怎样有效的保护内部文件数据的机密性.docx
《怎样有效的保护内部文件数据的机密性.docx》由会员分享，可在线阅读，更多相关《怎样有效的保护内部文件数据的机密性.docx（18页珍藏版）》请在冰豆网上搜索。
怎样有效的保护内部文件数据的机密性
公司介绍1
序言2
信息安全概述2
内网信息安全现状2
DRM（DigitalRightManagement）概念3
安全管理系统主要分类3
第一章前沿数字资产安全管理平台的设计思想5
1.1目标5
1.2原理5
第二章前沿数字资产安全管理平台6
系统架构和功能结构6
2.1系统架构6
2.2前沿数字资产安全管理平台的功能结构9
第三章前沿数字资产安全管理平台的系统工作流程11
3.1受控用户在客户端的使用流程12
3.2系统管理员在控制台的使用流程13
3.3监督员审计监督的使用流程14
3.4离线方式认证流程15
第四章前沿数字资产安全管理平台的功能特点16
4.1动态硬盘扫描加密16
4.2强制加密新建文档16
4.3计算机管理16
4.4文档密级管理16
4.5强大的用户管理功能17
4.6离线/在线文档自动切换管理17
4.7不限制外设和网络的使用17
4.8按用户习惯的方式使用文档17
4.9支持多种文档应用17
4.10支持自动机密方式和手动加密方式整合18
4.11详细的文件访问审计记录18
4.12防止屏幕拷贝与多种截屏软件18
4.13强大的安全性和可靠性18
4.14与多种IT平台无缝整合18
第五章前沿数字资产安全管理平台的系统需求19
附件1相关资质20
附件2典型用户23
公司介绍
上海前沿计算机科技有限公司成立于2002年6月。
公司立足于IT高科技产业，响应国家“网络安全国产化”政策号召，专注于信息安全领域，尤其是数据与内容安全保护方面的研究与开发。
成立伊始，公司就立志于成为国际一流的数据与内容安全管理咨询专家和解决方案提供商。
秉承为客户提供至诚服务和为员工创造最佳成长环境的信念，公司勇于面对挑战，不断创新，锐意进取，于2003年研发成功了具有自主知识产权、国内外技术领先的数字资产安全管理产品，为各行各业客户有效解决了信息电子化后带来的数字资产泄密问题。
今天的公司拥有多项具有自主知识产权、国际技术领先的电子数字资产安全管理产品，并已在国内多家知名企业得到实际应用，受到用户的高度赞誉，公司已经成为国内首屈一指的数据与内容安全管理咨询专家和解决方案提供商。
公司拥有一支高素质的专业技术与服务团队，将一如既往地不断探求保护客户知识产权的各种技术层面上的和管理层面上的新途径，严格执行内部质量管理体系，确保产品的性能指标，让客户能放心地用上高质量的产品；同时，资深高级工程师为客户提供专业的业务咨询和技术支持，使企业、政府、军队、金融机构、事务所、学校、研究所等各类客户的知识产权能够得到最完善的保护。
企业使命：
精彩有你，安全有我
服务理念：
超您所想，令您无忧
企业精神：
挑战自我占领前沿
公司目标：
成为世界一流的数据与内容安全管理咨询专家和解决方案提供商
序言
信息安全概述
在市场经济环境中，信息被视为与资金、技术、人才相提并论的四大竞争要素。
一条有用的信息可以激活一个企业，一条核心信息的泄漏也足以给一个企业造成致命的打击。
正因为如此，信息安全已经成为当今社会一大热门话题。
网络经济发展对信息安全产品带来新的需求，防火墙、防病毒、信息加密、入侵检测等已经基本解决了抵御外来入侵的困扰；但是内部用户引发的信息泄密问题成为当前信息安全的新的焦点。
建立起有效的事前预防，事后追究机制成了众多企业的当务之急。
中国国家信息安全测评中心的调查结果表明，信息安全问题主要来自泄密和内部人员有意无意的犯罪，而非由病毒和外来黑客引起。
美国联邦调查局（FBI）和计算机安全机构（CSI）最新进行的网络安全调查也显示：
