数据泄漏防护解决方案2--

《数据泄漏防护解决方案2--》由会员分享，可在线阅读，更多相关《数据泄漏防护解决方案2--（35页珍藏版）》请在装配图网上搜索。

1、精品文档，仅供学习与交流，如有侵权请联系网站删除深圳市XXXX设备有限公司数据泄漏防护项目解决方案北京亿赛通科技发展有限责任公司 2012-11-26第一章 现状及风险分析1.1 安全现状及风险随着深圳市XXXX有限公司 的高速发展和信息化工作的推进，越来越多的公司涉密文档以电子化的形式流转，一方面极大的提高了工作效率，另一方面也令泄密风险俱增，这些文档一旦失控，损失将会难以估计。而深圳市XX机械设备有限公司 现有的涉密数据管理仍然集中在存储环节，流通环节则缺乏有效监管，无论是在公司内部还是外部，分发出去之后的文档没有得到全程控制，形成相当严重的安全隐患,建立一个架构于全集团的数据泄漏防护体系

2、已经成为一个非常关键和迫切的任务。由于目前深圳市XX机械设备有限公司 的所有技术研发、设计、归档管理的资料均无形成适合整个集团的整体防护手段，在公司OA系统、知识管理平台等内存储流通的重要信息文档，因其电子文档的不可回收性，无法控制文件的回收以及失效，从而存在借阅后非法扩散的风险；造成深圳市XX机械设备有限公司 在核心数据资产的使用、传输、保管、销毁的过程中存在较多安全风险，同时也加大了信息安全管理工作的难度；通过对深圳市XX机械设备有限公司 现有信息资产进行安全评估，潜在风险统计如下：1.1.1 数据风险1. 核心数据以明文方式分散储存，难于管理；2. 核心数据传输环节有较多合法或非法的输出

3、途径且无法有效监管；3. 核心数据授权带离企业内部环境后面临外部扩散泄密风险；4. 人员离职时可以将数据资产带离公司环境，造成损失；5. 各类数据存储设备及介质由于使用、管理及处置不当引发的泄密风险等；6. 特殊研发场景需开放网络及USB等端口使用权限（如调试、仿真、烧录等），权限一旦开放将存在重大数据泄密隐患等。1.1.2 人员风险信息泄密事件的发生大多数和人密切相关，泄密的途径和方式也多种多样，可概括为如下三方面：1.1.2.1 主动泄密隐患主动泄密已经成为当前企业信息安全的首要问题，据报告数据显示，目前泄密事件78.9的损失都是由内部人员主动泄密导致。目前企业面临的主动泄密隐患包括：1.

4、 将企业内部文档私自拷贝外带及复用泄密(USB/网络/即时通讯/刻录)；2. 越权访问非授权数据泄密；3. 盗用他人账号及设备非法访问数据泄密；4. 伙同他人实现敏感数据跨安全域转移泄密；5. 通过打印机、传真机等将敏感数据进行介质转换泄密；6. 私自携带笔记本设备接入内部网络非法下载数据泄密；7. 对敏感数据的恶意传播及扩散泄密；8. 对核心应用系统的非安全接入及访问泄密；9. 不遵守管理制度的其他导致数据泄密的行为等。1.1.2.2 被动泄密隐患被动泄密是指导致信息泄密的人员在无意识或不知情的情况下所发生的泄密隐患，被动泄密已成为当前日益激烈的恶性商业竞争下的主要泄密隐患。目前存在的被动泄

5、密隐患包括：1. 移动笔记本、USB存储设备遗失或失窃导致数据泄密；2. 邮件或网络误操作、误发送引起的泄密；3. 保密意识淡薄对敏感数据保管不当引起的泄密，如随意共享等；4. 感染病毒、木马后引发的敏感数据泄密；5. 将存放重要数据的机器、存储介质随意交与他人使用引发的泄密；6. 移动笔记本、USB存储设备和硬盘等维修、废弃时引发的泄密。1.1.2.3 第三方泄密隐患第三方泄密是指重要数据交付给合作伙伴、客户或其他关系密切人员后保管不当或故意分发所引起的第三方扩散泄密，是目前企业商业化合作需求背景下逐渐体现的信息安全问题。目前存在的第三方泄密隐患包括：1. 合作伙伴、外协人员接入内部网络非法

6、获取敏感数据泄密；2. 应用维护、开发人员访问系统后台及数据库非法获取敏感数据泄密；3. 发送给客户、合作伙伴及其他关系密切人员的敏感数据保管不当或恶意扩散引起的泄密；4. 合同、图纸以及科研、学术报告等敏感资料外部打印、复印时副本拷贝泄密；5. 应用系统、邮件服务器以及数据中心外部托管时非法窃取泄密。1.1.3 管理风险1. 现有安全管控措施不能有效预防核心数据主动、被动泄密风险；2. 合法授权用户对核心数据的使用无法审计；3. 出现信息安全事件后不能快速定位责任人；4. 缺乏有效的技术手段或平台落实核心数据资产的保护政策等。第二章 项目建设可行性评估2.1 项目建设总体需求鉴于上述安全现状

7、及风险，需要建立一套完善的数据安全防护平台，以保护深圳市旺鑫精密工业有限公司核心数据资产并落实安全目标。平台建设需求将从安全、业务、系统、管理等四个方面进行统计：2.1.1 安全需求1. DLP系统可实现对核心数据资产的透明加密保护；2. 建立数据全生命周期安全访问及使用边界；3. 防止非授权访问窃取及透过其他途径外泄数据。2.1.2 业务需求1. 各业务部门及组织可正常、合法使用核心数据资产；2. DLP系统平台与企业现有信息化系统、业务系统等无缝安全集成；3. 不改变或不过多改变现有业务流程效率及用户使用习惯。2.1.3 系统需求1. 核心数据资产使用行为可追溯，可快速发现及识别数据应用风

