北京金和软件股份有限公司数据加密系统项目投标(技术部分).doc

第二部分：技术部分
1. 投标货物主要技术指标和运行性能的详细描述
2. 投标货物技术规范偏离表
3. 投标书技术方案及性能指标
4. 集成第三方软件的技术说明
5. 投标的软件系统对硬件、网络等设备的要求、配置等
6. 同投标货物型号一致的产品手册、介绍、说明书等技术材料
7. 本项目实施时间进度表
8. 人员培训计划
9. 售后服务响应、培训、维修等承诺
10. 项目经理及主要施工人员简历表
11. 售后服务网点、人员、设施等情况

1 投标货物主要技术指标和运行性能的详细描述
1.1 系统概述
作为国内ERM（Enterprise Right Management 企业权限管理）的领导者，思智泰克经过多年的市场摸索和技术整合，先后推出了从终端到网络的企业级系列信息安全产品。同时在以往安全产品研发和应用的基础上，又综合了广大用户的实际应用需求，本着以易用、稳定、安全、先进的基本原则和以开发最适宜中国企业使用的ERM产品为目标，思智泰克最终推出了适合国内大中型企业的企业级数据信息安全产品——思智ERM系统。
思智ERM系统由服务器、控制台、客户端三部分组成，整个系统采用了C/S+B/S的组织架构，其中系统服务器端与客户端以C/S结构工作，控制台与服务器端则是以B/S方式工作。
如下图所示系统结构示意图：

图 系统结构示意图
（1）服务器
服务器是思智ERM系统运行的基础。服务器端需要安装专门的服务器端软件，服务器主要包括认证服务、系统配置服务、文件自动备份服务（可选）、负载均衡服务、升级服务五部分服务，并可分别部署。
其中：
Ø 认证服务：用于用户认证信息的维护；
Ø 系统配置服务：用于系统配置信息的管理与维护；
Ø 文件自动备份服务：用于企业机密文件的自动备份应用；
Ø 负载均衡服务：用于均衡连接认证和文件服务的用户负载量的应用；
Ø 升级服务：用于ERM系统相关数据信息的更新升级应用。
（2）控制台
是整个系统管理和维护的平台，是客户端与服务器管理之间连接的桥梁。为实现集中统一管理的目的，思智ERM系统采用了集中化的管理方式和基于角色的权限管理体系。
ERM控制台可以完成如客户端管理、机构用户管理、策略配置、策略应用、服务器远程管理、日志审计管理、文件访问权限管理、消息管理、系统设置等的配置及维护。
（3）客户端
客户端主要是通过执行控制台系统管理员为其下发的各种安全管理策略，来实现系统对本地机密文件的权限安全操作管理，从而为企业员工提供了一个易用、稳定、安全的安全信息终端。
1.2 系统功能
思智ERM系统可大至划分为以下功能类，分别是：用户管理功能、客户端多元化安装功能、客户端管理功能、策略管理功能、文件访问权限管理功能、离线管理功能、全盘加解密、文件解密审批、系统备份功能、邮件监控、打印控制、日志管理功能、文件远程备份功能以及数字版权控制功能（可选）。以下将对此十四大功能类所涉及的具体功能点做一下详细说明。
1 用户管理功能
功能简述
功能详述及应用效果
1.
组织结构（包括部门和人员信息）的建立
▲功能：在思智ERM系统中可以建立与企业真实组织结构完全相同的组织结构关系，并配置部门和人员等基本信息。
▲应用：当企业实际人员、部门进行调整时，系统管理者可通过控制台灵活对系统中的组织结构进行更改。
如：王强本隶属于销售1部，由于业务需要，可以将其调整至销售2部之下。
2.
域管理组织结构导入
▲现状：在企业中可能原已存在WINDOWS域管理机制，并在域中存在已经建立完善的企业组织结构。
▲应用：思智ERM系统可以将域中的组织结构通过工具，直接导入ERM系统中使用，避免了重复录入的烦琐工作。
3.
管理员信息的建立与维护
▲功能：超级管理员(admin)可根据企业的需要，为系统中预定义的用户赋予适当的角色，每种角色所能实现的功能是不同的。
▲应用：如可设置张三为日志管理员，令李四为文件管理员，命王五为部门管理员等。
4.
自定义用户角色
▲功能：超级管理员(admin)可以自定义用户角色，手动设置其在控制台上可以使用的菜单、策略等。
▲应用：如新建一个角色“小组管理员”，设置其在控制台上仅可以对其小组内成员进行用户信息修改、策略下发等操作。
5.
双口令登陆认证
▲对系统超级管理员amdin的登陆可采用双口令登陆认证方式，以增强超管登陆的安全性。
6.
分级管理功能
▲用户角色分级：不同的用户角色执行不同的管理任务；
▲操作权限分级：包括授权权限分级（授权自己、授权本组及授权全部）和解密权限（解密自己、解密本组及解密全部）分级管理；
7.
一机多用户管理
▲现状：在企业中经常出现一台计算机有多个员工使用的情况。这些员工在一台计算机上分别建立了各自的WINDOWS帐户，但他们在企业中受到企业的约束不一定相同。
▲应用：思智ERM系统支持这种一机多用户的使用情况。分别将员工使用的WINDOWS账户与思智ERM系统用户进行绑定，即一旦用户进入了其使用的WINDOWS账户，便将接受ERM系统对该用户的指定策略管理。
注：虽然几个员工共同使用同一台计算机，但是每个员工在不同WINDOWS账户下接受的ERM系统管理将不同。
表 用户管理功能列表
2 客户端多元化安装
安装方式
安装方法
1.
本地安装
▲将安装程序拷贝到客户端机器中，在本地直接双击安装程序进行安装。
2.
WEB安装
▲在客户端机器上服务器访问地址，如http://192.168.2.53:9999，即可实现在线客户端安装。
3.
远程推送安装
▲由系统管理员统一实现对客户端的远程传送与安装，而影响现有员工的目前的工作效率。
4.
域用户透明安装
▲可以在域服务器上统一对所有域用户透明安装客户端。
表 客户端多元化安装列表
3 客户端管理功能
功能简述
功能详述及应用效果
1.
管理策略执行
▲接收并执行控制台下发的各种功能策略（分5大类别近80种策略）。
2.
文件剪贴板控制
▲功能：受自动加密保护的文件，具有剪贴板防护的功能和控制，防止受信进程和非受信进程之间的文件互拷。
▲应用：例如WORD为受保护的文件，使用剪贴板控制后，则无法将WORD文件中的内容拷贝到聊天对话框或它编辑工具内，但是可以将其他类型文件内容复制到WORD文件中来。
3.
文件加解密
Ø 手动
Ø 自动
Ø 自动：按照透明加解密策略自动加解密文件。对于加密保护后的文件，无法通过任何复制、粘贴、拖拽等方式，利用邮件、及时通讯工具、论坛等非受信任的执行程序带出到企业之外。
Ø 手动：根据控制台下发的手动加解密策略，进行手动右键加密和解密操作。
4.

