一．前言

         网络的普及让信息的获取、共享和传播更加方便，同时也增加了重要信息泄密的风险。黑客持续不断的攻击，员工不当使用造成防火墙失效而使数据被轻易盗取，存储了机要信息的存储介质被失窃和遗失，商业间谍和竞争对手的刺探，员工跳槽导致的企业核心技术或客户资料的流失，个别员工违规的泄露和拷贝等等。而内部网络上大多数的应用，对企业是至关重要的，甚至是严格保密的。一旦出现涉密、破坏的事件，将产生严重后果。这些都使得内网安全问题变得越来越重要和突出。
       调查显示：有超过85%的安全威胁来自组织内部，有16%来自内部未授权的存取，各种安全漏洞造成的损失中，30% - 40% 是由电子文件的泄露造成的，而防火墙、防病毒、入侵检测、物理隔离这些常见的内网安全措施也无法有效阻止企业机密信息的泄露。为防范风险，必须在内网建立可靠的网络管理、安全审计和监控，以保证内网安全。 企业的信息安全管理势在必行。除了部署实施网络监控软件外，应继续部署透明加密反复制系统；技术层面和管理层面的良好配合，是组织实现网络与信息安全系统的有效途径。其中，信息安全技术通过采用建设安全的计算机网络系统，并配备适当的安全产品的方法来实现。保证网络自身安全和业务安全，首先要有一个可靠的网络，其次就是要有强有力的网络管理和网络安全管理策略和手段。随着网络应用日趋复杂，单凭网络管理员的学识和经验进行网络管理和安全管理，已经不能适应了。因此，我们必须借助一些网络管理及内网安全的专业软件，才能确保内网信息的保密性、完整性、可用性、 可控性。

二．文件安全需求及解决方案

2.1 设计院文件安全需求

目前设计院内部已经部署了针对外来威胁的防火墙、杀毒软件等。

但是随着公司信息化的发展，员工越来越多地借助以计算机、互联网等信息手段，将公司的经营及管理流程在线实现，所有业务数据经由系统处理，这样，信息数据就成为主要存储方式及企业内、外部之间进行信息交换的重要载体。仅仅依靠对邮件、移动存储等出口的封堵是远远不够的。

目前企业级应用系统的广泛应用，大量的核心数据都存放于服务器中，如ERP/OA等系统。这样对应用服务器的信息防护就成了企业信息安全的重中之重。但对应用服务器的防护涉及到两个方面，一是对其的准入访问控制，另一个则是如何保护离开应用服务器环境的文档安全。如何才能在不影响公司业务系统正常运行的情况下，又能防止公司由于员工辞职、外来人员盗取资料、内部员工外发和移动存储设备的丢失造成应用服务器上核心资料的流失和外泄，从而提高整个系统的安全性，有效防止由于内部员工造成的资料外泄，实现信息防泄漏的目的。

设计院文件安全的主要需求如下：

1. 全面保护重要部门（人事、财务、工程、研发、设计等部门）文件的存储安全。
2. 对工程部外发文件进行控制。
3. 如何实现已部署加密软件的部门与未部署加密软件的部门之间内部文件的交互。
4. 移动办公用户的文件安全保护。
5. 可靠的灾备机制

2.2 安企神科技DLP体系方案图

2.3 解决方案的阐述

根据设计院的重要部门文件安全管理体系的需求，结合安企神科技文档安全系统来保护企业机密文档无法泄漏，规范员工的文件安全操作行为和流程，提高员工的安全意识，同时最大程度降低加密软件对员工工作效率的影响，最终达到安全管理和人性化管理的高度结合的实施目标。

以下我们以应用场景和解决方案的方式进行详细的描述，具体内容如下：

• 自动加解密管理

应用场景：

企业的重要部门（人事、财务、工程、研发、设计等部门）存在大量的机密文件和财务数据，其中包括Office文档、PDF文档、图纸、源代码文件等，需要进行加密保护，但是又不想引起员工的反感。

