【杜國(guó)強(qiáng)】各位下午好，接下來(lái)想跟各位介紹一下，我想跟各位介紹新的思路新的思維新的方向。各位看到所謂信息安全，信息安全是什么？傳統(tǒng)對(duì)信息安全的了解無(wú)外戶(hù)IP，無(wú)外乎VPN，和IP相關(guān)的思路，信息在哪里？信息90％都在組織系統(tǒng)，怎么保證是我今天要介紹的內(nèi)容。 

美國(guó)EMC公司中國(guó)區(qū)市場(chǎng)總監(jiān)杜國(guó)強(qiáng)先生

    我常帶朋友去故宮天安門(mén)走，看到紫禁城是圍起來(lái)，防守非常嚴(yán)密的建筑物，這有點(diǎn)類(lèi)似防病毒，防火墻，但是除了一兩次李自成闖進(jìn)去之外，基本在內(nèi)部的問(wèn)題，所以從存儲(chǔ)或信息的角度來(lái)探討信息安全，絕對(duì)超出傳統(tǒng)的思路。

    這里有一些簡(jiǎn)單的例子，在去年4月份的時(shí)候，美國(guó)有一家銀行把數(shù)據(jù)用磁帶搬運(yùn)到遠(yuǎn)程的時(shí)候，很多重要的磁帶不見(jiàn)了，而且重要磁帶的數(shù)據(jù)是美國(guó)國(guó)會(huì)議員信用卡交易記錄，這問(wèn)題非常嚴(yán)重。還有很多例子，某一家信用卡數(shù)據(jù)丟失了，所以發(fā)現(xiàn)數(shù)據(jù)是一個(gè)隱私，不單單是安全，這牽涉很多個(gè)人、企業(yè)甚至國(guó)家所謂的隱私，這是很重要的。

    應(yīng)運(yùn)而生很多法律，我列了一些法令，針對(duì)金融行業(yè)，數(shù)據(jù)不能往外流，銀行的交易記錄不能往外發(fā)布的，其他還有很多美國(guó)政府個(gè)人隱私的數(shù)據(jù)，還有HIPPA醫(yī)院醫(yī)療的數(shù)據(jù)，醫(yī)院不可以把某人的病例，某人的健康狀況沒(méi)有得到允許之前，把數(shù)據(jù)透露出來(lái)，這些都是非常重要的。所以我們提到數(shù)據(jù)或信息的安全，這些都是發(fā)生的。

    看一下統(tǒng)計(jì)，影響數(shù)據(jù)或者影響數(shù)據(jù)丟失的理由，第二個(gè)跟第三個(gè)非常重要，一個(gè)是不正當(dāng)?shù)淖x取、一個(gè)是信息的盜取。所以今天影響數(shù)據(jù)安全有這么多的理由，病毒是其中一塊，雖然目前占大部分，尤其個(gè)人電腦的環(huán)境下面。但是今天影響業(yè)務(wù)，影響經(jīng)濟(jì)、影響個(gè)人其實(shí)是第二項(xiàng)和第三項(xiàng)，它成長(zhǎng)的速度非常快，不正當(dāng)?shù)淖x取速度2004年比2003年增長(zhǎng)1倍，今天談所謂的存儲(chǔ)，網(wǎng)絡(luò)存儲(chǔ)，我們今天只是在把外圍做一個(gè)有效的管理，似乎不太夠，因?yàn)槌Ｖv家賊難防。

    所以今天企業(yè)、個(gè)人開(kāi)始一系列的考慮，從企業(yè)內(nèi)部要制定防范的措施，防范的策略，對(duì)一些很敏感很重要的數(shù)據(jù)做有效的管理和存儲(chǔ)，企業(yè)內(nèi)部有一系列的管理方法，因?yàn)樾畔⒌膩G失會(huì)影響老百姓、影響社會(huì)、影響經(jīng)濟(jì)，所以政府也開(kāi)始設(shè)定一些法令來(lái)規(guī)定企業(yè)如何保護(hù)它的數(shù)據(jù)。如果沒(méi)有辦法完成政府的要求，可能有一些刑事責(zé)任。

    我們看一下今天信息安全的產(chǎn)品有這么多，從服務(wù)器有掃描、網(wǎng)絡(luò)有VPN、有防火墻等這么多的產(chǎn)品，這些產(chǎn)品基本上就是剛才提到的，屬于外圍的保護(hù)工具，比如紫禁城非常保密，但是皇帝常常不知道被什么原因下毒謀殺，就因?yàn)闆](méi)有做內(nèi)部的管理，所以今天信息安全，網(wǎng)絡(luò)存儲(chǔ)的安全，必須從傳統(tǒng)的外圍的保護(hù)，隔離的保護(hù)到自身內(nèi)部所有重要的元件都有自身保護(hù)的技術(shù)或者設(shè)施。