客户端本地文件备份
▲ 功能：客户端具有对加密文件的本地备份机制，每次打开文件均会自动在本地留下文件备份，以防止客户端文件丢失或者遭受恶意破坏。
▲ 应用：若重要文件遭受意外损坏，可由控制台下发策略“显示本地备份菜单”，同时在客户端右键菜单中选择“打开本地备份文件夹”选项，选择需要恢复的文件，拷贝出来后再进行恢复操作。
5.
客户端安全保护
▲功能：防止客户端非法卸载，还可对客户端实行进程监控、进程守护、注册表保护、时间同步、定时与服务器通讯、程序完整性检测等操作，以确保客户端程序安全完整。
表 客户端管理功能列表
4 策略管理功能
功能简述
功能详述及应用效果
1.
默认用户策略列表
(详见附件)
▲应用：系统提供了默认策略列表供用户使用。默认策略分为5大类别近80种，且可以根据用户实际需求，由思智泰克工程师添加特定的默认策略内容。
2.
自定义策略组合
▲应用：根据管理员的实际管理需要，可以将策略列表中的默认策略进行组合，组合成新的策略组，以便于策略整体下发。
3.
策略应用
▲应用：系统管理员根据企业实际管理现状，将相应策略应用于每一个员工或部门。得到策略的员工或部门将按照策略规定，接受相应的策略管理。
表 策略管理功能列表
5 文件访问权限管理
功能简述
功能详述及应用效果
1.
文件权限设置
▲功能：客户端用户可以对自己的加密文件进行灵活的权限设置，以便不同的用户对该加密文件拥有不同的查看权限。
▲文件访问权限包括：“只读”、“只读可打印”、“只读可复制”、“只读可打印可复制”、“完全控制”、“访问日期限制”、“访问时间限制”等细粒度的权限划分。
2.

