内网安全建设之路 从上网行为管理到信息资产防护

记得几年前，看过一个印象深刻的广告：胖小子郝邵文扮成小和尚在偷吃果冻，突然被方丈师傅发现了，本以为胖小子会被罚，岂料师傅也禁不住果冻的诱惑，两个人一起大吃起来。郝邵文滑稽的表演和本身有趣的情节令人捧腹，同时也让人记住了广告中的另外一个主角–蜡笔小新果冻。

仅仅10年的时间，蜡笔小新(福建)食品工业有限公司（以下简称"蜡笔小新"）从一家生产罐头、饮料的小型家族企业，成长为今天国内果冻行业的领头羊，缔造了一个食品企业快速成长壮大的神话。

蜡笔小新在2004年被评为"中国驰名商标"，成为果冻行业中仅有的两大中国名牌之一，也为自己赢得了"果冻行家"的称号，它不仅对产品和品牌有着不懈地追求，在企业内部建设方面也有着自己的理念。

早期信息化中的问题

随着公司信息化建设的日益加强，蜡笔小新引进了OA、ERP等日常办公、管理系统。项目的深度实施，增强了公司对人、财、物的整体管控能力；提升了企业的整体运作效率；在进一步加强企业资金安全控制的同时也降低了经营成本。

就在蜡笔小新内部信息化建设取得一定成绩之时，2007年，公司也遇到了信息化带给当时大部分企业的一些内网安全问题：

首先，负责跟外界联系的市场部、销售部员工，经常使用QQ、飞信等即时通讯软件进行在线沟通，登陆互联网了解最新市场动态。可是"林子大了什么鸟儿都有"，某些员工竟然使用公司电脑在工作时间观看在线电影、浏览新闻、炒股等，导致工作效率下降，也影响了工作风气。

另外，公司内部对下载没有管制，在线听音乐、看视频占用到大量带宽资源，"夸张的时候，就就连收个邮件也要几分钟，严重影响业务的开展" 蜡笔小新的IT部经理陶金告诉笔者。

同时，还存在着利用U盘等移动存储设备把ERP系统里的财务报表、生产成本等机密文档外泄出去的风险。

"当时这些问题弄得我头都大了。" 陶经理说，为了解决这些问题，他们首先制定了一套员工行为守则，推行之后收到的效果有限，于是决定借助内网安全产品来管理上网行为。

"在选型的时候我们非常慎重，07年初的时候我们选定IP-guard，对比测试了将半年多的时间，在07年8月，我们才在全公司全面推广IP-guard。"

部署IP-guard之前，蜡笔小新还试用了其他几款知名的内网安全产品，到底为什么选择IP-guard，陶经理解释道："IP-guard很实用，能够满足我们的需求。而且，我们是通过终端服务器来工作，能够支持终端服务器的产品很少。IP-guard不但能控制每一台计算机，还能按照不同的用户设置不同的策略，这跟我们的要求非常符合。"

"以人为本"的管理策略

安装内网安全软件，规范员工的行为，对于中国早期的任何一家企业来说，都会害怕受到员工的抵触。在没有得到大家认可前，心里或多或少是有些担心的，对于陶经理来说，也是同样的道理。

"在安装前，我们就制定了员工行为守则，并且召集了所有的员工，跟他们说了管理的目的和方法。出乎我们意料的是，大家对安装IP-guard都表示理解。"陶经理接着说："可能是由于我们把工作时间和休息时间分割开来管理吧，大家也比较能够接受这种人性化的管理策略。"

蜡笔小新在公司内部禁止在线视频和音乐，同时，屏蔽工作时间访问如体育新闻、购物网站等所有与工作无关的网站，过滤掉了黄色、反政府等非法网站。

另外，限制工作时间进行BT下载和P2P，保障网络畅通和企业核心业务的运作；禁止工作时间使用游戏、炒股等程序。同时提供了直观的网页浏览和流量使用的统计报表，帮助公司领导清楚掌握员工的使用情况。

"对于各部门的特殊需求，我们逐个部门进行分析，一条一条列出来，然后分析对这些问题我们应该怎么样解决。" 陶经理表示，对于使用互联网进行网络传输的市场部和销售部，记录下他们经常使用的QQ、MSN等即时通讯工具的文件传输活动，以及公司常用的普通邮件和exchange邮件包括附件在内的发送内容。并且为了防止内部文档随意传播，蜡笔小新还在研发部、财务部等部门禁止了USB接口的使用。

内网安全建设重点转移：行为管理→文档安全

3年时间的内网安全建设，让蜡笔小新收益颇丰，不仅提高了内部的整体工作效率，促使公司业务飞速发展，也让规范的行为操作贯穿于整个企业，形成了健康高效的工作氛围。

说起这些成果，陶经理不免有些得意，但当笔者跟他聊到近期福建地区制造行业发生的几起企业资料外泄事件的时候，他的脸上又恢复了原本严肃的表情，"以前内网建设我们只关注到行为管理这一块，现在越来越多的事实提醒我们信息防泄不可忽视，而蜡笔小新的信息安全之路才刚刚启动，我们身上的担子还很重啊。"

陶经理坦言，连续几次的制造业泄密事件让大家都非常震惊。事件发生之后，公司领导也开始要求IT部门展开信息资产保护工作。

"经过3年多的使用体验，我们对IP-guard这个产品比较放心，听说它又推出了新的透明加密功能和信息防泄三重保护解决方案，我们决定继续找它帮我们解决难题。"

2010年6月，得知需求后，IP-guard技术专家对蜡笔小新的内网环境做了详细的分析，建议其增购供透明加密功能，并对其之前的管理策略进行了一些调整，为其提供了全方位、立体化的信息防泄漏解决方案。

经过一段时间的试用、部署、培训之后，蜡笔小新建成了全面、立体的信息防泄三重保护体系。

首先对集中在销售部、财务部这两个部门的销售额度、财务报表等WORD、EXCEL格式文档进行强制加密，确保即使文档被非法带出公司，也无法打开应用。

并且，根据蜡笔小新部门的层级关系，建立了立体化的保密体系：销售部、财务部的员工有权访问自己部门里的加密文档，公司经理级以上的职员才有权访问所有加密文档。这样做的好处在于，一是可以严格控制涉密文档的传播范围，二是提高了员工的保密意识。

结合之前的操作管控和强效审计机制，蜡笔小新已经成功建立了"审计-控制-加密"三重保护信息防泄漏体系，最大限度保护内部资产，实现了"事前防御- 事中控制- 事后审计"的完整的信息防泄漏流程。

另外，"由于安装了加密系统，内部的情况有所不同，我们又对早期的管理策略进行了一定的调整。" 陶经理表示，由于已经对机密文档进行了加密，所以现在公司里可以使用U盘、移动硬盘等设备，保证信息安全的同时也方便了文档的传输和使用。另外，以前禁止了在线视频的操作，现在由于员工需要通过视频进行培训，遂开放了在线视频的权限。

陶经理感慨，自己从事公司的信息化建设已经很多年了，加密项目让他得到了最大的收获就是：内网安全建设的重点随着信息化的推进而变化，明确这个是内网安全建设成功的关键。

信息化水平的逐步提升，带给企业最大的好处是效率、效益和效能，而这些是管理的根本目标。信息化带来的一系列问题，也是随着时间的推进而不断变化的。蜡笔小新的内网安全建设之路，从"上网行为管理"到"信息资产安全防护"，它所代表的又何止它自己这一家企业！