|
1. 前言 随着计算机及网络技术的不断发展，企业和机构的办公方式和业务流程也发生了较大的变化。大量计算机和网络设备的应用，使企业员工有了更为高效、便捷的办公平台。与此同时，数据信息的创建、存储、传输，以及共享方式也发生了革命性的变化。大量电子文档的出现，使数据信息的应用和传播为灵活和方便。
但是，由于计算机及网络设备的分散性排部，使企业和机构很难控制和监管员工在计算机上所从事的具体操作。也正是基于这样的原因，大量员工在上班期间，花费大量的时间和精力进行与工作完全无关的网络聊天、网站访问等，严重影响了办公效率，给企业带来了损失。并且这种行为很容易导致计算机或整个企业内部网络感染病毒、木马程序和间谍软件，造成内部网络中存储的重要数据信息受到破坏和窃取。除此之外，由于企业和机构将大量的核心机密信息和重要数据，例如财务报表、技术图纸、渠道名单等，以电子文档形式存储于内部网络中，也给信息的安全管理带来了较大的挑战。由于电子文档的易复制和易传递性，导致内部网络中的数据信息可以被很轻易地传输到外界，使企业的核心竞争力受到严重影响
只有首先树立安全意识、制定完善的信息安全管理制度，并采取先进的技术手段来深化制度的执行，才能真正有效提高员工的工作效率，加强数据信息的安全管理能力。这也是目前大多数企业和机构所要面对的首要问题。 
2. 企业安全管理现状
2.1 内部网络信息安全存在漏洞
内部网络是企业和机构业务流程运行和重要数据信息存储的主要环境。通过设置防火墙、入侵检测、防病毒等边界安全设备，大量来自外部的入侵和攻击已经被有效阻止和屏蔽。但是，目前信息安全事件的主谋已经不再单纯是网络黑客和恶意程序，企业正面临着新的信息安全威胁。这些威胁来自于内部员工对重要数据信息的无意泄密和恶意窃密，并且它们能够给企业造成更为严重的打击。
据 FBI 和 CSI 在 2004 年对 484 家公司进行的网络安全专项调查显示：企业在数据安全方面遭受的损失中， 80 ％来自于内部网络的攻击、泄漏和盗窃，只有 20 ％来自于外部网络的攻击。由于内部人员泄密导致了 6056.5 万美元的损失，是黑客造成损失的 16 倍，是病毒造成损失的 12 倍。
在所有被泄密和窃密的数据信息中，企业内部竞争性情报占据了绝大部分。企业内部竞争性情报主要指那些能够对企业发展造成重要影响的数据信息，具体形式包括：
企业的机密技术文件、产品研发资料
设计图稿
会计账目、财务报表
战略计划书
外购竞标信息、供应链、合作伙伴信息
重要研究成果
研究论文
市场营销策划资料
其他：如董事会、投融资等方面管理类资料，客户资料
一些企业拥有较为完善的电子文档涉密管理制度，并且由单独的文控中心负责制订、监督、审计企业内部重要情报信息使用状况。对整个管理流程来看，涉密管理制度已经能够对数据信息进行安全管理。但是由于数据信息的易复制性和易传输性，以明文形式存储的电子文档很容易在发放到个人手中后就失去了有效控制，极大的增加了管理的难度和安全的隐患。 
安全漏洞分析
隐藏的安全漏洞主要有不可靠的身份认证、电子文档明文存放、粗放的权限控制、文档权限无时效限制、数据信息传输途径无限制和无法追踪文件的使用情况等六类，下面将一一阐述。
1. 不可靠的身份认证机制 身份认证是指计算机及网络系统确认操作者身份的过程。计算机和计算机网络组成了一个虚拟的数字世界。在数字世界中，一切信息包括用户的身份信息都是由一组特定的数据表示。计算机只能识别用户的数字身份，给用户的授权也是基于所确认的用户数字身份进行的。
下面的场景可以帮助我们来了解身份认证的重要性。
场景一：不法分子在我离开的时候打开我的电脑，将我的《AAA渠道建设方案》用USB设备拷贝走了，而我完全不知；
场景二：我将重要文件放到服务器上共享给整个部门，结果其他部门的员工也进行了查看和下载。
验证一个人的身份主要通过三种方式：一是根据你所知道的信息来证明身份，假设某些信息只有某人知道，比如用户名、密码等，通过询问这个信息就可以确认此人的身份；二是根据你所拥有的物品来证明身份，假设某一物品只有某人才有，比如印章等，通过出示该物品也可以确认个人的身份；三是直接根据你独一无二的身体特征来证明身份，比如指纹、虹膜等。
