您当前的位置:首页 > 详情页

信息防泄漏

作者:美国RSMC 发布时间:2019-03-07 681次浏览 分享到:

企业信息防泄漏解决方案

环境背景:

随着企业全面信息化时代的到来,人们越来越多地借助以计算机、互联网等先进技术为代表的信息手段,将企业的经营及管理流程通过计算机和网络实现,所有业务数据经由系统处理,快速形成企业所需的图纸代码、合同、客户资料等各种文档,这样,电子文档就成为企业信息的主要存储方式及企业内、外部之间进行信息交换的重要载体,同时,也成为了企业的核心资产

面对激烈的市场竞争,对各种核心数据的保护就显得尤为重要。当前,大部分企业采用传统安全设备(如防火墙、IDSIPS等)进行安全防护,防止黑客等外来入侵窃取企业内部核心数据。但是,针对企业内部人员,传统的安全防护措施是无法防止内部人员的主动泄密,由于业务需要,内部员工可将敏感信息通过U盘、网络、打印等各种途径轻松泄露出去,因此,如何防止企业内部信息泄露、保护企业核心竞争力已然成为了企业当前面临的头等大事。

需求方向:

计算机和网络已成为企业日常办公、通信交流和协作互动的必备工具和途径。但是,信息在提高人们工作效率的同时,也存在诸多的泄密风险,具体如下:

1. 主动泄密方式

通过网络途径(邮件、聊天工具、HTTP上传、共享等)将机密泄露出去

通过外接设备(U盘、刻录、蓝牙、智能手机等)将机密带离企业

将机密打印成纸质文档带离泄密

离职员工非法带离企业核心资产

拆除硬盘泄密

通过U盘或光盘中的自启动系统登录PC进行拷贝泄密

2. 被动泄密方式

出差期间笔记本、U盘等丢失泄密

保密意识淡薄引发的无意泄密(如:无意聊天泄密、随意共享泄密等)

各种误操作引发的泄密(如:错发邮件泄密等)

3. 其他泄密方式

外来访客窃取企业机密

外包给第三方开发、运维人员非法获取企业后台敏感数据

发送给客户的敏感数据被有意或无意(如保管不当、丢失)泄密

 

方案设计理念:

内网是信息泄露的源头,内网数据安全管理问题早已引起国内外众多内网管理者的重视,对于内网中的敏感数据,其信息安全的目标包括机密性、完整性、可用性、可追踪性以及保障。随着信息安全理论及技术的发展,相应的安全保护模型也不断出现,总的来说,信息安全理论和技术的发展经历了静态防御安全体系、深度防御安全体系以及动态防御安全体系三个阶段,动态防御模型是现代信息安全理论的主流,以PDRP2DR安全理论模型为代表。

防1.png 

PDR安全模型

PDR安全模型的内涵如下:

1、 防护

防护是安全的第一步,是根据系统可能出现的安全问题而采取的预防措施。

2、 检测

采取各式各样的安全防护措施并不意味着网络系统的安全性就得到了100%的保障,网络状况是变化无常的,昨天刚部署的防护措施可能今天就会被发现存在新的漏洞,因此,需要采取有效的手段对网络系统进行实时检测、监督。

3、 响应

当发现了攻击企图或出现安全事件之后,需要系统及时的进行反应并处理。

PDR模型在整体安全策略的控制和指导下,在综合运用防护工具的同时,利用检测工具了解和评估系统的安全状态,通过适当的响应将系统调整到“最安全”和“最低风险”的状态。防护、检测和响应组成了一个完整的、动态的安全循环,在安全策略的指导下保证信息系统的安全。

针对企业存在的各种信息泄漏风险,凭借多年深耕于内网安全、数据防泄漏领域,结合PDR动态安全防护模型,提出了“三重保护”整体防泄漏理念:

防2.png

三重保护模型

 针对核心资产,采用强制加密手段,从数据源头进行保护,确保数据带离企业无法正常使用,保护企业核心竞争力。

 通过各种管控手段,对终端各种信息交流途径进行合规控制,防止机密信息随意泄露出去。

 通过审计,详细了解并掌握企业内部数据流转动态,发现已知及潜在的安全风险,对各种安全事件进行有效追溯,并为策略改进提供依据。

三重保护机制,能够形成完善的事前防御-事中控制-事后审计”安全管理体系,实现动态管理闭环。


具体方案详解

(1) 防止员工主动泄密

由于业务办公需要,企业需要开放网络、U盘及打印等办公资源,但是,员工在正常利用办公资源的同时,也可以轻易将机密信息通过网络、U盘、打印等方式泄露出去,给公司带来巨大损失。

① 防止U盘拷贝、丢失泄密

ü 禁止外来U盘非法接入内网,一来可有效防止随意拷贝窃密,二来也可避免病毒、木马的感染,实现“外盘外用”。

ü 企业内部的U盘,只能在企业内部正常使用,在外部无法使用,实现“内盘内用”;此外,即便U盘丢失,拾得者也无法使用,有效防止U盘丢失泄密。

ü 对于公、私两用U盘,在“公用”期间,公司文档拷入U盘时会被自动加密,这样,当U盘“私用”时,公司文档因被加密而无法使用,实现了公、私文档的隔离,有效防止公司文档的泄漏,实现了“公私兼用”的效果。

