联系我们
 您在这里: 首页 / 产品和解决方案 / 产品解决方案


防水墙在央企商业秘密保护方面的案例
防水墙数据防泄漏系统 在央企商业秘密保护方面的实施案例 1 项目背景   信息安全的核心是内部信息安全的问题,是对电脑资
防水墙在央企商业秘密保护方面的案例
发布时间:2013-03-18  


防水墙数据防泄漏系统
在央企商业秘密保护方面的实施案例

1 项目背景

 

  信息安全的核心是内部信息安全的问题,是对电脑资源设备的管控和电脑资源设备上的数据文档的管控。
  根据国务院国有资产监督管理委员会在二〇一〇年三月二十五日颁布和实施的《中央企业商业秘密保护暂行规定》,各中央企业要高度重视商业秘密保护工作,加快研究制订相关实施细则,切实保障企业利益不受侵害,促进企业又好又快发展。


2 中央企业面临的商业秘密风险
  

  可能的泄密途径,应该来讲主要包括:
  服务器上泄密、工作站泄密、移动设备泄密、网络泄密、输出设备泄密、客户泄密、合作单位员工转发泄密等
  主要的表现形式如下:
  服务器泄密:
  1、网络维护人员在进行维护时使用移动硬盘将服务器上的资料自备一份。
  2、维护人员知道服务器密码,远程登陆上,将服务器上的资料完全的拷到本地或者自己家里的机器上。
  工作站泄密:
  1、乘同事不在,开启同事电脑,浏览,复制同事电脑里的资料。
  2、内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走。
  3、将笔记本(或者台式机)带出管控范围重装系统或者安装另外一套系统从而将资料拷走。
  4、将笔记本(或者台式机)带出管控范围利用GHOST程序进行资料盗窃。
  5、将笔记本(或者台式机)的硬盘拆回家盗窃资料,第二天早早来装上。
  6、将办公用便携式电脑直接带回家中。
  7、将笔记本(或者台式机)带出管控范围使用光盘启动的方式,使用磁盘管理工具将资料完全拷走。
  8、将笔记本(或者台式机)的硬盘或整机送修,资料被好事者拷走。
  9、电脑易手后,硬盘上的资料没有处理,导致泄密。
  10、笔记本(或者台式机)遗失或者遭窃,里面的资料被完整的窃取。
  网络泄密:
  1、内部人员通过互联网将资料通过电子邮件发送出去。
  2、内部人员通过互联网将资料通过网页bbs发送出去。
  3、随意将文件设成共享,导致非相关人员获取资料。
  4、将自己的笔记本带到公司,连上局域网,使用各种手段如ftp、telnet窃取资料
  5、随意点击不认识的程序、上不熟悉的网站导致中了木马产生的泄密。
  输出设备(移动设备)泄密:
  1、移动存储设备共用,导致非相关人员获取资料。移动设备包括:u盘、移动硬盘、蓝牙、红外、并口、串口、1394等
  2、将文件打印后带出。
  客户泄密:
  1、客户将公司提供的文件自用或者给了竞争对手。
  2、客户处管理不善产生的泄密。
  3、员工收到文件后将文件发送给其他人员产生的泄密。