目前，身份认证手段主要有密码认证、专用硬件设备认证和生物认证等。下面将对一些主要的身份认证方式进行分析。
1. 用户名/密码方式：简单易行,保护非关键性的系统，通常用容易被猜测的字符串作为密码，容易造成密码泄漏。由于密码是静态的数据，很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获，是较为不安全的身份认证方式。
2. IC卡认证：简单易行，很容易被内存扫描或网络监听等黑客技术窃取。
3. 动态口令：一次一密，安全性较高，但使用烦琐，有可能造成新的安全漏洞。
4. USB Key认证： 安全可靠，成本低廉 但需加强硬件的安全性。
5. 生物特征认证：安全性最高，但技术不成熟，准确性和稳定性有待提高。
通过先进的技术手段，实现将用户的物理身份和数字身份进行安全的确认，是企业整个信息安全体系建设的基础。 
2. 明文保存
目前，多数企业的电子文档都是以明文形式进行应用和传递的。虽然有些企业通过安全管理制度限制了浏览文档的用户，减小了文档的应用范围。但是，由于电子文档本身的易复制和易传递性，不法分子依然可以从文档的传输环节、存储环节、应用环节和共享环节来窃取其中的数据信息。 3. 粗放的权限控制
在多数情况下，企业内部信息的权限管理是粗放的。一旦企业将这些重要资料交给他人，就等于完全失去了对资料的控制，而接受方拥有了文档的全部应用权限。一般的资料（电子文档格式）权限有以下分类： 4. 文档权限无时效限制
文档权限无时效限制指的是资料递交给接授方后，接授方就永远拥有此资料的所有权，随时可以使用资料。
如果不对文档的应用时效进行限制，会产生如下危害：
1） 当员工离职，就可能带走公司的很多重要资料，可以永远重复的使用；
2） 与合作伙伴协同工作完成后，合作伙伴利用原有的资料用于其他项目； 5. 数据信息传输途径无限制
计算机终端和服务器是数据信息在内部网路中的存储和应用的主要载体。大多数数据信息被泄露到企业之外也均是通过这些终端的接口和设备（刻录光驱、USB等）、外部网络连接和访问（电子邮件等），以及各种应用程序（MSN、QQ等）等传输途径来传输的。如果不对这些传输途径进行管理，数据信息的安全将会面临巨大的风险。 6. 使用追踪
如果出现了泄密事故，那么我们首先需要关心的就是损失有多大，有哪些人参与，由于哪些操作导致泄密，需要追查哪些事故责任人。而目前对于大多数企业，由于没有采用有效的手段，只能通过人工方式调查取证，使得追查周期过长，损失加大，追查到真相的几率极低。 2.2 员工工作效率低下
与安全事件给企业带来的直接损失相比，由于员工低效工作所造成的间接成本损失同样不可小视。一份关于中国员工工作效率的调查报告显示，在工作时间内，中国员工每周花在网上处理私人事务的时间高达6.2小时，有60%的员工上网浏览个人信件，54% 的员工浏览娱乐网站，60%的员工浏览网上购物网站。同时，有83%的企业由于员工在办公时间内浏览与工作无关的网站，使自身有更多机会遭受到仿冒诈骗、间谍软件和其它网上攻击的威胁。
据此测算，一个500名员工的企业每年将由于员工低效工作而损失200万元人民币。同时，由于员工工作效率低下，往往还会带来对产品质量的影响，以及对计划和工期的延误，甚至对企业的业务和声誉造成打击。
除此之外，由于员工经常性的登陆各种网站，很容易将病毒及间谍软件等恶意程序引入终端甚至内部网络中，对企业的重要数据信息安全同样造成严重的威胁。因此，约束员工操作行为，提高员工工作效率，也是信息安全建设中的重要组成部分。 3. 企业安全管理问题的应对 3.1 概述
企业管理中所遇到的文档安全和员工效率两方面的问题，对企业的健康发展和壮大有着决定性的影响。只有有效解决这两方面的问题，企业才能在更为高效、安全的环境下全力开展自身业务。
