目 录
3.1.6    终端设备端口管理与控制…………………………………………………………………….10
3.1.7 脱机管理…………………………………………………………………………………………….10
3.1.8 敏感行为审批…………………………………………………….………………………………….11
3.1.9 文档备份…………………………………………………………………………………………….11
3.1.10 行为审计…………………………………………………………………………………………….11
3.1.11 兼容与扩展………………………………………………………………………………………….11

 

随着信息化的深入，近年政府各个部门及国资委下属各大型企业都加强了信息化风险管理、技术监管、和信息安全管理等建设投入。
信息化建设给政府部门带来了先进的管理模式、高效的办事效率、良好的沟通平台，在促进政府部门良性发展的同时也加大了安全风险。对大多数政府客户来讲，数据资产是其需要重点保护的之一，数据资产/信息一旦丢失和泄露，不仅会给本单位带来不可弥补的随时，严重时甚至会威胁到国家安全。
调查表明，近几年政府及国资委下属企业内部的数据泄密事件频繁发生，给企业和单位带来极大的损失，同时数据泄露更具有针对性和隐蔽性，往往不能及时的发现和制止。据国家计算机信息安全测评中心数据显示，与***行为相比，内部员工有意或无意泄漏重要数据的比例更高。
如何利用信息技术加强内部管理，提高运营效率，防范安全风险，是大多数政府部门信息化建设所面临的重大问题。由于多数政府部门的运营数据以文档的形式存在，因此需要保护文档的安全，即保障数据具有可用性、可靠性、保密性。
现代政府的职能部门大都已经建成了较健全的信息化系统，如数据中心、办公系统、ERP系统、CRM系统、财务系统等，这些系统的数据主要集中存储在数据库中。但根据业务需要，仍有部分数据和资料散落在员工的终端上，如何统一管理存储在员工终端上的数据，以及如何保证这些数据的安全，成为急待解决的问题。针对不同行业应用的特点，这些数据存在如下一些问题： 
1.        员工的终端上存储了大量的办公资料，如财务资料、办公资料、图片图纸等，单位不能有效的对这些数据进行集中存储和管理；
2.        存储在员工终端上的资料，由于各种风险导致数据丢失，如因系统崩溃，硬盘损坏、病毒感染等原因导致的数据丢失，严重影响了正常办公；
3.        存储在员工终端上的资料，由于未做安全保护，容易被***或不法分子窃取，导致重要的数据资料外泄，造成不可估量的损失；
4.        存储在员工终端上的资料，由于无法防止重要数据资料不被通过U盘、邮件、聊天工具等途径外泄，容易被员工有意、无意外泄，造成损失。
5.        通过网络共享的文件，存在较大安全风险，容易遭受病毒和******，导致重要的数据资料外泄。

 

 

如图2.1所示，典型政府机关组织形式和特点如下：
1.        大多具有标准的部门组织，如领导班子、各职能部门、纪检监督、财务、行政等部门。
2.        运营过程中，各个部门之间有对外的人员，负责协调部门间及对外的交流；
3.        大多具有固定的合作单位，并且具有不固定的合作单位；
4.        可能有分之机构；
随着信息化安全和风险技术的进步，传统的信息保护技术已经很难达到高安全保护的要求，现代信息安全理论把安全防护的对象，从传统的针对途径的堵截转变为保护对象本身，因此能够更有效地达到安全防护效果。
传统的安全防护技术包括防止******、***、病毒***，从防火墙、***检测设备、网关等硬件设备的使用。现代安全防护技术采用加密技术，保护数据文件本身，整个信息化过程中都伴随着数据安全的问题。
为实现企业内部文档安全保护，防止文档外泄和扩散，提高企业内部文档交流，对于内部文档使用范围、文档交流等进行控制管理。针对行业和企业的特点满足如下目标需求：
1.        统一管理企业内网、跨网络环境的数据文档，确保其不被外泄和扩散； 
2.        防止因机器丢失，盗窃等，导致数据文档泄露； 
3.        保障数据文档安全的同时，确保离线、出差等脱离企业网络环境的文档安全；
4.        解决外发给合作客户、合作伙伴的文档的安全，防止扩散和外泄； 
5.        保障移动设备、存储设备（U盘、移动硬盘）的数据文档安全； 
6.        防止因病毒***或******等，导致数据丢失和泄露；
7.        防止员工有意、无意泄露文档内容；
本系统由服务器群，控制台和客户端三部分组成，如图3.1所示。系统初始管理员有四种：系统管理员、安全管理员、审计管理员和审批管理员。并且采用了职权分离的管理模型，管理员可以通过基于IE内核的浏览器，使用代表不同身份的USB-KEY登录到管理中心，进行管理及维护。

