为了能够帮助中小企业用户清晰了解最新的数据存储及保护主旋律及发展趋势，进而有效地部署数据保护策略，我们特组织一系列主题文章，包括炙手可热的基于磁盘的备份解决方案、日渐凸显的CDP（连续数据保护），以及服中小型企业（SMB）是带动经济增长的主要动力。同大型企业一样，中小型企业也对数据以及信息有强烈的依赖，以持续保持增长态势以及竞争性优势。
然而，不容忽视的现实是，尽管很多预测数据都表明，这些中小型企业每年度的数据增长率高达50%左右，但是要想全面保护这些数据，对于这些中小企业普遍匮乏的IT资源以及原本拮据的预算来说，无疑是一个很难承受的负担。
此外，在现今的商业环境中有很多因素聚合起来也给中小企业施加了很大压力，促使他们不得不考虑实施和部署企业级数据保护策略。这些因素包括：
• 随着手工以及基于纸质的处理广泛地被各种全数字化解决方案所取代，信息技术已经稳步进驻到中小企业的每一个角落。
• 对于应用中断或利用率低下等问题，无论从经济利益还是商业竞争的角度都越来越不能容忍。
• 随着法规遵从性越来越受到重视，其触角几乎深入到所有规模的商业环境中，在这方面如果得不到合理管理，可能会影响到整个IT的成本。
• 形形色色的信息安全威胁经常出乎意料地出现，很容易造成信息资源的混乱，甚至巨大的经济损失。
• 安全缺口不仅会带来经济损失，而且会因此牵连到有价值的客户的流失。
为了能够帮助中小企业用户清晰了解最新的数据存储及保护主旋律及发展趋势，进而有效地部署数据保护策略，我们特组织一系列主题文章，包括炙手可热的基于磁盘的备份解决方案、日渐凸显的CDP（连续数据保护），以及服务提供商和外包服务商在中小企业整体数据保护和信息可靠性中的关键角色。
如何实施数据保护策略？
其实，即使就在两年前，相当多甚至绝大多数的中小企业对待数据保护策略还一直是一种漫不经心的态度。在Small Business Pipeline 2004年所做的一项调查中，他们对237家小型商业企业做了调查，结果发现其中四分之三的企业并没有关于数据灾难恢复的正式计划，甚至大多数企业都没有计算过一旦发生灾难使商业停顿将会带来的损失。
去年，Gartner公司曾针对灾难所导致的数据损失做了一次估算，结果得出的成本代价令人惊愕！这也直接唤醒了中小企业多年来一直忽视的对数据和信息的管理。
其实，很多中小企业的管理者自己就是邮件、财务计划应用软件、预测工具以及其他IT资源的典型用户，他们在日常工作中也很容易发现自己的系统变得慢如蜗牛，而且也知道如此效率低下的系统在全体员工中都存在，最终的结果必然是整个业务都会受牵连。
因此，如今的问题并不是中小企业的管理者没有认识到数据和信息对业务的重要性、进而需要保护，而问题是怎么来保护这些信息和数据。
到底数据保护策略是应该由企业内部的IT部门自己来实施，还是借助第三方厂商来实施，或者是将二者有机结合？是该实施新兴的CDP方案呢，还是继续采用夜间备份策略呢？针对离线存储（offsite storage）的有效的并且能够承受得起的策略方案又是什么？像大型企业一样将离线存储数据全部进行加密在成本上是否可以承受得起？为什么磁带备份的流行会逐渐降温，而磁盘存储策略会获得越来越多的青睐？对于一个数据保护策略的ROI是否能够真正被估量出来？等等，这些都是目前中小型企业管理、存储以及确保数据安全所面临的问题。
告别磁带？
根据ESG（Enterprise Strategy Group）的调查研究，中小企业经常会直接面对传统磁带备份解决方案的缺陷和弱点。ESG指出，当中小企业试图满足用户为应用可用性而需要的挑战性日渐增强的SLA（Service-Level Agreements，服务水平协议）需求时，这些缺点会尤其明显。这种55年前伴随着最早部署的大型计算机而出现的磁带，在可靠性方面是很值得怀疑的，很大程度上是由于在手工磁带操作过程中会有潜在的人为错误。
在ESG的研究中，很多被抽样的企业表示他们的磁带备份操作失败的几率高达五分之一，而主要的原因就是人为错误或硬件故障。IDC去年的研究数据显示，近几年来，企业在磁带存储解决方案方面的费用支出正在逐年下降，而基于磁盘的解决方案方面的花费却是稳步攀升。
