信息化管理模式下資料安全

李玉峰

1、信息化資料的特征。以信息化方式進行管理和利用的資料(簡稱“信息化資料”。下同)具有三個特征：資料以全文信息數據方式存儲在計算機或服務器硬盤上；建立一個軟件系統對數據和用戶進行管理；資料使用人通過計算機安全認證后利用計算機調用數據。

2、信息化資料的安全問題。從信息化資料的特征不難看出信息化資料通常在三個環節上出現流失：直接入侵計算機——用戶通過非法路徑取得信息：數據或用戶管理不當——用戶通過合法路徑取得信息：用戶端的流失——合法用戶通過合法途徑取得信息并進行非法轉移或傳遞。

其前兩種流失途徑。由于其流失途徑相對較窄，管理端通常留有操作記錄，因此較易發現并加以防范。第三種流失方式由于其流失面廣。管理端無記錄，從用戶方面來說既可能是有意識、也可能是無意識的流失，因此不易被發現，也不易防范，這種流失方式是當前最主要的一種方式，也是本文要討論的方式。其前兩種方式留給系統管理人員去考慮。

這里要提出一個概念：合法流失——合法用戶通過合法途徑取得信息。然后進行非法轉移或傳遞。

合法流失是當前地質資料流失的最主要方式，在信息化之前地質資料就曾以紙質文件的方式合法流失，信息化時代到來后僅只是載體不同，其本質并未改變。只是更加來勢洶洶。規模更大，更加隱蔽。

3、被動安全管理策略。針對合法流失問題，資料管理軟件開發商采取了一些控制措施，這些措施主要有：(1)權限控制：對合法用戶進行操作權限控制，不同等級的用戶可以接觸不同等級的資料，進行不同的操作；(2)時限控制：不同等級的用戶可以使用資料的時間長度不一致：(3)水印：對用戶下載的文件加水印。在發現流失后可以循水印追到流失源。

這些技術措施在一定程度上緩解了資料流失問題，其具有兩個明顯的特征，本文將其稱為被動安全方式，這種方式存在兩個明顯的弊端：一是有悖初衷，信息化的目的之一是為合法用戶提供最大程度的方便和快捷、高效，而用權限、時限控制方式進行安全管理則在一定程度上犧牲了效率。有悖信息化的初衷。二是事后、部分、高成本追究。水印方式只有在流失發生并被發現后才有效。從實際情況看對資料流失的發現概率是極低的：“三難”導致查處力度不大，成本過高。

4、主動安全管理思路。本文提出的主動安全管理思路有別于前述權限、時限和水印控制技術思路，其核心價值是：合法用戶在充分享受信息化方便、快捷和高效的前提下，管理端可以較低的操作成本時時監視其非法操作和資料流轉路徑，切實保障資料的安全。

主動安全管理策略包含幾個要點。一是對合法用戶的合法操作提供最大的便利(甚至可以是無限制的)；二是對合法用戶的非法操作和資料流轉途徑進行時時地監控；三是監控信息回傳到管理端：四是對信息進行分析，發布警報或預警。

對合法用戶的非法操作及資料流轉途徑的時時監控通過一組程序實現(這些程序還有待開發)。其基本原理為：在管理端設置一個程序，當用戶從數據庫下載文件時這個程序自動粘貼到文件數據包，跟隨數據進入用戶計算機或各種數據載體，用戶在打開文件時自動激活程序，程序記錄用戶對文件進行的所有操作，如拷貝、另存為、修改、鏈接、局部復制和粘貼等。記錄文件在計算機之間、網絡鄰居之間、數據載體之間的流傳途徑，程序還具有分身功能。當用戶使用文件生成、衍生新文件時，程序自動分身進入新文件，對新文件進行監控，形成一個完整的文件活動記錄。

監控信息回傳也通過一組程序實現(這些程序還有待開發)，其基本原理為：在管理端設置一個程序，當用戶從數據庫下載文件時這個程序自動粘貼到文件數據包，跟隨數據進入用戶計算機或各種數據載體，用戶在打開文件時自動激活程序，當用戶接入網絡時將這些信息通過網絡事實傳回管理端，程序還具有潛伏功能，當用戶斷開網絡時程序繼續記錄用戶的操作。一旦用戶連接網絡，程序及時傳回信息，使文件的活動始終處在管理端視線內。這個程序的另一個功能是自毀功能，當用戶清除這些監控程序時，程序會行銷毀文件。

如上描述，這二組程序與木馬、病毒、流氓程序很相似，但與那些程序有著本質的區別。這個程序的目的是維護資料管理人自身的信息安全，不窺探他人隱私，不濫殺無辜，也不以此謀利。有了這些信息，對其進行整理、分析，發出流失警報和預警就很簡單了。

實踐這種安全管理思路時需要注意：一是程序可以借鑒木馬、病毒、流氓程序的原理。但需要自行編程。不能從木馬、病毒、流氓程序上移植。移植可能會因繼承了特征碼而遭遇防火墻封堵。二是資料管理單位應以適當方式公布對信息的安全管理策略，使用戶在事前了解其下載的文件始終處于監控下。5結束語。控制與反控制始終在不斷較量，信息安全的實質就是控制方試圖在這場較量中取得優勢，這種優勢是所有資料、檔案、信息管理單位都希望得到的，軟件技術是取得這種優勢的途徑之一，也是當前資料信息管理軟件開發的一個熱點。本文提出的是對信息進行主動安全管理的一種思路，要把這種思路轉化成切實可行的技術，開發出實用的軟件，建立起傾向信息管理單位的優勢，還需要軟件開發商做很多努力，雖然這種努力可能是艱苦的。但其應用前景、市場前景廣闊。