[產業經驗] 一舉一動全都錄

日本在實施《個人情報保護法》第 5 年後，J-SOX 實施滿一週年之際，第 6 屆資安展（第六回情報セキュリティEXPO）於 5 月中旬在東京國際展示場 (Tokoyo Big Sight) 熱烈展開，來自日本國內以及世界各地的資安廠商紛紛展出新一代的資料外洩防護解決方案（情報漏洩防止システム），努力搶攻政府法令所帶來的資安市場。

現今一般的伺服器與網路設備大多會有系統日誌的功能，例如網頁伺服器會記錄每個網頁要求的來源、時間、要求的內容等資料；防火牆則會留下進出記錄，這些記錄通常對駭客攻擊以及入侵事件的分析很有幫助。然而，因為這些系統日誌只會記錄系統及伺服器的運作狀況，並不會對使用者操作電腦有更進一步的記錄，萬一發生內部人員洩密事件的話，就很難依賴這些系統日誌追蹤及了解洩密人員、外洩的方式，甚至是被外洩的資料以及影響範圍了。這正是「電腦使用者的監督與控管」這一類產品專攻的領域以及主要的訴求。

全面控管與記錄

這一類產品都常會在使用者電腦上安裝一支代理程式，用以收集使用者在使用電腦過程中的各種操作記錄，甚至進一步阻擋被禁止使用的功能或動作。最早期的做法是監督或控管各種周邊設備的使用，從最基本的禁用裝置，或是記錄被複製到外部儲存媒體的檔案等。進階的產品則可以做到彈性控管，針對不同的工作型態人員，給予不同的存取權限，從完全禁止、寫出檔案自動加密、有特殊需要或經過線上申請及審核時寫出檔案可以不用加密，或是完全不干涉使用者的操作，只在背後做完整的記錄。類似於隨身碟，光碟燒錄機在這幾年也成為電腦的基本配備，雖然一般員工不會用到，但公司內總是會有需要燒錄光碟的時候，因此，對燒錄內容加密以及燒錄行為記錄也就成為基本的要求。

完整的記錄員工使用電腦的歷程是另一項重要特色與需求，有些企業會在公司的資安政策明白宣示，有些則完全採取保密、低調的做法，不動聲色地在監視員工的行為。記錄的內容從電腦的開機關機以及使用者登入登出的時間、執行過的軟體名稱及使用的時間長短、瀏覽過哪些網頁以及每個網頁停留的時間（甚至上傳或下載的內容）、對檔案及資料夾的各種操作（建立、刪除、更名、複製、搬移等）、寄送電子郵件的記錄（傳送對象、主旨、內文、附檔等等）、列印文件的記錄（文件名稱、列印次數、頁數、甚至列印內容）、使用即時通訊軟體的交談對象、傳送及接收的訊息、安裝過的軟體、使用過的硬體等，把員工每天使用電腦的經過，鉅細靡遺地做忠實的記錄。甚至有些企業主還會要求要把員工使用電腦的過程像監視錄影機一般的拍攝記錄下來。

(作/精品科技研發經理陳弘儒)

……未完（更多內容請參閱網路資訊雜誌 2009 年 7 月號 212 期）