文件授权模版
▲功能：当企业员工需要经常给同部门的员工或其它部门的员工共享一些文档时，可以通过文件授权模板功能来保存经常使用的操作，以方便以后快速授权。
3.
授权目录
▲ 功能：对某文件夹设置授权访问权限，以实现批量授权 功能；
▲应用：如对某文件夹设置了“只读+可复制”的访问权限，则所有拖入该文件夹的加密文档自动继承该文件夹的“只读+可复制”权限；
4.
加密文件夹
▲ 功能：将非加密文件拖入该文件夹后，实现文件自动批量加密；
5.
文件访问权限查看
▲功能：加密文件作者可以清楚的知道同一份文件共享给多个人，每个人对该文件拥有哪种操作权限。被授权的人也可以清晰的查看到文件作者所赋给的文档使用的权限。
6.
文件访问权限不受文件传输方式影响
▲功能：授权后的文档可以通过任何的方式传递给其他受管理人。例如通过局域网的共享，QQ、MSAN的文件传送，EMAIL附件等方式传播。
▲文件在传输过程中仍保持加密状态，只有授权用户才能正常进行访问。
表 文件访问权限管理列表
6 离线管理功能
功能简述
功能详述及应用效果
1.
长期离线用户管理
▲功能：若员工不能够与企业内网中的服务器相连，可以通过文件交互方式接受思智ERM系统的管理。
▲应用：例如员工甲长期不在公司，将思智ERM系统客户端安装程序发给他后，其可以自行安装客户端，安装完成后，通过指定工具导出一文件，发送给公司内部管理员。管理员在控制台上将该文件导入，设定用户信息和用户策略后，再导出一文件传送给员工甲。员工甲通过导入此文件至本机，即可按照策略接受管理并根据权限查看其他用户共享给他的加密文件。
2.
短期离线用户管理
▲功能：若员工临时出差在外，可以通过离线策略对其进行管理。
Ø 为员工下发“离线允许打开自己的加密文件”和“离线允许打开共享加密文件”两条策略，则员工可以在出差期间正常使用加密文件。
Ø 若需要临时更改策略，操作如下：管理员在控制台为该用户下发其需要的策略，然后导出成一文件形式存储，并发送给员工。员工收到该文件将其导入至本机，则策略修改成功。
▲应用：例如员工带笔记本外出办公，规定员工某一日期时间内使用受保护的文件，超过规定的时间无法打开这个文件。但是员工在规定的时间内没有完成工作，则可通过上述方式更改离线客户端使用文档的日期和时间。
表 离线管理功能列表
7 全盘加解密
功能简述
功能详述及应用效果
1
全盘加密
能对指定类型的文件执行全盘加密
注：支持按照用户名及文件状态（如未加密、已申请、正进行、未完成等）进行查询，并支持模糊查询。
2
全盘解密
对自己机器上所有的加密文件进行解密
3
前台模式
即扫描界面以前台的形式显示出来
4
后台模式
不提示扫描界面，仅在后台扫描
表 全盘加密实现模式
8 文件解密审批
功能简述
功能详述及应用效果
1
所有审核者按序审核
即所指定的审核管理员按设定顺序全部审核通过后，文件才可正常解密
2
所有审核者不按序审核
即所指定的审核管理员按任意顺序全部审核通过后，文件才能正常解密
3
部分审核者按序审核
即所指定的审核管理员中的部分（人数可手动设定）按设定顺序全部审核通过后，文件才可正常解密
4
部分审核者不按序审核
即所指定的审核管理员中的部分（人数可手动设定）按任意顺序全部审核通过后，文件才可正常解密
表 解密审批模式
9 系统备份功能
功能简述
功能详述及应用效果
1.
组织结构备份
▲思智ERM系统中的组织结构能够进行备份并以文件形式保存，今后重新部署思智ERM系统时无需重新再建立组织结构，将该文件直接导入即可。
2.
策略列表备份
▲思智ERM系统中的策略列表可以单独进行备份并以文件形式保存，今后重新部署思智ERM系统时无需重新再建立策略列表，直接导入该文件信息即可。
3.
数据库文件备份
▲对服务器端的配置信息均存储在数据库中，将数据库文件进行备份并以文件形式保存后，当需要迁移或重置思智ERM系统服务器时，通过导入该文件即可直接恢复到上次备份时思智ERM的系统配置状态。
表 系统备份功能列表
10 邮件监控
功能简述
功能详述及应用效果
1
客户端发送附件自动解密
附件发送到指定白名单邮箱里自动解密，否则仍为加密
2
收件箱接收自动解密
在接收人白名单之列的邮箱，收到为明文
3
客户端接收附件自动加密
接收附件到本地时按照提前设置的后缀名类型自动加密
表 邮件监控功能列表
11 打印机控制
功能简述
功能详述及应用效果
1
打印是否可用
可控制是否允许客户端进行打印
2
客户端选择性打印
可设置客户端只能用设定好的打印机进行打印操作
3
打印水印
为保护公司文件版权，可对客户端配置打印水印
表 打印控制功能列表
12 日志管理功能
功能简述
功能详述及应用效果
1.
日志管理功能
(logadmin)
Ø 对超级管理员(admin)和所有部门管理员在控制台的操作行为进行统计（审计的内容包括：创建用户，修改用户，删除用户，绑定用户，删除绑定信息，创建部门，撤消部门，调整部门，应用策略，撤消策略，新建用户策略，删除用户策略，修改用户策略，导入导出策略，登陆登出等）。
Ø 对所有员工进行的文件操作行为进行审计（审计的内容包括：新建文件、复制文件、粘贴文件、保存文件、删除文件、共享文件、文件名称更改、文件路径变更、文件手动加解密操作等）。
Ø 同时提供以报表形式（柱形、饼型和圆型三种）直观的对操作记录进行统计显示；
2.
记录控制台日志
▲记录所有能够登录控制台的管理员的登录、登出及对用户、部门信息维护的所有操作。
3.
记录客户端日志
▲记录客户端所有在线、离线信息操作。
4.
记录文件操作日志
▲记录客户端对文件的操作日志：
Ø 文件操作信息记录包括：新建、复制文件、粘贴文件、保存文件、删除文件、共享文件、文件名称更改、文件路径变更、文件手动加解密操作的详细记录。
Ø 离线的客户端日志记录。客户端离线后的操作也全部被记录，当连接到服务器后自动将离线后所有操作的信息上传到服务器。
5.
日志维护
▲对日志信息定期维护，如可以导出或删除日志信息等。
6.
自定义日志查询
▲可以对日志记录进行筛选查看，如通过时间、人员、日志类型进行查询。
7.
日志报表
以统计报表形式（目前有柱形、饼形及趋势图）显示客户端/管理员操作记录。
表 日志管理功能列表
13 文件远程备份功能
功能简述
功能详述及应用效果
1.
设置文件备份服务器
▲由超级管理员设置文件备份服务器的基本信息，如备份服务器名称、IP地址、备份地址、传输端口等。
2.
文件备份设置
▲功能：通过应用文件自动备份策略，将企业中受保护的文件定期自动备份到文件服务器上，并可以灵活的设置需要文件备份的人员及备份格式、备份文件预留磁盘空间大小等。
▲备份的文件在服务器上仍以密文的形式进行存贮，并且文件名也是乱码，只有文件管理员才能查看到正常的文件名和文件内容。
3.
文件恢复
▲客户端遇到意外情况，如文件误删、故意删除、或客户端机器硬盘损坏，可以通过文件备份服务器进行恢复。
4.
文件统一集中管理
▲备份后的加密文件由文件管理员集中进行管理。
5.
备份文件查询
▲可按文件名称、用户等分类查询备份文件。
表 文件远程备份功能列表
14 数字版权控制功能（可选）
功能简述
功能详述及应用效果
1.
第三方共享文件的控制（数字版权控制）
▲现状：在与客户交流过程中，客户常常为第三方的泄密而头疼。有些单位专为第三方企业提供第三方设计图纸、写作方案等等。写好了之后如果以明文的形式交给第三方，第三方有可能把图纸文档再次散发和传播，这必然会给设计的企业带来风险和损失。
▲应用：通过思智ERM的数字版权控制就可以解决客户的这个需求，给第三方的仍然是密文，第三方拿到密文后只能在指定的计算机中打开，并受到使用这个文档的细致的权限控制。即使第三方不小心将文件传播出去，别人拿到的也是密文信息，也无法正常进行查看。
表 数字版权控制功能列表
1.3 系统技术特点
1.3.1 B/S+C/S的体系架构
思智泰克企业级安全管理解决方案采用了C/S+B/S的结构设计，管理员在内网中任意一台可以连接服务器的机器上，即可以完成统一的浏览器界面操作，进行企业的管理工作，方便相关管理人员使用。设计风格上以“简洁方便”为宗旨，操作界面完全从用户角度出发，减少获取信息的操作层次。本系统界面友好、美观，操作方便。在颜色、字体、标题、操作提示信息等均采用了标准化、统一化的风格，降低了对使用者计算机知识的要求，易学易用。 考虑到企业安全需求的变化性，本系统在设计上考虑到最小的修改来满足企业在安全上的要求。整体上，系统采用了模块化的设计，新的模块可以进行便捷地动态加载，扩展非常方便。系统客户端安装可以采用远程推送+本地安装+域脚本安装，多种安装方式可以灵活选择并组合使用，更大程度上提高了管理效率。
思智泰克企业级安全管理解决方案的总体设计充分考虑了各类企业各种不同的实际需求和安全策略，并且考虑了其当前各环节管理中数据处理的安全性和便利性。在设计中融入基于模块化设计的思想，使整个系统具有高度的可扩展性和可定制性。系统能够与各类企业已有的基础业务系统良好结合。同时在系统设计中使用可扩展的设计方式，为系统将来的扩展提供了一个良好的基础。
2.3.2 SSF电信的服务器架构
思智泰克企业级安全管理解决方案服务器采用电信级SSF（Scalable Service Framework可扩展服务框架）技术，能够实现可靠的且易于扩展的服务器框架，包括可动态规划的主框架、底层通信、内存管理、自定义协议的处理。思智SSF服务器设计具有以下特点：
Ø 可重用性：思智SSF服务器把功能与功能之间相互独立，降低各服务之间的偶合性，提高各功能代码的可重用性，减少开发新功能的重复工作。
Ø 稳定性：思智SSF采用相对独立的组件实现每个服务要素，所有功能都可以从框架中单独的剥离出来进行单元测试，有利于开发自动化测试工具来加快问题排查的速度。
Ø 可配置性：思智SSF引用先有解决方案后有具体功能的思想，整个服务器框架的初始化模块，根据配置脚本动态生成，方便不同的部署环境配置不同的解决方案。
Ø 可扩展性：因为思智SSF组件对外开放功能是以接口的形式实现的，每个接口具体实现对于模块之外是透明的，外部只需要知道以固定方式调用所需接口就能实现其功能，而被引用模块的具体行为外部模块并不关心，这样更易于扩展。
Ø 可靠性：思智SSF的实现能够减少对已稳定阶段性成果进行修改，减少因为版本不兼容、偶合性问题等等所带来的不稳定因数。
2.3.3 分级管理架构
思智泰克企业级安全管理解决方案采用了分级管理的结构设计，可以根据企业的实际组织结构以及企业安全管理规章制度，建立不同级别的分级管理员。
1. 超级管理员可以根据企业组织结构管理，建立不同级别的分级管理员，即部门管理员。
2. 系统对不同分级管理员，默认有对应的权限。
3. 超级管理员可以改变各管理员对应权限。
4. 各级管理员登录控制台的菜单及功能由设置的对应管理员权限决定。
2.3.4 内核驱动级透明加解密技术
思智泰克企业级安全管理解决方案采用了内核驱动级透明加解密技术，以下为技术示意图：