8、险；2. DLP系统平台应用及保护对用户需易用、透明且无感知；3. DLP系统平台需具备高可用性和稳定性，确保业务连续性。2.1.4 管理需求1. DLP系统平台可纳入企业ISO/ISMS安全管理体系作为安全落地及执行的补充；2. DLP系统平台具备持续、稳定的安全运维服务能力；3. DLP系统平台建设需落实数据安全保护的各项制度及规范；4. 符合企业信息安全审计的规定及要求。2.2 项目建设可行性分析2.2.1 需求可行性我们根据大型研发、生产、制造类企业，如比亚迪集团、艾默生集团、正泰集团、国人通信、宇龙通信、晨迅集团、远光集团、特变电工等有自主知识产权的国内大型集团化企业在数据安全方面的

9、实践经验，结合企业自身的数据管理现状，提出数据安全管理体系的主要需求：2.2.1.1 数据内部保护的需求企业内部使用的敏感数据能够进行加密保护，并可根据数据密级及数据管理需求进行授权管理，可以控制是否可阅读、可打印、可编辑、可复制等功能，禁止将敏感数据通过复制、另存为副本、拷屏等手段转换为明文而泄密；内部使用的非敏感信息可以不进行加密处理，也可由数据生产者或数据管理员识别并加密授权后再进行传播；内部人员使用敏感数据行为均可审计，审计内容包括：阅读、打印、修改、删除、解密以及外发等重要操作行为。2.2.1.2 数据对外防范的需求对于严格控制外发的敏感数据，采用加密手段进行保护，在传播途径方面严格

10、控制外发权限。即使数据被非法传播出去，外部非授权人员也无法打开使用。对于需要和外部如合作伙伴、客户等交换的重要数据，需要有严格的解密审批流程或外发管控手段，并对数据外发行为进行严格审计。2.2.1.3 业务方面的需求企业的良性发展体现在组织架构及分支机构的增加、业务运作体系的日益复杂、业务流程及场景的日益庞大等，数据安全平台构建时需关注如下方面：1. 各业务体系对数据安全保护的实际要求；2. 数据安全保护平台与现有业务系统及平台的协同关系；3. 数据资产管理现状；4. 总公司、分公司、业务部门之间数据交互的便利与保密；5. 与合作伙伴、客户的数据交互便利与保密；6. 历史重要数据资产的妥善处置

11、；7. KPI考核体系的落实及执行。2.2.1.4 流程与制度的需求为保证数据安全管理体系的落地与正常运作，必须配套完整的管理制度和流程规范，包括但不限于：1. 敏感数据全生命周期各环节的处理流程；2. 数据密级划分及授权管理流程；3. 历史数据的界定、处理、保护流程；4. 数据对外、各子公司间、业务部门间无缝交互流程；5. 特权用户、特殊业务场景支撑流程建立；6. 数据使用、传播等环节的审计流程；7. 管理体系维护规范建立8. 体系审计流程规范建立；9. 体系安全使用及运维管理规定建立；10. 用户培训、考核流程及规范等。2.2.1.5 技术平台需求技术平台的好坏直接影响到系统的运维和使用，

12、在技术平台方面要满足以下重要原则：1. 能满足内核级透明加密及数据权限管理要求的成熟产品；2. 能和企业现有的信息化平台、业务支撑系统无缝、安全集成，保证核心数据的在线、离线一体化安全；3. 产品解决方案成熟，具备大型企业级用户成功实践；4. 需建立完善、快速、有效及安全的体系运行维护机制。以上需求在国内很多大型企业级客户得到落实，符合具备自身知识产权的大型集团化企业的数据安全管理目标，并可以落实和实施。2.2.2 技术可行性作为DLP系统平台核心技术之一的内核级动态加解密技术，该项技术发展已经历经单缓存过滤驱动技术、双缓存过滤驱动技术和虚拟文件系统技术（LayerFSD）三个阶段，目前该项技

13、术已经发展成熟并拥有大规模企业级成功实践：序号核心技术发布年份案例数典型客户1单缓存文件过滤驱动技术2005年200北京德信无线(2006)、上海晨讯（sim）(2007)、飞利浦中国(2007)、ABB中国(2007)、中国移动集团等2双缓存文件过滤驱动技术2008年500正泰集团(2008)、比亚迪集团(2008)、中集集团(2009)、宇龙通信(2008)、国人通信(2008)、动力源(2009)等3虚拟文件系统技术2009年1000+广汽研究院(2010)、广汽本田(2010)、艾默生网络能源(2010)、武桥重工(2010)、烽火科技集团(2010)、全友家私(2011)、远光集团（

14、2011）等通过这些集团化企业的实践检验，可以证明此项技术在企业级客户中应用是完全可行的。2.2.3 资源可行性2.2.3.1 管理资源任务可行性企业各相关业务部门人力资源的调配可行决定系统投资与启动可行统一协调各相关部门配合进行项目测试和实施可行统一协调各分公司及成员组织配合进行项目测试和实施可行2.2.3.2 IT/IS部门资源在项目建设过程中需要信息化/信息安全部门的支持主要工作如下：任务可行性对现有IT系统结构的了解可行协调集成商对现有系统的调研可行参与实施计划制定,确保实施计划稳妥、可靠、并且适合大规模推广可行跟踪系统实施进度,以确保项目按计划执行可行监控系统试运行可行收集用户使用中

15、的反馈可行2.2.3.3 各业务相关部门资源在项目建设过程中需要业务部门的支持主要工作如下任务可行性配合进行功能、性能、兼容性、稳定性等测试可行业务需求及流程调研可行实施情况及意见、建议反馈可行2.2.3.4 项目资金投入根据业界最佳项目实践分析及调研,DLP系统平台建设的投资分为以下几个方面：项目条件业务咨询费用投入可选设备采购及软件购买费用投入常规预算实施及部署资源费用投入常规预算安全运维及售后服务费用投入常规预算2.2.4 项目收益分析数据安全防护体系的建立及实施，可以全方位的保护企业核心知识产权和商业机密，保证企业核心竞争力，并为企业良性的运作保驾护航。通过实施DLP体系，企业将在以下

