前言
2010年4月29日修訂的《中華人民共和國保守國家保密法》, 要求保密與信息公開并重,政府部門急需加強(qiáng)數(shù)據(jù)防泄密保護(hù)措施,保護(hù)國家秘密的安全。
目前政府的網(wǎng)絡(luò)分為接入Internet網(wǎng)絡(luò)和政務(wù)專網(wǎng)兩個部分,它們之間物理隔離。其中接入Internet網(wǎng)絡(luò)部署多種應(yīng)用系統(tǒng),泄密途徑無處不在;政務(wù)專網(wǎng)由于屬于可信任網(wǎng),一直以來對安全防護(hù)的重視程度較低。政府部門普遍在信息安全這塊薄弱,泄密隱患嚴(yán)重。
政府電腦上存儲著大量的政府重要機(jī)密信息,但是所有文件均是明文分散存儲在辦公人員電腦上,任何人可以隨意拷貝和外發(fā),安全性得不到保障;一些機(jī)密級別較高的公文,內(nèi)部人員都有權(quán)限查看,越權(quán)訪問時有發(fā)生;另外,政府單位與外界其他單位進(jìn)行信息交互時,通常以U盤作為媒介傳遞數(shù)據(jù),移動存儲介質(zhì)的使用缺乏規(guī)范化管理,如果僅僅依靠單位的制度,而缺乏有效的技術(shù)手段,往往造成泄密事件頻發(fā)。
敏感數(shù)據(jù)類型
1.常見的辦公研發(fā)環(huán)境中,如:元器件圖紙設(shè)計、軟件代碼研發(fā)(包括編寫、編譯、分布式編譯等)、數(shù)據(jù)運(yùn)算、硬件燒錄等。
2.常見的信息系統(tǒng)中,如:代碼編寫與編譯、版本控制、圖紙設(shè)計和文檔編寫等系統(tǒng)/軟件等。
敏感數(shù)據(jù)分布
研發(fā)類計算機(jī)、硬盤、移動存儲設(shè)備和文件服務(wù)器等。
需求分析
1.電子文檔(源代碼、設(shè)計圖紙、設(shè)計方案等)均要做數(shù)據(jù)保護(hù)措施,防止內(nèi)部人員有意或無意造成數(shù)據(jù)泄露;
2.對數(shù)據(jù)進(jìn)行規(guī)范化管理,數(shù)據(jù)外發(fā)時進(jìn)行安全控制;
3.有效管理移動存儲設(shè)備,避免泄密事件的發(fā)生;
4.對員工出差攜帶的筆記本做相應(yīng)管控,保證數(shù)據(jù)的安全存儲;
5.只有受控的計算機(jī)并同時擁有權(quán)限的用戶才能訪問指定應(yīng)用服務(wù)器;
6.不能影響硬件燒錄工具的使用,向硬件中燒錄程序可以正常使用。
解決方案
1. 數(shù)據(jù)透明加解密
通過驅(qū)動層動態(tài)加解密技術(shù),對企業(yè)內(nèi)部核心電子文檔(源代碼、設(shè)計圖紙、設(shè)計方案等)進(jìn)行強(qiáng)制加密處理,從文件創(chuàng)建開始即可自動加密保護(hù)。核心數(shù)據(jù)在加密前后對于數(shù)據(jù)合法使用者無任何差異,不增加用戶負(fù)擔(dān)、不改變?nèi)魏喂ぷ髁鞒碳笆褂昧?xí)慣。文件的保存加密、打開解密完全由后臺加解密驅(qū)動內(nèi)核自動完成,對用戶而言完全透明、無感知。
2. 針對Linux電腦環(huán)境下文件透明加密
Linux操作系統(tǒng)是當(dāng)前最流行的開發(fā)平臺,所以對IT電子行業(yè)企業(yè)來說Linux平臺上的源代碼安全同樣至關(guān)重要。天銳綠盾采用基于Linux內(nèi)核的文檔透明加解密技術(shù),能夠在不改變用戶使用習(xí)慣、計算機(jī)文件格式大小和編譯程序的前提下,對指定類型的文件進(jìn)行實時、強(qiáng)制、透明加密,同windows加密體驗無差別,且能夠與windows加密客戶端完美兼容。方便用戶在windows和Linux平臺上對源代碼加密文件進(jìn)行查看、編譯等交互操作。
3. 防止外發(fā)文件在外二次擴(kuò)散泄密
當(dāng)需要給客戶或者合作伙伴外發(fā)文件時,首先向上級領(lǐng)導(dǎo)進(jìn)行外發(fā)申請。
被授權(quán)的客戶或合作伙伴獲得該受控外發(fā)文件后,打開時需先進(jìn)行合法的身份認(rèn)證。身份認(rèn)證的方式包括:口令認(rèn)證、機(jī)器碼認(rèn)證、聯(lián)網(wǎng)認(rèn)證;
訪問權(quán)限包括:閱讀次數(shù)、可打印、可截屏、可編輯、閱讀期限、過期自毀、回收等;
4. 防止應(yīng)用服務(wù)器上的數(shù)據(jù)泄密
安全隱患:
無關(guān)人員和電腦,隨意接入內(nèi)部網(wǎng)絡(luò),訪問服務(wù)器數(shù)據(jù)導(dǎo)致泄密,應(yīng)該如何管控?
