近年來，隨著我國信息化建設(shè)的日益發(fā)展，企業(yè)辦公已經(jīng)離不開電子文檔的廣泛使用。電子文檔不僅是企業(yè)內(nèi)部信息資源的主要存儲方式，也是企業(yè)內(nèi)外進(jìn)行商業(yè)合作時(shí)信息交流的重要載體。然而，在企業(yè)員工正常使用這些文件的過程中，往往存在著重要文檔或資料內(nèi)容泄密擴(kuò)散的安全隱患，這些很可能會給企業(yè)帶來巨大經(jīng)濟(jì)損失和其他不良后果。因此，如何利用安全技術(shù)手段來防范企業(yè)電子文檔信息泄密，已經(jīng)成為一個十分重要的信息安全問題。

所幸的是，市場上已經(jīng)有一些專業(yè)的信息安全服務(wù)企業(yè)，提供了較為成熟的電子文檔防擴(kuò)散產(chǎn)品方案。本文研究的重點(diǎn)是如何在這些企業(yè)電子文檔防擴(kuò)散產(chǎn)品技術(shù)中進(jìn)行合理選取并實(shí)施應(yīng)用部署，從而有力保障企業(yè)數(shù)據(jù)信息安全。

根據(jù)國家相關(guān)標(biāo)準(zhǔn)和法規(guī)，及企業(yè)自身對數(shù)據(jù)信息安全的需求，企業(yè)電子文檔必須做好安全保護(hù)工作。常見的電子文檔安全問題主要有下面幾種：惡意攻擊、身份冒充、竊聽破解、權(quán)限溢出、資料泄露等。此外，很多企業(yè)相應(yīng)的信息保密制度不夠完善，文檔防擴(kuò)散的技術(shù)條件落后，在監(jiān)管上存在著困難；或是對于員工文檔管理方法不當(dāng)、責(zé)任無法落實(shí)到位、相關(guān)人員法制觀念淡薄等等，這些問題都會給文檔防擴(kuò)散工作帶來極大的困難和挑戰(zhàn)。

企業(yè)電子文檔防擴(kuò)散安全管理現(xiàn)狀

企業(yè)電子文檔防擴(kuò)散安全管理的主要對象是企業(yè)內(nèi)部員工在本單位工作場景中所使用的所有計(jì)算機(jī)和存儲設(shè)備上的各類電子文檔。企業(yè)電子文檔的安全管理，所需的工作較為復(fù)雜，單一的防護(hù)措施往往存在著較大風(fēng)險(xiǎn)，需要采用多元化的技術(shù)手段進(jìn)行管理。

目前，國內(nèi)外企業(yè)電子文檔防擴(kuò)散及相關(guān)信息安全管理主要采用以下措施：

首先，對外部網(wǎng)絡(luò)入侵進(jìn)行防范，使用防病毒、防火墻、反間諜和入侵檢測技術(shù)防范外部攻擊，內(nèi)外網(wǎng)間網(wǎng)絡(luò)和數(shù)據(jù)端口物理隔離，訪問權(quán)限控制和移動存儲介質(zhì)管理。

其次，內(nèi)部文檔信息存儲和傳輸前，需要采用適當(dāng)?shù)募用芩惴▽π畔⑦M(jìn)行加密和簽名，確保信息的安全性、完整性和身份認(rèn)證的不可否認(rèn)性，包括服務(wù)器文件落地加密，本地文件透明加解密和手動加密等方式。公司的重要文件、重要技術(shù)成果資源等內(nèi)容，都需要定制不同的讀寫權(quán)限策略和劃分密級進(jìn)行保護(hù)。

然后，設(shè)置內(nèi)部文件訪問權(quán)限和審批制度，進(jìn)行授權(quán)訪問控制。分部門、人員和密級進(jìn)行管理，對于不同職能的員工設(shè)置不同訪問權(quán)限，當(dāng)員工需要訪問信息資源前對其身份進(jìn)行合法驗(yàn)證，文件外帶則需通過單級或多級審批流程進(jìn)行授權(quán)。

