基于ISMS標準要求實現企業商業秘密的保護

◆ 賈大智 崔晶晶 邵衛軍 陳曉武/ 文

1 概述

隨著互聯網的普及以及信息化的高速發展，各種各樣的信息安全問題也隨之出現，以往企業主要關注的是保護計算機的硬件、軟件，將信息安全僅僅視為物理環境、網絡系統或者計算機的安全，而忽略了保護數據的安全。實際上，企業信息安全保護的最終對象是數據，尤其是涉及到企業核心資產的商業秘密。因此如何從技術手段和管理手段上全方位地保障核心數據不被竊取、篡改、泄露，是企業、組織甚至是國家都不得不直面的信息安全新課題。

ISO 27001：2005信息安全管理體系來源于信息安全管理體系（ISMS）標準，其最初的概念起源于英國標準化學會制定的英國國家標準BS7799標準，是系統化思想在信息安全領域的應用，后被國際標準化組織認可，作為國際標準發布、普及并被廣泛地接受，我國于2008年將其等同轉化為了國家標準GB/T 22080-2008/IS0/IEC 27001：2005。該標準包括了11個控制域、39個控制目標和133個控制項，鼓勵企業、組織采用PDCA的過程方法建立、實施、運行、監控、評審，保證ISMS的持續改進，減少企業面臨的信息安全風險，保護企業信息安全的機密性、完整性和可用性，保障企業的業務持續、有效地運營。

2 基于ISMS標準的數據安全風險分析

2.1 信息資產識別

企業的資產管理是整個信息安全管理體系的基礎。首先企業要清晰地識別出所有的資產，評估出它們的價值，從而明確到底有多少需要保護的核心資產和商業秘密，明確它們的責任人、使用人和使用范圍，以及它們具體存放的地點。

早期企業大都是通過人工的方式來整理和維護自己的資產清單，隨著組織規模的日益龐大，人工收集已經非常不現實，容易造成新增資產的識別遺漏，資產變更后的更新不及時，尤其是分散在部門和個人處的資產，管理部門無法實時監控和管理，容易造成資產評級的不準確，從而導致采取的控制措施無效。

商業秘密作為企業重要的信息資產，往往包含著巨大的經濟利益，是企業核心競爭力所在。由于其具有一定壟斷性的特點，往往可以給企業帶來超出正常水平的收益回報。正因如此，商業秘密對競爭者具有極大的誘惑力，極易導致不正當手段進行竊取和盜用的現象出現。特別是在越來越激烈的全球化市場競爭中，企業將面臨日益增多的商業秘密侵權行為。因此，如何對商業秘密進行有效的保護，是企業亟需解決的新問題。

2.2 商密訪問控制

隨著IT系統規模的擴大，以及IT系統資產價值的增加，系統面臨的安全威脅也隨之增加。 這些威脅中除了來自外部的黑客攻擊以外，更多的是由于內部操作管理水平的不足而產生的，如：內部操作人員的惡意破壞操作、誤操作，第三方維護人員的越權訪問、數據竊取等等。這些由于內部(第三方支持人員)而產生的安全事件，對單位或者企業造成更大的負面影響，其所能造成的損失往往是不可估量。

要防止這些損失的發生，最重要的就是要進行有效的用戶訪問控制。現代化的企業作為一個群體組織，各個環節上都可以產生出具有價值、值得保護的信息資源，這也就意味著企業的各個組成部分或多或少都掌握了一些商業秘密，如何在各個環節上防止商業秘密的泄漏，如何重點保障核心文件只有限定的幾個員工可以查看，都是需要我們重視的。

2.3 介質管理

移動介質的管理一直是信息安全管理體系的一個難點。U盤、光驅、打印機等外設的使用提供了終端信息輸出和傳遞的主要途徑，但同時也為病毒傳播和信息泄密帶來了方便。為了保證內部網絡安全，要求對網內各終端計算機的外設使用進行控制。現有企業的做法是對接口進行硬件上的封殺，拿掉光驅、軟驅，或用膠將USB口封住，這樣浪費了硬件資源，同時管理效果也不理想。

2.4 信息交換

內網用戶越來越多地采用共享目錄進行資源共享，共享目錄使用不當則很容易造成商密信息的泄露；如果開啟讀寫共享，則給病毒傳播開啟了更為方便的大門。但個人電腦的共享目錄管理員難以控制，單靠安全教育于事無補，安全事件層出不窮。

員工通過電話線撥號、VPN撥號、GPRS無線撥號等方式，繞過防火墻的監控直接連接外網，使企業內網的IT資源暴露在外部攻擊者面前，攻擊者或病毒可通過撥號線路進入企業內網；另一方面，內部員工可能通過這種不受監控的網絡通道將企業的商業機密泄漏出去，給企業帶來經濟損失但又難以對其進行法律取證。

除了使用移動介質來輸出和交流數據外，我們還經常使用郵件、即時通訊軟件來進行信息的交換，這在一定程度上也會導致數據的泄露。采用何種安全的信息交換方式，是迫切需要解決的問題。

