信息安全文化:防患于未然(1 / 1)

前文在谈“高压线文化”的时候曾经说到过,华为常抓不懈的两条高压线:一个是与中兴的竞争失败,另外一个是信息安全违规。

其实,这两条是强相关的。信息安全的问题,说穿了还是一个竞争的问题。

作为中国ICT行业的领军人物,华为毕竟就是干信息这个行业的。另外一个层面来讲,华为的信息安全教育,实际上是在无数次的教训中逐渐完善起来的。和欧美同行们相比,早些年的华为更加关注的是学习友商,反而不太注重保护自己的知识产权。于是,早年的华为就遇到了核心机密被人窃取的情况,在华为的穷追猛打之下,最终作案人也受到了法律的惩罚而锒铛入狱。

后来的华为,逐渐完善起了自己的信息安全制度。

和业内的很多同行比起来,华为的信息安全制度堪称苛刻。

首先,华为普通员工的笔记本电脑硬盘统统都由华为内置了加密系统,你在自己电脑上的一举一动都会被华为数据中心记录在案,包括你的邮件收发、即时聊天、网络浏览、数据传输等个人信息,都是华为笔记本电脑的监控范围。这个问题在华为早期给员工们的工作便利产生了非常大的矛盾,所以也有很多华为人铤而走险,他们把笔记本电脑的硬盘拆卸下来,如果办公就用华为硬盘,如果私用就换上自己的硬盘。

这只是在硬件设备上对华为人信息安全的统一设置,其次还有软件。

前文所提到的VPN进入内网,只是其中的一种方式。其他的还有文件加密系统,华为早期用的都是RMS(Rights Management Services)加密。RMS加密的密级一般分成几级,最高密级的要求设置非常麻烦。举个例子,如果你要发送一封带附件的邮件给你的同事,早期你必须用华为数据监控下的公司内部笔记本电脑,登录华为内部邮箱NOTES(IBM出品的内部邮箱系统),此后要给需要发送的附件文件设置RMS密级。设置的同时,要把你所有的要发送邮件的同事邮箱地址复制粘贴到你的RMS密级设置中。有的人可能是只读,有的人可能是可读可写。

而且如上所有操作,都要输入密码与口令。关键是,华为的硬盘启动密码、WINDOWS密码、NOTES密码等等,这些都需要三个月更换一次,三个月不更换的话,同样属于信息安全违规。

即便如此,华为人的笔记本电脑依然不准随便带出和带入华为园区。以华为坂田基地为例,大部分的办公场所都实行了非常严格的便携检查制度。便携检查的程序十分严格,是必须细致到便携资产编号的。当然,即便有天大的事情,你也不要试图逃脱这道检查。比如说你带进的时候因为太着急而没有检查,那么你的便携只有出门记录没有进门记录,你的便携就要被没收了。

然而,如此烦琐的操作,仅仅是华为普通员工的日常。比华为普通员工更加夸张的,是研发类华为员工。

研发类华为员工当年使用的手机一律不准有摄像头。或者说,有摄像头的手机也可以,但不准带进办公区。所以在很长一段时间内,研发兄弟都只能找那些只能够打电话和收发短信的手机用。除了电话短信,就等于是块砖头。

如果是这样,那么当年的即时通信又如何来实现呢?

还是要指望华为配发的电脑,但是前文已经说了,华为的电脑管理非常严格,一般的电脑上,不允许装任何华为授权范围之外的软件。比如当年的QQ,当年的SKYPE,这些有一个是一个,都是违规的,一旦发现随意安装使用,妥妥的重大信息安全违规。那么如此一来,内部的即时通信如何解决呢?于是当时的华为就出现了一款用于内部使用的电脑通信软件——Espace。

Espace可以被认为是华为内部QQ,不仅能够满足内部员工的即时通信需求,而且还能够查找任意一名华为员工的通讯方式。而且Espace还设置了群发短信功能、拨打手机功能,所以很多人都会直接使用Espace召集内部会议,效率非常高。

不过,如果涉及安全等级比较高的会议,用Espace显然依然存在一些风险。所以,华为内部会议系统也就派上了用场。

华为给内部使用的会议系统,有最简单的电话会议,有普通视频会议系统,还有智真视频会议系统。后两者在说法上差不多,但内容和价格上差别则很远。智真视频会议,能够做到与会几方之间的眼神交流,这一点在普通的视频通话中,是很难实现的。

不过,即便使用了安全级别很高的华为内部会议系统,泄密依然是防不胜防。

最知名的一次泄密事件发生在华为某地区部总部。

在一次电话会议之前,负责预订会议的文员给参加会议的每个领导都设置了加密会议ID。也就是说,每个人进入会议都必须有一个固定的口令,且必须在华为内网登录。然而,据说这位文员当时的男朋友,就是友商的一位高管。所以,在预订会议的时候,文员也偷偷给自己预留了一个ID。于是,当时这次安全级别极高的高层会议,全程被友商监听,造成了一次重大信息安全泄密事件。

由此我们就可以明白,华为的这些已经非常极端的信息安全保密措施,其实一点都不多余,所谓害人之心不可有,防人之心不可无。作为华为的传家宝之一,信息安全文化也在随着时间的推移、通信技术的更新,不断与时俱进。