一、项目背景与挑战
一方面，中国移动集团公司在向各分部下发 络和安全保障工作通知，明确要求各省公司应加强客户信息安全保障工作，针对生产终端必须安装终端安全管理套装软件，提供终端系统管理、安全接入认证，并定期审计终端操作日志。
另一方面，随着中国移动南方基地的 络管理信息系统日益完善，应用种类逐渐丰富、用户数量急剧增加、系统互联及整合要求增强，系统和 络面临的安全风险愈加严峻，结合南方基地三年滚动规划的发展思路、发展策略及目标，对IT支撑 、 管支撑 及园区办公计算机 进行安全加固建设。
项目的总体目标是，不断梳理和完善 络安全体系、优化安全管控流程，加大对安全防护手段的建设，进一步加强业务支撑 客户信息安全管理，提升南方基地综合性安全防护整体能力。
二、主要需求
- 梳理业务系统的敏感数据范围，包括业务系统前端系统和后端数据库等，确保导出这些数据到本地计算机以后，进行安全管控，包括增加水印跟踪、防复制、防打印、防 络工具外传等数据防外泄功能。
2.对于本地受管控的文档，提供基于用户组织架构的流转控制和细粒度权限控制，流转控制包括审批流程。
3.对于本地受管控的文档，提供审计、追踪功能，防止文档随意外流。
4.提供个性化策略功能，以及系统失效保护功能。
三、总体方案
根据南方基地的实际情况，再结合联软在金融行业的成熟经验，决定采用业务数据防泄漏系统（UniBDP）+文档权限管理系统（UniDRM）两套系统结合来解决中国移动南方基地的需求。
UniBDP提供客户端保护功能，有效防止本地文档被主动或被动泄密，以及提供水印功能，使文档可追踪与回溯。
UniDRM提供统一的文档控制和信息共享平台，提高制作文档的管理和协作效率。本地文档可上传到服务器，通过与RMS服务集成，可以对文档进行细粒度权限控制。
四、具体实现
1.UniDRM文档权限管理篇
从业务系统的上传、认证，文档的分级分类、权限控制、流转控制和记录，业务协助等各个方面做了全方位的设计。
分组建库，统一管理
系统结合南方基地的组织架构，通过分组的方式建立文档库（业支组文档库、安全组文档库等），业务系统可以通过FTP方式上传，并根据南方基地的组织架构目录存放文件，每个用户只能访问并下载对应的目录中的文档。UniDRM会对业务系统统一发放FTP的认证用户名和密码，集中管理。同时，UniDRM系统结合微软的RMS文档加密技术，可对文档进行集中存储，便于共享协作，对文档进行完整的生命周期管理。另外，上传文档时支持文档的批量加密功能，提升工作效率。
| 系统上线前 | 文档库存储分散，员工的访问管理不够细致，文档上传到文档库未做加 密等保护措施,文档容易被外发泄密。 |
| 系统上线后 | 分组建库，统一管理，用户对文件的访问颗粒化，文档上传批量加密，文档加密后，外发泄密的可能性大大降低。 |
本系统从全局进行考虑，把敏感数据直接交由UniDRM进行管理，不再对业务系统进行控制，只有在登录UniDRM系统以及操作PLSQL访问受控数据库时才强制登陆安全客户端。通过这种方式，绕过了对每一个业务系统进行管控，缩减了保护范围，在易用性跟安全性两方面实现了很好的平衡，更重要的是控制力度更加深入。
巧妙设计，深入控制
| 系统上线前 | 管理员需要对每一个业务系统进行管理，工作量很大，工作效率底，且很难细致管控到文档、数据。 |
| 系统上线后 | 放弃对业务系统的管控，通过直接观看UniDRM，缩减管理员保护范围，同时加深管控深度，大幅提高工作效率和成果。 |
细粒度文档权限控制
对于文档的细粒度控制，系统提供了完全控制、设计、参与讨论、读取、受限访问、仅查看等6种文档权限，能对word、office、ppt、pdf等办公常用文档类型进行管控。管理员可实时修改文档的权限，对文档进行修改、删除等操作，在细粒度控制的基础上实现灵活办公。
| 系统上线前 | 访问权限没有落实到文档级，只能通过各类子系统和账户来控制其权 限，管理员很难统一管理。 |
