如何最大限度地降低员工传播关键信息的风险？

Question

在最大限度地降低员工向竞争对手公司传播关键信息的风险方面，常识是什么？

截至今天，很明显，即使是美国政府和军方也无法确保他们的数据安全地保存在他们的家中。因此，我明白我的问题可能应该写成“什么是使员工更难传播关键业务信息的常识？”

如果有人想传播信息，他们会找到办法的。这就是生活的运作方式，而且一直如此。

如果我们通过假设我们只有常规的 JohnDoes 而不是热爱 Linux 的系统管理员来缩小我们的员工队伍，从而使场景更现实一点，那么应该采取什么好的预防措施，至少使员工更难将关键业务信息发送到比赛？

据我所知，有一些明显的解决方案显然有利有弊：

1. 阻止 Dropbox 等服务，防止任何人通过网络发送千兆字节的数据。
2. 确保只有低于设定大小的文件才能作为电子邮件发送 (?)
3. 在部门之间设置 VLAN，让盗窃狂和好奇的人更难窥探。
4. 插入所有可移动媒体单元 - CD/DVD、软盘驱动器和 USB
5. 确保不能对硬件进行任何配置 (?)
6. 监控非线性事件的网络流量（如何？）

在现实世界中做什么是现实的？大公司是如何处理的？ 当然，我们可以把前雇主告上法庭起诉，但到那时损害已经造成了......

非常感谢

Answer 1

有各种各样的事情可以做。整个行业都是围绕“我如何防止信息泄露”这一想法而创建的。无处不在的静态数据存储和无线网络（包括 wifi 和 3G/4G）使得有线网络外围安全的障碍比 5 年前还要小。

与所有安全性一样，管理异常可能非常棘手。是的，您可以禁用所有 USB 端口，但这会使 USB 键盘、鼠标和打印机处于黑暗中。您可以禁用对 Facebook 的所有访问权限，但公共关系办公室肯定需要访问权限。极度偏执的人可以禁止所有带摄像头的手机（以免有人通过电话拍摄文档并将其邮寄给竞争对手），但如今这真的很难坚持下去。然后是将打印输出带回家传真的老式方法。

如果有人真的想泄漏信息，通常很容易。

市政规模的高带宽网络对安全状况的影响再怎么强调也不为过。几乎每个人的口袋里都装有相机，手机计划可以容纳图片，因此可以轻松发送 1-5 页的文档，而无需接触公司 LAN。如果启用了 USB 连接，许多智能手机可以将本地存储公开给工作场所的计算机，并在其上保存文件，如果没有将其带回家并从那里发送，则可以直接从手机发送。

电话摄像头的“攻击”特别阴险，因为它不会像 USB 安装那样在公司设备上留下任何日志痕迹。

具有讽刺意味的是，互联网访问限制阻止了社交网站和所有已知的网络邮件提供商，它迫使人们使用手机获得相同的服务。

大公司通过忽略难以管理的威胁（参见上面的一个很好的例子）并管理他们可以廉价管理的风险来处理这个问题。这意味着：

• 阻止任何可疑类别的网站（社交媒体和网络邮件网站是主要的禁令目标）和已知的网络代理网站
• 记录所有出站电子邮件
• 强制实施互联网访问的强制门户，要求在授予访问权限之前使用公司凭据登录
• 使用不同复杂程度的过滤器监控私人数据的出站电子邮件（大行业使用这个过滤器）
• 本地网络上的保证最小特权这样人们就无法获得秘密，他们没有必要
• 使用资产盘点软件监控公司硬件的变更事件
• 使用事件日志监控软件跟踪硬件事件，例如使用可移动媒体
• 制定集团政策以禁止在工作场所被认为不需要的某些行为
• 在使用中的任何 WLAN 上使用强加密

如今，网络边界不仅在 WAN/LAN 分界处，它还涉及网络的每个点，在这些点上，数据以任何类型的模拟形式发布，并且利用此类模拟漏洞的工具变得越来越好，越来越普遍。以及其他类似的事情。