市分行办公PC及移动介质管理方案.docx

上海市分行办公pc及移动介质管理方案25目 录一背景介绍1二网络环境安全21启用的功能模块：22功能模块描述：23策略制订描述：34工作流程图：35第一阶段推广分析：46管理制度56.1网络连接和网络安全56.2网络使用安全57服务保障6三主机应用安全61启用的功能模块：62功能模块描述：73策略制订描述：74工作流程图：84.1移动存储介质管理使用流程84.2安全防木马u盘使用流程95第二阶段推广分析：105.1在上海分行推广的有利条件：105.2在上海分行推广的不利条件：105.3第二阶段建设的考虑因素：106管理制度116.1移动存储介质安全保密管理暂行规定117服务保障14四数据存储安全141启用的功能模块：152功能模块描述：153策略制订描述：163.1文档加密策略启用163.2文档申请解密流程启183.3笔记本电脑申请外带启用194工作流程图：215第二阶段推广分析：225.1在上海分行推广的有利条件：225.2在上海分行推广的不利条件:235.3第三阶段建设的考虑因素：236、管理制度237服务保障24行领导：为加强对上海市分行办公pc机及移动介质的安全管理，信息部在现有办公桌面域控管理方案基础上，进一步制定了分行pc机及移动介质数据防泄密技术方案，现汇报如下：一 背景介绍根据总行统一规划，上海市分行pc机（业务/办公）目前都已安装了桌面域控系统，已实现了用户账号和密码的管理；软件安装和卸载管理；用户访问权限的管理 。但还存在着以下方面的安全隐患：1、对pc机不安装域或安装后私自卸载域等行为还缺乏有效的发现和管控手段；2、缺乏对移动介质的管理手段；用户可以随意使用各种移动存储设备，将企业的内部文件泄露出去，并无法控制外部存储介质将病毒带入到企业内部；3、缺乏移动介质带出使用追溯问题；4、缺乏发现和管理用户非法自行建立通路（如3g、无线、代理、拨号）非法外联行为；5、缺乏对用户私自修改ip、mac地址，造成ip地址冲突和网络安全时间分析困难的问题；6、缺乏对计算机的光驱，软驱，usb，网卡，蓝牙、红外、串口、并口等外设进行有效监控，无法解决重要敏感信息通过上述端口泄密的隐患；7、缺乏内部文档外出审批流程，文档流出造成泄密无据可查；8、缺乏笔记本外带审批流程，外出操作、或笔记本丢失没有审计手段，可能造成重要敏感信息泄密；9、缺乏文档打印审批流程，打印泄密无据可查；10、缺乏重要商密文件备份，一旦数据丢失没有备份容灾机制；为进一步强化对计算机及移动介质等数据使用环节的安全管理，防止使用环节敏感数据的泄漏，信息部根据交通银行信息安全管理要求，制定了本方案。1.1.1 分行办公pc及移动介质建设目标总体：在桌面域控系统上，部署国家信息安全工程技术研究中心的客户端，统一实现准入控制、移动介质控制、非法外联控制、端口控制、文档加密、打印监控等功能。二 网络环境安全先行建设一个安全可控的物理环境，才能够保障企业的信息安全，第一阶段 2014年2月10号开始-4月30日完成。1 启用的功能模块：非法接入控制功能模块地址绑定监控审计功能模块2 功能模块描述：加强非法接入控制：采用802.1x协议探测等方式检测系统中所有在线的主机，并判别在线主机是否是经过系统授权认证的信任主机，非信任主机禁止访问企业内网（也可开启白名单，允许访问）。加强ip、mac地址绑定：对所有终端机器的网络连接配置进行统一全局锁定，客户端不能私自修改ip，防止ip地址冲突。3 策略制订描述：模块名称策略设置设置规则（由松到严）管理效果用户感知非法接入控制启用1、未安装客户端软件禁止准入；2、未安装杀毒软件禁止准入；3、未安装桌面域禁止准入；（需定制接口）4、补丁检查不健康禁止准入。新员工入职需按信息部要求安装软件，否则无法接入单位内网办公。外来访客不能随意接入单位内网访问内网数据。无需用户互动，用户使用无感觉。地址绑定监控启用可修改用户可以修改ip地址，后台留下日志审计；无需用户互动，用户使用无感觉。启用ip、mac地址绑定用户尝试修改ip地址失败，有效防止ip地址冲突，减轻管理员因地址冲突带来的工作量。4 工作流程图：安全接入工作流程：5 第一阶段推广分析：l 在上海分行推广的有利条件： 可以防止外来人员随意接入分行内部网络，带来安全隐患； 可以规范管理分行内部员工通过智能手机、ipad等移动设备采用wifi、有线等方式接入到计算机和内部网络的行为，有效降低个人终端与工作计算机混杂网络给分行信息安全带来的隐患； ip、mac地址绑定可以实现迅速有效的内网故障定位、内网病毒源头定位和内部恶意攻击定位，有效支撑技术部门对内部网络的安全管理和安全审计。