Ø 对于某类受控制的应用程序保存的文件，从内存写入硬盘前，都将自动进行加密。
Ø 对于使用受控制应用程序打开的文件，读入内存前，首先进行身份认证及权限判定，对合法访问的用户自动进行解密。
Ø 内核驱动级透明加解密应用，不会改变用户文件默认打开方式，当用户选择使用特定的应用程序打开密文时，如该程序也属于受保护程序范围内，在通过权限验证后，系统也将自动解密，否则将不会自动进行解密操作。
Ø 文件透明加密过程不改变文件本身的格式和文件管理原有的操作方式。用户在对文件进行安全保护的过程中，不改变文件本身的格式。用户在使用加密文件的过程中，也无需安装特殊的文件阅读器，只需要安装有思智ERM系统的客户端程序。同时按照文件原有的使用习惯，打开和操作加密后的文件即可，所有的操作实现透明化。
Ø 整个内核驱动级透明加解密过程安全、简便、快捷，不会生成任何可能泄密的临时文件，对用户的操作也不会产生任何影响。
Ø 当用户被应用强制加解密策略之后，被加密保护的文件操作可以像操作普通文件一样，文件的加解密转换完全在系统后台完成。
Ø 在任何存储介质中，被加密过的文件将始终保持加密格式，只有授权用户才能进行应用。
2.3.5 剪贴板防护技术
作为防止用户主动泄密的重要环节，思智ERM文件安全管理系统采用了剪贴板保护技术。系统将受透明加解密模块保护的应用程序作为受信进程，其它应用程序作为不受信进程，受信进程内及受信进程之间，基于快捷键、鼠标右键、拖拽操作等各种方式进行的拷贝、剪贴操作，将不受任何限制；对从不受信进程到受信进程的拷贝、剪贴操作也不受限制；但系统禁止任何方式的从受信进程到不受信进程的拷贝、剪贴操作。
见下图所示：