 

 

1.1.1.1    定义需要保护的文档和软件
防止员工机器上的文档泄露，要求先定义哪些类型的文档是需要保护的，建议不要对所有的文档进行保护，否则会影响效率，针对不同的应用类型定义需要保护的文档数据。
1.1.1.2    加密文档并存储
针对上述定义的需要保护的类型文档，对其进行透明加密保护，存储在磁盘的文档都是加密的，可以有效防止文档泄露，即使文档被泄露出去，也只能泄露密文，不会泄露文档的内容。
       以微软办公软件的Word格式文档为例，部署系统后，用户编辑保存Word文档过程中，系统自动对文档内容进行加密，并存储到磁盘上。用户打开加密的Word文档时，自动从磁盘解密。该过程无需改变现有的任何软件，不会影响用户的操作习惯。
       即使加密的Word文档被泄露到企业外部，由于加密文档的密钥存储在企业内部，外部系统无法获得密钥，并且加密文档的格式是保密的，不能通过破解等手段解密出正确的数据，保障了文档数据的安全。
1.1.1.3    防止泄露文档内容
当员工打开加密的文档时，需要防止员工通过打印、截屏、拷贝内容、网络、邮件等行为泄露文档的数据。例如需要防止员工拷贝文档内容，并粘贴到邮件正文发送到企业外部，泄露文档内容。当员工打开加密文档时，某些可能泄露文档内容的行为将被禁止，详细的描述如下所示：

 

1.1.11    区分工作和私人的文档
本产品启动后，默认开启安全保护功能，但管理员可以针对某些员工，赋予其停止安全保护的权限。员工停止安全保护后，将不能打开任何已加密的文档，而且打开和编辑未加密文档时，不会受到任何限制，或被强制加密。
企业可按需为公司或部门的某些领导或高级雇员，或使用个人笔记本办公的员工赋予该权限。这样员工可以在处理私人、或无需加密保护的文档时，手工停止安全保护功能，以满足特定的使用情况。
1.1.2.1    文档解密和管理制度
本方案通过对需要保护的文档进行强制的透明加密保护，达到防止数据文档泄露的安全目标。因此必须严格控制加密文档的解密。企业需要在内部设置专门的人员进行文档解密操作，并且严格遵守文档解密管理制度。在方案的实施阶段根据企业的实际环境、流程和管理制度，设计适用的文档解密管理制度。
1.1.2.2    文档外发和流程
本方案加密后的文档不能直接发送到企业外部，例如合作客户或合作单位等，因为这些文档是加密的，外部用户无法正常打开。只有通过文档外发，或把加密文档解密后才能让合作客户打开文档。在方案的实施阶段将根据企业的实际环境、流程和管理制度，设计专门适用的文档外发管理制度和审批流程。
1.1.2.3    外发文档防泄密
本方案通过外发技术，使得合法的外部用户无需安装本产品，也能打开外发的加密文档。该技术提供了口令和机器码认证两种保护技术，用户必须输入正确的口令和认证码后，才可以打开这些文档。
外部合法用户收到外发文档后打开，只能阅读文档内容，无法通过打印、截屏、拷贝内容等手段泄露文档内容，保障外发文档安全。
支持用户自定义多种外发策略，通过限制文档的有效时间，打开次数，接受用户，打开的设备等安全机制，为用户提供更加灵活，安全的文档外发保护。
1.1.2.4    文档内部共享
针对企业的数据文档保护需求，可对部门、或员工之间的文档交流进行限制或不限制。如果不限制，则员工之间可以相互打开、编辑其他员工的加密文档。如果限制，则员工必须把加密文档共享给指定的员工，并可能需要经过审批。
1.1.3.1    移动存储设备禁用或只读
为了加强数据文档的安全保护和规范员工使用移动存储设备，本方案在系统的内核，无缝集成移动存储设备管制功能。使用本产品，管理员可以按需禁止指定员工使用移动存储设备，或者禁止写入数据，如图3.2所示。

