数据防泄漏安全管理解决方案
McAfeeDLP解决方案精简版
数据源 •Data at rest •Data in motion •Data in use
数据格式 •格式化数据 •非格式化数据
数据认知程度 •已知的重要数据 •未知的重要数据
在数据泄漏事件之前/之中/之后我们应该/可以做什么？
议题
• McAfee公司简介 • 数据安全风险分析 • 企业如何开始数据安全防护计划 • McAfee 全面数据安全防护解决方案介绍 • McAfee 数据安全的产品优势分析 • McAfee数据安全成功案例分享 •Q & A
泄漏途径有哪些：企业数据安全状况调查结果
您的数据流失风险
可能知道 的问题
•笔记本电脑丢失 • USB设备丢失 • 员工教育 • 设备控制
可能未知 的问题
“信息”到底 在哪里？
如何尽快部署足够的防护 手段?
需要保护哪 些信息？
什么人需要访问 这些信息
如何将流程自 动化以节约审
计成本?
当前的解决方案很难解决上面的所有问题
20
Host DLP Device Control Endpoint Encryption Encrypted Media
Encrypted File DRM Mobile Security EMM ePO
Байду номын сангаас
桌面终端防泄漏（防止机密信息流出终端，被截屏）
打印，蓝牙等外部设备管控.
硬盘加密（防止硬盘遗失，被盗等产生的数据泄露风险）
全面数据安全保护
数据 来源
用户 操作
At rest
拷贝到设备
In use In motion
刻录光盘
剪切复制 拷贝 打印
上传
执行 策略
企业DLP数据安全保护解决方案
• Prevent confidential data loss
• Enforce policies anywhere
• Framework for policy authoring and tuning
MANAGE
• Detect content accurately
Minimum 256 MB RAM
18
Performance Statistics
• Network Monitor: 1Gb/sec (using an Endace card for >350 Mbps on Windows or >650 Mbps on Linux)
• Network Prevent (Email): 20 emails/sec
企业DLP数据安全保护解决方案
1
Agenda
为什么需要DLP？ 什么是DLP？ 赛门铁克是怎么做的？
2
为什么需要DLP？
内部员工或合作伙伴带来 合规要求
的威胁
• 法律法规可能带来的罚款
• 引起了大多数数据泄漏事件
• 名誉损失
• 68% 的事件是由于员工的疏忽大 • HIPAA, PCI, SOX, Gramm-Leach-
Recommended: 500GB,
Recommended: 140 GB Ultra-fast SCSI
Recommended: 140 GB Ultra-fast SCSI
Recommended: 1.5 GB Available disk space
Microsoft Windows Server 2008 Standard and Enterprise Microsoft Windows Server 2012 Standard, Enterprise, and Data Center Red Hat Enterprise Linux 5.8, 5.9, 5.10, 5.11, 6.4, 6.5, 6.6 VMware ESX 4.x and later (not supported for DLP Network Monitor)
防泄漏安全管理制度（5篇）
防泄漏安全管理制度第一章总则第一条为加强公司危险化学品生产装置泄漏的管理工作，减少生产装置非计划停车，避免泄漏发生事故，提高设备安全运行的可靠性，保护公司财产和员工的生命健康，制定本制度。
第二条本制度适用于公司各个生产装置设备。
第二章定义第三条环境：任何可能受到污染的水路,地下水,地面,或大气。
第四条泄漏、溅溢：任何固体或液体物质在表面的意外堆积或排放,任何蒸汽或气体在大气的意外释放,在此过程中会产生环境、人员、财产或其他危害.小于0.45kg的泄漏可以不必报告。
第五条二次容器：不渗漏的，可盛载容器破裂时泄漏的化学品的地方。
二次容器通常是水泥围堰，金属或其他材料的托盘，容器。
第三章职责第六条任何人发现化学品泄漏，必须立即采取相应措施，逐级上报。
