虹安数据泄露整体解决专项方案.doc

虹安DLP4.0数据泄露防护
系统整体解决方案

公司名称：深圳市虹安信息技术有限公司
公司地址：深圳市南山区高新南一道赋安科技大厦B座308
邮政编码：518057
公司网址：
联系电话：[phone]
传 真：[phone]

目 录
1. 背景概述 3
2. 应用现状 4
3. DLP4.0方案 5
3.1. 安全概述 5
3.2. 数据风险 6
3.3. DLP4.0解决思想 9
3.4. DLP4.0系统安全架构 12
3.5. DLP4.0解决效果 13
3.6. DLP4.0解决方式 13
3.6.1. 基于PKI/CA体系身份鉴别 13
3.6.2. 数据透明加密保护 14
3.6.3. 构建数据安全区域 14
3.6.4. 灵活人员访问权限 14
3.6.5. 全面外设管控 15
3.6.5.1. 移动存储U口管控 15
3.6.5.2. 外设及端口管控 16
3.6.6. 文献发送管理 16
3.6.7. 文献外发控制 17
3.6.8. 安全日记审计 18
3.6.9. 数据备份恢复 18
3.7. DLP4.0应用布置方案 19
3.7.1. 工作方式 19
3.7.2. 布置方式 20
3.7.2.1. 内部布置方式 20
3.7.2.2. 外部布置方式 21
3.7.3. 实行环节 21
3.8. 方案特色 21
3.9. 方案价值 23
3.10. 系统安全性 24
3.11. 运营环境 27
4. 供应商简介 27
4.1. 关于虹安 27
4.2. 技术和服务 28
4.2.1. 售后服务 28
4.2.2. 培训服务 29
4.3. 产品资质 29

1. 背景概述
当前，公司内部安全性规定依然重要集中在系统安全性以及防病毒和黑客入侵等方面网络安全性。对于老式PC终端而言，由于每台机器均有本地存储和网络功能，数据安全短板效应无法避免，安全维护成本也居高不下，并且效果往往不尽人意。因而需要在对既有应用业务模式不影响状况下，可以对数据进行全面而有效安全防护。
当代公司规模庞大、分公司及分支机构繁多并且分布广泛，需要大量业务数据信息作为支撑。公司信息化飞速发展使得公司各部门之间可以迅速地获取、传递、解决和运用各自所需信息，提高办公效率，节约办公费用，使管理者能实时、动态地理解到本单位各种资源实行状况。
但是由于业务上需要，公司需要开放移动存储设备、计算机外设和网络资源，公司布置老式网络或者系统安全设备和系统已经不可以较好好适应信息安全形势新变化。一方面，为公司顾客提供正常办公及解决内部业务使得文档交流传播过程难以安全可控，文档脱离内部管理平台容易导致文献扩散和外泄。另一方面，内部终端顾客文档操作行为管理也不规范。最后，公司内部移动存储设备可以随旨在任意物理终端计算机上使用，容易感染病毒和泄密；移动存储介质丢失后，极易导致敏感数据泄密。
为提高公司内部数据协同和高效运作，实现内部办公文档交流过程安全可控，实现文档脱离内部管理平台后能有效防止文献扩散和外泄。对于内部文档使用范畴、文档流转等进行控制管理，以防止文档内部核心信息非法授权阅览、拷贝、篡改。既防止文档外泄和扩散，又支持内部知识积累和文献共享目。此外，数据安全同步更加注重顾客操作体验感受。
2. 应用现状
依照公司信息化业务应用需求，公司每个员工业务操作方式重要集中在终端之上，但也会从OA应用系统、文献服务器或者邮件系统等应用服务系统中浏览数据或者下载文档，存在如下重要几种方面数据安全隐患以及操作体验规定，如下图所示。
1） 、员工可以通过物理终端U口以及各种外设端口将数据泄露出去，例如，通过U盘等移动存储以及打印机设备，可轻松进行数据拷贝；
2） 、员工通过网络形式将数据泄露出去，例如，通过邮件方式、IM即时通讯工具以及各种网络工作传送数据至外部。
3) 、由于业务共享协作需要，外发出去数据在安全保护前提下，不影响正常使用；
4）、公司内部人员之间数据交互需要保持安全和流畅；
5）、公司内部人员与外部客户之间数据交互需要保持安全和流畅；
6）、公司内部人员业务外出、在家办公等场景数据交互安全和流畅；
7）、分支机构、移动出差人员需要进行内部文献以便快捷审批。