对于企业的信息安全建设，我们应该从宏观、中观、微观三个不同角度来看待。在宏观的角度，我们应该首先明确准备去实现的安全体系建设目标。并且，这一目标应与企业的自身发展战略和业务流程紧密联系，使信息安全体系建设能够更好地为企业发展而服务。在中观的角度，我们能够根据企业的实际业务和需要，制定出一整套完善的管理制度、规则，并且要根据不同部门、人员的工作内容和性质，区别地设置权限等级。在微观的角度，关键就是通过合理的技术手段和产品，来实现和推动制度和法规的执行，完善企业的信息安全建设体系。并且由此来最终实现信息安全建设的目标，推动企业的发展。
在讨论防止情报泄漏的具体措施之前，我们先讨论成功实施情报安全管理的关键要素，只有这样，一切的行为活动才能达到效果：
围绕着竞争性情报安全保障这个目标，通过各种行为、活动达到目标；
实施方式要与组织文化一致：企业的文化要融入安全管理中。从集团的CI理念、公司使命、经营理念和核心价值观的认识入手，指导我们的实施方法；
来自管理层的有形支持和承诺：需要一把手或指定的安全管理负责人全力负责项目实施，监督。从而让制订的政策、使用的工具能深入到集团的各个角落，使大家充分认可，充分参与；
对安全要求、风险评估和风险管理的良好理解：对竞争性情报资产要有明确的认识，不要盲目的扩大安全范畴，加大管理复杂性，也不要有所遗漏；
向所有管理者及员工推行安全意识：意识到位，才能很好的遵守各项制度、程序；
向所有员工和合作伙伴分发有关信息安全方针和标准的导则：让所有参与者知道工作方式；
提供适当的培训和教育：对领导层、对员工都要有相应的、有针对性的培训教育，使得大家接受这套管理体系；
有效约束员工的上网行为：通过约束员工的上网行为和终端操作，避免企业的内部网络受到恶意程序的攻击和损坏；
用于评价信息安全管理绩效及反馈改进建议的综合平衡的测量系统；通过测量系统才能验证投资获得了应有的回报。
从现状分析而知，如果要改善现有的竞争性情报管理模式，首先需要树立安全保密的意识，然后制订针对电子信息保密的规范，并且在日常中贯彻执行。
我们既要有完整的、可靠的信息安全理论指导我们的方向，也要有经过验证的、实用的方案实现我们的想法，下面将分别介绍所遵循的体系及使用的方案。 3.2 ERM(企业权限管理)体系
FBI和CSI曾对发生过机密信息泄露事件的企业进行调查。调查显示97%的公司使 用了防火墙；72%的公司使用了入侵探测系统；70%的公司使用了基于服务器的访问控制；68%的公司在数据传输过程中应用了加密技术。因此我们可以看 出，上述技术没有一种能够从根本上解决电子文档的安全问题。防火墙，网络代理服务器，内容监控和过滤等网络控制手段，在一定程度上限制了网络的访问。但是，对于电子文档本身，这些网络控制手段几乎没有提供任何细分化的权限访问控制。PKI等加密技术，能够确保只有授权用户可以打开被加密的文件。但是当文件被打开之后，企业便失去了对文件的控制。因为使用者可以对文件进行任意的操作，为信息的泄密创造了机会。
因此，无论从企业目前的状况来看，还是企业前景的发展需求来看，都迫切需要一种革命性的技术出现。
目前，为了确保机密数据信息的安全，越来越多的公司借鉴数字版权管理解决方案，采用DRM技术防止信息的泄露和窃取。对于这种技术，Gartner 将它称为企业权限管理技术，即Enterprise Right Management(ERM). ERM主要用于公司的电子文档和邮件的安全管理，有效控制电子文档内容的具体使用权限。例如，哪些人，在哪些时候，能够对文档进行哪些操作。这些操作权限 包括阅读，拷贝，打印，转载，保存和编辑等等。
ERM 与传统安全设备相比，最大的区别在于ERM专注于数据信息本身的安全保护。而无论防火墙、IDS等设备，均是对企业数据信息应用环境（软、硬件环境）的安 全防护。传统安全设备虽然能够允许或拒绝用户访问机密数据。但这些技术对用户不能提供更加细分化的策略权限控制，也就是说它们不能限定用户具体的使用权限。因此，这种静态的提供“全部或零”权限的安全工具已经不能满足当今动态的业务需求了。
由于ERM通过保护文档本身来实现机密数据的安全，所以无论机密信息存储于哪一台计算机上，ERM所具备的访问保护和使用控制策略都能够将文档的应用权限准 确细分给不同的用户，从而避免机密信息被流失，窃取和修改。ERM解决方案具备集中式管理，强大的报表和审计等符合企业管理需求的功能特点，并且整合了其 他IT基础结构的主要功能，从而使这一方案从其它方案中脱颖而出。
