企業(yè)安全所涉及的范圍正在迅速減少。從公司的財務信息、源代碼郵件、非結(jié)構(gòu)化文件到其他形式的數(shù)據(jù)都游離于企業(yè)防火墻之外，在非IT控制設備上。劍橋和Forrester研究公司發(fā)現(xiàn)北美和歐洲的企業(yè)里有一半左右（47%）企業(yè)認為為第三方合作伙伴執(zhí)行安全需求是很重要的。

IT界的安全長期以來都遵循一個簡單的原則：公司擁有所有用戶的終端設備（訪問公司信息），設備安全了其上的數(shù)據(jù)也就安全了。但是如果這個原則不再適用，那會怎么樣呢？敏感信息在非公司所屬設備的儲存和傳輸?shù)牟槐阍絹碓矫黠@，表明這個原則是行不通的。

從事制造、媒體和季節(jié)性服務的企業(yè)之間的對話揭示了一個非常規(guī)的但卻充滿智慧的概念：控制并不一定需要所有權(quán)。不僅這樣，要成功地控制敏感信息在網(wǎng)絡上的傳播就需要徹底扭轉(zhuǎn)傳統(tǒng)的概念，即假設企業(yè)沒有任何設備的控制權(quán)。Forrester研究公司把這個策略稱為零信托模型。對這個策略更為簡單的解釋就是：假設所有終端設備都是不友好的。

在最近的研究中，F(xiàn)orrester研究公司列出實行零信任策略的五個數(shù)據(jù)安全設計模式：瘦客戶機、瘦設備、進程保護、數(shù)據(jù)保護和跟蹤。所有的這些模式都假設企業(yè)沒有終端設備的擁有權(quán)。將所有權(quán)和控制權(quán)分開，企業(yè)能夠設計出一個網(wǎng)絡終端安全政策，它包含了所有可能的所有權(quán)形式，如“技術(shù)大眾主義”、境外生產(chǎn)和外包。最終用戶可以通過以下方式來保障公司的信息安全。

1.瘦客戶端：進程集中化，信息本土化

瘦客戶端很早就被零信托計劃策略采用，它集中了很多技術(shù)。像流媒體服務器、虛擬主機桌面技術(shù)和虛擬工作間技術(shù)。為了加強它的安全性，須將敏感數(shù)據(jù)集中在安全性能更好的設備里，遠程設備只有通過瘦客戶機的終端應用程序才能進行數(shù)據(jù)訪問。由于這里需要與網(wǎng)絡對接，所以瘦客戶端不支持脫機使用。

瘦客戶端的優(yōu)點是數(shù)據(jù)從不離開服務器：它只將數(shù)據(jù)提供給終端設備。出于安全考慮，IT能夠限制主機的粘貼復制操作，限制數(shù)據(jù)轉(zhuǎn)移，并要求使用tokens.Client進行兩方身份驗證。

2.瘦設備：出于設備安全考慮，使用備份數(shù)據(jù)

瘦形設備模式通過限制允許訪問數(shù)據(jù)的設備類型來控制訪問途徑。智能手機等設備只能儲存一定量的敏感信息。它們所儲存的信息是復制而來的，原始數(shù)據(jù)則儲存在數(shù)據(jù)中心。由于它們的體積、儲存容量和處理速度的限制，應用程序被局限在電子郵件、小規(guī)模瀏覽網(wǎng)頁和簡單的網(wǎng)頁程序中，根本談不上通常的數(shù)據(jù)處理。而在薄形設備模式中，IT安全團隊仍能控制設備的安全，即使他們并不具備設備的擁有權(quán)。使用本土的管理工具或者第三方移動設備平臺，如Sybase公司的產(chǎn)品，可以通過備份和強制加密等加強智能手機的安全。出于安全考慮，瘦形設備可以被遠程移除，做到真正意義上的可控制，這點與PC機不同。然而，在不屬于自己的設備上強加IT安全政策會存在技術(shù)上或者政策上的不便。

3.進程保護：在一個安全的環(huán)境中處理本地信息

瘦客戶機模式中用戶設備不儲存敏感信息，但進程保護模式與此不同，它允許數(shù)據(jù)運行在非IT所有的設備中。一個獨立進程環(huán)境中的敏感信息，即從用戶的本地操作系統(tǒng)環(huán)境中分離出來——基本上是一個“氣泡”——其中的安全和備份性能是由IT控制。進程保護模式有很多優(yōu)勢：本地執(zhí)行、脫機操作、中央管理和一個高精度的安全控制，包括遠程擦除功能。但是要記住，大多數(shù)操作系統(tǒng)和應用虛擬化產(chǎn)品僅支持英特爾或Windows。

4.數(shù)據(jù)保護：文檔自我保護不受位置限制

鑒于以前的模式都設法通過控制運行環(huán)境來處理信息，而數(shù)據(jù)保護模式保護的是數(shù)據(jù)本身。如企業(yè)版權(quán)管理（ERM）這樣的技術(shù)可直接訪問文件規(guī)則。無論文件放置在何處，這些依靠密碼方式強制執(zhí)行的規(guī)則都是適用的，這是一個重要的優(yōu)勢。所有零信托數(shù)據(jù)安全戰(zhàn)略里的模式保護數(shù)據(jù)都是最精細、最有效的，因為它的重點是信息，而不是信息的載體。

這種模式缺點之一是，ERM的每個終端都需要客戶端代理。該技術(shù)還會給部署帶來挑戰(zhàn)：一些機構(gòu)告訴弗里斯特研究公司，ERM的商業(yè)客戶制定的政策有時過于嚴厲，使得數(shù)據(jù)難以獲取，而且政策不能很好地適應機構(gòu)改革。

5.跟蹤：明確重要的信息移除的時間

零信托數(shù)據(jù)安全設計的第五種模式使用的是補充數(shù)據(jù)檢測控制技術(shù)，用來檢測、記錄和選擇性封殺物理或邏輯企業(yè)邊界的敏感數(shù)據(jù)。數(shù)據(jù)泄漏防護（DLP）技術(shù)和較小程度的安全信息和事件管理（SIEM）工具，是這一模式的重要組成部分。

該模式的主要優(yōu)點是，它可以檢測敏感數(shù)據(jù)，因為它在邏輯安全邊界以外運行，所以它能很好地理解信息流的速度和方向，并發(fā)現(xiàn)異常傳輸。不幸的是，大多數(shù)企業(yè)都不能要求其業(yè)務伙伴在他們的計算機上安裝的DLP代理?；谶@個原因，企業(yè)應把空中監(jiān)管模式作為個人電腦保護的一種補充。  

【編輯推薦】

1. 搜索結(jié)果網(wǎng)絡準入，主動防御——終端安全面面觀
2. 終端安全系列談：準入控制保障“內(nèi)網(wǎng)合規(guī)”