图1、公司数据安全业务应用现状
3. DLP4.0方案
3.1. 安全概述
科技和商业飞速发展，公司机密数据和内部敏感信息安全越来越重要，一旦这些信息和数据被泄密，公司往往会蒙受巨大经济损失。
随着信息技术进步，计算机和网络已成为寻常办公、通信交流和协作互动必备工具。但信息技术提高人们工作效率同步，也对信息安全防范提出了更高规定。
当前大多数顾客对办公网络安全防范方式，依然停留在采用防火墙、入侵检测、防病毒等被动防护阶段。在过去一年中，全球 98.2％计算机顾客使用杀毒软件，90.7％设有防火墙，75.1％使用反间谍程序软件；有 83.7％顾客遭遇过至少一次病毒、蠕虫或木马袭击事件，79.5％遭遇过至少一次间谍程序袭击事件。而国家计算机信息安全测评中心数据显示：机密资料通过网络泄漏导致损失单位中，其中被黑客窃取和被内部员工泄漏，两者比例为：1：99。这是来自于国家计算机信息安全测评中心一种数据，该调查显示，互联网接入单位由于内部机密通过网络泄漏而导致重大损失事件中，只有 1%是被黑客窃取，此外 99%所有是由于内部员工故意或无意泄密行为所导致。
在外设管理方面，有50%公司因USB使用不当而丢失数据。顾客可以随意接入各类外设和移动存储设备，带走内部资料。如：U盘、移动硬盘、手机/MP3/MP4、CF/MD/SD卡、数码相机……这些外围设备容量越来越大，但体积越来越小，无疑提高了效率，给工作带来便捷。但在愉悦享有高科技产品带来便利之时，也给信息安全带来严重威胁，让别有专心者有可乘之机。受利益驱使，也许会有内部员工直接参加盗取重要信息数据行为，近年来，类似力拓“间谍门”泄密事件时有发生。
近年来，数据安全保护模式正悄然发生变化，由老式PC终端系统或者网络安全防护逐渐面向以数据为中心安全保护模式，如何防范内部泄密事件，安心享用当代科技便捷？如何保护好公司智力资产，保持市场信息优势呢？是摆在每一种信息化公司面前重要而急迫课题。
3.2. 数据风险
依照国际权威机构Garnter调查数据表白，97%泄漏事件源自公司内部：人员流失，以及任何故意或无意操作行为，或管理疏漏，均有也许对公司导致巨大经济损失。
当前，基于公司内部现存网络流通一系列文档，如果此类文档外泄、扩散、丢失，很有也许导致竞争对手先于市场得到公司产品机密或者商业秘密，导致不可预计损失。依照对公司既有数据业务应用模式，来自公司内部安全威胁和风险重要有如下几类：
l 数据泄密通道风险-U盘等移动存储设备以及打印机等外部设备
序号
数据风险类型
数据风险描述阐明
1
U盘等移动存储设备丢失/被盗
据记录，高达80%以上公司发生过U盘丢失。若内部人员随意拷贝文献必将导致内部机密文献泄密。
2
U盘等移动存储设备交叉使用
“轮渡”木马病毒对于U盘等移动存储介质交叉感染危害非常严重。 
3
使用外部U盘等移动存储设备
对USB端口没有集中管理，导致外部U盘也可以在内网使用，无疑存在着较大泄密隐患。
4
外部人员恶意拷贝敏感信息
同样是由于对USB端口没有集中管理因素，会导致外部来访人员，在停留期间可以非常容易用U盘等移动存储设备，拷贝敏感信息。

