【51CTO.com綜合報(bào)道】日前，中國移動(dòng)全資子公司佛山移動(dòng)公司與國內(nèi)領(lǐng)先的數(shù)據(jù)安全廠商北京明朝萬達(dá)科技有限公司正式簽約，共同建設(shè)數(shù)據(jù)安全管理系統(tǒng)。雙方希望借助Chinasec文檔安全解決方案的實(shí)施與應(yīng)用，建立一個(gè)完整、高效的信息化管理平臺(tái)，實(shí)現(xiàn)對(duì)現(xiàn)有各分支機(jī)構(gòu)、業(yè)務(wù)模式集中、全面、有效的管控，以管理技術(shù)和手段創(chuàng)新，持續(xù)提升企業(yè)競爭實(shí)力。

信息現(xiàn)狀

隨著全面信息化時(shí)代的到來和佛山移動(dòng)業(yè)務(wù)支撐網(wǎng)的快速發(fā)展，對(duì)于佛山移動(dòng)自身來說，業(yè)務(wù)支撐網(wǎng)包含了很多重要的信息資料，如業(yè)務(wù)支撐網(wǎng)積累和掌握了大量的客戶信息、生產(chǎn)數(shù)據(jù)和運(yùn)營信息等。由于佛山移動(dòng)的核心目的是通過網(wǎng)絡(luò)技術(shù)來加快人與人之間信息化交流，因此目前佛山移動(dòng)的IT建設(shè)相對(duì)超前與其他行業(yè)，建設(shè)了包括BOSS系統(tǒng)、bomc系統(tǒng)、客服系統(tǒng)等，此類系統(tǒng)統(tǒng)稱為業(yè)務(wù)支撐系統(tǒng)。由于每個(gè)系統(tǒng)所關(guān)注的業(yè)務(wù)角度不同，因此其涉及到的人員也有所不同。在此基礎(chǔ)上，每個(gè)系統(tǒng)的人員又根據(jù)‘使用環(huán)節(jié)’和‘運(yùn)維環(huán)節(jié)’而定義出不同的工作形態(tài)。目前佛山移動(dòng)的業(yè)務(wù)網(wǎng)絡(luò)相對(duì)其他行業(yè)而言比較復(fù)雜。

需求分析

通過對(duì)佛山移動(dòng)的調(diào)研，針對(duì)佛山移動(dòng)目前面對(duì)的一系列數(shù)據(jù)安全問題對(duì)佛山移動(dòng)整體的需求整理如下：

1、體系基本需求

對(duì)佛山移動(dòng)內(nèi)使用的數(shù)據(jù)本著“區(qū)域內(nèi)透明，區(qū)域外保護(hù)”的要求進(jìn)行防護(hù)，同時(shí)“盡量不改變現(xiàn)有的工作模式” 能夠兼容運(yùn)營商的業(yè)務(wù)系統(tǒng)并能夠適應(yīng)實(shí)際工作流程，不會(huì)在使用增加不必要的環(huán)節(jié)。最終“盡量不影響現(xiàn)有的工作效率”盡量體現(xiàn)保密過程中的人性化，在操作的過程中保持人性化符合用戶的使用習(xí)慣。

2、核心系統(tǒng)保護(hù)需求

針對(duì)佛山移動(dòng)的數(shù)據(jù)使用流程具備如下的核心需求

·用戶身份集成：佛山移動(dòng)具備4A平臺(tái)，管理系統(tǒng)與AD、LDAP服務(wù)器中的組織結(jié)構(gòu)進(jìn)行同步，進(jìn)行身份認(rèn)證結(jié)合，并可以靈活的修改用戶組織結(jié)構(gòu)。

·敏感數(shù)據(jù)集中管理：在核心業(yè)務(wù)系統(tǒng)中流轉(zhuǎn)的重要數(shù)據(jù)無法從系統(tǒng)中導(dǎo)入到非授權(quán)終端，并且可以根據(jù)策略對(duì)指定的數(shù)據(jù)進(jìn)行加解密操作，對(duì)授權(quán)用戶只能在線的情況下對(duì)權(quán)限內(nèi)使用的文件進(jìn)行透明加解密。