2.5 數據備份

為了保障數據的完整性，數據備份是不可或缺的一個環節。如果缺少了數據備份，很可能導致業務的中斷，造成無法彌補的損失。

3 寶信商業秘密保護解決方案

對于現代企業來說，商業秘密可能存在于分散的用戶終端，也可能存在于企業或部門的文件服務器，或者應用系統的服務器中，這些商業秘密面臨的風險是多方位的，既有來自內部人員的泄密風險，也有來自外部競爭對手的竊密風險。傳統的安全產品和技術由于自身的局限性，只能解決局部泄密問題，無法為企業商業秘密管理提供有效的支撐。

鑒于此，構建企業內商業秘密的防護是一項復雜的系統工程，涉及到主機、網絡、數據、終端等多個層面。在規劃、設計商密保護系統時，單純依賴經驗是無法對抗未知的威脅和攻擊的，因此需要遵循相應的安全標準，從更全面的角度進行差異性分析，才能保證技術方案的完整性。寶信在實踐ISO27001的過程中，形成了一整套最佳實踐，并自主研發了多款產品來解決ISO27001實施過程中的難題，商密保護平臺eCop-TSP及特權賬號管控eCop-ASP就是其中兩款優秀產品。

“基于云存儲的商業秘密保護平臺”(eCop-TSP)，與傳統的數據防泄密產品相比，基于云存儲進行商業秘密保護可以有效地限定商密的保護外延，以數據集中存儲，分級管理為核心理念，改變商業秘密分散管理、各自為政、難以管控的局面，通過數據的自動匯聚、靈活的分級管理策略和全面的業務管理流程，更加貼近企業保密業務的需求特點，具有管控全面、流程完備、使用簡便、擴展靈活、成本低廉的優勢。而且，在充分保證數據安全的同時，該產品還提供了數據共享、傳遞等協同辦公功能，實現了安全與效率的有效平衡，可以為企業帶來最佳的可控性和可用性。

從ISO27001體系的角度來看，通過eCop-TSP可以一站式解決商密數據資產識別、介質管理、信息交換，數據備份的難題，可以有效控制企業商密數據泄露的風險。

3.1 商密信息識別與管理

寶信在實踐ISO27001過程中，成立了專門的商密信息資產識別團隊，對各種類型的涉密數據進行識別、歸類，建立了商密數據定義規范，可以確保員工在對企業數據資產進行保護的過程中，自動識別出應該設置的保護級別，同時在eCop-TSP系統中，按照企業的保密管理規定，對云存儲中的文件提供核心商密、普通商密以及企業自定義的保密屬性，并可對不同密級的文件實施不同的安全策略。

通過系統將終端安全、數據安全與云存儲安全進行有效聯動，首次提出商密準入，商密合規訪問的創新商密保護思路，確保只有合法的人通過合規的終端才能創建安全磁盤，并通過安全磁盤與云端存儲進行實時同步，為用戶提供了全周期、全流程、全層次的數據保護解決方案。

全周期：實現商業秘密數據從制作、存儲、使用、傳遞到銷毀等全生命周期的閉環管理，以幫助企業建立全生命周期的數據安全防護體系。

全流程：從商業秘密保護的業務角度出發，實現了商業秘密定密、密級變更、審批、外發、離線外帶、內外部流轉等各個流程的集中管控。

全層次：提供了從前臺傳統終端、移動終端到后端數據存儲的多重保護措施。在用戶終端層面，提供安全準入、健康體檢、虛擬磁盤、驅動層的透明加密、離線訪問、外發控制等功能，有效防范客戶端面臨的安全威脅；在后端存儲層面，采用了云存儲技術，實現了數據的集中存儲，通過高強度的加密、多重冗余、碎片化存儲等多種技術，確保服務端的數據安全。

通過以上技術手段，保證企業的商密數據資產被有效識別并有效管控，同時，由于可以在云端服務器上設置管理統一、分級授權的安全防護機制，使得集團總部及各分、子公司的數據，在集中化的前提下得到了統一的保護。

3.2 介質管理與信息交換

在傳統的數據安全解決方案中，對于介質管理采用的是簡單的禁用策略，對企業用戶的正常工作帶來很多困擾，寶信在實施介質管理的過程中，限定了介質管控的外延，只有在涉及到商密數據訪問的時候才對介質進行管控，不影響用戶的非涉密正常使用。在eCop-TSP系統中，當終端用戶建立安全磁盤視圖訪問商密數據時，如果用戶使用不受管控的移動介質，安全磁盤會自動識別并關閉，防止數據外泄；只有當用戶使用登記審核過的受控移動介質，才可以訪問安全磁盤中的商密數據。

受控移動介質內置受控的數據運行環境，有權限的用戶即使將數據拷貝到受控移動介質中也只能在受控環境下訪問，無法二次拷出或者傳輸，通過該手段可以有效確保數據不會通過移動介質泄密。

