事件回顧 張某在就職數(shù)騰公司期間先后擔任軟件研發(fā)工程師和技術(shù)支持總監(jiān)等職,參與研發(fā)數(shù)騰公司的容災備份軟件,并接觸相關(guān)軟件源代碼,在其離職時違反了數(shù)騰公司的源代碼保密規(guī)定帶走了研發(fā)數(shù)據(jù)。 張某離職后成立某某軟件科技(上海)有限公司,將涉案軟件源代碼用于同類容災軟件的研發(fā)。經(jīng)數(shù)據(jù)司法鑒定中心鑒定,公安機關(guān)從張某電腦中固定保全的軟件源代碼與數(shù)騰公司的軟件源代碼相似程度達到90%以上。自2016年7月起至案發(fā),對外銷售“應用級雙活容災軟件”金額共計人民幣 430 余萬元。經(jīng)司法機關(guān)裁定,張某犯侵犯商業(yè)秘密罪,依法判處有期徒刑3年9個月。
據(jù)相關(guān)機構(gòu)統(tǒng)計,超過80%的安全威脅來自公司內(nèi)部,由于內(nèi)部人員有意或無意泄密導致的經(jīng)濟損失,為黑客造成損失的16倍,病毒造成的12倍。像這次事件中遭到“內(nèi)鬼”竊取的源代碼,會讓企業(yè)極有可能會失去在開發(fā)創(chuàng)新產(chǎn)品方面的領(lǐng)先優(yōu)勢。因此,建立堅實高效的數(shù)據(jù)防護與管理體系,保護重要的核心代碼資產(chǎn),是許多企業(yè)當前要盡快完成的“必修課”。 如何保護企業(yè)代碼數(shù)據(jù)? 事實上,有多種方法可以保護企業(yè)的源代碼免遭盜竊。比如創(chuàng)建專用策略、加密和保護端點設備,這些都是企業(yè)應當實施的一些預防措施。通過技術(shù)手段與管理政策相結(jié)合,可以做到在安全防護的同時保證日常工作的高效并行。 Part.1 端點設備防護升級 保護企業(yè)的入口點是防止源代碼被盜的關(guān)鍵步驟。以研發(fā)為主的科技技術(shù)型企業(yè),很多的研發(fā)代碼都保存在員工電腦上,軟件源代碼VS、VC、ECLIPSE、DELPHI、VB等是公司的核心數(shù)據(jù),一旦泄漏,會導致無可預估的經(jīng)濟損失,因此企業(yè)應該使用如終端加密工具等來防止源代碼泄漏,在終端開辟出的安全工作空間,從源頭上防止代碼數(shù)據(jù)泄密。 Part.2 訪問權(quán)限嚴格把控 定義訪問源代碼權(quán)限是防止源代碼被盜的基礎(chǔ)。有權(quán)訪問所有源代碼會帶來潛在的安全風險,企業(yè)通過對自身數(shù)據(jù)的分類分級,為核心數(shù)據(jù)進行密級劃分,再結(jié)合最小權(quán)限訪問原則,最小化代碼訪問權(quán)限。每個開發(fā)人員只允許訪問工作相關(guān)的代碼,核心代碼只允許核心人員訪問。 Part.3 制定數(shù)據(jù)管理政策 企業(yè)制定的源代碼數(shù)據(jù)管理政策應當包括在全生命周期中保護源代碼的規(guī)則和要求,涵蓋源代碼開發(fā)過程和參與開發(fā)的所有員工。實施的每項規(guī)定都必須在政策中明確概述,包括加密和安全協(xié)議、數(shù)據(jù)使用規(guī)范和訪問控制。此外,還應定期進行員工數(shù)據(jù)安全意識培訓,強化員工數(shù)據(jù)安全保護意識與責任。 可以采取哪些技術(shù)手段? 敏捷科技自主研發(fā)的數(shù)據(jù)安全衛(wèi)士系統(tǒng)DGS通過建立統(tǒng)一高效的數(shù)據(jù)安全一體化平臺,對代碼開發(fā)關(guān)鍵環(huán)節(jié)進行防護與管控,保證企業(yè)源代碼全生命周期安全。 ? DGS系統(tǒng)在終端部署后,對c++、java、python、javascript、c#等開發(fā)語言及其對應的Visual Studio、Visual Studio Code、Android Studio、IDEA、MyEclipse、VS、PyCharm等開發(fā)工具軟件進行主動強制加密保護。源代碼文件加密后,不影響軟件的正常編譯,從而實現(xiàn)源代碼文件安全防護目的。 ? 當研發(fā)代碼上傳到GIT/SVN服務器時,會統(tǒng)一進行明文存儲避免導致版本比對時出現(xiàn)錯誤。在代碼明文存儲期間,沒有安裝DGS的終端將無法連接并訪問服務器。當合法客戶端進行下載編譯時,DGS會自動對代碼數(shù)據(jù)進行加密,實現(xiàn)上傳解密、下載加密。 ? 鑒于研發(fā)崗位的重要性和特殊性,需要對在職人員的文件外發(fā)操作行為進行管控,避免因泄密給企業(yè)造成損失.研發(fā)人員所有操作行為都必須有可追溯的日志記錄,一旦安全事件發(fā)生,可提供有力審計依據(jù)。 用戶將獲得哪些收益? >>> 終端數(shù)據(jù)更安全 安裝DGS的終端與GIT/SVN服務器之間建立安全加密通道,數(shù)據(jù)在加密通道內(nèi)傳輸,防止無授信訪問、中間人篡改文檔等操作行為。通過配置的安全策略,數(shù)據(jù)一旦進入終端授信環(huán)境,便不能私自將數(shù)據(jù)發(fā)送出去,實現(xiàn)最小權(quán)限數(shù)據(jù)管控。DGS支持安全離線策略,在研發(fā)人員回家加班、外出工作時,還能保證筆記本內(nèi)的研發(fā)數(shù)據(jù)安全。 >>> 操作管理更方便 通過DSG統(tǒng)一安全管控平臺,集成多款數(shù)據(jù)安全功能產(chǎn)品,配合自定義的多級審批流程、水印溯源、打印控制,通過后臺的監(jiān)控與審計,做到非法用戶進不去,進去了改不了,涉密文件操作有阻斷和報警,輕松完成高效的一體化管理。 >>> 使用體驗更無感 在DGS終端開辟出的安全工作空間內(nèi),因為采用透明加密技術(shù),不影響開發(fā)效率。同時,支持Windows、Linux、Mac平臺,適應復雜的開發(fā)環(huán)境,加密體驗無差別。
保護源代碼并防止其被盜對每個企業(yè)都至關(guān)重要,一次數(shù)據(jù)泄露可能會給企業(yè)帶來巨大的財務和聲譽損失。敏捷科技針對軟件企業(yè)開發(fā)代碼構(gòu)建的數(shù)據(jù)安全防護一體化解決方案,切實保障了軟件企業(yè)的數(shù)據(jù)安全。 該方案已得到金恒信息、群杰科技、暢途網(wǎng)、拓界科技、利合信諾科技、立信數(shù)據(jù)科技、卓盛云信息科技等多家軟件企業(yè)的認可并已成功實施,有效護航了多家企業(yè)數(shù)據(jù)安全建設的優(yōu)化升級,夯實了企業(yè)核心競爭力,助推企業(yè)長遠發(fā)展。