ITPub博客

首页 > IT基础架构 > 网络安全 > 文档安全管理系统在军工单位的应用案例

文档安全管理系统在军工单位的应用案例

原创 网络安全 作者:shidaiyixin 时间:2014-01-23 11:25:38 0 删除 编辑
一、项目简介
    某军工集团公司是中国兵器工业集团的骨干企业,是当地最大的装备制造企业,公司努力推动信息系统在企业中的应用范围和应用水平,已具有多种现代化设计和制造软件系统,为企业生产工作提供了高效的支撑。

    公司作为国家军工生产重点企业,也是保密要求非常严格的涉密单位,众多的应用系统既提供了便利、高效的生产能力,但也产生和存储了大量涉及国家秘密的重要电子文件数据,急需对这些电子文件数据进行保护,并能在企业内进行电子文件密级流向控制。

二、项目需求
    公司多次召开项目研讨会和需求分析会,研究并总结了项目的主要需求和建设目标:
  • 对指定进程创建的电子文件进行自动强制加密,以密文形式存储和使用。
  • 对用户、密文分别设置密级属性,并进行密级流向控制。
  • 建立企业共享文档库,并控制不同用户访问权限。
  • 可以设置不同用户使用密文的权限,实现密文安全交换。
  • 密文权限可根据需要进行权限申请与审批,审批流程可自定义。
  • 密文需要外发时必须审批。
  • 审批人可查看待审批文档内容。

三、项目建设效果
    时代亿信采用SecureDOC产品构建集团公司文档安全系统,保护企业涉密电子文件的存储和使用安全。

3.1整体体系结构

 
图:文档安全系统体系结构

体系组成说明:
文档安全服务器
    采用时代亿信SecureDOC产品服务器端程序部署,主要完成用户信息、文档密钥、文档权限及文档审计日志等存储和管理功能。还负责提供企业共享文档库和文档交换中转站。

文档安全客户端
    采用时代亿信SecureDOC产品客户端程序部署,包含用户操作控制台、文件加解密驱动、权限控制等组件。主要完成文档加解密、授权和权限控制等功能。

3.2文件加解密
透明加解密:
文档安全系统采用先进的驱动级文档加解密技术,默认采用128位AES对称加解密算法,可以根据应用需要替换算法和密钥长度。同时,密文和密钥分离,密钥在服务端加密存储,客户端通过加密通道从服务端获取文档密钥和权限。

 
图:文件透明加解密示意

自动加密:
    文档安全系统由管理员设置进程加密策略,在客户端同步该策略后,即可对用户计算机本地的文件进行自动强制加密。

 
图:进程加密策略设置


3.3细粒度权限控制
    文档安全系统对文件操作提供细粒度权限控制,具体如下:
阅读:控制文档阅读
编辑:控制文档不允许被编辑
复制:控制剪切板,防止文档内容通过剪切板复制
打印:控制文档打印
打印水印:控制文档打印时是否加入水印
截屏:对常用的截屏软件和屏幕录像软件进行控制

    在文件操作权限的基础上,还提供了如下用户延伸权限:
分发:控制用户是否可以对文件授权
离线:控制用户是否可以在脱离企业安全环境下使用加密文档
外发:控制用户是否可以发送文件到企业外部机构、客户、合作伙伴
解密:控制用户是否可以解密加密文件

    通过上述细粒度授权策略,既保证文档在流转过程中的安全使用,又可以控制文档的使用权限,有效防止电子文件的非法传播。


3.4密级流向控制
    文档安全系统提供了密级设置功能,可对用户、加密文件分别设置各自密级属性。 

 
图:密级流向控制

用户标密:管理员可对用户设置密级属性,用户的密级可分为普通、秘密和机密三个等级。
加密文件标密:加密文件的密级可分为普通、秘密和机密三个等级,用户进行密文安全交换时必须首先选择加密文件的密级,系统

    会根据指定的密级控制策略匹配用户和加密文件两者的密级,禁止低密级用户接触高密级加密文件。
用户地址树密级控制:用户在选择加密文件密级时,会自动匹配相应的用户地址树,即当加密文件为普通密级时,地址树中将显示全部用户;当加密文件为秘密级时,地址树中只显示密级为秘密和机密的用户;当加密文件为机密级时,地址树中只显示密级为机密级的用户。

3.5企业共享文档库
    文档安全系统提供了企业共享文档库功能,可集中加密存储企业内部文档。企业共享文档库采用了类似资源管理器的风格,不同部门可建立不同层级的目录结构,满足存储本部门加密文档的需求。同时,管理员还可针对不同目录设置不同权限,防止非授权的用户获取重要信息。

3.6权限申请与审批
    文档安全系统提供了权限申请与审批机制,既能满足用户使用密文的实际需求,又防止了用户被过度授权导致的被动或主动泄密情况发生。用户可对文件的如下权限进行申请:
文件解密:将加密文件还原为明文
文件安全交换:在企业内部安全环境下向其他用户提供授权加密文件
文件外发:将文件制作为外发包发送给外部用户

    权限申请审批流程由集团公司进行自定义,根据不同部门的使用需求自行定义审批节点和相应的审批人员。审批人员可以查看待审批文档的内容,以便对申请人所提权限申请做出正确判断。

四、经验总结
    “某集团公司文档安全工程”的成功经验总结如下:
1.结合用户应用场景,选定自动强制加密方式保护电子文件数据安全,同时又可对部分用户设置手动加密方式,满足其办公需求。
2.采用一文一密、密钥和密文分离存储、客户端与服务器端安全通道通讯等技术最大限度增强系统整体安全。
3.文件透明加解密,不改变文件格式和关联程序,无需对用户培训即可使用。
4.对企业现有Pro/E、CAPP、AutoCAD等软件良好兼容。
5.设置用户和加密文件密级,并进行密级流向控制。
6.利用企业共享文档库集中存储加密文件,并设置不同部门或用户使用权限。
7.涉及到加密文件的权限变更与发送均经过审批流程后才能进行,审批流程完全自定义,以满足不同部门的实际需要。
8.时代亿信SecureDOC文档安全产品通过国家保密局、公安部产品检测,满足计算机分级保护技术规范。

来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/10098689/viewspace-1074445/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论

注册时间:2008-09-12

  • 博文量
    79
  • 访问量
    95873