此外，企業(yè)應(yīng)實(shí)行日志報(bào)表審計(jì)制度，對服務(wù)器授權(quán)審批和日常管理等事件行為，以及客戶端設(shè)備電子文檔加解密，閱讀、編輯和外發(fā)的詳細(xì)內(nèi)容進(jìn)行記錄并形成歸檔日志，方便管理員進(jìn)行查詢和分析泄密漏洞，保障企業(yè)電子文檔信息安全。

產(chǎn)品核心功能和技術(shù)手段分析

企業(yè)自身直接進(jìn)行電子文檔防擴(kuò)散安全管理困難較大，效果并不理想。通常應(yīng)采用市場上相對成熟的集成方案進(jìn)行部署管理。目前，許多專業(yè)的信息安全產(chǎn)品公司提供的企業(yè)電子文檔安全產(chǎn)品已經(jīng)逐步成熟完善，它們可以對企業(yè)電子文檔資料進(jìn)行加密密級保護(hù)，實(shí)現(xiàn)用戶身份和文檔權(quán)限控制、終端管控、離線外帶審批、禁止非法拷貝等功能，較為全面的涵蓋企業(yè)的文檔防擴(kuò)散管理需要。

這些公司對大型企業(yè)和生產(chǎn)單位服務(wù)較多，功能齊全，擁有完備的國家權(quán)威機(jī)構(gòu)的資質(zhì)認(rèn)證，且均采用了內(nèi)核文件驅(qū)動層的加密技術(shù)，安全保障性高。它們的產(chǎn)品雖然在一些細(xì)節(jié)上各具特色，但主要功能是基本類似的，因此在企業(yè)選取防擴(kuò)散產(chǎn)品時(shí)，這些功能具有一定的對比性。

1.角色權(quán)限和密級管理

企業(yè)電子文檔防擴(kuò)散軟件主要通過對用戶按部門劃分角色和分配密級權(quán)限來進(jìn)行文檔擴(kuò)散管理。對不同的領(lǐng)導(dǎo)和員工按角色賦予文檔密級權(quán)限。

對不同部門可以設(shè)置默認(rèn)角色的文檔訪問權(quán)限并下發(fā)策略。這樣，分別屬于不同部門的不同人員角色在本部門的權(quán)限基礎(chǔ)上，能夠擁有一個或多個其他部門的閱讀和編輯權(quán)限，但是無法訪問權(quán)限外指定的文檔內(nèi)容，從而在內(nèi)部文件交流時(shí)實(shí)現(xiàn)細(xì)粒度的訪問控制。在對人力資源、財(cái)務(wù)、商業(yè)機(jī)密、科學(xué)技術(shù)成果等內(nèi)容進(jìn)行分類保護(hù)的同時(shí)，又不影響人員正?；顒印＿@一點(diǎn)通常是防泄密產(chǎn)品的技術(shù)難點(diǎn)，很多產(chǎn)品在權(quán)限和密級細(xì)分化的管理上不盡如人意，自身的密級管理策略存在很多沖突問題，因此往往需要嚴(yán)格測試檢驗(yàn)這部分功能的正確性和穩(wěn)定性。

2.定制策略模板

企業(yè)制定文檔防擴(kuò)散管理方案，通常需要預(yù)先配置好安全策略模板，主要包括配置企業(yè)人員角色身份和所屬密級、部門基本文檔加密規(guī)則、文檔離線外帶審批流程、日志記錄等策略模板。