同样，ESG得出的结论是：中小企业的IT管理者正在越来越多地转向基于磁盘的数据保护解决方案。这样的解决方案的优势也是很明显的，包括较好的性能、备份时间的缩短以及数据损失减少等。基于磁带的解决方案还具有改进的可用性，有调查数据显示，基于磁盘的备份成功率高达80%～100%，这相比于用户使用磁带解决方案的效果明显要好很多。
更为重要的是，基于磁带的解决方案使IT人员的工作效率更高，这也就意味着可以释放出一些IT人员，投入到一些开发工作或其他关键业务任务之中。
CDP不只属于大型企业
很长时间以来，拥有一个常规的夜间系统备份系统解决方案对于很多中小型企业来说已经是足够好了，即使白天系统发生故障而瘫痪，损失的也仅仅是前一夜备份以后新产生的文件和数据。但是ESG的调查研究明显显示，中小型企业的恢复窗口（recovery windows）正在缩短，并且很快。
事实上，被调查者表示，在数据保护方面他们所面临的最大挑战是完成备份所需要的时间长度，这也从另一方面反应出中小型企业确实需要备份大量的数据。而且，备份时间长，相应的数据恢复时间也就会长。
让我们大家感到欣慰的是，中小型企业已经逐渐认识到数据需要进行实时备份。因为在目前的工作中，大家都已经可以借助先进生产工具，在一个工作日中就能承担和完成很多重要的任务，因此即使是一天工作的丢失也会带来很大的商业损失，这样以往一般中小型企业所采用的夜间备份方案也就不能满足需求了，毕竟在这种方式下万一系统瘫痪，恢复只能到前一天晚上备份点的状态。
但是，通过目前兴起的CDP（Continuous Data Protection，连续数据保护）技术，对于数据以及文件的任何更改都可以通过Internet及时传输到一个安全的离线备份设备，这样一旦本地系统出问题很容易就可以通过离线数据恢复所有的数据。这种技术目前不仅对大型企业适用，而且对中小型企业也已经有了很好的解决方案。
谈到文件副本的离线存储，Gartner的一项调查发现，大约一半的被调查者将他们的数据备份或复制到另外的磁盘上，但其中几乎四分之三的人表示他们是在本地设备上做这项工作。
这样，当再发生类似Katrina飓风或其他灾难时，本地这些设备会和原始数据一样遭遇不幸。所以，需要提醒的是，不仅是要做数据及文件备份，而且备份的数据需要放置到与办公室有一定距离的地方，甚至我们推荐你去考虑一些可以承受的第三方厂商的服务。
寻求外包援助
最后，一些数据保护服务商已经为针对中小型企业需求安全保护数据的心理提供了很广泛的解决方案。因为很多中小型企业面临的现实问题是，他们缺乏部署和维护这些必须的数据保护策略的IT人员，尤其是随着近年来需要保护的数据量的直线上升（几乎就是每两年翻一番），以及这些数据的价值也在同样上升的时候，这个问题更为凸显。
幸运的是，目前市场上的第三方解决方案中也不乏优秀的选择。来自Gartner的数据显示，越来越多IT管理者开始享受到第三方解决方案所带来的惬意。仅仅在两年前，Gartner的数据显示几乎一半的管理者表示他们从来没有使用过第三方的服务来离线复制和存储数据；今天，这个数字已经降到6%。
Gartner认为，原因之一是这些服务提供商对离线存储的数据提供了完整的数据加密，而这项技术中小型企业自己做起来既昂贵又耗费时间。另外，由于这些第三方厂商有大量的数据保护实践经验，中小型企业将自己的数据保护方案托付给他们也可以从中获益。
在中小企业数据保护系列第一篇里，我们介绍了中小企业该如何制定企业的数据保护策略，以及数据保护的几种方法。（详细内容请见“中小企业数据保护系列之一——策略”）。本篇我们将围绕数据安全的实现方法，结合实际的例子，从安全的角度来谈数据保护。
为数据加密
日常工作生活中，一些公司企业对于客户数据管理不善而出现重大问题的事件并不少见，其中也不乏把保存有数百万客户数据的备份磁带丢失的情形，相信不论大公司小公司都不愿意看到这样的情形。
“对我们的企业来说，丢失备份磁带是非常具有危害的，所以，一旦你发生这样的事情，那等待你的就是你的名字会由于泄露客户数据而被公布。”BECU（Boeing Employees’ Credit Union，波音员工信用合作社）的系统及安全管理员Daniel Chow说。为了将磁带丢失以后所暴露数据的可能性降到最小，BECU已经采用了Decru公司（该公司最近已经被Network Appliance收购）的加密技术。