5

内部人员恶意拷贝内部机密资料
如离职人员等，此类案件已屡见不鲜。4月，卢某擅自离职，并将某电器公司各类硅钢片特性参数及计算参数表等三项技术资料电子文献，拷贝到南海区松岗某电器厂，并任该厂技术负责人。
6
通过U盘等移动存储介质泄密事后追溯困难
大某些公司，因缺少必要技术手段，使得使用者在内部或者外部操作U盘时虽然进行违规操作，也无法有效审计和取证。
7
U盘等移动存储介质报废管理不善
对已损坏需要报废涉密介质，没有实行集中销毁，随意乱扔和丢弃等，都在不同限度上存在泄密隐患。
8
文献打印管控不力
文献打印如果没有进行必要管控，将会导致几乎每台计算机终端都具备打印功能。
9
忽视红外、蓝牙、内置MODEN、光驱、刻录机等各类外部设备泄密
一是内部人员可以通过上述途径，故意泄密；二是外部人员可以通过无线网络信号接受网络信息，导致泄密事件悄然发生。
表1、U盘等移动存储设备以及打印机等外部设备风险
l 数据离线外发风险-移动办公、效果展示、协作外发等应用场景
序号
典型安全风险应用场景描述
1
在制造业代工生产模式下，公司需要将设计资料发给外部代工公司进行生产制造 。被合伙方故意或无意向外扩散、泄露；
2
公司把各种核心产品文档、内部资料交给业务人员出差交流以及
演示使用 。被外出人员故意或无意向外扩散、泄露；
3
产品项目投标活动中，公司往往需要将标书发给招标方开展有关活动 。被招标方故意或无意向外扩散、泄露；
4
公司将其设计成果提交给客户使用。被使用方故意或无意向外扩散、泄露；
5
公司将有关资料、课件或软件提交给顾客使用。被使用方故意或无意向外扩散、泄露；
6
公司内部人员由于工作业务需要，需要将有关设计或者制作成果给故意向客户进行效果演示，容易发生成果泄露状况；
7
公司内部人员往往需要将与工作内容关于文献带回家进行工作，需要既满足以便工作规定，又能防止数据泄露。
表2、数据离线外发风险-移动办公、效果展示、协作外发等应用场景
l 数据内部流转风险-部门之间、分公司之间数据互换和流转
序号
数据安全问题
数据安全问题所带来后果
1
身份认证强度
未经授权人员查看没有权限文档；
2
合理访问授权
权限不合理授权控制会导致文献“扩散传播”；
3
内部积极泄密
1） 、内部人员积极故意泄密；
2） 、内部人员被动无意泄密；
4
泄密方式监测
通过拷贝、另存、打印等方式保存文献副本；
5
外部非法窃取
非法恶意人员通过网络集中批量窃取内部资料

6

存储设备丢失
1） 、内部人员恶意拆卸硬盘等存储设备；
2） 、移动出差办公意外将笔记本电脑遗失；
3） 、笔记本维护人员故意将数据泄露出去；
7
文档过期使用
1）、离职人员将存储机密资料笔记本带走；
2）、暂时人员离开内部环境后仍能使用资料；
8
使用范畴限制
1） 、文献需要保证在一种部门区域内使用；
2） 、文献需求保证某一台固定终端上使用；
9
文档意外损坏备份机制
1） 、因意外掉电或者设备破坏导致文献损坏；
2） 、因不符合正常操作流程导致文献损坏；
3） 、防止员工离职后恶意删除电脑文献；
10
文档有序归档
受保护文档类型需要集中备份存储，并且容易进行还原操作；
11
文档安全审计
记录文献产生、使用到销毁整个过程行为。
表3、数据内部流转风险-部门之间、分公司之间数据互换和流转
l 应用服务接入数据安全风险-分支机构、暂时人员、网络黑客、移动办公人员等不同类型人员对公司内部应用服务安全接入，例如OA、邮件服务、文献集中存储服务器等。
序号
典型应用场景
数据安全风险描述
1
分支机构
分支机构可以通过不同形式网络迅速接入到公司内部网络，从而进行数据安全互换；
2
暂时人员
在以便暂时人员加入内部团队工作同步，需要控制暂时人员接入内部网络安全时效性以及使用内部资源访问权限；
3
网络黑客
需要防止网络黑客人员对内部计算机终端或者应用系统袭击访问，导致数据集中泄露；

4

移动办公
移动办公人员往往携带NoteBook、IPAD、Mobile等便携式设备进行内部文献审批，邮件往来等业务；

5

离线调试/演示
制造型公司由于业务需求，普通需要对离线控制终端电脑进行程序或者参数调试或者演示，因而既要满足此种状况下离线安装布置和控制需要，同步也要可以将数据进行有效保护；
表4、数据内部流转风险-部门之间、分公司之间数据互换和流转
l 对重点部门核心数据进行安全加固防护-例如三维设计、图纸工艺等
1、 当代公司普通使用文献服务器、邮件服务器、OA应用服务器等业务应用系统，工作数据统一集中存储于这些服务器之中，其安全保护力度需要更加具备针对性并保证可用性。
2、 重点部门核心数据往往具备在固定团队和一定范畴内流通明显特点，并且这些数据普通也涉及到公司核心竞争力，因而需要从存储、使用、网络三个层面全方位予以进行安全分层、安全区域保护。
上述风险分析中可以看出数据在使用、传播、存储过程中最容易浮现安全隐患。数据安全要立足于顾客终端，并延伸至网络，从数据安全源头抓起，才干从主线上解决安全问题，才干做到有放矢，更具针对性和前瞻性。
3.3. DLP4.0解决思想
虹安公司针对公司数据保护类型重要限度，提出以数据特点为设计原则，以安全风险为驱动，以模块化设计为思想，以服务客户为目的整体安全解决方案。详细分析客户管理模式和业务流程，评估存在数据泄漏风险，并在客户既有业务系统基本之上，提供针对性安全解决方案，协助公司顾客改进和规范客户数据风险管理体系。如下表图所示。

