制定移動儲存裝置的使用策略

技術小胖子發表於2017-11-08

 

保護移動儲存裝置在使用過程中的安全，涉及到人、技術、管理和物理控制等方面。對於這麼多需要管理和實施的因素，事先制定一個切合實際的移動儲存裝置使用策略來指導實施，是一個非常明智的解決方法。
制定移動儲存裝置的使用策略，是一件非常繁瑣的工作，需要將與保護移動儲存裝置使用安全的各個方面都詳細考慮進來。因此，移動儲存裝置使用策略的制定，一定要讓機構中的系統管理員、網路管理員和各部門領導及員工代表都參與進來，這樣制定出來的使用策略，才有可能做到事事俱到。同時，按照一定的制定步驟來進行，會讓整個使用策略的制定過程變得清晰明瞭，也能防止在制定過程中產生錯誤，提高制定的效率。
下面就是一個通用的移動儲存裝置使用策略的制定過程：
一、           瞭解機構中有無使用移動儲存裝置的必要，及其型別和帶來的安全風險
制定移動儲存裝置的使用策略，開始的第一步就是要確定機構中是否有使用它們的必要性。如果根本沒有使用它們的必要，那麼只要禁止所有移動儲存裝置在機構中的使用，就可以防止使用它們帶來的安全風險。
但是，只要目前機構中還離不開使用移動儲存裝置，那麼，接下來就應當詳細瞭解機構中移動儲存裝置可以接入的方式，目前正在使用的型別，以及它們可能會帶來的風險等等。
瞭解機構中移動儲存裝置可以接入的方式，可以通過審查機構中各種裝置(如計算機終端和伺服器)所具有的介面型別來確定。一般來說，現在大部分的計算機都有可能具有下列所示的介面：
1、 USB埠；
2、 序列介面(COM)和並口(LPT)；
3、 紅外，藍芽介面卡，WIFI 介面卡；
4、 1394介面。
5、 還有一些印表機裝置上也具有USB介面，也應當將它們統計進來。
將這些找到的介面型別與它所在的裝置關聯後，一一記錄到一個固定的文件中，用來給後面的策略制定工作做參考。
完成機構中介面型別的統計工作後，接下來的工作就是調查現在機構中有哪些移動儲存裝置正在被使用，以及它們屬於誰。可以將這個任務分配到機構中的各個部門，由各部門分別統計他們當中正在使用的移動儲存裝置，然後綜合彙總，就可以得出整個機構的移動儲存裝置使用情況。
目前，具有資料儲存功能的移動裝置有很多種型別，它們包括：
１、            使用USB介面的快閃記憶體（也就是常說的U盤）、MP3播放器、MP4播放器、讀卡器和行動硬碟；
２、            具有USB連線功能的手機、PDA、數碼像機和數碼攝像機；
３、            具有藍芽、紅外或WIFI功能的行動式電腦、手機和PDA；
４、            各種型別的記憶體卡(如Sony記憶棒等)
５、            各種磁帶裝置；
６、            帶有燒錄功能的CDDVD；
這些移動儲存裝置以其體積小，攜帶方便，容量大，以及即插即用的功能深受人們的喜愛，使用越來越頻繁。可是，如果在使用它們的過程中不加管制，它們的這些優點也有可能會變成致命的缺點，帶來下列所示的安全風險：
1、 成為特洛伊木馬程式及病毒的轉播媒介；
2、 僱員可以通過它們帶來不允許在機構內部使用的軟體或軟體的安裝包，如可在U盤中使用的QQ、網路瀏覽器，代理伺服器等，讓僱員可以跳出機構的安全防範措施。並由此可能給機構帶來軟體版權的法律糾紛；
3、 對儲存有機構內部機密資料的移動儲存裝置，可能由於被盜或丟失，導致這些機密資料的洩漏，給機構帶來各種嚴重的損失；
4、 由於移動儲存裝置本身的質量問題，導致保留在其中的資料不可複製和恢復；
5、 沒有監管的無線網路接入，會讓非授權無線裝置連線到機構內部網路中，造成機密資料的洩漏。
特別要注意的是：除了不管制移動儲存裝置的使用會帶來上述這些安全風險以外，制定的移動儲存裝置使用策略不合實際，或執行力度不夠，以及使用加密功能弱的軟體來加密保護移動儲存裝置中的資料，也會帶來同樣的安全風險。
