龍?jiān)? 王立星 劉超 王秋林

本文介紹了如何保證核心商業(yè)機(jī)密文件不發(fā)生失泄密事件，指出了可能存在的數(shù)據(jù)泄密安全挑戰(zhàn)，對建設(shè)一套可行的數(shù)據(jù)防泄密安全保障技術(shù)方案進(jìn)行研究，提出了做好文件保密相關(guān)工作的具體內(nèi)容，為后續(xù)安全保密系統(tǒng)的建設(shè)提供了較為全面的技術(shù)支持和理論指導(dǎo)。

一、背景

隨著互聯(lián)網(wǎng)時(shí)代的快速發(fā)展，日常工作對信息系統(tǒng)的依賴程度越來越高，員工在生產(chǎn)工作中逐步累積形成了很多有價(jià)值的數(shù)據(jù)，主要包括有生產(chǎn)經(jīng)營過程中產(chǎn)生的各類技術(shù)資料、招投標(biāo)文件、技術(shù)文檔、設(shè)計(jì)方案、管理過程文件等重要數(shù)據(jù)和信息。目前，這類數(shù)據(jù)的獲取、存儲(chǔ)、傳輸和處理等過程面臨的安全防護(hù)風(fēng)險(xiǎn)日益凸顯，需要考慮利用信息安全保密技術(shù)手段對這些涉及商業(yè)機(jī)密的重要數(shù)據(jù)進(jìn)行安全保護(hù)，避免因數(shù)據(jù)泄露造成不可估量的損失。

二、面臨的挑戰(zhàn)

由于數(shù)據(jù)本身具備“數(shù)量多、形態(tài)多、可復(fù)制、流動(dòng)快、跨組織”等特點(diǎn)，經(jīng)常在數(shù)據(jù)保護(hù)目標(biāo)落地方面會(huì)面臨很多挑戰(zhàn)。

（一）分類難

數(shù)量多、形式多，數(shù)據(jù)關(guān)系復(fù)雜，難以進(jìn)行梳理。對于內(nèi)容是否敏感由人主觀意愿判定，缺乏標(biāo)準(zhǔn)性。

（二）識(shí)別難

無法明確某類敏感數(shù)據(jù)在組織的整體分布情況。數(shù)據(jù)類型多、形態(tài)多、數(shù)量多，增加了內(nèi)容識(shí)別的難度。

（三）防護(hù)難

缺乏數(shù)據(jù)分類保護(hù)規(guī)范和分類分級(jí)安全策略。缺乏對不同數(shù)據(jù)在不同位置的風(fēng)險(xiǎn)評(píng)估視圖，保護(hù)難以下手。

（四）評(píng)價(jià)難

缺乏數(shù)據(jù)保護(hù)評(píng)價(jià)指標(biāo)、方法和數(shù)據(jù)。數(shù)據(jù)保護(hù)管控措施的有效性無法客觀評(píng)價(jià)。

三、數(shù)據(jù)保密技術(shù)方案

在日常運(yùn)行過程中，會(huì)產(chǎn)生兩部分的數(shù)據(jù)，一部分為涉密數(shù)據(jù)，一部分為商業(yè)機(jī)密數(shù)據(jù)。本次研究將針對涉密數(shù)據(jù)及商密數(shù)據(jù)兩部分分開進(jìn)行研究。兩個(gè)部分均建議采用多種安全防護(hù)技術(shù)手段組合的方式構(gòu)建企業(yè)的數(shù)據(jù)防泄密技術(shù)體系。

（一）涉密項(xiàng)目數(shù)據(jù)保密防護(hù)方案

涉密資料目前一般都是刻錄光盤后，由專人帶到相關(guān)單位進(jìn)行交付。因此需要單獨(dú)的物理隔離網(wǎng)絡(luò)用于承載保密項(xiàng)目的數(shù)據(jù)傳輸，主要從網(wǎng)絡(luò)物理隔離和數(shù)據(jù)安全防護(hù)、計(jì)算機(jī)終端防護(hù)等方面進(jìn)行安全保障。

1.網(wǎng)絡(luò)物理隔離

網(wǎng)絡(luò)物理隔離是指涉密計(jì)算機(jī)不直接或間接連接到非涉密網(wǎng)絡(luò)中。物理隔離是信息安全管理中非常有效的保護(hù)方式，能夠最大限度地保證內(nèi)部信息網(wǎng)絡(luò)不受來自外部的惡意攻擊，防止信息從外部進(jìn)行竊取。

2.文檔數(shù)據(jù)加密

采用文檔加密軟件對涉密項(xiàng)目的電子文檔進(jìn)行保護(hù)，保障文檔在創(chuàng)建、使用、傳送過程中的安全，避免被非授權(quán)人員獲得文檔或者文檔被非法傳送、使用。所有需要進(jìn)行文檔保護(hù)的項(xiàng)目組成員均需在工作電腦上安裝加密軟件客戶端，該客戶端會(huì)對用戶在密文模式下操作過的所有文檔進(jìn)行加密保護(hù)。技術(shù)細(xì)節(jié)如下：