图、数据安全产品整体设计理念示意

序号
数据安全风险
相应数据安全产品
安全解决思想及手段描述

1

数据泄密通道风险

U盘外设安全管控
采用设备访问控制、数据加密和安全审计等手段，针对每一类外设设立控制方略，保证终端硬件完整性，提供数据安全互换通道。

2

数据离线外发风险

文献外发控制管理
适应公司业务外协合伙和数据集成共享数据资产保护需要，提供数据加密、身份认证、访问控制等多层安全服务，有效防止外发文献扩散传播泄露。

3

数据内部流转风险

文档安全管理系统
采用文献透明加密思想，结合以数字证书为核心顾客身份认证，运用文献访问授权和控制机制，全过程监测数据使用状态，并形成详尽安全审计日记供事后跟踪。

4

应用服务接入数据安全风险

基于PKI/CA体系数字证书认证机制
结合密码口令、硬件USBKEY、数据软证书、合同握手、安全标记等不同手段保证应用服务接入唯一合法性以及可控性。

5

对重点部门核心数据进行安全加固防护

数据安全区域防护
采用成熟安全设备隔离、存储隔离、应用隔离、网络隔离等终端多重安全隔离技术，在个人终端存储设备上构建起数据安全区域和和非数据安全区域。有效解决安全性与易用性之间矛盾。

6

其他层面数据安全风险

可以针对虚拟化应用数据、浏览器呈现数据等安全风险防护解决方案
虚拟化应用数据:在终端基本上构建一种或者各种虚拟桌面，作为内部网络以及云端安全接入端点。
浏览器呈现数据：保护应用系统以页面形式呈现机密信息可看但不被盗用， 并在不变化既有应用系统以及重新配备访问权限前提之下，针对不同人员隐藏/显示核心字段信息，解决重要信息在IT业务系统中安全传播问题。
表5、数据安全风险、安全产品、安全解决思想相应关系
3.4. DLP4.0系统安全架构

图1、虹安DLP数据泄露防护系统安全架构
虹安DLP系统采用基于B/S+C/S控制和管理模式，结合安全功能执行与安全控制方略分离思想，使得系统安全控制功能执行更加有效，安全控制方略管理更加高效。

图2、虹安DLP系统软件架构示意图
虹安DLP数据泄露防护平台采用开放式体系构造可扩展安全管理理念，简化了所有规模组织风险与合规性管理统一性和效率。平台从办公文档、设计图纸和数据使用环境隔离两个核心层面进行防护，采用认证、加密、标签、审计、内核驱动、沙箱、还原、访问控制、应用防火墙等技术，对公司机密文档、U盘外设、外发文献、浏览器应用、移动存储设备、笔记本计算机、应用系统机密信息进行控制与保护，从而构建保护公司数据完善立体纵深防御系统。通过数据安全平台，可以轻松协助公司实现数据安全应用和管理。
n 集中平台管理
多角色访问控制技术:系统维护、安全方略、安全审计三权分立；
统一安全框架:统一管理终端、数据、行为、设备安全防护，制定适合管理需要方略
Web单一界面：整合多层次体系构造、强大安全方略设立、顾客及终端安全状态；
n 灵活布置
应用按需添加：分层提供服务、功能组件模块化应用按需添加 ；
系统广泛兼容：与Windows 域无缝集成，兼容主流杀毒软件，全面支持WIN7及64位操作系统 ；
C/S+B/S架构：广泛适应于移动办公、异地管理、暂时接入等使用场景；
3.5. DLP4.0解决效果

