1.1     引言

随着企业信息化的快速发展，对于单位来说，网络中包含了很多重要的信息资料，比如网络中积累和掌握了大量的研发数据、生产数据和运营信息等，组织不希望这些资料离开企业内部的网络环境，甚至不允许在网络外部传递与交流，该采取什么防范措施？现代组织不能拒绝互联网的交互，不能将机构封闭在一个信息孤岛。但用户在随意上传下载和发行网络中的文件的同时，可能会把组织的许多重要信息流通到网络外部，从而使重要的知识产权及数据受到严重侵害。知识产权及数据的保护需要依靠法律和行政手段进行规范和管理，同时利用必要的技术手段辅助实现知识产权保护的可管理性。从管理和技术两个层面杜绝机密信息的泄漏，才是解决问题的根本办法，才能防患于未然。

2 数据安全现状

XXX内部电子文档存储的重要信息却由于传播的便利性和快捷性，极大的增加了管理的复杂程度，这部分的资产极易于受到损害。

2.1     总体现状

2.1.1  网络建设较早，技术配备稳定:

单位从建立伊始，就开始着手于信息化建设，各种 IT 产品陆续到位，围绕着各类产品而产生的各种规章制度也比较完善，对于员工的行为和数据的生命周期都具有一定程度的管控。从传统的单机办公日益的实现了集中化管理和信息的存储管理，极大的提升了信息化管理水平，提高了员工的工作效率。

2.1.2  人员数量众多，数据分布广散:

采用信息化办公的人员不在少数，由于涉及的部门比较多。大量的数据会被不同的人在不同的终端上所使用，由于这些数据分散在各终端上，所以对于这些数据目前管理员很难进行统一细致的管控。

2.1.3  外发渠道混乱，应用业务复杂：

电子数据的最大的特点就是可复制性强，而随着企业的网络的完善，目前都已经连通了Internet，但是一旦数据存在多种泄密的通道，数据就缺乏了有效的管理，通过Internet、 各种通讯工具、移动存储设备、云盘等，给数据对外的交流产生了极大的威胁，当前XXX的各个部门对数据的传输设有管理措施，数据不能随便传送到外部去。由于网络、邮件等流程性系统的存在，直接穿透了部门和部门之间的阻隔，造成了部门和部门实际上是无障碍的传输。

2.1.4  制度不够完善，管理力度不够：

当前XXX信息安全部门对数据管理虽然制定了一定的安全制度，但是从安全角度来看还不够完善，由于人员的素质差异较大，人员有意无意的对数据操作非常容易造成内部资料的泄密或者文件丢失、损坏。甚至有些离职员工恶意删除公司资料等等。这一环节缺乏有效的技术控理手段，安全制度无法顺利的执行和实施。

5.1     整体解决方案

通过XXX内部的云平台，已经实现数据在云服务器上，员工使用的是瘦客户机，数据从生成到保存，都在云服务器上，但由于XXX不能隔离网络使之变成信息孤岛，实际使用过程中，还需用到USB、网络，工作过程中需要使用复制、粘贴、截图的场景，甚至有可能存在拍照外泄数据，这部分场景无任何限制，那么就存在云服务器数据可以被通过一些手段，导致发生数据泄密。而服务器的数据一旦发生泄密，损失的数据将远远大于单台终端的数据。SDC沙盒防泄密平台以‘沙盒技术’为技术理念，为XXX构架安全的保密体系。所谓的‘沙盒’是指数据在生成、存储、交互、使用的过程中所接触的载体、使用者、传输渠道的一个总称。而‘沙盒加密技术’就是采用了多种管理手段结合的方式保护数据在生成、存储、交互、使用过程中的安全环节控制。在保密系统中主要采用了磁盘加密、网络传输控制、移动存储加密，外设控制等技术手段来保障了数据安全环境的建立。

磁盘加密主要采用了磁盘驱动加密技术对磁盘扇区进行强制加密，一旦磁盘被拆卸或者丢失也无法获得数据。从根本保障了磁盘的数据安全，防止数据泄密。

外设控制则可控制计算机通过非正常手段，比如蓝牙、红外等设备进行数据传输泄密。移动存储加密可提供强大的移动存储管理功能，既方便了内部交流使用又将数据加密防止数据泄密。

     网络准入控制可以控制所有管理范围内终端只允许访问核心应用系统，其他无关网络不能访问数据，从而杜绝网络层的数据泄密。。

日志审计终端所有申请外发的文件及打印都将生成日志，并备份文件到服务器。以供审计

复制、粘贴的防泄密控制，众所周知，复制粘贴是最简单的泄密途径，涉密文件内容很容易被通过复制粘贴手段，通过通讯工具、网络、USB等形式泄密，SDC沙盒防泄密系统，考虑到实际工作过程中的必然会使用到复制粘贴，但又要实现文档内容被复制粘贴导致泄密，所以涉密文档间的复制粘贴是允许的，因为不能影响工作效率，但涉密文档内容如果复制到邮件正文、云笔记或通讯工具时，复制粘贴协议为不允许，所以在不影响工作效率的前提，又杜绝复制粘贴泄密。

截图防泄密的控制，截图其实是最不容易管控的，市面上已知的截图工具不下百种，传统的文档加密，通过控制进程和驱动层根本防不胜防，甚至有人将图纸或重要的文档内容，生成JPG，并设置成电脑桌面壁纸，然后通过截图，泄密。

SDC沙盒防泄密对截图的管控，非常简单，前面介绍了，系统采用的是沙盒的技术里面，就像一个容器，所以操作在容器里，所以，截图可以正常截图，但是泄密无非是通过网络，USB、打印、第三方协议及驱动，去泄密，在SDC沙盒防泄密系统里，直接管控了系统的驱动、协议，所以从外泄出口就直接控制了。如果工作需要截图，因为文档都在沙盒里，所以工作需要的截图不受影响，只是不能外发泄密，这才是真正杜绝截图泄密的方案，而不是像其他加密系统一样，通过穷举不停添加截图工具。

以上，90%数据外泄途径已经被管控，但是还有一个风险，就是拍照泄密。SDC沙盒防泄密系统，是一套非常完善的系统，整体设计方案从事前防御，事中控制，事后追查着手，独有的屏幕水印技术，满足XXX数据安全需求，

数据被拍照，其实只能通过追溯的形式找到泄密人，屏幕水印主要有两种实现方式，一是在电脑屏幕上显示水印，当打开文档，水印自然就浮于上面，当员工对电脑进行拍照，自然而然将水印拍进照片，但屏幕显示就不是太美观。第二种，是针对用户指定的文件类型，做设置，例如，指定Office文档或PDF文档，打开时，自动添加水印，当使用者打开指定的文档时，文档上面自动添加水印，一旦数据被拍照泄密，当该图片在外流转时，上面的水印记录着的信息可以追溯到个人。

水印内容可以根据工号，计算机名，IP地址，时间、Logo来定义，也可这几种模式同时配合。这些信息都会显示在电脑桌面上或指定的文档里。

整体数据安全体系如下图：

 

 

 

 

 

 

图 5-1 数据保密体系建立示意图

 

 

8    部分成功案例