核心商業(yè)機密文件保密技術(shù)方案研究

龍云 王立星 劉超 王秋林

本文介紹了如何保證核心商業(yè)機密文件不發(fā)生失泄密事件，指出了可能存在的數(shù)據(jù)泄密安全挑戰(zhàn)，對建設(shè)一套可行的數(shù)據(jù)防泄密安全保障技術(shù)方案進行研究，提出了做好文件保密相關(guān)工作的具體內(nèi)容，為后續(xù)安全保密系統(tǒng)的建設(shè)提供了較為全面的技術(shù)支持和理論指導(dǎo)。

一、背景

隨著互聯(lián)網(wǎng)時代的快速發(fā)展，日常工作對信息系統(tǒng)的依賴程度越來越高，員工在生產(chǎn)工作中逐步累積形成了很多有價值的數(shù)據(jù)，主要包括有生產(chǎn)經(jīng)營過程中產(chǎn)生的各類技術(shù)資料、招投標(biāo)文件、技術(shù)文檔、設(shè)計方案、管理過程文件等重要數(shù)據(jù)和信息。目前，這類數(shù)據(jù)的獲取、存儲、傳輸和處理等過程面臨的安全防護風(fēng)險日益凸顯，需要考慮利用信息安全保密技術(shù)手段對這些涉及商業(yè)機密的重要數(shù)據(jù)進行安全保護，避免因數(shù)據(jù)泄露造成不可估量的損失。

二、面臨的挑戰(zhàn)

由于數(shù)據(jù)本身具備“數(shù)量多、形態(tài)多、可復(fù)制、流動快、跨組織”等特點，經(jīng)常在數(shù)據(jù)保護目標(biāo)落地方面會面臨很多挑戰(zhàn)。

（一）分類難

數(shù)量多、形式多，數(shù)據(jù)關(guān)系復(fù)雜，難以進行梳理。對于內(nèi)容是否敏感由人主觀意愿判定，缺乏標(biāo)準(zhǔn)性。

（二）識別難

無法明確某類敏感數(shù)據(jù)在組織的整體分布情況。數(shù)據(jù)類型多、形態(tài)多、數(shù)量多，增加了內(nèi)容識別的難度。

（三）防護難

缺乏數(shù)據(jù)分類保護規(guī)范和分類分級安全策略。缺乏對不同數(shù)據(jù)在不同位置的風(fēng)險評估視圖，保護難以下手。

（四）評價難

缺乏數(shù)據(jù)保護評價指標(biāo)、方法和數(shù)據(jù)。數(shù)據(jù)保護管控措施的有效性無法客觀評價。

三、數(shù)據(jù)保密技術(shù)方案

在日常運行過程中，會產(chǎn)生兩部分的數(shù)據(jù)，一部分為涉密數(shù)據(jù)，一部分為商業(yè)機密數(shù)據(jù)。本次研究將針對涉密數(shù)據(jù)及商密數(shù)據(jù)兩部分分開進行研究。兩個部分均建議采用多種安全防護技術(shù)手段組合的方式構(gòu)建企業(yè)的數(shù)據(jù)防泄密技術(shù)體系。

（一）涉密項目數(shù)據(jù)保密防護方案

涉密資料目前一般都是刻錄光盤后，由專人帶到相關(guān)單位進行交付。因此需要單獨的物理隔離網(wǎng)絡(luò)用于承載保密項目的數(shù)據(jù)傳輸，主要從網(wǎng)絡(luò)物理隔離和數(shù)據(jù)安全防護、計算機終端防護等方面進行安全保障。

1.網(wǎng)絡(luò)物理隔離

網(wǎng)絡(luò)物理隔離是指涉密計算機不直接或間接連接到非涉密網(wǎng)絡(luò)中。物理隔離是信息安全管理中非常有效的保護方式，能夠最大限度地保證內(nèi)部信息網(wǎng)絡(luò)不受來自外部的惡意攻擊，防止信息從外部進行竊取。

2.文檔數(shù)據(jù)加密

采用文檔加密軟件對涉密項目的電子文檔進行保護，保障文檔在創(chuàng)建、使用、傳送過程中的安全，避免被非授權(quán)人員獲得文檔或者文檔被非法傳送、使用。所有需要進行文檔保護的項目組成員均需在工作電腦上安裝加密軟件客戶端，該客戶端會對用戶在密文模式下操作過的所有文檔進行加密保護。技術(shù)細節(jié)如下：