对于大量化学品泄漏，经应急领导小组讨论批准后，请求外部援助。
第七条任何人发现工艺气体泄漏，必须立即采取相应措施，逐级上报。
对于大量的工艺气体泄漏，当班班长和调度可以采取先紧急停车后汇报程序。
第八条在采取任何控制措施时应本着不会暴露于化学品危害中或发生任何可能的伤害的原则。
第九条在任何事故的处理中，人员保护是最重要的。
在没有正确配带防护用品的情况下，任何人不得进行化学品泄漏的紧急处理。
第十条员工必须清楚放置处理化学品泄漏应配带的防护用品、泄漏预防设备及泄漏控制设备的储存位置。
泄漏必须以如下的原则处理：停止泄漏围堵泄漏清除泄漏第十一条应急领导小组及相关人员必须经过培训，确保能够采取正确的措施预防和控制化学品的泄漏。
第十二条可能发生泄漏或释放的区域必须进行定期检查。
此外,以下区域如危险品仓库,化学品仓库,废料堆放区,罐区等,必须按照公司标准进行定期检查。
泄漏可能性较大的区域和所存放物品为高危害物品的区域,必须进行特护的监测检查。
第十二条大多数溅溢或释放都是由于人员失误,设备故障,或自然现象造成。
人员失误包括缺少培训、不完善的设计、不正确的操作程序及粗心等，所有这些都会导致工艺和操作问题。
I盾：完善的数据安全保护解决方案
员浏 览 ／编辑 ／打 印核心数据 ， 从而保证 了核 Ｊ 致据的 完整性和机密性 。 支持管控外 发给合作伙伴 文件的权限 ， ｕ 夕 发文件的浏览 ／
从企业信息化应用来看 ， 数 据ቤተ መጻሕፍቲ ባይዱ安 全 主 要 分 为 数 可以在不安装任何软件的情况］
Ｉ 盾对 用户修 改的文件 进行实时 同步备 份 ， 数据永
不丢失 。系统采 用先 进的差异 同步 备份算法 ， 只对修 改 的文件 内容进行 同步 ， 降低 了网络 资源 的消耗 。同时支
自动将 本地 数据存放 到云端 服务 器 ， 发 生意 外 丢 失的 情 况 ， 例如 硬 盘损 坏 、 病毒 入 侵 破坏 持 集 中管控模 式 ，
随 着 信 息 化技 术 的 迅 猛 发 展 ， 越 来越 多 的 企 业 ３ ． 文件生命周期管理
将 核 心 业 务 迁 移 到信 息 化 平 台 ， 使 企 业 运 营 变 得 更
可以对核 己 、 类型文件的创建、 存 储、 使用、 传输 、 销毁
阳ｌ Ｅ 核Ｊ 文件波｛ 通过 Ｕ盘 、 加智能和快捷， 整 个社 会进 入 了一 个 数 据 飞 速 运转 等全生命周期进行 监控 ， Ｑ等外部 设备以及软件传输到企 业外部 。同时 ， 限 惜５ 的时代 ， 我们称之为 “ 大数据时代” 。 在科 技 为 社 会 Ｑ 文件的操作权 限， 禁止与业务无 关的人 带 来 动 力的 同 时 ， 也 带 来 了一 系 列安 全 问题 ， 本 文 将 门 ／人 员对核 Ｊ 通 过对 数据 安 全 问题 的 分析 ， 来介 绍 Ｉ 盾是 如 何解 决
同时还可以限制浏览 据 泄 漏和 数 据 丢失 两 大 问题 。数 据 泄漏 已成为 近 几 编辑 ／截屏 ／打 印 ／复制等权限 ， 天数 ， 超 过浏览时限的文件将 自 动销毁 ， 保证了文 年来 的热 点 ， 上 至 政府 ， 下 至企 业 都 遭受 着 数据 泄 漏 次数和ｌ
Forcepoint数据安全防护解决方案2016
打印机
审核 阻挡 告警 通知
存储
告警/记录 脚本 加密 隔离 EDRM
数据泄漏防护的覆盖范围 – 网络和终端各种通道
SMTP
Target Organisation
研发T部arg张ete三d Em…ployee • 身份证、信用卡、客户数据
• 财务数据、员工数据
• 精算数据、投资数据
• 项目资料、营销数据
数据生命周期中的三个重要阶段
数据定义/生成 数据发现 数据分类
数据存储
数据应用
数据传输
数据备份和归档
数据销毁
数据存储加密 数据脱敏
数据传输加密
数据使用安全
数据维护安全
数据归档 数据备份
数据销毁
数据泄漏防护的覆盖范围：三种不同形态的数据
使用中的数据
• 文件访问 • 剪切 • 复制 • 粘贴 • 打印 • 截屏
内容安全
AP-WEB AP-EMAIL
USERS DATA NETWORKS
高级威胁防御
Threat Protection Appliance Threat Protection Cloud Risk Vision Threat Protection for Linux
ACE 安全分析引擎
TRITON 4D 平台
ቤተ መጻሕፍቲ ባይዱ
安全事件中的犯罪方更多是 企业的员工。
32% 的被访者认为内部威胁会比
外部威胁具有更大危害性和杀伤 力.