16、方面得到收益：2.2.4.1 核心知识产权的保护DLP系统平台的建立，将对企业的核心数据资产，如：研究成果、设计图纸等提供全生命周期的有效保护。通过对核心数据的加密保护，保证核心数据非法流出企业外部时无法复制及使用，而在企业内部可以在受控范围内灵活使用。2.2.4.2 商业机密的保护企业日常运行中的商业机密，如：重要经营决策、战略发展规划、财务报表、日常管理文件等。这些数据可以在发布、使用过程中得到良好的控制和保护，通过精细化的授权及控制，防止非法查阅及复制等。2.2.4.3 客户及合作伙伴的信任目前国际商业市场对供应商及合作伙伴的信息安全管理有很高的要求。DLP防护体系的建立可以使客户及合作

17、伙伴的信息得到有效的保护，赢得客户及合作伙伴的信任，为企业国际化市场、国内市场的拓展提供安全保障。2.2.4.4 作为公众公司的形象目前国家对上市公司的监管越来越严格，对上市公司信息披露的规范性，上市公司财务信息的真实性等有很高的要求，审计公司在对上市公司审计时，对信息的保密性、完整性有很高的要求。DLP防护体系可以充分体现企业在经营、财务及管理等信息的保护能力，赢得股东的信任。综上所述，DLP系统平台的建立不仅能有效保护企业核心知识产权、核心商业机密，还能使企业得到客户、合作伙伴的信任，并能提升企业作为上市公司的形象。2.2.5 总结根据项目建设可行性分析，我们可以得出以下结论：1. 需求均

18、立足于企业信息安全现状，并具备有大量成功实践，现有的技术发展水平完全可以达到各项安全目标，需求方面是完全可行的。2. 外部的大环境、同类企业的成功经验，企业内部IT发展规划，信息安全从业人员的水平等均可以保证项目顺利达成目标，环境具备可行性。3. 现有的数据安全防护技术发展十分成熟，很多大的企业已经采用了该类技术实现对保护核心信息，技术上具备可行性。4. 核心数据资产保护不仅能保护企业的核心知识产权和商业机密，还能提升企业的形象，得到客户及合作伙伴的信赖，长期收益具备可行性。5. 目前数据安全保护已经逐渐纳入企业信息安全规划，高层领导也密切关注企业自身信息安全体系建设及相应投资回报，并对项目的

19、建设可提供良好的支持和决策，资源投入具备可行性。综合以上结论，企业已经具备建设并实施DLP系统平台的条件。第三章 总体方案及结构3.1 方案概述亿赛通数据泄漏防护（DLP）整体解决方案是对用户的“有意”、“无意”两种数据泄漏行为的统一防护，采用“事前主动防御，事中实时控制，事后及时追踪，全面防止泄密”的设计理念，融合“加密敏感数据”、“控制敏感内容流通”、“规范员工访问行为”为主体的核心技术，配合身份识别、权限控制、终端管理、应用集成、安全接入以及行为审计等功能，形成一套适合国内信息安全现状及管理目标的全新DLP解决方案，最终实现“带不走、打不开、读不懂”的控制目标及效果。由于敏感数据均被加密

20、，即使被非法泄露也无法读取到任何有价值内容，从而保证了对恶意行为的防护。这种实现手段对“有意”、“无意”以及复杂的数据结构均能起到很好的防护效果，通过对信息安全的源头进行控制，结合内容安全防护、应用系统整合以及业务流程支撑等手段，可满足任意行业用户的安全及管理需求。经过近10年的成长及完善，亿赛通DLP已经积累了大量的成功实践，并在各大行业进行了应用和推广；同时，亿赛通更注重本土化及个性化服务，提倡为企业客户提供“因地制宜、量体裁衣”的数据安全服务，始终贯彻“安全是融合而非改变”方针，为用户打造出全新的数据全生命周期安全解决方案。3.2 关键需求场景方案设计3.2.1 核心数据安全存储需求-透

21、明加密3.2.1.1 需求概述深圳市XX机械设备有限公司核心数据资产存储方式多样，包含终端硬盘、便携存储介质、网络流程系统、集中化业务平台及各类数据库中，由于企业发展及业务需要，数据需进行高度共享及协同。但数据资产均以明文形式进行存储，且数据交换及传输通道多样而无法有效监管，将面临众多泄密隐患：3.2.1.2 解决方案及效果l 强制加密通过智能动态加解密技术，对文件进行强制加密处理，从文件创建开始即可自动加密保护。通过对核心数据进行全生命周期保护，确保核心数据只可在企业安全域内正常、透明使用，通过任意方式将数据非法带离内部环境将无法正常使用。l 透明使用核心数据在加密前后对于数据合法使用者无任

22、何差异，不增加用户负担、不改变任何工作流程及使用习惯。文件的保存加密、打开解密完全由后台加解密驱动内核自动完成，对用户而言完全透明、无感知。l 灵活拓展第三代内核驱动层（虚拟文件系统：LayerFSD）智能动态加解密技术，理论上可支持对任意文件类型、应用程序进行加密保护。完全开放式策略库配置，当新引进设计软件或变更安全控制策略时，企业可以完全自主进行安全策略配置；当应用程序或设计软件升级换代时，亿赛通DLP系统平台无需升级和二次开发，通过安全策略变更即可无缝兼容支持。3.2.2 敏感数据内容保护需求-内容安全3.2.2.1 需求概述合法用户在正常使用加密及授权文件时，可能会通过内容复制/粘贴、

23、拖拽、副本另存为、截屏/录屏、打印等方式对文档内容进行移植及转储，存在数据内容泄密风险为了保障核心数据的存储和内容使用安全，需要对用户上述数据内容转储行为进行安全控制。3.2.2.2 解决方案及效果l 剪切板/拖拽控制合法用户打开加密文件时，系统将对合法程序的剪切板行为进行监控，受控程序之间可以进行内容的复制、粘贴、剪切等操作，但是受控程序的内容不允许粘贴至非受控程序中。例如系统对AUTOCAD全系列软件及数据类型进行加密控制，用户在AUTOCAD文件间可以自由进行数据内容的复制和粘贴，且保存的目标文件将自动加密保护；但AUTOCAD数据内容将无法粘贴至网页或QQ中，也通过截图及虚拟打印PDF