3 中央企业商业秘密保护暂行规定的主要内容
  

  根据国务院国有资产监督管理委员会在二〇一〇年三月二十五日颁布和实施的《中央企业商业秘密保护暂行规定》,中央企业商业秘密保护暂行规定的主要内容主要包括如下的内容。
  中央企业商业秘密保护的主要范围为:经营信息、技术信息和采用IT信息技术手段防护的内容。
  依据《中央企业商业秘密保护暂行规定》,详细如下:
  第三章 商业秘密的确定
  第十条 中央企业依法确定本企业商业秘密的保护范围,主要包括:战略规划、管理方法、商业模式、改制上市、并购重组、产权交易、财务信息、投融资决策、产购销策略、资源储备、客户信息、招投标事项等经营信息;设计、程序、产品配方、制作工艺、制作方法、技术诀窍等技术信息。
  第十二条 中央企业商业秘密及其密级、保密期限和知悉范围,由产生该事项的业务部门拟定,主管领导审批,保密办公室备案。
  第十三条 中央企业商业秘密的密级,根据泄露会使企业的经济利益遭受损害的程度,确定为核心商业秘密、普通商业秘密两级,密级标注统一为“核心商密”、“普通商密”。
  第十四条 中央企业自行设定商业秘密的保密期限。可以预见时限的以年、月、日计,不可以预见时限的应当定为“长期”或者“公布前”。
  第十五条 中央企业商业秘密的密级和保密期限一经确定,应当在秘密载体上做出明显标志。标志由权属(单位规范简称或者标识等)、密级、保密期限三部分组成。
  第十六条 中央企业根据工作需要严格确定商业秘密知悉范围。知悉范围应当限定到具体岗位和人员,并按照涉密程度实行分类管理。
  第十七条 商业秘密需变更密级、保密期限、知悉范围或者在保密期限内解密的,由业务部门拟定,主管领导审批,保密办公室备案。保密期限已满或者已公开的,自行解密。
  第十八条 商业秘密的密级、保密期限变更后,应当在原标明位置的附近做出新标志,原标志以明显方式废除。保密期限内解密的,应当以能够明显识别的方式标明“解密”的字样。
  第四章 保护措施
  第二十条 中央企业因工作需要向各级国家机关,具有行政管理职能的事业单位、社会团体等提供商业秘密资料,应当以适当方式向其明示保密义务。所提供涉密资料,由业务部门拟定,主管领导审批,保密办公室备案。
  第二十一条 中央企业涉及商业秘密的咨询、谈判、技术评审、成果鉴定、合作开发、技术转让、合资入股、外部审计、尽职调查、清产核资等活动,应当与相关方签订保密协议。
  第二十二条 中央企业在涉及境内外发行证券、上市及上市公司信息披露过程中,要建立和完善商业秘密保密审查程序,规定相关部门、机构、人员的保密义务。
  第二十三条 加强中央企业重点工程、重要谈判、重大项目的商业秘密保护,建立保密工作先期进入机制,关系国家安全和利益的应当向国家有关部门报告。
  第二十四条 对涉密岗位较多、涉密等级较高的部门(部位)及区域,应当确定为商业秘密保护要害部门(部位)或者涉密区域,加强防范与管理。
  第二十五条 中央企业应当对商业秘密载体的制作、收发、传递、使用、保存、销毁等过程实施控制,确保秘密载体安全。
  第二十六条 中央企业应当加强涉及商业秘密的计算机信息系统、通讯及办公自动化等信息设施、设备的保密管理,保障商业秘密信息安全。
  第二十七条 中央企业应当将商业秘密保护工作纳入风险管理,制定泄密事件应急处置预案,增强风险防范能力。发现商业秘密载体被盗、遗失、失控等事件,要及时采取补救措施,发生泄密事件要及时查处并报告国务院国资委保密委员会。
  第二十九条 中央企业应当保证用于商业秘密保密教育、培训、检查、奖励及保密设施、设备购置等工作的经费。
  第五章 奖励与惩处
  第三十一条 中央企业发生商业秘密泄密事件,由本企业保密委员会负责组织有关部门认定责任,相关部门依法依规进行处理。


4 山丽防水墙数据防泄漏系统介绍
  

  山丽防水墙数据防泄漏系统是一套包含了数据透明加密、剪贴板截屏控制、文件外发控制、USB存储设备控制、信息资产查询、文档权限控制、数据备份管理的综合性信息安全管理系统。
  系统的各个模块广泛用于企业、政府、金融、军工等单位,为服装、设计、制造、集成电路、软件开发、船舶、航空等各行业提供着强大的信息安全防护。

山丽防水墙数据安全保护系统软件部署与效果


  山丽防水墙模块主要如下:
  文档透明加密模块、离线登录管理模块、烧录软件管理模块、可信程序管理模块、系统实时备份模块、电脑外设管理模块等。
  数据加密的发展历史
  在透明加密软件的历史发展中,到目前为止经历了三个发展阶段,从最初的加密1.0环境加密(引导区加密)到加密2.0文件格式加密直至今日的加密3.0多模透明加密,这是一个人们不断认识事物、发现事物的科学过程。
  其中,山丽网安推出的山丽防水墙5.0采用的透明加密技术是目前多模加密的代表。本文着重于进行透明加密技术的深度分析,以试图说明环境加密、格式加密和多模透明加密之间技术的本质区别。
加密1.0环境加密和其生存现状;
  环境加密的本质是硬盘引导区的加密,数据本身不加密;全公司采用一个密钥;可以采用引导区重建工具等破解;目前国内还剩一家公司在执行这种技术,已经被大多数公司抛弃
加密2.0格式加密和其生存现状
  格式加密的本质是采用驱动级别或者应用程序级别的hook技术,监控具体程序的操作,将该程序特定进程和后缀的文件进行加密;目前国内大部分公司采用的是这个技术。因为这种技术需要用户频繁升级,频繁设置,虽有一定应用但诟病严重,采用单个密钥,无法实现一文一密钥;
加密3.0多模加密和其生存现状
  多模加密技术的特征是采用系统内核级别的驱动技术、采用对称加密和非对称加密相结合,可以实现一文一密钥;目前的代表产品:Windows的EFS、win7的BitLock、Adobe的PDF、山丽网安的防水墙数据防泄漏系统,多模加密的多场景:全盘、格式、目录、空加密、外设加密、网络加密 。


