产品白皮书.doc

思智ERM 301系统产品白皮书l 公司名称：北京思智泰克技术有限公司l 公司地址：北京市海淀区上地信息路2号D栋602室l 邮政编码：100085l 公司网址：l 联系电话：[phone]l 传 真：010-82896014- 28 -北京思智泰克技术有限公司目 录一、引言- 1 -1.1 文档主题- 1 -1.2 适用范围- 1 -1.3 术语和缩略语- 1 -二、产品研发背景- 2 -2.1 安全重点由外到内的转变- 2 -2.2 信息泄露事件愈演愈烈- 3 -2.3 机密信息管理薄弱- 4 -2.4 企业需要建立数据安全管理体系- 5 -2.5 企业级数据信息安全产品思智ERM系统- 5 -2.5.1 ERM概念- 5 -2.5.2 ERM主要内容- 6 -2.5.3 思智与ERM- 6 -2.6 思智ERM系统给企业带来的好处- 7 -三、产品概述- 8 -3.1体系结构与兼容情况- 8 -3.1.1 体系结构- 8 -3.1.2 网络环境- 9 -3.1.3 兼容情况- 10 -3.2 功能详述- 10 -3.2.1 用户管理功能- 10 -3.2.2 策略管理功能- 11 -3.2.3 客户端多元化安装- 12 -3.2.4 文件访问权限管理- 12 -3.2.5 客户端管理功能- 13 -3.2.6 离线管理功能- 14 -3.2.7 系统备份功能- 15 -3.2.8 日志管理功能- 16 -3.2.9 文件远程备份功能（可选）- 17 -3.2.10 数字版权控制功能（可选）- 17 -3.3 产品特点- 18 -3.3.1基于角色的用户权限管理- 18 -3.3.2安全的身份认证管理- 18 -3.3.3驱动级的透明加解密应用- 19 -3.3.4严密的剪贴板防护技术- 20 -3.3.5灵活的策略管理- 21 -3.3.6 细粒度的文件权限管理- 21 -3.3.7 全面的日志审计管理- 22 -3.3.8 自动的文件备份管理- 22 -3.3.9 便捷的系统远程管理- 22 -3.3.10健壮的客户端系统安全- 23 -3.4 系统运行环境- 23 -四、典型应用- 23 -4.1背景介绍- 23 -4.2企业需求- 24 -4.3产品部署应用- 24 -4.4实施效果- 27 - 思智ERM 301 产品白皮书一、引言1.1 文档主题思智泰克公司在ERM（企业权限管理Enterprise Right Management，以下简称ERM）理念的指导下，最终研发出了一套针对于企业级应用的信息安全管理系统思智ERM文档管理系统。本系统通过对企业中各类机密数据信息的加密安全保护，可以显著提高企业中核心数据资产的安全防护能力。同时在对文件安全保护的基础上，又通过对剪贴板的有效控制，可以有效切断内部人员泄漏企业机密信息的途径，防止内部窃密事件的发生，而且一旦发生窃密事件，管理者能够通过日志功能，详细追查到窃密的人员、文件信息、途径等信息，以避免窃密事件的再次发生，从而能在很大程度上提高企业对机密数据信息的安全管理。本文档主要介绍了思智ERM系统的设计背景、产品概述、产品特点等几个方面内容，并对产品功能也进行了详细的介绍，以帮助读者对思智ERM系统达到快速和全面的了解。1.2 适用范围本文档适用于需要对思智ERM系统进行全面了解或以前接触过ERM概念并想做进一步了解的用户。如需要了解产品的其他相关信息，请联系思智泰克的销售工程师，由他们对您提出的问题和疑问集中进行解答。