移動(dòng)存儲(chǔ)介質(zhì)六大誤區(qū)威脅用戶數(shù)據(jù)安全
每隔幾個(gè)月，就會(huì)傳出磁帶丟失或筆記本電腦被盜的糟糕事件；于是我們就在想存儲(chǔ)在介質(zhì)上的信息會(huì)不會(huì)被壞人所利用，因而不但使公司面臨公關(guān)危機(jī)，還會(huì)使個(gè)人面臨泄密威脅。
保護(hù)企業(yè)關(guān)鍵數(shù)據(jù)安全是IT運(yùn)維人員最為基本的工作之一。很多企業(yè)均采用移動(dòng)介質(zhì)存儲(chǔ)方式來對(duì)數(shù)據(jù)進(jìn)行備份保護(hù)。為保證他們保護(hù)數(shù)據(jù)安全的工作能夠順利完成，本文提醒你要小心——不要步入移動(dòng)介質(zhì)存儲(chǔ)方面六個(gè)誤區(qū)之中。
***個(gè)誤區(qū)：磁帶過時(shí)了
簡(jiǎn)陋的磁帶讓人聯(lián)想到久遠(yuǎn)的大型機(jī)和批處理時(shí)代，在一些情況下已經(jīng)被磁盤到磁盤備份（通過網(wǎng)絡(luò)備份至遠(yuǎn)程站點(diǎn)）所取代。但是說到迅速而高效地備份、歸檔及恢復(fù)大量數(shù)據(jù)，沒有什么比得過磁帶。
Iron Mountain公司既提供通過網(wǎng)絡(luò)連接的數(shù)據(jù)備份，又提供在其站點(diǎn)的磁帶存儲(chǔ)服務(wù)。這家信息保護(hù)和存儲(chǔ)公司的高級(jí)副總裁Ken Rubin說：“遇到災(zāi)難的情況下――這時(shí)候需要爭(zhēng)分奪秒，沒有什么比把一堆磁帶放到車上、開車送到恢復(fù)站點(diǎn)更有效的了。由于帶寬方面的限制，通過網(wǎng)絡(luò)連接傳輸數(shù)TB或數(shù)PB的數(shù)據(jù)是不切合實(shí)際的?！?/P>
不過，有些用戶想改用其他存儲(chǔ)服務(wù)。Affiliated Computer Services Inc.（ACS）公司的***信息安全官Christopher Leach說：“由于磁帶面臨丟失的威脅，我們正在設(shè)法退出磁帶存儲(chǔ)這一塊業(yè)務(wù)?！彼硎荆珹CS正在開發(fā)一項(xiàng)服務(wù)：要是文件不是太大，把經(jīng)過加密的數(shù)據(jù)備份通過網(wǎng)絡(luò)瀏覽器發(fā)送給客戶。
誤區(qū)二 保護(hù)磁帶和筆記本電腦是網(wǎng)管的工作
保護(hù)信息技術(shù)當(dāng)然是IT人員的一項(xiàng)工作。但是公司里面其他人同樣有著重要作用，可是這種作用經(jīng)常被人們所忽視。
紐約州的CIO Melodie Mayberry-Stewart動(dòng)用由12個(gè)人組成的法律團(tuán)隊(duì)來研究***安全實(shí)踐，特別是金融行業(yè)方面的安全實(shí)踐。她表示，其中一些人專門從事加密和電信等領(lǐng)域。
另外，她還有一支不同的技術(shù)團(tuán)隊(duì)，成員專門從事安全和風(fēng)險(xiǎn)管理。Mayberry-Stewart表示，律師們與Iron Mountain等運(yùn)送及保存紐約州磁帶的公司協(xié)商簽訂“事無巨細(xì)”的合同以及“服務(wù)級(jí)別方面的備忘錄”――每個(gè)月要從四個(gè)大型機(jī)數(shù)據(jù)中心運(yùn)走大約4000只磁帶。
