第一章．前言

   网络的普及让信息的获取、共享和传播更加方便，同时也增加了重要信息泄密的风险。黑客持续不断的攻击，员工不当使用造成防火墙失效而使数据被轻易盗取，存储了机要信息的存储介质被失窃和遗失，商业间谍和竞争对手的刺探，员工跳槽导致的企业核心技术或客户资料的流失，个别员工违规的泄露和拷贝等等。而内部网络上大多数的应用，对企业是至关重要的，甚至是严格保密的。一旦出现涉密、破坏的事件，将产生严重后果。这些都使得内网安全问题变得越来越重要和突出。
       调查显示：有超过85%的安全威胁来自组织内部，有16%来自内部未授权的存取，各种安全漏洞造成的损失中，30% - 40% 是由电子文件的泄露造成的，而防火墙、防病毒、入侵检测、物理隔离这些常见的内网安全措施也无法有效阻止企业机密信息的泄露。为防范风险，必须在内网建立可靠的网络管理、安全审计和监控，以保证内网安全。 企业的信息安全管理势在必行。除了部署实施网络监控软件外，应继续部署透明加密反复制系统；技术层面和管理层面的良好配合，是组织实现网络与信息安全系统的有效途径。其中，信息安全技术通过采用建设安全的计算机网络系统，并配备适当的安全产品的方法来实现。保证网络自身安全和业务安全，首先要有一个可靠的网络，其次就是要有强有力的网络管理和网络安全管理策略和手段。随着网络应用日趋复杂，单凭网络管理员的学识和经验进行网络管理和安全管理，已经不能适应了。因此，我们必须借助一些网络管理及内网安全的专业软件，才能确保内网信息的保密性、完整性、可用性、 可控性。
巨石HS-Key企业文件安全管理软件是一款专业的企业内外文件安全管理软件，它将局域网内文件的透明加密、功能强大，能满足不同类型企业用户对核心文件安全的需求，确保企业的信息安全。
巨石公司曾经为顺丰速运公司成功部署过全球范围内的文件安全管理系统，具备雄厚的技术研发能力和丰富的实施部署经验，相信巨石的产品和经验一定能为华阳公司带来巨大的帮助。

第二章．项目目标

2.1 项目总体目标

建立华阳通用电子公司全国范围内的文件安全管理体系，通过加密软件保护企业机密文档无法泄漏，规范员工的文件安全操作行为和流程，提高员工的安全意识，同时最大程度降低加密软件对员工工作效率的影响，最终达到安全管理和人性化管理的高度结合的实施目标。

2.2 总体功能模块图

 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

 
 
 
 
 
 图1  HS-Key总体功能模块图

2.3 具体功能目标

我们以应用场景和解决方案的方式进行描述，具体内容如下：
1．自动加解密及组织架构管理
应用场景：
企业存在大量的机密研发文件和财务数据，其中包括研发数据、Office文档、PDF文档、图片和视频文件等，需要进行加密保护，但是又不想引起员工的反感。
解决方案：
（1）       强制自动加解密：
n  所有文件在保存时自动进行强制加密；
n  加密和解密过程对于使用者来说是透明的、不可见、不可干预的，在后台悄悄进行，员工感受不到加密软件的存在；
n  加密过的文件也可以外发或者拷贝出企业。但在未授权的电脑上打开时，会以乱码形式显示。
（2）       内部文件交换：
n  不同部门的员工之间不能相互查看加密文件，只有经过追加授权的文档才能在部门之间交流。
n  可以授予的权限包括：是否允许修改、是否允许复制内容、是否允许打印等。
（3）       其他权限控制：
n  打印权限、截屏权限、内容复制权限。
n  手工解密权限、解密审批权限、允许外发文件权限等。
n  是否需要U-Key做身份认证。
n  是否允许离线工作等。
组织架构例图：

