防范企業(yè)電子文檔擴散安全

近年來，隨著我國信息化建設(shè)的日益發(fā)展，企業(yè)辦公已經(jīng)離不開電子文檔的廣泛使用。電子文檔不僅是企業(yè)內(nèi)部信息資源的主要存儲方式，也是企業(yè)內(nèi)外進行商業(yè)合作時信息交流的重要載體。然而，在企業(yè)員工正常使用這些文件的過程中，往往存在著重要文檔或資料內(nèi)容泄密擴散的安全隱患，這些很可能會給企業(yè)帶來巨大經(jīng)濟損失和其他不良后果。因此，如何利用安全技術(shù)手段來防范企業(yè)電子文檔信息泄密，已經(jīng)成為一個十分重要的信息安全問題。

所幸的是，市場上已經(jīng)有一些專業(yè)的信息安全服務企業(yè)，提供了較為成熟的電子文檔防擴散產(chǎn)品方案。本文研究的重點是如何在這些企業(yè)電子文檔防擴散產(chǎn)品技術(shù)中進行合理選取并實施應用部署，從而有力保障企業(yè)數(shù)據(jù)信息安全。

根據(jù)國家相關(guān)標準和法規(guī)，及企業(yè)自身對數(shù)據(jù)信息安全的需求，企業(yè)電子文檔必須做好安全保護工作。常見的電子文檔安全問題主要有下面幾種：惡意攻擊、身份冒充、竊聽破解、權(quán)限溢出、資料泄露等。此外，很多企業(yè)相應的信息保密制度不夠完善，文檔防擴散的技術(shù)條件落后，在監(jiān)管上存在著困難；或是對于員工文檔管理方法不當、責任無法落實到位、相關(guān)人員法制觀念淡薄等等，這些問題都會給文檔防擴散工作帶來極大的困難和挑戰(zhàn)。

企業(yè)電子文檔防擴散安全管理現(xiàn)狀

企業(yè)電子文檔防擴散安全管理的主要對象是企業(yè)內(nèi)部員工在本單位工作場景中所使用的所有計算機和存儲設(shè)備上的各類電子文檔。企業(yè)電子文檔的安全管理，所需的工作較為復雜，單一的防護措施往往存在著較大風險，需要采用多元化的技術(shù)手段進行管理。

目前，國內(nèi)外企業(yè)電子文檔防擴散及相關(guān)信息安全管理主要采用以下措施：

首先，對外部網(wǎng)絡(luò)入侵進行防范，使用防病毒、防火墻、反間諜和入侵檢測技術(shù)防范外部攻擊，內(nèi)外網(wǎng)間網(wǎng)絡(luò)和數(shù)據(jù)端口物理隔離，訪問權(quán)限控制和移動存儲介質(zhì)管理。

其次，內(nèi)部文檔信息存儲和傳輸前，需要采用適當?shù)募用芩惴▽π畔⑦M行加密和簽名，確保信息的安全性、完整性和身份認證的不可否認性，包括服務器文件落地加密，本地文件透明加解密和手動加密等方式。公司的重要文件、重要技術(shù)成果資源等內(nèi)容，都需要定制不同的讀寫權(quán)限策略和劃分密級進行保護。

然后，設(shè)置內(nèi)部文件訪問權(quán)限和審批制度，進行授權(quán)訪問控制。分部門、人員和密級進行管理，對于不同職能的員工設(shè)置不同訪問權(quán)限，當員工需要訪問信息資源前對其身份進行合法驗證，文件外帶則需通過單級或多級審批流程進行授權(quán)。

此外，企業(yè)應實行日志報表審計制度，對服務器授權(quán)審批和日常管理等事件行為，以及客戶端設(shè)備電子文檔加解密，閱讀、編輯和外發(fā)的詳細內(nèi)容進行記錄并形成歸檔日志，方便管理員進行查詢和分析泄密漏洞，保障企業(yè)電子文檔信息安全。

產(chǎn)品核心功能和技術(shù)手段分析

企業(yè)自身直接進行電子文檔防擴散安全管理困難較大，效果并不理想。通常應采用市場上相對成熟的集成方案進行部署管理。目前，許多專業(yè)的信息安全產(chǎn)品公司提供的企業(yè)電子文檔安全產(chǎn)品已經(jīng)逐步成熟完善，它們可以對企業(yè)電子文檔資料進行加密密級保護，實現(xiàn)用戶身份和文檔權(quán)限控制、終端管控、離線外帶審批、禁止非法拷貝等功能，較為全面的涵蓋企業(yè)的文檔防擴散管理需要。