l 在上海分行推广的不利条件：内部员工习惯使用的个人移动终端（苹果手机、安卓手机等设备）和移动办公设备（笔记本、ipad等设备）不能随意接入单位内部网络，对员工个人使用习惯带来一定的改变。l 先行建设的考虑因素：通过分析信息安全的建设的首要前提是需要具备一个安全可控的物理环境，才能够保障企业的信息安全；所以在信息安全建设的第一阶段首先解决外来设备接入内网的准入控制。6 管理制度6.1 网络连接和网络安全 网络连接：ip地址设置为手动设定方式，网络标准协议为tcp/ip;严禁隐藏和伪造上网终端基本信息，严禁员工擅自更改ip地址，严禁员工安装启动单位标准协议以外的其他网络协议。 未经批准计算机一律不许接入单位局域网和互联网,如有特殊工作需求，须事先提出申请报主管领导批准后方可实施，并安装物理隔离卡，在相关工作完成后撤掉网络。经过批准，在与外部网络直接连接时，必须与内部网络断开连接。要坚持“谁上网，谁负责”的原则，各部门由部门负责人负责严格审查上网机器资格工作，并报计算机中心开通。 在与国际互联网相连的信息设备上不得存储、处理和传输任何涉密信息。未经批准，严禁私自设立拨号接入服务。严禁拨号到公司外部网络。6.2 网络使用安全 禁止在单位网络上擅自设立各种形式的服务。如：web,bbs,dhcp等； 禁止下载、制造、传播与工作无关的文件； 未经批准，禁止使用ftp或tftp； 禁止利用公司网络私自订阅电子杂志； 禁止发送、转发垃圾邮件或其他与工作无关的电子邮件； 禁止利用单位网络资源进行任何与工作无关的事，公司网络资源24小时只能用于工作； 登陆办公自动化软件在员工入职时，由部门秘书申请，计算机中心统一分配。员工在工作岗位调动或离职时，应向部门秘书移交各类权限及密码；授权用户应妥善保管用户名与密码，不得泄露给他人，因转借或泄漏密码出现违规行为，该授权用户需接受处罚。 员工不得随意在网上建立共享目录，因工作需要建立的共享目录，必须设置共享口令，工作任务结束后应及时取消共享； 所有员工的上网行为（包括qqmsn聊天信息与文件发送、浏览网页、web邮件、ftp上传等）单位都将进行监控与信息备份。 员工离职或者调离所在部门的时候，必须通过信息安全管理人员进行信息安全离职审计，确认在职期间没有违反本管理规定的行为后，方可以办理相关手续。7 服务保障 实施阶段技术工程师按用户单位上班工作时间每天上班下班。 实施完成技术工程师依然按用户单位上班工作时间每天上班下班，直到驻厂满三个月。 项目验收合格后进入维护阶段。 项目经理支持：1、驻厂实施经理24小时开机时时在现场解决问题；（实施开始指定驻厂经理）2、项目经理24小时开机（负责项目总协调安排）； 上门维护：1、紧急响应2小时到达现场，服务器故障为紧急响应。 2、一般响应24小时到达现场，单个终端出现故障、遇到管理员培训管理知识内容以外的故障。 远程在线支持： 1、在线支持系统（5*8 小时） 2、技术客服（7*8小时）3、一般单个计算机出现问题可时时进行远程。 项目经理支持：1、驻厂实施经理24小时开机（实施开始指定驻厂经理）2、项目经理24小时开机（负责项目总协调安排）三 主机应用安全移动存储介质小巧，存储空间大，方便携带，被分行员工普遍使用，是内外网络隔离后最大的数据安全隐患，第二阶段 2014年2月10号开始-4月30日完成。1 启用的功能模块：移动存储介质管理功能模块非法外联监控功能模块2 功能模块描述：加强移动存储介质管理：实现u盘注册认证，经过注册认证的u盘可设置在单位内部使用、外出禁用、外出可用等权限；未注册u盘接入单位内部禁用或只读；并记录详细日志审计。加强非法外联监控：解决发现和管理用户非法自行建立通路连接非授权网络的行为；（如3g、无线、代理、拨号）通过非法外联访问非信任网络资源，可以阻断、并报警。3 策略制订描述：模块名称策略设置设置规则（由松到严）管理效果用户感知移动存储介质管理启用未注册介质可读可写个人u盘可以正常使用，后台记录日志审计；无需用户互动，用户使用无感觉。启用1、未注册u盘只读；2、注册单位内部公用u盘，内部u盘外出禁用；个人u盘可以将文件单向拷贝到单位内部计算机，内部计算机文件不可拷贝到个人u盘；后台记录日志审计；单位内部公用介质进行注册认证，认证后的u盘发给各部门，注册u盘可以在单位内部使用，带出单位内部拒绝访问。用户有互动，用户使用有感觉。启用1、 未注册u盘禁用；2、 每个部门建议申请开启1-3个外来u盘只读，解决内外交互文件。