二、           機構中機密資料的識別和定位
管理移動儲存裝置的使用，主要目的之一是為了防止機密資料通過移動儲存裝置洩漏或丟失，因此，在開始制定移動儲存裝置的使用策略之前，還應當識別出機構中有哪些型別的機密資料，它們現在都以什麼樣的形式儲存在哪些裝置上，以及這些裝置處於機構中的什麼位置等。
要完成機密資料的識別和定位，可以通過完成下列一連串的問題來解決：
1、 機構中哪些型別的資料是機密的？
2、 它們現在駐留在哪些裝置中？
3、 機密資料是以什麼樣的形式儲存在這些裝置中？
4、 這些裝置存在於機構中的什麼位置？
5、 移動儲存裝置會在機構網路中的哪些區域使用？
6、 哪種型別的機密資料可能會儲存到移動儲存裝置上？
在實際的機密資料識別和定位工作中，可能會有更多的與機密資料相關的問題，我們都應當將它們用一張表格一一全部列出來，這樣有利於找到機構中所有的機密資料，以及它們所儲存的位置等。至於記錄問題的表格樣式，可以根據我們自己的喜好來設計；問題的多少也可以根據實際情況來決定，當然是越細越好。
回答上述的這些問題，我們可以通過使用調查，以及分析機構已有文件的方法來解決。當所有問題都正確解答後，還應當根據找到的結果，繪製一張機構機密資料所在位置分佈圖，並在分佈圖中標明使用移動儲存裝置的區域。如圖1.1所示。
圖1.1　機密資訊分佈圖樣
三、制定移動儲存裝置的使用策略
當我們瞭解了要保護的資料，明白了目前移動儲存裝置的型別，以及它們可能帶來的風險後，就可以根據上述這些內容，來制定具體的移動儲存裝置使用策略。
一個移動儲存裝置的使用策略，通常應當包括下列所示的內容：
１、            預期要達到的目標；
要達到的目標可以是所有需要使用的移動儲存裝置，在任何時候都可以受到保護，確保它們在使用過程中，不會造成機密資料的丟失或損壞，以及帶來病毒、法律糾紛等其它安全風險。
２、            規定機構中使用移動儲存裝置的型別，以及它們的接入方式；
３、            規定機構中可以使用移動儲存裝置的區域；
４、            規定哪些型別的資料可以儲存到移動儲存裝置上，儲存的時間有多久；
５、            規定機構中哪些員工可以使用規定的移動儲存裝置；
６、            規定移動儲存裝置的領取、分發、使用和銷燬方式；
７、            決定採取什麼樣的技術措施(例如安裝相應加密和監控軟體)保護移動儲存裝置的安全使用；
８、            決定採用什麼樣的物理控制措施來控制移動儲存裝置的進出機構和使用；
９、            明確機構員工使用移動儲存裝置的各種義務和責任；
１０、      確定員工的安全培訓計劃
１１、      指定監督移動儲存裝置使用策略實施的部門或人員；
１２、      指定突發事件的處理方式和上報制度；
１３、      明確移動儲存裝置審計跟蹤的方式；
１４、      明確可以使用移動儲存裝置的員工的離職處理方式。
移動儲存裝置的使用策略應當根據我們自身所在機構的實際需求情況來決定，上面列出的內容是一個使用策略中必不可少的部份，其餘所要新增的內容，可以由我們根據實際需求自行決定。
當一個移動儲存裝置的使用策略制定好以後，我們並不會知道它到底適不適合機構的實際需求，也不知道它真正的管理效果，這些都要等到在機構中實施它以後才能瞭解到。因此，接下來的工作，就是立即在機構中實施我們制定的移動儲存裝置使用策略。


 本文轉自 雪源梅香 51CTO部落格，原文連結：http://blog.51cto.com/liuyuanljy/199073，如需轉載請自行聯絡原作者


相關文章