這些公司對大型企業(yè)和生產(chǎn)單位服務較多，功能齊全，擁有完備的國家權(quán)威機構(gòu)的資質(zhì)認證，且均采用了內(nèi)核文件驅(qū)動層的加密技術(shù)，安全保障性高。它們的產(chǎn)品雖然在一些細節(jié)上各具特色，但主要功能是基本類似的，因此在企業(yè)選取防擴散產(chǎn)品時，這些功能具有一定的對比性。

1.角色權(quán)限和密級管理

企業(yè)電子文檔防擴散軟件主要通過對用戶按部門劃分角色和分配密級權(quán)限來進行文檔擴散管理。對不同的領(lǐng)導和員工按角色賦予文檔密級權(quán)限。

對不同部門可以設(shè)置默認角色的文檔訪問權(quán)限并下發(fā)策略。這樣，分別屬于不同部門的不同人員角色在本部門的權(quán)限基礎(chǔ)上，能夠擁有一個或多個其他部門的閱讀和編輯權(quán)限，但是無法訪問權(quán)限外指定的文檔內(nèi)容，從而在內(nèi)部文件交流時實現(xiàn)細粒度的訪問控制。在對人力資源、財務、商業(yè)機密、科學技術(shù)成果等內(nèi)容進行分類保護的同時，又不影響人員正?；顒?。這一點通常是防泄密產(chǎn)品的技術(shù)難點，很多產(chǎn)品在權(quán)限和密級細分化的管理上不盡如人意，自身的密級管理策略存在很多沖突問題，因此往往需要嚴格測試檢驗這部分功能的正確性和穩(wěn)定性。

2.定制策略模板

企業(yè)制定文檔防擴散管理方案，通常需要預先配置好安全策略模板，主要包括配置企業(yè)人員角色身份和所屬密級、部門基本文檔加密規(guī)則、文檔離線外帶審批流程、日志記錄等策略模板。

3.客戶端管理

客戶端管理主要是需要對接入內(nèi)部網(wǎng)絡(luò)的員工客戶端機器和移動存儲設(shè)備進行防擴散權(quán)限管理。文檔管理可以使用指定磁盤加密技術(shù)，劃分加密目錄和解密目錄，加密目錄能夠?qū)λ幸迫氲奈募臀募A自動加密，解密目錄可以自動完成解密，便于對服務器共享目錄進行管理。需要外發(fā)給客戶的文件，可加密成可執(zhí)行文件發(fā)送到客戶電腦上，并設(shè)定好讀寫的權(quán)限和次數(shù)，能夠正常的在非涉密環(huán)境運行。移動存儲管理要求注冊移動設(shè)備，限制內(nèi)部和外部使用規(guī)則，對設(shè)備上文件的創(chuàng)建、讀取、寫入、重命名、刪除等操作權(quán)限進行限制。

4.離線外發(fā)審批流程管理

在企業(yè)電子文檔防擴散安全產(chǎn)品的應用場景中，除了要對內(nèi)網(wǎng)設(shè)備進行管控外，還需要處理好脫離內(nèi)網(wǎng)環(huán)境的設(shè)備工作問題。因此，對于員工下班后和出差時電腦可設(shè)定離線策略。

在離線過期后，設(shè)備對加密文檔不再擁有讀寫權(quán)限。但是仍可以向管理員申請續(xù)期。此外，審批可以針對企業(yè)內(nèi)具體管理情況，定制多個彼此獨立的單級審批和多級審批流程，每級可設(shè)置參與審批的人數(shù)，滿足企業(yè)的實際組織架構(gòu)需求。

5.日志報表管理

文檔防擴散產(chǎn)品在使用過程中會完整地記錄管理操作和申請事件，產(chǎn)生日志報表。對于產(chǎn)生的日志報表，企業(yè)往往需要進行歸檔和分析。管理員可以通過查詢?nèi)罩緛肀O(jiān)督用戶行為，并對泄密事件進行跟蹤追溯。報表的數(shù)據(jù)統(tǒng)計部分可以查看注冊的所有主機狀態(tài)和各類審批事件的狀態(tài)。

企業(yè)部署實施方案

1.測試和部署

在進行測試和部署前，首先需要進行企業(yè)安裝環(huán)境調(diào)查，分別進行單點功能測試，機型適配和操作系統(tǒng)兼容性測試。在企業(yè)內(nèi)部的某一個子部門投入試用，進行局部穩(wěn)定性測試。在上述工作較為完善后，在全單位實行漸進式部署，先通過域控等方法全面安裝客戶端，再將控制規(guī)則和策略功能逐步添加，過程中需要反復溝通修改和調(diào)試方案，最后完成成熟的部署效果。