总体而言，ERM是一个全面整合访问控制，数据机密性保护和应用权限细分的电子文档安全管理模型。ERM将具体的权限控制策略直接整合到电子文档中。策略的使用控制贯穿信息的整个生命周期，而不仅仅是信息的传输和存储等某个单独环节。 3.3 体系理论 我们依据BS7799信息安全管理标准，并通过有效执行PDCA的持续改进管理模式为企业提供情报信息的安全保护。
根据ISMS（信息安全管理体系），我们在计划（Plan）阶段通过风险评估来了解安全需求，然后根据需求设计解决方案；在实施（Do）阶段将解决方案付诸实现；解决方案是否有效？是否有新的变化？应该在检查（Check）阶段予以监视和审查；一旦发现问题，需要在措施（Act）阶段予以解决，以便改进ISMS。 3.4 安全漏洞理想的解决方案 3.4.1 可靠的用户认证
身份认证是整个信息安全体系的基础。身份认证不仅定义用户是谁，而且把“谁”与“什么”直接联系在一起。例如用户在组织中的角色是什么？用户需要访问什么资源和信息？他/她能够对信息进行什么操作，不能进行什么操作？身份认证提供了一个整体视图，使企业的策略和流程一致地应用于整个企业当中。
身份认证能够密切结合企业的业务流程，阻止非授权用户对重要资源的访问。
身份认证可以用于解决访问者的物理身份和数字身份的一致性问题，给其他安全技术提供权限管理的依据。
作为整个体系的实现基础，用户身份认证能够有效识别哪些用户是经过企业和组织授权的，并且拥有什么样的应用权限。通过身份认证，体系将会只允许授权的用户进入，并应用其中的电子文档资源，对于未经授权的用户，体系将禁止其进入。这样可以将体系的使用者从“所有人”限定到“经过授权的人”，缩小了应用范围，提高了管理的安全性。
在网络环境中，很难确定网络的另一端就是我们所期望的用户。如果我们在应用服务器之前安装认证服务器，而认证服务器主要负责身份认证。当认证服务器认证通过以后，将信息通知到后台的应用系统。后台应用系统将此用户的权限返回给客户端，用户可以按照相应权限进行操作。也就是说当用户使用文档时，在线通过身份验证获取使用权限，保证了文档的安全使用。 3.4.2 文档加密保存
与身份认证一样，电子文档的加解密同样也是实现体系安全的基础。通过对文档进行加解密，可以确保电子文档只能在授权的应用环境（计算机、服务器等终端）中，被授权的用户（文档的作者，以及授权解密者）解密和应用，从而有效控制了电子文档的应用范围。这时，即使有些不法分子通过一些特殊手段绕过了身份认证系统而进入体系，也无法将文档或具体内容带到授权环境之外。同样，体系内部的人员将加密的电子文档带入到其他环境中一样无法应用和解密。 3.4.3 权限实时控制
通过身份认证和数据加解密技术，非授权的用户已经无法获取企业和机构内部的电子文档，但是这并不能完全杜绝电子文档及其内容的外泄。据权威机构调查，在所有发生的机密信息外泄事件中，内部人员作案占据了80%的比重。所以说，对于文档的安全管理来讲，如何有效控制企业和机构内部人员对文档的应用是十分重要的环节。
在体系内部，对于电子文档的安全管理主要体现在以下几个方面：首先，由于不同用户所处的级别和工作的内容不同，所以同一份电子文档对于不同的用户应该有不同的应用权限。对于应用权限的管理，具体可以认为是哪些人只能浏览文档，哪些人可以打印，哪些人具备编辑的权限，以及哪些人具备完全控制（包括只读、编辑、解密的权限）。这样，既保证文档在共享状态下的安全使用，又可以完全控制文档的使用权限，有效防止电子文档的非法传播。 3.4.4 时间期限控制
控制文档的使用时间是文档安全管理的重要组成部分。通常将文档分发出去后，接受方就永远拥有此文档的所有权，随时可以使用该文档中的数据信息。这样很容易造成重要数据信息的外泄。对文档的使用期限加以控制，便可很好地解决这一问题。例如员工离职后，文件使用到期，即使拥有此文件也不能用。与合作伙伴协同工作完成后，合作伙伴无法将原有的资料用于其他项目。用户能够随时随地控制文件的使用期限，根据实际情况追加使用时间或缩短期限收回文件。 3.4.5 数据信息传输途径管理