Sun公司在世界各地的七個(gè)數(shù)據(jù)中心經(jīng)常創(chuàng)建磁帶。盡管每個(gè)數(shù)據(jù)中心管理各自的一套數(shù)據(jù)保留流程，“它們不需要制訂各自的所有規(guī)則，”Sun公司的***信息安全官Leslie Lambert說。那么，這些規(guī)則、政策和程序從何而來？她說：“我們有一支非常警覺的法律團(tuán)隊(duì)、一支隱私團(tuán)隊(duì)、商業(yè)行為規(guī)范團(tuán)隊(duì)、內(nèi)部審計(jì)員、外部審計(jì)員以及信息保護(hù)法律小組――大家都相互合作?！?/P>
Leach表示，時(shí)時(shí)遵守?cái)?shù)據(jù)保護(hù)和保留方面的政府法規(guī)需要具備專業(yè)知識(shí)，不過這項(xiàng)工作的難度太大了，于是他通過Relational Security公司的風(fēng)險(xiǎn)和合規(guī)管理軟件來獲得自動(dòng)化幫助。
誤區(qū)三 丟失磁帶主要是個(gè)安全問題
當(dāng)然，丟失磁帶也可能是場(chǎng)安全災(zāi)難；要是被公眾知道，那對(duì)公關(guān)部門來說無疑是一場(chǎng)噩夢(mèng)。但另外可能還存在危害性同樣大的后果。
醫(yī)療產(chǎn)品生產(chǎn)商Stryker 公司的IT副總裁Brian Lurie說：“我并不過于擔(dān)心丟失員工信息（比如社會(huì)保障號(hào)碼），不過這個(gè)問題肯定很重要。讓我夜不能寐的是，可能會(huì)丟失磁帶，然后不得不向管理當(dāng)局FDA出示數(shù)據(jù)。我擔(dān)心的是公司因丟失信息而要承擔(dān)的責(zé)任；按照法律，我們必須妥善保留信息?！?/P>
Lurie表示，盡管法律要求一些信息要保存7年，但Stryker必須長(zhǎng)期保留人體內(nèi)使用Stryker產(chǎn)品的客戶們的信息、直到他們?nèi)ナ?。雖然該公司在遠(yuǎn)程站點(diǎn)恢復(fù)中心對(duì)磁盤做了鏡像處理，但經(jīng)過一段時(shí)間后，有些數(shù)據(jù)只保存在磁帶上，這些磁帶被Iron Mountain運(yùn)送過去、存儲(chǔ)在遠(yuǎn)地。
Lurie定期派審計(jì)人員到Iron Mountain的地方去清查Stryker的磁帶。他表示，定期審計(jì)是分三部分的磁帶保護(hù)計(jì)劃的一部分；該計(jì)劃還包括精心擬訂合同、與信譽(yù)可靠的磁帶存儲(chǔ)供應(yīng)商合作。
專家們表示，有人竊取磁帶后非法利用這種事很少發(fā)生，幾乎不用擔(dān)心。簡(jiǎn)單的人為錯(cuò)誤引起磁帶丟失、從而影響將來處理磁帶，顯然是最常見的問題。#p#
誤區(qū)四 技術(shù)解決不了，關(guān)鍵是嚴(yán)格控制
專家們表示，精心設(shè)計(jì)、盡可能自動(dòng)化以及經(jīng)過測(cè)試的規(guī)程和控制措施，能夠最有效地限制磁帶和筆記本電腦因無人看管而引起的丟失。但是技術(shù)也能起到很大的幫助。
數(shù)據(jù)加密仍然是首要的工具。盡管這項(xiàng)技術(shù)消除不了Lurie擔(dān)心因無法恢復(fù)數(shù)據(jù)而吃官司的憂慮，但是可以放心地告訴律師、記者和警方：壞人對(duì)筆記本電腦無從下手，因?yàn)橛脖P經(jīng)過加密；或者對(duì)磁帶無從下手，因?yàn)榇艓系臄?shù)據(jù)無法讀取。
Leach表示，ACS的所有員工臺(tái)式機(jī)和筆記本電腦都要求“經(jīng)過全盤加密”?！耙坏┐疟P經(jīng)過了加密，我們可以監(jiān)控及跟蹤；如果你試圖解密硬盤，我們就會(huì)知道，然后會(huì)通知你的管理人員?！?/P>