5 防水墙防泄漏系统对《暂行规定》的合规性满足
  

  央企实现商业秘密保护的方法可谓途径多样,包括:
  1、行政管理方法-通过规章制度、劳动合同、竞业限制等等的制定,实现对人的法律和道德约束,满足对商业秘密的防护;
  2、桌面管理方法-采用各种桌面管理软件实现对数据的围追堵截,防止泄密。
  3、外设管理方法--通过采用禁止员工使用U盘等电脑外设的方式实现对商业秘密数据的防护;
  4、数据加密方法-采用数据加密的方式,尤其是数据透明加密,实现对作者本人和阅读者数据扩散、商业秘密泄密的防护。
  商业秘密保护的本质是防止信息泄露,是保护信息安全,而保护信息安全的根本途径是进行数据加密。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足
  第三章 商业秘密的确定
  第十条 中央企业依法确定本企业商业秘密的保护范围,主要包括:战略规划、管理方法、商业模式、改制上市、并购重组、产权交易、财务信息、投融资决策、产购销策略、资源储备、客户信息、招投标事项等经营信息;设计、程序、产品配方、制作工艺、制作方法、技术诀窍等技术信息。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  技术信息和经营信息表现为所有格式的文档;
  应用系统中存在的客户信息等也是商业秘密;
  每种信息的存在形式、存在载体、发布形式、流转形式,等均是需要考虑防护的范畴,所谓的全流程,全生命形态防护,必须符合信息的生存周期,信息的生命周期形态。
  1、山丽防水墙采用多模透明加密技术,结合其他信息安全控制手段,可以实现对信息全生命周期的安全防控。
  2、山丽防水墙对存储在各种存储介质的各种信息,可以进行格式无关的防护;

  第十二条 中央企业商业秘密及其密级、保密期限和知悉范围,由产生该事项的业务部门拟定,主管领导审批,保密办公室备案。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  山丽防水墙系统对商业秘密及其密级、保密期限和知悉范围进行了技术上的区分:密级:核心商密、普通商密;并且密级具有文档密级和用户密级的区分;保密期限:直到用户申请撤销;

  第十三条 中央企业商业秘密的密级,根据泄露会使企业的经济利益遭受损害的程度,确定为核心商业秘密、普通商业秘密两级,密级标注统一为“核心商密”、“普通商密”。
  第十四条 中央企业自行设定商业秘密的保密期限。可以预见时限的以年、月、日计,不可以预见时限的应当定为“长期”或者“公布前”。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  山丽防水墙可以自动或者手动对商业秘密的期限,进行如下标注:有效期:年、月、日、长期、公布前。

  第十五条 中央企业商业秘密的密级和保密期限一经确定,应当在秘密载体上做出明显标志。标志由权属(单位规范简称或者标识等)、密级、保密期限三部分组成。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  山丽防水墙中商业秘密的标志的构成内容包括了:权属、密级、保密期限;标志的形态体现为:密文归属属性、密文图标(密级、保密期限)、水印等等。

  第十六条 中央企业根据工作需要严格确定商业秘密知悉范围。知悉范围应当限定到具体岗位和人员,并按照涉密程度实行分类管理。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  山丽防水墙系统认为:知悉范围和密级是有区别的;不能简单的采用人员的密级和文档密级对应的方式进行,而需要采用矩阵式的方式进行。因此,山丽防水墙对文档密级、人员密级、文档权限进行结合,限定到人员(用户),限定到岗位(用户组)。

  第十七条 商业秘密需变更密级、保密期限、知悉范围或者在保密期限内解密的,由业务部门拟定,主管领导审批,保密办公室备案。保密期限已满或者已公开的,自行解密。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  对商业秘密变更密级、变更保密期限、变更知悉范围、保密期内解密的的,均可通过流程进行:
  [业务部门‘申请’---主管领导‘审批’---保密办公室‘备案’]
  [审批流:增加了备案的功能—查询日志等于专门有个备案的脚色]
  保密期满的:自行解密—可有人员自行解密之
  已经公开的:自行解密—一样可由人员解密之

  第十八条 商业秘密的密级、保密期限变更后,应当在原标明位置的附近作出新标志,原标志以明显方式废除。保密期限内解密的,应当以能够明显识别的方式标明“解密”的字样。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  在防水墙体系中,如果密级有变更的,可以新的图标替代
  防水墙系统中,“解密”的,仍然是密文形式,但是在内部可以自由流通—在密级里面,增加一个“解密但未公开”字样的,以区别主动公开的。
  对其他的真正的解密为明文的,可以出网。

  第四章 保护措施
  第二十条 中央企业因工作需要向各级国家机关,具有行政管理职能的事业单位、社会团体等提供商业秘密资料,应当以适当方式向其明示保密义务。所提供涉密资料,由业务部门拟定,主管领导审批,保密办公室备案。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  在山丽防水墙中,可以制作密文明送形式提供商业秘密资料,并且,这个规程也需要进行审计,以明确的区分责任。
  通过审批流程完成:业务部门—主管领导—保密办的流程。
  而对出差人员防范商业秘密,可以通过:离线管理、强制登陆、VPN网络等途径实现管控。

