数据泄密防护分析

2022-07-08

数据泄漏是一个逐步的过程，从信息数据生成的源头逐渐向外扩散，通常最终由非授权用户通过不同的边界途径传播到组织无法控制的外部环境，通过对数据->人->边界传播路径的分析，即数据源于业务系统，数据的下载和传播都是人为操作，需要通过边界(网络、终端、虚拟化等物理边界和逻辑边界)进行泄漏，所以，数据泄漏防护的核心思想就是沿着数据传递方向逐级进行防护，进而达到降低风险的效果。

数据泄露防护在数据资产分类的基础上，结合组织的业务流程和数据流向，构建完善的可能导致数据泄露各个环节的安全，提供统一解决方案，促进核心业务持续安全运行。为了保证数据在生命周期泄漏防护效果，可以采用的主要数据泄漏防护技术主要有三种:

数据加密技术

数据加密是过去十年国内数据泄漏防护的基本技术之一，包含磁盘加密、文件加密、透明文档加解密等技术，目前以透明文档加解密最为常。透明文档加解密技术通过过滤驱动对受保护的敏感数据内容进行相应参数的设置，从而对特定进程产生的特定文件进行选择性保护，写入时加密存储，读取文件时自动解密，整个过程不影响其他受保护的内容。加密技术从数据泄漏的源头对数据进行保护，在数据离开企业内部之后也能防止数据泄漏。但加密技术的秘钥管理十分复杂，一旦秘钥丢失或加密后的数据损坏将造成原始数据无法恢复的后果。对于透明文档加解密来说，如果数据不是以文档形式出现，将无法进行管控。

权限管控技术

数字权限管理(Digital Right Management，DRM)是通过设置特定的安全策略，在敏感数据文件生成、存储、传输的瞬态实现自动化保护，以及通过条件访问控制策略防止敏感数据非法复制、泄漏和扩散等操作。DRM技术通常不对数据进行加解密操作，只是通过细粒度的操作控制和身份控制策略来实现数据的权限控制。权限管控策略与业务结合较紧密对组织现有业务流程有影响。

基于内容深度识别的通道防护技术

基于内容的数据防泄漏(Data Loss Prevention，DLP)概念最早源自国外，是一种以不影响组织正常业务为目的，对组织内部敏感数据外发进行综合防护的技术手段。DLP以深层内容识别为核心，基于敏感数据内容策略定义，监控数据的外传通道，对敏感数据外传进行审计或控制。DLP不改变正常的业务流程，具备丰富的审计能力，便于对数据泄漏事件进行事后定位和及时溯源。