如果要求終端數(shù)據(jù)上傳到公司某些應(yīng)用服務(wù)器(比如:ERP、OA)的數(shù)據(jù)是明文,該如何管控?
應(yīng)用服務(wù)器上明文數(shù)據(jù)下載該如何管控?
解決方案:
終端準(zhǔn)入:只允許安裝有數(shù)據(jù)防泄密系統(tǒng)客戶端的終端用戶正常接入應(yīng)用服務(wù)器,非法用戶禁止接入;
上傳下載:文件上傳自動解密、下載自動加密;
數(shù)據(jù)加密安全通道:客戶端用戶在與公司內(nèi)部服務(wù)器進(jìn)行數(shù)據(jù)交換時,采用數(shù)據(jù)加密安全通道,保障數(shù)據(jù)在傳輸過程中不被竊取。
非法外聯(lián):安裝有數(shù)據(jù)防泄密系統(tǒng)客戶端的終端用戶將禁止連接仿冒應(yīng)用服務(wù)器,防止非法用戶利用客戶端上傳自動解密機(jī)制進(jìn)行非法外聯(lián)泄密。
5. 防止員工外出辦公泄密
回家加班:針對筆記本辦公人員,由于筆記本攜帶方便,且人數(shù)較多,天銳綠盾提供用戶配置默認(rèn)時間,比如:7小時默認(rèn)時間,那么筆記本辦公人員只要在默認(rèn)7個小時內(nèi),無需申請,在家辦公和在公司內(nèi)部一樣的防泄密管理效果;
出差辦公:針對攜帶筆記本出差辦公人員,在出差之前通過天銳綠盾流程進(jìn)行申請,經(jīng)上級審批后,在授予的時間期限內(nèi),在外出差辦公。如果在授予的時間期限內(nèi),仍需要在外繼續(xù)辦公的,可以通過電話聯(lián)系上級,再重新制作一個授權(quán)文件,發(fā)給在外人員導(dǎo)入電腦后,又可以繼續(xù)在外辦公。
永久離線:主要運(yùn)用于脫離總部,長期或永久在外面使用的電腦,一般是分公司或辦事處。使用離線終端,可保證總部與分部之間的資料都是加密的,可以互相訪問,又可以控制分部的資料。
6. 內(nèi)部U盤、光盤等移動存儲介質(zhì)安全管控
USB存儲設(shè)備限制
根據(jù)公司的實際情況,限制哪些電腦的USB接口能否使用。分別有允許使用、禁止使用、USB設(shè)備只讀(即單向傳輸拷貝控制,只能從U盤上拷出數(shù)據(jù),不能拷入數(shù)據(jù))和斷網(wǎng)使用(即插入USB存儲設(shè)備時終端斷網(wǎng))四種限制方式。
USB存儲設(shè)備認(rèn)證
對接入公司的U盤進(jìn)行注冊認(rèn)證管理,只有通過事先認(rèn)證過的U盤才可以在公司內(nèi)使用。
USB外發(fā)日志
對公司內(nèi)部員工的USB拷貝行為進(jìn)行詳細(xì)記錄,記錄信息包括操作時間、終端名稱、操作用戶、文件名稱、源路徑、目的路徑,并支持下載查看文件內(nèi)容。從而為企業(yè)內(nèi)的信息拷貝提供更嚴(yán)格的安全保障,防止內(nèi)部機(jī)密信息被非法拷貝。
方案優(yōu)勢
1.國內(nèi)獨(dú)有的“三重密鑰”體系:
主密鑰:由天銳分配給每個用戶全球唯一的密鑰,保證每個購買天銳綠盾的單位文件不會互通;
企業(yè)密鑰:由用戶自己設(shè)置的密鑰,保證加密廠家獲取加密文件也無法解密;
文件密鑰:每個文件加密時隨機(jī)生成一個文件密鑰,提高加密的安全性。
2.天銳綠盾采用Windows內(nèi)核的文件過濾驅(qū)動實現(xiàn)數(shù)據(jù)透明加解密,安全、穩(wěn)定、效率高。
3.提供成熟的企業(yè)核心業(yè)務(wù)系統(tǒng)集成及整合方案(支持WindowsMACLinux終端),滿足與各類業(yè)務(wù)系統(tǒng)的無縫安全集成,實現(xiàn)對核心業(yè)務(wù)系統(tǒng)數(shù)據(jù)的安全防護(hù)及加固。
4.指定某些類型的文件進(jìn)行新建、編輯時,自動備份到天銳綠盾服務(wù)器,避免辦公人員誤刪或故意刪除,導(dǎo)致數(shù)據(jù)丟失。
5.支持IPAD在線閱讀加密文件,比如:mail、OA、CRM、ERP等加密附件在線閱讀,方便辦公。
6.天銳綠盾全面覆蓋Mac、Windows以及Linux系統(tǒng),在多個系統(tǒng)之間實現(xiàn)文檔的統(tǒng)一加密,無縫管控!
7.支持“多采集服務(wù)器”部署方式,即實現(xiàn)集中式和分布式一體化管理。
8.所有操作記錄可查可審,方便管理員查詢及審計。