超过85%的安全威胁来自公司内部，罪魁祸首包括未授权的存储、专利信息被窃取等。
内网信息安全现状
20世纪90年代以来，以网络技术及服务为代表的第二次"信息革命"浪潮席卷全球，迅速渗透到政府、企业、经济等各个领域。
企事业单位可以充分利用网络化的信息新技术，提高各方面的办事效率，为客户提供更好的更快的服务，提升自身形象。
与此同时，网络安全、信息安全也成为了困扰众多管理者的难题。
现在一提到信息安全，人们首先想到的就是病毒、黑客入侵。
在媒体的宣传下，病毒、黑客已经成为危害信息安全的罪魁祸首。
然而，对计算机信息安全造成重大破坏的往往不是病毒、黑客，而是组织内部人员有意或无意对信息的窥探或窃取。
在调查中发现，很多企事业单位，经常利用网络来提高业务效率，使用者在这样的环境下，可以随意上传下载和发放网络中的文件，而且可以很轻松地把企业的许多重要信息传递到网络外部。
但是另一方面，作为公司管理者或相关应用部门，他们都希望这些重要的信息资料，比如：
财务数据、技术文档等特殊资料，不能轻易地离开公司的网络环境，甚至不能在公司网络内部随意地传递与交流。
然而，管理者往往无法有效地控制和监控文件使用者的操作，这使得使用者可以利用有许多漏洞截获企业内部的特殊资料。
从目前来看，内部泄密主要是通过如下途径：
1、内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走；
2、内部人员通过互联网将资料通过电子邮件发送到自己的邮箱；
3、内部人员将资料打印后带出；
4、将办公用的便携式电脑直接带回家中或将自己的笔记本电脑带到公司，接入局域网，窃取资料；
5、电脑易手后，硬盘上的资料没有及时删除，导致泄密；
6、随意将文件设成共享，导致非相关人员获取资料；
7、乘同事不在，开启同事电脑，浏览、复制同事电脑里的资料。
那么如何才能解决内部人员泄密问题呢？
一方面要求配置必要的技术装备；另一方面也要加强管理，做好内部人员的保密教育，法制教育。
“技术与管理”并重，才能从根本上杜绝内部人员泄密问题。
在技术上，防范内部人员泄密要做到以下几点：
一是利用加密等信息安全技术对公司内部的特殊文档进行加密和合理的授权，主动防止泄密事件的发生；二是对内部人员的使用计算机的行为进行监控和审计，若有泄密事件发生可以找到泄密渠道。
在管理上，防范内部人员泄密要做到以下几点：
一是要建立一整套规范的安全保密制度并严格执行；二是要加强员工的保密教育，使他们认识到保密工作的重要意义；三是要有奖惩制度，对保密先进个人、单位予以嘉奖，对于泄密事故加大惩处力度，做到以儆效尤。
综上所述，无论怎样看待网络安全的现状以及未来的发展，我们都应充分意识到这样一个事实：
来自内部的威胁已经成为危害网络安全的首要因素——内忧甚于外患！
建立一个可信并可控的内部网络，其重要性是不言而喻的。
DRM（DigitalRightManagement）概念
从广义上来说，DRM（数字版权管理）是在因特网上的服务商能够安全的把数字内容发送给用户（Client），并防止用户把数字内容非法发布的一种技术。
对于内网信息安全来说，DRM（数字版权管理）是能安全地传送文件给用户，并防止用户二次传播这些文件的技术。
利用这种DRM技术与EDMS（电子文件管理系统）的整合来防止内部文件的外泄。
这种技术适用于对重要项目的立案文件、机密文件、专利文件及新产品测试数据、产品设计图及产品设计计划、房屋开发预算数据、新药研发资料等进行安全控制。
安全管理系统主要分类
现今，信息安全管理行业一个最大的变化在于内网安全产品的比例正在不断增加——除了人们传统意义上的防火墙、反病毒软件等产品外，诸如防水墙、防信息泄漏系统等也在逐次涌现。
在各类信息安全管理行业研讨会上，相当多的行业人士一致表示，内网安全解决方案、防信息泄露系统、数据输出管理系统等将成为未来中国信息安全的新热点之一。