  第二十一条 中央企业涉及商业秘密的咨询、谈判、技术评审、成果鉴定、合作开发、技术转让、合资入股、外部审计、尽职调查、清产核资等活动,应当与相关方签订保密协议。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  信息安全的防护是一个综合工程,不是单靠一种技术手段就满足所有的防护,山丽防水墙主要负责的是技术层面的防护,包括离线、离网情况,对那些非技术层面的手段也必须齐备,如保密协定等等。

  第二十二条 中央企业在涉及境内外发行证券、上市及上市公司信息披露过程中,要建立和完善商业秘密保密审查程序,规定相关部门、机构、人员的保密义务。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  对于属于需要保护的范围,山丽防水墙系统可以通过提供日志审计进行事后追查,从而满足对相关部门、机构、人员的保密义务审查。

  第二十三条 加强中央企业重点工程、重要谈判、重大项目的商业秘密保护,建立保密工作先期进入机制,关系国家安全和利益的应当向国家有关部门报告。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  就本条的规定,显然,采用防水墙对重点工程进行安全防护,对单项目防护纳入整体防护是满足保护国家安全和利益的必备技术手段。

  第二十四条 对涉密岗位较多、涉密等级较高的部门(部位)及区域,应当确定为商业秘密保护要害部门(部位)或者涉密区域,加强防范与管理。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  多核心部门策略设置严格是管理方向,防水墙的多模数据加密方式非常适合;

  第二十五条 中央企业应当对商业秘密载体的制作、收发、传递、使用、保存、销毁等过程实施控制,确保秘密载体安全。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  山丽防水墙通过外设管理、外设加密、硬盘加密之后的数据过程控制来实现商业秘密数据的生命周期。如可以实现如下的管理流程:
   1)制作、:落地加密,加期限、加密级、加标注;
   2)收发、:收到即加密,发送以密文形式;
   3)传递、:密文形式;
   4)使用、:同时涉及到修改密级、保密期限的策略设置;
   5)保存、:数据全程以密文形式存在
   6)销毁、:通过数据的多重覆盖来实现数据的物理性销毁。

  第二十六条 中央企业应当加强涉及商业秘密的计算机信息系统、通讯及办公自动化等信息设施、设备的保密管理,保障商业秘密信息安全。
  防水墙数据防泄漏系统对《暂行规定》的合规性满足分析:
  山丽防水墙可以通过TPM方式或者安全网关系统的部署来实现对应用系统中数据的防护,在这些应用系统中,数据可以根据需要以密文形式存在,或者以明文形式存在;
  同时山丽防水墙的设备管理模块和设备认证模块又可以实现防止设备的遗失、和杜绝通过设备遗失产生的数据扩散泄密。


6 防水墙防泄漏系统在大型企业中商业秘密保护方面的实施案例
  

  1、防水墙系统在装备制造业方面的实施案例
  装备制造业是为国民经济各行业提供技术装备的战略性产业,产业关联度高、吸纳就业能力强、技术资金密集,是各行业产业升级、技术进步的重要保障和国家综合实力的集中体现。    拥有超过129年的公司发展史的贝卡尔特(Euronext Brussels: BEKB) 是一家全球性公司,总部位于比利时,拥有23000多名员工。贝卡尔特为遍及全球120个国家的客户服务,致力于业务有效益的可持续增长,年销售额超过40亿欧元。
  贝卡尔特技术需求:
  工程软件等专业软件的使用
  贝卡尔特员工因为工作的需求,工程软件有多款,这些软件都存在着将资料外发的可能;
  贝卡尔特员工因为工作的需求,除了工程软件之外,有时候也会使用ftp、qq等软件,这些软件都存在着将资料外发的可能。
  贝卡尔特技术的满足:
  工程软件等专业软件的使用的防泄漏满足,同时仍然可以使用ftp、qq等工具的使用
  通过山丽防水墙系统的部署,可以实现代码文件在电脑上、使用ftp、qq等工具外发出去是密文,但烧录到PLC等机器设备上是明文,一般通过工程软件发送到机器里面时候需要使用com口等外设端口,现代工业的发展也在不断扩展使用网口等。
防水墙系统在软件企业方面的实施案例
  2、软件企业的保密本质要求就是:
  开发部门的源代码进行有效管理,不能仅仅存在于各个个人的电脑上;
  源代码不经公司允许不得带出公司,防止任何形式的泄密。
  源代码管理采用vss管理工具有效管理的问题
  源代码作为程序的“本”一直受到各个软件厂商的重视。流行的源代码版本管理工具包括有vss、cvs、svn等等,不一而足。
  采用源代码管理管理工具的主要价值在于对源代码的管理,而不在于对源代码没有任何利用价值的堆砌。源代码管理工具最大价值还在版本比对,以利于程序员察看自己所编辑源代码的变化,决定取舍。
  源代码管理工具正在于其比对的原因,只有程序员认为编辑完成了,才会上传到服务器上,等待SCM(软件配置人员,一般程序打包他来完成)调用。信息财富的价值在于利用、管理,而不是堆砌。国际上所有的软件开发公司对源代码都是使用cvs、vss等一类的工具进行。
  防水墙和vss相互融合的问题
  软件企业源代码管理工具采用vss实现,这样可以在不增加任何硬件设备的情况下,实现源代码在本地生成保存的时候以密文形式村在,防止任何形式的源代码泄密,或者程序人员的私活行为(加密之后私活的结果将也会被加密,这是使用全盘加密的另外一个实际好处)同时,源代码的任何编辑工作并不受影响。
  在工作告一段落的时候,程序员将源代码上传到vss服务器端,设置可信的策略,上传的源代码自动解密,这样存在服务器上的源代码以明文形式存在,按照需要进行编译和管理,不会产生任何影响(其实密文在服务器上也不会受影响)。
  在源代码以明文形式存在于服务器上时,任何没有安装并启用防水墙客户端的用户都将无法从服务器上下载源代码,当启动了防水墙的客户从服务器上下载源代码到本地后又会被加密。
  通过防水墙客户端和源代码管理工具的融合,即可以实现对源代码的有序管理,又可以防止产生源代码泄密的可能性,从而实现功能需求和安全需求的闭合管理。