1.3 术语和缩略语术语、缩略语解 释FBIFederal Bureau of Investigation，美国联邦调查局CSIComputer security institute，计算机安全协会ESGEnterprise Strategy Group，企业战略联盟ERMEnterprise Right Management，企业权限管理DLMData Lifecycle Management，数据生命周期管理EDRMEnterprise Digital Right Management，企业数字权限管理B/SBrowser/Server结构，即浏览器和服务器结构C/SClient/Server结构，即客户机/服务器结构PKIPublic Key Infrastructure，公开密钥体系Load Balance Server负载均衡服务器Authentication Server认证服务器DRMDigital Right Management，数字版权管理受控文件受ERM系统控制台中受策略限制的文件受控进程受ERM系统控制台中受策略限制的应用程序的进程表 1-1 常用术语及缩略语二、产品研发背景2.1 安全重点由外到内的转变为实现企业内部的机密数据文件信息的安全防护，通常可以采用如设置防火墙，入侵检测，防病毒软件等手段，对来自外部网络的攻击和入侵起到有效的防御。但是，传统信息安全领域主要关注于外部入侵或外部破坏导致的数据破坏和泄漏，而对于企业网络内部的信息泄漏（如内部人员泄密或其他未授权人员直接接入内部网络导致的泄密等），却没有引起足够的重视。据2006年CSI调查显示，在所有的安全技术应用中，以数据加密传输和加密存储为基础的技术应用所占比率分别达到66%和47%。图 2-1 CSI安全技术应用调查表通过该调查，我们可以看到数据加密技术正在成为传统安全技术-防病毒系统、防火墙、VPN、反间谍、入侵检测之后的又一具有发展趋势的应用技术。结合各项攻击所带来的经济损失的变化，可以看到针对于机密信息的安全保护正在成为更多企业新的关注方向。因此，信息盗窃事件的主谋已经不再单纯是网络黑客和恶意程序，更多的数据信息是被企业和机构的内部员工所泄漏或盗窃。与传统的外部盗窃相比，这种来自内部的恶意泄露更具有针对性和隐蔽性，给企业造成的损失也更大。2.2 信息泄露事件愈演愈烈据CSI调查显示，2006年，内部安全事件所占比率为68%。2007年这一数据依然保持，为64%，如图2-2所示：图 2-2 内部安全事件比例调查表另调查显示，2007年，由于内部人员窃取机密信息所造成的经济损失累计为1515万美元，2006年的这一数据为2329万美元。这一数据的变化说明越来越多的企业开始重视企业内部的机密数据安全。同时，企业内部财务数据的安全性问题日益涌现，对于财务数据来讲，信息的安全和连续性已成为重要的因素，如图2-3所示：图 2-3 各种攻击所带来的经济损失比例图由此我们可以得知，企业信息安全已不再单属于技术专家、情报局及学术机构所关注的问题。企业中机密的数据信息的泄漏已经严重影响了企业正常的业务运转。一次数据泄漏事件会严重影响公司的声誉，甚至导致无法预知的巨大经济损失。2.3 机密信息管理薄弱企业的核心机密数据就是影响企业未来发展的关键数据信息。每个企业通常都有自己的数据安全管理制度和业务管理流程，但在具体执行管理制度和流程的过程中，策略的执行和监控等多个方面存在很大的缺陷：机密信息监管不力导致内部信息的随意外泄，如高级员工的联系方式及工资待遇、技术部门的设计数据、企业信息化数据、公司的服务操作流程、规章制度等信息的泄漏，都会对企业造成意想不到的损失。另外，现在大多公司的业务流程已不再是狭窄孤立的，而是一个具有动态性，协作性和广泛性的合作过程。例如：在企业的日常办公过程中，可能需要公司内外的人员通过电子邮件、演示文稿、电子表格或文档的形式来共享机密文件等信息，当然每个人由于担任的角色不同，从而对机密数据也拥有不同的访问和使用权限。这种信息的公开性就给数据的泄漏造成了巨大的潜在威胁。另一方面，公司最具价值的信息又不能完全被封锁起来或拒绝对外流通。这就要求公司的信息安全管理人员在不影响公司竞争优势的前提下，采取积极有效的措施深刻理解和解决机密文件信息流失的问题。虽然防火墙、访问控制、网关过滤等技术能够在一定程度上控制用户对机密数据的访问。但这些技术不能为用户提供更加细化的策略权限控制，也就是说它们不能限定用户具体的使用权限，如只读、可打印、可编辑等，这种静态的提供“全部或零”权限的安全工具已经不能满足当今动态的业务需求了。同时，这些内网环境防护技术不能提供对文件内容本身的加密，这就使得文件在外发的过程中也将潜在安全隐患带到了公司之外。