    這是信息管理信息安全的思路，我們常提數(shù)據(jù)保護(hù)或信息安全，這些定義不太一樣。首先看一下信息安全是什么？通過(guò)很多IT技術(shù)保護(hù)數(shù)據(jù)的完整性，另外對(duì)業(yè)務(wù)來(lái)講是風(fēng)險(xiǎn)管理，對(duì)企業(yè)來(lái)講最重要是風(fēng)險(xiǎn)管理，尤其金融行業(yè)，大家很清楚巴塞爾協(xié)議第二代實(shí)際上就是控管金融、銀行，你們必須有風(fēng)險(xiǎn)管理的機(jī)制，如果沒(méi)有達(dá)到這樣的管理機(jī)制，你的儲(chǔ)備金要加大。

    風(fēng)險(xiǎn)管理有一句明言，今天的風(fēng)險(xiǎn)就是你明天的損失，今天我企業(yè)沒(méi)有做好風(fēng)險(xiǎn)管理，明天可能就是你業(yè)務(wù)的損失，今天對(duì)風(fēng)險(xiǎn)管理的機(jī)制，信息安全必須含擴(kuò)在安全管理里面，數(shù)據(jù)保護(hù)已經(jīng)是目前風(fēng)險(xiǎn)管理非常重要的課題。

    這個(gè)課題從網(wǎng)絡(luò)存儲(chǔ)的角度，數(shù)據(jù)保護(hù)包含什么？基本上三個(gè)字，一個(gè)可用性、能夠不停機(jī)，能夠恢復(fù)等等不同的要求、第二個(gè)一致性、數(shù)據(jù)不會(huì)因?yàn)樽鰝浞莼謴?fù)數(shù)據(jù)丟失，真正在數(shù)據(jù)保護(hù)下面有另外一個(gè)保密性，所以數(shù)據(jù)保護(hù)是三個(gè)字CIA，保密性跟人有關(guān)系，跟數(shù)據(jù)的敏感性有關(guān)系，我不希望這數(shù)據(jù)被某些人看到，所以今天數(shù)據(jù)的保護(hù)基本上是CIA三個(gè)概念。

    具體到EMC，EMC是存儲(chǔ)系統(tǒng)的公司，有提供一系列的產(chǎn)品，提供業(yè)務(wù)連續(xù)性、災(zāi)難備份數(shù)據(jù)恢復(fù)各種不同的產(chǎn)品。另外提供一些數(shù)據(jù)的一致性，數(shù)據(jù)保護(hù)、存檔等不同的產(chǎn)品。那保密性的產(chǎn)品是什么東西？

    做這種的產(chǎn)品有但是不多，我今天介紹的是未來(lái)在存儲(chǔ)系統(tǒng)，網(wǎng)絡(luò)存儲(chǔ)另外一個(gè)非常熱門(mén)的話題，就是信息安全、數(shù)據(jù)保護(hù)，而且最重要的是C，叫數(shù)據(jù)的保密性，或者隱秘性。數(shù)據(jù)在存儲(chǔ)系統(tǒng)里面可以知道，我不被某些人，今天他離職就讀不到這筆數(shù)據(jù)，以前這在我服務(wù)器里面，筆記本里面，未來(lái)存儲(chǔ)技術(shù)會(huì)在存儲(chǔ)這邊做一些管理。

    很多人在問(wèn)談到保密性是不是重新設(shè)計(jì)新的產(chǎn)品，或者要重新的課題研究，好在今天網(wǎng)絡(luò)存儲(chǔ)已經(jīng)做得很好，數(shù)據(jù)管理、內(nèi)容管理、各種產(chǎn)品不同的管理，已經(jīng)做了很好的數(shù)據(jù)分級(jí)，已經(jīng)根據(jù)我數(shù)據(jù)分級(jí)可以定義很好的服務(wù)水平，根據(jù)服務(wù)水平可以選擇適當(dāng)?shù)漠a(chǎn)品做服務(wù)，到最后可以選擇適當(dāng)?shù)募夹g(shù)優(yōu)化我的應(yīng)用，今天網(wǎng)絡(luò)存儲(chǔ)基本上已經(jīng)做到，有了可用性為基礎(chǔ)，就可以開(kāi)始從保密性來(lái)看，把可用性加上人的因素。以前考慮產(chǎn)品的管理，公司有這么多的資產(chǎn)，怎么樣保護(hù)它，今天要從另外一個(gè)思路出發(fā)，我這么多資產(chǎn)要能夠非常安全，以前考慮數(shù)據(jù)分級(jí)，應(yīng)用分級(jí)，現(xiàn)在是根據(jù)公司內(nèi)部人員，根據(jù)公司內(nèi)部不同組織的敏感性分級(jí)。

    以前要保證服務(wù)水平確保應(yīng)用可以恢復(fù)，確保數(shù)據(jù)可以恢復(fù)，今天要根據(jù)公司內(nèi)部的風(fēng)險(xiǎn)的控管來(lái)定義、以前選擇不同的技術(shù)產(chǎn)品實(shí)施我的服務(wù)水平，今天要考慮的是怎么樣做一個(gè)有效的管理，同樣的優(yōu)化，有各種不同的產(chǎn)品來(lái)完成這些功能，很多產(chǎn)品還要繼續(xù)開(kāi)發(fā)，在很短的未來(lái)會(huì)有陸陸續(xù)續(xù)產(chǎn)品提高數(shù)據(jù)的保密性。