24、文件方式泄密。l 另存为控制合法用户打开加密文件后，根据工作需要进行副本及格式另存为；也可能出于泄密目的，将文件保存为任意不规则格式（包括无格式）副本。DLP系统平台可完全识别另存为行为，自动完成数据强制加密存储，确保核心数据存储安全。l 拷屏/录屏合法用户打开加密文件后，系统将实时监控用户的截屏及录屏行为，当用户发起截屏请求时(比如键盘PrintScreen、QQ截屏以及其他截屏工具等)，系统会自动拦截截屏请求，实现屏幕黑屏保护；而当用户未打开任意加密文件时，系统不对用户截屏行为进行任何控制。l 打印控制系统可对用户的打印行为进行灵活控制，即可实现“开/关式”打印控制，控制用户是否允许或禁止

25、打印加密文件，也可实现打印精细化管理，控制用户对指定文档的阅读、打印权限，如使用次数和时限等。为保障核心数据的打印安全及可追溯，可进行打印水印进行设置，水印包括文字信息和水印图片，例如可以自动强制添加公司名称以及公司LOGO图片等版权标识，并可自动添加打印用户ID、打印时间、打印机器IP等信息。3.2.3 核心数据外发安全需求-外发管控3.2.3.1 需求概述深圳市XX机械设备有限公司在很多业务执行与协作过程中，有大批量的信息需要与外界进行实时沟通，核心信息一旦以明文方式离开企业内部环境，在外部使用形同“裸奔”，目前由于信息外发使用及保管不当引发的信息安全事件屡见不鲜：苹果公司的iPad产品上

26、市前将加工图纸交给某代工厂商，此代工商提前将iPad产品模型销售给某配件制作厂商，导致 iPad上市前相关配件就已经开始销售，导致苹果公司的 iPad配件销售受到很大影响因此如何保障核心数据外发后不被非法扩散及泄密已经成为企业的重点关注。3.2.3.2 解决方案及效果核心数据对外发布时，通过对数据进行加密及授权封装，保障数据在外部环境的存储及使用安全，主要包括如下：l 文件加密保护采用高强度加密技术对外发数据进行加密保护，防止非法用户暴力破解泄密。l 安全身份校验外发文件提供多种安全身份认证机制，包括：密码口令认证、机器绑定认证、硬件USB-KEY认证及混合认证等，在身份认证通过后才可正常、安

27、全打开外发文件。l 文件使用权限控制外发文件提供细粒度权限控制保护，包含文档使用权限如只读、打印、修改等控制；文档生命周期管理如：阅读次数、阅读时限及过期自动销毁等保护；文档协同权限如修改、还原以及文档内容保护、打印水印等控制。l 文件内容安全控制为防止使用者恶意将文件内容扩散，系统对其内容进行高强度安全控制，如内容剪切保护、禁止截屏、禁止另存为及打印控制等。l 外发文件易用性外发文件在外部环境使用时，无需安装任何客户端及插件，用户双击外发文件完成身份认证后即可根据预设权限透明、安全使用。3.2.4 合法数据安全解密需求-流程审批3.2.4.1 需求概述为保障对外明文数据交换业务连续性，DLP

28、系统平台将提供完整的解密审批流程及日志审核体系。3.2.4.2 解决方案及效果l 个性化流程支撑企业可根据现有工作流程制定符合企业管理需要的各类数据解密审批流程，并支持审批会签（多人同时通过，一票否决制）、多级审批（自定义审批流程）、审批托管（审批员处于不在线时，自动通过申请请求）等审批方式可供企业选择。l 安全身份认证各审批节点在进行解密审批时均需进行身份认证，防止仿冒用户进行解密审批操作，并且审批流程可以与邮件系统集成，满足了方便性的同时杜绝了申请人可接触到解密后文件的可能，从而也加强了安全性。l 日志审计追溯所有流程执行及审核均可进行日志审计和追溯。3.2.5 邮件明文安全外发需求-邮件

29、监控3.2.5.1 需求概述邮件服务是当前企业进行信息交流的首选工具，大部分企业由于业务需要需开放邮件外部投递权限，但存在明文泄密隐患。DLP系统平台在实现邮件对外明文交互的同时可保障邮件业务交互安全。3.2.5.2 解决方案及效果l 邮件监控对终端邮件行为进行全方位、全时段立体监控，用户发送邮件时，邮件监控模块会自动过滤邮件数据包并提取邮件内容信息如：发件人、收件人、发送时间、附件文件、邮件正文等，并自动完成邮件信息分类及上传，安全审计员可针对邮件行为进行分类审计及查询。l 邮件白名单可通过配置可信邮箱地址，当用户向可信邮箱地址（邮件可信白名单，如高层领导、核心客户等）发送密文附件时，系统将

30、自动完成附件解密及发送，无需执行解密流程审批，同时邮件发送记录也将自动上传至邮件审计服务器。3.2.6 离线办公安全管控需求-脱机管控3.2.6.1 需求概述DLP系统平台在确保企业员工加班、出差等业务连续时可实现对核心数据的安全保护，通过提供完整、安全、可靠的离线办公方案，确保用户在紧急出差、出差延期以及网络瘫痪时业务连续及数据安全。3.2.6.2 解决方案及效果l 脱机冗余服务器宕机、网络瘫痪情况偶有发生，为防止因网络瘫痪而无法正常开展加密业务，DLP系统提供脱机冗余控制功能，在预设的冗余时间范围内（精确到小时）系统将自动启用客户端离线缓存策略，正常提供加解密业务支撑。当超出规定的时间后离