2.4 企业需要建立数据安全管理体系2006年信息安全等级保护管理办法（国内）和萨班斯奥克斯利法案（美国）两部法案的正式实施对信息安全产业起到了标志性的影响。二者都以法规的形式敦促企业加强内部控制和增强抵御安全风险的能力。作为国家“十一五”计划的开局，2007年始将是国家各机关部委及企事业单位规划五年发展计划的关键时间，又适逢国家“等级保护”法案实施、萨班斯(SOX)法案的推行，无论从产业发展阶段、国家政策、外部环境来看，还是借鉴国外的发展规律，都预示着我国的信息安全产业将由此迈入一个快速发展的新阶段。思智泰克在这样的大环境下，把握当前信息安全产业的发展形势，从关注企业用户的业务安全需求出发，通过整合自身数据加密技术、数据生命周期管理技术等方面的优势，以数据信息本身的安全保护和应用权限管理为核心，以文件安全策略管理、文件审批流程管理、日志和审计管理、文件自动备份管理为主要组成部分，最终构建完成了一个安全、高效和智能化的企业级应用办公环境思智ERM系列产品，为企业数据信息的安全防护提供了一个新的选择！2.5 企业级数据信息安全产品思智ERM系统2.5.1 ERM概念ERM（Enterprise Right Management，企业权限管理）是一个企业级信息安全管理解决方案。ERM也被称为EDRM（Enterprise Digital Right Management，企业数字权限管理），它解决的是企业中数字化资产的有效控制和管理问题。ERM是在当今信息日益激烈的安全挑战下衍生的新生物，是实现信息安全从技术手段向管理手段改进的创新。ERM系统能够全面整合网络访问控制、身份认证、数据通讯机密性、数据存贮机密性、数据使用可控性、数据的使用权限等多项先进的信息安全技术，为企业用户开发的的电子文档提供全新和更为可靠的安全管理解决方案。ERM系统可以确保企业的数据信息从初期生成、分发使用、编辑、直到最终数据被删除等生命周期的安全性，ERM采用对文件内容本身的加密和细分的文件权限管理，数据无论是在企业内部网络中还是在企业外部，均可有效防止泄密和窃密事件的发生。通过采用ERM，企业不但可以确保数据信息的安全性，可以将数据资源的应用权限进行全面的细分管理和分配。企业中获得数据信息的一般员工将不再拥有完全的权限，而只将拥有在规定时间内完成某一项特定工作所需的数据信息使用权。2.5.2 ERM主要内容ERM对数据信息应用权限的管理过程，就是一个权限区分和细分的过程。 权限区分：指的就是对于数据信息使用者的使用权限进行区别对待，区分出哪些人是经过授权的，哪些人是没有经过授权的，做到只有经过授权的用户才可以正常使用数据。这个权限区分的过程，将数据信息的应用范围缩小到了授权人群范围之内。 权限细分：是在权限区分的基础上进一步细化。举例来说，企业文档的使用者得到权限区分的授权后，还要再受到权限细分的管理，对文档细分化的应用权限控制包括：只读权限、编辑权限、复制权限，存储权限，完全控制权限、打印权限、解密权限、可以应用的时间权限等等。总之，可以做到让指定的用户在指定的时间对指定的数据信息进行指定的应用操作。2.5.3 思智与ERM从企业目前的种种安全状况及企业现阶段发展前景来看，企业内部核心数字资产管理的严重性已经到了无法忽视的地步，这些都要求我们嗜待加强机构内核心数字资产的管理并努力建设一个安全可靠的企业级安全管理体系来提高企业核心数字资产的安全防护，从而有效保护企业核心数字资产并有效进行管理和控制。这些都迫切需要一种革命性的技术出现。思智泰克通过整合自身数据加密技术、数据生命周期管理技术等方面的优势，结合公司ERM理念的产品规划，开发出了一套针对于企业级应用的信息安全管理系统思智ERM系统，思智ERM系统是ERM理念的完美产品体现。思智ERM系统定位于以数据信息本身的安全保护和应用权限管理为核心，以客户端管理、文件安全管理、文件审批流程管理、日志和审计管理、文件自动备份管理、消息管理、系统远程管理、客户端为组成部分，构建了一个安全、高效、智能化的企业应用办公环境，从而实现了对企业数据信息的完整安全保护和权限管理。