ü 对于需要对外交互的U盘,详细记录所有通过U盘的文档操作,尤其对于拷贝行为,备份U盘拷贝的具体文档,实现事后追溯。

② 防止邮件泄密(该功能可通过现有的邮件服务器实现)

ü 对收、发件人、附件等进行统一管理,规范邮件外发行为。

ü 针对敏感部门或人群,外发的邮件必须强制抄送给相关负责人(如:部门经理等),对员工形成心理威慑,防止邮件泄密。

ü 有效记录外发邮件的内容(正文及附件),实现事后追溯。

③ 防止打印带离泄密

ü 限制无关人员的打印行为,减少打印泄密风险。

ü 出于工作需要的打印,需对其打印行为进行合规管理,如:指定打印机类型、禁止敏感应用程序(如ERP、)的打印等。

ü 详细记录员工每次打印的具体内容,实现事后追溯。

ü 支持打印水印功能,由IT管理人员自定义浮水印的内容,打印出来的文件上自动添加浮水印信息。

④ 防止拍照泄密

ü 设置屏幕水印功能,当打开指定软件时,屏幕自动出现水印信息。

⑤ 防止外设滥用泄密

ü 禁止员工使用蓝牙、刻录、智能手机等各种外设,防止外设滥用泄密。

ü 禁止员工连接各种非法的wifi、手机热点等,防止非法外联泄密。

⑥ 确保机密数据在外部无法使用

ü 采用高强度加密算法,将企业内部的核心文档进行强制加密,加密文档在内部可正常使用,不受任何影响;一旦被非法带离企业,在外部将无法打开或以乱码形式呈现。

ü 密方式可灵活选择:

Ø 强制透明加密:加密过程是强制、自动完成的,文档一旦被加密,不论在何时、何地都是加密的,有效防止诸如拆硬盘等导致泄密;

Ø 只读加密:只读加密可实现用户以只读方式打开文档,完成类似于文档审批、查看图纸并将其生产而无须编辑的工作需要。

Ø 智能加密:当加密文档与非加密文档被同时打开操作,文档被保存后可智能的区分出加密文档与非加密文档,并将原本为加密的文档继续加密保护,而非加密文档依然为非加密状态保存。

Ø 文件夹加密:当文档保存到指定文件夹,或在该文件夹中创建新文档时,自动加密保护。

ü 加密不会改变员工对文档操作的使用习惯,对用户是透明的。

ü 加密后的文件可限制一些文档的使用权限,包括:打印、虚拟打印、截屏、剪切板等。

(2) 防止离职员工恶意破坏

员工离职,已是现代企业人事变动、流转的一种常态,但是也会存在诸多安全隐患,如:员工离职前复制带离一些企业的数据,更恶劣的在于,有些对公司不满的员工,离职前将本机或文件服务器上的重要文档(如设计图纸、代码等)进行恶意篡改、甚至删除,对企业造成重大损失。

① 限制准离职员工对本机及其他重要服务器的文档的删除权限,只允许其正常读、写,杜绝非法删除带来安全隐患。

② 出于工作原因不能限制其删除权限的准离职员工,可在其篡改、删除文档前对重要文档进行备份,防止文档遭到破坏,避免企业重大损失。

(3) 防止服务器信息泄露

企业的核心业务系统(如:OA、CRM、ERP等)中存有大量敏感业务数据,员工通过合法账号可正常查看、导出数据,而数据一旦导出则可通过其他途径带离企业,存在泄密风险。

此外,员工可利用非法应用程序或盗用合法账号访问并窃取业务系统中的数据,存在较大安全隐患。

防3.png

应用服务器保护

ü 架设IP-guard安全网关,对应用服务器进行安全保护。

ü 服务器数据下载至本地则自动加密,防止非法下载泄密。

ü 加密文档上传至服务器则自动解密,以明文形式存放在服务器,确保正常使用。

ü 非法客户端即使盗用合法账号或利用非法应用程序也无法访问受保护的应用服务器,杜绝了非法访问泄密。

(4) 防止出差员工泄密

员工出差期间,由于脱离了企业内部安全防护,在外办公有可能导致数据泄漏。另外,出差期间笔记本电脑、U盘等的丢失也会带来很大的麻烦,除了经济损失,存储在笔记本电脑及U盘中的敏感数据也存在泄漏的风险。

① 加密保护:针对企业的敏感数据,需要从源头上进行保护,通过强制透明加密,确保数据不论何时、何地都是加密的,确保了数据的安全。

② 出差管理:为保证员工出差期间依然可以打开加密文档,员工出差前需申请离线授权,由上级领导审批,通过后在授予的离线授权范围内可正常使用加密。

防4.png

③ 安全密码保护:IP-guard加密系统提供安全密码保护功能,只有在正确的安全密码验证之后才能正常打开加密数据,因此,即便笔记本电脑丢失,拾得者无法得到安全密码,也就无法查看加密数据,有效杜绝了笔记本电脑丢失泄密。