（1） 文檔加密軟件可設(shè)置全盤落地加密策略或部分文件夾加密策略；

（2） 設(shè)置全盤落地加密策略時(shí)，啟用業(yè)務(wù)切換模式，對涉密項(xiàng)目允許用戶安裝加密軟件客戶端后手動(dòng)切換客戶端狀態(tài)。在使用涉密項(xiàng)目相關(guān)數(shù)據(jù)時(shí)，采用密文模式，對操作過的所有文檔自動(dòng)加密，并能夠直接打開已加密文檔；其他時(shí)候采用明文模式，不對用戶操作的文檔進(jìn)行加密，也不能查看加密的文檔；

（3） 涉密項(xiàng)目成員的工作電腦根據(jù)需要安裝加密軟件客戶端，根據(jù)項(xiàng)目成員對項(xiàng)目文檔的使用方式不同可授予不同權(quán)限（可刪除、可讀寫、只讀、可解密、可打印等）。

3.文檔數(shù)據(jù)保密傳遞

隔離專網(wǎng)若需與外面進(jìn)行數(shù)據(jù)交換，必須通過離線方式進(jìn)行。在安全防護(hù)區(qū)指定一臺(tái)計(jì)算機(jī)終端作為數(shù)據(jù)擺渡的“中間機(jī)”“中間機(jī)”配備刻錄光驅(qū)和USB接口，將涉密計(jì)算機(jī)上的數(shù)據(jù)通過專用U盤拷貝到中間機(jī)，以刻盤的方式進(jìn)行數(shù)據(jù)輸出，并在輸出前采取嚴(yán)格的審批管理制度，防止涉密信息從隔離專網(wǎng)非法流向外部。外部文件輸入到隔離專網(wǎng)內(nèi)，也是通過光盤拷貝到“中間機(jī)”，再用專用U盤將文件將“中間機(jī)”上的數(shù)據(jù)拷貝到隔離專網(wǎng)內(nèi)的計(jì)算機(jī)上存儲(chǔ)、使用。專用U盤只能在隔離專網(wǎng)的計(jì)算機(jī)上使用，禁止在外部網(wǎng)絡(luò)中使用。

4.終端接入控制

網(wǎng)絡(luò)隔離區(qū)采用計(jì)算機(jī)MAC地址與交換機(jī)端口進(jìn)行綁定的管理方式，計(jì)算機(jī)網(wǎng)卡MAC地址與交換機(jī)的端口一一對應(yīng)并進(jìn)行綁定，其他未連接涉密計(jì)算機(jī)的交換機(jī)空余端口全部禁用，從而防止外部的非涉密計(jì)算機(jī)接入到隔離專網(wǎng)內(nèi)。

5.終端防病毒

所有計(jì)算機(jī)終端全部安裝防病毒軟件，軟件病毒庫可直接通過互聯(lián)網(wǎng)進(jìn)行更新。網(wǎng)絡(luò)隔離區(qū)內(nèi)再分別部署一套防病毒軟件，定期對病毒庫進(jìn)行手工離線升級(jí)，保證隔離區(qū)內(nèi)計(jì)算機(jī)終端的安全。

（二）商業(yè)機(jī)密數(shù)據(jù)安全防護(hù)方案

商業(yè)機(jī)密數(shù)據(jù)是企業(yè)賴以生存的核心“數(shù)字資產(chǎn)”和核心競爭力，商業(yè)機(jī)密數(shù)據(jù)的安全防護(hù)也是企業(yè)高質(zhì)量發(fā)展的必備條件。企業(yè)在日常運(yùn)營過程中產(chǎn)生大量的商業(yè)機(jī)密數(shù)據(jù)，這些數(shù)據(jù)包括重大管理經(jīng)營數(shù)據(jù)、設(shè)計(jì)文件、生產(chǎn)、銷售、采購、財(cái)務(wù)、人力等信息，相關(guān)信息如被竊取將對企業(yè)造成巨大損失。同時(shí)，因?yàn)橥瑯I(yè)競爭、個(gè)人私利，或者合作商為了謀取自身利益的最大化，都有可能窺探企業(yè)內(nèi)部核心敏感信息。這些信息關(guān)系企業(yè)生存與發(fā)展的命脈，一旦流失將會(huì)讓企業(yè)面臨信譽(yù)、財(cái)務(wù)、生產(chǎn)運(yùn)營、隱私和法規(guī)遵從等多方面的威脅。

在涉密項(xiàng)目中可通過與互聯(lián)網(wǎng)隔離的方式實(shí)現(xiàn)數(shù)據(jù)安全。在商業(yè)機(jī)密項(xiàng)目中，考慮到用戶時(shí)常會(huì)使用互聯(lián)網(wǎng)與外部業(yè)務(wù)對項(xiàng)目文件進(jìn)行交互，因此安全防護(hù)方案將從網(wǎng)絡(luò)環(huán)境防護(hù)、員工辦公終端防護(hù)、數(shù)據(jù)日常監(jiān)測等三方面進(jìn)行考慮。