通过对计算机各种端口和设备、应用程序，以及网络访问等进行安全控制，可以有效提升对数据信息传输途径的管理，确保重要数据信息无法被恶意传输到外界。同时，对上述应用环节的控制，也可以实现对员工上网行为的管理，不但可以有效提高企业的工作效率，还能减少企业内部网络遭受网络攻击和病毒感染的可能性，进一步提升了企业的数据信息安全。 3.4.6 全维日志追踪
日志审计功能能够监督、跟踪、记录所有用户的全部操作，实时查看系统的使用情况，。它可以从庞大的记录数据中抽取有用的信息，对用户的某些操作进行分类整理，通过操作记录回溯历史活动，从而发现泄密渠道。通过跟踪当前的用户操作，企业和机构能及时发现用户的危险操作，在泄密事件发现前就获得警报，制止泄密事件的发生。一旦泄密事件发生，通过用户操作记录, 企业可以第一时间拿出最有力的证据。
仅拥有以上功能的安全管理系统还不足以满足现代化企业对文档安全管理的要求。在实际工作中，各企业，以及企业中不同部门对安全管理的要求都不尽相同。这就需要一款不仅功能强大，而且要功能全面，能够应用于不同领域中的文档安全管理系统。除了能够解决一些常见的安全漏洞问题，对于一些文档安全的基本功能同样要满足，例如：
能够无任何数据损失地还原为源文件；
对做成文件有绝对控制权，防止二次泄密；
支持所有通用文件格式；
支持所有流行的操作系统；
客户端适用于多种平台；
加密文件可通过所有文件传输方式分发；
系统符合信息保护与管理法规。 4. NET-LOCK文档安全管理系统
为了满足用户对于文档安全管理的实际需求，思智泰克结合自己强大的技术实力，开发出了能够有效实施文档安全管理的NET-LOCK文档安全管理系统（以下简称NET-LOCK）。
NET-LOCK是针对于企业级用户的电子文档安全保护和管理系统。它能够对Microsoft Office、CAD、PDF等任意格式的电子文档及设计图纸进行加密保护，并且能够对加密的文件进行细分化的应用权限设置。通过实施 NET-LOCK ，企业可以有效杜绝机密信息泄漏和窃取事件的发生，保护企业的核心竞争力，全面实现企业权限管理（ ERM-Enterprise Right Management ）。
NET-LOCK 提供对电子文档本身的安全保护，并且贯穿产生、存储、传递、应用，以及销毁等生命周期的各个环节。确保企业的机密数据只能被经过授权的人，在授权的应用环 境中（例如企业内部），在指定的时间内，进行指定的应用操作，并且整个过程会被详细、完整的记录下来。
NET-LOCK由用户身份认证、数据加解密、文档权限控制、安全策略实施、日志审计五个主要功能部分组成，可以帮助用户建立完善的文档安全管理体系，实现对文档本身的安全保护，以及对文档传输途径的有效管理。
NET-LOCK提供极具易用性的文件共享功能。通过将本地计算机与文件服务器进行统一管理，文件所有者可以通过文件服务器将数据信息轻松共享给指定用户。并且在文件共享的过程中，NET-LOCK对文档的传输和存储均进行了高强度的安全加密保护，确保数据在流通中的安全性。当文件存储在文件服务器中时，非共享文件使用者（包括技术管理员）均无法看到共享文件的存在，更无法对文件进行解密。同时，通过NET-LOCK全面的文档应用权限管理功能，企业可以轻松实现对重要文档的应用控制。对于同一份电子文档，NET-LOCK可以有效做到有的用户只拥有浏览的权限，有的用户拥有浏览、编辑、打印等多种权限。指定用户的具体权限依赖于文件作者的设置。
从下载共享文件开始，共享文件的使用者对文件的浏览、存储、复制、输出等权限便受到了控制。这样使得所有使用者只能接触到自己业务范围内的有限文档，防止使用者之间非法复制、拷贝、对外发行。结合NET-LOCK对于文档传输途径的有效管理，杜绝了文件的共享使用者利用优盘、软盘、光盘、电子邮件、即时聊天软件等方式窃取企业的机密技术文件、工作文档、项目管理文档、会计账目、战略计划书、研究论文、客户信息等重要文档，从技术上防止因保密文档的共享和转发而导致的泄密问题，最终达到保护公司的机密信息和知识产权的目的。
解决问题: 对用户身份进行有效认证，确保只有授权用户可以登录内部网络中的计算机终端和服务器。