在对内网信息安全现状的分析中，我们可以看出面对来自于公司内部的安全威胁，必要的安全措施对企业来说是十分重要的。
因此，如何建立一个可信并可控的内部网络，已经是迫在眉睫的问题了。
有问题和需求，必然会出现针对性的解决方案和技术。
当前在市场上出现了很多针对内网安全的产品，它们按技术特点可以分为三大类：
第一类产品采用对网络行为进行监控和审计，包括对MSN、QQ、1394、打印、USB端口以及光驱、软驱等外设设备进行控制，从而达到禁止使用指定端口或程序，规范员工操作行为和审计员工操作日志的目的。
这种系统会提供给管理员大量详细的操作日志记录，但是过于严格的控制会影响员工的工作习惯，大大降低办公效率。
并且随着网络技术的不断发展，使得对网络应用途径和端口的封锁变得越来越困难，企业需要不断的更新跟踪手段，才能达到监控的目的。
第二类产品通过PKI、KM等系统，对网络中的用户进行访问控制和身份认证，以达到合法使用和访问有效资源的目的。
但是这种方法只能防止外人对公司文件的恶意访问，却不能阻止公司员工对公司信息的恶意泄漏，因为合法用户一旦通过了身份认证就可以对文件进行全权的操作控制。
第三类产品采用严格的加密算法和密钥机制，把加密、授权、认证、审计等功能结合起来，从最底层对根据不同密级评定和授权方式的核心数据进行保护，而不是限制网络的应用和控制，实现了需要保护的资料可以被合理地应用，而没有授权的用户无法获取相关资源。
这种方法属于全程监护，是从本质上解决问题的有效方法。
基于上述的情况，前沿科技自主研发了前沿数字资产安全管理平台。
该系统达到了既防止文件泄密的功能，又支持公司知识积累和文件共享的目的，有效地解决上述问题。
第一章前沿数字资产安全管理平台的设计思想
1.1目标
建立企业内部信息安全工作平台：
一、可以保证企事业单位的各种数字资产，在赋予各类文档的使用权限后，有效地做到“在确保安全性的同时保证易用性”，对保存在前沿数字资产安全管理平台内企事业的机密数据，信息进行保护。
二、在不影响原有企业正常的信息流转流程的前提下，保护各类数据信息，同时有效防止合法使用者非法通过各种途径将企业信息传播出去，避免给企业的知识产权带来巨大损失。
前沿计算机科技有限公司就是以此作为目标，推出了一款内网安全产品——“前沿数字资产管理安全平台”。
1.2原理
前沿数字资产安全管理平台为C/S结构，对电子文档进行加密和授权，在工作环境内合法用户可以自动从服务器端获取密钥，对加密文档解密使用，而脱离工作环境后因为无法获取密钥而不可用。
Ø∙∙∙∙∙∙∙∙对合法用户在使用文档的同时，限制其使用时的打印、编辑、复制、另存为，屏幕截图功能。
Ø∙∙∙∙∙∙∙∙明文文件被自动强制加密，生成加密文件，密钥保存到服务器；
Ø∙∙∙∙∙∙∙∙密钥、权限信息等存储到数据库；
Ø∙∙∙∙∙∙∙∙合法用户通过共享、邮件、OA等方式获得加密文档；
Ø∙∙∙∙∙∙∙∙合法用户向服务器申请并获取密钥后以自身相关权限对加密文件进行访问；
Ø∙∙∙∙∙∙∙∙合法用户可以通过离线方式使用加密文档。
第二章前沿数字资产安全管理平台
系统架构和功能结构
该系统的用户有三种角色：
受控用户、权限管理员、以及监督员。
在3.1到3.3中将详细描述三种功能角色的使用流程。
本系统允许受控用户在工作环境内使用保密文档，在使用保密文档时没有明显的不方便感，不影响应用的任何功能，不影响系统性能。
权限管理员要能方便的管理工作环境内所有的保密文档，包括授权和查询分析使用日志。
监督员可以查询权限管理员的授权操作。
2.1系统架构
系统由安全策略服务器、安全控制终端（客户端）、综合管理控制台、监督控制台和离线工作站组成，各个组件完成的功能详细解释如下：
2.1.1企业安全策略服务器
每个企业有一个企业安全策略服务器，由基础设置服务、审计服务、安全策略服务、集成服务、以及安全服务等组成。
基础设置服务：