图3、数据安全解决整体解决方案效果示意图
3.6. DLP4.0解决方式
3.6.1. 基于PKI/CA体系身份鉴别

图4、基于于PKI/CA体系顾客身份访问认证
严谨顾客身份访问认证：客户端登录使用时，先在服务器端做身份认证，当确以为公司合法顾客时，会针对每人颁发一种证书。每次登录时，需要确认是合法顾客，才干访问服务器以及安全文献。
3.6.2. 数据透明加密保护
高强度数据透明加密保护：在顾客远程终端上，对需要保护文档进行一次一密高安全性加密方式，遵从国家密码管理部门批准加密算法加密文献内容，只有指定授权顾客密钥才干解密文献。并用同步实现对文献签名，保证文献保密性，真实性和不可篡改性，同步满足桌面云应用办公数据加密性能规定。依照不同安全保护规定，可以灵活选取不同透明加密保护方式，针对内部文档安全流转采用文献透明加密保护方式，而针对重要部门核心数据则采用磁盘透明加密技术。
3.6.3. 数据安全区域隔离
针对重点部门核心数据和暂时接入内部网络设备实行数据安全加固方式进行保护。DLP可以在终端计算机上构建安全区域，以此作为接入内部资源，以及存储下载至终端内部敏感数据。同步在内部重要部门网络上，灵活建立以网络安全区域为管理对象保密子网，不同部门所形成安全保密子网可以依照公司方略设立和调节进行数据连通访问。
数据安全区域系统遵从数据分域隔离管理规范，将计算机存储设备提成不同区域，控制和审计各区域间数据流向，结合外设和网络管控，限制数据使用范畴，构建安全保密子网以及各安全子网连接安全网络。系统采用安全稳定磁盘透明加密技术，加密全盘或者分区数据，防护存储设备丢失导致数据泄密。
针对公司应用服务器安全保护，可以将需要保护应用服务器集群纳入到数据安全区域之中，通过一定安全接入认证或者布置安装了数据安全保护程序终端计算机才可以正常接入到公司重要应用服务器中。
3.6.4. 灵活人员访问权限
l 灵活调节人员访问权限设立：可以根据各行政部门来定义角色，这样角色就同实际行政关系相相应，再依照不同部门职能，为相应角色配备安全方略组合，控制顾客权限（指定进程、数据和文献访问和使用权限、移动存储设备使用权限、文献外发权限等），让每个下属公司每个部门，甚至细分到每个人，都具备不同安全保护权限。
l 在线、离线多应用模式方略切换：方略配备时，可觉得同一顾客（组）授权在线和离线两种方略。当客户端与服务器断开连接时，自动切换至离线状态。例如方略配备为：在线状态时，对加密文献有读，写权限；离线状态时，对加密文献有阅读权限，不容许拷贝，截屏。离线时间可按照详细需求进行设立。
l 基于“三权”分立构建安全管理体系：对系统管理权限划分细粒度高。默以为三种权限：日记管理员，系统管理员和普通管理员。另一方面可依照公司内部需要，自行增长管理员权限。例如：超级管理员，可以设定二级管理员（可多人不同分工），授权其只容许设定其她人员权限及方略，但不容许读取后台操作日记。
3.6.5. 全面外设管控
3.6.5.1. 移动存储U口管控

图5、U盘等移动存储设备安全管控
U盘等移动存储设备管控：客户端使用U盘，初次使用时，需要在服务端进行注册。注册时区别“内网专用模式”和“内外网通用模式”；两种模式下，匹配使用权限方略可以针对个人设定，也可以指定为单个移动存储设备。
3.6.5.2. 外设及端口管控

图6、终端外设及其端口管控
种类涵盖全面终端外设管控：对外设可按照在线和离线两种模式进行控制，并有使用日记记录；打印留有副本可下载。
3.6.6. 文献发送管理
文献发送分为内发和外发两种，两种发送都可以设定审核员，只有审核通过后才可以发送，内发普通可以不解密发送，外发已加密文档，审核通过可以解密为明文发送。外发文献可已设定生命周期限制，如：一段时间内可以打开，过后就无法产看；或者打开N次后文献即失效。在内部避免审核员繁琐操作，可进行白名单设定，对于白名单可以直接发送。对于高层人员，可以授予解密权限，在客户端即可批量加密和批量解密。外发流程示意图如下：

图7、文献发送管理示意
1、 默认状况：DLP系统提供不同部门之间文档是不可以互相查看。
2、 内发审核：公司不同部门之间文档需要互通时，必要通过一定审核机制。依照第一审核人在线状况，可以灵活指定一种暂时审核人，以接替第一审核人审核工作。第一审核人可以收回暂时审核人审核权限。
3、 外发审核： 外发审核工作流程与内发类似，同样可以指定暂时审核人。
4、 例外状况：1）、针对领导等可信人员可以配备文献白名单或者设立密文查看权限方略，接受或者查看任何部门密文文献均不需要通过审核流程。2）、经常向外部固定合伙伙伴进行邮件往来时，可以将客户邮箱联 系方式制作成邮件白名单，当向此邮件地址发送邮件时，自动解密附件。3）、由于工作业务性质因素，需要同客户频繁进行文献往来时，可以配备自动审核方略，外发给客户文献自动解密，但同步会有详细操作日记记录，并且保存发送文献副本以作事后追踪审计。
4）、为了以便授权顾客进行加密文献解密，DLP系统提供一种直接通 过“右键菜单”形式积极解密功能，而不需要通过其他解密流程。
5、 移动办公：公司领导或者普通员工外出办公，既需要解决公司内部
加密受控文档，要不可以像公司内部同样以便地进行数据安全保护程
序。针对这种移动办公数据安全保护规定，DLP系统提供一种简便有效
移动数据安全解决方案，使用者只需要将装载有安全保护程序U盘插
入终端设备后，就可以轻松实现数据安全保护，避免麻烦安装布置和
安全方略配备过程，进一步提高使用者安全应用体验效果。