31、线缓存策略将自动销毁，系统将进入“只加密、不解密”安全保护模式，确保离线数据存储及使用安全。l 出差办公DLP系统提供出差申请流程，用户可以根据出差需要提交出差申请并预估出差时长，流程审核通过后安全策略将自动完成离线缓存，用户可在离线状态开正常开展加解密业务。l 出差延期由于客观原因，实际出差周期与出差申请计划存在出入，为了确保用户出差业务连续，DLP系统提供出差补时支撑，策略管理员可为用户生成出差补时码，通过邮件或短信等方式发送给出差用户，用户完成补时码输入及验证后即可完成离线补时。3.2.7 核心数据安全备份需求-数据备份3.2.7.1 需求概述企业内数据资产基本处于分散存储的状态，当数据

32、出现异常或处理不当时将对企业造成重大损失，如：l 感染病毒、木马后造成的数据丢失及损坏；l 存储设备损坏而未保留有效备份；l 操作不到或无意删除；l 数据在编辑和保存时，突然停电或者应用程序异常崩溃造成损坏；l 员工在离职时，将数据文件恶意删除等如何保障企业核心数据的存储安全也是当前企业重点关注的问题。3.2.7.2 解决方案及效果DLP系统平台可提供数据本地及远程备份机制，保障企业核心数据的存储安全：l 本地备份保护对指定类型文件进行滚动式、本地磁盘隐藏备份，当本地文件出现异常时，用户可通过备份还原工具进行数据还原。l 远程备份保护对指定类型文件进行远程服务器备份，可支持完整备份、增量备份及

33、多版本管理，并可根据管理需要自定义备份周期，当本地文件出现异常时，文档管理员可进行备份还原及管理。3.2.8 用户身份安全集成需求-双模认证3.2.8.1 需求概述由于安全及管理需要，DLP系统平台需与企业内部身份认证系统（如AD）实现统一认证及管理。与此同时，部分企业还存在有临时员工、外协员工及合作类员工使用DLP系统平台的安全管理需求，而该部分用户无法在内部身份认证系统（如AD）中进行创建和维护，DLP系统平台将实现对该类需求场景的满足和支持。3.2.8.2 解决方案及效果l 与第三方用户体系集成l DLP系统平台可与基于Ldap和OpenLdap协议的统一身份认证平台(如AD、ED、TD

34、S等)进行无缝集成；l 可通过API调用及WebServices接口集成，实现与其他独立身份认证系统（如OA、HR等）的无缝集成；l 与PKI/CA系统无缝集成；l 本地身份认证DLP系统平台支持创建本地组织架构及用户体系，并可自主完成本地身份认证。支持多用户管理员权限。l 混合双模认证为满足企业个性化管理需要，DLP系统平台支持双模认证，在支持与第三方用户体系集成认证的同时，并支持创建本地用户认证体系。3.3 系统平台安全及完整性设计3.3.1 数据库安全备份及恢复为避免后台数据库服务异常而造成系统单点故障，系统提供数据库自动备份及恢复功能。根据预设的自动备份周期，系统将完成数据库自动备份及

35、存储，管理员可根据管理需要完成任意备份节点还原。3.3.2 文件安全备份及恢复为防止由于计算机意外断电、病毒破坏以及加密环境异常而导致文件损坏，或员工暴力离职删除公司重要数据而造成损失，系统将提供重要数据自动备份及安全恢复功能：3.3.2.1 本地备份通过安全策略下发，系统实现对终端重要文件的本地自动、隐藏备份。3.3.2.2 远程备份通过安全策略下发，系统实现对终端重要文件的远程备份，并可根据数据管理需要设置完整备份、增量备份及多备份版本管理等支持。3.3.3 程序签名及合法性判断系统采用合法应用程序控制技术，当合法程序读取密文时系统自动完成内存数据动态解密，为防止用户通过伪造合法应用程序名

36、称来欺骗泄密，系统将完成合法程序的签名自动采集和安全识别。3.3.4 客户端运行及使用安全为防止用户恶意卸载、删除配置文件而破坏客户端运行环境，系统将提供客户端自我防护功能，包含客户端防卸载口令保护、安装目录文件隐藏及防删除保护、客户端程序防结束及隐藏保护、配置文件加密及自动修复保护等。3.3.5 服务器通讯及传输安全为保障客户端与服务器之间数据交互及通讯安全，系统采用HTTPS/SSL加密传输协议，并对用户口令、密钥证书、安全策略及密级权限等敏感信息进行二次加密封装处理，确保数据传输及交互安全。3.3.6 密钥证书安全备份及恢复为防止由于数据库异常、损坏等灾难故障而造成密钥证书丢失，系统支持

37、将密钥证书备份到外部加密证书文件或专用硬件USB-KEY中，并提供密钥证书安全还原支持。3.4 系统平台高可用性设计为了保障系统服务器的高可用性，系统支持双机冗余热备份功能，可以搭建主从两台服务器，通过两台服务器同步备份和故障自动切换来确保服务器端的稳定运行，当主服务器发生故障，服务中断时，可以在极短的时间内自动切换到备份服务器，保证服务的持续性。第四章 系统配置及规格4.1 配置原则当前软、硬件配置将满足DLP系统平台5年稳定运维要求。4.2 亿赛通交付设备/系统清单设备/系统名称规格必要性功能及备注软件必要为核心数据资产提供透明加密保护，防止企业核心数据安全边界外泄密，可满足：1.核心数据

38、安全存储需求2.敏感数据内容保护需求3.邮件明文安全外发需求4.合法数据安全解密需求软件必要为核心数据资产提供外发安全控制，防止企业核心数据外部扩散泄密，可满足：1.核心数据外发安全需求2.敏感数据内容保护需求第五章 方案优势及总结5.1 品牌优势l 国内最早专业从事数据泄漏防护研究的高新技术企业及双软认证，所有核心技术及产品均为自主知识产权；l 9年客户服务积累，客户数超过3000家、保护终端数超过300万；l 在国内设有21个办事处、6个技术支持中心、近500家核心合作单位，为用户提供本地化支持及服务。5.2 资质优势l 商用密码产品生产定点单位证书，是国内唯一具备该资质的高新技术企业l