思智ERM系统的特点简单介绍如下： 思智ERM系统全面整合了如文件访问控制，数据机密性保护和应用权限细分的电子文档安全管理系统。 思智ERM系统用于公司内部电子文档和邮件的安全管理，能有效控制电子文档内容的具体使用权限，例如，哪些人在何时能够对文档进行哪种操作。具体操作权限包括只读、拷贝、打印、转载、保存和编辑等等。 思智ERM系统将权限控制策略直接整合到电子文档中。策略的应用控制直接贯穿到数字信息的整个生命周期，而不仅仅存在与信息的传输和存储等某个单独环节。 思智ERM系统采取了和传统安全防护系统不同的信息安全保护方式，它通过保护文档本身来实现机密数据的安全。 无论机密信息存储于哪一台计算机上，思智ERM系统具备的访问保护和使用控制策略都能够将文档的应用权限准确分配给不同的使用用户，从而避免机密信息被流失，窃取和非法修改等。 思智ERM系统具备集中式管理功能，强大的报表和日志审计功能符合企业管理实际需求，同时通过整合其他IT基础结构的主要功能，使产品能够适应现代企业信息安全的需求。2.6 思智ERM系统给企业带来的好处信息时代的今天，企业中的核心数据信息已日益成为影响企业发展的关键性因素。企业员工的工作过程，也就是创造数据资源信息的过程，这些数据信息中往往包含着企业赖以生存的关键资源信息，集中体现着一个企业的核心竞争力。从这个层面上来讲，任何企业都需要对自己企业内部的核心数据信息进行安全管理和保护，以防止信息的泄密和窃密。保护好企业的信息安全，就是保护企业的创新、知识产权、商业机密，并可以帮助企业实现现代化的、数字化的、科学有效的管理。 思智ERM系统通过整合大量先进的信息安全技术，已经超越了简单意义上的数据信息安全，不再是传统的对文件进行口令管理或是加密，而是第一次从企业的角度来从根本上解决企业信息资源的安全问题。 思智ERM系统不仅能够提供对数据信息的安全管理和保护，还可以对企业的业务流程起到有效的支持和推动。通过使用数据全生命周期管理技术，把信息安全融入到企业的管理流程之中，实现技术和管理的高度结合，解决了纯技术手段多年来的不足，从而适应了现代企业的实际安全管理需求。 思智ERM系统能够确保信息的授权使用者只能获取自己所必需的应用权限。这样在很大程度上避免了由于电子文档自身的易复制性和易修改性所带来的安全风险。 思智ERM系统是对数据信息本身的安全保护，其中整合了身份认证、数据加密、权限细分、审计等多种技术。相对于目前大量企业所采用的网络边界防护设备和内网行为管理系统，能够更为彻底、有效的保护数据信息，防止信息泄露等安全事件的发生。 在维护和应用成本上，思智ERM系统也有着更为突出的优势。对于企业来讲，他们只需集中式的实施和部署一套独立的应用系统；对于用户来说，数据信息的安全保护过程完全是透明的，不改变企业内部员工的操作习惯。但是，如果企业通过其它的信息安全技术实现同样的功能，可就需要采购和实施大量的安全工具进行复合防护。这就为日后的设备兼容性、维护成本、培训成本以及效率成本控制带来了不必要的麻烦，而思智ERM系统则可以实现企业和用户的这种实际应用需求。三、产品概述思智ERM系统是针对于企业级的信息安全管理系统。本系统通过对企业中各类机密数据信息的加密安全保护，可以显著提高企业中核心数据资产的安全防护。同时在对文件安全保护的基础上，通过对剪贴板的控制，可以有效切断内部人员泄漏企业机密信息的途径，防止内部窃密事件的发生。而且一旦发生窃密事件，管理者能够通过日志功能，详细追查窃密的途径，避免窃密事件的再次发生。从而提高企业对机密数据信息的安全管理。3.1体系结构与兼容情况3.1.1 体系结构思智ERM系统采用C/S+B/S 结构，按照架构可以分划分为三大部分：服务器、控制台与客户端；其中客户端与服务器之间通过C/S方式交互，控制台的组织机构管理、策略设置则通过B/S的方式与服务器交互实现。图 3-1 思智ERM体系结构(一) 服务器服务器是思智ERM系统运行的基础。服务器主要包括认证服务、负载均衡服务、升级服务、配置服务、文件自动备份服务五部分服务。