學好五步玩轉加密

2013-10-17 10:40:34 EP電力信息化網(wǎng)　點擊量：評論 (0)

臨陣磨槍的匆忙部署，往往會使加密項目出現(xiàn)各種問題，反而影響部署進度和效果。我們從國際知名的內網(wǎng)安全管理先鋒企業(yè)溢信科技處也了解到，不少企業(yè)很多企業(yè)網(wǎng)管員、IT經(jīng)理等被上級臨時要求在企業(yè)準備部署加密，

臨陣磨槍的匆忙部署，往往會使加密項目出現(xiàn)各種問題，反而影響部署進度和效果。我們從國際知名的內網(wǎng)安全管理先鋒企業(yè)溢信科技處也了解到，不少企業(yè)很多企業(yè)網(wǎng)管員、IT經(jīng)理等被上級臨時要求在企業(yè)準備部署加密，時間上的匆忙和信息的不足，造成很多如缺乏系統(tǒng)規(guī)劃、產(chǎn)品選型經(jīng)驗不足、部署方案可行性不夠等問題出現(xiàn)，其實加密部署有一套詳盡規(guī)范的流程可學，不如學好這五步，讓加密部署效果事半功倍。

從溢信科技(www.tec-development.com)的安全專家處，我們了解到，企業(yè)要卓有成效地部署加密項目，應該要做好五方面的工作。這五方面分別是確定需求、產(chǎn)品選型、產(chǎn)品測試、產(chǎn)品部署及產(chǎn)品驗收，這五個環(huán)節(jié)構成一個閉環(huán)，是支撐一個加密項目的骨架。

一、明確自身的加密需求
1)確定需求。
加密需求的確定是一個嚴密科學的過程，而不是頭腦發(fā)熱一時沖動的結果，只有嚴格遵循一定的程序才能確保質量。從提出初步需求到立項，再展開詳細的需求調研，通過這樣的流程可以幫助企業(yè)更清晰地了解自身的需求點。而調研內容則包括存在哪些機密數(shù)據(jù)，這些數(shù)據(jù)存儲于哪些地方，數(shù)據(jù)流轉的方式有哪些、哪些人可以接觸這些數(shù)據(jù)等，了解得越清楚越有利于后面工作的開展。

2)對需求進行合理地分類分級，以明確重點。
并不是所有的需求點都處于同一個重要級別上，都需要采取同樣的防護力度。因此初步確定需求點后，要對其按輕重緩急進行合理分類。需求是整個項目的基礎，對需求研究的越全面，越有利于項目的進行。

3)努力贏得高層的支持，以保證項目順利進行。
溢信科技十多年都扎根于內網(wǎng)安全，他們接觸過很多企業(yè)CIO、IT經(jīng)理等人，過去很多的最終失敗案例多數(shù)是沒有贏得足夠的高層支持，使得項目無法繼續(xù)進行下去。溢信科技的安全專家也表示，近幾年這種情況劇減，反而是越來越多的高層直接參與到加密項目部署中，督促IT部門盡快落實，提高效率，加速防護企業(yè)內網(wǎng)安全。

二、選擇適合自身的加密產(chǎn)品
1)看加密技術是否穩(wěn)定可靠，保障系統(tǒng)正常運行。
一件好的武器，應該在將防御性能發(fā)揮到極致的同時，將自身的風險系數(shù)降到最低。加密作為信息泄露防護利器，必須保證穩(wěn)定可靠，能夠保障系統(tǒng)正常運行，保證加密文檔不會因為系統(tǒng)崩潰而遭到破壞。

2)看災備方案是否足夠完善，以應對各種意外情況發(fā)生。
災備機制是一個加密系統(tǒng)是否值得信賴的重要考量標準。災備方案足夠完善，才能夠應對各種意外情況發(fā)生，確保加密系統(tǒng)持續(xù)穩(wěn)定運行，讓用戶無需擔心原文件的安全。

3)看適用場景是否全面，能全方位保護文檔的安全。
如果對企業(yè)數(shù)據(jù)的應用場景進行劃分的話，可以粗略劃分為四大部分，分別是文檔內部流轉、內部應用服務器的集中管理、外發(fā)管理、離線辦公。適用場景全面才能夠全面保護文檔的安全，確保能夠對企業(yè)做到面面俱到的信息泄露防護。

