内网也有威胁 关注内网安全

    随着信息技术应用的快速深入，企业用户对IT系统的依赖性越来越强，IT系统的运营、维护和管理的难度不断加大。值得深思的是，许多用户都非常注重来自企业外部的安全风险，不遗余力地将大量资金投入到诸如杀毒软件、防火墙等外部防范的建设中去，恰恰忽略了来自企业内部的安全隐患和问题。

    首先我们来看看这样一个案例：

   程某，大学毕业后一直从事软件研发，曾为哈尔滨、辽宁、西藏等多家移动公司做过技术代维工作。从2005年3月至7月，程某先后4次侵入北京移动数据库，修改充值卡的时间和金额，将已充值的充值卡状态改为未充值，共修改复制出上万个充值卡密码。他还将盗出的充值卡密码在网上出售，共获利370余万元。

    在对公安机关的供述中，程某称，他入侵北京移动数据库仅仅是因为“好玩”，仅仅是“突然想测试一下中国移动网络安全系统的安全程度”。

    2005年8月24日，程某在深圳被抓获，所获赃款全部起获。

    原本大有前途的IT精英沦落为阶下囚，固然有其贪念作祟的原因，可是如果企业在防范内网安全漏洞方面加大力度，不给运维人员和代维人员以漏洞和机会，也许这样的悲剧也不会上演。

    要实现内网安全，必须清楚企业信息的运转，从而了解数据保护的需求，根据每个具体的需求选择合适的产品，最后建立起一套完整的内网安全体系。内网安全的行为审计可以发现不少内网安全的“内鬼”，但是国内对于“行为审计是否侵犯个人隐私”一直存在争论。

   从企业的角度来看，部署行为监控和行为审计类产品无可厚非，这是企业合规的一个重要步骤。比如邮件的archive和auditor，这都是非常必要的工作。从技术层面来看，行为审计并不一定要侵犯个人隐私，或者说不完全要侵犯个人隐私。只需要提供一些关键的审计词，通过借助软件的方式，并且严格限制审计者对原始数据的接触，就能比较好地做到尊重个人隐私。而且，企业审计也是一门学问，当前有很多的认证，比如CISA等，就很好地证明了审计的重要性。

    随着技术的快速发展，云计算、移动应用、社交网络已经成为许多员工的日常应用，这些设备与技术的应用，给内网安全带来了巨大的影响。在选择、实施内网安全技术和产品的时候，需要根据新的情况提出新的要求，从而满足日益变化的应用需求的挑战。

    在此环境下，安全产品供应商除了提供设备外，还应该为企业提供一些咨询服务。其实，现在安全产品供应商应该顺承一个趋势，就是从deviceprovider(设备提供商)逐步地过渡到solutionprovider(解决方案提供商)，没有哪一家厂商可以说自己的产品包罗万象，可以满足用户的所有需求。用户目前更关注的是解决方案，其次才是实施的产品。没有方案，何谈产品。企业用户在产品选择时也要更多地关注产品供应商的解决方案是不是合适，高效。