企業泄密途徑研究綜述

陳 進

（江蘇國瑞信安科技有限公司，江蘇南京 ）

0 引言

每個企業都有自己的保密信息，最典型的就是商業秘密，商業秘密是指不為公眾所知悉、能為權利人帶來經濟利益，具有實用性并經權利人采取保密措施的技術信息和經營信息［1］，此外可能還包括企業自身的一些敏感數據，比如運營數據、用戶數據、員工信息等。盡管企業想方設法避免這些信息被公眾或者競爭對手知曉，但是在利益的驅動下，很多競爭企業或者個人都對這些信息虎視眈眈，再加上企業的保密措施經常出現漏洞，導致泄密的案例層出不窮，有些泄密事件則對企業造成了巨大損失。因此，防范私密信息不被非法泄露已經成為了現代企業的重要工作之一，而在采取防范措施之前，必須明確信息可能通過哪些途徑被泄露，進而采取針對性措施。

通過文獻調研發現，2000年以后，關于泄密途徑方面的研究和分析已經有了不少的成果，很多學者都對各種可能的泄密途徑進行過分析，但是研究成果相對分散，并沒有文章對相關的泄密途徑進行總結，而本文正是關注企業秘密泄漏的所有可能途徑，對已有的研究成果進行總結，為企業有效地防護信息泄露提供借鑒。經過總結，企業泄密的途徑可分為計算機泄密、員工泄密、通信泄密、和其他途徑泄密。

1 企業泄密途徑研究總結

1.1 計算機泄密

在現代企業中，無論是IT企業還是傳統企業，計算機都是不可或缺的辦公自動化設備，從工作人員的個人PC，到企業的服務器主機，企業的機密信息往往就存儲在計算機上。因此，計算機泄密就成為了企業秘密泄露的焦點。

計算機電磁波輻射泄密是較為隱蔽也是容易被人忽視的一種泄密途徑［2］，計算機發出的電磁波如果被相應的接收設備獲取，就有可能導致信息的泄露。當然，對于企業信息的竊密者而言，采用這種方式的成本和危險系數較高，并且如果通過Tempest技術（低輻射技術）等技術就可以做到很好的防護。

計算機網絡能將世界各地的計算機連通，大大方便了人們之間的溝通交流，但同時也成為了信息泄密的溫床。首先隨著局域網技術的發展，企業內部都會建立起自己的局域網，主要可以分為有線局域網和無線局域網。對于有線局域網，型的泄密方式就是搭線竊取［3］。而無線局域網雖然使用方便，但是相應的隱患也較多：信息易受竊聽，信息易被篡改，非法AP，WEP加解密的同步問題等［4-5］。對于無線局域網，可以采用防火墻、入侵檢測等技術來防止信息被竊取［6］。局域網尚有一定的隱患，那么在Internet上，泄密的風險就更大了。竊密者可以通過網絡竊聽截取網絡中輸送的數據包［7］，并采取分析和還原的方法對沒有嚴格加密的信息進行竊取。但這種方式成本和技術難度較高，較少發生于企業泄密中。但是另外一種方式，網絡竊取，則是企業泄密的重要途徑之一。隨著計算機技術的不斷發展，網絡竊取的手段也越來越多，這些手段都是企業需要嚴格加以防范的。常見的竊密方法比如密碼破譯，最簡單的破譯方法如暴力破解。當今企業中都會一些應用系統，比如OA系統、ERP系統等，企業一般要求員工不要將系統密碼設置得太多簡單，主要就是為了預防密碼破譯。另外一種危害性極大的竊取技術就是木馬，木馬的竊密技術大致有四個演變過程：擊鍵記錄、屏幕快照、遠程控制、擺渡技術［8-9］。對于企業而言，員工如果在使用內部計算機的過程中中了木馬，那么很可能就會造成企業信息的泄露。另外，木馬技術依然處于不斷地演進之中，最新的木馬變得越來越難以檢測和防范，因此，企業必須規范員工對內部計算機的使用，不斷升級內部計算機的檢殺能力，并盡可能從源頭上切斷木馬入侵的途徑。與木馬相比，網絡釣魚則是一種更具欺騙性地竊密方式［10］，一般表現為釣魚網站、欺騙性的電子郵件以及利用及時通訊工具或者論壇社區發布欺詐信息等。網絡攻擊是另一種危害性較大的竊密方式［11］，即利用網絡存在的漏洞和安全缺陷對網絡系統的硬件、軟件及其系統中的數據進行的攻擊，計算機病毒往往在網絡攻擊中發揮著重要作用。網絡收集又是一種非常隱蔽的泄密途徑，對于企業而言，某些信息的公開是必須的，但是如果對什么信息可以公開，什么信息應該堅決保密這個問題把握不明確，或者由于員工的疏忽大意，都可能會造成秘密信息的泄露。