之所以这样做也是很容易被理解的：不管你已经采用在系统上采用了多少安全措施，但试图完全阻止数据丢失的愿望总是不能实现，那么给数据加密就是比较聪明的策略，这样万一这些数据落入别人手中也没有办法读取。
但是，随之而来的问题是，加密到底应该在什么地方来实施呢？它可以放置在应用软件中，也可以放置在数据库之中，或者还可以通过软件加密的方式放在文件系统层。不过，基于软件的加密如果操作不正确会给企业添加高昂的负担。另外，目前还有一些可以插入系统的专用工具设备甚至硬盘，用它们加密数据就如同在磁盘上写一样。大多数的商业用户好像都是更喜欢这种传统设备的方法，因为这样的方法不仅方便，而且性能很不错，它是即插即用方式来遵从法规需求。
来自ESG（Enterprise Strategy Group）的分析师Steve Duplessie说：“存储安全问题最终必将被重视，但目前这种关注度还远不够。随着隐私问题越来越被重视，最终必然将会促使所有的数据都要进行加密，这也会贯穿IT的一件大事。
存储和安全过去一直是相互独立的两块领地，存储部门的人员一直是坐观其安全部门的同事们处理防火墙、入侵监测、以及应对病毒和其他外部威胁。但目前这种状况已经改变，存储业的人都已经觉悟他们所具有的伟大职责——所存储数据的安全已经不再是别人的事情。
备份驱动加密的采用
到今天，我们看到存储人员的这种觉醒已经在各种报刊杂志的文章以及各种研讨会上充分显露，但是很遗憾在实际行动中却付诸很少，存储安全技术及程序的采用率仍然很低。
据ESG（Enterprise Strategy Group）估计，目前整个存储安全市场每年只有1亿美元左右的规模，因此他们预计接下来的几年中将是存储安全飞速发展的时期。特别是，备份市场正在驱动着加密技术的采用。
BECU在华盛顿Tukwila总部和肯特（Kent）的呼叫中心均采用了夜间备份方案，该备份使用了EMC公司的Legato Networker软件从BECU的SAN网络（主要由HP公司的硬件和Brocade公司的交换设备组成）中传输6TB的数据到HP ESL9000磁带库中。每天早晨，那些磁带都会被一个第三方存储提供商Iron Mountain 离线运送。而这一段开放旅程却被很多安全专家所警告。
来自一家存储咨询和服务公司GlassHouse的副总裁W. Curtis Preston说：“如果你是用UPS卡车来运送你的备份磁带，那赶快停止吧！如果你实在是必须要离线运送磁带，那一定要确保他们是被加密过的。”在离线运送以前，BECU就使用了Decru DataFort设备来对其所有备份数据进行加密。“你不能麻木地相信一个第三方厂商，因为你根本不知道他们会对你的磁带做什么工作，因此我们会自己做加密处理以确保我们的数据是安全的。”Chow说。
BECU以每台25000美元的价格购买了六台加密设备，总部的两个SAN上各有两台加密设备（冗余），肯特呼叫中心有一台，斯普肯（Spokane）的数据恢复中心也有一台。
为管理所有设备的加密钥匙，还需要配备一台许可证钥匙管理服务器。Chow表示他个人比较倾向于硬件加密，因为他不希望看到任何性能的牺牲，实际应用中他们也没有因为采用加密设备而带来额外的负担。
Chow目前心里还是很塌实，因为这些系统在审计和测试过程中表现都很满意，据他介绍，有人拿一个磁带出来试图取出其中文件，但输出一直是官样文本；同样，审计部门曾向IT部门挑战，试图快速解密这些设备，结果也是徒劳。
大多数的企业想采用加密技术时，往往是从备份操作开始着手做的。例如，美国佛罗里达州的一个公司Payformance 决定对所有数据进行加密。Payformance提供的软件允许公司打印激光检查结果（laser checks）、声明（statements）、合同（invoices）以及其他内部文件。“我们的财务服务以及卫生保健的客户都很关心其付款相关数据的安全和隐私，个人的健康信息必须全部严密保管。” Payformance的安全主管George Betancourt说。