2.3.6 特征码识别技术
思智ERM系统采用特征码识别技术防止用户的恶意修改。在系统后台会搜集用户常用的不同版本应用程序的特征，通过固定的算法，计算并提取该版本程序的唯一的一个特征码。同时在后台形成一个这样的特征码列表。客户端使用不在特征码列表中的应用程序，会自动上传到控制台，且需要经过管理员审批才能够正常使用。审批通过的应用程序的进程会自动更新到后台的特征码列表中。这样彻底杜绝通过更改应用程序执行文件的名称来绕过透明加解密的控制，从而能够解决多种方式泄露企业机密文件信息的隐患。
2.3.7 用户身份认证技术
对用户身份认证是企业级安全系统建设的基础。只有首先区分出哪些用户是经过授权的，并且只允许经过授权的用户登录内部网络和访问关键的数据信息，才能做到企业级文件安全系统的安全性。如果不对用户身份进行安全认证，对任何人都开放权限的话，那么企业和机构将面临巨大的安全威胁和风险。
“思智ERM文件安全管理系统”采用了身份认证技术，并能够支持结合USB电子锁、智能卡、指纹、声纹、虹膜等多种先进的终端用户信息认证方式。经过身份认证后，企业可以确保只有被授权的用户可以进入内部网络，使用内部网络的资源（企业可以确保只有被授权的用户可以打开和使用本地以及网络中的加密文件）。在内部网络的结构中，计算机终端既是主要的组成部分，也是进入内部网络的入口。所以，我们在对内部文件进行安全管理的同时，首先要做的就是加强对终端登录的安全管理和控制。企业中的用户只有经过合法身份认证，才能进入企业内部网络访问企业的内部（加密）文件，从而有效避免企业机密文件泄密事件的发生。
2.3.8 软件开发质量保障体系
思智泰克的软件开发过程参照ISO软件质量保证与评估体系标准，基于国内外先进开发管理方法，借鉴众多软件企业开发项目管理的实践经验，同时体现并蕴含现代软件工程管理理念、动态的项目组织管理、过程控制的软件质量管理、过程控制的项目成本管理的思想。在最大程度上保证了项目的质量控制。
2.3.9 多种技术保障系统健壮性
Ø 系统采用“远程推送”技术，系统管理员在部署过程中，只需要在控制台机器上远程安装，即可以快速完成系统部署及便捷地配置用户的组织结构。所有部门变更、用户删除和用户恢复操作均可轻松完成。
Ø 思智ERM系统通过进程监控、进程守护、注册表保护、时间同步、定时与服务器通讯、程序完整性检测等方式，确保客户端系统自身的安全。
Ø 考虑到用户机器的环境多样性，思智ERM系统能够与主流杀毒软件。
1.4 系统技术指标
思智ERM系统在运行过程中，稳定可靠，以下为具体的性能指标数据：
性能
指标
安装本产品后对系统总体性能损耗率
仅为0.1%
服务器CPU最高占用率
20用户并发时，为31.25%
系统客户端在连接服务器认证时的
网络带宽
占用18k
单用户文件上传下载的最大带宽
1M
文件的加解密速度快
l 对1G的文件加密，CPU占用为49%，内存占用为15M。
l 对1G的文件解密，CPU占用为47%，内存占用为14M。
表 ERM系统性能测试数据

