數據安全保護解決方案

現代政府的職能部門大都已經建成了較健全的信息化系統，如數據中心、辦公系統、ERP系統、CRM系統、財務系統等，這些系統的數據主要集中存儲在數據庫中。但根據業務須要，仍有部分數據和資料散落在員工的終端上，如何統一管理存儲在員工終端上的數據，以及如何保證這些數據的安全，成爲急待解決的問題。針對不一樣行業應用的特色，這些數據存在以下一些問題：

1. 員工的終端上存儲了大量的辦公資料，如財務資料、辦公資料、圖片圖紙等，單位不能有效的對這些數據進行集中存儲和管理；

2. 存儲在員工終端上的資料，因爲各類風險致使數據丟失，如因系統崩潰，硬盤損壞、病毒感染等緣由致使的數據丟失，嚴重影響了正常辦公；

3. 存儲在員工終端上的資料，因爲未作安全保護，容易被***或不法分子竊取，致使重要的數據資料外泄，形成不可估量的損失；

4. 存儲在員工終端上的資料，因爲沒法防止重要數據資料不被經過U盤、郵件、聊天工具等途徑外泄，容易被員工有意、無心外泄，形成損失。

5. 經過網絡共享的文件，存在較大安全風險，容易遭受病毒和******，致使重要的數據資料外泄。

如圖2.1所示，典型政府機關組織形式和特色以下：

1. 大多具備標準的部門組織，如領導班子、各職能部門、紀檢監督、財務、行政等部門。

2. 運營過程當中，各個部門之間有對外的人員，負責協調部門間及對外的交流；

3. 大多具備固定的合做單位，而且具備不固定的合做單位；

4. 可能有分之機構；

1.1方案目標

隨着信息化安全和風險技術的進步，傳統的信息保護技術已經很難達到高安全保護的要求，現代信息安全理論把安全防禦的對象，從傳統的針對途徑的堵截轉變爲保護對象自己，所以可以更有效地達到安全防禦效果。

傳統的安全防禦技術包括防止******、***、病毒***，從防火牆、***檢測設備、網關等硬件設備的使用。現代安全防禦技術採用加密技術，保護數據文件自己，整個信息化過程當中都伴隨着數據安全的問題。

爲實現企業內部文檔安全保護，防止文檔外泄和擴散，提升企業內部文檔交流，對於內部文檔使用範圍、文檔交流等進行控制管理。針對行業和企業的特色知足以下目標需求：

1. 統一管理企業內網、跨網絡環境的數據文檔，確保其不被外泄和擴散；

2. 防止因機器丟失，盜竊等，致使數據文檔泄露；

3. 保障數據文檔安全的同時，確保離線、出差等脫離企業網絡環境的文檔安全；

4. 解決外發給合做客戶、合做夥伴的文檔的安全，防止擴散和外泄；

5. 保障移動設備、存儲設備（U盤、移動硬盤）的數據文檔安全；

6. 防止因病毒***或******等，致使數據丟失和泄露；

7. 防止員工有意、無心泄露文檔內容；

2 解決方案

2.1解決方案及其組成

2.1.1 系統物理架構

本系統由服務器羣，控制檯和客戶端三部分組成，如圖3.1所示。系統初始管理員有四種：系統管理員、安全管理員、審計管理員和審批管理員。而且採用了職權分離的管理模型，管理員能夠經過基於IE內核的瀏覽器，使用表明不一樣身份的USB-KEY登陸到管理中心，進行管理及維護。

1.1.1 文檔擴散和外泄管理

1.1.1.1 定義須要保護的文檔和軟件

防止員工機器上的文檔泄露，要求先定義哪些類型的文檔是須要保護的，建議不要對全部的文檔進行保護，不然會影響效率，針對不一樣的應用類型定義須要保護的文檔數據。

1.1.1.2 加密文檔並存儲

針對上述定義的須要保護的類型文檔，對其進行透明加密保護，存儲在磁盤的文檔都是加密的，能夠有效防止文檔泄露，即便文檔被泄露出去，也只能泄露密文，不會泄露文檔的內容。