(原理图)


  3、防水墙系统在国家重点集成电路实验室的实施案例
  复旦大学集成电路实验室是国家重点实验室,采用山丽防水墙进行数据防护。
  在实验室环境中安装防水墙,在使用者(用户)登录了防水墙的客户端后,使用防水墙提供的加密功能将重要的或者机密的非加密文件(明文)在加密环境中进行加密(明转密),转换为加密文件(密文),或者将密文转换为明文(密转明)。密文与生成文件的软件或者工具无关。密文与文件格式无关。
  山丽防水墙对外部达到的防范效果(如图所示)


 
图1. 加密环境的外部防范效果图


  防水墙提供了允许密文合法离开加密环境,以及禁止密文非法离开加密环境的功能。
  (1)密文合法离开加密环境是指:用户在外出期间被授权采用离线方式读取密文,从而可以获得离线授权将密文转换为明文。防水墙提供指定读取密文的次数或者读取密文的时限(可以按小时、天、周或者月计算)。
  (2)密文非法离开加密环境是指:用户在没有被授权的情况下将密文非法携带离开并且将其强行转换为明文。防水墙提供的防范密文非法离境的途径包括:通过电子邮件(email)和QQ、MSN等IM网络软件工具,使用USB、MP3、数码照相机、手机和各种存储卡等移动存储设备,通过可刻录的硬存储设备(RWCD、RWDVD等),以及通过FTP等网络软件或者网络工具非法传输软件等。系统提供的防范管理策略是指在用户没有获得授权的情况通过以上非法途径携带离境的密文将在防水墙的防范下无法用明文的方式读取密文、或者即使读取的密文也只是以乱码的形式显示。
  对内部达到的防范效果(如图所示)

图2. 加密环境的内部防范效果示意图
 

  (1)防水墙提供了对所有用户设置访问密文(以下简称读取密文)权限的功能。访问权限包括查看密文、编辑密文、粘贴密文、复制密文、删除密文、重命名密文、打印密文以及下载密文等操作的权限。
   (2)防水墙提供了对所有用户设置密转明权限的功能。密转明权限包括审批密转明的权限和执行密转明的权限。
   (3)按照在加密环境中所属课题组的不同,防水墙将所有用户分为项目负责人(包括实验室领导和项目领导)、安全管理员、项目组长和普通用户等各类用户。用户的级别和等级数量可以由买方决定。例如:
   A. 项目负责人具有最高的设置权限的级别,他们可以控制安全管理员、项目组长和普通用户的权限,项目组长可以控制普通用户的权限。
   B. 项目负责人可以授权给安全管理员,由安全管理员代为控制项目组长和普通用户的权限。
   (4)对于不同的密文,一个用户可能具有不同的用户权限。对于同一个密文,一个用户可以拥有部分或者全部权限。
   (5)没有被设置某种权限的用户,将被禁止使用与之对应的权限访问密文。如果强行读取密文,将获得以乱码形式显示的密文。
  4、防水墙系统在国家重点集成电路实验室的实施案例
  在一些设计企业或者各类创新公司的设计部,采用多种手段对数据进行集中管理,常见的有使用windows的文件共享服务器进行管理,或者使用专用的图档软件进行管理;更先进的管理是将企业生产数据和设计图纸结合进行过程管理,如PDM、PLM;或者将企业生产数据、设计图纸和项目管理结合进行过程管理,如PLM。
  不管如何,这些数据集中管理,虽然在一定程度山缓解了企业数据扩散、泄密的风险,但实际上其安全风险依旧存在。
  通过部署山丽防水墙数据防泄漏系统,利用山丽防水墙的可信环境、TPM原理实现对服务器、客户端数据的全面防护。
  避免机密数据泄露,与公司文件共享服务器等协同工作平台等完美兼容。产品部署后,加密文档在流转中与文件共享服务器、OA、ERP等系统的集成一体;
  在应用体系上,山丽防水墙和文件共享服务器、PDM、PLM、图库等系统有许多灵活应用,这些应用需要用到防水墙的可信环境和可信程序相关模块。
  在文件共享服务器系统融合的方案部署中,山丽防水墙可以在可信模块的支持下,用户被强制发送密文到文件共享服务器系统服务端。
  当发送密文到文件共享服务器的时候,希望看到服务器上数据的用户就必须在客户端进入防水墙系统(不然打开是密文),从而保护了文件共享服务器的数据不会产生任何泄密。
  当发送明文到文件文件共享服务器的时候(在实际部署中,也有客户选择此种方案),希望看到文件共享服务器上数据的客户端必须在客户端进入防水墙系统,不然无法连接进入文件共享服务器,这是因为山丽防水墙依据自己服务器的TPM装置,天然的在自己的客户端建立了一个自动可信的环境,而没有安装防水墙的客户端无法连接进来,从而保护了文件共享服务器、PDM、PLM系统上的数据不会产生任何泄密。
  当然,即使在文件共享服务器上以明文形式存在的情况下,也可以通过可信设置,设置特定的用户端不安装防水墙客户端就可以连上来,以满足跨区域用户的需要。如在山丽防水墙客户中,上海海关的服务器需要和总署进行交互,就采用了这样的管理方式。

