专注终端安全 保护核心数据
Focus on core data terminal security protection
一．前言
网络的普及让信息的获取、共享和传播更加方便，同时也增加了重要信息泄密的风险。黑客持续不断的攻击，员工不当使用造成防火墙失效而使数据被轻易盗取，存储了机要信息的存储介质被失窃和遗失，商业间谍和竞争对手的刺探，员工跳槽导致的企业核心技术或客户资料的流失，个别员工违规的泄露和拷贝等等。而内部网络上大多数的应用，对企业是至关重要的，甚至是严格保密的。一旦出现涉密、破坏的事件，将产生严重后果。这些都使得内网安全问题变得越来越重要和突出。
调查显示：有超过85%的安全威胁来自组织内部，有16%来自内部未授权的存取，各种安全漏洞造成的损失中，30% - 40% 是由电子文件的泄露造成的，而防火墙、防病毒、入侵检测、物理隔离这些常见的内网安全措施也无法有效阻止企业机密信息的泄露。为防范风险，必须在内网建立可靠的网络管理、安全审计和监控，以保证内网安全。 企业的信息安全管理势在必行。除了部署实施网络监控软件外，应继续部署透明加密反复制系统；技术层面和管理层面的良好配合，是组织实现网络与信息安全系统的有效途径。其中，信息安全技术通过采用建设安全的计算机网络系统，并配备适当的安全产品的方法来实现。保证网络自身安全和业务安全，首先要有一个可靠的网络，其次就是要有强有力的网络管理和网络安全管理策略和手段。随着网络应用日趋复杂，单凭网络管理员的学识和经验进行网络管理和安全管理，已经不能适应了。因此，我们必须借助一些网络管理及内网安全的专业软件，才能确保内网信息的保密性、完整性、可用性、 可控性。
二．文件安全需求及解决方案
2.1 设计院文件安全需求
目前设计院内部已经部署了针对外来威胁的防火墙、杀毒软件等。
但是随着公司信息化的发展，员工越来越多地借助以计算机、互联网等信息手段，将公司的经营及管理流程在线实现，所有业务数据经由系统处理，这样，信息数据就成为主要存储方式及企业内、外部之间进行信息交换的重要载体。仅仅依靠对邮件、移动存储等出口的封堵是远远不够的。
目前企业级应用系统的广泛应用，大量的核心数据都存放于服务器中，如ERP/OA等系统。这样对应用服务器的信息防护就成了企业信息安全的重中之重。但对应用服务器的防护涉及到两个方面，一是对其的准入访问控制，另一个则是如何保护离开应用服务器环境的文档安全。如何才能在不影响公司业务系统正常运行的情况下，又能防止公司由于员工辞职、外来人员盗取资料、内部员工外发和移动存储设备的丢失造成应用服务器上核心资料的流失和外泄，从而提高整个系统的安全性，有效防止由于内部员工造成的资料外泄，实现信息防泄漏的目的。
设计院文件安全的主要需求如下：
全面保护重要部门（人事、财务、工程、研发、设计等部门）文件的存储安全。
对工程部外发文件进行控制。
如何实现已部署加密软件的部门与未部署加密软件的部门之间内部文件的交互。
移动办公用户的文件安全保护。
可靠的灾备机制
2.2 解决方案的阐述
根据设计院的重要部门文件安全管理体系的需求，结合迪康Defender文档安全系统来保护企业机密文档无法泄漏，规范员工的文件安全操作行为和流程，提高员工的安全意识，同时最大程度降低加密软件对员工工作效率的影响，最终达到安全管理和人性化管理的高度结合的实施目标。
以下我们以应用场景和解决方案的方式进行详细的描述，具体内容如下：
自动加解密管理
应用场景：
企业的重要部门（人事、财务、工程、研发、设计等部门）存在大量的机密文件和财务数据，其中包括Office文档、PDF文档、图纸、源代码文件等，需要进行加密保护，但是又不想引起员工的反感。
解决方案：
强制自动加解密：
所有文件在保存时自动进行强制加密；
加密和解密过程对于使用者来说是透明的、不可见、不可干预的，在后台悄悄进行，员工感受不到加密软件的存在；
加密过的文件一旦外发或拷贝到未授权的电脑上打开时，会以乱码形式显示。
部门内部文件交换：
已部署加密软件的部门如果采用独立组进行分组，则可以实现不同部门的员工之间不能相互查看加密文件，只有经过追加授权的文档才能在部门之间交流。
已部署加密软件的部门如果采用继承组进行分组，所有部署了加密客户端的员工都可以正常查看各个部门加密的文件。
