内网网络安全问题的提出

　　网络安全对于绝大多数人而言指的都是互联网安全(Internet Security)，但是对于组织的安全主管而言却不尽然。他们的使命是负责保护企业的数字资产—信息和基础架构，对于这些保护对象而言，其外部都可能是风险源，而这里的外部风险源则既有可能是互联网Internet，也有可能是内部网络Intranet。内部网络并不等于可信网络。对于组织而言，来自内部的威胁有可能远大于外部的威胁。这使得有必要对于内网的网络安全进行针对性的分析，并找出解决之道。

　　内网网络安全风险分析

　　分析的视角

　　网络安全是一个非常复杂而庞大的研究对象，不同的研究视角可能会“看到”不一样的安全风险。例如针对单个数字资产，最常见的视角是关注其完整性、机密性和可用性。对于组织的安全架构，可以从物理层、网络层、数据层、用户层这样的视角进行分析。本文出于简化的目的，将内部网络的安全按其参与者进行分析，包括网络、通信方和信息。本文分析的模型是位于不同网络的通信方，在其信息交换的过程中所面临的安全风险。

　　安全风险

　　按照这一模型，需要关注的风险主要有：

　　网络

　　假设组织对于其内部网络进行了良好的规划和管理，则来自不同的网络意味着处于不同的内部部门和/或不同的安全等级。这里主要的风险有：不同的部门可能不应跨网络访问资源;不同安全等级网络的通信可能包含潜在的攻击。

　　通信方

　　在参与通信的双方中，需要保护的是服务器一方的安全。由于服务器往往采取了必要的安全保障措施，客户端那一方的安全性则成为木桶理论中可能的短板。

　　信息交换

　　通信的目的是交换信息，对于通信方之外的安全管理员而言，主要关注交换的内容和通信的方式中可能存在的安全风险。主要的风险有：不符合企业安全策略的通信内容(主要指文件);不符合企业安全策略的通信方式(不应通信或带宽挤占)。

　　其他的风险

　　当然，真实世界远比理论复杂。本文的视角选取并不能覆盖组织中内部网络的所有风险。其他可能存在的风险有：

　　机密性

　　对于某些组织而言，在内部网络中仍然要保证高度的机密性要求。这可能意味着对于数据的整个生命周期过程中，都需要考虑各阶段安全风险和防护手段。这部分内容一般不列入网络安全的范畴，本文并未展开讨论。

　　完整性

　　对于组织的某些特定信息资产，保障其完整性至关重要。对于该信息资产的存储、修改都需要考虑可能的安全风险，并通过技术手段进行保障。这部分内容往往通过安全设计和数据备份实现，不是传统的网络安全范畴。本文并未展开讨论。

　　可用性

　　网络安全主要考虑的是带宽挤占带来的可用性风险，本文并未对信息资产的可用性进行全面讨论。

　　风险的定义

　　各组织对于风险的接受程度并不相同，这也导致了本文讨论的风险可能对于部分组织并不完整。

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。