* PwC - The Global State of Information Security® Survey 2014 & 2015
数据安全风险
内部威胁
• 员工或者外包商把数据分享至 未经授权的个人或组织
dlp方案
DLP方案简介数据丢失防护（Data Loss Prevention，简称DLP）是一种由组织实施的综合数据安全战略，旨在保护敏感数据免遭意外泄漏或未经授权的访问。
DLP方案旨在提供一系列技术和策略来防止数据泄露，并对敏感数据进行监控、控制和保护。
DLP的基本原则DLP方案的设计和实施需要遵循以下基本原则：1.识别敏感数据：首先，需要识别出组织的敏感数据，并对其进行分类和标记。
敏感数据可以包括个人身份信息、财务数据、合同信息等。
2.监控数据流动：DLP方案需要实时监控数据在网络、终端设备和存储介质之间的流动。
通过使用技术手段，如数据包分析、日志记录和流量监控等，可实现对数据流的全面检测。
3.控制数据访问：DLP方案应提供对敏感数据访问的精确控制。
这包括限制用户对敏感数据的读取、写入和复制等操作，以及实施权限管理和访问审计。
4.加密保护数据：对敏感数据进行加密是DLP方案的必要部分。
加密可以确保即使数据被不当访问，也无法被解密和使用。
5.预防数据泄露：DLP方案要提供预防数据泄露的措施，如禁止使用未经授权的外部存储设备、限制数据传输方式等。
此外，应对数据外发和共享进行严格管理，确保只有授权的人员才能访问数据。
DLP方案的实施步骤实施DLP方案涉及以下主要步骤：1. 制定策略和规范在实施DLP方案之前，组织需要明确其数据安全策略和规范。
该策略应明确敏感数据的分类和标记方式，以及对数据访问和传输的要求。
同时，还需要制定相应的数据备份和恢复策略，以确保在数据丢失事件发生时能够及时恢复数据。
2. 定义敏感数据和数据流通过对组织的数据进行分析，明确敏感数据的类型和位置，确定数据在组织内部和外部的流动路径。
这一步骤需要与各部门合作，了解不同部门对敏感数据的使用和处理方式。
3. 部署技术工具和设备DLP方案的实施需要部署相应的技术工具和设备。
这包括数据防泄漏软件、网络监控设备、加密工具等。
部署之前需要对这些工具和设备进行评估和测试，确保其能够满足组织的需求。
数据治理与数据安全
演讲主题•数据安全与数据防泄漏的关系•企业数据治理为何需要数据防泄漏……•数据防泄漏项目需要涵盖的三个方面•DLP数据防泄漏项目成功案例•数据防泄漏项目成功要素•下一代技术概述对于企业信息安全，若想得到结构性的保障就需要有一个系统性信息安全支撑体系。
无论这个体系采用什么样的参考框架，都需要考虑四个关键的构成要素，即人员People过程Process 、、技术T echnology和数据Data （PPTD），其中：•人员是过程执行的资源；•过程是组织的系统性能力；•技术是过程有效性的支撑；•数据是过程执行的驱动。