以上两种分组方式可以根据企业的具体情况而定，独立组的方式可以实现部门之间文件不能随便传阅，比较严谨，比较适用于部门之间文件交流很少的工作模式，但是如果部门之间交互比较频繁，则会带来操作上的繁琐。因此，如果部门之间文件交流频繁，我们建议采用继承组的分组方式。
因企业内部初期并不全部部门部署加密软件，那么已部署加密软件的部门如何与未部署加密软件的部门进行文件交流将成为不影响员工工作的重要问题，针对以上情况我们结合已部署过先安科技加密软件的企业的情况提供以下两种解决方案：
可以在服务器建立一个共享文件夹，通过加解密策略控制把文件拷贝到这个共享文件夹自动解密，实现已部署加密软件的部门如何与未部署加密软件的部门进行文件交流，此方案比较方便，也不会对员工的工作带来太多的不便影响，但也存在有风险，安全隐患在于有些已安装了加密客户端的员工把一些不该交流的文件拷贝到那目录解密后通过不安装加密客户的电脑把文件取走。基于这样的问题，可以通过域权限控制没有权限的用户不能删除些共享文件夹的文件，以做事后的追溯。另外我们现在也正在完善这个问题，正在开发所有明文出口的日志记录的功能，后续可以提供使用。
可以在每个已部署了加密软件的部门开放一个专门的出口，由专人负责未部署加密软件部门所要查阅的文件，所有离开已部署了加密软件的部门的加密文件都必须经过专人的审批解密才能出去，如不经过审批的文件别的部门拿到也正常查阅，并且所有审批解密的文件都会的详细的日志记录。此方案的安全性比较高，但会给员工的工作带来一些不便，增加了个别员工的工作量。
其他权限控制：
打印权限、截屏权限、内容复制权限。
手工解密权限、解密审批权限、允许外发文件权限等。
是否需要U-Key做身份认证。
是否允许离线工作等。
移动介质管理
应用场景：
为了携带资料方便，企业普遍使用U盘来进行文件的拷贝，但这会带来巨大的安全隐患。
解决方案：
移动介质管理，也就是常说的U盘和移动硬盘管理。可以实现以下几种管理方式（以U盘为例）：
禁止U盘的使用（不能从U盘读，也不能写入U盘）；
U盘只读（只能从U盘读，不能写入U盘）；
对所有保存到U盘的文件进行强制加密。
与外部企业的文件交换
应用场景：
企业的工程部门需要经常和外部的合作企业交换文件，如果文件被加密了，该如何交换文件，同时又能保证外发出去的文件的安全性？
解决方案：
外发的文件可以采用 “文件外发解密审批流程”的功能模块，所有外发的文件都必须经过部门领导的审批解密才能外发，不经过审批的文件发到外面打开是乱码。所有经过审批的文件都会有详细的日志记录，并备份到服务器。此方案的安全性比较高，但会增加审批员的工作量。
外发的文件也可以采用OUTLOOK邮件发送的抄送功能模块，由管理员设置指定一个内部邮箱，所有员工外发带附件的邮件都必须抄送到指定的邮箱，并且发送的时候文件自动解密。此方案比较方便，文件外发不需要经过审批，不会带来额外的工作量，安全性稍低，只能做为事后追溯。
另外提供一套“外发文件打包”的功能模块来实现对外发送的文件的权限控制。
对外发的文件的操作权限进行控制，如：文件只读、复制、修改、打印、密码保护、有效期限、可阅读次数、时长等；
可支持所有文件类型的外发权限控制，外发文件在加密状态下编辑后可返回原厂直接阅读查看；
限定是否允许文件接收者再次将加密文件扩散给其他用户阅读使用。
离线加密工作管理
应用场景：
公司的员工需要经常携带笔记本出差，如果保证他们既能正常工作又能保证笔记本中文件不会泄露？
解决方案：
当企业的员工需要携带计算机出差工作时，可在离线时提出出差申请，由管理员进行离线加密设置，保证该员工可以离线打开加密文件进行正常工作；
可设定允许离线的时间，以及离线工作的权限；
当设定的允许离线的时间超过后，可以再由管理员发送离线授权文件给该员工，延长正常离线工作时间。
截屏控制
应用场景：
虽然文件被加密了，但是有多种截屏方式和截屏软件可以对打开的文件进行截屏。
解决方案：
采用了先进的防截屏技术，不但可以对市面上已知的截屏软件（如QQ截屏等）进行限制使用，而且可以通过策略，禁止任意截屏软件的运行使用。
领导特权策略
应用场景：
作为企业的老板或者受信任的领导，应该拥有不同于普通员工的特殊权限。
解决方案：
专为领导设计了更开放、更特殊的权限策略：
普通员工的工作文件会被强制加密，而领导可以阅读加密文件，但是允许保存为不加密的文件；
领导可以通过使用专门的加密锁完成文件的解密操作；
允许领导对外发送文件时（如通过邮件、QQ等），文件会自动进行解密。
允许领导解密文件时不需要进行审批。
管理员权限控制