文件共享服务器、PDM、PLM/图库等系统兼容部署图

  5、防水墙系统在船舶制造行业的实施案例
  山丽防水墙可以对Tribon系统中客户端的数据和服务器端的数据起到很好的保护目的,并可以根据部署阶段的不同调整部署的策略,达到灵活管控的目标。可以很好对SEM系统客户端的数据起到保护作用,可以很好的对OA系统的数据起到保护作用。产品系统功能目前最完备并适合造船行业的系统。


   
防水墙系统和SEM、OA、Tribon系统的融合总图


  山丽防水墙系统和著名的船舶设计软件Tribon的融合
  有三种方案可以考虑,可以通过测试选择:
  方案一:Tribon服务器上文件不加密;Tribon客户端数据加密
  方案特点:
  仅仅防护客户端数据的泄密,无法防范数据从服务器端的泄密,或者不安装加密软件将数据从服务器端下载下来带走。
  方案二:Tribon服务器上文件加密;Tribon客户端数据加密
  方案优点:
  数据完全实现了保密的要求,在客户端还是在服务器端不管通过任何形式不登陆防水墙客户端均无法访问数据。只有安装了防水墙的机器,并经过合法的授权,并进行了登陆后才能访问加密的数据,是否具有读取数据的权限,还依赖公司配置的策略。
  方案三:Tribon服务器上文件不加密,但执行空加密策略;Tribon客户端数据加密,在配置项目时候,对配置文件做加密处理即可。
  方案优点:
  所谓空加密策略,指的是:文件(数据)保存在本地硬盘的时候,不进行加密,但数据通过U盘等外设方式,或者通过网络共享方式获得的数据都是密文,即使使用$的方式,访问本地的数据也是密文。
  一般情况下,服务器空加密策略和可信环境功能联合使用,可信环境的功能可以让任何没有装防水墙的机器无法访问采用空加密策略的服务器。如下图:

  