数据信息以加密形式保存和传输，只能在授权的应用环境（计算机、服务器等终端）中，由经过授权的用户（文档的作者，以及授权解密者）解密和应用，防止数据信息流失到企业外部。
通过对内网中的计算机和文件服务器进行统一管理，可以确保文档在传输和存储过程中的安全保护，当共享文档在文件服务器中存储时，非共享文件使用者（包括技术管理员）均无法看到共享文件的存在，更无法对文件进行解密。
文件所有者可以将同一文档对不同使用者设置不同的使用权限，增加了对重要电子文档应用范围的控制，防止内部人员越级、越权接触重要的文档。
日志审计为电子文档的泄密提供了追查依据。企业从而可以判断泄密事件是管理的问题还是技术的问题，采取对应的有效措施。
提供对企业和机构内部组织结构的支持，可以将对数据信息的安全管理融入到日常的管理过程中。
对文档的传输途径进行有效管理，在防止内部数据信息外泄的同时，还可以提高员工的工作效率，减少内部网络遭受恶意程序的攻击和来自外部的信息窃取。
4.1 方案构成
NET-LOCK由系统服务器、系统控制台以及客户端组成。在这其中，系统服务器对整个NET-LOCK系统数据及信息进行安全存储，是整个系统的运行基础。系统控制台可以帮助用户对整个NET-LOCK系统进行集中式的管理，具体包括用户管理、安全策略管理，以及日志的管理。客户端可以帮助终端用户实现对本地文件的安全保护，以及文件的安全共享和应用权限设置，并且能够实时执行控制台为客户端下发的各项安全策略。
系统具体结构如下图： 用户可以根据需要，在内部网络中设置多个文件服务器和认证服务器，并且可将这些服务器应用于专署的部门。同时，用户还需选择一台计算机安装NET-LOCK的控制台，从而实施对系统的集中式管理。在整个系统中，所有用户及用户组信息、文件密钥和文件权限信息均存储在数据库中。NET-LOCK支持SQL Server, My SQL, Access 2000等数据库类型 。 4.2 方案应用流程 4.2.1 文件安全共享
文件所有者利用终端上的客户端，先将需要共享的文件上传到NET-LOCK文件服务器。文件在上传服务器后，被自动进行加密，此时只有用户本人可以看到该文件的存在，并解密该文件。之后，文件所有者可以根据需要，设定文件的共享使用者。同时，文件所有者还可以对不同的共享使用者设置不同的应用权限，明确文档的应用范围。这些应用权限包括只读、打印、完全控制等。
当文件被共享后，系统会自动发送消息给共享使用者。当共享使用者通过身份认证，并成功登陆NET-LOCK后，就可以在终端中查阅消息的具体信息。根据提示，共享使用者可以从服务器上下载相应的共享文件，并且根据文件所有者的设置来对文件进行应用。除指定的共享使用者以外，其他的用户不会收到系统消息，并且也无法看到被共享的文件。 4.2.2 控制台集中式管理
管理员在控制台为部门或员工设置安全策略。在策略被下发后，客户端立即响应，并开始执行安全策略。员工将在安全策路的管理下对计算机进行操作。NET-LOCK的安全策略包括对网络访问、终端应用程序以及终端应用设备的控制和管理，可以有效防止内部人员利用这些传输途径泄露企业的数据信息。同时，控制台还不断收集来自于客户端的操作日志，确保策略能够被顺利执行。 4.3 方案特点
终端用户只能根据组织的要求在计算机上进行操作；
根据用户的不同级别，可以设置文件的不同使用权限（只读、打印、编辑、完全控制）和使用期限（过期后文档无法使用）；
与Windows系统全面整合，支持托、拉、拽等常用操作，让用户快速掌握系统应用；
实时监控共享文件使用者使用文件的情况。除授权用户外，任何人均无法应用和解密受保护的文档；
防止用户非法拷贝、复制、打印、下载文件；
防止用户通过电子邮件、移动硬盘、优盘、软盘等泄密；
可以进行用户、用户组、安全策略的管理；
与办公自动化实现无缝连接，根据工作流程建立策略，对用户权限实现模块化设置；
支持离线文档的权限设置，确保共享文件使用者在离现状态下只能按要求来对文档进行应用； 4.4 功能特点 1. 先进的用户身份认证功能