防5.png

(5) 防止外发文档二次泄密

与外界进行信息交流已成为企业常态化的一种业务模式,这些交互的信息可能会涉及企业核心信息(如:外发设计图纸给生产方、外发合同给客户等),而这些信息一旦流出企业就面临着失控的风险,很可能经由客户或合作伙伴造成信息泄露。

防6.png

防7.png

A. 当需要给客户或合作伙伴外发文件时,首先需向上级领导提出外发申请,审批通过后方可将普通文档制作成受控的外发文件,外发给客户或合作伙伴。

B. 接收方(客户或合作伙伴)收到外发文件后,打开时需要进行身份验证,验证通过后才能在授予的权限范围内正常使用。

C. 身份认证方式包括:口令认证、机器码认证、联网认证等。

D. 访问权限包括:阅读次数、阅读时间、复制剪贴、修改、截屏、打印(含虚拟打印)等。可设置文件到期时间,支持过期自动删除功能。

(6) 加密文件权限控制和等级划分

对于多部门多层级的企业,如果加密文档在不同部门之间的加密计算机上也可以被正常打开使用,例如财务的加密文档被销售部门打开,那也是十分不安全的。

不同级别的人使用加密文件的权限不同,希望能够针对用户可以设置打印、剪切板、截图等权限控制。

防8.png

分部门分级别的权限控制机制,根据文档所属部门和重要程度贴上标签,用户对不同标签的文档的访问权限的集合组合成其特有的内部文档使用权限,可以控制用户对加密文件的操作权限。

A. 根据文档的重要程度不同和使用要求的不同,可将加密文档划归不同的安全区域和级别,以便让不同部门和职位的用户使用,建立分部门分级别的保密机制,例如技术部门不同项目组技术人员只能打开本项目组加密文档。

B. 基于授权软件实现操作权限的控制,用户只有授权的软件才能打开加密文档,可以针对授权软件的打印、剪切板、截图权限实现控制,例如:打开授权软件时,禁止使用QQ截图、复制加密文件内容到聊天窗口等操作。

C. 用户加密模式可以选择透明加密、半透明加密、只解密不加密(通过权限较大的领导使用)三种模式,能够灵活满足各个部门的办公需求。

(7) 审批流程的设计

文档加密给企业带来安全的同时,必然也会增加文件交互的复杂性,合理设置加密文件解密审批流程就显得极其重要。针对重要部门重要文件希望可以实现多级审批,针对交互较多部门希望尽可能简化他们的审批流程、或者经授权的行为可以直接解密无需审批。

 

可以针对组织架构、加密文档大小、级别等因素去设置多级多人审批流程的机制,可以完全满足各个企业内部复杂的审批机制。针对对外交互频繁的部门可以设置邮件白名单的授权方式,使加密文件无需审批发送到特定邮件即可解密。

Ø 审批流程可以根据审批人所在部门、加密文件大小、级别等等关键要素去自动匹配,可设置多环节审批,环节内可设置多人审批以及必要通过人数,支持一票否决。

Ø 支持邮件白名单功能,可根据收件人、发件人,附件名称去匹配邮件,确认是否解密加密附件。对交互频繁的部门影响做到极可能地小。

(8) 移动终端办公的支持

无线网络技术推广,移动设备办公大范围推广,安全隐患增多。如何在移动终端安全地查看加密文件以及完成加密相关的审批流程成为众多客户的关注点。主要需求体现在查看加密文件;完成加密文件的解密审批。

防9.png

随着移动办公的推广和加密系统的普遍使用,无法避免地移动终端会有查看加密文件的需求,如上图就体现了移动终端获取到密文的一些途径。结合市场需求,相继推出了WEB审批、移动终端查看器 和 移动终端APP安全审批 的功能。

Ø 支持WEB审批,可以在移动终端使用浏览器直接登陆相关web审批界面完成加密文件的审批流程

Ø 提供移动终端查看器APP,经过控制台认证授权后,可以查看手机里相关的加密文档,对移动办公提供有力的支持。

Ø 提供安全审批APP,可以通过app登陆审批系统,完成相关审批流程。

工作。

方案优势

1. 全面防止信息泄露

通过核心数据加密、交流渠道管控及内网全面审计,为企业提供了整体的信息防泄漏解决方案,从不同纬度解决了用户的信息泄露难题,建立了“事前防御、事中控制、事后审计”的安全保护机制,符合PDR动态安全模型理论。

2. 功能强大

内网安全整体解决方案,涉及内网安全的方方面面,从网络边界、设备边界的防护,到计算机桌面安全的防护,以及企业核心资产的保护,全面解决了企业的内网安全难题。

3. 实现灵活

² 用户可以根据自己的实际需要,灵活选择相应的模块,建立适合自身特点的安全防护体系。

² 能够很好的满足企业当前的安全需求,还能实现未来需求的无缝扩展,而且无需部署多套客户端。

² 提供客户端手动安装、远程安装、域脚本安装等多种安装方式,企业可根据自己的实际情况选择最便利的方式进行部署。

 

 


Start Management Excellence

卓越管理 现在开启