企业电子文件资产安全内控管理解决方案.docx

企业电子文件资产安全内控管理解决方案目录1信息安全建设和信息资产管理的现状与挑战41.1 信息安全建设的现状与挑战41.2 信息资产管理的现状与挑战52、产总内控解决方案62.1 方翩述62.2 方案特点62.3 文流频程中的安全62.3.1 驱动级透明加解密技术62.3.2 多维权限控制72.3.3 精细化权限控制72.3.4 灵活的防扩散设置策略82.3.5 默认离线92.3.6 离线申请92.3.7 外发申请102.3.8 解密申请102.3.9 工作流标准112.4 文彳钻客户端的安全112.4.1 客户端部署112.4.3 客户骸源占用122.4.4 客户端的安全接入122.4.5 客户端的安全登录132.4.6 客户端防瞬132.4.7 客户搬出蔽132.4.8 客户端文件自动同步132.4.9 客户端扫描加密142.5 文件在服务器端的安全142.5.1 定制的操作系统142.5.2 CAS存储雌142.5.3 硬件安全15254系统雌162.5.5 日志审计162.5.6 整合第三方认证系统172.5.7 网络交互172.3 方mffi扑182.3.1 单点单设备：182.3.2 多点单设备182.3.3 多点多设备192.4 方案收益192.5 产品规格错误!未定义书签。3应用案例213.1 客户的挑船目标213.1.1 科技部门科技类文档213.1.2 提供给业务部分析的交易数据213.1.3 外包的信用卡中心213.2 解决方案22321科技类文档的安全使用223.2.1 交易数据的安全使用223.2.2 外包信用卡中信息的安全使用22324安全网络交互23325法腌从、日志审计23326系统整合233.2.7 部署示意图251信息安全建设和信息资产管理的现状与挑战1.1 信息安全建设的现状与挑战随着科技的发展，人类的进步，信息对个人的发展、对组织间的竞争都会产生巨大的影响，有时甚至是决定性的因素；以前人们常说资产信息化，现在都在说"信息资产化”，因此、各行业企业都越来越重视信息的收集和管理。信息安全是个耳熟能详的概念，基本上每个计算机系统都有信息安全系统，很多组织都已采用防火墙、杀毒软件、身份认证系统等进行信息安全系统建设。信息安全的内容很多，我们可以抽象的将信息安全的内容理解为"外防"和"内控”，前面说的防火强、杀毒软件、身份认证系统等，很大程度上都是防止外部人员对组织信息的窃取和破坏。然而，正如我国信息安全专家沈昌祥院士所说，我国目前信息安全建设的最大问题是花重金购买老三样防外而忽略了防内；据FBI调查有83%的安全事故为"内部人员或内外勾结”所为。因此，今后一段时间内信息安全系统的建设应该转向“内控为主、内外兼防”的模式。企业电子文件资产安全内控管理平台正是针对信息安全系统建设的内控部分需求而研制的，在不影响员工使用习惯的情况下，在组织内有权限的人员可正常使用相关的文件信息，多维度、精细化的权限控制尽可能小的缩小机密文件的知情范围，即使文件被非法外泄，非法被带出的机密文件不能使用，也不能获取机密文件的内容信息，从而保护组织的信息资产在受控的状态下高效的使用。1.2 信息资产管理的现状与挑战我们可将组织的信息资产按其出去分为两类：一类是由业务系统管理的数据（如ERPxOA.CRM等），这类信息处于规范管理和安全状态。另一类是游离在上述业务系统之外的，以电子文件形式存在的数据，像从业务系统导出用于分析的客户资料、客户消费记录、商业合同、技术方案、代码文档、各系统维护规范、紧急预案、运行报告、财务分析、销售分析、投融资报告、重要活动的影音文件等，这类文件包含大量的机密信息和重要的工作成果，也是企业的核心信息资产。