計算機存儲媒體的泄密是另一種危害較大而且容易出現的泄密途徑，主要包括存儲媒體使用時的泄密，其中移動存儲介質在信息交換過程中的泄密是最常見的［12-13］，這就要求企業制定嚴格的移動存儲介質使用制度，員工在使用移動存儲介質也必須提高警惕。另外媒體失竊與媒體管理不規范也會導致泄密。除了使用中的泄密，存儲媒體在報廢、出現故障等的處理時，如果手段或者方法不當，同樣也會導致信息的泄露［14］。此外，我國的計算機產業起步相對較晚，因此，企業通常都需要購買一些國外的設備和產品，然而一些不法集團或者競爭對手，往往會對出口的設備做一些手腳，從而方便其掌握企業的信息［15］，比如購買軟件時的“后門”等。

計算機最終需要人來進行操作和使用，而在這個過程中，往往也容易發生人為使用計算機情況下的泄密，基本可以分為三類：無知泄密、違反規章制度泄密、故意泄密［16-17］。這就要求企業不僅要加強對員工安全意識的培養，同時要加強對于員工使用計算機的監察，防止泄密事故的發生。

1.2 員工泄密

企業員工是企業保密信息的產生源，同時也是這些信息的保護者，然而，堡壘往往容易從內部攻破。企業員工在工作、外出或者流動過程中，都有可能泄露企業的商業秘密［17-19］。總的來看，企業員工的泄密可以分為三類。首先是員工在內部工作中的泄密，在上一部分已經提到了已經提到員工在計算機使用過程中的泄密，除了這些泄密方式，員工在企業內部工作時還有其他的一些行為也會造成泄密：涉密紙質文檔處理不當、企業會議泄密［20］、發表學術論文泄密與參觀、考察活動泄密等。其次是員工外出時的泄密，包括在公共場合談論涉密信息與外出攜帶的涉密載體丟失等。最后是員工流動過程中的泄密，主要有員工跳槽泄密［21-22］、離職職工泄漏商業秘密和兼職工作人員泄漏商業秘密等。對于員工泄密，企業首先需要制定明確的員工保密管理制度，加強對員工保密意識和能力的培養，規范員工的保密行為。另外，凡是能接觸到企業敏感信息的員工都應當簽訂相應的保密協議，在可能的范圍內避免員工惡意泄露企業秘密事件的發生。

1.3 通信泄密

通信隱患是指通信過程中可能導致信息外泄的漏洞。在21世紀，隨著固定電話、手機以及網絡及時通訊工具的廣泛使用，人們之間的通信變得更加快捷，但同時，在這些通訊工具中都隱藏著一定的泄密風險，特別是近年來，隨著智能手機的大肆興起，手機提供的功能也不再局限于語音通話，消息發送等功能，還可以提供高速上網瀏覽和收發郵件，更為重要的是，它可以像計算機一樣安裝各類軟件、游戲的應用程序，大大提高了用戶對移動辦公、移動生活的需要。但是，隨著智能手機的使用，信息泄露的安全威脅也隨之而來［23］。