以微軟辦公軟件的Word格式文檔爲例，部署系統後，用戶編輯保存Word文檔過程當中，系統自動對文檔內容進行加密，並存儲到磁盤上。用戶打開加密的Word文檔時，自動從磁盤解密。該過程無需改變現有的任何軟件，不會影響用戶的操做習慣。

即便加密的Word文檔被泄露到企業外部，因爲加密文檔的密鑰存儲在企業內部，外部系統沒法得到密鑰，而且加密文檔的格式是保密的，不能經過破解等手段解密出正確的數據，保障了文檔數據的安全。

1.1.1.3 防止泄露文檔內容

當員工打開加密的文檔時，須要防止員工經過打印、截屏、拷貝內容、網絡、郵件等行爲泄露文檔的數據。例如須要防止員工拷貝文檔內容，並粘貼到郵件正文發送到企業外部，泄露文檔內容。當員工打開加密文檔時，某些可能泄露文檔內容的行爲將被禁止，詳細的描述以下所示：

1.1.11 區分工做和私人的文檔

本產品啓動後，默認開啓安全保護功能，但管理員能夠針對某些員工，賦予其中止安全保護的權限。員工中止安全保護後，將不能打開任何已加密的文檔，並且打開和編輯未加密文檔時，不會受到任何限制，或被強制加密。

企業可按需爲公司或部門的某些領導或高級僱員，或使用我的筆記本辦公的員工賦予該權限。這樣員工能夠在處理私人、或無需加密保護的文檔時，手工中止安全保護功能，以知足特定的使用狀況。

1.1.2 文檔解密和外發管理

1.1.2.1 文檔解密和管理制度

本方案經過對須要保護的文檔進行強制的透明加密保護，達到防止數據文檔泄露的安全目標。所以必須嚴格控制加密文檔的解密。企業須要在內部設置專門的人員進行文檔解密操做，而且嚴格遵照文檔解密管理制度。在方案的實施階段根據企業的實際環境、流程和管理制度，設計適用的文檔解密管理制度。

1.1.2.2 文檔外發和流程

本方案加密後的文檔不能直接發送到企業外部，例如合做客戶或合做單位等，由於這些文檔是加密的，外部用戶沒法正常打開。只有經過文檔外發，或把加密文檔解密後才能讓合做客戶打開文檔。在方案的實施階段將根據企業的實際環境、流程和管理制度，設計專門適用的文檔外發管理制度和審批流程。

1.1.2.3 外發文檔防泄密

本方案經過外發技術，使得合法的外部用戶無需安裝本產品，也能打開外發的加密文檔。該技術提供了口令和機器碼認證兩種保護技術，用戶必須輸入正確的口令和認證碼後，才能夠打開這些文檔。

外部合法用戶收到外發文檔後打開，只能閱讀文檔內容，沒法經過打印、截屏、拷貝內容等手段泄露文檔內容，保障外發文檔安全。

支持用戶自定義多種外發策略，經過限制文檔的有效時間，打開次數，接受用戶，打開的設備等安全機制，爲用戶提供更加靈活，安全的文檔外發保護。

1.1.2.4 文檔內部共享

針對企業的數據文檔保護需求，可對部門、或員工之間的文檔交流進行限制或不限制。若是不限制，則員工之間能夠相互打開、編輯其餘員工的加密文檔。若是限制，則員工必須把加密文檔共享給指定的員工，並可能須要通過審批。

1.1.3 移動存儲設備管理

1.1.3.1 移動存儲設備禁用或只讀

爲了增強數據文檔的安全保護和規範員工使用移動存儲設備，本方案在系統的內核，無縫集成移動存儲設備管制功能。使用本產品，管理員能夠按需禁止指定員工使用移動存儲設備，或者禁止寫入數據，如圖3.2所示。

1.1.1.1 內網專用安全存儲設備

移動存儲設備管理的最佳實踐是，禁用全部的普通移動存儲設備，並使用內網專用的安全U盤/硬盤。本產品無縫集成了我司自主研發的加密安全U盤/硬盤產品，內部員工只能使用已註冊的專用安全U盤/硬盤。使用內網專用的存儲設備，能夠得到更優的設備管制和文檔保護體驗，具備如下安全特色：

