IT风险治理：规避五大数据安全风险.docVIP

IT风险治理：规避五大数据安全风险 　　如果企业认为自己的数据存储已经非常安全了，那就大错特错了。目前，企业数据泄露的问题非常突出，这里我们介绍五种常见的数据安全风险，并给出规避风险的建议。 　　让我们一起来思考一个问题： 企业数据所面临的最大安全威胁是什么？如果你的回答是黑客攻击或者说是IT人员的违规行为的话，那并不完全正确。的确，黑客的恶意攻击总能引起人们的高度重视，IT人员的恶意违规行为更是不能容忍，但事实上，最有可能泄露企业数据的却往往是那些没有丝毫恶意的员工，换句话说，内部员工使用网络文件共享或者乱用笔记本电脑造成数据泄露的可能性最大。 　　据Ponemon Institute必威体育精装版的调查报告显示，内部员工的粗心大意是到目前为止企业数据安全的最大威胁，由此造成的数据安全事故高达78%。在这份报告中还指出，在企业不断尝试和应用必威体育精装版企业内部数据保护技术的同时，却没有充分意识到企业内部员工的笔记本电脑以及其他移动存储设备所存在的安全隐患。 　　存储网络工业协会（SNIA）曾发布过企业存储安全性自我评估方法，用来测试企业对数据的保护程度。结果显示，目前大多数企业受到数据泄露问题的困扰。ITRC（Identity Theft Resource Center）的资料也显示，在美国，2008年出现的数据泄露事件比上一年增长了47%。“况且这些还只是有记载的数字，我的电子邮箱里就经常收到一些促销信息，显然我的个人信息通过某种渠道被泄露了。” ITRC的创始人、身份认证管理专家Craig Muller说。 　　事实上，现在人们应该充分意识到问题的严重性了。Ponemon Institute在2008年进行的另一项调查显示，在1795名受访者中有超过一半以上的人表示其在过去24个月中被告知数据泄露的次数大于两次，而8%的人则表示收到过四次以上这样的通知。但是，到目前为止，企业还不知道该如何保护自己。在Ponemon Institute的这份调查中显示，在577名安全专家中仅有16%的人认为当前的安全措施足以保护企业的数据安全了。 　　目前，解决问题惟一的方法就是借鉴其他企业的前车之鉴，以避免自己出现类似的问题。下面介绍五种常见的数据泄露问题，每种情况我们都给出了规避安全风险的建议。 　　内部窃取 　　2007年11月，Certegy Check Services（Fidelity National Information Services的一家子公司）的高级数据库管理员利用特许的数据存取权限偷走了超过850万客户的数据资料。随后，他将数据卖给了一家中间商，价格是50万美元，之后这家中间商又将数据卖给了其他商家。事情败露后，这名员工被判入狱四年并负责赔偿320万美元的经济损失。Certegy Check Services官方宣称事情很快就得到了解决，客户的个人信息并没有被泄露，不过，其客户还是收到了其他厂商发来的促销信息，而这些厂商恰恰购买了被窃数据。 　　还有一个案例，一位在DuPont工作的技术专家在离开公司之前拷贝了价值4亿美元的商业机密，然后跳槽到了一家与DuPont竞争的亚洲公司。根据法院的记录，他利用特许存取权限下载了大约2.2万份摘要以及1.67万份PDF文件，这些文件记录了DuPont的主要产品线，其中还包括一些开发中的新技术。他在下载数据之前与DuPont的竞争对手讨价还价了两个月之久，并最终达成了“协议”。依据这些犯罪记录，法院宣判其服刑18个月。 　　代价：在DuPont的案例中，虽然最终美国政府为其损失补偿了18万美元，但其被泄露的商业机密估计价值超过4亿美元。而且，没有任何证据可以证明，DuPont泄露的数据已经被竞争对手，也就是上述那位技术专家的“同谋”得到，这就使得DuPont无法通过更有效的法律途径解决问题。 　　据Semple的研究显示，客户信息失窃比知识产权失窃带来的损失更大。在2008年，Certegy Check Services公司为客户信息丢失所付出的代价是每人每次2万美元。 　　分析：ITRC的报告中显示，在2008年发生且被记录下来的泄露事件中有16%是由内部窃取所造成的，是2007年的两倍。原因是，现在很多企业在“猎头”的同时，还伴随着商业犯罪—根据卡内基梅隆大学计算机应急响应小组（CERT）的研究，1996年到2007年企业内部犯罪有一半是窃取商业机密。 　　CERT指出，内部人员窃取商业机密有两大诱因：一是能够获得金钱；二是能够获得商业优势。虽然后者多是从员工准备跳槽开始的，但这类情况大都是在员工离开以后才被发现，因为其留下了秘密访问数据的记录。可见，内部威胁是数据安全管理的难题之一，尤其是对那些有特许权限的员工的管理更是如此。 　　建议：首先，建议企业做好对数据库非正常访问的监督，为