3.6.7. 文献外发控制

图8、外发文献全方位保护和全周期管理
外发文献全方位保护和全周期管理：对外发送文献可以依照需要制作为可控文献发送。例如：指定客户某台机器（或者U盘）阅读文献，设定阅读时间为一周（或者只能打开3次），不容许打印和复制文献内容。
1、 丰富认证方式（谁可以使用）
提供适合不同安全强度外发文献使用认证方式，例如密码口令、U盘ID、终端物理MAC地址、在线网络认证等，并且可自由组合使用认证方式。
2、 限制使用范畴（在哪里使用）
配合在线和离线认证模式，可以实现限制外发文献在固定终端上、单位局域网内、广域互联网中使用，以满足不同使用场景。
3、 使用权限控制（如何被使用）
l 使用权限：限制文献只读、可编辑、截屏、打开次数、另存为等；
l 有效期限：限制文献打开时长、打开时间段、自动销毁等；
l 使用版权：打印外发文献时，可以添加单位版权水印信息；
4、 安全日记审计（何时在使用）
记录所有顾客文献外发操作日记，泄密事件发生后可跟踪追溯。
3.6.8. 安全日记审计

图9、全面而详尽安全日记审计
全面而详尽日记记录：对客户端操作行为以及U盘等外设设备使用均有详细日记记录。可以追溯某个特定人员对某个文档操作。
3.6.9. 数据备份恢复
安全系统迅速备份和恢复：提供备份和恢复系统数据功能，在系统升级过程中，能实现不同版本之间数据迁移。
文献意外状况安全保护：对所有加密操作，都可以配备备份保护，并依照需要配备实时更新，避免重要数据因系统崩溃、断电等因素损毁。备份服务器可以同DLP服务器集成布置，也可以使用专用文献服务器分别布置，用大容量文献服务器来满足海量存储需求。
3.7. DLP4.0应用布置方案
3.7.1. 工作方式
虹安DLP系统架构为C/S+B/S架构，由服务端、客户端两大某些构成。其中管理员在任何地方均可通过WEB方式进行DLP服务器系统设立、方略维护、日记审计等工作。而DLP客户端程序自动与DLP服务端程序通信连接，接受来自于服务端安全控制方略，以及上传顾客操作日记记录等内容。
n 三权分立管理模式
1、系统管理员：进行DLP系统服务端各种参数设立和状态维护，例如通信IP地址及端口、数据连接地址、系统授权注册信息、文献备份、邮件中转服务等参数信息。
2、方略安全员：负责U盘、外设、文档、邮件白名单、审核人员等与文档安全保护关于方略维护。为了方略维护和管理以便，也可以设立某些部门方略安全人员。
3、安全审计员：担当客户端文档操作日记和服务端管理人员操作日记审计角色。
n 与域控管理相结合
将域控服务器人员列表迅速导入DLP系统顾客管理模块中，实现DLP顾客与域控顾客管理服务相结合，减轻IT维护管理人员工作复杂度，从而提高工作效率。
n DLP系统服务端
服务端采用伸缩性和可移植性非常好JAVA语言编写和构建，既可以安装布置在普通WINDOWS服务器中，又可以将植入硬件服务器中。DLP服务器重要进行安全方略管理、权限管理、系统管理、部门及顾客管理等系统重要功能；此外可以依照公司实际安全需要和成本考虑单独布置文献备份服务器来存储备份加密文献。
n DLP系统客户端
终端顾客需安装虹安DLP系统客户端程序，在登录Windows 操作系统桌面同步自动进行DLP系统身份认证工作，认证通过后依照服务端设立安全控制方略，便可以使用拥有权限数据资源，整个过程基本上由程序自动完毕，无需顾客参加。

