深圳巨石安全科技有限公司

一．現(xiàn)狀分析1．人員情況：共約1000點(diǎn)，其中經(jīng)理、主管及業(yè)務(wù)骨干約260人；2．網(wǎng)絡(luò)環(huán)境：所有員工共處MDCN網(wǎng)絡(luò)，網(wǎng)絡(luò)互通，但分屬多個(gè)網(wǎng)域；3．對(duì)內(nèi)通訊方式：OA郵件系統(tǒng)、QQ發(fā)送、內(nèi)部文檔管理系統(tǒng)、網(wǎng)絡(luò)共享；4．對(duì)外通訊方式：QQ發(fā)送、郵件系統(tǒng)、U盤（或移動(dòng)硬盤）拷貝；5．常用文件類型：Office文檔（*.DOC\*.XLS\*.PPT）、Mind-Manager文檔（*.MMAP）、AutoCAD文檔（*.DWG）Project文檔（*.MPP）。二．文件安全需求分析1．文檔密級(jí)需求（1）普通文件（不加密文件）：可以通過公司內(nèi)部的文檔管理系統(tǒng)和OA系統(tǒng)任意下載和傳播，不涉及到公司的機(jī)密；（2）一般加密文件：只有部分用戶的人才能看到的文件，可以進(jìn)行復(fù)制、打印等操作；（3）秘密文件：只有部分用戶才可以查看的文件，不可以進(jìn)行復(fù)制、打印等操作；（4）機(jī)密文件：僅限公司內(nèi)部少數(shù)進(jìn)行察看和共享的文件。打印、復(fù)制、修改能權(quán)限必須通過授權(quán)來(lái)嚴(yán)格控制。2．郵件外發(fā)的安全需求（1）普通文件外發(fā)不受限制，可以和外部用戶自由的溝通；（2）加密文件外發(fā)時(shí)，對(duì)方無(wú)法打開，必須安裝公司授權(quán)的加密客戶端才能正常閱讀；（3）部分加密的文件通過郵件發(fā)送時(shí)，可以控制接收者復(fù)制和打印操作。（4）部分或授權(quán)用戶可以通過發(fā)送郵件的方式，將文件自動(dòng)解密發(fā)送給郵件接收者。3．離線工作需求（1）未經(jīng)授權(quán)的計(jì)算機(jī)在離開公司后，加密文件無(wú)法打開；（2）部分公司或員工在外出時(shí)，攜帶的計(jì)算機(jī)中的加密文件允許被正常打開閱讀；（3）計(jì)算機(jī)丟失后，硬盤上的加密資料無(wú)法被打開使用。4．打印控制需求（1）普通文件（未加密文件）可以正常打??；（2）可以限定用戶是否允許打印加密文件；（3）可以對(duì)指定加密文件設(shè)置打印權(quán)限。三．解決方案1．文件安全管理目標(biāo)（1）文件安全可保證：文件采用專用算法進(jìn)行加密，而且每個(gè)加密文件都有不同的密鑰，無(wú)法對(duì)單個(gè)文件進(jìn)行破解，更無(wú)法進(jìn)行批量破解。（2）業(yè)務(wù)流程可保留：2文件的加解密都在后臺(tái)透明的執(zhí)行，不改變公司原有的工作習(xí)慣。2通過明文出口的設(shè)定，保證公司內(nèi)部以及對(duì)外合法溝通暢通無(wú)阻。2離線客戶可以在權(quán)限范圍內(nèi)獲得相應(yīng)的文件操作權(quán)限。（3）加密級(jí)別可區(qū)分：通過文檔密級(jí)的設(shè)定，保證不同安全級(jí)別的用戶可以操作不同安全級(jí)別的文件。（4）使用權(quán)限可控制：對(duì)高密級(jí)的文件，可以控制到文件的閱讀、復(fù)制和打印等操作。（5）出現(xiàn)問題可追溯：一旦出現(xiàn)機(jī)密文件的泄漏，可以根據(jù)安全日志來(lái)追溯責(zé)任。2．解決方案在本方案中采用巨石企業(yè)文件加密防盜軟件為技術(shù)支撐平臺(tái)，通過文件透明加解密模塊實(shí)現(xiàn)文件的加解密，通過文檔安全權(quán)限模塊來(lái)實(shí)現(xiàn)復(fù)雜權(quán)限的設(shè)置，從而滿足**移動(dòng)公司的安全管理需求。（1）加密軟件部署a.加密服務(wù)器：指定一臺(tái)計(jì)算機(jī)為加密服務(wù)器，安裝加密服務(wù)器軟件，用于保存安全管理，包括安全組管理、策略管理、密鑰管理等等。b.FTP服務(wù)器：指定**移動(dòng)公司文件管理服務(wù)器為FTP服務(wù)器，安裝加密客戶端，指定需要加密的目錄為加密路徑，從各個(gè)客戶機(jī)上傳到該服務(wù)器上該指定目錄下的文件自動(dòng)進(jìn)行加密。c.普通客戶機(jī)：不安裝加密客戶端軟件，只能閱讀和操作未加密的文件，無(wú)法打開加密文件。d.