解决方案：

1. 强制自动加解密：
2. 所有文件在保存时自动进行强制加密；
3. 加密和解密过程对于使用者来说是透明的、不可见、不可干预的，在后台悄悄进行，员工感受不到加密软件的存在；
4. 加密过的文件一旦外发或拷贝到未授权的电脑上打开时，会以乱码形式显示。
5. 部门内部文件交换：
6. 已部署加密软件的部门如果采用独立组进行分组，则可以实现不同部门的员工之间不能相互查看加密文件，只有经过追加授权的文档才能在部门之间交流。
7. 已部署加密软件的部门如果采用继承组进行分组，所有部署了加密客户端的员工都可以正常查看各个部门加密的文件。
8. 以上两种分组方式可以根据企业的具体情况而定，独立组的方式可以实现部门之间文件不能随便传阅，比较严谨，比较适用于部门之间文件交流很少的工作模式，但是如果部门之间交互比较频繁，则会带来操作上的繁琐。因此，如果部门之间文件交流频繁，我们建议采用继承组的分组方式。
9. 因企业内部初期并不全部部门部署加密软件，那么已部署加密软件的部门如何与未部署加密软件的部门进行文件交流将成为不影响员工工作的重要问题，针对以上情况我们结合已部署过安企神科技加密软件的企业的情况提供以下两种解决方案：
1. 可以在服务器建立一个共享文件夹，通过加解密策略控制把文件拷贝到这个共享文件夹自动解密，实现已部署加密软件的部门如何与未部署加密软件的部门进行文件交流，此方案比较方便，也不会对员工的工作带来太多的不便影响，但也存在有风险，安全隐患在于有些已安装了加密客户端的员工把一些不该交流的文件拷贝到那目录解密后通过不安装加密客户的电脑把文件取走。基于这样的问题，可以通过域权限控制没有权限的用户不能删除些共享文件夹的文件，以做事后的追溯。另外我们现在也正在完善这个问题，正在开发所有明文出口的日志记录的功能，后续可以提供使用。
2. 可以在每个已部署了加密软件的部门开放一个专门的出口，由专人负责未部署加密软件部门所要查阅的文件，所有离开已部署了加密软件的部门的加密文件都必须经过专人的审批解密才能出去，如不经过审批的文件别的部门拿到也正常查阅，并且所有审批解密的文件都会的详细的日志记录。此方案的安全性比较高，但会给员工的工作带来一些不便，增加了个别员工的工作量。
10. 其他权限控制：
11. 打印权限、截屏权限、内容复制权限。
12. 手工解密权限、解密审批权限、允许外发文件权限等。
13. 是否需要U-Key做身份认证。
14. 是否允许离线工作等。

• 移动介质管理

应用场景：

为了携带资料方便，企业普遍使用U盘来进行文件的拷贝，但这会带来巨大的安全隐患。

解决方案：

移动介质管理，也就是常说的U盘和移动硬盘管理。可以实现以下几种管理方式（以U盘为例）：

1. 禁止U盘的使用（不能从U盘读，也不能写入U盘）；
2. U盘只读（只能从U盘读，不能写入U盘）；
3. 对所有保存到U盘的文件进行强制加密。

• 与外部企业的文件交换

应用场景：

企业的工程部门需要经常和外部的合作企业交换文件，如果文件被加密了，该如何交换文件，同时又能保证外发出去的文件的安全性？

解决方案：

1. 外发的文件可以采用 “文件外发解密审批流程”的功能模块，所有外发的文件都必须经过部门领导的审批解密才能外发，不经过审批的文件发到外面打开是乱码。所有经过审批的文件都会有详细的日志记录，并备份到服务器。此方案的安全性比较高，但会增加审批员的工作量。
2. 外发的文件也可以采用OUTLOOK邮件发送的抄送功能模块，由管理员设置指定一个内部邮箱，所有员工外发带附件的邮件都必须抄送到指定的邮箱，并且发送的时候文件自动解密。此方案比较方便，文件外发不需要经过审批，不会带来额外的工作量，安全性稍低，只能做为事后追溯。
3. 另外提供一套“外发文件打包”的功能模块来实现对外发送的文件的权限控制。
4. 对外发的文件的操作权限进行控制，如：文件只读、复制、修改、打印、密码保护、有效期限、可阅读次数、时长等；
5. 可支持所有文件类型的外发权限控制，外发文件在加密状态下编辑后可返回原厂直接阅读查看；
6. 限定是否允许文件接收者再次将加密文件扩散给其他用户阅读使用。

• 离线加密工作管理
  应用场景：

    公司的员工需要经常携带笔记本出差，如果保证他们既能正常工作又能保证笔记本中文件不会泄露？

解决方案：

1. 当企业的员工需要携带计算机出差工作时，可在离线时提出出差申请，由管理员进行离线加密设置，保证该员工可以离线打开加密文件进行正常工作；
2. 可设定允许离线的时间，以及离线工作的权限；
3. 当设定的允许离线的时间超过后，可以再由管理员发送离线授权文件给该员工，延长正常离线工作时间。
   
   

• 截屏控制
  应用场景：

    虽然文件被加密了，但是有多种截屏方式和截屏软件可以对打开的文件进行截屏。

解决方案：

        采用了先进的防截屏技术，不但可以对市面上已知的截屏软件（如QQ截屏等）进行限制使用，而且可以通过策略，禁止任意截屏软件的运行使用。

• 领导特权策略

应用场景：

    作为企业的老板或者受信任的领导，应该拥有不同于普通员工的特殊权限。

解决方案：

        专为领导设计了更开放、更特殊的权限策略：

1. 普通员工的工作文件会被强制加密，而领导可以阅读加密文件，但是允许保存为不加密的文件；
2. 领导可以通过使用专门的加密锁完成文件的解密操作；
3. 允许领导对外发送文件时（如通过邮件、QQ等），文件会自动进行解密。