其中： 认证服务用于用户认证信息的维护和应用； 负载均衡服务用于均衡连接认证和文件服务的用户负载量的应用； 升级服务用于ERM系统相关数据信息的更新升级应用； 配置服务用于控制台的安装配置应用； 文件自动备份服务用于企业机密文件的自动备份应用；(二) 控制台为了实现对客户端用户统一管理的目的，思智ERM系统采用了集中化的管理方式和基于角色的权限管理体系，思智ERM系统控制台是整个系统管理和维护的基础平台，是客户端与服务器连接的桥梁。控制台可以完成如管理员帐号及设置、客户端管理、机构用户管理、策略应用、策略配置、服务器远程管理、系统设置、日志审计管理、文件访问权限管理、文件备份管理的配置及维护等工作。(三) 客户端客户端主要是通过执行控制台各角色管理者制定的各种安全管理策略，实现对本地机密文件的安全管理，为企业员工提供稳定、易用的安全信息终端。3.1.2 网络环境思智ERM系统可以适用于多种网络环境，如能够在WINDOWS域、VLAN、VPN、内网物理隔离的环境中正常安装。从而能确保在不更改各企业现有的网络架构的基础上，满足不同企业的实际应用需求。网络环境支持情况1.域能够与Windows域管理方式相结合，支持域用户漫游的使用方式。2.VLAN支持多VLAN网络环境。3.VPN支持使用VPN方式接入的网络环境。4.内网物理隔离思智ERM系统支持企业内部多个内网物理隔离的网络环境。表 3-1 支持多网络环境注：内网物理隔离是指企业有两个内网，一个内网可以访问Internet，一个内网不可访问，两个内网之间物理隔离。3.1.3 兼容情况思智ERM系统具有良好的兼容性，能够与企业现有大多数软件兼容，能够与多种杀毒软件、数据库、业务管理系统相结合使用。不会因为部署思智ERM系统而需要卸载或更换企业现有软件。兼容方面兼容情况1.杀毒软件与主流杀毒软件无冲突，且不会被杀毒软件查杀或卸载。如瑞星、诺顿、江民、金山、卡巴斯基等。2.数据库支持MYSQL、SQL-SERVER 2000和SQL-SERVER 2005数据库，其他数据库也可以单独定制。3.业务管理系统能够与OA、ERP、PKI等系统兼容。表 3-2 兼容情况3.2 功能详述思智ERM301系统可以划分为十大功能类，它们分别是：用户管理功能、策略管理功能、客户端多元化安装功能、文件访问权限管理功能、客户端管理功能、离线管理功能、系统备份功能、日志管理功能、文件远程备份功能以及数字版权控制功能。下面将对此十大功能进行详细说明。3.2.1 用户管理功能功能简述功能详述及应用效果1.组织结构（包括部门和人员信息）的建立功能：在思智ERM系统中可以建立与企业真实组织结构完全相同的组织结构关系，并配置部门和人员等基本信息。应用：当企业实际人员、部门进行调整时，系统管理者可通过控制台灵活对系统中的组织结构进行更改。如：王强本隶属于销售1部，由于业务需要，可以将其调整至销售2部之下。2.域管理组织结构导入现状：在企业中可能原已存在WINDOWS域管理机制，并在域中存在已经建立完善的企业组织结构。应用：思智ERM系统可以将域中的组织结构通过工具，直接导入到ERM系统中使用，避免了重复录入的烦琐工作。3.管理员信息的建立与维护功能：超级管理员(admin)可根据企业的需要，为系统中预定义的用户赋予适当的角色，每种角色所能实现的功能是不同的。应用：如可设置张三为日志管理员，令李四为文件管理员，命王五为部门管理员等。4.自定义用户角色功能：超级管理员(admin)可以自定义用户角色，手动设置其在控制台上可以使用的菜单、策略等。应用：如新建一个角色“小组管理员”，设置其在控制台上仅可以对其小组内成员进行用户信息修改、策略下发等操作。5.分级管理功能功能：该功能由特权管理部门和管理员角色来体现： 可以建立特权管理部门，其中包括多个全局管理员，可以对全体员工进行策略管理； 可以建立多种管理员角色，如日志管理员仅管理日志，部门管理员仅管理部门员工，文件管理员仅管理备份文件等。6.一机多用户管理现状：在企业中经常出现一台计算机有多个员工使用的情况。这些员工在一台计算机上分别建立了各自的WINDOWS帐户，但他们在企业中受到企业的约束不一定相同。应用：思智ERM系统支持这种一机多用户的使用情况。