對于有線通信如固定電話，人們都會認為這種通信有著是安全的，但實際上，通過電話串音、架空明線、載波輻射感應線圈等方式都可以使得通訊信息被泄露［24］。不過在企業層面上看，這種泄密方式的發生也是較少的。除了固定電話，當今社會中，使用最多的通訊工具無疑就是手機了，因此，手機泄密也是企業必須要重點防范的。手機在待機、通信甚至關機的狀態下都有可能被竊密者竊取相關信息［25］，而手機丟失則可能會帶來更嚴重的信息泄露。而智能手機最近幾年成為主流，其本身具有的高速上網、智能平臺、告訴數據傳輸等特點使得信息保密工作變得更加嚴峻［26-27］。與傳統手機相比，智能手機可能的泄密途徑可能還包括被植入間諜軟件，非法拍照、錄音，手機開啟定位功能等［28］。因此，對于企業而言，必須規范涉密手機的使用，在可能的情況下盡量避免涉密信息通過手機傳輸或者存儲。

隨著互聯網的日益發展，另外一種更加靈活的通信方式—及時通訊工具越來越受到歡迎，很多企業內部為了方便溝通交流，都會使用及時通訊工具，最常見的如QQ、Skype、微信等。但是網絡及時通訊工具的聊天內容非常容易被黑客獲取，如果企業員工在這些工具上討論企業業務，或者交換企業信息，那么就這部分信息就很有可能會被泄漏。對此企業同樣需要規范及時通訊軟件的使用，對于敏感信息或者數據嚴禁在這些工具上進行討論或者傳輸，在條件允許的情況，擁有一套內部專門的通訊工具也是很有必要的。

1.4 其他泄密途徑

除了上述的三個泄密途徑之外，還有其他一些途徑也可能導致企業商業秘密泄漏，企業也必須加以重視。首先傳播媒體在泄密，傳播媒體在當今的世界中起著重要的作用，然而傳播媒體卻也是泄密途徑的一種典型，不僅新聞會泄密［29-30］，同時大眾媒體也會有泄密的風險［31］。另外，企業在參加外部活動展覽時，把自己最新的產品推向市場，并盡可能讓參會人員了解自己產品的優良性或者獨特性。然而，對手企業的商業間諜可能正在趁機了解產品的機密。一旦保密意識不強，就有可能被對手得手［32］。還有就是企業在參加國際科技合作時，一些單位并未嚴格執行提供國家秘密的有關規定,保密管理不嚴，就有可能造成企業內部信息的泄露［33］。除了企業本身原因導致的泄密以外，競爭對手或者商業間諜的竊密也是一種重要的泄密途徑，商業間諜有著高超的竊密能力，往往能捕捉到一些隱蔽的信息。此外，競爭對手通常還會在企業員工身上下手，引誘員工泄漏信息。同時，競爭情報也是當前獲取競爭對手信息的一種重要途徑，對于這一點，企業必須制定完善的企業網站信息的發布策略、專利申請策略，強化辦公自動化保密技術的防范措施等方法來避免被競爭對手以一種完全合法的途徑來獲取自身的保密信息［34］。

2 總結

進入21世紀以來，隨著信息技術的發展，企業面臨的泄密風險也越來越多。在可能的泄密途徑中，計算機泄密的種類較多，發生的幾率最大，尤其是計算機網絡泄密，一旦發生，往往能對企業造成深遠的影響。對于這類風險，企業應當做到強化保密觀念，加強企業系統安全配置，強化存儲媒體和員工上網行為的管理等措施。員工泄密由于涉及到員工行為，相對而言這種途徑的不可控性就更加明顯，這要求企業應當制定嚴格的保密制度，完善內部的保密體系，特別是對于涉及敏感數據、機密數據較多的企業而言更是如此。通信涉密目前最容易發生在手機端，因此企業應當盡量避免保密信息利用手機進行傳輸和交流，否則泄密的風險非常大，當然，也可以通過加強保密教育，加強保密技術等手段來減少手機泄密發生的可能。總而言之，企業應當根據自身的經營特點，重點關注那些最可能泄密的途徑，并采取針對性措施。同時應當加強保密制度建設和保密教育,使得保密意識深入人心，才能更好地守護好企業的保密信息。

［1］江曉波.商業秘密與競爭情報的關系與法律保護［J］.現代情報，2004（8）：209.