ACS放在達(dá)拉斯磁帶庫的磁帶超過了100萬只，其標(biāo)準(zhǔn)做法是對(duì)這些磁帶上的內(nèi)容進(jìn)行加密。Leach表示，但是有些客戶不想費(fèi)錢又費(fèi)力地對(duì)ACS送過來的備份磁帶進(jìn)行解密，所以他們要求保存的內(nèi)容采用明文格式。他說：“對(duì)這些磁帶而言，我們?cè)诿恳徊蕉加蟹浅?yán)格的包裝、標(biāo)記及跟蹤，幾乎就像是案件中的監(jiān)管鏈（chain of custody）。磁帶放入到龜形盒，這種盒子需要兩頭上鎖及開鎖?！?/P>
另外，他說“我們?yōu)檫@些磁帶保了高額險(xiǎn)，倒不是因?yàn)榇艓Щ蚬獗P很值錢，而是因?yàn)檫@會(huì)促使運(yùn)送方采取更嚴(yán)格的流程和更認(rèn)真的檢查?！?/P>
用戶聲稱，他們?cè)谘芯啃碌募夹g(shù)來補(bǔ)充或代替加密。紐約州正在關(guān)注保護(hù)筆記本電腦和磁帶盒的拇指紋掃描。ACS也在考慮三款磁設(shè)備的原型：一旦上鎖的盒被摔開，這種設(shè)備就會(huì)清除上鎖盒里面磁帶上的內(nèi)容。
Iron Mountain表示，最有效的自動(dòng)化幫助可能來自磁帶庫存控制系統(tǒng)，它有助于杜絕磁帶丟失的首要原因：公司內(nèi)部的人為錯(cuò)誤。
誤區(qū)五 加密后可萬無一失
盡管加密常常被認(rèn)為是***的技術(shù)解決方案，但它也有缺點(diǎn)。比方說，如果你要恢復(fù)磁帶上的內(nèi)容，卻丟了用來解密的密鑰，可能要倒霉了。另外，把數(shù)據(jù)寫入到磁帶、筆記本電腦硬盤或移動(dòng)介質(zhì)之前進(jìn)行加密要占用大量的計(jì)算機(jī)資源。***，加密在許多公司不是一項(xiàng)硬性要求，員工可能會(huì)規(guī)避。
由于這些原因，Stryker對(duì)筆記本電腦的硬盤不加密，除非硬盤上有敏感數(shù)據(jù)。遠(yuǎn)程用戶可能需要的敏感信息放在受保護(hù)的服務(wù)器上；只有需要服務(wù)器上的敏感信息時(shí)，才可以訪問；并不保留在本地。Lurie承認(rèn)這不是***的做法，因?yàn)檫@需要用戶主動(dòng)遵守規(guī)定。
Lurie表示，如果Stryker改用Windows Vista，他可以省不少事；因?yàn)樵摬僮飨到y(tǒng)提供了對(duì)數(shù)據(jù)自動(dòng)加密的選項(xiàng)。他補(bǔ)充說：“不過加密選項(xiàng)是個(gè)負(fù)擔(dān)――你需要額外內(nèi)存，還會(huì)使機(jī)器的運(yùn)行速度減慢?！?/P>
誤區(qū)六 如果你保護(hù)了，就可無憂了
新聞報(bào)道的注意力集中在丟失的磁帶和筆記本電腦上，但還有其他許多設(shè)備每天晚上從貴公司的大門溜走。Lurie表示，“黑莓”手機(jī)等移動(dòng)設(shè)備在Stryker得到了保護(hù)。他解釋：“我有能力遠(yuǎn)程清除移動(dòng)設(shè)備上的內(nèi)容。一旦移動(dòng)設(shè)備丟失，我們會(huì)立即向設(shè)備發(fā)出信號(hào)、清除上面存儲(chǔ)的內(nèi)容。”
但是，閃存驅(qū)動(dòng)器、光盤和DVD更成問題。Lurie的解決辦法就是：“如果沒有經(jīng)過加密，我們就阻止把敏感信息下載到它們上面?！?/P>
Lurie表示，他甚至擔(dān)心不太起眼的手機(jī)。他說：“我們不允許把相機(jī)帶入辦公大樓，但很多人的手機(jī)有拍照功能。要是誰給某人或某樣?xùn)|西拍了照，然后發(fā)到網(wǎng)上，我們可能就要承擔(dān)責(zé)任。我還不太清楚如何處理這種問題，但一直在認(rèn)真思考該問題?！?BR>
【相關(guān)文章】