分别将员工使用的WINDOWS账户与思智ERM系统用户进行绑定，即一旦用户进入了其使用的WINDOWS账户，便将接受ERM系统对该用户的指定策略管理。注：虽然几个员工共同使用同一台计算机，但是每个员工在不同WINDOWS账户下接受的ERM系统管理将不同。表 3-3用户管理功能列表3.2.2 策略管理功能功能简述功能详述及应用效果1.默认用户策略列表(详见附件)应用：系统提供了默认策略列表供用户使用。默认策略分为5大类别近80种，且可以根据用户实际需求，由思智泰克工程师添加特定的默认策略内容。2.自定义策略组合应用：根据管理员的实际管理需要，可以将策略列表中的默认策略进行组合，组合成新的策略组，以便于策略整体下发。3.策略应用应用：系统管理员根据企业实际管理现状，将相应策略应用于每一个员工或部门。得到策略的员工或部门将按照策略规定，接受相应的策略管理。4.全盘加解密功能现状：部署完毕思智ERM系统后，员工新建或编辑的文件能够被自动加密保护，但此前的大量非加密文件也需要进行加密，则可通过“全盘加解密”来实现批量加密功能；全盘解密原理相同。应用：管理员在控制台设置某员工的指定格式文件进行全盘加密，则系统自动扫描磁盘文件，对该格式文件进行加密。如“.doc文件”进行全盘加密等。表 3-4 策略管理功能列表3.2.3 客户端多元化安装安装方式安装方法1.本地安装将安装程序拷贝到客户端机器中，在本地直接双击安装程序进行安装。2.WEB安装在客户端机器上服务器访问地址，如http:/192.168.2.53:9999，即可实现在线客户端安装。3.远程推送安装由系统管理员统一实现对客户端的远程传送与安装，而影响现有员工的目前的工作效率。4.域用户透明安装可以在域服务器上统一对所有域用户透明安装客户端。表 3-5 客户端多元化安装列表3.2.4 客户端管理功能功能简述功能详述及应用效果1.执行策略执行并应用控制台下发的各种功能策略（分5大类别近80种策略）。2.文件剪贴板控制功能：受自动加密保护的文件，具有剪贴板防护的功能和控制，防止受信进程和非受信进程之间的文件互拷。应用：例如WORD为受保护的文件，使用剪贴板控制后，则无法将WORD文件中的内容拷贝到聊天对话框或它编辑工具内，但是可以将其他类型文件内容复制到WORD文件中来。3.文件加解密 手动 自动 自动：按照透明加解密策略自动加解密文件。对于加密保护后的文件，无法通过任何复制、粘贴、拖拽等方式，利用邮件、及时通讯工具、论坛等非受信任的执行程序带出到企业之外。 手动：根据控制台下发的手动加解密策略，进行手动右键加密和解密操作。4.执行文件访问权限功能：根据文件拥有者对文件访问权限的设置，文件接受者在设定的访问权限内对文件进行限制访问操作。5.客户端本地文件备份 功能：客户端具有对加密文件的本地备份机制，每次打开文件均会自动在本地留下文件备份，以防止客户端文件丢失或者遭受恶意破坏。 应用：若重要文件遭受意外损坏，可由控制台下发策略“显示本地备份菜单”，同时在客户端右键菜单中选择“打开本地备份文件夹”选项，选择需要恢复的文件，拷贝出来后再进行恢复操作。6.客户端安全保护功能：防止客户端非法卸载，还可对客户端实行进程监控、进程守护、注册表保护、时间同步、定时与服务器通讯、程序完整性检测等操作，以确保客户端程序安全完整。表 3-6客户端管理功能列表3.2.5 离线管理功能功能简述功能详述及应用效果1.长期离线用户管理功能：若员工不能够与企业内网中的服务器相连，可以通过文件交互方式接受思智ERM系统的管理。应用：例如员工甲长期不在公司，将思智ERM系统客户端安装程序发给他后，其可以自行安装客户端，安装完成后，通过指定工具导出一文件，发送给公司内部管理员。管理员在控制台上将该文件导入，设定用户信息和用户策略后，再导出一文件传送给员工甲。员工甲通过导入此文件至本机，即可按照策略接受管理并根据权限查看其他用户共享给他的加密文件。2.短期离线用户管理功能：若员工临时出差在外，可以通过离线策略对其进行管理。 为员工下发“离线允许打开自己的加密文件”和“离线允许打开共享加密文件”两条策略，则员工可以在出差期间正常使用加密文件。 