［2］呂立波.一種被容易忽視的計算機信息泄密途徑與防范［J］.安防科技，2006（11）：34.

［3］甘性偉.局域網及計算機終端防泄密研究［J］.計算機光盤軟件與應用，2011（18）：122.

［4］魏光杏，戴月.無線局域網安全隱患分析及對策［J］.西安文理學院學報：自然科學版，2012（15）：80.

［5］楊柳.淺析無線局域網安全隱患之七大“罩門”［J］.教育教學論壇，2010（18）：161-162.

［6］高崢，劉興瑞.無線局域網安全問題研究［J］.無線導報，2011（1）：287.

［7］胡文.計算機網絡泄密的分析與對策［J］.計算機安全，2009（1）：109.

［8］夏志楠，王睿.淺析計算機網絡失泄密問題及防范措施［J］.科教文匯，2010（7）：87.

［9］豐雷.試論計算機網絡泄密的分析與對策［J］.電腦知識與技術，2011（17）：4066.

［10］劉偉，潘軍.計算機網絡泄密的分析研究［J］.煤炭技術，2013（2）：173.

［11］楊笑.當前計算機泄密的主要途徑及預防措施研究［J］.電腦知識與技術，2007（4）：116.

［12］游建煒.如何防范重要信息通過移動存儲介質泄密［J］.華南金融電腦，2009（6）：86.

［13］任祖春.電子政務網絡中移動存儲介質泄密途徑及防范措施［J］.東北水利水電，2008（12）：69.

［14］陳尚義.磁盤數據泄密威脅分析和銷毀方法［J］.信息安全與通信保密，2010（9）：71.

［15］陳偉良.計算機信息系統泄密途徑分析及如何進行防范［J］.網絡通訊與安全，2007（5）：1222.

［16］丁暉.計算機泄密的主要途徑及預防措施［J］.華南金融電腦，2004（4）：32.

［17］張孝東.淺析計算機網絡泄密問題及防范措施［J］.福建電腦，2013（10）：88.

［18］張蘭.信息化背景下商業秘密泄密的原因及保護措施［J］.財經界，2010（12）：51.

［19］梁曉燕，王如龍，王軍麗，等.信息安全保密中信息泄密途徑及其防護［J］.微計算機應用，2004（4）：409.

［20］劉欽武，劉照文.企業會議泄密的對策初探［J］.新疆有色金屬，1993（4）：55.

［21］胡曉荷.跳槽，IT 企業保密的軟肋?［J］.信息安全與通信保密，2008（8）：19-20.

［22］杜躍東.跳槽—泄漏商業秘密的問題不可忽視［J］.商場現代化，2005（17）：68.

［23］郝文江，武捷，王路路.智能手機防泄密策略研究［J］.信息網絡安全，2011（5）：28.

［24］張景榮.針對通信泄密的途徑強化實現保密通信的措施［J］.軍事通信技術，1997（3）：28.

［25］張玉水，樊中山，金風.手機泄密防范與對策［J］.電子設計工程，2013（6）：65.

［26］魏鶴君，呂笑倩.3G手機失泄密隱患與防范對策［J］.科技創新導報，2013（16）：51.

［27］高明.3G手機失泄密隱患及安全防范對策［J］.通信技術，2010（8）：167.

［28］王宇.智能手機泄密風險分析及安全保密技術解決方案［J］.保密科學技術，2013（6）：42.

［29］笪衍.淺談新聞泄密與保密［J］.江蘇科技信息，2010（6）：51.

［30］周華清.試論信息公開與新聞泄密［J］.內江科技，2007（2）：73.

［31］吳珍.陽光之下隱“秘密”——淺談大眾媒體的“隱性”泄密［J］.信息安全與通信保密，2009（4）：16.

［32］吳春英，樂小春.論企業商業秘密的泄密方式及其防范［J］.企業家天地，2005（8）：95.

［33］朱禮龍.國際科技合作中企業科技情報泄密源探究［J］.現代情報，2014（1）：115.

［34］程娟.網絡環境下企業信息泄密與反競爭情報整合［J］.情報理論與實踐，2008（3）：400.