包括系统范围（以计算机为基础）、组织结构、用户、职位、文件密级等。
审计服务：
负责记录用户和管理员的操作，包括文件的创建、修改、删除、和打印，以及管理员的各种管理操作。
管理员可以查看和备份用户的文件操作。
监督员可以查看和备份管理员的日志。
安全策略服务：
记录用户的授权信息，并且在用户登录的时候应用到客户端。
通过离线服务支持离线工作站的注册。
通过文件交换策略控制，文件在公司范围或者部门范围或者在个人范围内可以交换。
集成服务：
支持和AD/Domino或者其他的系统进行认证整合。
安全服务：
提供和其他模块的保密通信功能，防止被网络侦听；通过随机密钥服务保证不同企业之间的密钥独立。
2.1.2安全控制终端
系统中每个受控的计算机都会安装一个安全控制终端。
通过安全控制终端，用户登录后能够共享使用公司内部的授权的保密文档。
它由用户登录、离线管理、自主加解密、静态扫描加密、内容权限控制、日志报告、控制录像截屏软件以及系统安全模块组成。
用户登录：
从服务器下载安全策略，并且会进行安全策略生命期管理，保证安全策略的有效性。
离线管理：
在用户登录失效（离线）的条件下检验离线状态的有效性，若用户使用的计算机已经注册了离线工作站，并在有效期内，则可以离线使用保密文档。
实现离线和在线的自动切换。
自主加解密：
对企业要控制的电子文档进行自主加解密，确保只有在工作环境内或者合法的离线环境内才能够使用这些文档。
静态扫描加密：
客户端首次安装后自动执行的全盘扫描加密，自动加密硬盘中已有文档。
内容权限控制：
用户依照权限使用密文，并保证在可以正常使用网络、电子邮件以及移动存储设备的前提下，不会泄漏这些文档的内容。
日志报告：
记录文件的创建、修改、访问、删除以及打印等操作发生的时间、地点、访问者。
如果当时计算机处于脱机状态，这些日志则被存储在本地，一旦联机，则立即上传至企业安全策略服务器。
录像、截屏软件控制：
可以防止用户使用这些软件窃取文件。
系统安全、保密通信服务：
提供和其他模块的保密通信功能，防止被网络侦听；防止通过一些编程手段、跟踪调试、网络侦听、暴力破解等获取或者破解文档内容。
2.1.3综合管理控制台
系统管理员通过综合管理控制台管理系统。
它是由以下几个部分组成：
计算机管理、组织结构管理、用户管理、文件密级管理、职位管理、文件管理（加解密）、授权管理、离线管理、文件日志查询、管理日志报告。
除了授权管理、文件管理外其他管理服务都与安全策略服务器配合使用，这里详细叙述授权管理：
计算机
加密文件
部门
权限
职位
离线加密文档
用户
自动强制加密文件在生成后，该机算计确定为该加密文件的所属计算机
计算机可以通过计算机管理，进行分组，指定一个所属部门
每个职位属于一个特定的部门，每个部门可以有很多职位
用户有自己的企业职位，按照不同的职位对文件有不同的权限
每个用户属于一个指定的部门，每个部门可以有很多用户
用户根据自己的所属部门职位，以及文件所属密级，得到相应的文件访问权限；也可根据用户申请，进行用户对个别文档权限添加，修改，删除
用户顺利通过身份验证，打开加密文档，并根据合法访问权限去操作文件
每一个职位有相应的文档权限设置，相当于一个策略
每个加密文件都有自己得属性，其中一个重要属性就是密级；密级可根据企业各自的文档密级评定准则来设定
密级：
绝密；
机密；
内部文档。
。
。
离线计算机
用户可以递交离线申请，并获得离线认证码，注册离线计算机。
认证码可以根据工作情况进行失效时间设置
用户通过离线计算机进行加密文档的打开，并按照离线权限进行文档操作。
：
图端ql授权管理依照企业内部用户、职务、部门以及文件的密级划分策略来指定用户对文档的使用权限。
考虑到每个企业的组织结构和文档的使用之间的紧密联系，前沿数字资产安全管理平台的授权策略紧密地与企业的实际部门划分情况结合，真正做到和企业现有的文档发布制度无缝整合，大大降低了管理成本。