这类文件包含大量的机密信息和重要的工作成果，这类文件的外泄或损毁会给企业带来巨大的损失；分散在各终端电脑上会因电脑故障、病毒等原因造成重要文件的丢失或损坏，也会因员工的离职造成重要文件外泄或丢失；采用文件服务器集中管理并配上加密软件进行防扩散，这种方案也存在如下诸多不足：首先存在管理员安全漏洞，系统管理员可轻易查看、拷贝甚至删除破坏整个组织的文件信息；其次员工间文件共享和协同工作存在诸多不便或不足，文件量对系统速度效率影响大，很难快速定位到自己需要的文件影响工作效率；第三文件重复存储现象严重，同一份文件经常被多人重复存储造成存储空间浪费增加存储成本；还有因问错原因造成文件自损坏，导致文件用时不可用。企业电子文件资产安全内控管理平台信息资产安全内控解决方案正是针对上叙问题或不足提出的整体解决方案。2、产安全内控解决方案2.1 方案概述企业电子文件资产安全内控管理平台采用软硬一体的架构，能将分散在各部门各员工个人终端电脑上的文件信息进行集中管理、安全的存储做到用时可用；在不改变用户使用习惯的情况下，在组织内有相关权限的人员可正常使用相关文件信息，一旦脱离组织环境，机密文件被非法外泄后将不能使用，在组织内通过多维的、精细化的权限控制尽可能小的缩小机密文件信息的知情范围；在对组织文件信息进行安全内控的同时保证系统和文件信息的易用性，通过全生命周期的版本管理进一步规范组织的文件信息管理规范满足相关法规遵从，通过便捷共享、协同工作、全文检索等有效提高员工的工作效率；系统在空闲时通过比对指纹码可查找和修复因位错损坏的文件。2.2 方案特点企业电子文件资产安全内控管理平台信息资产安全内控方案对文件进行全生命周期的安全管理，保证机密文件在流转过程中的安全、在客户端的安全及在服务器端的安全。2.3 文件在流转过程中的安全2.3.1 驱动级透明加解密技术透明加解密技术是近年来针对组织文件保密需求应运而生的一种文件加解密技术。所谓透明，在组织内有相关权限的人员可正常使用文件，文件的加解密动作都由驱动在后台自动完成，使用者感觉不到加解密过程，但是文件一旦被非法外泄到组织外将不能使用，其直接表现如下图:2.3.2 多维权限控制文件使用者要想获取并能使用文件必须要满足多维权限的限制，首先必须要得到文件所有者的授权许可，文件所有者拥有文件的所有权限，一般是文件的编辑者或编辑者授予其为文件所有者的人；其次必须是在该机密文件限制的流转范围内使用（机密文件的流转范围可以是组织内、部门内、项目组内甚至是某台终端电脑）；第三必须具有和文件相同的或是更高的密级权限。通过多维权限控制，在组织内有相关权限的人员可正常使用机密文件又缩小了机密文件的知情范围。2.3.3 精细化权限控制以文件所有者为导向的共享机制，文件所有者在进行文件共享时可进行精细化权限控制，可控制查看、下载、修改、覆盖、打印、截屏、再授权、删除以及权限截止时间，同时，可以防止对象插入和对方拖拽。支持涉密和非涉密的Office文件同时打开，方便用户使用。但文件不可以从涉密文件拷贝至非涉密进程，保证了涉密文件的安全。通过精细化的权限控制使能使用机密文件的文件也不能通过非法手段轻易的对机密文件进行非法传播。2.3.42.3.5 灵活的防扩散设置策略可按部门或机器组设置某一类文件为机密文件；可设置机密文件的流转范围，机密2.3.6 文件的流转范围可以是组织内、部门内、机器组内、甚至是某台终端电脑；可按部门按文件类别设置机密文件的主被动加密，即可选择文件自动加密或是人为判断后再进行加2.3.7 默认离线允许设置离线后默认使用涉密文件的时间。用户使用时长还有最后半个小时会提示离线剩余时间；少于半个小时时，每10分钟提示一次离线剩余时间；剩余10分钟后，每1分钟提醒一次。