1. 單位內部員工，只能使用註冊過的U盤/硬盤，各個終端不識別非註冊設備；

2. 存儲在合法設備中的數據是通過硬件芯片加密保護的，只有輸入正確的使用密碼才能訪問設備中存儲的數據信息；

3. 支持限定存儲設備的使用範圍，即：註冊過的安全U盤/硬盤，只能在單位內部使用，單位辦公環境外的終端沒法識別此類設備；

1.1.2 文檔歸檔管理

1.1.2.1 明文歸檔

因爲不一樣的企業有不一樣的文檔歸檔管理辦法，本方案不提供專門的文檔管理、歸檔、備份和統計等功能。若是須要進行文檔歸檔，能夠選擇先批量解密文檔，解密文檔後，再按照企業現有流程進行文檔歸檔管理。當須要從新使用這些文檔時，加密後再發布給員工。

3.1.5.2 密文歸檔

企業也能夠直接把加密文檔進行歸檔，即便文檔的使用年限和須要歸檔備份的年限較長，我司也保證在未來的產品升級中，提供向下兼容的文檔保護產品，而且支持更新的操做系統和應用軟件。

3.1.6 終端端口管理與控制

支持管理員對終端進行設備端口控制，禁止終端用戶隨意使用系統設備資源，並指定可使用那些設備端口；能夠控制的端口有串口設備（移動存儲設備、 USB鼠標鍵盤、USB電訊設備、USB打印設備、其它USB設備）、並口設備、光盤驅動器、SCSI接口、1394控制器、紅外接口、藍牙接口、PCMCIA卡

3.1.7 脫機管理

支持脫機運行，脫機時客戶端功能與在線時相同，僅不能同步策略和上傳客戶端狀態；支持脫機時限管理，支持脫機日誌等

3.1.8 敏感行爲審批

在作共享、外發文檔等用戶自行定義的敏感操做時，支持強制審批，每一操做必須通過審批管理員審批經過才能執行。

3.1.9 文檔備份

爲容災容錯，提供了文檔自動備份功能，支持按期以增量備份的方式，備份文檔到服務器

3.1.10行爲審計

文檔建立、打開、修改、共享、外發等等關鍵操做，都有自動進行日誌記錄，管理端提供統一的審計界面

3.1.11兼容與擴展

兼容大多數行業主流應用軟件，如Office、Photoshop，Adobe reader，WPS，Apabi reader等 100多種經常使用軟件；兼容ERP/財務等生產管理系統；擴展新支持的軟件，只須要定製相應策略便可

3.2方案優點

3.2.1專業的信息安全產品提供商

我公司擁有專業的信息安全服務團隊，業務包括安全風險評估、信息安全與管理技術諮詢、測評整改和安全體系認證諮詢等。咱們曾在2010 年廣州亞運會期間，爲數十個政府部門提供安全測評和整改，並得到相關部門的表彰。

3.2.2優質的產品和服務

咱們的產品徹底自主研發，擁有所有的知識產權，可以快速響應用戶需求變化和定製化須要，而且能提供優質快速的售後支持服務。數據安全保護系統已爲數百家企業提供了優質的數據安全保障服務。

3.2.3領先的技術和方案

我公司產品在技術上採用了先進的驅動透明加解密技術，和內核防泄密控制技術，相對於市面上衆多的「僞透明加密」產品來說，具備安全、穩定、高效，並且不影響用戶習慣等優勢。

4實施效果

本方案經過對數據文檔的產生、使用、受權、發佈等環節進行總體的防禦，爲企業提供完整的數據安全解決方案，經過本方案可以達到如下效果：

1. 經過加密手段，提升數據資產的安全性。

2. 減小因文檔泄露致使核心數據資產外泄；

3. 提供完整的數據安全保護策略，提升安全管理能力；

4. 提升抗風險能力，下降運營風險；

5. 規範內部管理，規範員工行爲，提升生產積極性；

5總結

本方案基於數據安全保護系統政府版，針對政府機關的標準需求進行設計。方案充分考慮了機關的組織和運營特色，以安全和規範爲原則，知足政府機關的數據文檔保護需求，杜絕泄密事件的發生。

相關標籤/搜索

每日一句

每一个你不满意的现在，都有一个你没有努力的曾经。