    提高數(shù)據(jù)安全有CIA要求，今天A部分做得很好，I部分也基本有了，C沒(méi)有做得很好，我如何保證數(shù)據(jù)的保密性，第一個(gè)要做Secure the infrastructure，要保護(hù)數(shù)據(jù)是安全的，直接保護(hù)數(shù)據(jù)，不是通過(guò)外圍的防火墻，不是通過(guò)外圍的防病毒墻，直接針對(duì)這筆數(shù)據(jù)做有效的保護(hù)。

    很重要的是要針對(duì)各種不同的存儲(chǔ)平臺(tái)，做相應(yīng)的保護(hù)，如何保護(hù)infrastructure，我要保護(hù)信息，要保護(hù)這個(gè)存儲(chǔ)系統(tǒng)，要保護(hù)交換機(jī)，而不是把更多的保護(hù)工具來(lái)保護(hù)IT，這是非常重要的概念，不會(huì)買(mǎi)越多保護(hù)產(chǎn)品我的IT架構(gòu)越安全，重要的是針對(duì)重要數(shù)據(jù)做個(gè)別保護(hù)。

    這方面很多思路，很多新的理念，很多產(chǎn)品陸陸續(xù)續(xù)出來(lái)，所以可以看到，今天談到所謂IT的保護(hù)發(fā)展思路，今天說(shuō)的是未來(lái)會(huì)發(fā)生的，而且這些東西有部分產(chǎn)品可以在市面上找到。

    第二個(gè)是直接保護(hù)我的數(shù)據(jù)，EMC常常介紹所謂的存儲(chǔ)分級(jí)，根據(jù)不同的重要數(shù)據(jù)，不同的應(yīng)用選擇最有效的存儲(chǔ)平臺(tái)提供服務(wù)，今天提到的概念就是如何保護(hù)數(shù)據(jù)。我數(shù)據(jù)非常多，但是可以根據(jù)這個(gè)時(shí)候數(shù)據(jù)的重要性選擇機(jī)動(dòng)的能力去放在不同保護(hù)級(jí)別的存儲(chǔ)平臺(tái)，可能有一些存儲(chǔ)保護(hù)能力非常高，有些存儲(chǔ)保護(hù)能力比較適中，有一些比較低，當(dāng)我數(shù)據(jù)重要的時(shí)候，可以自動(dòng)進(jìn)入到保護(hù)能力非常強(qiáng)的存儲(chǔ)系統(tǒng)，這東西跟談到的數(shù)據(jù)分級(jí)有類(lèi)似的概念。有不同的方法和手段，目前市面有很多的產(chǎn)品可以做到。

    第三個(gè)針對(duì)不同存儲(chǔ)平臺(tái)選擇最適合的加密技術(shù)，根據(jù)你應(yīng)用的情況，比如當(dāng)你考慮的是應(yīng)用環(huán)境，整個(gè)從服務(wù)器到交換機(jī)、到存儲(chǔ)到后面其他所有產(chǎn)品必須做有效的加密。可能你的環(huán)境是從服務(wù)器開(kāi)始考慮過(guò)去，或者從交換機(jī)這一層，或者從存儲(chǔ)這一層開(kāi)始做加密，這種技術(shù)市面上都有類(lèi)似的產(chǎn)品出來(lái)了。

    這是三個(gè)重要的層，我們要做到數(shù)據(jù)的保密性要做三件事情，第一個(gè)要保護(hù)數(shù)據(jù)是安全的，第二個(gè)直接保護(hù)數(shù)據(jù)，第三個(gè)針對(duì)不同存儲(chǔ)平臺(tái)選擇適合的加密技術(shù)。

    今天我們有一些產(chǎn)品推介給各位，今天通過(guò)這樣的機(jī)會(huì)，這是我第一次在這樣的場(chǎng)合跟各位介紹在未來(lái)網(wǎng)絡(luò)存儲(chǔ)非常熱門(mén)的話題，這個(gè)話題就是信息安全，強(qiáng)調(diào)一下很多客戶(hù)找EMC，說(shuō)我好像家里買(mǎi)一個(gè)防病毒，公司買(mǎi)了防火墻，公司建制一個(gè)VPN就安全了嗎？還不夠安全的，這都是外圍安全的手段。

    數(shù)據(jù)安全或者信息安全一樣絕對(duì)不是IP的安全，是整個(gè)企業(yè)網(wǎng)絡(luò)存儲(chǔ)的安全，而且我們發(fā)現(xiàn)今天安全的問(wèn)題家賊最難防的，絕對(duì)不是外面的駭客可以影響到，很多都是內(nèi)部誤操作，內(nèi)部人員的一些刻意處理才會(huì)造成企業(yè)數(shù)據(jù)的丟失，影響業(yè)務(wù)。

    今天就用很短的時(shí)間探討數(shù)據(jù)的安全跟保護(hù)的思路，我報(bào)告就到這里，謝謝！

多易