加密客戶機(jī)：在經(jīng)理、主管和業(yè)務(wù)骨干的計(jì)算機(jī)上安裝加密客戶端軟件，成為加密客戶機(jī)，只有這些計(jì)算機(jī)可以閱讀和操作加密文件。e.安裝加密權(quán)限模塊的計(jì)算機(jī)：重要的可以加裝權(quán)限模塊，能夠更進(jìn)一步的控制文件的復(fù)制和打印操作，或者進(jìn)行點(diǎn)對(duì)點(diǎn)的授權(quán)。f.允許脫機(jī)使用的計(jì)算機(jī)：滿足出差員工或者部分脫機(jī)工作的需要。（2）文檔密級(jí)管理：a.普通文件：不進(jìn)行加密，所有員工都可以閱讀并外發(fā)。b.一般加密文件：上傳到文件服務(wù)器指定目錄下的文件，自動(dòng)進(jìn)行加密。這些文件在下載到本地后，只要是安裝加密客戶端的計(jì)算機(jī)都可以打開查看。c.秘密文件：在加密服務(wù)器中建立“秘密用戶組”，使用安全權(quán)限模塊，將秘密文件打包為文件包，綁定對(duì)“秘密用戶組”的授權(quán)，并上傳至FTP服務(wù)器的指定目錄?！懊孛苡脩艚M”的成員可以對(duì)這些文件包進(jìn)行相應(yīng)的操作。d.機(jī)密文件：在加密服務(wù)器中建立“機(jī)密用戶組”，使用安全權(quán)限模塊，將秘密文件打包為文件包，綁定對(duì)“機(jī)密用戶組”的授權(quán)，并上傳至FTP服務(wù)器的指定目錄。“機(jī)密用戶組”的成員可以對(duì)這些文件包進(jìn)行相應(yīng)的操作。同時(shí)，機(jī)密用戶組中的成員可以點(diǎn)對(duì)點(diǎn)的進(jìn)行文件授權(quán)查看，并進(jìn)一步限制打印和復(fù)制操作。（3）郵件、QQ外發(fā)的安全管理：a.普通文件外發(fā)不受限制，可以和外部用戶自由的溝通；加密文件外發(fā)時(shí)，如果沒有經(jīng)過授權(quán)，郵件接收者收到的文件將是亂碼，無(wú)法打開。b.普通加密文件正常外發(fā)時(shí)，接收者可以采用以下方式查看：l 通過正常渠道進(jìn)行申請(qǐng)，使用專門的加密文件手工解密工具進(jìn)行解密，解密日志將保存在服務(wù)器的解密日志中；l 接收者安裝與**公司相同的加密客戶端，并得到**公司的授權(quán)后，就可以正常打開加密文件。l 通過授權(quán)的計(jì)算機(jī)發(fā)送郵件時(shí)，自動(dòng)將文件進(jìn)行解密，接收者收到解密后的明文文件。c.秘密和機(jī)密文件一般不會(huì)發(fā)送到外界，如果確實(shí)有這種需求，而又希望控制文件的復(fù)制和打印，則接收者需要安裝安全權(quán)限模塊并得到授權(quán)。（4）離線工作管理：加密文件的離線工作主要由加密軟件的脫機(jī)管理功能來(lái)設(shè)定。a.普通用戶設(shè)定為不允許脫機(jī)，為了防止網(wǎng)絡(luò)不穩(wěn)定帶來(lái)的短期斷線的可能性，可以設(shè)定在1小時(shí)為允許的脫機(jī)時(shí)間，只要在一個(gè)小時(shí)內(nèi)能夠恢復(fù)網(wǎng)絡(luò)連通，即可保證加密文件始終可以正常打開閱讀。b.對(duì)于臨時(shí)出差需要帶計(jì)算機(jī)外出，同時(shí)需要在出差期間正常查看加密文件，可以在出差之前進(jìn)行申請(qǐng)，經(jīng)過批準(zhǔn)后，由管理員設(shè)定允許脫機(jī)時(shí)間，如1個(gè)月。1個(gè)月后，出差攜帶的計(jì)算機(jī)上的加密文件將無(wú)法再打開。c.未經(jīng)脫機(jī)授權(quán)的計(jì)算機(jī)，在離開**移動(dòng)公司網(wǎng)絡(luò)環(huán)境后，計(jì)算機(jī)上的文件無(wú)法打開。d.對(duì)于部分公司，可以設(shè)定為允許脫機(jī)，即不限定脫機(jī)時(shí)間。e.一旦公司的計(jì)算機(jī)被盜，由于設(shè)定了脫機(jī)時(shí)間，計(jì)算機(jī)上的加密文件將無(wú)法再打開，從而保證了機(jī)密文件不會(huì)被泄漏。（5）打印控制管理a.普通文件的打印不做控制；b.通過加解密軟件的打印策略的制定，可以限定某臺(tái)計(jì)算機(jī)對(duì)指定的加密文件的類型（如*.doc文件）的打印權(quán)限，受限的計(jì)算機(jī)將無(wú)法打印相應(yīng)的加密文件；c.通過安全管理模塊，可以指定某人（或者一組人），是否對(duì)該打包的文件擁有打印權(quán)限。