图10、虹安DLP泄露防护系统工作方式示意图
3.7.2. 布置方式

图11、DLP数据泄露防护系统平台布置解决方案布置
备注：图11中“红色虚框”即为方案中所涉及数据安全加固某些。
3.7.2.1. 内部布置方式
1) 建议内部计算机终端使用在线方略方式来安装布置，各终端可以实时接受或者更新DLP服务器设立各种方略，涉及加密方略以及某些全局性控制方略。
2) 如果网络浮现短时间故障时，系统提供针对这种场景离线自动切换功能，保证业务正常运营不受影响。
3.7.2.2. 外部布置方式
依照公司外出人员能否进行以便网络连通来看，重要有如下几种方式灵活布置方式：
1) 、外出员工可以正常网络连接
针对这种类型外出办公场景，DLP数据泄露防护系统提供灵活网络连接方式，涉及客户端动态IP支持、通过有线或者无线公网连接方式支持等。
2) 、员工不可以进行正常网络连接
针对这种类型外出办公场景，DLP数据泄露防护系统提供各种方式离线方略控制，顾客可以自行设立离线方略生效时间，例如月、日、小时等，此外对于离线时间过期后，提供一种离线方略时间补时授权文献，外出终端顾客可以以便导入些授权文献就可以轻松实现离线方略延时授权。
3） 、暂时需要进行数据安全保护
针对离线不连网、移动办公性较强以及暂时性保护等应用场景规定， DLP数据泄露防护系统提供简朴以便安全保护方案，使用者只需要将 事先制作好U盘插入计算中就可以轻松实现数据安全保护，避免
了其他厂家需要进行繁杂安所有署以及设立设立过程，进一步提高了
工作效率和使用者安全应用体验。
3.7.3. 实行环节
1) DLP数据泄漏防护系统服务端，用于下发各种安全加密方略,并进行身份认证。
2) 登录服务端后台Web管理界面，依照公司行政组织构造，建立部门分组，按照管理规定，为部门绑定外设管理方略和文档加密方略。
3) 客户端无需登录后台管理，即可在管理界面当中自行注册顾客并下载安装客户端。域管理构造则可用域方略自动推送客户端安装。安装完毕后，客户端所有安全方略和加密操作等，均由服务端自动下发，在后台执行，对顾客完全透明，不变化顾客操作习惯。
4) 外出人员笔记本电脑可通过服务端配备离线方略，让外部使用资料也受到保护。内部敏感数据如果需要外发给陌生地址，需由管理者审核通过并记录保存后，方可进行发送。
5) 所有加密操作，管理员都可以配备明文备份保护，并实时更新，避免重要数据因系统崩溃损毁。但从服务器取出明文备份文献，或接受外部发来明文文献，在保存到本地时就立即被加密保护。
3.8. 方案特色
全面外控支持功能：支持既有所有已知外设和移动存储设备，如：蓝牙、打印机、数码相机、红外、光驱、串口、并口、摄像头、刻录机、SD卡槽、无线上网卡、U盘、无线网卡等等。
系统内核驱动技术：采用Windows系统底层控制，同步实现文献加密和磁盘加密过滤驱动两种不同加密方式，控制响应速度极快，占用系统资源低。系统客户端具备防卸载、防删除和自动修复等功能。
推送安装布置形式：通过后台统一安装客户端，客户端顾客感觉不到安装过程，迅速且易于布置；
系统扩容简朴以便：
1)、公司新增长分支机构时，可通过同级服务器机制直接导入到新增分支机构应用服务器，布置快捷以便；
2）、公司总部以及分支机构新增客户端应用时可直接连接到就近服务器；
同级服务器机制轻松解决新增分支机构不断扩展安全需求；
3）、数据库备份迁移：支持备份数据库表、数据库表组及整个数据库；不同版本之间可支持迁移备份，以便服务端升级后迅速恢复服务端；数据库支持远程备份。
文献流转按需授权：
1）、领导文献别人无法查看；
2）、领导可以查看所有人文献；
3）、部门内部文献可互相查看；
4）、部门经理文献只容许其领导及老板查看；
5）、HR等后勤保障公共部门文献各部门均可以查看；
6）、容许上级看下级文献，不容许下级看上级文献；
融合管理：
1）、与第三方交互文献需要通过授权或自动审核记录副本后方能外发；
2）、重要部门外发文献时通过领导审核，部门领导可指派多名候选审核者，并支持设立后选审核人优先级,当高优先级审核员外出时，系统自动分派审核任务到次优先级审核员，依次类推；
3）、文档密级较低部门可通过配备自动审核功能，无需人工干预且有副本记录，必要时可提取副本进行核查，保证快捷又安全；
4）、内部各职能部门之间暂时共享文献可通过文档内发管理来实现；