对用户身份进行认证是信息安全体系建设的基础。只有首先区分出哪些用户是经过授权的，并且只允许经过授权的用户登录内部网络和访问关键的数据信息，才能做到信息安全体系的安全性。如果不对用户身份进行安全认证，对任何人都开放权限的话，那么企业和机构将面临巨大的安全威胁和风险。
NET-LOCK支持USB电子锁、智能卡、指纹、声纹、虹膜等多种先进的终端用户信息认证方式。与传统的用户名/密码登陆手段相比，硬件认证设备具有更为突出的安全性，确保只有用户本人才能登录终端和内部网络。 2. 强大的数据加解密功能
NET-LOCK采用思智泰克先进的数据加解密技术，基于应用级对数据进行安全保护。用户可以将任意类型的文件加密成密文形式。整个加密过程安全、简便、快捷，不会生成任何可能泄密的临时文件，对用户的操作也不会产生任何影响。当用户在登陆NET-LOCK系统后，可以像操作普通文件一样地应用被加密保护的文件，文件的加解密转换完全在系统后台完成。并且，在任何存储介质中，被加密过的文件将始终保持加密格式，只有授权用户才能进行解密和应用。 3. 丰富、实效的安全管理策略
NET-LOCK提供丰富、全面的安全管理策略。从运行状态来看，策略可以分为在线策略和离线策略。在线策略是指NET-LOCK客户端与NET-LOCK服务器建立有效连接的情况下，客户端所运行的安全策略；离线策略是指NET-LOCK客户端与NET-LOCK服务器没有建立有效连接的情况下，客户端所运行的安全策略。通过采用在线和离线两种策略实施机制，可以有效做到无论系统中的终端处于何种工作状态，均能接受NET-LOCK所建立的安全管理体系的管理。
在内容方面，NET-LOCK安全策略具体包括存储管理类策略、网络管理类策略、文件存取控制类策略、系统管理类策略、其他类管理策略。
存储管理类策略
存储管理类策略能够有效控制计算机终端中的存储介质和端口，确保终端中的数据信息不会通过这些途径而被非法泄露，保护重要文档的安全。 具体内容： USB存储控制
软驱控制
光驱控制
USB存储控制（离线）
软驱控制（离线）
光驱控制（离线）
网络管理类
网络管理类策略能够有效控制NET-LOCK系统中的终端对网络的访问。它可以有效控制终端能否上网，以及允许上哪些网站，禁止上哪些网站，从而提高员工的工作效率，防止恶意网站上的病毒程序和间谍软件的入侵。 具体内容：
网络访问控制
网络访问控制（离线）
文件存取控制类策略
当用户将共享文件下载到移动计算机后，可能会携带移动计算机外出办公。在这种情况下，如何控制计算机中的共享文件将是管理者所关注的问题。当用户将共享文件从服务器中下载到客户端计算机后，共享文件将会以加密形式保存。如果用户没有被配置该项安全策略，在离线的情况下将无法应用共享文件；如果用户被配置了该项安全策略，则可以按照文件作者所设置的权限对共享文件进行应用。 具体内容：
服务器文件访问（离线）
系统管理类策略
系统管理类策略可以帮助管理员实现对紧急事件的快速处理。策略类中的键盘控制、鼠标控制、计算机挂起等能够帮助管理员在第一时间实现对可疑终端（例如，正在窃取数据信息的终端）进行紧急处理，避免损失的进一步扩大。 具体内容：
键盘控制
鼠标控制
允许卸载
计算机挂起
打印控制
键盘控制（离线）
鼠标控制（离线）
打印控制（离线）
其他类管理策略
在其他类管理策略中，管理员可以实现对应用程序进行在线和离线情况下的安全管理。通过相应设置，管理员可以有效禁止即时聊天工具、FTP等信息传输途径，确保了数据信息的安全，并且还可以提高员工的工作效率，避免员工在上班时间花费大量的精力去从事与工作无关的事情。 具体内容： 应用程序控制
客户端自动升级
应用程序控制（离线）
在策略实施过程中，通过灵活地配置安全管理策略，企业不但可以有效管理数据信息的传输途径，还可以方便地实现对全局、用户组以及个人用户的计算机应用行为控制，杜绝员工在工作时间内进行网络聊天、玩游戏，以及浏览娱乐、购物网站等与工作无关的行为，有效提高企业的工作效率，杜绝恶意程序和病毒的侵入。 4. 安全的文件共享及灵活的权限管理机制