自动化方法过程技术：有效性评估策略风险的核心是围绕着业务支撑或业务产生的资产，并取决于资产自身的脆弱性和已采取的安全措施，因此安全技术有效性评估策略包括：•面向业务/业务资产的有效性评估•面向威胁方的有效性评估•面向脆弱性的有效性评估•综合加权的有效性评估技术：企业信息安全技术控制框架法规依从需求信息安全 技术基础设施业务安全需求威胁控制需求监测/解析机制 控制/响应机制运行管理机制 企业信息安全需求技术安全措施/(数据化技术安全措施)行政安全措施物理安全措施技术安全措施是满足企业信息安全需求的三类安全措施之一，也是其中最重要、最复杂的，因此需要通过架构的设计来保证技术控制之间的协同以及与其它安全控制的协同。
技术：面向有效性的规划与设计基于EA的安全需求分析基于价值链的范围确定面向攻击语境的威胁评估企业面临数据安全风险的压力•企业内部监管：–目前多数企业缺乏针对数据泄漏的有效管理/技术手段，增加了数据泄漏的风险；–内部人员及第三方人员有意/无意的操作可能导致企业敏感数据的泄漏。
•外部法律及合规要求：–银监会、保监会等监管机构日益提高对数据安全的重视程度，不断强调增强数据安全性且安全要求渐趋细化；–其他法律法规，如PCI DSS、HIPAA法案等，均对敏感客户信息的保护提出要求。
•数据泄漏风险：–随着IT技术的发展，数据传输渠道不断增加，造成数据泄漏的途径日益增多；–大量数据泄漏给企业造成严重的负面影响，不能安全的提供客户服务，进而使企业声誉受损。
联软全球第一款业务信息防泄露产品UniBDP介绍
联软全球第一款业务信息防泄露产品-UniBDP介绍联软全球第一款业务信息防泄露产品（数据防泄密终极解决方案）-UniBDP介绍标签：unibdp信息防泄密联软防泄密数据防泄密联软科技网络准入控制杂谈分类：联软产品介绍百度／Google搜索关键词：信息防泄露、联软防泄密、数据防泄密、信息防泄密、数据防泄密解决方案、UniBDP1、概述联软业务信息防泄露系统以下简称UniBDP是一套能够防止企业关键业务信息被非授权的窃取，并提供基于时间、身份、非法行为、终端位置等的详尽的记录的系统。
拥有独特的用户访问规则控制功能，实现了非法用户无法访问企业的关键业务系统数据或者合法用户仅能访问特定的业务系统的端口的功能，使企业信息防泄露管控突破业务类型、数据库类型和文件类型的限制，在泄露防护、追踪定位以及安全取证等方面更精确、高效，从而帮助用户解决当今最困难的信息泄密问题。
2、产品功能1）非法用户进不来UniBDP与交换机或网络准入控制器配合使用可以让未安装UniBDP客户端或帐号错误的用户无法接入网络，避免业务系统受到非法的网络攻击，保证用户业务系统网络安全。
2）用户访问有规则UniBDP可以根据不同的用户或组分配不同的访问业务系统权限，可以保证业务系统只被有权限的用户访问，更加提高了业务系统的安全性。
3）有效信息拿不走UniBDP可以禁止用户拷贝、打印、另存业务数据，把业务数据保护在业务系统页面内，避免各种方式的信息泄露。
4）机密信息读不懂UniBDP可以把保存到本地的信息强制自动入虚拟O盘加密，加密后的信息只有具有该文件访问权限的用户可以打开，没有权限或把该文件拷贝到其他没有安装UniBDP客户端的终端都无法打开。
5）面对水印真无奈UniBDP在业务系统页面可以显示水印，水印上可显示当前用户、时间、IP等信息，即使该业务页面被拍照后也无法传播出去。
6）非法行为跑不了UniBDP详细记录用户访问业务系统的时间及行为，能够快速追溯到任意时间范围内的访问，包括实时与回溯，帮助用户快速定位分析各种安全问题。