 

 

1.1.1.1    内网专用安全存储设备
移动存储设备管理的最佳实践是，禁用所有的普通移动存储设备，并使用内网专用的安全U盘/硬盘。本产品无缝集成了我司自主研发的加密安全U盘/硬盘产品，内部员工只能使用已注册的专用安全U盘/硬盘。使用内网专用的存储设备，可以获得更优的设备管制和文档保护体验，具有以下安全特点：
1.        单位内部员工，只能使用注册过的U盘/硬盘，各个终端不识别非注册设备；
2.        存储在合法设备中的数据是经过硬件芯片加密保护的，只有输入正确的使用密码才能访问设备中存储的数据信息；
3.        支持限定存储设备的使用范围，即：注册过的安全U盘/硬盘，只能在单位内部使用，单位办公环境外的终端无法识别此类设备；
1.1.2.1    明文归档
由于不同的企业有不同的文档归档管理办法，本方案不提供专门的文档管理、归档、备份和统计等功能。如果需要进行文档归档，可以选择先批量解密文档，解密文档后，再按照企业现有流程进行文档归档管理。当需要重新使用这些文档时，加密后再发布给员工。
3.1.5.2 密文归档
企业也可以直接把加密文档进行归档，即使文档的使用年限和需要归档备份的年限较长，我司也保证在将来的产品升级中，提供向下兼容的文档保护产品，并且支持更新的操作系统和应用软件。
3.1.6 终端端口管理与控制
支持管理员对终端进行设备端口控制，禁止终端用户随意使用系统设备资源，并指定可以使用那些设备端口；可以控制的端口有串口设备（移动存储设备、 USB鼠标键盘、USB电讯设备、USB打印设备、其它USB设备）、并口设备、光盘驱动器、SCSI接口、1394控制器、红外接口、蓝牙接口、PCMCIA卡
3.1.7 脱机管理
支持脱机运行，脱机时客户端功能与在线时相同，仅不能同步策略和上传客户端状态；支持脱机时限管理，支持脱机日志等
3.1.8 敏感行为审批
在做共享、外发文档等用户自行定义的敏感操作时，支持强制审批，每一操作必须经过审批管理员审批通过才能执行。
3.1.9 文档备份
为容灾容错，提供了文档自动备份功能，支持定期以增量备份的方式，备份文档到服务器
3.1.10行为审计
文档创建、打开、修改、共享、外发等等关键操作，都有自动进行日志记录，管理端提供统一的审计界面
3.1.11兼容与扩展
兼容大多数行业主流应用软件，如Office、Photoshop，Adobe reader，WPS，Apabi reader等 100多种常用软件；兼容ERP/财务等生产管理系统；扩展新支持的软件，只需要定制相应策略即可
 
3.2方案优势
3.2.1专业的信息安全产品提供商
我公司拥有专业的信息安全服务团队，业务包括安全风险评估、信息安全与管理技术咨询、测评整改和安全体系认证咨询等。我们曾在2010 年广州亚运会期间，为数十个政府部门提供安全测评和整改，并获得相关部门的表彰。
我们的产品完全自主研发，拥有全部的知识产权，能够快速响应用户需求变化和定制化需要，并且能提供优质快速的售后支持服务。数据安全保护系统已为数百家企业提供了优质的数据安全保障服务。
3.2.3领先的技术和方案
我公司产品在技术上采用了先进的驱动透明加解密技术，和内核防泄密控制技术，相对于市面上众多的“伪透明加密”产品来讲，具有安全、稳定、高效，而且不影响用户习惯等优点。
4实施效果
本方案通过对数据文档的产生、使用、授权、发布等环节进行整体的防护，为企业提供完整的数据安全解决方案，通过本方案能够达到以下效果：
1.        通过加密手段，提高数据资产的安全性。
2.        减少因文档泄露导致核心数据资产外泄；
3.        提供完整的数据安全保护策略，提高安全管理能力；
4.        提高抗风险能力，降低运营风险；
5.        规范内部管理，规范员工行为，提高生产积极性；
5总结
本方案基于数据安全保护系统政府版，针对政府机关的标准需求进行设计。方案充分考虑了机关的组织和运营特点，以安全和规范为原则，满足政府机关的数据文档保护需求，杜绝泄密事件的发生。