<注：此架构可实现，各部门之间的文件保持独立性；“董事长”组可查看以下所有组的加密文件，上级可以查看下级的加密文件；另，此组织架构为多层次，以防止各部门负责人的调动频繁时，方便组织架构的调整。>
2．移动介质管理
应用场景：
为了携带资料方便，企业普遍使用U盘来进行文件的拷贝，但这会带来巨大的安全隐患。
解决方案：
移动介质管理，也就是常说的U盘和移动硬盘管理。HS-Key可以实现以下几种管理方式（以U盘为例）：
（1）       禁止U盘的使用（不能从U盘读，也不能写入U盘）；
（2）       U盘只读（只能从U盘读，不能写入U盘）；
（3）       对所有保存到U盘的文件进行强制加密。
3．与外部企业的文件交换
应用场景：
企业需要经常和外部的上下游合作企业交换文件，如果文件被加密了，该如何交换文件，同时又能保证外发出去的文件的安全性？
解决方案：
HS-Key提供一套“外发文件打包”的功能模块来实现对外发送的文件的权限控制。
（1）       对外发的文件的操作权限进行控制，如：文件只读、复制、修改、打印、密码保护、有效期限、可阅读次数、时长等；
（2）       可支持所有文件类型的外发权限控制，外发文件在加密状态下编辑后可返回原厂直接阅读查看；
（3）       限定是否允许文件接收者再次将加密文件扩散给其他用户阅读使用。
4．离线加密工作管理
应用场景：
     公司的员工需要经常携带笔记本出差，如果保证他们既能正常工作又能保证笔记本中文件不会泄露？
解决方案：
（1）       当企业的员工需要携带计算机出差工作时，可在离线时提出出差申请，由管理员进行离线加密设置，保证该员工可以离线打开加密文件进行正常工作；
（2）       可设定允许离线的时间，以及离线工作的权限；
（3）       当设定的允许离线的时间超过后，可以再由管理员发送离线授权文件给该员工，延长正常离线工作时间。
5．截屏控制
应用场景：
     虽然文件被加密了，但是有多种截屏方式和截屏软件可以对打开的文件进行截屏。
解决方案：
       HS-Key采用了先进的防截屏技术，不但可以对市面上已知的截屏软件（如QQ截屏等）进行限制使用，而且可以通过策略，禁止任意截屏软件的运行使用。
6．领导特权策略
应用场景：
     作为企业的老板或者受信任的领导，应该拥有不同于普通员工的特殊权限。
解决方案：
        HS-Key专为领导设计了更开放、更特殊的权限策略：
（1）       普通员工的工作文件会被强制加密，而领导可以阅读加密文件，但是允许保存为不加密的文件；
（2）       领导可以通过使用专门的加密锁完成文件的解密操作；
（3）       允许领导对外发送文件时（如通过邮件、QQ等），文件会自动进行解密。
（4）       允许领导解密文件时不需要进行审批。
7．管理员权限控制
应用场景：
     管理员往往拥有超级权限，如果不加控制，会是一个巨大的安全漏洞。
解决方案：
        在HS-Key系统中，采用了三权分立的权限体系。管理员账号、日志管理员和终端使用者的账号是完全独立的，管理员账号不能用于加解密工作中，即无权操作任何加密文件，因此是安全的。另外，管理权限和日志权限也是分离的，管理员的所有操作都会进行日志记录，而管理员本人是无法删除日志的。
8．与OA/ERP系统的集成
应用场景：
     企业已经安装部署了OA/ERP系统，存放在OA系统中的资料是非常重要的，如何将OA/ERP和加密软件紧密结合在一起。
解决方案：
HS-Key可以很容易的和任何的OA/ERP系统进行集成，所有上传到OA/ERP中的文件附件都处于加密状态，未经授权的计算机，即使能够登录OA系统，也无法打开OA中的文件附件。任何从OA/ERP系统中存到本地计算机的文件都会被强制加密。
另外HS-Key可以和企业的OA系统做以下紧密集成：
（1）       组织架构信息同步： HS-Key自动获取并和OA系统中的组织架构信息保持同步，如OA中新增账号，HS-Key中同时增加一个新账号，OA中删除一个账号，HS-Key中同时冻结该用户账号；
（2）       统一用户身份验证： HS-Key客户端登录时，会自动将账号和密码发送到OA服务器中做身份验证，验证通过后方可正常使用；
（3）       通过OA统一发布： HS-Key客户端可以通过OA软件以插件的形式进行通知和自动安装，可以大幅度降低安装部署的成本。
（4）       解密流程紧密结合： HS-Key可以将解密审批流程结合到OA审批流程中，在OA中实现文件解密的审批和文件外发。
9．非强制加密管理
应用场景：
     同样是Word文件，有些是机密文件，必须加密保护，有些却是日常办公文件，不需要进行加密，可以随意对外发送的，如何进行区分？如果都强制进行加密了，势必会对正常的工作带来效率上的影响，引起员工的反感。
解决方案：
        HS-Key针对该种需求，提供了一个可选的“非强制加密”功能。对于已加密分级的文件，无论如何进行编辑修改和另存，都会处于加密保护状态。对于本身未加密的文件，修改保存或另存都仍然保持非加密状态。当然，任何可能从加密文件中拷贝内容到非加密文件中的不安全操作，都会被严格监控。
        该功能尤其适合讲究人性化管理的企业使用。
10． 解密审批的快速文件传递
应用场景：
     华阳通用电子终端数量较多，如需文件交互时，解密审批如果都通过传统方式传递文件，势必造成网络拥塞和传递速度慢的局面。尤其是在同一个地区网段，最好能实现QQ那样的自动识别并快速传递文件。
解决方案：
        HS-Key针对以上需求，新增了P2P方式传输文件的功能，能够自动识别两个互传文件的点是否在同一个网段，自动以点对点的方式进行快速传输，最大传输速度可达10M/S以上，大大提高了文件解密审批的效率。针对远程审批，亦采用了P2P的技术，最大传输速度可达80K/S，超过QQ的文件传输速度。
11． 服务器的负载均衡
应用场景：
     华阳通用电子目前电脑数为1千多台，未来还会不断扩大规模，诸多终端会否造成网络的拥塞和服务器的崩溃？
解决方案：
        HS-Key的服务器采用了负载均衡、分时段连接、分级服务器、多服务器并行处理等技术，经过在顺丰速运的实测，负荷能力可以轻松承担5万台终端同时在线的任务。因此华阳未来不断扩大规模，增加电脑数量都是没有问题的。
12． 灾备及应急处理
应用场景：
     如果发生网络中断、服务器崩溃、损坏，甚至是发生不可预料的天灾，每台终端电脑上的加密文件还能打开吗？
解决方案：
        为应对各种可能出现的意外情况，HS-Key提供了以下灾备方案：
（1）       在提供1至2台主服务器的同时，还提供2台备用登录服务器，一旦主服务器出现问题，所有终端会自动连接上备用服务器；
（2）       HS-Key会定时自动备份数据库到其他指定计算机，即使所有的服务器均出现故障，仍然可以通过该数据库保证所有终端的正常加解密工作；
（3）       HS-Key提供专门的手工解密锁，由企业方自行制作超级解密锁，即使网络全部中断，也可通过该锁完成文件的手工解密工作。
 
