[IT Architecture] 文件安全管理Solution Survey(Part I)

資訊安全的相關議題是身為一個MIS最常被老闆問到的幾個問題之一，尤其是當公司有新的產品接近量產或即將發表，老闆更是會像神經質般找這些不常不太搭理的MIS來，問問資訊安全有沒有SOLUTION，花錢沒關係！好像這些文件隨時都會有公司內部人員會將其外洩似的. 這時MIS就要找一堆VENDOR來，問一堆問題，談一堆需求，然後要報價單. 大夥忙完一陣子把報價和建議案提出來給老闆後， 這時老闆又會說，Proposal寫得不錯但是現在公司狀況不太好，可能先緩一下. 哈哈！這種CYCLE，MIS們是不是都有同感啊？ 近來小弟就是接獲類似需求，既然是個CYCLE那就趁這一次把報告弄得完整一點，以被未來不時之需.

０．Ｗiki定義 ：
最近的習慣是做一些SURVEY時先去WIKI看看DEFINITION，避免走偏方向．不過WIKI關於這方面好像不夠深入，我再加了一些東西！

=============================================================

信息安全或資訊保安有對立的兩方面的含義：一是指作為維護政治穩定的國家的信息安全，一是指最作為人權需要的個人的獲取信息的自由。簡單來講，有關信息安全的內容可以簡化為下列三個基本點：

• 機密性（Confidentiality）
• 完整性（Integrity）
• 可用性（Availability）

基於這個原因，任何有違信息的「可用性」都算是違反信息安全的規定。因此，世上不少國家，不論是美國還是中國都有要求保持信息可以不受規限地流通的運動舉行。

對信息安全的認識經歷了的數據安全階段（強調保密通信）、網路信息安全時代（強調網路環境）和目前的信息保障時代（強調不能被動地保護，需要有保護——檢測——反應——恢復四個環節）。

安全技術嚴格地講僅包含3類：隱藏，訪問控制和密碼學。 典型的安全應用有：數字水印屬於隱藏；網路防火牆屬於訪問控制；數字簽名屬於密碼學。

資訊安全的目的在於保護電腦資源，包括硬體、軟體、資料及程式等，以防止不當的變更、破壞及未受權使用；綜合言之，資訊安全管理乃是保護電腦資料隱密性、 完整性與可用性的目的，對電腦系統內的整體架構（包含軟、硬體、作業程序、相關人員等所做的預防措施、災害緊急應變處理原則及復原裝置，以防範電腦資訊遭不當的變更、破壞及為授權使用，促進資訊的正當合理運用）

===================================================================
整個資訊安全的廣義範疇會包括網路安全(防火牆/網路攻擊/駭客攻擊/流量管控/..), 應用程式安全管理(即時通訊管理/郵件管理/應用程式管控/..), 文件安全管理. 另外電腦和通訊資產管理(PC&NB管理/USB管控/儲存設備/..)可說是執行以上管理的基礎工作, 所以一般資安專案也會多少考慮資產管理.
而文件安全的討論則著重在機密性和完整性，舉凡文件的加密(Authentication)，適當的人在適當的時刻用適當的方式看到適當的文件(Authorization)，文件的增刪改查都被適當的管控等等都是文件安全管理的範疇.

１．名詞解釋：
DRM (Digital Rights Management) ：數位內容使用權利管理

２．參考產品：
目前在初步GOOGLE後，SORTING出來的廠家或產品列表如下，睿揚/意藍/喬篷/以柔/博格/數位商業EZ-Lock/微軟/TrustView/錦衣衛/EMC. 主要會針對TrustView和EMC IRM的功能面和架構面做一些評估和大家分享.