·文檔權(quán)限管理：對(duì)使用文檔進(jìn)行權(quán)限屬性設(shè)定管理，可以針對(duì)不同的密級(jí)標(biāo)識(shí)和不同的使用人員設(shè)置基于操作權(quán)限，以及使用權(quán)限上的不同控制。

·日志記錄追蹤：對(duì)于在線和離線的終端計(jì)算機(jī)上的文件操作，行為操作，系統(tǒng)操作應(yīng)有詳細(xì)的日志記錄；對(duì)于系統(tǒng)管理員，審計(jì)管理員的操作日志分別記錄。

3、系統(tǒng)管理需求

系統(tǒng)管理至少包括終端管理、用戶管理、加解密管理、授權(quán)管理、離線管理、日志管理。并且系統(tǒng)定義三種角色，分別為系統(tǒng)管理員、文檔管理員和審計(jì)管理員。

解決方案

針對(duì)佛山移動(dòng)文檔安全為主的各類風(fēng)險(xiǎn)情況，采用了應(yīng)用保護(hù)系統(tǒng)做為建設(shè)核心。為MBOSS系統(tǒng)提供全面的安全防護(hù) ，抑制用戶在使用應(yīng)用系統(tǒng)過程中存在的數(shù)據(jù)泄密風(fēng)險(xiǎn)。防止MBOSS數(shù)據(jù)在客戶端被非法擴(kuò)散保護(hù)這些數(shù)據(jù)的安全。并且對(duì)于MBOSS服務(wù)器后臺(tái)數(shù)據(jù)進(jìn)行安全防護(hù)，防止非友好用戶直接通過服務(wù)器獲取敏感數(shù)據(jù)。對(duì)于用戶下載的數(shù)據(jù)系統(tǒng)支持加密文件的權(quán)限管理。

從上圖分析，應(yīng)用保護(hù)系統(tǒng)以插件的形式安裝在各應(yīng)用系統(tǒng)使用終端上，當(dāng)訪問應(yīng)用系統(tǒng)時(shí)由客戶端插件進(jìn)行下載加密，并且采取權(quán)限控制的策略，數(shù)據(jù)不能夠隨意的復(fù)制和外帶。對(duì)應(yīng)用保護(hù)系統(tǒng)能夠有針對(duì)的進(jìn)行保密，數(shù)據(jù)保存在服務(wù)器時(shí)可以明文或密文存在。

基于佛山移動(dòng)目前已建立了身份認(rèn)證體系，可以將用戶身份體系自動(dòng)同步到文檔安全管理平臺(tái)中，安全管理系統(tǒng)通過已有的身份體系對(duì)BOSS系統(tǒng)中的數(shù)據(jù)進(jìn)行權(quán)限管理。

文檔權(quán)限管理是文檔保密體系中的核心，文檔權(quán)限管理包含權(quán)限屬性定義（只讀權(quán)限、編輯權(quán)限、拷貝權(quán)限、截屏權(quán)限、帶水印打印權(quán)限、脫密權(quán)限、離線權(quán)限、時(shí)間權(quán)限、次數(shù)權(quán)限）、策略定義（包含在線和離線的兩種狀態(tài)）、權(quán)限庫設(shè)計(jì)幾個(gè)環(huán)節(jié)。