（1） 文檔加密軟件可設(shè)置全盤落地加密策略或部分文件夾加密策略；

（2） 設(shè)置全盤落地加密策略時，啟用業(yè)務(wù)切換模式，對涉密項目允許用戶安裝加密軟件客戶端后手動切換客戶端狀態(tài)。在使用涉密項目相關(guān)數(shù)據(jù)時，采用密文模式，對操作過的所有文檔自動加密，并能夠直接打開已加密文檔；其他時候采用明文模式，不對用戶操作的文檔進行加密，也不能查看加密的文檔；

（3） 涉密項目成員的工作電腦根據(jù)需要安裝加密軟件客戶端，根據(jù)項目成員對項目文檔的使用方式不同可授予不同權(quán)限（可刪除、可讀寫、只讀、可解密、可打印等）。

3.文檔數(shù)據(jù)保密傳遞

隔離專網(wǎng)若需與外面進行數(shù)據(jù)交換，必須通過離線方式進行。在安全防護區(qū)指定一臺計算機終端作為數(shù)據(jù)擺渡的“中間機”“中間機”配備刻錄光驅(qū)和USB接口，將涉密計算機上的數(shù)據(jù)通過專用U盤拷貝到中間機，以刻盤的方式進行數(shù)據(jù)輸出，并在輸出前采取嚴格的審批管理制度，防止涉密信息從隔離專網(wǎng)非法流向外部。外部文件輸入到隔離專網(wǎng)內(nèi)，也是通過光盤拷貝到“中間機”，再用專用U盤將文件將“中間機”上的數(shù)據(jù)拷貝到隔離專網(wǎng)內(nèi)的計算機上存儲、使用。專用U盤只能在隔離專網(wǎng)的計算機上使用，禁止在外部網(wǎng)絡(luò)中使用。

4.終端接入控制

網(wǎng)絡(luò)隔離區(qū)采用計算機MAC地址與交換機端口進行綁定的管理方式，計算機網(wǎng)卡MAC地址與交換機的端口一一對應(yīng)并進行綁定，其他未連接涉密計算機的交換機空余端口全部禁用，從而防止外部的非涉密計算機接入到隔離專網(wǎng)內(nèi)。

5.終端防病毒

所有計算機終端全部安裝防病毒軟件，軟件病毒庫可直接通過互聯(lián)網(wǎng)進行更新。網(wǎng)絡(luò)隔離區(qū)內(nèi)再分別部署一套防病毒軟件，定期對病毒庫進行手工離線升級，保證隔離區(qū)內(nèi)計算機終端的安全。

（二）商業(yè)機密數(shù)據(jù)安全防護方案

商業(yè)機密數(shù)據(jù)是企業(yè)賴以生存的核心“數(shù)字資產(chǎn)”和核心競爭力，商業(yè)機密數(shù)據(jù)的安全防護也是企業(yè)高質(zhì)量發(fā)展的必備條件。企業(yè)在日常運營過程中產(chǎn)生大量的商業(yè)機密數(shù)據(jù)，這些數(shù)據(jù)包括重大管理經(jīng)營數(shù)據(jù)、設(shè)計文件、生產(chǎn)、銷售、采購、財務(wù)、人力等信息，相關(guān)信息如被竊取將對企業(yè)造成巨大損失。同時，因為同業(yè)競爭、個人私利，或者合作商為了謀取自身利益的最大化，都有可能窺探企業(yè)內(nèi)部核心敏感信息。這些信息關(guān)系企業(yè)生存與發(fā)展的命脈，一旦流失將會讓企業(yè)面臨信譽、財務(wù)、生產(chǎn)運營、隱私和法規(guī)遵從等多方面的威脅。

在涉密項目中可通過與互聯(lián)網(wǎng)隔離的方式實現(xiàn)數(shù)據(jù)安全。在商業(yè)機密項目中，考慮到用戶時常會使用互聯(lián)網(wǎng)與外部業(yè)務(wù)對項目文件進行交互，因此安全防護方案將從網(wǎng)絡(luò)環(huán)境防護、員工辦公終端防護、數(shù)據(jù)日常監(jiān)測等三方面進行考慮。