39、商用密码产品销售许可证l 涉密信息系统产品检测证书l 军用信息安全产品认证证书/军Bl 计算机信息系统安全专用产品销售许可证l 高新技术企业证书l 软件企业认定证书l 软件产品登记证书l 计算机软件著作权证书等5.3 技术优势l 真正内核驱动级智能动态加密技术，可满足企业各种复杂应用数据加密需求，完全开放式策略库架构，企业数据加密需求拓展可通过安全策略配置灵活实现，无需二次开发投入；l 采用第三代透明加解密技术，对敏感数据内容安全实时监控，具备进程防伪校验技术、防内存窃取技术、应用层防护技术，为数据的内容提供高强度的安全防护；l 支持集中式、分布式部署架构，可以适应大型、集团、多元化企业部署及

40、管理要求，具备有万点以上终端实施及部署经验，可提供高性能、安全、可靠的分级部署及管理平台；l 支持多种身份认证，满足本地认证的同时，可与其他基于Ldap/OpenLdap协议的目录认证服务（AD、ED、Domino、TDS等）无缝集成，并可与PKI/CA证书系统无缝集成；l 具备成熟的企业核心业务系统集成及整合方案，满足与各类业务系统的无缝安全集成，实现对核心业务系统数据的安全保护及加固；l 对离线、出差、在家个人电脑办公等特殊业务场景拥有成熟解决方案，在满足安全性的同时实现业务连续。第六章 典型案例分享6.1 广发证券 项目描述项目名称广发证券股份有限公司数据资产防护系统项目项目规模CDG

41、V3.1(6000点) 项目背景广发证券股份有限公司(以下简称广发证券)是国内首批综合类券商之一，是一家与中国资本市场一同成长起来的新型投资银行，营业网点遍布全国主要城市及经济发达地区，网点数量和覆盖范围都位居行业前列。广发证券作为最早一批引入互联网技术的证券组织，信息化建设已处于行业领先地位。随着组织的发展和业务规模的扩大，结合证券业务的特殊性及国家相关规定推行，广发证券信息安全建设方面在保证信息化体系的高安全性同时，也要充分考虑对业务模式的影响；既要保证业务网络较高的可用性、可靠性、保密性，又要对内部核心数据有较强的防御、管控能力。 随着国家相关部门对信息安全等级保护制度的大力倡导和推行，

42、广发证券计划实施相关方案来实现对内部核心数据加强保护，通过充分评估，广发证券提出建设保密数据的密级管理及授权访问系统需求，实现对内部核心数据的分级管理及受控使用。项目主导部门ITIS(信息安全)部署范围客户端：包括总部及全国各营业部，共6000多个终端机器。应用系统：包括OA、ERP、CRM等共19个应用系统。部署架构试点： 试点部署范围为广发证券稽核部和合规部两个部门，对其核心业务数据进行强制加密（已完成）。一期：客户端6000个终端全面部署，应用系统仅对OA系统进行网关过滤加密，用户主要使用权限模块，部分核心岗位进行强制加密。二期： 完成其他各应用系统的网关部署，用户终端全部强制加密，形成

43、一体化的数据防泄露体系。部署效果1、 采用安全网关对OA应用服务器进行过滤加密防护，用户下载文档至终端时对文档强制加密，上传文档至OA时对文档解密，OA的应用服务器上明文存储，用户终端均密文存储。如果用户终端未安装加密客户端则无法打开加密文档。以上实现对OA等应用服务器上的数据进行泄露防护。2、 用户终端采用强制加密方式，对office文档进行保护，用户的office文档生成之时即完成加密，客户端机器上对密文的读写均与明文无任何区别。密文文档外泄时在没有加密客户的机器是无法打开。以实现对终端核心数据的泄露防护。3、 部分核心数据针对指定人员使用，可通过制作权限文档方式进行授权，并可控制授权对象

44、及所具备的文档权限。4、 秘密等级较高的文档，可通过OA的审核流程完成权限文档的申请制作和授权功能，完成后，文档仅对授权对象可用。5、 对需要交付供应商或合作伙伴的涉密文档，可通过OA审核流程或者本地制作方式制作外发文档，在无加密客户的的供应商处，可使用此类外发文档，并一定程度是控制其使用的权限以及阅读时间等。6、 对部分临时人员及实习生，由于此类用户没有OA账号，暂按采用两套加密系统并行的方式进行数据保护。两套系统密钥不同，并提供有密文转换接口。7、 对终端实行全盘加密保护，加密磁盘所有数据，只有开机并通过密码认证时，才会将磁盘文件解密，以防止机器丢失时被其他人获取重要数据。10.2项目描述

45、项目名称艾默生核心数据资产防护系统（DPS）项目项目规模CDG V3.1(3500点)、准入网关6台项目背景研发文档是研发部门的核心业务资产，目前研发统一使用ENPC的整体信息安全策略和管控措施，在数据安全保护层面措施仅限于终端存储管控和便携机硬盘加密，对于网络、系统、个人主机中的数据还是以明文形式存在，在文件的使用、传输、保管、销毁的过程中存在较多安全风险，同时也加大了信息安全管理工作的难度。项目主导部门ITIS(信息安全)部署范围ENPC R&D（深圳、西安）全部部署非研发（BMP&CPECTCMUSCM财务ASCO）需要访问研发应用系统用户部署架构集中式部署与分布式部署相结合：CDG管控

46、服务器部署在总部深圳，管理深圳、西安用户，但是考虑日志的定期上传因素，西安设置二级服务器作为西安用户日志的统一收集，之后定期上传深圳主服务器。准入网关深圳（2主+2备）负责所有深圳应用系统的准入，西安（1主+1备）负责所有西安应用系统的准入部署效果 所有研发产生的Office系统文档、结构图、原理图、代码全部加密，上传到应用系统自动解密 只有部署客户端的用户才可以访问应用系统，链接访问的应用通道加密，防止第三方链路侦听窃取 加密数据如果流向公司内部特殊区域（如实验室），将由秘书解密；如果流向公司外部将通过电子流（二次开发）解密 Lotus Notes作为合法的数据（加密）流转途径【精品文档】第

