装了防火墙就能防泄密吗
防火墙是网络安全的基本设备，它在网络边界处控制进出流量，阻挡外部攻击。很多企业觉得装了防火墙，信息系统就安全了，泄密风险也就解决了。这种想法可以理解，但和实际情况差距很大。
防火墙的核心功能是网络层面的访问控制。它根据预设的规则，决定哪些数据包可以通过，哪些被拦截。对外部攻击者来说，防火墙是一道屏障。但对内部泄密来说，防火墙几乎起不到作用。
分析一下泄密的主要途径就知道原因了。
内部人员主动泄密。员工通过邮件、即时通讯工具、云盘、U盘等方式将敏感文件发送出去。这些行为通常是正常的网络操作，防火墙很难区分哪些是工作需要的正常传输，哪些是泄密行为。员工用公司邮箱把文件发给私人邮箱，防火墙很难拦截，因为这看起来就是正常的邮件发送。
内部人员无意识泄密。员工把文件存入公共云盘、共享给未授权的同事、或者把设备接入公共WiFi导致数据被截获。防火墙在网络层面无法识别这些操作的泄密风险。
物理层面的泄密。文件打印后被人拿走、会议内容被偷听、离职员工拿走纸质资料。防火墙完全不涉及这些场景。
终端设备的泄密。笔记本电脑丢失、手机被盗、移动硬盘遗落，设备中的敏感数据随之流失。防火墙无法保护离开公司网络的设备。
外部攻击绕过防火墙。攻击者通过钓鱼邮件诱导员工点击恶意链接或下载木马程序，一旦木马在内部网络中运行，就可以绕过防火墙将数据回传。防火墙能够阻挡一部分已知威胁，但对精心设计的定向钓鱼攻击，仅靠防火墙不足以防住。
社交工程攻击。攻击者冒充客户或合作伙伴，通过电话或邮件获取员工信任，套取内部信息。这类攻击完全不经过防火墙。
很多人高估防火墙的能力，是因为把防火墙等同于安全体系的全部。实际上，防火墙是安全体系中的一个组件，而且是防御体系的最外层。真正的企业安全需要纵深防御，每一层都有独立的安全功能。
从泄密防护的角度，真正起作用的措施包括以下几个方面。
文档加密。对重要文档实施加密保护，即使文件被非法获取，没有密钥也无法打开。加密与权限系统联动，让授权人在授权范围内使用。
数据防泄露系统。通过内容识别和行为分析，对敏感数据的流转进行监控和拦截。可以设置策略防止敏感文件通过邮件、U盘、打印、截屏等方式外泄。
终端管控。对公司配发的电脑和移动设备进行统一管理，禁止未经授权的USB设备接入，禁止安装非白名单软件，强制启用操作系统自带的加密功能。
行为审计。对敏感操作进行记录，包括文件访问、打印、外发、删除等。审计日志在泄密后调查中起关键作用，也能在日常形成威慑力。
权限管理。遵循最小权限原则，每个岗位只能访问履职所需的信息。研发人员不用看到全部客户数据，销售人员不用知道技术细节。
培训教育。让员工知道哪些行为有泄密风险，遇到可疑情况怎么判断和报告。技术防线的薄弱环节往往出现在人的环节，培训就是加固这个环节的手段。
物理防护。重要区域的门禁和监控、涉密设备的存放管理、访客的登记和陪同、会议室的保密管理，这些都是防火墙覆盖不到的地方。
应急响应。一旦发现泄密或疑似泄密，有明确的响应流程，能在短时间内启动调查和止损。
把防火墙当作防泄密的工具，相当于认为门口有了保安家里就不会被盗。保安能挡住一部分人，但小偷翻墙、爬窗、冒充快递员、配合内应，方式很多。防盗需要的是门锁、监控、报警器、窗户防盗网、生活习惯以及邻居守望相助的完整体系。
企业在构建防泄密体系时，建议从风险最大的环节入手。对于大多数企业来说，内部人员泄密的风险远大于外部攻击。资源分配上应当优先解决内部管控问题，再逐步完善外部防护。
北京企密安信息安全技术有限公司提供从风险评估到方案设计、从技术部署到制度建设的全套防泄密解决方案，帮助企业建立高效的防泄密屏障。
FAQ： 问：公司已经上了防火墙和杀毒软件，是不是就不用担心泄密了？ 答：不是。防火墙和杀毒软件解决的是外部的网络安全威胁，而企业泄密的主要来源是内部人员的有意或无意的行为。建议在现有安全设备的基础上，增加文档加密、权限管理和员工培训等内部管控手段。
问：小企业预算有限，先装防火墙还是先做保密培训？ 答：对于小企业，建议先做保密培训。原因很简单，防火墙解决的是小概率的外部攻击，而内部人员无意识泄密在小企业中发生的概率更高。花很少的钱做一次全员保密培训，效果可能比买一台防火墙更直接。
了解更多信息，请联系北京企密安 010-63711822 或访问 baomiwang.com。
