多產(chǎn)品可以對內(nèi)部人員計算機操作行為進行審計。在管理上，防范內(nèi)部人員泄密要做到一下幾點：一是要建立一整套規(guī)范的安全保密制度并嚴(yán)格執(zhí)行;二是要加強員工的保密教育，使他們認(rèn)識到保密工作的重要意義;三是要有獎懲制度，對保密先進個人、單位予以嘉獎，對于泄密事故加大懲處力度，做到以儆效尤。

信息技術(shù)的運用正逐步滲透到日常工作的各個層面，與此而生的內(nèi)網(wǎng)安全問題也會逐漸被各級組織所認(rèn)知，如何應(yīng)對內(nèi)網(wǎng)安全問題將是擺在各個單位面前的重要問題。有政府的政策指引，有各個安全企業(yè)的參與，相信由內(nèi)網(wǎng)安全問題所帶來的損失將被大大縮減，當(dāng)然最重要的還是單位自身需要認(rèn)識到內(nèi)網(wǎng)安全的嚴(yán)峻形勢并采取有效措施加以防范

網(wǎng)絡(luò)經(jīng)濟發(fā)展對信息安全產(chǎn)品帶來新的需求，防火墻、防病毒、信息加密、入侵檢測等已經(jīng)基本解決了抵御外來入侵的困擾;但是內(nèi)部用戶引起的信息泄密問題成為當(dāng)前信息安全的新的焦點。建立起有效的事前預(yù)防，事后追究機制成了眾多企業(yè)的當(dāng)務(wù)之急。

計算機和計算機網(wǎng)絡(luò)已經(jīng)成為企業(yè)、政府和其它各種組織的重要信息載體和傳輸渠道。很明顯，計算機、計算機網(wǎng)絡(luò)和其所帶來的信息數(shù)字化大幅度提高了工作效率，也使得海量的信息存儲和處理成為了現(xiàn)實。但是，在享受到計算機以及計算機網(wǎng)絡(luò)所帶來的方便性的同時，也出現(xiàn)了目前廣泛關(guān)注的信息安全問題、行為管理問題。

國家信息安全測評認(rèn)證中心的調(diào)查結(jié)果也表明，信息安全問題主要來自泄密和內(nèi)部人員犯罪，而非病毒和外來黑客引起，這正反映了“堡壘最容易從內(nèi)部攻破”的道理。毫不夸張地說，一個能進入辦公室打開機密電腦的普通員工對內(nèi)網(wǎng)安全的潛在威脅遠遠超過了一個技術(shù)一流的網(wǎng)上黑客。

一般來講，大型機構(gòu)在網(wǎng)絡(luò)化過程中面臨的安全問題可包括網(wǎng)絡(luò)系統(tǒng)安全和數(shù)據(jù)安全。針對網(wǎng)絡(luò)系統(tǒng)安全方面，機構(gòu)需要防止網(wǎng)絡(luò)系統(tǒng)遭到?jīng)]有授權(quán)的存取或破壞以及非法入侵;在數(shù)據(jù)安全方面機構(gòu)則需要防止機要、敏感數(shù)據(jù)被竊取或非法復(fù)制、使用等。各類計算機病毒、系統(tǒng)陷阱(Trapdoors)、隱蔽訪問通道、黑客攻擊等造成敏感數(shù)據(jù)泄密、Web 站點癱瘓等等問題，都是機構(gòu)實現(xiàn)網(wǎng)絡(luò)化面臨的外部威脅。如何搭建安全的網(wǎng)絡(luò)架構(gòu)，如何將非法入侵者拒之門外、如何防止內(nèi)部信息外泄，這些都是企業(yè)/機構(gòu)在進行網(wǎng)絡(luò)化過程中必須解決的問題。目前，機構(gòu)僅僅利用Firewall 在網(wǎng)絡(luò)的邊緣設(shè)置了快速有效的網(wǎng)絡(luò)防火墻及網(wǎng)絡(luò)巡警系統(tǒng)，可以對網(wǎng)絡(luò)入侵進行監(jiān)控和防護，抵御低階通訊層次的攻擊、防止主機及個人電腦的入侵、檢測惡意的可執(zhí)行程序和阻絕網(wǎng)絡(luò)的濫用。

這種解決方案是針對外部入侵的防范，對于機構(gòu)內(nèi)部信息保密安全管理卻無任何作用。對于一個大型機構(gòu)，特別是政府機關(guān)，信息安全防范尤為重要。以往人為控制的教育加監(jiān)督(人工填寫日志)的安全管理方式是無法阻止內(nèi)部工作人員運用現(xiàn)今的高科技信息載體主動或被動泄密(如利用EMAIL，F(xiàn)TP，筆記本，光盤，可移動硬盤等)的，這是每一個安全管理人員必須認(rèn)真對待的問題。

因此，不管是以樂觀還是悲觀的心態(tài)來看待網(wǎng)絡(luò)安全的現(xiàn)狀以及未來的發(fā)展，我們都應(yīng)充分意識到這樣一個事實：來自內(nèi)部的威脅已經(jīng)成為危害網(wǎng)絡(luò)安全的首要因素：內(nèi)憂甚于外患，如何建立一個可信并可控的內(nèi)部網(wǎng)絡(luò)(Trusted & Controllable Network，TCN)，其重要性是不言而喻的。