允许领导解密文件时不需要进行审批。

• 管理员权限控制
  
  应用场景：

    管理员往往拥有超级权限，如果不加控制，会是一个巨大的安全漏洞。

解决方案：

        在系统中，采用了三权分立的权限体系。管理员账号、日志管理员和终端使用者的账号是完全独立的，管理员账号不能用于加解密工作中，即无权操作任何加密文件，因此是安全的。另外，管理权限和日志权限也是分离的，管理员的所有操作都会进行日志记录，而管理员本人是无法删除日志的。

• 与ERP系统的集成

应用场景：

    企业已经安装部署了ERP系统，存放在这些系统中的资料是非常重要的，如何将ERP和加密软件紧密结合在一起。

解决方案：

可以很容易的和任何的ERP系统进行集成，可以提供以下集成方式： 所有上传到ERP中的文件自动解密，从ERP系统中导出到本地计算机的文件都会被强制加密 。

• 基于互联网的安全管理

应用场景：

        如果企业的分公司遍布全国，总部需要进行统一进行加密管控。

解决方案：

本产品是国内第一个实现支持互联网登录认证和远程加密控制的加密软件。系统自身的架构完全支持基于互联网的部署，同时客户端和服务器之间传输的数据量很小，因此即使远程管理，仍然可以做到实时管控的效果。

• 服务器的负载均衡

应用场景：

        当企业规模扩大，诸多终端会否造成网络的拥塞和服务器的崩溃？

解决方案：

        在终端数量巨大的情况下，确实是对服务器的一个巨大的考验。的服务器采用了负载均衡、分时段连接、分级服务器、多服务器并行处理等技术，经过在顺丰速运的实测，负荷能力可以轻松承担10万台终端同时在线的任务。

• 灾备及应急处理

应用场景：

        如果发生网络中断、服务器崩溃、损坏，甚至是发生不可预料的天灾，每台终端电脑上的加密文件还能打开吗？

解决方案：

        为应对各种可能出现的意外情况，提供了以下灾备方案：

1. 在提供1至2台主服务器的同时，还提供2台备用登录服务器，一旦主服务器出现问题，所有终端会自动连接上备用服务器；
2. 会定时自动备份数据库到其他指定计算机，即使所有的服务器均出现故障，仍然可以通过该数据库保证所有终端的正常加解密工作；
3. 提供专门的手工解密锁，由企业方自行制作超级解密锁，即使网络全部中断，也可通过该锁完成文件的手工解密工作。

• 扩展性的问题

应用场景：

        企业在飞速发展，无论是人员数量的增长，、信息化系统的新增购买，还是企业管理模式的变化，都给企业领导带来了一个隐忧：现在购买的加密软件，能满足日后企业发展的需要吗？

解决方案：

系统是一个非常开放的系统，现有的架构不但可以适应企业应用软件的任意增加，而且可以根据企业管理模式的变化而变化，提供丰富的自定义功能，可以人添加需要监控的软件种类，而且可以根据企业的安全等级需求，为加密文件进行分类、分级管理，一切应需而变。

三．应用效果

设计院实施安全方案后，可以达到以下应用效果：

1. 所有重要的知识库文件自动加密并进行集中管理；
2. 这些机密文件只能在安装了加密客户端软件的机器上才能正常阅读。离开这个环境，文件将无法打开；
3. 可以对知识库进行分类授权管理，只有获得授权的部门或用户才能查看相应的加密文档；
4. 保证已部署加密软件的部门和未部署加密软件的部门之间的正常交流，把企业内部的重要文档的外泄风险降低。
5. 通过各种工作模式的混合设置，满足公司复杂的权限要求；
6. 通过外发控制和解密审批流程功能，实现与外界的安全交流；
7. 严格控制U盘等移动存储介质的加密和使用；
8. 原有的QQ、MSN等即时通讯工具和邮件发送工具仍然可以正常使用，但是如果发送的文件是加密文件，企业外部将无法打开；
9. 文件的分密级管理，能够更好的保证机密、绝密文件的安全；
10. 离线管理机制，保证正常离线的计算机能够正常工作；

总的来说，通过文件加密软件的部署，从整体上提升了企业的安全管理水平，在不改变内部工作方式和工作流程的情况下，有效地保护了企业的知识产权和核心竞争力，为企业的快速发展保驾护航。