美國EMC公司中國區(qū)市場總監(jiān)杜國強先生
【杜國強】各位下午好，接下來想跟各位介紹一下，我想跟各位介紹新的思路新的思維新的方向。各位看到所謂信息安全，信息安全是什么？傳統(tǒng)對信息安全的了解無外戶IP，無外乎VPN，和IP相關的思路，信息在哪里？信息90％都在組織系統(tǒng)，怎么保證是我今天要介紹的內(nèi)容。
美國EMC公司中國區(qū)市場總監(jiān)杜國強先生
我常帶朋友去故宮天安門走，看到紫禁城是圍起來，防守非常嚴密的建筑物，這有點類似防病毒，防火墻，但是除了一兩次李自成闖進去之外，基本在內(nèi)部的問題，所以從存儲或信息的角度來探討信息安全，絕對超出傳統(tǒng)的思路。
這里有一些簡單的例子，在去年4月份的時候，美國有一家銀行把數(shù)據(jù)用磁帶搬運到遠程的時候，很多重要的磁帶不見了，而且重要磁帶的數(shù)據(jù)是美國國會議員信用卡交易記錄，這問題非常嚴重。還有很多例子，某一家信用卡數(shù)據(jù)丟失了，所以發(fā)現(xiàn)數(shù)據(jù)是一個隱私，不單單是安全，這牽涉很多個人、企業(yè)甚至國家所謂的隱私，這是很重要的。
應運而生很多法律，我列了一些法令，針對金融行業(yè)，數(shù)據(jù)不能往外流，銀行的交易記錄不能往外發(fā)布的，其他還有很多美國政府個人隱私的數(shù)據(jù)，還有HIPPA醫(yī)院醫(yī)療的數(shù)據(jù)，醫(yī)院不可以把某人的病例，某人的健康狀況沒有得到允許之前，把數(shù)據(jù)透露出來，這些都是非常重要的。所以我們提到數(shù)據(jù)或信息的安全，這些都是發(fā)生的。
看一下統(tǒng)計，影響數(shù)據(jù)或者影響數(shù)據(jù)丟失的理由，第二個跟第三個非常重要，一個是不正當?shù)淖x取、一個是信息的盜取。所以今天影響數(shù)據(jù)安全有這么多的理由，病毒是其中一塊，雖然目前占大部分，尤其個人電腦的環(huán)境下面。但是今天影響業(yè)務，影響經(jīng)濟、影響個人其實是第二項和第三項，它成長的速度非常快，不正當?shù)淖x取速度2004年比2003年增長1倍，今天談所謂的存儲，網(wǎng)絡存儲，我們今天只是在把外圍做一個有效的管理，似乎不太夠，因為常講家賊難防。
所以今天企業(yè)、個人開始一系列的考慮，從企業(yè)內(nèi)部要制定防范的措施，防范的策略，對一些很敏感很重要的數(shù)據(jù)做有效的管理和存儲，企業(yè)內(nèi)部有一系列的管理方法，因為信息的丟失會影響老百姓、影響社會、影響經(jīng)濟，所以政府也開始設定一些法令來規(guī)定企業(yè)如何保護它的數(shù)據(jù)。如果沒有辦法完成政府的要求，可能有一些刑事責任。
我們看一下今天信息安全的產(chǎn)品有這么多，從服務器有掃描、網(wǎng)絡有VPN、有防火墻等這么多的產(chǎn)品，這些產(chǎn)品基本上就是剛才提到的，屬于外圍的保護工具，比如紫禁城非常保密，但是皇帝常常不知道被什么原因下毒謀殺，就因為沒有做內(nèi)部的管理，所以今天信息安全，網(wǎng)絡存儲的安全，必須從傳統(tǒng)的外圍的保護，隔離的保護到自身內(nèi)部所有重要的元件都有自身保護的技術(shù)或者設施。
這是信息管理信息安全的思路，我們常提數(shù)據(jù)保護或信息安全，這些定義不太一樣。首先看一下信息安全是什么？通過很多IT技術(shù)保護數(shù)據(jù)的完整性，另外對業(yè)務來講是風險管理，對企業(yè)來講最重要是風險管理，尤其金融行業(yè)，大家很清楚巴塞爾協(xié)議第二代實際上就是控管金融、銀行，你們必須有風險管理的機制，如果沒有達到這樣的管理機制，你的儲備金要加大。
風險管理有一句明言，今天的風險就是你明天的損失，今天我企業(yè)沒有做好風險管理，明天可能就是你業(yè)務的損失，今天對風險管理的機制，信息安全必須含擴在安全管理里面，數(shù)據(jù)保護已經(jīng)是目前風險管理非常重要的課題。
這個課題從網(wǎng)絡存儲的角度，數(shù)據(jù)保護包含什么？基本上三個字，一個可用性、能夠不停機，能夠恢復等等不同的要求、第二個一致性、數(shù)據(jù)不會因為做備份恢復數(shù)據(jù)丟失，真正在數(shù)據(jù)保護下面有另外一個保密性，所以數(shù)據(jù)保護是三個字CIA，保密性跟人有關系，跟數(shù)據(jù)的敏感性有關系，我不希望這數(shù)據(jù)被某些人看到，所以今天數(shù)據(jù)的保護基本上是CIA三個概念。
具體到EMC，EMC是存儲系統(tǒng)的公司，有提供一系列的產(chǎn)品，提供業(yè)務連續(xù)性、災難備份數(shù)據(jù)恢復各種不同的產(chǎn)品。另外提供一些數(shù)據(jù)的一致性，數(shù)據(jù)保護、存檔等不同的產(chǎn)品。那保密性的產(chǎn)品是什么東西？
