這些年來，運營商IDC(Internet Data Center，互聯(lián)網(wǎng)數(shù)據(jù)中心)不只停留在傳統(tǒng)業(yè)務層面，其走向?qū)I(yè)化與服務化，開展更多增值服務成為發(fā)展趨勢。從過去傳統(tǒng)的主機托管到虛擬主機、搭建企業(yè)專線局域網(wǎng)，再到涉及網(wǎng)絡安全的硬件防火墻、網(wǎng)絡入侵檢測等增值業(yè)務不斷出現(xiàn)。RSA認為，運營商IDC通過對不同數(shù)據(jù)在不同發(fā)展階段的管理，可以進一步向客戶提供更細化的安全增值業(yè)務。終端業(yè)務同樣如此，3G時代手機將不再是簡單的溝通工具，諸如在線交易型業(yè)務對身份認證的迫切需求同樣蘊藏諸多商機。
相關(guān)數(shù)據(jù)顯示，運營商IDC在主機托管的業(yè)務比例下滑嚴重，但增值業(yè)務比例顯著增長，具體包括數(shù)據(jù)存儲備份、網(wǎng)絡安全服務、代維服務等。從全球增值服務市場來看，安全增值服務的份額正在不斷增長，其范疇主要包括九方面，分別是：內(nèi)容安全服務、實時監(jiān)控服務、防火墻服務、企業(yè)恢復服務、郵件安全服務、存儲安全服務、防DDOS服務、入侵檢測服務、安全認證服務。實際上，安全增值服務領(lǐng)域還可以繼續(xù)拓展，作為全業(yè)務運營的電信運營商來講，除了企業(yè)內(nèi)部信息安全管理的需求之外，電信運營商在提供安全增值服務方面蘊藏無限商機，越來越受到關(guān)注。
從數(shù)據(jù)中心的角度或者說主機托管的角度來看，所有的信息安全隱患在IT領(lǐng)域要分成三方面。第一，數(shù)據(jù)完整性保護，知道哪些數(shù)據(jù)是敏感的，這些數(shù)據(jù)放在了什么地方。第二，認證及身份管理，數(shù)據(jù)分析之后，對數(shù)據(jù)進行各種各樣的保護措施。第三，監(jiān)控、報告、審計，滿足法規(guī)遵從及優(yōu)化運營。
這里，我主要以數(shù)據(jù)完整性保護、認證與身份管理、信息監(jiān)控與報告三方面為中心，圍繞運營商IDC如何提供安全增值業(yè)務方面做了詳細的介紹。
電信安全增值業(yè)務之一：數(shù)據(jù)完整性保護
有關(guān)數(shù)據(jù)發(fā)現(xiàn)和完整性保護主要分成三個步驟。首先是數(shù)據(jù)分類。可以從需求分析、資產(chǎn)分析、漏洞分析等方面進行，最后從信息的機密性、可用性、完整性來確定不同級別。這里，數(shù)據(jù)分類非常重要，在這個信息風險保護過程中，50%的工作都是在對數(shù)據(jù)分類，RSA就有專業(yè)的團隊做數(shù)據(jù)分析方面的工作。
在數(shù)據(jù)的完整性保護方面，運營商IDC可以向其金融、政府、交通等行業(yè)客戶提供更有針對性的安全增值服務。比如通過數(shù)據(jù)分類，運營商IDC可以讓客戶清楚的了解到企業(yè)信息的重要級別和流向，以此提供不同級別的安全服務。并且通過對數(shù)據(jù)的發(fā)現(xiàn)，IDC可向客戶提供更細化的信息管理服務，比如用戶證件號碼、企業(yè)戰(zhàn)略藍圖、企業(yè)知識產(chǎn)權(quán)等方面的信息。
圖1 在數(shù)據(jù)中心、網(wǎng)絡、終端實現(xiàn)數(shù)據(jù)控制
在數(shù)據(jù)發(fā)現(xiàn)的過程中，是按照不同的策略來發(fā)現(xiàn)敏感級別不同的數(shù)據(jù)，分類的信息都可以在RSA產(chǎn)品里面進行定義。這方面需要精確的匹配技術(shù)，RSA在敏感信息的精確匹配方面在業(yè)界有很好的評價。最后是對數(shù)據(jù)的控制，比如，運營商IDC可將重要且敏感的信息放到最安全的地方并進行加密；在網(wǎng)絡層對不該傳出的信息做攔截；在后臺進行日志管理及審計等。
通信企業(yè)應該將信息風險管理的投入與業(yè)務相結(jié)合。這方面Telus的成功經(jīng)驗值得分享。Telus是加拿大電信三巨頭之一，為客戶提供完整的電信產(chǎn)品和服務，包括覆蓋整個加拿大的數(shù)據(jù)、聲訊和無線服務。為了滿足所有合規(guī)性要求，并同時把信息安全做好的情況下，Telus認識到需要一個完整的、體系化的安全解決方案。
首先，Telus像所有電信運營商一樣，企業(yè)本身面對著很多信息安全隱患；其次，作為規(guī)模較大的電信運營商，Telus需要滿足合規(guī)性的要求，比如薩班斯法案，以及北美其它的法規(guī)要求。再次，Telus有很多的安全增值服務或外包服務，同樣需要信息風險管理。RSA以信息風險為基礎(chǔ)的整套管理體系符合Telus上述所需，包括各種法案法規(guī)的遵從；企業(yè)的全部信息的保護；所有信息的監(jiān)控和報告；信息的加密&密鑰管理；信息訪問的認證及授權(quán)；信息的訪問控制；數(shù)據(jù)發(fā)現(xiàn)及完整性保護。
Telus電信通過實施RSA整套風險管理體系，可以發(fā)現(xiàn)敏感信息在哪里，誰訪問了這些數(shù)據(jù)，數(shù)據(jù)流向哪里, 風險在何時出現(xiàn), 如何控制并降低這些風險。Telus 不只是從產(chǎn)品層面出發(fā)選擇安全產(chǎn)品，而是選擇通過整套平臺實現(xiàn)信息管理和法規(guī)遵從。RSA風險管理體系幫助Telus實現(xiàn)了四個風險管理的目標，分別是定義敏感信息，進行數(shù)據(jù)分類；通過ISO27000框架建立一套安全體系；進行數(shù)據(jù)風險評估，對敏感信息做終端層、網(wǎng)絡層和數(shù)據(jù)中心層的保護；最后通過應用RSA DLP和enVision等產(chǎn)品實現(xiàn)風險控制。
正如RSA全球總裁亞瑟·科維洛曾經(jīng)說過的：“電信業(yè)是一個特殊的行業(yè)，不僅是RSA的客戶同時還是合作伙伴，這意味著信息風險管理將與電信業(yè)務進一步融合�！� 希望，安全增值業(yè)務也能為電信運營商帶來新的商機，RSA愿意與國內(nèi)的電信運營商深入探討，并為電信運營商助一臂之力。
中國信息產(chǎn)業(yè)網(wǎng)(www.cnii.com.cn)
