“不把可以打开公司大楼内任何房间(办公室)的万能钥匙发给所有员工,每名员工只配自己房间的钥匙——在网络安全问题上也应该像现实社会一样,把给予用户的访问权限控制到最小限度”——美国Counterpane Internet Security创始人及首席技术官(CTO)Bruce Schneier在4月6日接受日经《IT Pro》采访时,这样描述了访问控制的重要性。
Counterpane Internet Security与日本Intec通信共同推出了面向日本的安全监控服务“EINS/MSS+”。该公司1999年起在全球范围内提供监控服务,目前已被世界上32个国家的企业与组织使用,其中也包括日本国内的企业。不过,该公司提供的服务中,与用户交流及提供信息均为英语。而与日本Intec通信共同推出的服务中,用日语提供所有信息与通知。回答用户咨询的也是日本Intec通信的职员。
该公司与日本Intec通信提供的服务,不仅可以检测来自公司外部的非法访问,还可以检测来自公司内部的非法访问。但面临的是问题是:具有访问权限的用户泄漏公司信息。“有权限的用户访问信息是完全合法的,自然不能视为非法访问。这些人将信息带出公司并不是技术上的问题,而是人的问题、使用的问题”(Schneier)。
“要想防止信息外流,重要的是将访问权限控制到最小限度。如果有人企图访问无权访问的信息(服务器)的话,就可以通过安全监控服务等手段及时发现。将权限控制在最小限度,不仅对网络安全、对所有的安全都是非常重要的。实际上,对于现实社会中的设施安全,多数企业都能做到,那么对于网络安全也应该同样将访问权限控制到最小限度”(Schneier)。