13． 加密网关
应用场景：
        企业已经安装部署了ERP/PDM等业务系统，存放在ERP/PDM系统中的资料是非常重要的，但OA办公系统内外网电脑都允许访问，这时如何将OA/ERP/PDM和加密软件紧密结合在一起？
解决方案：
（1）       在从服务器传递到员工电脑、internet方向的数据，架设加密网关，而经过加密网关中所有的数据一律加密，使文件从根本上杜绝泄密的可能。
（2）       设置ERP/PDM服务器网络数据发送加密，这时未装保密系统外部电脑或新员工电脑将无法访问ERP/PDM网络加密数据。
（3）       安装保密系统的电脑将会自动解密数据并能正常访问业务系统，但数据导出本地磁盘将会强制加密。
<另，架设了加密网关之后需一定要装有加密客户端的电脑，才可以读取服务器的数据。若没有装加密客户端，则无法识别这样的网络数据包。这可实现只有装了加密客户端的电脑才可以访问服务器的数据。>
 
 加密网关、加密客户端部署示意图：

如上图所示，网络拓扑中需要添加一个加密网关，及一个新的交换机。为了灾备，主交换机有主备两台机，新的交换机也同样需要主备2台机，因此，对应的加密网关也需要主备两台机。
将主交换机与网关之间网络拓扑示意图放大，如下图所示：

按此模式，如在新交换机之间出问题，需要手工切换备用线路。而在主交换机或网关之间出问题，则有热备，无需手工切换。

第三章． 总结

HS-Key安全方案项目实施后，可以达到以下应用效果：
l  所有重要的知识库文件自动加密并进行集中管理；
l  这些机密文件只能在安装了加密客户端软件的机器上，才能正常阅读。离开这个环境，文件将无法打开；
l  如需解密，需要通过相应管理人员的审批才能实现解密文件。
l  各部门之间的文件保持独立性，只有获得授权的部门或用户才能查看相应的加密文档；
l  通过各种工作模式的混合设置，满足公司复杂的权限要求；
l  通过外发控制，实现与外界的安全交流；
l  严格控制U盘等移动存储介质的加密和使用；
l  原有的QQ、MSN等即时通讯工具和邮件发送工具仍然可以正常使用，但是如果发送的文件是加密文件，企业外部将无法打开；
l  离线管理机制，保证正常离线的计算机能够正常工作。
l  架设了加密网关之后需一定要装有加密客户端的电脑，才可以读取服务器的数据。若没有装加密客户端，则无法识别这样的网络数据包。实现只有装了加密客户端的电脑才可以访问服务器的数据。
总而言之，文件加密软件的部署，从整体上提升了企业的安全管理水平，在不改变内部工作方式和工作流程的情况下，有效地保护了企业的知识产权和核心竞争力，为企业的快速发展保驾护航。