在不同性能的机器上做加解密测试的数据如下：
AMD2500+ 、操作系统均为Windows XP的机器测试数据：
加密文件大小
加密时间
解密时间
1M
小于1秒
小于1秒
10M
2秒
2秒
100M
12秒
8秒
1G
2分钟
1分57秒
1文件夹10文件，每个1M
2秒
2秒
1文件夹50文件，每个1M
8秒
8秒
1文件夹50文件，共50M
9秒
9秒
表 ERM系统加解密测试数据1
CPU P4 3.0G、操作系统均为WindowsXP的机器测试数据：
加密文件大小
加密时间
解密时间
1M
小于1秒
小于1秒
10M
2秒
2秒
100M
7秒
7秒
1G
1分35秒
1分30秒
1文件夹10文件，每个1M
2秒
2秒
1文件夹50文件，每个1M
8秒
6秒
1文件夹50文件，共50M
11秒
7秒
表 ERM系统加解密测试数据
2 投标书技术方案及性能指标
2.1 项目设计方案
2.1.1需求概述
北京金和软件股份有限公司在信息化建设方面比较重视，但是信息泄露隐患时刻存在，已逐渐威胁到了数据安全。为了实施可持续发展战略，切实有效地管好各种企业商业信息和产品开发信息，建立更完善的基于网络的数据安全系统成为当务之急。
2.1.2设计方案
根据了解北京金和软件股份有限公司网络结构，可在企业局域网中部署思智ERM系统服务器、思智文件备份服务器和思智安全网关三项服务器系统，将网络中的企业用户均纳入ERM系统的管理。异地办公人员或未安装加密客户端的外协单位，采用非加密文件或制作成安全外发文件（可选硬件认证）与企业进行文件交互。若员工出差办公，离开企业网络环境而无法与服务器相连，则可以通过离线策略设置为员工下发策略进行管理。