Betancourt测试了Microsoft Windows Server 2003内建的加密文件系统，但是他对于基于软件的加密的性能并不是很满意。他指出，加密的耽搁，哪怕是少于一个小时，也是意味着必须让客户等待。因此他们最终决定使用NeoScale Systems公司的CryptoStor专用设备。
两台该设备组成容错模式，直接挂在该公司使用EMC CX500阵列、Dell磁带以及McDATA光纤交换机构建的2TB SAN存储架构中。“我们在加入该加密设备前后分别做了测试，发现并没有任何性能上的损失，因此这是一种最简单的加密所有数据的方法。” Betancourt说。
Payformance使用另一台CryptoStor设备为磁带加密，Symantec 公司的Veritas Backup Exec 10软件通过该设备将数据传送到Dell PowerVault 132T磁带库中，这些磁带被离线移动到别处存储。
到这里也许你会问：为什么不在磁带备份架构中同样使用容错加密呢？Betancourt回答是：“如果加密设备出现故障，我们可以短时间内停止磁带备份来将其修复，但是在SAN架构中的情况不同，我们不能有任何停机，那都是要付出代价的。”
主要的存储加密厂商，诸如Decru、NeoScale、Kasten Chase Applied Research以及Vormetric等，都提供加密专用设备产品。不过，Vormetric的工具与其他厂商有所不同，它实际上是软件加密，而用专用设备管理相关的密码钥匙。
计算机游戏中间件厂商Havok 在其Dublin和San Francisco的办公室使用了Vormetric的CoreGuard 安全系统。Havok 是有选择性地保护数据，他们只对游戏代码以及其他驻留在大量服务器和桌面系统中的关键数据进行保护。数据可以在空闲的时候被加密并传输。如果你在使用一台PC，当你访问某一个文件时，只要你有权限访问它，它通过网络传输到你的机器上时就会被解密，这样在你机器上显示的仍然是清晰的文本。
这种访问权限可以通过应用程序、用户或主机等来限定。在每一台受保护的机器上都可以装载软件，两个办公室公用一台设备。该系统也为Duff提供了防御病毒等威胁的附加层，当特洛伊（Trojan）等进来时，不会被安装运行，因为它没有得到允许运行的权限。
经济及法规因素
经济因素可能是加密技术没有真正被广泛采用的主要原因。面对2万美元以上一个加密专用设备，或者高达2000美元的一个软件加密许可证，很多企业感觉数据保护的成本实在是不低。但是还是需要再次指出，泄露客户数据所造成的损失弥补起来又要花费多大代价呢？BECU的Chow就表示，ROI方程式其实很简单，公司名誉的价值是第一位的。
尽管成本有些偏高，但加密技术方案的迅速普及趋势是不可逆转的。诸如美国加利福尼亚州已经通过了对不进行数据加密的公司实行制裁的法律，其他州也在跟进，相关条款正在讨论之中。看来，现在已经不是光谈论安全到底有多重要的时候了，而是应该实实在在地通过预算去规避可能因安全问题而带来的业务风险。
当数据不见了
我们经常能够看到一些报告，说公司管理的客户个人数据丢失了，这些固然很重要，但对于整个公司的损失来说其实只是冰山之一角。客户们真正需要去问这些公司的是：还有什么其他的数据丢失了？十有八九，这些公司根本就不知道。
事实的真相是，所报道出来的大量数据丢失的问题只是他们所知道的。这个问题会随着容量不断增加的小型个人存储设备的蔓延而日趋严重。
目前有多少人拥有自己的闪存设备呢？数量级肯定在千万级以上。然而又有多少公司对闪存设备的使用做了控制或管理呢？曾经看到过这样一个事情，一位旅行者在机场侯机厅等候飞机的时候，发现在座位下面有一个闪存，捡起来后并没有发现任何有关该设备主人的信息，为了能够找到主人，他只好打开该设备上的内容文件来查找，结果发现这里面存放的是一些重要项目计划以及简短的PPT草稿，但没有任何关于主人的信息。通过这次经历，这位人士马上吸取教训，在自己的移动存储设备中添加了一个包含姓名和联系地址在内的小型TXT文件，并在外面贴上了地址标签。
这为什么会是一个很严重的问题呢？因为这些小型存储设备的存储容量在迅速增长，在经过两到三年以后，你可能根本不会再选择今天普遍看好到的500MB或1GB的设备，相反你可能花同样的钱就可以购买到10GB或更大容量的小型存储设备。