另外一方面，企業內部的數據協同需求非常旺盛，現代企業更多的是采用郵件或者U盤的方式解決數據共享的問題，但這恰恰是數據泄密的最重要渠道，在eCop-TSP系統中，采用了云存儲技術對涉密數據進行集中管理，并植入高效的協同機制，可以讓用戶快速地將安全數據磁盤的文件共享給他人，共享文件直接從云端服務器進行下載，降低使用U盤等移動介質共享文件時帶來的安全風險。

在數據共享過程中，采用群組對數據信息進行權限管理，所謂群組是利用云存儲實現多人數據共享和協作的一種新的應用模式。用戶可根據組織或者項目的范圍創建群組工作區，群組內不同用戶之間可快速的實現協作與共享，群組有如下特性：

——群組創建。授權用戶可創建群組，并在企業組織樹形結構列表中選擇用戶，邀請加入群組。

——群組同步。群組中的數據，群組中一旦有用戶上傳或修改文件，變化的內容即時推送至群組內所有用戶的客戶端。

——群組歸檔。當群組的生命周期結束后（如項目完工），管理員可對群組進行歸檔。歸檔后所有文件自動從所有成員的客戶端上清除。

——群組授權。群組管理員可對群組的所有文件統一授權，授權類型包括文件創建、讀取、修改、刪除。

——目錄分級授權。群組管理員可為每個目錄設定1名或多名目錄管理員，目錄管理員可對其他用戶進行二次授權，授權類型包括文件創建、讀取、修改、刪除。

通過以上技術手段，在企業數據共享過程中，可以盡量降低高風險的移動介質使用頻度，另外在數據的安全性方面，用戶在上傳文件時同樣采用獨立的密鑰對每個數據塊進行加密。數據塊密鑰保存在群組工作區數據庫內，所有群組用戶均可以獲取密鑰對數據進行解密訪問，實現企業新型的協同辦公，從而確保企業具備高效安全的信息交換手段。

3.3 數據備份

企業商密數據管控過程中，數據安全無疑是最重要的，在eCop-TSP中，存放在云端的文件在上傳前已經被分割成數據塊，每個數據塊使用獨立的密鑰進行加密，加密算法采用AES算法，密鑰長度為256位。即使通過某種途徑獲取到某個數據塊密鑰，也無法解密其他數據塊，不會危及其他用戶的數據安全。另外當數據存儲在云端時，系統根據預設值的策略，自動進行多重鏡像備份。在硬件方面，可采用多臺物理服務器，從硬件層把數據的存放位置分開，消除單點故障。在單臺服務器出現異常的情況下，依然能保障系統正常運行，保障數據不丟失。

3.4 商密訪問控制

ISO27001中關于訪問控制有明確的要求，在條款A10.10.1要求組織必須記錄用戶訪問、意外和信息安全事件的日志，并保留一定期限，以便安全事件的調查和取證；

條款A10.10.4要求組織必須記錄系統管理和維護人員的操作行為；

條款A15.1.3明確要求必須保護組織的運行記錄；

條款A15.2.1則要求信息系統經理必須確保所有負責的安全過程都在正確執行，符合安全策略和標準的要求。

在寶信實施ISO27001的過程中，針對商密數據保護，經過詳盡的分析，發現企業的應用本身都采用了完整的訪問控制，而對于特權賬號的管控則存在很大的泄密風險，因此在實施上采用的寶信自主研發的特權賬號管控與審計平臺（eCop-ASP）進行商密訪問管控，寶信eCop-ASP特權賬號管控與審計平臺支持多種身份認證方式，包括靜態密碼、Windows AD域、Radius認證、LDAP認證、數字證書等，此外還可以通過認證接口擴展與第三方認證系統的集成。通過“操作審計賬號”與“服務器賬號”關聯的方式，為每次訪問過程建立賬號關聯信息，從而實現將用戶身份的通過操作賬號落實到唯一的操作“自然人”。

除了按照主機對象進行授權外，特權賬號管控與審計平臺也能夠提供指令級細粒度的訪問控制，最大限度保護用戶資源的安全。管理員可以設定每個用戶能夠使用的黑、白指令集，一旦操作人員執行黑名單指令，操作系統會自動阻斷其操作，從而最大限度保護云存儲服務器的安全，確保操作用戶訪問商密數據過程的合規性。

4 總結

寶信在實施ISO27001過程中，所形成的這些最佳實踐，可以作為有益的知識進行傳承，為其他企業提供幫助，在實施過程中所采用的技術手段具有很強的創新性與先進性，也值得其他企業參考。與傳統的數據防泄密產品相比，寶信所采用的基于云存儲的商密保護產品，改變了以往企業商密數據分散在員工個人手中難以管控的局面；以數據集中存儲，分級管理為核心理念，改變商業秘密分散管理、各自為政的局面；通過數據的自動匯聚、靈活的分級管理策略和全面的業務管理流程，更加貼近企業保密業務的需求特點，具有管控全面、流程完備、使用簡便、擴展靈活、成本低廉的優勢。而且，在充分保證數據安全的同時，該產品還提供了數據共享、傳遞等協同辦公功能，實現了安全與效率的有效平衡，可為企業帶來最佳的可控性和可用性。

（略）