对于此方案需要说明几点问题如下：
1. 对公司内部的员工进行办公文档、图纸的自动加密保护，且需要通过权限设定来限制文档的流转范围。
2. 鉴于企业中有各类ERP、PDM等业务系统的使用，可采用ERM安全网关的构架保障与业务系统的无缝集成，服务器存储明文数据，员工可正常使用且不会造成文件泄露。
3. 通过安装思智文件备份服务器，以集中存储员工分散于本地计算机中的加密文件，从而防止客户端文件的丢失和损坏。
4. 对公司领导的计算机增加USB Key保护，在未插入USB Key进行身份认证时，加密文件无法使用。
5. 对员工的使用打印机的行为进行限制，且具有日志信息记录。
6. 对员工计算机中的USB端口进行控制，禁止使用私人U盘接入企业计算机中，造成数据泄露或病毒感染。
7. 未安装ERM客户端的异地办公人员和外部合作单位，采用加密文件、非加密文件或安全外发文件与公司进行文件交互。
8. 文件解密和制作为安全外发的文件均由相应管理人员完成或审核。
9. 对于离线用户，如有VPN权限的可通过VPN连接公司内网ERM服务器进行身份认证，没有VPN的员工可通过下发离线策略保证用户在出差过程中正常使用加密文件且具有严格的时间控制。
10. 日志管理员需定期进入ERM控制台查询日志信息及报表统计。

2.2 项目技术需求分析与应答
2.2.1系统总体要求及建设原则
在公司内实现数据代码文档安全，防止重要资源外泄，提高公司数据安全保护能力，保护公司的资源和权益，同时不对办公开发产生负面影响，达到安全与效率的平衡。
（1）实用性
以解决现存的安全隐患需求为基础，充分考虑发展的需要来解决系统规范。
应答：满足

（2）个性化
能够提供个性化的服务，针对不同的系统用户，开发网络环境设计不同的解决方案、及操作流程，不破坏现存的网络系统总体环境。
应答：满足

（3）兼容性
能够提供比较良好的兼容性技术，在提高安全防护性的同时，不对公司现在的开发生产业务造成影响。
应答：满足

（4）安全性
本系统对安全级别要求较高，特别是对软件自身的保护力度，确保软件在任何情况下被以非常手段修改，卸载，中止，破解等;并能对非法操作进行记录和审计。
应答：满足

（5）可靠性
能有效的避免单点失败，无故报错，影响或破坏数据、代码的完整性。确保部署后不对现有的网络环境，系统环境造成影响。
应答：满足

（6）成熟和先进性
系统结构设计、系统配置、系统管理方式等方面采用主流先进同时又是成熟、实用的技术。
应答：满足

（7）规范性
系统设计所采用的技术和设备应符合国际标准、国家标准和业界标准，为系统的扩展升级、与其他系统的互联提供良好的基础。
应答：满足

（8）可管理性
整个系统的设备应易于管理，易于维护，操作简单，易用，对于数据的安全级别设置上，外发解密审批流程步骤简单，适合领导操作的同时能很好的监视和控制，对于管理员配置简单，并可以进行远程管理和故障诊断。
应答：满足