4)看功能是否豐富實用，實現(xiàn)精細化管理。
信息泄露防護要想收到良好的效果，必須考慮精細化管理。如果對所有數(shù)據(jù)設置一種安全策略，那必將對業(yè)務的開展造成巨大的阻力，結果多數(shù)就保效率棄安全，無法持續(xù)進行。因此企業(yè)在選擇加密系統(tǒng)時要確保其功能足夠豐富與實用，能夠滿足自己的實際需要。

5)綜合考量加密廠商實力，確定是否值得信賴。
考量產(chǎn)品的同時還需綜合考量廠商實力，即使產(chǎn)品功能滿足需求，若企業(yè)的實踐經(jīng)驗或者服務能力不足，也會導致加密項目受阻甚至失敗。

三、進行充分的產(chǎn)品測試
1)由點至面，循序漸進
測試過程中可能會產(chǎn)生很多問題，可能一時之間難以找到，如果一開始就進行大面積測試，一旦問題出現(xiàn)很可能使測試人員無法應對，產(chǎn)生不良情緒等。因此需由點至面，按照功能測試-小范圍測試-擴大測試的順序進行，才會更有效率。

2)全面考查
測試中除了考查產(chǎn)品功能是否達標外，還要著重考查產(chǎn)品穩(wěn)定性、易用性、與其他程序的兼容性等。產(chǎn)品不穩(wěn)定，問題頻繁產(chǎn)生，企業(yè)需花費大量的時間去維護;產(chǎn)品易用性差，會增加用戶的操作難度，影響工作效率;產(chǎn)品兼容性差更可能隨時出現(xiàn)意不想到的問題。測試時應多設想實際的工作情景，以檢驗產(chǎn)品的適用性。

3)及時反饋
溢信科技在實踐中發(fā)現(xiàn)，企業(yè)部署加密項目的過程中若與廠商的互動較少，則容易導致問題不能被及時發(fā)現(xiàn)與解決，甚至會引起雙方不必要的誤會。因此溢信建議企業(yè)應嚴格檢查效果、及時反饋問題，多與安全廠商溝通、反饋問題。

四、制定可行的部署方案
1)特別注重部署前的調研與方案制定，盡量減少沖突。
在部署加密系統(tǒng)之前，企業(yè)應了解各個部門的想法與需求，并制定合理業(yè)務處理流程，比如部署的步驟、方式、人員分工、網(wǎng)絡拓撲圖等，對于可能出現(xiàn)的問題都提前準備應對方案，這樣可以減少沖突，有備無患。

2)逐步進行：客戶端安裝-分區(qū)域啟用-擴大至全公司
即使測試很順利，在真正部署時也不可大意，因為誰也無法保證不會出現(xiàn)意外情況。因此小心謹慎，循序漸進，敏感觀察與發(fā)現(xiàn)是絕對必要的。

3)誠懇溝通，最大程度地贏得員工理解與配合。
非IT部門的人員才是使用加密系統(tǒng)的主體，他們的態(tài)度將決定加密系統(tǒng)是否能夠持續(xù)有效地運行。贏得他們的理解不僅是保證安全策略的順利執(zhí)行，也是為了避免不必要的內耗。

五、檢驗加密系統(tǒng)的部署效果
1)選用值得信賴的檢驗人員，保證效果的真實。
客觀地說，檢驗員的工作并不是任何人都可以托付。一個合格的檢驗員，不僅需要專業(yè)的知識與技能，還需要正直的品質。企業(yè)須認真挑選值得信賴的人員，才能委以重任。

2)分階段驗收，前一步通過再進行下一步，步步為營，穩(wěn)扎穩(wěn)打。
首先在部署的每一個小階段進行驗收，這樣做是為了化整為零，及時發(fā)現(xiàn)問題與解決。當整個項目部署完成后，還需要從整體上對其效果檢驗，以杜絕遺漏。另外溢信科技還特別提醒，信息泄露防護是一個持續(xù)的過程，不是進行一次策略設置后就不需要管理了。企業(yè)應定期檢驗策略的執(zhí)行效果，并不斷進行調整，以保證其持續(xù)有效。