若需要临时更改策略，操作如下：管理员在控制台为该用户下发其需要的策略，然后导出成一文件形式存储，并发送给员工。员工收到该文件将其导入至本机，则策略修改成功。应用：例如员工带笔记本外出办公，规定员工某一日期时间内使用受保护的文件，超过规定的时间无法打开这个文件。但是员工在规定的时间内没有完成工作，则可通过上述方式更改离线客户端使用文档的日期和时间。表 3-7离线管理功能列表3.2.6 系统备份功能功能简述功能详述及应用效果1.组织结构备份思智ERM系统中的组织结构能够进行备份并以文件形式保存，今后重新部署思智ERM系统时无需重新再建立组织结构，将该文件直接导入即可。2.策略列表备份思智ERM系统中的策略列表可以单独进行备份并以文件形式保存，今后重新部署思智ERM系统时无需重新再建立策略列表，直接导入该文件信息即可。3.数据库文件备份对服务器端的配置信息均存储在数据库中，将数据库文件进行备份并以文件形式保存后，当需要迁移或重置思智ERM系统服务器时，通过导入该文件即可直接恢复到上次备份时思智ERM的系统配置状态。表 3-8系统备份功能列表3.2.7 日志管理功能功能简述功能详述及应用效果1.超级日志管理功能(logadmin) 对超级管理员(admin)和所有部门管理员在控制台的操作行为进行统计（审计的内容包括：创建用户，修改用户，删除用户，绑定用户，删除绑定信息，创建部门，撤消部门，调整部门，应用策略，撤消策略，新建用户策略，删除用户策略，修改用户策略，导入导出策略，登陆登出等）。 对所有员工进行的文件操作行为进行审计（审计的内容包括：新建文件、复制文件、粘贴文件、保存文件、删除文件、共享文件、文件名称更改、文件路径变更、文件手动加解密操作等）。2.记录控制台日志记录所有能够登录控制台的管理员的登录、登出及对用户、部门信息维护的所有操作。3.记录客户端日志记录客户端所有在线、离线信息操作。4.记录文件操作日志记录客户端对文件的操作日志： 文件操作信息记录包括：新建、复制文件、粘贴文件、保存文件、删除文件、共享文件、文件名称更改、文件路径变更、文件手动加解密操作的详细记录。 离线的客户端日志记录。客户端离线后的操作也全部被记录，当连接到服务器后自动将离线后所有操作的信息上传到服务器。5.日志维护对日志信息定期维护，如可以导出或删除日志信息等。6.自定义日志查询可以对日志记录进行筛选查看，如通过时间、人员、日志类型进行查询。表 3-9日志管理功能列表3.2.8 文件远程备份功能（可选）功能简述功能详述及应用效果1.设置文件备份服务器由超级管理员设置文件备份服务器的基本信息，如备份服务器名称、IP地址、备份地址、传输端口等。2.文件备份设置功能：通过应用文件自动备份策略，将企业中受保护的文件定期自动备份到文件服务器上，并可以灵活的设置需要文件备份的人员及备份格式、备份文件预留磁盘空间大小等。备份的文件在服务器上仍以密文的形式进行存贮，并且文件名也是乱码，只有文件管理员才能查看到正常的文件名和文件内容。3.文件恢复客户端遇到意外情况，如文件误删、故意删除、或客户端机器硬盘损坏，可以通过文件备份服务器进行恢复。4.文件统一集中管理备份后的加密文件由文件管理员集中进行管理。5.备份文件查询可按文件名称、用户等分类查询备份文件。表 3-10文件远程备份功能列表3.2.9 数字版权控制功能（可选）功能简述功能详述及应用效果1.第三方共享文件的控制（数字版权控制）现状：在与客户交流过程中，客户常常为第三方的泄密而头疼。有些单位专为第三方企业提供第三方设计图纸、写作方案等等。写好了之后如果以明文的形式交给第三方，第三方有可能把图纸文档再次散发和传播，这必然会给设计的企业带来风险和损失。应用：通过思智ERM的数字版权控制就可以解决客户的这个需求，给第三方的仍然是密文，第三方拿到密文后只能在指定的计算机中打开，并受到使用这个文档的细致的权限控制。即使第三方不小心将文件传播出去，别人拿到的也是密文信息，也无法正常进行查看。