（9）保护现有投资原则
充分利用已有设备和系统，实现已有数据的利用和保护以及现有工作人员知识的利用。
应答：满足

（10）可扩展性
系统具有高扩展性，能够将数据方便集成到不同的系统中，适应未来发展。
应答：满足

2.2.2功能要求
系统应满足并不限于以下功能要求：
（1）文件加密
1. 在不改变用户使用习惯前提下，可以对文档、代码文件进行自动加密
应答：满足。
思智ERM系统采用驱动层透明加解密技术，可以对上述软件实现强制透明加密保护，支持的其他软件类型详见附件二；
2. 加密过程不会对文档、代码造成损坏
应答：满足。
3. 可以指定文件类型、文件目录进行加密
应答：满足。
4. 支持手动、自动、全盘加密，可根据系统环境选择。
应答：满足。
思智ERM系统对于加密文件衍生的文件都会进行加密保护；思智ERM系统提供全盘加、解密功能，全盘加解密的执行可以分为前台运行和后台运行两种模式；
（2）加密范围
1. 支持加密文件在公司安全范围内可以直接使用
应答：满足。
2. 对于加密文件在公司安全范围外无权限使用
应答：满足。
（3）权限等级控制
1. 实现分级管理，按企业使用需求，等级由低至高，其中高等级权限用户可以操作低等级权限文档，而低等级权限用户不能操作高等级权限文档
应答：满足。
思智ERM系统的密级管理体系可以实现以上需求，实现高等级权限用户可以操作低等级权限文档，而低等级权限用户不能操作高等级权限文档；
2. 为了严格控制数据文件的合法使用，需对所有数据文件进行权限控制，权限可由管理员灵活设置
应答：满足。
在启用思智ERM系统的密级管理体系之后，每个客户端产生的加密文件，会自动按照管理员设定的密级进行划分；
3. 实现部门权限控制：部门与部门之间的文件是否互通，根据具体情况进行权限控制
应答：满足。
部门与部门之间的文件是否互通，可以根据具体情况进行权限控制。有共享、隔离两种方式供选择；
（4）外发控制管理
1. 实现外发管理控制，与合作方进行（明文/密文）文件交流
应答：满足。
2. 在外部的打开次数、天数以及篡改保护、是否打印等权限
应答：满足。
3. 文件外发审批流程，即时提醒功能
应答：满足。
（5）离线办公
1. 支持离线办公（笔记本出差）正常权限操作。
应答：满足。
2. 支持离线终端代码文档在其它网络环境的安全
应答：满足。
离线端的加密文档，在离开离线终端以后，无法打开，或者打开乱码。于在线情况下的安全保护机制一致；
3. 支持离线终端的操作日志回传功能
应答：满足。
当离线端连回公司内网时，离线终端的操作日志自动回传；
（6）日志审计
1. 支持管理员操作日志审计
应答：满足。
思智ERM系统有详细的客户端操作日志记录，可由日志管理员进行查询、导出和审计；管理员自己的操作也会有日志产生。可以设置分级日志管理员，查看本级及下级机构日志；
2. 支持文件解密，外发，流程审批的日志审计
应答：满足。
可以由日志管理员按照日期、用户、部门、IP地址、文件名称等信息进行日志搜索；日志可以导出成Excel、HTML和TXT类型的文件进行归档；
3. 支持管理员邮件发送事件提醒
应答：满足。
事件提示是可调控的，有常规提示、必要提示、紧急提示，按照要求调控提示的强度。
（7）系统集成
1. 支持提供与金和软件OA整合的解决方案、技术支持、实施文档
应答：满足。
思智ERM可以在必要前提下，提供任何相对应的解决方案、技术支持、实施文档；
（8）分布是部署
1. 支持与AD域整合部署，实现单点登录
应答：满足。
2. 支持北京武汉两地部署，统一管理
应答：满足。
思智ERM系统可以实现异地部署，统一管理，前提条件是，异地之间的网络是相通的。如果网络不通，还可以通过证书来控制，使加密特征码一致，在共享条件下相互访问文件无需解密，然后再统一策略，方便管理。
3. 支持VPN网络环境
应答：满足。
思智ERM系统支持VPN/DDN/专线连接，AD域的复杂网络环境；
2.2.3技术要求
（1）采用主流的体系结构设计
采用主流的体系结构设计，易于管理，使系统具有良好的扩展性和高效性；
应答：满足。
思智ERM文档加密系统采用B/S或C/S以及两种结合的混合模式，相互相对独立，有良好的扩展性和高效性。系统支持集中式和分布式两种部署方式，支持VPN/DDN/专线连接；
（2）具备良好的操作系统兼容性
采用主流的WINDOWS、SQL SERVER系统为支撑平台，实现系统的简易维护；
应答：满足
服务端支持Windows Server 2000以上、linux10.4以上版本32位和64位操作系统；客户端支持Windows XP、VISTA、2003、2008以及WINDOWS 7等32位和64位中、英文操作系统；加密软件支持Oracle、SQLServer、Mysql、Sybase等主流数据库；暂不支持Oracle、Sybase数据库；支持32位以及64位应用软件；
（3）开放的系统平台便于增加新的功能
遵循通用的国际或行业标准，开放的系统平台便于增加新的功能；
应答：满足
思智ERM系统为自主研发产品，可以提供加、解密接口供调用；所提供的接口支持对磁盘文件和文件流的加密、解密；所提供的接口支持C++、.Net、Java、domino等调用；所提供的加密、解密接口可以在服务器上调用，实现对客户机上传过来的文档进行加密、解密；如果与贵公司自主研发的软件系统有冲突，可配合调试；
（4）系统设计应遵循相关国家规范和安全标准
系统设计应遵循相关国家规范和安全标准以及计算机软件质量保证标准与规范
应答：满足
思智ERM系统设计严格遵循相关