1.網(wǎng)絡(luò)環(huán)境防護(hù)

作為企業(yè)員工日常辦公的主要地點(diǎn)，保障企業(yè)辦公區(qū)網(wǎng)絡(luò)安全是數(shù)據(jù)防泄密的重中之重。通過部署監(jiān)控審計(jì)系統(tǒng)及郵件審計(jì)系統(tǒng)實(shí)現(xiàn)企業(yè)敏感文件的外發(fā)監(jiān)控及阻斷。

（1） 監(jiān)控審計(jì)系統(tǒng)部署

需在數(shù)據(jù)中心互聯(lián)網(wǎng)出口部署監(jiān)控審計(jì)系統(tǒng)，針對流量中的敏感內(nèi)容檢測與監(jiān)控，網(wǎng)絡(luò)DLP設(shè)備以旁路模式部署，從交換機(jī)、防火墻等設(shè)備將流量鏡像或分流到DLP系統(tǒng)中進(jìn)行協(xié)議分析并還原識(shí)別內(nèi)容，從而發(fā)現(xiàn)其中違反安全策略的敏感內(nèi)容風(fēng)險(xiǎn)事件，并根據(jù)預(yù)置響應(yīng)策略進(jìn)行記錄、告警、響應(yīng)、自動(dòng)化等動(dòng)作。

（2） 郵件審計(jì)系統(tǒng)部署

在網(wǎng)絡(luò)出口處部署郵件DLP網(wǎng)關(guān)，通過私有部署識(shí)別還原網(wǎng)絡(luò)出口流量中的郵件協(xié)議內(nèi)容實(shí)現(xiàn)對全量外發(fā)郵件的內(nèi)容監(jiān)控和審計(jì)。

2.辦公終端防護(hù)

終端DLP技術(shù)，對終端設(shè)備上所存儲(chǔ)的數(shù)據(jù)進(jìn)行識(shí)別與分類，實(shí)現(xiàn)內(nèi)網(wǎng)中的敏感數(shù)據(jù)識(shí)別。通過關(guān)鍵字及語義識(shí)別技術(shù)對數(shù)據(jù)進(jìn)行自動(dòng)發(fā)現(xiàn)，可以針對數(shù)據(jù)的重要程度進(jìn)行分類識(shí)別，針對識(shí)別引擎的特性，幫助根據(jù)敏感數(shù)據(jù)特征發(fā)現(xiàn)的工作流程，完成樣本分析，樣本整理、特征詞選擇等工作，并最終按照關(guān)鍵數(shù)據(jù)智能檢查系統(tǒng)能識(shí)別的格式導(dǎo)出預(yù)期的結(jié)果。

3.數(shù)據(jù)日常監(jiān)測

在做好企業(yè)網(wǎng)絡(luò)安全防護(hù)及員工個(gè)人辦公電腦防護(hù)工作后，可能有些企業(yè)文件或成果資料在員工居家辦公期間由個(gè)人家庭電腦編輯完成并發(fā)送給用戶方，用戶方可能會(huì)在不經(jīng)意間將資料上傳至百度文庫、百度網(wǎng)盤、道客巴巴等國內(nèi)知名知識(shí)分享網(wǎng)站，用于賺取一些積分或個(gè)人使用方便，此類文件的上傳會(huì)對企業(yè)的文件追蹤溯源造成較大困難，建議通過互聯(lián)網(wǎng)數(shù)據(jù)資產(chǎn)測繪軟件定期對互聯(lián)網(wǎng)上散布的企業(yè)資產(chǎn)進(jìn)行搜索排查。

四、結(jié)束語

隨著企業(yè)主營業(yè)務(wù)范圍的不斷擴(kuò)展，對于商業(yè)數(shù)據(jù)的安全保密工作越來越重要，如何規(guī)范化、科學(xué)、專業(yè)化地做好企業(yè)安全保密工作，實(shí)現(xiàn)保密工作零失誤的目標(biāo)，為企業(yè)業(yè)務(wù)拓展提供有力支撐，是企業(yè)目前面臨的一大挑戰(zhàn)。建議通過網(wǎng)絡(luò)環(huán)境防護(hù)、辦公終端防護(hù)、數(shù)據(jù)日常監(jiān)測的全生命周期數(shù)據(jù)安全防護(hù)手段。運(yùn)用網(wǎng)絡(luò)DLP、郵件DLP、辦公終端DLP及網(wǎng)絡(luò)空間資產(chǎn)測繪等多種手段，全方位保障企業(yè)重要文件的安全，可以實(shí)現(xiàn)文件數(shù)據(jù)安全的全生命周期管理，提升企業(yè)的網(wǎng)絡(luò)安全防護(hù)能力，為企業(yè)高質(zhì)量發(fā)展保駕護(hù)航。

作者單位：中鐵二院工程集團(tuán)有限責(zé)任公司信息技術(shù)中心