通过NET-LOCK，用户可以轻松、准确地将文件共享给系统内的任意用户或用户组。并且，电子文档的所有者和管理者，能够根据实际需要，为文档的共享使用者设定相应的操作权限，被共享者只能按照所授权限进行文档的相应操作。这些权限具体包括只读、编辑、打印、完全控制，以及可再共享等。同时，所有权限设置均支持在线和离线等多种工作状态，确保电子文档无论处于何种状态，均能得到NET-LOCK的安全保护，有效杜绝重要数据信息的外泄。
NET-LOCK广泛支持Office、PDF、 AUTOCAD、TXT、JPG等多种格式。通过文档权限限制功能，企业可以对文档的应用范围进行更为细分的管理，在更深的层次保护数据信息的应用安全。
为了保证文件在共享中的安全性，NET-LOCK采用了数据加密传输和储存的方式。从文件作者将文件上传到服务器开始，文件就被自动加密。并且加密后的文件只能被授权用户看到并进行下载和解密。除此之外，任何人都无法看到和解密共享文件，杜绝了内部人员越权、越级查看、获取数据信息，确保数据在共享中的安全性。
当用户下载并打开共享文件后，如果该文件只被授权为“只读”权限，则键盘上的“PrintScreen”（屏幕拷贝）功能键被自动屏蔽。用户无法通过屏幕拷贝来复制、获取文档的具体内容，进一步提升了点在文档在共享和应用中的安全性。 5. 全面的日志审计功能
NET-LOCK提供全面的日志审计功能，可以有效记录客户端计算机在在线和离线情况下的所有操作情况。对于所记录的信息，NET-LOCK能够根据重要性程度对其进行自动的分级设置，并且将级别较高的事件记录自动上传到服务器中进行备份。
NET-LOCK的离线日志审计功能可以确保员工即使离开企业的内部网络外出进行商务活动，企业依然可以在其重新链接到内部网络后，了解员工对于文档的具体操作。
通过记录终端、服务器和控制台中的用户操作过程，以及对突发安全事件的详细分析，NET-LOCK日志审计功能能够为管理者完善和加强事前防御手段提供积极的参考。同时，为企业和机构内部的安全事件调查提供有力的追踪依据。 6. 及时消息管理
NET-LOCK能够实现各终端之间，以及终端与服务器之间系统信息的发送和接收。便捷的消息功能，可以帮助用户快速地了解各类系统信息，完成相应操作。 7. 多级服务器管理
对于组织结构庞大的企业和机构来讲，实现所有部门的统一文档安全管理是整个安全管理体系建立的基础。NET-LOC有效支持多级服务器的管理模式。通过对多个服务器的统一管理，NET-LOCK能够最大限度提高分布于企业内部的多个服务器的协作能力，以及每个服务器的应用效率。这样可以让整个企业和机构完全纳入在NET-LOCK所建立的信息安全体系之中，确保每个终端都可以受到安全的保护和管理。并且，NET-LOCK能够支持 MYSQL 、 SQL SERVER等多种数据库类型，便于企业的实施和应用。 8. 人性化应用设计
企业和机构在建立完善的信息安全管理体系的过程中，除去初期的采购成本和实施成本，体系在运行过程中的维护成本，以及为了适应体系而需要投入的大量培训成本、制度建立成本和员工使用效率成本等均需要大量的花费。并且，在这些成本中，员工使用效率成本往往是所占比例最大的。
为了帮助企业减少此方面的成本投入，NET-LOCK在用户易用性上做了大量的工作。NET-LOCK能够广泛支持Windows操作系统的常用快捷操作。用户可以通过鼠标的托、拉、拽等快捷方式，以及鼠标右键功能，轻松实现文件的加密、解密、共享和权限设置等操作。无论是系统管理员，还是客户端用户，所有人都可以在简单参考使用说明后轻松掌握NET-LOCK的具体应用。 4.5 方案基本运行环境
要安装和部署NET-LOCK文档安全管理系统解决方案的服务器、控制台和客户端必须满足最低系统要求，如下表所述： 4.6 实施步骤 4.6.1 策划与准备 4.6.2 文件的编制 4.6.3 运行
运行的原则是“先点后面，先集中在分散”，我们先在IT部门使用文档安全管理体系，让其在部门内部运作良好。
然后，将整个企业纳入到运行成熟的文档安全管理体系之中。
在运行过程中，严格遵循项目管理办法，形成定期的沟通和汇报制度，并及时将项目进展汇报给领导层。 4.6.4 审核与评审
在运行3个月后，对运行情况进行审核，组成领导及专家小组从各个方面评审执行情况，提出改进意见。 5. NET-LOCK使用前后效果分析
|