灵活便捷：
1）、当客户端在公司总部或各分支构造使用时，可按需配备在线方略；
2）、具备离线使用功能，某些人员需要外出办公时可暂时授权离线方略；如：携带储存有重要或机密文档出差时可配备离线方略；
3）、离线终端各种操作均会形成日记，并在连接到服务器时自动上传日记文献，以便后续审核；
简朴易用:
1）、加解密对顾客透明，顾客感觉不到加解密过程；
2）、不需要对顾客进行专项培训；
3）、不变化顾客操作习惯；
远程支撑：
1）、文献损坏：发现需要文献损坏时，可以连接至备份服务器进行恢复；
2）、密文解密：当外发文档需要解密时，可通过VPN连接至DLP服务器进行外发审核，也可把文献通过网络或其他方式发回公司，解密后再回传；
三权分立：
1）、超级管理员拥有所有权限，普通管理员无操作日记权限，日记管理员进行日记及副本安全审计，规避“监守自盗”行为，老板放心，管理员省心；
2）、基于角色访问控制技术，可以新建不同角色并分派各种权限；
3.9. 方案价值
n 防止任何形式和途径机密外泄
DLP系统采用透明加密保密存储方式，全面管控计算机移动数据存储设备、外设资源、网络等方面泄密途径，全程监测数据应用过程中泄密方式(例如打印、截屏、另存为、拷贝等)。有效解决公司内部积极或者被动泄密，公司外部非法入侵窃取，文档安全协作共享安全、文档移动离线保护、存储设备丢失防护和移动介质设备安全管控等方面文档安全问题。防止任何形式和途径机密外泄，安全保护公司数据安全。
n 最大限度消除员工抵触情绪
1、文档从产生、应用、传播到删除销毁生命周期内所涉及加密操作均由系统自动完毕，顾客无需进行任何干预，不变化其使用文档操作习惯，并且也感觉不到加密动作存在，对顾客来说完全透明。
2、基于远程安全方略管控方式，释放顾客对安全控制办法抵触情绪。
3、针对文档内部流转、外部发送、离线办公等业务场景设立灵活例外解密方略，最大限度上减少对顾客工作影响。
n 全面释放管理维护人员压力
1、客户端程序采用网络推送安装方式，使得IT维护人员无需亲临现场指引安装，为公司和个人节约了宝贵人力资源成本和时间精力。
2、基于B/S管理架构设计以及与域控服务相结合机制，可以协助IT维护人员在任何地点、任何时间、复杂网络环境下都可以迅速精确地管理各种安全控制方略。
3、控制方略模板化、顾客与方略关联绑定最大化和全局化等方面设计，大大简化了安全控制方略配备复杂限度，同步也将方略配备出错率降至最低水平。
4、IT维护人员可觉得终端使用者配备文档备份方略，避免因各种意外因素导致数据损坏丢失问题。此外，IT维护人员也可对DLP系统核心服务数据库和主密钥信息进行备份，系统崩溃损毁后可迅速进行恢复工作，保持业务持续性。
5、同级布置机制，使得IT维护人员在完毕公司总部系统配备后，将有关配备导入到公司各分支机构DLP服务器中，实现配备同步并且迅速布置效果。
6、多级服务器布置机制，上级单位可查看下级服务器上传操作日记，安全审计记录和顾客构造列表，让IT安全管理者全局掌控公司信息安全态势。
n 持续减少公司信息安全成本
1、兼容公司主流应用系统，如ERP、OA、SVN等，让公司经营者无需更改任何应用系统即可实现与DLP系统相结合。
2、适应公司IT架构成长性，解决不同规模公司安全需求。
3、统一安全平台，可以与更多其他虹安安全产品联动和配合。
3.10. 系统安全性
n 数据加密
l 基于内核级数据强制透明加密，对数据和存储位置双重加密，保护在任何位置存储数据及任何指定进程产生文献，全方位保 障数据绝对安全。实时透明加解密，操作过程透明，不影响顾客操作习惯。
——通过 文献过滤驱动技术，实现进程和文献强制透明加密，在文献产生 时即被强制加密，在文献使用（编辑、保存等）过程中进行跟踪加密，以任何 方式泄漏出去文献均为密文。
——通过磁盘驱动技术实现 全盘强制透明加密。
支持当前业界领先128位、256位DES、3DES、AES、RC4加密算法，结合RSA公私钥体系实现密钥安全传播，进行高强度数据加密同步，提高了加解密效率。SHA2、MD5摘要算法用于数字签名，结合RSA公私钥体系，防止文献被篡改、伪造及未授权使用。
密钥管理，基于PKI/CA 认证体系，银行交易级别密钥管理，是当前最安全密钥管理体系，对密钥产生、存储 、分派、使用和销毁全过