3.客戶端管理

客戶端管理主要是需要對接入內(nèi)部網(wǎng)絡(luò)的員工客戶端機(jī)器和移動存儲設(shè)備進(jìn)行防擴(kuò)散權(quán)限管理。文檔管理可以使用指定磁盤加密技術(shù)，劃分加密目錄和解密目錄，加密目錄能夠?qū)λ幸迫氲奈募臀募A自動加密，解密目錄可以自動完成解密，便于對服務(wù)器共享目錄進(jìn)行管理。需要外發(fā)給客戶的文件，可加密成可執(zhí)行文件發(fā)送到客戶電腦上，并設(shè)定好讀寫的權(quán)限和次數(shù)，能夠正常的在非涉密環(huán)境運(yùn)行。移動存儲管理要求注冊移動設(shè)備，限制內(nèi)部和外部使用規(guī)則，對設(shè)備上文件的創(chuàng)建、讀取、寫入、重命名、刪除等操作權(quán)限進(jìn)行限制。

4.離線外發(fā)審批流程管理

在企業(yè)電子文檔防擴(kuò)散安全產(chǎn)品的應(yīng)用場景中，除了要對內(nèi)網(wǎng)設(shè)備進(jìn)行管控外，還需要處理好脫離內(nèi)網(wǎng)環(huán)境的設(shè)備工作問題。因此，對于員工下班后和出差時(shí)電腦可設(shè)定離線策略。

在離線過期后，設(shè)備對加密文檔不再擁有讀寫權(quán)限。但是仍可以向管理員申請續(xù)期。此外，審批可以針對企業(yè)內(nèi)具體管理情況，定制多個彼此獨(dú)立的單級審批和多級審批流程，每級可設(shè)置參與審批的人數(shù)，滿足企業(yè)的實(shí)際組織架構(gòu)需求。

5.日志報(bào)表管理

文檔防擴(kuò)散產(chǎn)品在使用過程中會完整地記錄管理操作和申請事件，產(chǎn)生日志報(bào)表。對于產(chǎn)生的日志報(bào)表，企業(yè)往往需要進(jìn)行歸檔和分析。管理員可以通過查詢?nèi)罩緛肀O(jiān)督用戶行為，并對泄密事件進(jìn)行跟蹤追溯。報(bào)表的數(shù)據(jù)統(tǒng)計(jì)部分可以查看注冊的所有主機(jī)狀態(tài)和各類審批事件的狀態(tài)。

企業(yè)部署實(shí)施方案

1.測試和部署

在進(jìn)行測試和部署前，首先需要進(jìn)行企業(yè)安裝環(huán)境調(diào)查，分別進(jìn)行單點(diǎn)功能測試，機(jī)型適配和操作系統(tǒng)兼容性測試。在企業(yè)內(nèi)部的某一個子部門投入試用，進(jìn)行局部穩(wěn)定性測試。在上述工作較為完善后，在全單位實(shí)行漸進(jìn)式部署，先通過域控等方法全面安裝客戶端，再將控制規(guī)則和策略功能逐步添加，過程中需要反復(fù)溝通修改和調(diào)試方案，最后完成成熟的部署效果。

步驟一：對企業(yè)軟件部署環(huán)境進(jìn)行摸底調(diào)查研究，對企業(yè)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、人員組織架構(gòu)和層級關(guān)系加以了解，對內(nèi)部數(shù)據(jù)交互情況、員工常用的軟件插件，殺毒軟件和設(shè)計(jì)軟件使用情況等進(jìn)行統(tǒng)計(jì)分析，將可能存在沖突的軟件加入到兼容性測試計(jì)劃中。此步驟主要為以后公司大規(guī)模的部署做基礎(chǔ)準(zhǔn)備，熟悉企業(yè)環(huán)境，以便制定具體部署實(shí)施方案。

步驟二：整理好企業(yè)的核心功能需求，根據(jù)需求逐條對各家防擴(kuò)散軟件進(jìn)行彼此獨(dú)立的功能測試。這一步主要在測試機(jī)上和虛擬機(jī)系統(tǒng)環(huán)境模擬運(yùn)行，需要搭建一個簡易的模擬應(yīng)用環(huán)境，在被測機(jī)器上安裝公司內(nèi)部常用的功能性軟件，然后測試時(shí)對防擴(kuò)散產(chǎn)品的使用情況進(jìn)行記錄和反饋。