部门按照树状结构组织。
每个用户属于一个指定的部门，每个部门可以有很多用户。
每个职位属于一个特定的部门，每个部门可以有很多职位。
每个用户可以由多个职位，每个职位也可以有多个用户。
每个文件通过其作者或者生成的计算机确定所属部门。
每个保密文件必须设置密级，自动生成的保密文件默认为内部，手动加密的可以选择密级。
可以对部门、文件密级进行授权，授予该部门的所有用户对部门或下属部门该级别的保密文档的访问权限，包括阅读、打印、编辑、复制拷贝以及还原等权限。
可以对职位、文件密级进行授权，授予该职位的所有用户对职位所在部门或下属部门该级别的保密文档的访问权限，包括阅读、打印、编辑、复制拷贝以及还原等权限。
通过该方法可以支持跨部门授权。
可以对用户、文件密级进行授权，授予该用户对所在部门或下属部门该级别的保密文档的访问权限，包括阅读、打印、编辑、复制拷贝以及还原等权限。
一个用户拥有的权限是上述3种授权的并集。
2.1.4监督控制台
监督控制台提供了管理日志查询服务，该服务为监督员查询和分析系统管理员的各种操作提供了一个平台。
2.1.5离线工作站
离线工作站通过注册的方式建立，并提供离线认证方式。
该模块能提供随即的序列号和注册码来供用户注册，注册码可以控制离线工作站有效使用时间，并且可以有效防止用户企图通过变更系统时间来延长使用时间操作。
序列号和注册码仅仅对特定的计算机有效，变更计算机后相同的序列号和注册将失效。
2.2前沿数字资产安全管理平台的功能结构
前沿数字资产安全管理系统强制性加密明文文件，确保作者不会轻易对文件内容进行泄密。
2.2.1加密
采用AES128位加密算法，所生成的随机密钥与文档分开存放，前沿数字资产安全管理平台定时（5分钟）从服务器中下载企业密钥，确保流失到工作环境外的文档不能使用。
2.2.2内容访问控制
通过完善的内容访问控制，控制合法用户使用密文文档的权限，控制对文档的阅读、打印、编辑、还原等操作；在用户使用密文的同时，控制拷屏键和各种截屏软件的使用，有效防止文档的二次传播。
2.2.3管理
对计算机、文件、用户都有相应的管理机制。
对于计算机可以进行审计、分组、添加、删除等管理功能；
对文件可以进行授权、在线认证、离线认证、查询访问日志等操作；
对用户可以按企业组织结构进行权限分配等。
管理员可以在综合控制台上直接对受控客户端上的文件进行通过时间、名称、扩展名以及大小等条件进行查找、定位，可以对受控客户端的文档进行加密或者解密。
2.2.4审计
审计服务按照时间顺序记录文档操作日志。
系统管理员可以按照文件名称，用户名称，来查看所有文件的访问记录。
随时查看文档的使用纪录包括何时、何地、何人做了什么。
把握重要文件的访问情况。
监督员可以查看系统管理员的操作记录，形成多个管理员相互制约的相对安全的管理模式。
2.2.5离线
离线加密文档可以在建立了离线工作站之后带出公司使用。
离线文档密钥可以绑定到便携式计算机上，保证离线文档使用过程中的安全性。
离线工作站可以和在线工作环境之间自由交换文件，处于合法使用期内的相同公司的离线工作站之间也可以自由交换离线文件。
当离线文档回到在线环境后，会自动变为在线认证方式下的文档，其权限也将自动变为在线认证方式下的权限。
反之，当在线文档处于离线工作站中，其权限将自动变为离线认证方式下的权限。
第三章前沿数字资产安全管理平台的系统工作流程
该系统的用户有三种角色：
受控用户、系统管理员、以及监督员。
本系统允许受控用户在工作环境内使用保密文档，在使用保密文档时不会感到不便，不影响应用的任何功能，不影响系统性能。
真正做到用户透明。
系统管理员要能方便的管理工作环境内所有的保密文档，包括授权和查询分析使用日志。
监督员可以查询权限管理员的授权操作。
3.1受控用户在客户端的使用流程
流程标注解释如下
1：
