安全牛点评：企业网络安全三分靠技术，七分靠管理。只有认清现状，利用有限的资源，围绕数据安全的核心任务，从需求出发，面向安全威胁，以安全建设和安全运营为根本手段，才能最终提高网络安全相关风险管理水平。继上一篇《大数据解读中国网络安全人才市场现状》之后，我们再次邀请到智联招聘安全总监张坤，从安全威胁、安全管理和安全需求的角度，为我们刨析中国企业网络安全现状。在《人才篇》和《需求篇》之后，我们还将发布《建设篇》，重点讨论企业网络安全团队建设，作为本系列中国网络安全市场分析的终章。

1、数据泄漏仍然是企业安全风险最大的来源。对企业而言，数据安全日渐成为核心业务系统体系运转的基石，数据已经成为网络安全行业聚焦点最高的一个细分领域。而对企业而言数据一直以来是重要生产资料，数据驱动业务决策也成为实践业务创新的核心手段。随着数据交易的常态化，勒索软件开发市场的规模化，数据衍生服务的体系化，在低成本高收益的诱惑下，企业的核心数据保护均面临着来自内外部的巨大风险。

2、数据泄露途径、动机、涉案角色均呈现出多元化和隐蔽化的特点，从泄露数据类型、泄露人身份、泄露动机和泄露渠道等更精准的制定数据监控策略，更有效地落实数据安全防控一体化机制成为企业在数据泄露对抗中的当务之急。

3、经过我国等保标准强制要求以及企业自身沉淀积累，大部分企业具有或部分具有安全技术能力，整体资源投入不足，相比防护手段而言，缺少能力运营和外部情报获取分析能力。

4、企业安全的工作的重点和思路：从马斯洛需求模型上来讲，企业安全建设的当务之急是排查自身需求层级，从需求建设能力，能力还是那个追逐热点、人员上追求“吉祥物”都不会让企业水位线显著提高，方法和需求结合才能构建符合企业现状的能力。

如何确定数据的权属，如何合理的跨境流动，又如何在保护个人隐私的前提下，充分发挥数据的价值，成为当下企业最应重视的问题和风险。

数据时代与数字世界的来临，信息数据已从资产保护对象成为重要的经济生产工具。数据安全面临的威胁前所未有，数据安全与身份安全保护的难度也将面临巨大挑战。而数据泄漏泄露事件除直接损失外，对企业的声誉、客户满意度、市场占有量、股价以及企业合规都会产生极其负面的影响。

1、任何一个在企业内部工作的员工，或多或少都能够接触到企业内部各种类型的数据。如何有效甄别数据敏感度，如何对不同敏感度数据实施差分保护，如何在不降低工作效率的前提下控制访问权限，如何保证数据访问和操作均具备可审计性，这是数据安全防护建设需要重点考虑的内容。

2、数据风险来源80%来自内部人员，外部人员中90%的攻击来源是黑客，外部人员中第三方合作伙伴也是最常见数据泄露角色，由于业务合作需要共享数据，而下游合作厂商的数据保护意识或数据保护能力存在偏差从而导致数据泄露，这也是近年来攻击者更愿意从数据产业链的下游发起攻击，从而窃取数据的原因。

内部在职人员造成的数据泄露呈现高速增长趋势，待离职员工和已离职员工造成的数据泄露大多都发生在求职阶段。无论是新东家要求夹带机密数据离职，还是员工自己主动留存窃取资料给自己增加谈判筹码，都会对原所在企业造成损失。另外近一两年随着互联网信息互通共享，合作者或者竞争厂商未经允许私自利用共享信息牟利的案例也呈增长趋势。

企业应在趋于完善的安全防护体系之上，强化内部数据保护宣导，加强特权账号管理、核心操作审计，提升内部用户行为分析、回溯能力。从流量、终端、应用各个方面建立预防为主，监控为辅的数据安全能力机制。

3、牟利永远是数据窃取的最强原动力，针对动机的发现和提前预判，可以通过员工网络流量，上网行为、数据操作行为偏差值综合判定，如员工近期大量浏览求职网站，可判断其有离职倾向，从而就可以调整安全策略，对该员工的某些数据访问操作采取以阻断防护、监控审计为主的数据防护策略。剩余两成数据泄露案件大多是由员工误操作引起的，且越是技术人员的误操作所造成的影响和破坏越是严重。针对误操作，应尽可能在高权限用户的关键操作环节，增加复核审批手段。

4、泄露渠道是数据监控的重点环节，移动存储介质（U盘/移动硬盘/存储卡）占据近半壁江山，也符合其拷贝量大、传输速度快的特点。其次即时通讯、网盘类工具、邮件也常用于数据外发或数据备份，拍照常见于不能直接获取到此类数据，只具备查看权限的案例，例如拍取屏幕显示高敏感信息等。数据安全不应脱离于具体业务，需要与业务场景高度耦合。这些除了数据安全的基础能力建设之外，有一批懂运营会分析，服务意识强的安全人员，积极在企业内部推动数据安全的各项举措，从而构建有效（真正产生价值）的数据安全体系。

在当下的共享经济，对信息数据也提出了共享的概念，保障数据安全当成为技术发展的前提。除了要保证数据不外泄，更要保证信息不被入侵者篡改，不论哪一种风险都可能给用户带来风险和损失。数据安全是这一切的基础。在数据的应用过程中更要严格遵守数据物理隔绝、访问权限控制、应用数据分层管理、知情授权等规范化路径。

在当下，企业网络安全建设主要面临如下八大问题：

1.企业信息系统互联互通，面临来自外部的威胁；
2.各企业具有大量客户各类型信息渐渐得到灰色产业链的觊觎；
3.安全事件造成的损失以及信息系统恢复的成本激增；
4.缺乏安全技术人员以及安全管理制度；
5.面对外部网络威胁的恐慌，导致了某些企业信息化发展的裹足不前；
6.企业对信息共享、互联网化、云服务、AI等高新技术的追求延伸出新的信息安全风险点；
7.安全意识的淡薄以及管理制度的不完善，面临着来自内部的人为失误或蓄意破坏、信息窃取；
8.僵木蠕等问题严峻,勒索病毒威胁严重。

对传统企业和传统型互联网企业来说机构安全建设存在一定的复杂性，信息系统的封闭性、应用间交互性、数据的多样性、导致IT资产混乱；其次，应用架构庞大、数据庞杂，相关人员无法系统的了解应用的架构、数据的类型、数据的级别和相对应的策略，系统间交互没有较好的权限控制和管理。

另一方面，人员安全意识较低、缺少安全队伍，缺少行业规范，国家法律法规也相对薄弱，导致安全能力和系统应用的能力不匹配。

另外企业安全建设较多偏离业务和实际场景，安全不应脱离于具体业务，需要与业务场景高度耦合。这些除了安全的基础能力建设之外，和业务强绑定，为业务提供数据输入、功能处理才能实现更高的价值，有一批懂运营会分析，服务意识强的安全人员，积极在企业内部推动数据安全的各项举措，从而构建有效（真正产生价值）的安全体系。

相关阅读

【牛人访谈】大数据解读中国网络安全人才市场现状