47、 35 页6.3 特变电工项目描述项目名称特变电工集团核心数据防泄密项目产品模块CDG V3.1+FNS0811用户认证Microsoft Active Directory集成认证，实现操作系统与加密客户端账户SSO系统集成与PTC WINDCHILL PLM系统集成，实现本地的加密文件上传到WINDCHILL后自动解密，下载到本地的文件自动加密部署范围设计研发中心：设计部、质检部、工艺部加密范围Autocad 2004/2007/2011、中望CAD 2007、Solidworks 2009、Office2003/2007/2010、Acdsee 9.0部署方式集中式部署，公司内部办公员工通

48、过内网接入加密服务器；出差办公员工通过专线方式接入加密服务器实施效果 通过强制加密策略，设计中心生产出的电子设计图纸、技术资料进行强制加密处理：数据在部门内部只能可以通过Elink通讯工具互相流转；部门间必须通过摆渡机管理员进行数据流转；各分厂只能通过技术统一平台进行数据流转 与Windchill的技术统一平台、知识共享平台、PLM、生产管理平台等进行集成，保障合法终端可以正常接入平台，并且下载到本地的离线数据也处于受控状态；非法终端禁止接入受保护的业务系统 加密系统采用统一式管理配合分布式管理的管理模式：用户管理由总部统一管理，对各分厂的用户进行增删改查；安全策略由各分厂自行管理，可以对自己

49、的分厂策略进行调整6.4 首钢迁刚项目描述项目名称首钢迁钢文档安全保护项目产品模块CDG V3.8+FNS0811用户认证Microsoft Active Directory集成认证，实现操作系统与加密客户端账户SSO系统集成与OA、MES、SVN系统集成，实现本地的加密文件上传到业务服务器后自动解密，下载到本地的文件自动加密部署范围炼钢、热轧、冷轧、硅钢、质量检验部、质量检查站加密范围Autocad 2004/2007/2011、中望CAD 2007、Solidworks 2009、Office2003/2007/2010、部署方式CDG系统采用集中式部署，服务器放在迁钢总部IT信息中心机房

50、，其它分厂的终端通过内部办公网络、专线网络接入。最高管理员权限和分厂策略由总部IT信息中心负责，各分厂管理员负责本厂用户的管理。实施效果 通过强制加密策略，涉及能够获取到技术资料、操作要点、采购信息等资料的部门或员工进行强制加密处理；（办公室到车间）加密数据可以通过MES和OA系统相互流转，但机密资料必须制作成权限文件流转 通过DLP系统加准入网关的方式对OA、MES、SVN业务系统的安全保护及终端电脑文件的自动加密保护，达到数据安全从源头做起，凡事从业务系统下载下来的数据都已经做过加密处理，员工拿到的数据就已经是加密文件，但服务器中保存的文件仍保持明文状态。 加密系统采用统一式管理配合分布式

51、管理的管理模式；总部超级管理员负责对各分厂分配地市管理员，用户管理，权限管理，策略管理； 各分厂用户管理由各分厂管理员管理，如用户的权限设置，解密等；6.5 全友家私项目描述项目名称四川全友家私文档加密系统项目产品模块CDG V3.1用户认证Microsoft Active Directory集成认证，实现操作系统与加密客户端账户SSO系统集成与ERP、生产管理平台、综合业务管理系统集成，实现本地的加密文件上传到业务服务器后自动解密，下载到本地的文件自动加密部署范围全友家私公司总部；羊马工业园二工厂；成都营销中心；加密范围Autocad 2004/2007/2011、Adobe Reader

52、PDF、Office2003/2007/2010、部署方式CDG系统采用集中式部署，服务器放在公司总部（一分厂），分厂等地的终端通过专线连入。实施效果 通过强制加密策略，设计中心生产出的电子设计图纸、技术资料进行强制加密处理，财务和相关管理部门产生的电子办公文档进行强制加密； 公司人员只能通过对应的文档管理人员进行文档解密外发处理； 与公司ERP、生产管理平台、综合管理业务系统，上网行为管理，域控安全管理等系统等进行集成，保障合法终端可以正常接入平台，并且下载到本地的离线数据也处于受控状态；加密系统采用统一式管理配合分布式管理的管理模式： 用户管理由总部统一管理，对各分厂的用户进行增删改查；第

53、七章 数据加密项目成功案例一览表序号用户方项目名称正式投入使用时间现使用状况乙方参与项目顾问姓名及参与阶段使用方联系人1中国移动集团中国移动计算机终端管理平台期工程项目2007.10至今一期工程总计76，000用户，项目在移动集团、重庆移动、河南移动、江西移动已经部署完毕，系统运行良好，达到设计标准王晓波,技术总监,项目全程参与。陆东峰，研发高级工程师，项目二次开发阶段参与。叶晟，研发主管，项目二次开发阶段参与。赵刚2深圳比亚迪集团深圳比亚迪集团文档加密项目2008.3项目涵盖比亚迪集团所有事业部，一期为海外事业部，约1200用户。系统运行良好，目前正在讨论二期部署方案。龚辉，技术支持部部长，

54、项目全程参与，侧重安全顾问及安全解决方案。陆东峰，研发高级工程师，项目二次开发阶段参与。叶晟，研发主管，项目二次开发阶段参与。吴国庆3上海晨讯集团上海晨讯集团文档加密项目2006.10上海、北京、杭州三地共计1500点。系统已经受了2年的检验，目前运行良好。王晓波,技术总监,项目全程参与。潘学良，技术支持部副部长，项目实施及维护。盛阳4酒泉卫星发射基地酒泉卫星发射基地加密项目2007.10系统部署在酒泉基地所有科室，1000点。选用亿赛通文档安全管理系统后，类似的泄密事件没有再次发生。王晓波,技术总监,项目全程参与。刘汉斌，技术支持工程师，项目实施及维护。阎参谋5国家外交部外交部一号绝密工程2