| 系统上线后 | 可对常用办公文档进行权限统一管控，根据文档安全等级，对不同职能部门或人员分配不同权限，细化权限，进一步保证信息安全，同时可实时修改权限，避免了因工作临时需要而设立临时账 或传输文件等复杂操作。 |
文档流转全程可控，隐形水印一良方
文档在流转的过程中，本系统会详细记录相关的日志，能够记录文档在使用生命中的每一个动作，文档流转过程都有详细的记录日志。对每个从业务系统导出到本地的文档进行结构调整，并自动对其加上一段信息流实现隐性水印功能。当发现有文档被外泄时，可以获得外泄文档，通过系统工具查看文档的隐性水印，系统以可视化视图，直观的展示文档的整个流转过程，管理员可通过视图查明真正发生原因。可用来追踪泄密渠道，也可用作电子取证。
| 系统上线前 | 文档流转无记录，若发生文档泄露，缺乏溯源的依据，难以进行分析、改进。 |
| 系统上线后 | 整个文档流转过程都有详细记录，导出的文档都有隐形水印，泄露可通过日志和水印追踪泄密渠道、查明泄露根源，优化处理。 |
公私分明，离线办公
| 系统上线前 | 从技术层面未严格区分公用机和私用机，文件和账 乱用、套用的情况不时发生。 |
| 系统上线后 | 系统会在下一个人员使用前进行归位，员工只会用其所需资源，文件和账 无法乱用、套用。 |
2.UniBDP业务系统防泄漏篇
敏感数据自动归入
本系统对业务系统导出的敏感数据文件进行安全保护，防止非法外泄。对数据分类分级，把敏感性数据人工或系统强制归入管控盘（我们称为O盘），而一般性数据则丝毫不受影响。对于O盘内的文档，可限制直接复制、剪贴和截屏（包括U盘拷贝和 络工具外发等），同时打开文档会显示屏幕水印。
| 系统上线前 | |
| 系统上线后 | 敏感信息自动吸入安全管控盘（O盘），O盘的数据系统会严格管控，同时一般性数据丝毫不受影响，对终端使用者无感。 |
文档外发灵活配置
管理员可以根据业务需要可对外发进行配置，可以选择“需要经过审批“指定审批人员。外发文档经过审批时会自动上传到服务器进行备份，管理员审批时也能下载文档进行查看。在外发出O盘时，自动加入了水印。水印属性由MAC、 IP、用户名、文档生成时间、唯一序列 等组成，且可以对外发文件的大小进行控制，以避免大文件外发占用服务器空间和带宽。
| 系统上线前 | 员工外发文件难以管控，外发审批无记录。 |
| 系统上线后 |
准确识别查询工具严管控
本系统可通过配置策略，实现对虚拟发布的后台数据库查询工具（如PLSQL）进行细粒度控制，能够准确检测到使用者是否打开了PLSQL。如用户使用4A系统虚拟发布的查询工具时，便会触发系统策略，进入管控。且该功能对后台系统查询工具具有适应性，如需扩展到其他查询工具，通过修改策略配置即可实现安全管控，无需重新开发或改造业务系统。
| 系统上线前 | 无法管控虚拟发布的数据库查询工具。 |
| 系统上线后 | 通过策略即可准确知道是打开了数据库查询工具，且策略可扩展其他的 同类工具，无需开发或改造业务系统。 |
3.系统设计篇
灵活使用各种环境
系统采用B/S架构，产品设计时，充分考虑了各种部署环境的复杂性问题，并且针对适应性做了灵活设计，使得用户简单快速行部署完整个管理系统。
双机热备，紧急逃生
服务器采用双机故障冗余布署方式，主、备数据库间实时同步，备数据库采用定时全备份，当服务器单点故障时数据库能快速恢复。同时，系统提供紧急逃生功能，在紧急情况下，可关闭本系统的安全控制功能，规避系统故障对正常业务的影响。
五、总体效果
- 文档实现了集中管理，同时缩减了管控范围，加深了管控力度，大幅提升了文档的安全性和IT管理人员的工作效率。
- 突破了因安全问题而导致的办公 络的限制，员工可在安全环境下进行离线办公。
- 对业务系统的敏感数据进行了识别和统一、全面的管理，强化了安全保障体系，有效推动南方基地三年滚动规划的发展思路、发展策略及目标。
声明：本站部分文章及图片源自用户投稿，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！