想想如果某一个员工将客户数据库下载到这样的设备中（可能他这样做只是为了把这些数据从一个系统拷贝转移到另一个系统），而又不小心将这个设备丢失，那结果会怎么样？数据丢失能受到保护吗？恐怕并不能，尽管目前很多设备包含有加密功能，但使用的人很少。那么如果是一个竞争对手捡到这个存储设备后果会有多严重？
在便携设备中丢失数据的可能性已经成为目前大多数企业安全策略中的一个巨大漏洞。美国很多州已经通过法律，要求企业一旦发现数据丢失可能影响到客户就必须上报。但随着越来越多的员工都开始使用闪存、带有SD卡的智能电话、移动硬盘等便携设备，公司掌握所有数据丢失情况的可能性也迅速减小。结果，公司违反法律的几率迅速增加，可能是因为数据丢失败露，也可能是因为法规遵从等因素。
而严峻的现实是，大多数企业为试图解决这一问题，还是把目标锁定在至少10年前的技术，如数据备份磁带的丢失。而针对企业内部出现的造成数据丢失的更为严重的可能性却根本没有控制，也没有揭露，而且在内部根本就没有发现机制。
那么这些企业应该怎么做呢？我们并不建议企业明令禁止外部存储设备的使用，因为这些设备确实为很多使用者提供了实实在在的好处。但是企业也必须采取行动，首先应该教育大家如何正确使用这些设备，其次企业应该对用户访问一些敏感的数据进行跟踪，最后企业应该通过采用一些技术来发现什么时间、谁将移动设备连接到关键数据上，确保这些设备是有保护的。
很有可能在接下来的一年中，我们会发现移动存储设备将会造成未加密数据丢失的主要途径，因此，很有可能很多企业会禁止这些设备的使用。但这绝对不是明智的做法，他们最好是采用积极的应对策略，教育使用者，并从技术上来保证即使移动设备丢失数据也不会丢失。当然，也有好的征兆，根据Gartner在2005年发布的预测数据，采取保护策略的USB闪存设备在2005年的出货量是8470万，到2010年将达到1.7亿。
数据保留，就是备份吗？
根据一些美国存储软件厂商最新的调查研究结果，存档仍然被人们所误解，并且效率低下。他们发现只有少数的被调查者由于法律要求而进行存档，但大多数人表示一些法规对他们的业务并没有什么影响。
这很大程度上是由于一些私人持股的公司不愿意接受这样的行为，因为存档需要用冗长的时间周期来存储数据。
这也表明一种情况，那就是企业法人团队希望在企业内部推动遵从性，因而很可能对完全遵从法律条文持一种悲观的态度。业务和IT管理者是更注重实效的一族，他们对于之所以会出现这种调查结果的解释是，灾难恢复是存档更为重要的驱动因素，而不是法规遵从。
然而，该调查也发现，美国公司中的很大一部分由于没有恰当地存档，业务运做已经在受到危害，但他们仍然为法规遵从而得意，他们将备份和存档的功能几乎混淆一谈。
23%的被访者表示他们没有对数据进行存档。结果，他们对于“检索（retrieve）三个月前的一个重要文件”这样一个假定任务的回答中，其中20%的人并不知道检索到这样一个文件需要多长时间，10%的人表示所需时间超过一天，2%的人表示会超过一星期，6%的人表示他们完全就找不到这个文件。
然而，77%的被访者声称在一定程度上对数据进行存档，74%的人表示他们企业内部有文件存档系统，66%的人表示他们有邮件存档服务。
对于分级存储管理、存储资源管理以及信息生命周期管理的系统，总共也只有10%的人拥有。
手工存档也是占据主导的方式，调查中有32%的人存档是通过存档软件自动完成的，4%是手动使用存档软件来存档。不过，值得注意的是，35%表示他们是手工使用备份软件来存档。
关于存档的介质也是混合流行状态。其中使用磁带的占61%，使用光存储介质的有22%。值得注意的是，尽管磁带作为长期数据存储介质具有潜在弱势，但仍然被超过一半的公司使用。很多公司仍在持续花费大量的资金购买昂贵的存储设备，而并没有将一些古老的但需要保留的数据迁移到诸如磁带和光介质等较便宜的存储介质上。
通过这次调查我们也发现，尽管很多被访者会混淆使用备份和存档这两个术语，但同样能够反映出目前很多的企业既没有数据保护也没有存档系统，这是非常危险的。我们还是希望IT主管们以及管理员们能够注意这一问题，对于数据管理实施全面的解决方案保护，进而实现公司管理、法规遵从以及有效的存储管理。