做這種的產(chǎn)品有但是不多，我今天介紹的是未來在存儲系統(tǒng)，網(wǎng)絡存儲另外一個非常熱門的話題，就是信息安全、數(shù)據(jù)保護，而且最重要的是C，叫數(shù)據(jù)的保密性，或者隱秘性。數(shù)據(jù)在存儲系統(tǒng)里面可以知道，我不被某些人，今天他離職就讀不到這筆數(shù)據(jù)，以前這在我服務器里面，筆記本里面，未來存儲技術(shù)會在存儲這邊做一些管理。
很多人在問談到保密性是不是重新設計新的產(chǎn)品，或者要重新的課題研究，好在今天網(wǎng)絡存儲已經(jīng)做得很好，數(shù)據(jù)管理、內(nèi)容管理、各種產(chǎn)品不同的管理，已經(jīng)做了很好的數(shù)據(jù)分級，已經(jīng)根據(jù)我數(shù)據(jù)分級可以定義很好的服務水平，根據(jù)服務水平可以選擇適當?shù)漠a(chǎn)品做服務，到最后可以選擇適當?shù)募夹g(shù)優(yōu)化我的應用，今天網(wǎng)絡存儲基本上已經(jīng)做到，有了可用性為基礎，就可以開始從保密性來看，把可用性加上人的因素。以前考慮產(chǎn)品的管理，公司有這么多的資產(chǎn)，怎么樣保護它，今天要從另外一個思路出發(fā)，我這么多資產(chǎn)要能夠非常安全，以前考慮數(shù)據(jù)分級，應用分級，現(xiàn)在是根據(jù)公司內(nèi)部人員，根據(jù)公司內(nèi)部不同組織的敏感性分級。
以前要保證服務水平確保應用可以恢復，確保數(shù)據(jù)可以恢復，今天要根據(jù)公司內(nèi)部的風險的控管來定義、以前選擇不同的技術(shù)產(chǎn)品實施我的服務水平，今天要考慮的是怎么樣做一個有效的管理，同樣的優(yōu)化，有各種不同的產(chǎn)品來完成這些功能，很多產(chǎn)品還要繼續(xù)開發(fā)，在很短的未來會有陸陸續(xù)續(xù)產(chǎn)品提高數(shù)據(jù)的保密性。
提高數(shù)據(jù)安全有CIA要求，今天A部分做得很好，I部分也基本有了，C沒有做得很好，我如何保證數(shù)據(jù)的保密性，第一個要做Secure the infrastructure，要保護數(shù)據(jù)是安全的，直接保護數(shù)據(jù)，不是通過外圍的防火墻，不是通過外圍的防病毒墻，直接針對這筆數(shù)據(jù)做有效的保護。
很重要的是要針對各種不同的存儲平臺，做相應的保護，如何保護infrastructure，我要保護信息，要保護這個存儲系統(tǒng)，要保護交換機，而不是把更多的保護工具來保護IT，這是非常重要的概念，不會買越多保護產(chǎn)品我的IT架構(gòu)越安全，重要的是針對重要數(shù)據(jù)做個別保護。
這方面很多思路，很多新的理念，很多產(chǎn)品陸陸續(xù)續(xù)出來，所以可以看到，今天談到所謂IT的保護發(fā)展思路，今天說的是未來會發(fā)生的，而且這些東西有部分產(chǎn)品可以在市面上找到。
第二個是直接保護我的數(shù)據(jù)，EMC常常介紹所謂的存儲分級，根據(jù)不同的重要數(shù)據(jù)，不同的應用選擇最有效的存儲平臺提供服務，今天提到的概念就是如何保護數(shù)據(jù)。我數(shù)據(jù)非常多，但是可以根據(jù)這個時候數(shù)據(jù)的重要性選擇機動的能力去放在不同保護級別的存儲平臺，可能有一些存儲保護能力非常高，有些存儲保護能力比較適中，有一些比較低，當我數(shù)據(jù)重要的時候，可以自動進入到保護能力非常強的存儲系統(tǒng)，這東西跟談到的數(shù)據(jù)分級有類似的概念。有不同的方法和手段，目前市面有很多的產(chǎn)品可以做到。
第三個針對不同存儲平臺選擇最適合的加密技術(shù)，根據(jù)你應用的情況，比如當你考慮的是應用環(huán)境，整個從服務器到交換機、到存儲到后面其他所有產(chǎn)品必須做有效的加密。可能你的環(huán)境是從服務器開始考慮過去，或者從交換機這一層，或者從存儲這一層開始做加密，這種技術(shù)市面上都有類似的產(chǎn)品出來了。
這是三個重要的層，我們要做到數(shù)據(jù)的保密性要做三件事情，第一個要保護數(shù)據(jù)是安全的，第二個直接保護數(shù)據(jù)，第三個針對不同存儲平臺選擇適合的加密技術(shù)。
今天我們有一些產(chǎn)品推介給各位，今天通過這樣的機會，這是我第一次在這樣的場合跟各位介紹在未來網(wǎng)絡存儲非常熱門的話題，這個話題就是信息安全，強調(diào)一下很多客戶找EMC，說我好像家里買一個防病毒，公司買了防火墻，公司建制一個VPN就安全了嗎？還不夠安全的，這都是外圍安全的手段。
數(shù)據(jù)安全或者信息安全一樣絕對不是IP的安全，是整個企業(yè)網(wǎng)絡存儲的安全，而且我們發(fā)現(xiàn)今天安全的問題家賊最難防的，絕對不是外面的駭客可以影響到，很多都是內(nèi)部誤操作，內(nèi)部人員的一些刻意處理才會造成企業(yè)數(shù)據(jù)的丟失，影響業(yè)務。
今天就用很短的時間探討數(shù)據(jù)的安全跟保護的思路，我報告就到這里，謝謝！