表 3-11 数字版权控制功能列表3.3 产品特点3.3.1基于角色的用户权限管理思智ERM系统用户管理模块采用基于角色的权限管理体系，在员工、角色和权限之间建立了相互对应的关系，ERM将系统的各种不同操作功能授权给某个角色，加入了该角色的用户就拥有了对应其管辖范围内用户的操作权限，从而实现了用户与权限的逻辑分离。基于角色的权限管理体系分为两个部分：l 权限和角色的关联l 角色与用户的关联以下为图示说明：图 3-2 基于角色权限管理模型基于角色的权限管理能极大的方便管理员的操作。由于角色与权限之间的变化比角色与用户关系之间的变化相对要稳定，并且分配用户到角色不需要太多技术，可以由管理人员来确定，而配置权限到角色的工作较复杂些，需要由具有一定相关技术的专门系统管理员来承担，但是不给他们分配用户的权限，这与现实中情况正好一致。在系统的实际使用中，由于某一角色所能拥有的权限已被限定，所以即使不断变换所对应的实际用户，也不会给已经确定的安全体系带来任何影响。系统管理员可很方便的完成对用户角色的创建和用户角色的分配工作，当员工由于工作需要其职责需要调整时，只需将其加入到对应工作职责的用户角色中即可。例如，对于都拥有日志管理权限的用户，组管理员只对该组内员工的日志具有审计权限，而特权组用户则对全体员工的日志具有审计权限。3.3.2安全的身份认证管理对用户的和合法身份进行认证是企业文件安全系统建设的基础。只有首先区分出哪些用户是经过授权的，并且只允许经过授权的合法用户正常登录内部网络和访问关键的数据信息，才能真正实现到企业级文件安全系统的安全管理。通过部署思智ERM系统，企业可以确保只有被授权的用户可以正常进入内部网络，进而使用内部网络的资源。在内部网络的结构中，计算机终端既是系统体系主要的组成部分，也是进入内部网络的入口。所以，我们在对内部文件进行安全管理的同时，首先要做的就是加强对终端登录的安全管理和控制。企业中的用户只有经过合法身份认证，才能进入企业内部网络访问企业的内部文件，思智ERM系统采用了双向认证机制，一方面服务器对客户端进行认证，另一方面客户端对服务器进行认证。如下图所示：图 3-3 身份认证过程3.3.3驱动级的透明加解密应用目前常用的透明加解密技术分为两种，一种是HOOK系统文件操作API函数即应用级的透明加解密，还有一种是在通过文件驱动在驱动层进行处理即驱动级的透明加解密。目前ERM系统采用的是驱动级的透明加解密实现，和应用层加解密技术相比，具有安全，可靠，稳定，效率高的特点，而透明性则体现了不改变用户使用习惯的特点。 对于设置了透明加解密的应用程序，该类型新建和保存的任何文件在从内存写入硬盘前，都将自动进行加密。 对于受控制的程序打开的任何文件，在读入内存前，将进行身份认证及权限判定，对合法访问的用户自动进行解密。 对于受保护程序新建的任何文件，透明加解密模块都将首先进行加密操作而后打开。 透明加解密应用过程并不改变用户文件的默认打开方式，当用户选择使用特定的应用程序打开密文时，如该程序也属于受保护程序范围内，在通过权限验证后，系统也将自动解密，否则将不会自动进行解密操作。 文件透明加密过程不改变文件本身的格式和文件管理原有的操作方式。用户在对文件进行安全保护的过程中，不改变文件本身的格式。用户在使用加密文件的过程中，也无需安装特殊的文件阅读器，只需要借助思智ERM系统的客户端程序，直接操作加密文件即可，所有的操作实现透明化。 整个加密过程安全、简便、快捷，不会生成任何可能泄密的临时文件，同时对用户的操作也不会产生任何影响。当用户被应用强制加解密策略之后，被加密保护的文件操作可以像操作普通文件一样，文件的加解密转换完全在系统后台完成。并且，在任何存储介质中，被加密过的文件将始终保持加密格式，只有授权用户才能进行解密和应用。下图即为思智ERM系统透明加解密的示意图：图 3-4 透明加解密图示透明加解密技术适用于任意类型的信息文件类型，加密的文件格式可以根据用户需要自由设定。在思智ERM系统中，透明加解密的使用策略在控制台由管理员统一设定，并自动下发到需要应用的客户端，客户端则根据管理员的安全策略设定来执行，从而能够保护在客户端上的机密文件信息。3.3.4严密的剪贴板防护技术作为防止用户主动泄密的重要环节，思智