客户端按照事先约定好的文件类型，通过动态自动扫描的方式，加密硬盘内已有的明文文件。
2：
用户在打开，编辑，保存新建文件时，客户端自动强制对新建明文文件进行加密。
3：
加密文件的密钥信息，权限信息，部门所属信息等，存储到数据库中，供DRM服务器调用。
4：
加密文件通过企业自身OA，共享文件夹，邮件等方式传递到其他用户的计算机上，其他合法用户按权限设定打开，使用加密文件。
5：
加密文件可以通过离线工作站的方式，供外网用户使用。
A：
用户的计算机上安装客户端，进行文件加密。
B：
DRM服务器调用储存在数据库中的密钥信息，权限信息，部门，职位等数据信息。
C：
用户计算机安装客户端，进行解密，使用原应用软件打开加密文件，并对其进行权限内操作。
D：
外网用户也需要安装客户端，通过离线认证方式，打开加密文件，并对其进行权限内操作。
3.2系统管理员在控制台的使用流程
流程标注解释如下
1：
系统管理员可以登陆综合管理控制台（console），并对文件，用户组织管理，计算机管理等进行操作。
2：
系统管理员通过综合管理控制台（console）对网络内每一台计算机内的加密文件进行操作，操作有批量加解密，单个文件加解密，或者认证方式变更等。
3：
管理员可以通过综合管理控制台（console）对用户进行组织结构设定，职位设定，职位变更等操作。
4：
管理员可以通过综合管理控制台（console）对网内计算机进行分组，审核，删除等管理。
A：
DRM服务器调用储存在数据库中的密钥信息、权限信息、计算机、部门、职位等数据信息。
3.3监督员审计监督的使用流程
流程标注解释如下
1．监督员可以通过监督控制台进行日志审核，查询等管理。
2．监督员对系统管理员进行行为监督，承担审计系统管理员日志的责任。
3．监督员审核用户的文件访问操作。
3.4离线方式认证流程
流程标注解释如下
1：
用户提交还有自己计算机的硬件特征码的序列号给系统管理员。
2：
系统管理员在综合管理控制台输入序列号，生成针对此台计算机的离线注册码。
3：
用户将离线注册码注册到本机中，建立一个离线工作站。
4：
在该台计算机上，用户可以通过离线认证，正常按离线权限打开并使用加密文件。
5：
当离线计算机重新连通企业内网后，将自动转为在线认证方式，用户将按照在线权限打开并使用加密文件。
第四章前沿数字资产安全管理平台的功能特点
4.1动态硬盘扫描加密
传统加密方式必须由管理员来进行，无论是否支持批量加密，工作量都是很大的。
在前沿数字资产安全管理平台上，已有的所有文档不需要任何手动加密，该平台支持动态硬盘扫描加密，在安装了客户端后第一次启动时，直接将已有的未加密的文档自动转为加密文档，从而使企业信息数据轻松进入安全平台系统。
4.2强制加密新建文档
如何有效防止文档作者有意无意泄密，一直是文档安全产品的一大难题。
与传统的文档安全产品不同的是，前沿数字资产安全管理平台支持文档强制加密。
在任何安装了前沿数字资产安全管理平台客户端的，并且通过管理员审批的计算机上，用户创建的新文档都会被强制加密，且加密过程完全透明。
例如，当一位用户新建了一个明文文档，并且打开进行编辑，此时这份新建文档已经成为了加密文档。
加密文档无法被非法，或合法非权限使用者进行操作，从而真正做到从文档新建开始，全程保护企业数据信息。
4.3计算机管理
企业安全策略服务器扫描局域网中的计算机，并在综合管理控制台中显示这些计算机的基本情况。
系统管理员可以通过综合管理控制台对这些计算机进行审批，只有安装了客户端并且审批通过的计算机，才能够进行对文档的自动加解密功能。
有效防止非法计算机接入本系统。
同时，系统管理员可以从综合管理控制台查看已审批的客户端上文件的加密情况，并对文档进行远程的加解密。
对于进入前沿数字资产安全管理平台的计算机，都有详细的跟踪日志。
可以对计算机进行删除、添加、审批、取
升级会员 