1.網(wǎng)絡(luò)環(huán)境防護

作為企業(yè)員工日常辦公的主要地點，保障企業(yè)辦公區(qū)網(wǎng)絡(luò)安全是數(shù)據(jù)防泄密的重中之重。通過部署監(jiān)控審計系統(tǒng)及郵件審計系統(tǒng)實現(xiàn)企業(yè)敏感文件的外發(fā)監(jiān)控及阻斷。

（1） 監(jiān)控審計系統(tǒng)部署

需在數(shù)據(jù)中心互聯(lián)網(wǎng)出口部署監(jiān)控審計系統(tǒng)，針對流量中的敏感內(nèi)容檢測與監(jiān)控，網(wǎng)絡(luò)DLP設(shè)備以旁路模式部署，從交換機、防火墻等設(shè)備將流量鏡像或分流到DLP系統(tǒng)中進行協(xié)議分析并還原識別內(nèi)容，從而發(fā)現(xiàn)其中違反安全策略的敏感內(nèi)容風(fēng)險事件，并根據(jù)預(yù)置響應(yīng)策略進行記錄、告警、響應(yīng)、自動化等動作。

（2） 郵件審計系統(tǒng)部署

在網(wǎng)絡(luò)出口處部署郵件DLP網(wǎng)關(guān)，通過私有部署識別還原網(wǎng)絡(luò)出口流量中的郵件協(xié)議內(nèi)容實現(xiàn)對全量外發(fā)郵件的內(nèi)容監(jiān)控和審計。

2.辦公終端防護

終端DLP技術(shù)，對終端設(shè)備上所存儲的數(shù)據(jù)進行識別與分類，實現(xiàn)內(nèi)網(wǎng)中的敏感數(shù)據(jù)識別。通過關(guān)鍵字及語義識別技術(shù)對數(shù)據(jù)進行自動發(fā)現(xiàn)，可以針對數(shù)據(jù)的重要程度進行分類識別，針對識別引擎的特性，幫助根據(jù)敏感數(shù)據(jù)特征發(fā)現(xiàn)的工作流程，完成樣本分析，樣本整理、特征詞選擇等工作，并最終按照關(guān)鍵數(shù)據(jù)智能檢查系統(tǒng)能識別的格式導(dǎo)出預(yù)期的結(jié)果。

3.數(shù)據(jù)日常監(jiān)測

在做好企業(yè)網(wǎng)絡(luò)安全防護及員工個人辦公電腦防護工作后，可能有些企業(yè)文件或成果資料在員工居家辦公期間由個人家庭電腦編輯完成并發(fā)送給用戶方，用戶方可能會在不經(jīng)意間將資料上傳至百度文庫、百度網(wǎng)盤、道客巴巴等國內(nèi)知名知識分享網(wǎng)站，用于賺取一些積分或個人使用方便，此類文件的上傳會對企業(yè)的文件追蹤溯源造成較大困難，建議通過互聯(lián)網(wǎng)數(shù)據(jù)資產(chǎn)測繪軟件定期對互聯(lián)網(wǎng)上散布的企業(yè)資產(chǎn)進行搜索排查。

四、結(jié)束語

隨著企業(yè)主營業(yè)務(wù)范圍的不斷擴展，對于商業(yè)數(shù)據(jù)的安全保密工作越來越重要，如何規(guī)范化、科學(xué)、專業(yè)化地做好企業(yè)安全保密工作，實現(xiàn)保密工作零失誤的目標(biāo)，為企業(yè)業(yè)務(wù)拓展提供有力支撐，是企業(yè)目前面臨的一大挑戰(zhàn)。建議通過網(wǎng)絡(luò)環(huán)境防護、辦公終端防護、數(shù)據(jù)日常監(jiān)測的全生命周期數(shù)據(jù)安全防護手段。運用網(wǎng)絡(luò)DLP、郵件DLP、辦公終端DLP及網(wǎng)絡(luò)空間資產(chǎn)測繪等多種手段，全方位保障企業(yè)重要文件的安全，可以實現(xiàn)文件數(shù)據(jù)安全的全生命周期管理，提升企業(yè)的網(wǎng)絡(luò)安全防護能力，為企業(yè)高質(zhì)量發(fā)展保駕護航。

作者單位：中鐵二院工程集團有限責(zé)任公司信息技術(shù)中心