【51CTO.com综合报道】信息安全技术在国内的兴起也已经历了十年的发展，从概念的提出、技术的雏形到实现、到层出不穷的安全需求，完善的技术解决方案。越来越发现，不同用户在安全需求上的差异是非常之大的。我们的解决思路是：基于风险驱动，以数据为中心，分析企业的管理模式和业务流程，在不同的数据应用场景中采用不同的技术，并在此基础上整合所需的安全组件和现有业务系统，提供针对性的解决方案，改进和规范企业的数据风险管理体系。本篇文章将就如何按企业的需求，保护核心资产展开讨论，具体分为三大部分：安全评估、风险分析、风险治理。
一、数据安全评估
要清楚地认识到企业自身的数据安全状况，必须有一套清晰的评价方法。这里有三种评价方法供您参考。
1. 有没有数据保密意识？
2. 是否缺乏数据保密措施？
3. 数据保密系统健全吗？
在我们看来，企业的数据安全状况必须以人为本。企业领导是否有数据保密意识？员工能否遵守保密制度？这些都是关键。企业领导和员工具有良好的保密意识，辅以完善的措施和制度，可以大大提高企业核心资产的信息安全性。当然，这也与企业的信息化程度和数据是否以电子文档的形式存在密切相关。
目前，国内外信息安全管理标准的核心要点是围绕技术和制度进行说明。BMB-17为例，技术方面主要从物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面来评估企业的安全现状，其中应用安全和数据安全是其所强调的核心部分，也是评估企业保密工作情况的重要参考点。制度上，包括机房管理制度、计算机使用制度、人员管理制度、信息资产安全管理制等各方面的安全制度，都是企业需要考虑的。从走访的一些大型制造业来看，企业管理层对如何平衡技术和管理制度方面往往不知所措。这里可以提个建议，即从生产经营的各个角度和途径寻找薄弱点，然后给予技术和制度上的改进。
二、数据安全风险分析
不同的数据表现形式和操作机制会产生不同的风险点。
1、敏感数据的表现形式多样化。企业使用的数据可分为五类：业务（客户数据、财务报表、交易数据、分析统计数据）；行政（市场宣传计划、采购成本、合同订单、物流信息、管理制度等）；主要类别（公文、统计数据、主要文件、军事情报、军事地图）；科研（调查报告、咨询报告、招标文件、专利、客户资产、价格；设计，包括设计图纸、设计方案、规划文案等）。当今企业敏感数据的存在形式不再仅仅是文档。业务系统中流通的数据、服务器中共享的数据、个人存储中保存的数据、设计软件中显示的数据、电子邮件中的文本信息和附件中包含的数据、交付第三方的信息等。
2、敏感数据的风险差异化。保密数据以不同的应用方式呈现不同的应用形式。任何企业都可以分为五个基本环境：一是研发部、设计部等内部核心数据部门，风险高度集中；二是财务、销售、行政机构等内部办公区域，只需要适当预防；三、服务器区域、数据存在和访问权限；四、经常移动办公人员，安全方便；五、数据需要交换到外部机构，数据严格可控。这些是非常重要的应用场景，以确保数据不被恶意获取。
3、数据安全风险分析。在不同使用环节的应用过程中，敏感数据在数据生成、存储、应用、交换等环节存在泄漏风险。因此，考虑数据风险评估、系统集成、系统建立和合理使用。
三、数据安全风险控制
企业应该如何避免上述风险？将企业面临的数据泄露风险降低到***？这涉及到风险的控制和治理。
要做好企业风险控制，首先要明确目标，即将企业信息泄露风险降低到可接受水平。这是因为索尼没有保证信息的绝对安全PSN泄密事件让每个人都深刻认识到这一点。二是分析企业信息安全的盲点，包括技术和制度，逐一消除。
那么如何将企业的信息泄露风险降低到可接受的水平，消除企业可能存在的信息安全控制盲点呢？
对于核心敏感数据区域，它通常是数据生成的核心区域。数据生成的使命是被使用。例如，设计图纸可能需要打印、传输给上级、交付给生产、生产后产品测试数据等。数据将以不同的方式在多个业务系统链接中以不同的形式流通。这样，为了确保数据的整个生命周期的安全，需要在数据生成时开始。
***、为了确保数据生成的环境安全，除了提供数据泄露风险保护的基本产品组件外，还需要考虑与管理的联动，如边界保护防火墙、统一审计日志管理、第三方身份认证等；
第二，确保数据的使用是可控的。每个数据本身都将有自己的身份和使用权限。谁能使用、如何使用、使用周期等，不仅要有严格的控制，还要有科学的管理设置，如增加审批流程和不同审批结果的响应方式；
第三，确保数据必要的渠道安全。如果需要交付给第三方的数据，如何交付？交付后如何控制？我们需要与数据使用的各种业务系统联动管理。我们提供应用程序保护系统，以确保数据能够准确和控制到达数据用户；
第四，在现代管理企业中，企业文化、保密思想和管理体系应是保护体系的一部分，需要建立相应的合理、高可执行的管理体系。
根据用户关注的数据风险差异和不同的应用场景，提供多样化的解决方案。在解决方案中，所有系统都是独立的，可以相互组合，形成更完整的解决方案。同时，它还可以为集团或跨行业单位提供基于不同应用的数据保密解决方案。