同时，用户无法通过修改本地时钟来延长文档使用时长。这个策略可以保证突发故障仍能正常工作如断电后笔记本可以正常工作；网络不通时客户机仍然可以工作；突然断电后再接通电源后,也不会对整个工作环境造成影响。2.3.8 离线申请若有特殊超过默认离线时间的情况出现时，如出差时，可以通过离线申请，通过流程审批后可以控制机密文件使用的时间，保证离线后文件的安全。灵活自定义审批流程：可依据企业业务需求，灵活定义流程系统，实现单级审批或者多级审批，同级别审批者可以在特殊情况下相互委托审批。全自动的审批过程：只需定义审批流程，后续的申请、审批、制作等过程都将由系统在后台自动完成，避免了更多人涉及到明文。不仅简化了文件离线申请过程，而且增机密文件在相关责任人审批同意后可进行外发，外发的机密文件可进行有效的控制，可控制打开时间段、打开次数、在那台终端设备上打开，是否允许打印，在那台设备上打印。2.3.8解密申请在经过相关责任人审批同意后机密文件可解密成普通文件。文件解密后必须由用户自行到服务器上下载，保证其安全性;灵活自定义审批流程：可依据企业业务需求，灵活定义流程系统，实现单级审批或者多级审批，同级别审批者可以在特殊情况下相互委托审批；全自动的审批过程，只需定义审批流程，后续的申请、审批、制作等过程都将由系统在后台自动完成，避免了更多人涉及到明文。不仅简化了文件解密过程，而且增系统中的审批流程支持国际工作流管理联盟(Workf1owManagementCoa1ition,WFMC)所定义的工作流标准，可以无链整合兼容所有此标准下的业务系统(ERPxOAxCRM等、2.4 文件在客户端的安全2.4.1 客户端部署真正实现"一键安装"，为计算机用户免去传统安装过程中的复杂操作支持客户端安装后永驻系统，无权限人员无法卸载，需要专用的卸载工具才能卸载客户端。在系统更新配置策略后，支持强制升级客户端，保证安全策略的强制执行。2.4.22.4.3 客户端的兼容性采用微软最新MiniFiIter驱动框架，Minifi1ter是Microsoft极力推荐的一种新型过滤器模型，和操作系统、杀毒软件、应用程序等具有广泛的兼容性。此框架能更好的兼容微软的后续操作系统版本。客户端兼容绝大多数桌面终端操作系统（WinXP、Win2003、Win7.）;客户端和主流杀毒软件具有广泛的兼容性（360、卡巴斯基、瑞星、金山、江民、诺顿、MCAfee）；客户端和常用应用程序具有广泛的兼容性（OffiCe系列、PDF系列、AUtoCAD系列），通过配置可以对行业的特殊应用软件实现兼容。2.4.4 客户端资源占用客户端对终端电脑的系统资源占用很少，客户端启用前和启用后几乎感觉不到资源占用变化，批量文件处理时有微小变化。CPUJI用情况254M>2O*M.15%1O*12*CPU.KiX8%O<M>客户m动航右户明。劝旧文内使州情况20001&OOIooOeMQ（MMZ-1。98M内他叫MM6000I客户地。动前"户地。动Q文Xnt4te中2.4.5 客户端的安全接入通过将机器的CPU、内存、硬盘序列号以及MAC地址这些信息做认证码来确认机器，通过服务端确认启用后该客户端才可以使用系统，由此，可以防止非法机器接入系统。可以通过配置策略将机器和用户绑定，使终端机器只能由指定的人员使用，防止非法人员使用系统；可以限制客户端的错误登录次数，从而防止暴力破解密码；错误登录次数超过限制后，该账户将被冻结，冻结的账户系统可以有两种处理方式供选择，可选择冻结一段时间后系统自动解冻或者由系统管理员手动解冻。2.4.6 客户端防破解客户端安装后将永驻系统，个人无法私自卸载，必须由专门的卸载工具才能卸载；修改涉密程序名称后，涉密