在數(shù)據(jù)需要被外帶時(shí)通過文件審批管理功能進(jìn)行文件外帶，發(fā)起人需要將文件外帶時(shí)則可對(duì)文件請(qǐng)求審批，文件將會(huì)被自動(dòng)流轉(zhuǎn)到審批人處，審批人可查看該文件如確定可以進(jìn)行文件外發(fā)則文件自動(dòng)流轉(zhuǎn)到發(fā)起人處，當(dāng)審批人認(rèn)為該文件不符合數(shù)據(jù)外帶請(qǐng)求時(shí)可拒絕發(fā)起人的要求。系統(tǒng)還提供多級(jí)審批，多流程審批等方式。同時(shí)還提供了數(shù)據(jù)的跟蹤和審計(jì)功能。數(shù)據(jù)在審批完以后會(huì)自動(dòng)將文件進(jìn)行保存或者將文件名保存，并傳到日志服務(wù)器上，提供后期查詢。

在日常辦公過程中創(chuàng)建者當(dāng)發(fā)現(xiàn)某文件屬于重要文檔，需要給指定人員使用時(shí)可以手動(dòng)對(duì)文件進(jìn)行加密，在文件手動(dòng)加密過程中，可以對(duì)文件的使用人、使用權(quán)限進(jìn)行設(shè)置，并且可以設(shè)定文件的秘級(jí)為秘密、機(jī)密、絕密等不同的涉密等級(jí)。這樣數(shù)據(jù)在流轉(zhuǎn)的過程中可以有效的保護(hù)核心數(shù)據(jù)的安全，即使電腦丟失或者被他人竊取數(shù)據(jù)也無法獲取價(jià)值信息。

效果和特點(diǎn)

Chinasec文檔安全方案基于應(yīng)用數(shù)據(jù)保護(hù)、文檔權(quán)限管理、身份認(rèn)證、全面審計(jì)4方面來綜合體現(xiàn)方案的完整性和多元性，切實(shí)保護(hù)了MBOSS系統(tǒng)內(nèi)部文檔的數(shù)據(jù)安全和權(quán)限管理；使用加密技術(shù)實(shí)現(xiàn)對(duì)文檔權(quán)限的使用，并實(shí)時(shí)記錄文件的使用情況，提供文檔日志審計(jì)手段，嚴(yán)格預(yù)測信息安全事件發(fā)生，提高安全管理水平；為日常管理和維護(hù)計(jì)算機(jī)中的文檔提供持久的安全性和控制，既能保證信息的安全，又能達(dá)到對(duì)文檔進(jìn)行統(tǒng)一安全管理的效果。

Chinasec產(chǎn)品在使用過程中對(duì)敏感數(shù)據(jù)的識(shí)別更具針對(duì)性，只針對(duì)于boss上的數(shù)據(jù)進(jìn)行數(shù)據(jù)保密，與文檔格式無關(guān)。安全管理更趨靈活，系統(tǒng)提供文檔權(quán)限管理、審批管理、日志管理等多種管理手段。高度的“業(yè)務(wù)相關(guān)性”和“技術(shù)無關(guān)性”，與所保護(hù)的應(yīng)用系統(tǒng)緊密相關(guān)，保護(hù)應(yīng)用系統(tǒng)內(nèi)數(shù)據(jù)線上、線下安全，除所保護(hù)的應(yīng)用系統(tǒng)外的其他數(shù)據(jù)均不受影響，但所采用的技術(shù)與具體應(yīng)用系統(tǒng)類型無關(guān)，兼容所有的應(yīng)用系統(tǒng)。用戶管理更豐富，支持AD、數(shù)字證書用戶，還支持與應(yīng)用系統(tǒng)身份系統(tǒng)進(jìn)行集成，提供更豐富的用戶管理體系。

部署架構(gòu)圖

此次佛山移動(dòng)與明朝萬達(dá)的成功合作，再次證明了Chinasec數(shù)據(jù)安全產(chǎn)品在設(shè)計(jì)理念、應(yīng)用技術(shù)上的先進(jìn)性和適用性；也證明了Chinasec基于平臺(tái)化的高端產(chǎn)品構(gòu)建體系已得到電信數(shù)據(jù)安全市場的充分認(rèn)可。佛山移動(dòng)以信息化建設(shè)鞏固其在電信行業(yè)領(lǐng)導(dǎo)地位。