步驟一：對企業(yè)軟件部署環(huán)境進行摸底調(diào)查研究，對企業(yè)網(wǎng)絡(luò)拓撲結(jié)構(gòu)、人員組織架構(gòu)和層級關(guān)系加以了解，對內(nèi)部數(shù)據(jù)交互情況、員工常用的軟件插件，殺毒軟件和設(shè)計軟件使用情況等進行統(tǒng)計分析，將可能存在沖突的軟件加入到兼容性測試計劃中。此步驟主要為以后公司大規(guī)模的部署做基礎(chǔ)準備，熟悉企業(yè)環(huán)境，以便制定具體部署實施方案。

步驟二：整理好企業(yè)的核心功能需求，根據(jù)需求逐條對各家防擴散軟件進行彼此獨立的功能測試。這一步主要在測試機上和虛擬機系統(tǒng)環(huán)境模擬運行，需要搭建一個簡易的模擬應用環(huán)境，在被測機器上安裝公司內(nèi)部常用的功能性軟件，然后測試時對防擴散產(chǎn)品的使用情況進行記錄和反饋。

步驟三：選取某一個子部門對所有功能試點運行，測試部門之間文件傳遞效率是否受到影響，測試用戶人員之間交互，以及離線外發(fā)的審批過程。

步驟四：域控同步預安裝控制，在公司各部門中全部安裝文檔防擴散系統(tǒng)，在此安裝過程中主要需要采用域推送的方式靜默安裝，在用戶入網(wǎng)驗證檢測時捎帶部署。觀察服務器的運行穩(wěn)定情況，客戶端是否出現(xiàn)異常，通訊和加解密授權(quán)等功能能否完成。

步驟五：漸進式部署。逐步下發(fā)策略，下發(fā)控制策略對公司中的電腦下發(fā)控制策略，并觀察控制策略使用情況。對公司內(nèi)所有電腦逐步增加不同格式的下發(fā)加密策略，該階段為整個部署方案的核心部分，要保證客戶端加密解密策略生效后整個系統(tǒng)必須穩(wěn)定、正常的運行。

步驟六：運維管理。這一部分需長期維護軟件系統(tǒng)，并對軟件效果進行評估，對相關(guān)管理人員和普通員工進行培訓。一個大中型企業(yè)通常由多個功能相互獨立的職能部門和子公司組成，部門之間存在著大量信息交互，難以確定該如何劃分密級權(quán)限進行管理。員工難以習慣和掌握加密環(huán)境的使用，必須逐步培養(yǎng)和改變用戶的文檔使用習慣，幫助他們樹立數(shù)據(jù)安全防護意識。

2.性能評估

企業(yè)電子文檔防擴散軟件部署完成后，需要對其性能進行評估，主要包括穩(wěn)定性、安全性、擴展和兼容性，運行速度影響幾個方面。

穩(wěn)定性，包括服務器和客戶端運行穩(wěn)定；控制臺顯示客戶端電腦信息；加密解密是否正常；不同用戶多次下發(fā)時加解密策略是否和策略設(shè)置內(nèi)容相同；系統(tǒng)容災設(shè)置；網(wǎng)絡(luò)故障異常時默認短期離線策略可以保證終端繼續(xù)查看加密文檔。

安全性，要求保證電子文檔的保密性、完整性和可用性；防止內(nèi)容被破壞、更改和泄露；保證辦公和應用系統(tǒng)數(shù)據(jù)的存儲和使用安全，終端數(shù)據(jù)的離線策略的安全性，移動設(shè)備和存儲介質(zhì)的數(shù)據(jù)安全。

響應速度，主要需要觀察控制臺下發(fā)策略和申請消息內(nèi)容是否能夠及時推送，分發(fā)不同軟件的加密策略是否能即時生效等等。

總結(jié)

企業(yè)文檔防擴散產(chǎn)品應用部署需要全面考慮加密文檔面臨的各種主動和被動擴散風險；同時，應盡量避免對系統(tǒng)資源的消耗和對內(nèi)部人員正常工作的影響，在安全和效率之間保持平衡。對于企業(yè)信息安全維護人員，不僅需要加強自身業(yè)務培訓學習，還應深入了解本單位的實際環(huán)境和電子文檔防護需求，合理選擇產(chǎn)品，并制定好安全防護策略和規(guī)章制度，在部署實施的各個階段不斷完善，以保證電子文檔防擴散工作有效落實。