55、006.3对所有司局绝密文档进行加解密。中非论坛中所有文档均在该系统中加密流转，得到了国家相关部门的表扬。阮晓迅,总经理,项目全程指导。龚辉，技术支持部部长，项目全程参与。保密6深圳国人通信国人通信终端安全解决方案项目2009年可实现核心文档的全盘强制加密保护、终端用户完全操作透明无影响，从而实现企业内部核心资源加密流转无影响、非法带出无权用的目标,以及可实现对核心文档细粒化权限管控，可细化到指定用户、指定文件、指定权限(读、写、打印)、指定时间、指定硬件等，确保文档的流转与使用安全,1500点龚辉，技术支持部部长，项目全程参与，侧重安全顾问及安全解决方案。陆东峰，研发高级工程师，项目二次开发

56、阶段参与。7深圳宇龙计算机集团深圳宇龙计算机集团2009年项目涵盖深圳宇龙计算机集团研发部门，约2000用户。系统运行良好。龚辉，技术总监潘学良，技术支持部副部长，项目实施及维护。8中国海运集装箱集团中国海运集装箱集团文档加密项目2009.3项目涵盖中国海运集装箱集团所有部门，约18000用户。系统运行良好。龚辉，技术支持部部长，项目全程参与，侧重安全顾问及安全解决方案。陆东峰，研发高级工程师，项目二次开发阶段参与。叶晟，研发主管，项目二次开发阶段参与。9艾默生网络能源科技艾默生网络能源科技DPS项目2010年9月深圳，西安两地共计6000点。系统已经受了2年的检验，目前运行良，已在谈第二期项

57、目龚辉，技术总监潘学良，技术支持部副部长，项目实施及维护。10广发证券广发证券加密项目2009.10系统部署在广发证券，6000点。选用亿赛通文档安全管理系统后，类似的泄密事件没有再次发生。龚辉，技术总监郑建军，华南技术总监，项目实施及维护。11广东省联通广东省联通BSS系统中的涉密数据保护项目2010.10根据集团公司信息安全总体框架，对BSS系统中的涉密数据达到事前有管理、事中控制、事后有审计，规避省市两级信息安全事故风险。龚辉，技术总监郑建军，华南技术总监，项目实施及维护。12民航华东空中管理局民航华东空中管理局内网数据泄露项目2010年9月共计4000点。系统已经受了2年的检验，目前运

58、行良，已在谈第二期项目龚辉，技术总监潘学良，技术支持部副部长，项目实施及维护。13中国电信广东省分公司中国电信广东省分公司敏感数据平台项目2010.11系统部署在中国电信广东省分公司，4000点。选用亿赛通文档安全管理系统后，类似的泄密事件没有再次发生。龚辉，技术总监郑建军，华南技术总监，项目实施及维护。14德邦物流公司德邦物流公司客户数据保护项目2011.7作为物流行业的佼佼者，德邦一直利用现代信息化手段不断提高自己的管理效率，但是在信息安全问题日渐突出的今天，很多问题也随之出现，诸如移动介质丢失或盗取，非法访问文件盗取，非法拷贝篡改，截屏和录屏，电子邮件外泄等等，因为管理不当，或人员疏忽，

59、或有心人刻意的网络攻击，都可能造成企业信息的泄密，对企业造成难以估量的损失，亿赛通DLP体系以数据加密和权限管理为核心，结合了身份认证、日志审计、文档备份等多种功能，在用户需求的基础上，配以各种安全策略，不仅从源头上实现了文档的保密，还有效实现了网络边界管理，10000点客户端 顾志涛，华东区域经理，项目售前实施及维护。15特变电工股份有限公司特变电工股份有限公司数据保护项目2011.8特变电工股份有限公司，2011年，公司排名世界机械制造业500强429位、中国企业500强366位，今天的内网管理已经不再是简单的监控审计、数据加密，而是涵盖到身份认证、授权管理等等方面，需要一个强大的协作平台

60、，解决内网面临的诸多问题。通过应用亿赛通的数据安全解决方案，公司部署文档安全管理系统、文档外发控制系统和文档安全加密网关，实现内网安全的全面升级，以灵活加密、严格认证、高度安全的内网数据安全体系全面增强特变电工的信息防泄露能力。一期2000点李航，研发高级经理，项目实施及维护。第八章 关于亿赛通北京亿赛通科技发展有限责任公司成立于2003年，是国内最具实力的、拥有完全自主知识产权的终端安全产品、文档安全产品、网络数据安全产品、涉密安全产品与数据泄露防护（DLP）解决方案的综合提供商。亿赛通总部位于北京中关村科技园，是“国家高新技术企业”、“双软认证企业”。目前，公司在全国各省市自治区设立分支机

61、构，构建了全国十大区、近三十个省市的营销与服务网络，拥有覆盖全国的渠道和售后服务体系。铸剑十载，亿赛通致力于文档加密、内容安全、数据泄露防护相关技术的研究和开发，基于客户需求，持续创新，推出中国首款文档安全管理系统，前瞻性推出全球首个文档加解密网关，引领内容安全、数据泄露防护（DLP）解决方案的新时代。凭借在PC终端、网络传输和应用服务器数据安全的综合优势，亿赛通已成为内容安全、数据泄露防护（DLP）市场的领导者。目前，产品和解决方案已经应用于百万终端，已经成为在政府、电信、金融、能源、研发、设计、军队、军工、制造等国内高端企业级客户的首选品牌。亿赛通产品在多平台研发企业市场处于垄断地位，成为首个为世界五百强中的中国企业客户提供文档加密安全产品及服务的数据泄露防护（DLP）解决方案提供商；在金融领域，亿赛通数据泄露防护（DLP）解决方案是采用这类解决方案的唯一国内厂商。在运营商领域，亿赛通为中国移动、中国电信、中国联通三大运营商提供内容安全、数据泄露防护（DLP）解决方案。凭借多年来的潜心研发，亿赛通数据泄露防护系统确保加密机制的安全、高效和稳定，即使在操作系统安全模式下运行，加密系统也提供同等加密保护；系统体现与应用无关的特性，不限制用户的数据应用保护范围，完全开放、自主的安全策略配置库，使得企业可根据管理需要灵活设置各类安全策略；不仅可适应目前所要求的所有数据应用，对未来应用