數據存儲安全

數據存儲安全是客戶整個安全計畫的一部分，也是數據中心安全和組織安全的一部分。如果只小心翼翼地保護存儲的安全而將整個系統向網際網路開放，那這樣的存儲安全是絲毫沒有意義的。應該認識到，安全計畫可能需要滿足各種資料庫和套用的不同層次的安全需求原則上，存儲安全是非常簡單直接的。

定義

在過去十年中，存儲已演變為多個系統共享的一種資源。非常多案例都表明，只保護存儲設備所在的系統的安全已不能滿足需要了。存儲設備目前連線到非常多系統上，因此，必須保護各個系統上的有價值的數據，防止其他系統未經授權訪問數據，或破壞數據。相應的，存儲設備必須要防止未被授權的設定改動，對所有的更改都要做審計跟蹤。

線上存儲――磁碟存儲――被指定為不同的部分。每個部分屬於一個特別的系統或用戶。如果這個部分被訪問，存儲系統會查看訪問請求發回的地址，如果這個地址不是所有者的，那么就拒絕請求。

在實踐中，建立存儲安全需求專業的知識，留意細節，不斷檢查，確保存儲解決方案繼續滿足業務不斷改動的需要。必須減少諸如偽造回復地址這樣的威脅。最重要的是，安全的本質是三方面達到平衡，即採取安全措施的成本，安全缺口帶來的影響，入侵者要突破安全措施所需要的資源。

目標

保護機密的數據;

確保數據的完整性;

防止數據被破壞或丟失。

一旦發生數據丟失或被破壞，後果可想而知。敏感的業務數據或客戶資料將被泄露，業務記錄將被篡改或毀壞。所有最糟糕的情形都有可能發生。

保障措施

數據的存儲已經成為了人們日常生活與工作中必須要做的一項任務。隨著人們對數據的依賴程度越來越嚴重，逐漸的開始對數據存儲安全重視起來。當前，很多企業面臨的挑戰是如何找到安全與支出之間的平衡，當整個企業都在努力降低成本的時候，IT管理員要如何說服公司投資安全工具呢?人為錯誤通常是企業存儲環境面臨的最重要的存儲安全錯誤，隨著2009年網路犯罪和身份盜竊的不斷增加，企業需要更加警惕防禦抵制因為人為因素而導致的釣魚攻擊和社會工程攻擊。

企業不能忽視安全問題，即使預算緊張，安全泄漏、數據丟失和停機時間造成的總成本損失都遠遠超過企業需要花在保護數據和網路上的錢。如果企業安全成為經濟危機時期的另一個受害者，那么短期收益將可能造成長期損失。

1. 確定問題所在

對所有部署的安全措施和設備進行廣泛的審計—所有的硬體、軟體和其他設備，並審核授予企業內員工的所有特權和檔案許可權。積極測試存儲環境的安全性並檢查網路和存儲安全控制的日誌，如防火牆、IDS和訪問日誌等，來了解所有可能的安全事件，事件日誌是很重要的安全信息資源，但是常常被忽視。

2. 監測活動

全年全天候對用戶的行為進行檢測，對於單個管理員，檢測事件日誌並定期進行審計是一項艱巨的任務。但是，檢測存儲環境比檢測整個網路要更加現實。日誌被認為是很重要的資源，因為如果安全泄漏發生的時候，日誌可以用於隨後展開的調查。日誌分析能夠幫助管理員更好地了解資源使用的方式並能夠更好的管理資源。

3.訪問控制

對數據的訪問許可權只能授予那些需要訪問數據的人。

4. 維護信息

保護所有企業信息。使用不受控制的移動存儲設備，如快閃記憶體驅動和DVD等，讓大量數據處於威脅之中，這些設備很容易丟失，並且很容易被盜竊。在很多情況下，位於移動存儲設備的數據經常沒有使用加密技術來保護。

5. 需要知道和需要使用

制定技術政策，根據明確的政策來使用設備。最近的研究表明，當人們被炒魷魚的時候，這些人泄漏數據的比率不斷增加。移動設備(如USB棒或者 PDA)可以容納大量數據，檢測網路中這些設備的使用是降低數據泄漏風險或者是不滿員工的惡意行為的關鍵因素。但僅限於真正需要使用移動設備的人使用移動設備。

6. 數據處理政策

實施嚴格的安全政策，包括數據是如何處理的、如何訪問和轉移等。單靠技術本身是不足以保護公司數據的。強有力的可執行的安全政策，以及員工和管理層對安全問題的認知，將能夠提高企業內的存儲安全水平。

7. 簡單的員工溝通

用簡單明確的語言向員工解釋每一種政策的含義，和政策部署的方式。

8. 員工教育

員工需要注意，不應該將自己的密碼寫在貼上在監視器的記事貼上，他們需要了解共享密碼就像共享自己家裡的要是一樣。需要告訴員工不能在未經認證的情況下，將任何信息透露給第三方，他們需要對安全和最常見的威脅(如電子郵件釣魚和社會工程)有基本的了解。另外，他們需要注意其行為正在被監視。

9. 備份所有的東西

備份所有通信和數據，定期檢查備份以確保公司的網路崩潰的時候，能夠在短時間內獲取所有信息，你當然不希望備份遭到破壞。

10. 人員管理

存儲安全比使用各種安全技術保護數據更加重要，這也是訓練人事管理的機會。使用和創建數據的人是最大的安全威脅和最薄弱的安全環節。

核心內容

我們說，安全向來都是相對的，沒有絕對的安全，存儲安全也一樣。隨著存儲安全新隱患、新情況的不斷湧現，任何一種存儲安全產品都不可能保障100%存儲安全。既然不存在100%的存儲安全，那么在發生存儲安全事故時，如何在第一時間、將負面影響降至最低點，最大限度的減少各種損失，就成了存儲安全最後的王牌，也就是我們常說的數據恢復。存儲安全保障的最終目標是保障數據信息的完整、不受損壞、不被竊取。而沒有數據恢復，存儲安全不過是一張無法兌現的口頭支票。從歐美信息化發展程度較高國家近幾年的研發方向來看，未來存儲安全的核心是以數據恢復為主，兼顧數據備份、數據擦除。

2010年，在即將跨入“十二五”的時刻，“中國信息產業經濟年會”進入第十個年頭。十年來，中國電子信息產業進入了改革開放以來的空前繁榮期，特別是在信息安全領域，這幾年在國家發改委，工信部和科技部的大力支持下，不少國內知名研發機構逐漸走上國家尖端的行列。