步驟三：選取某一個子部門對所有功能試點(diǎn)運(yùn)行，測試部門之間文件傳遞效率是否受到影響，測試用戶人員之間交互，以及離線外發(fā)的審批過程。

步驟四：域控同步預(yù)安裝控制，在公司各部門中全部安裝文檔防擴(kuò)散系統(tǒng)，在此安裝過程中主要需要采用域推送的方式靜默安裝，在用戶入網(wǎng)驗(yàn)證檢測時(shí)捎帶部署。觀察服務(wù)器的運(yùn)行穩(wěn)定情況，客戶端是否出現(xiàn)異常，通訊和加解密授權(quán)等功能能否完成。

步驟五：漸進(jìn)式部署。逐步下發(fā)策略，下發(fā)控制策略對公司中的電腦下發(fā)控制策略，并觀察控制策略使用情況。對公司內(nèi)所有電腦逐步增加不同格式的下發(fā)加密策略，該階段為整個部署方案的核心部分，要保證客戶端加密解密策略生效后整個系統(tǒng)必須穩(wěn)定、正常的運(yùn)行。

步驟六：運(yùn)維管理。這一部分需長期維護(hù)軟件系統(tǒng)，并對軟件效果進(jìn)行評估，對相關(guān)管理人員和普通員工進(jìn)行培訓(xùn)。一個大中型企業(yè)通常由多個功能相互獨(dú)立的職能部門和子公司組成，部門之間存在著大量信息交互，難以確定該如何劃分密級權(quán)限進(jìn)行管理。員工難以習(xí)慣和掌握加密環(huán)境的使用，必須逐步培養(yǎng)和改變用戶的文檔使用習(xí)慣，幫助他們樹立數(shù)據(jù)安全防護(hù)意識。

2.性能評估

企業(yè)電子文檔防擴(kuò)散軟件部署完成后，需要對其性能進(jìn)行評估，主要包括穩(wěn)定性、安全性、擴(kuò)展和兼容性，運(yùn)行速度影響幾個方面。

穩(wěn)定性，包括服務(wù)器和客戶端運(yùn)行穩(wěn)定；控制臺顯示客戶端電腦信息；加密解密是否正常；不同用戶多次下發(fā)時(shí)加解密策略是否和策略設(shè)置內(nèi)容相同；系統(tǒng)容災(zāi)設(shè)置；網(wǎng)絡(luò)故障異常時(shí)默認(rèn)短期離線策略可以保證終端繼續(xù)查看加密文檔。

安全性，要求保證電子文檔的保密性、完整性和可用性；防止內(nèi)容被破壞、更改和泄露；保證辦公和應(yīng)用系統(tǒng)數(shù)據(jù)的存儲和使用安全，終端數(shù)據(jù)的離線策略的安全性，移動設(shè)備和存儲介質(zhì)的數(shù)據(jù)安全。

響應(yīng)速度，主要需要觀察控制臺下發(fā)策略和申請消息內(nèi)容是否能夠及時(shí)推送，分發(fā)不同軟件的加密策略是否能即時(shí)生效等等。

總結(jié)

企業(yè)文檔防擴(kuò)散產(chǎn)品應(yīng)用部署需要全面考慮加密文檔面臨的各種主動和被動擴(kuò)散風(fēng)險(xiǎn)；同時(shí)，應(yīng)盡量避免對系統(tǒng)資源的消耗和對內(nèi)部人員正常工作的影響，在安全和效率之間保持平衡。對于企業(yè)信息安全維護(hù)人員，不僅需要加強(qiáng)自身業(yè)務(wù)培訓(xùn)學(xué)習(xí)，還應(yīng)深入了解本單位的實(shí)際環(huán)境和電子文檔防護(hù)需求，合理選擇產(chǎn)品，并制定好安全防護(hù)策略和規(guī)章制度，在部署實(shí)施的各個階段不斷完善，以保證電子文檔防擴(kuò)散工作有效落實(shí)。