  方案优点:
  在空加密策略和可信环境模块的配合下,数据也完全实现了保密的要求,在客户端还是在服务器端不管通过任何形式不登陆防水墙客户端均无法访问数据。只有安装了防水墙的机器,并经过合法的授权,并进行了登陆后才能访问加密的数据,是否具有读取数据的权限,还依赖公司配置的策略。
  同时:在Tribon服务器上不进行加解密运算,大大缓解了服务器可能存在的压力。[不建议采用其他增加网络系统单点故障的方式]
  SEM的融合
  造船行业的集成制造系统(SEM)意义重大。
  用户的需求是,通过SEM客户端导出的任何数据格式均必须加密处理(这些数据是制造需要的重要数据),采用山丽防水墙的加密策略,可以实现在SEM客户端导出的任何数据格式(包括未知的、加壳的)均是密文,同时这些密文在环境里面又可以被调用使用,或者重新导入到SEM系统中(导入时自动明文导入),同时在SEM客户端对SEM服务端的操作(通过中间层)不受影响。
  6、防水墙系统在PDM/PLM系统的安全防护的实施案例
  现在,越来越多的企业采用PDM或者PLM系统对自己的项目资料进行有序管理。而且,许多PDM/PLM厂家也对系统的服务器端进行了一定的安全处理,如将服务端的数据进行异化处理后存储,异化的方式包括了数据格式的转化等等。但总体来讲,因为这些PDM/PLM厂家本身并非是信息安全厂家,因此,在数据安全防护方面所虑有限,而且,安全本身需要的技术投入又是相当的大,所有的PDM/PLM厂家也无意在这些方面投入过多。
  所以,目前来讲,对PDM/PLM系统的安全防护基本上是由专业的信息安全厂家来完成的。
  总体来讲,对PDM/PLM系统存在的安全问题主要存在于两个方面。
  其一,在于PDM/PLM系统服务器端数据的安全问题。这些数据是全部系统的数据,一旦遭到全局性泄密,将造成公司数据毁灭性打击。
  其二,在于PDM/PLM系统客户端数据的安全问题。这些数据的泄密,可能造成用户局部的安全风险,但随着客户端权限的大小,泄密风险呈正相长的关系。
  在第一种情况下,虽然有的PDM/PLM系统厂家也进行了一定的安全防范,如将服务端的数据进行异化处理后存储,异化的方式包括了数据格式的转化等等,但因为如前文谈到的其在安全上的投入有限,面对这些数据在被网络、系统管理人员采用极端方式copy带走的风险面前,这些防护就显得不堪一击。(毕竟,PDM/PLM系统的目标是在于解决项目管理和项目数据的问题,这个不是他们的错。)
  在第二种情况下,PDM/PLM系统也貌似有着安全的防护,如,PDM/PLM系统的有关数据只能在其特定的客户端框架内打开甚至编辑。但实际上,用户可以借助非PDM/PLM系统的一些编辑工具实现对文档、图形的获得。
  最为严重的是:PDM/PLM系统为了提高自己的浏览效率,每次在浏览图纸的时候,均会在硬盘如c盘某个地方,将该文件临时保存起来,虽然当图档关闭后,该文件也将自动的删除,但在未删除之前,用户可以将该图纸copy到电脑的其他地方带走。这就是说,有浏览权限的人就有下载权限!如果请人写个脚本,实现自动copy临时文件里面图纸的功能,将会带来极其严重的后果:一个人可以在1-2天内通过不断的点点点将图纸全部带走!!!。至于有的PDM/PLM系统用户对图纸的浏览没有限制,有浏览图纸的权力,就可浏览所有的图纸,那风险就更大了。
  山丽防水墙数据加密系统在PDM/PLM系统安全防护方面具有不可替代的作用。
  各个PDM/PLM系统各有其特点,我们以西门子的TeamCenter为例进行说明。
  有三种方案可以考虑,可以通过测试选择:
  方案一:TeamCenter服务器上文件不加密;TeamCenter客户端数据加密;
  方案特点:
  仅仅防护客户端数据的泄密,无法防范数据从服务器端的泄密,或者不安装加密软件将数据从服务器端下载下来带走。
  方案二:TeamCenter服务器上文件加密;TeamCenter客户端数据加密
  方案优点:
  数据完全实现了保密的要求,在客户端还是在服务器端不管通过任何形式不登陆防水墙客户端均无法访问数据。只有安装了防水墙的机器,并经过合法的授权,并进行了登陆后才能访问加密的数据,是否具有读取数据的权限,还依赖公司配置的策略。
  方案三:TeamCenter服务器上文件不加密,但执行空加密策略;TeamCenter客户端数据加密。
  方案优点:
  所谓空加密策略,指的是:文件(数据)保存在本地硬盘的时候,不进行加密,但数据通过U盘等外设方式,或者通过网络共享方式获得的数据都是密文,即使使用$的方式,访问本地的数据也是密文。
  一般情况下,服务器空加密策略和可信环境功能联合使用,可信环境的功能可以让任何没有装防水墙的机器无法访问采用空加密策略的服务器。如下图:

  方案优点:
  在空加密策略和可信环境模块的配合下,数据也完全实现了保密的要求,在客户端还是在服务器端不管通过任何形式不登陆防水墙客户端均无法访问数据。只有安装了防水墙的机器,并经过合法的授权,并进行了登陆后才能访问加密的数据,是否具有读取数据的权限,还依赖公司配置的策略。
  同时:在TeamCenter服务器上不进行加解密运算,大大缓解了服务器可能存在的压力。
  山丽防水墙数据加密系统和TeamCenter融合的具体功能
  山丽防水墙加密系统对TeamCenter系统具有良好的兼容性,具体实现功能如下:
  能控制系统中所有的上传和下载的点,不会影响文件上传和下载的速度。
  解决方法:
  山丽防水墙控制台有可信程序模块,通过设置即可实现控制系统中所有的上传和下载的点。同时和上传下载速度无关。
  技术原理:
  山丽防水墙系统,在软件架构上采用面向服务的设计方法(Service-Oriented Architecture,SOA),可以实现和各种系统的自由融合,而无需进行任何的二次开发。
  山丽防水墙首先是目前唯一一款和文件格式无关的加密软件;并且,因其软件结构的原因,软件和应用系统无关,因此,对“所有”的点就没有技术开发的必要性即可实现。同时,TC所有的上传和下载并不经过山丽防水墙的过滤,自然在原理上就没有影响上传下载速度的可能性。
  对于Teamcenter的系统服务器不进行加密,但是服务器可以控制对系统内已加密的文件进行控制。
  解决方法:
  在TC服务端安装防水墙客户端,设置TC服务器端上防水墙客户端加密方式即可。
  技术原理:
  利用防水墙客户端的多种加密方式,采用空加密或者目录加密等方式,即可实现对于TeamCenter的系统服务器不进行加密,同时,TC服务器仍然可以按照对文件的处理控制自己的文件。
  目前大部分的技术资料已经在PLM系统中进行流程审批和签字,防信息泄密系统不能影响流程的运行,特别不能影响系统对资料的自动签名。
  解决方法:
在TC服务端安装防水墙客户端,设置TC服务器端上防水墙客户端加密方式即可。
  技术原理:
  山丽防水墙并不会影响任何应用系统自己的功能,包括系统对自己的资料的处理。因为山丽防水墙仅仅是和数据的存储有关,和任何对数据的处理无关。
  所有的技术资料在PLM系统中进行密文管理,系统的权限和防信息泄密系统的权限不能冲突,如有冲突,应该服从PLM系统中的权限管理。
  解决方法:
  在TC服务端安装防水墙客户端,设置TC服务器端上防水墙客户端权限属性即可。
  技术原理:
  权限是否冲突,完全是取决于管理人员的设置的。这个和山丽防水墙的产品本身无关,而是使用者如何使用。
  PLM系统中文件进行全密文管理,对数据库不进行加密,所有的物理文件进行加密管理。
  解决方法:
  在TC服务端安装防水墙客户端,设置TC服务器端上防水墙客户端加密方式即可。
  技术原理:
  利用防水墙客户端的多种加密方式,采用空加密或者目录加密或者程序加密等方式,即可实现对于Teamcenter的系统服务器数据库不进行加密,同时,其他文件仍然可以被加密。
  对PLM系统中物理文件的备份,可以实现密文备份,同时再备份一份明文的文件,备份的明文文件不能改变原文件的原有属性。
  解决方法:
  在TC服务端安装防水墙客户端,设置TC服务器端上防水墙客户端加密方式,在用户自己提供备份程序的情况下,实现密文文件和明文文件的备份;如果用户自己没有备份程序,采用山丽防水墙提供的脚本可以完成明文和密文的同时备份。
  技术原理:
  备份需要获取到原文件,山丽防水墙可以根据需要提供给明文或者密文:按需决定备份的是明文还是密文。
  7、防水墙系统在某银行系统安全防护的实施案例
  根据银监会的管理要求,
  通过部署防水墙软件保密,达到满足对不同区域相同不同角色的安全控制要求;
  同时,部署防水墙软件的用户除了安全要求的改变之外,不对工作的正常进行产生其他障碍;
  而且,软件实施对工作成果不能产生不可逆的后果,如对文件加密后不会产生非策略之外的原因无法打开(文件破坏)等;
  考虑到某银行对银行外包员工安全的需要,可以执行如下的安全策略
  银行外包员工机器在银行时不能连外网、可以外带,需要对其进行严格安全管理,故在本地执行如下策略:
  A、本地全盘加密、外设加密、网络空加密;
  B、外设(usb等)全部关闭;
  C、网络外发文件自动解密;
  D、往服务器外发文件自动解密;
  E、机器开机登陆,在离开银行网络将完全无法使用本地的密文资料,除非发放“电子钥匙”
  安装防水墙用户的软件卸载管理
  对银行内部员工的机器通过控制台进行卸载即可,不会产生其他任何影响(使用空加密的原因),但卸载后安全性降低;
  对外包员工机器要卸载防水墙加密软件必须要对首先进行本地数据解密,解密可以选择对需要解密的文档进行解密,解密后卸载即可。
  在采用了开机启动的情况下,不解密机器带出银行网络将不被允许使用,除非将系统重新安装,重新安装后原来在机器上的加密资料仍然无法使用;
  在取消了开机启动的情况下,不解密机器带出银行仍然不能使用,但原来在机器上的加密资料仍然无法使用。
  如果一定需要带出银行网络仍然可以使用,需要使用“电子钥匙”实现脱机(网)登陆。

 

  


下载附件
相关软件
    信息安全风云录之设计公司
    信息安全风云录之军工企业
    遥感和地理信息系统行业解决方案
    加密软件安全风暴之金属冶炼
    信息安全风云录之航空航天
    数据加密安全风暴之汽车制造
    数据安全风云录之教育行业
    数据加密安全风暴之机械制造
相关文章
    WordPress BSK PDF Manager插件\'wp-...
    Ruby \'pack.c\'缓冲区溢出漏洞
    OpenStack Horizon资源名跨站脚本漏...
    OpenStack Horizon用户电子邮件地址H...
    OpenStack Horizon网络名HTML注入漏...
    Google Android NFC蓝牙简单配对消息...
    Cisco Unified Communications Manag...
    Cisco Unified Communications Manag...
Keywords: 文件加密 加密软件 数据安全