学好五步 玩转加密

“棱镜门”事件后，越来越多的企业更关注自身的信息安全，并通过强效武器-加密软件来升级自身的防御力。但是临阵磨枪的匆忙部署，往往会使加密项目出现各种问题，反而影响部署进度和效果。我们从国际知名的内网安全管理先锋企业溢信科技处也了解到，不少企业很多企业网管员、IT经理等被上级临时要求在企业准备部署加密，时间上的匆忙和信息的不足，造成很多如缺乏系统规划、产品选型经验不足、部署方案可行性不够等问题出现，其实加密部署有一套详尽规范的流程可学，不如学好这五步，让加密部署效果事半功倍。

从溢信科技（www.tec-development.com）的安全专家处，我们了解到，企业要卓有成效地部署加密项目，应该要做好五方面的工作。这五方面分别是确定需求、产品选型、产品测试、产品部署及产品验收，这五个环节构成一个闭环，是支撑一个加密项目的骨架。

一、明确自身的加密需求

1）确定需求。

加密需求的确定是一个严密科学的过程，而不是头脑发热一时冲动的结果，只有严格遵循一定的程序才能确保质量。从提出初步需求到立项，再展开详细的需求调研，通过这样的流程可以帮助企业更清晰地了解自身的需求点。而调研内容则包括存在哪些机密数据，这些数据存储于哪些地方，数据流转的方式有哪些、哪些人可以接触这些数据等，了解得越清楚越有利于后面工作的开展。

2）对需求进行合理地分类分级，以明确重点。

并不是所有的需求点都处于同一个重要级别上，都需要采取同样的防护力度。因此初步确定需求点后，要对其按轻重缓急进行合理分类。需求是整个项目的基础，对需求研究的越全面，越有利于项目的进行。

3）努力赢得高层的支持，以保证项目顺利进行。

溢信科技十多年都扎根于内网安全，他们接触过很多企业CIO、IT经理等人，过去很多的最终失败案例多数是没有赢得足够的高层支持，使得项目无法继续进行下去。溢信科技的安全专家也表示，近几年这种情况剧减，反而是越来越多的高层直接参与到加密项目部署中，督促IT部门尽快落实，提高效率，加速防护企业内网安全。

二、选择适合自身的加密产品

1）看加密技术是否稳定可靠，保障系统正常运行。

一件好的武器，应该在将防御性能发挥到极致的同时，将自身的风险系数降到最低。加密作为信息泄露防护利器，必须保证稳定可靠，能够保障系统正常运行，保证加密文档不会因为系统崩溃而遭到破坏。

2）看灾备方案是否足够完善，以应对各种意外情况发生。

灾备机制是一个加密系统是否值得信赖的重要考量标准。灾备方案足够完善，才能够应对各种意外情况发生，确保加密系统持续稳定运行，让用户无需担心原文件的安全。

3）看适用场景是否全面，能全方位保护文档的安全。

如果对企业数据的应用场景进行划分的话，可以粗略划分为四大部分，分别是文档内部流转、内部应用服务器的集中管理、外发管理、离线办公。适用场景全面才能够全面保护文档的安全，确保能够对企业做到面面俱到的信息泄露防护。

4）看功能是否丰富实用，实现精细化管理。

信息泄露防护要想收到良好的效果，必须考虑精细化管理。如果对所有数据设置一种安全策略，那必将对业务的开展造成巨大的阻力，结果多数就保效率弃安全，无法持续进行。因此企业在选择加密系统时要确保其功能足够丰富与实用，能够满足自己的实际需要。

5）综合考量加密厂商实力，确定是否值得信赖。

考量产品的同时还需综合考量厂商实力，即使产品功能满足需求，若企业的实践经验或者服务能力不足，也会导致加密项目受阻甚至失败。

三、进行充分的产品测试

1）由点至面，循序渐进

测试过程中可能会产生很多问题，可能一时之间难以找到，如果一开始就进行大面积测试，一旦问题出现很可能使测试人员无法应对，产生不良情绪等。因此需由点至面，按照功能测试-小范围测试-扩大测试的顺序进行，才会更有效率。

2）全面考查

测试中除了考查产品功能是否达标外，还要着重考查产品稳定性、易用性、与其他程序的兼容性等。产品不稳定，问题频繁产生，企业需花费大量的时间去维护；产品易用性差，会增加用户的操作难度，影响工作效率；产品兼容性差更可能随时出现意不想到的问题。测试时应多设想实际的工作情景，以检验产品的适用性。

3）及时反馈

溢信科技在实践中发现，企业部署加密项目的过程中若与厂商的互动较少，则容易导致问题不能被及时发现与解决，甚至会引起双方不必要的误会。因此溢信建议企业应严格检查效果、及时反馈问题，多与安全厂商沟通、反馈问题。

四、制定可行的部署方案

1）特别注重部署前的调研与方案制定，尽量减少冲突。

在部署加密系统之前，企业应了解各个部门的想法与需求，并制定合理业务处理流程，比如部署的步骤、方式、人员分工、网络拓扑图等，对于可能出现的问题都提前准备应对方案，这样可以减少冲突，有备无患。

2）逐步进行：客户端安装-分区域启用-扩大至全公司

即使测试很顺利，在真正部署时也不可大意，因为谁也无法保证不会出现意外情况。因此小心谨慎，循序渐进，敏感观察与发现是绝对必要的。

3）诚恳沟通，最大程度地赢得员工理解与配合。

非IT部门的人员才是使用加密系统的主体，他们的态度将决定加密系统是否能够持续有效地运行。赢得他们的理解不仅是保证安全策略的顺利执行，也是为了避免不必要的内耗。

五、检验加密系统的部署效果

1）选用值得信赖的检验人员，保证效果的真实。

客观地说，检验员的工作并不是任何人都可以托付。一个合格的检验员，不仅需要专业的知识与技能，还需要正直的品质。企业须认真挑选值得信赖的人员，才能委以重任。

2）分阶段验收，前一步通过再进行下一步，步步为营，稳扎稳打。

首先在部署的每一个小阶段进行验收，这样做是为了化整为零，及时发现问题与解决。当整个项目部署完成后，还需要从整体上对其效果检验，以杜绝遗漏。另外溢信科技还特别提醒，信息泄露防护是一个持续的过程，不是进行一次策略设置后就不需要管理了。企业应定期检验策略的执行效果，并不断进行调整，以保证其持续有效。