个人u盘带到单位内部不可使用；外来数据可通过每个部门开启的只读口将数据单向拷贝到内部计算机。安全防木马u盘使用外出交互专用，需申请领用，每个部门都建议配备。内部文件带出交互采用安全防木马u盘，可起到u盘外出使用日志可记录；u盘有身份认证，密码输入错误3次自动锁定，防止因u盘都是造成数据泄密风险。非法外联监控启用非法外联自动关机、非法外联自动重启用户通过3g、无限、代理、拨号非法外联，可立即阻断，并记录详细日志审计；无需用户互动，用户使用无感觉。启用外网报警平台，支持地图报警、邮件报警、短信报警用户将计算机带出单位以后通过3g、无限、代理、拨号非法外联，可立即阻断，并报警。4 工作流程图：4.1 移动存储介质管理使用流程4.1.1 未注册u盘可读可写，图 1所示。可正常使用，记录审计日志导出导入个人u盘 单位计算机 图 1未册u可读可写4.1.2 单位内部u盘注册，外出禁用；如图1-2单位内部u盘注册禁止带出单位内部注册u盘外出拒绝访问可读可写单位内部计算机图 2未册u只读，注册u盘外带禁用4.1.3 未注册u盘只读。如图1-3禁止导出单位计算机单向导入个人u盘禁止导入到个人u盘，记录日志审计图 3未册u盘纸只读4.1.4 未注册u盘禁用。如图1-4个人u盘接入个人u盘接入单位内部计算机禁用，记录非法接入日志禁用 单位计算机 图 4未册u盘纸只读4.2 安全防木马u盘使用流程将外出文件发到单位内部输入输出终端。管理员设置安全u盘领用人姓名、用户使用初始密码、密码复杂度、密码尝试次数。4.2.1 外出携带数据交换流程。如图1-5导入导出同意领取申请借用安全u盘 通过oa传送将防木马u盘交给管理员，管理员登陆审计账号，导出该用户外出使用日志，并可设置恢复出厂设置。交互完成从输入输出终端将文件拷贝到防木马u盘5 第二阶段推广分析：5.1 在上海分行推广的有利条件：该策略对内外网络之间通过移动介质拷贝数据进行严格的控制和审计，可以有效解决分行针对移动存储介质交叉使用没有做管控措施造成泄密的风险，具备较强的安全控制效果；目前分行移动介质使用非常广泛，且配发了工作用存储介质，具备启用存储介质管理的基础条件；同时目前介质管理措施的滞后，也急需加强介质管理的相关手段。可以解决用户非法通过3g、无线、拨号非法接入互联网，通过网络传输将分行内部文件泄密的问题；在第一阶段内外网络隔离实现后，可能存在部分员工为了方便访问互联网而自建通路，给内部网络数据安全带来隐患，上海地区信息化程度高，技术手段相对外省市较为丰富，也就更加需要采取相应的措施进行管理。5.2 在上海分行推广的不利条件：内部员工使用习惯需要逐步培养起来，个人u盘、外来访客u盘不能随意接入单位内部计算机拷贝数据，内部u盘带回家或外带不能使用等策略均会对员工使用习惯带来一定的冲击。分行员工计算机不能随意使用3g上网连接互联网向外传输数据，依然会带来使用习惯变化的问题。5.3 第二阶段建设的考虑因素：移动存储介质小巧，存储空间大，方便携带，被分行员工普遍使用，是内外网络隔离后最大的数据安全隐患，本模块可以有效解决通过移动存储介质造成泄密的风险。随着上网卡的普及，通过3g、4g上网和发送数据，传统的物理手段隔离内外网络显然无法解决数据安全问题，非法外联技术可有效杜绝内网计算机非法访问互联网的隐患，补充和强化第一阶段实现的内外网络隔离策略。6 管理制度6.1 移动存储介质安全保密管理暂行规定6.1.1 范围本标准规定了上海分行移动存储介质的安全保密管理要求。本标准适用于上海分行所有移动存储介质的管理，包括各单位内部购置和员工私人拿做公用的移动存储介质。6.1.2 引用文件中华人民共和国保守国家秘密法6.1.3 定义本规定所指移动存储介质是指能存储文字、图片、数据、声像信息的u盘、移动硬盘、软盘、光盘、磁带、手机存储、数码相机、mp3/mp4、各种cf/md/sd卡以及各类flashdisk等物品。6.1.4 安全保密管理要求 凡在上海分行内使用的移动存储介质必须在安全保密办公室统一编号并登记注册，领取标识，单位内部移动存储介质必须在标识的“内部专用”栏内注明相应用途。 各部门使用的移动存储介质应指定专人统一管理，单位“内部专用”介质实行领用，“外出携带专用”介质实行借用制度。 领用“内部专用”移动存储介质必须实行登记制度，填写“内部专用”移动存储介质领用发放登记表（附件a）；借用“外出携带专用”移动存储介质实行审批登记制度，填写借用“外出携带专用”移动存储介质审批表（附件b）；未经批准不得带出公司。 统一注册编号的“内部专用”移动存储介质可发放到个人保管使用，但必须确保使用的移动存储介质不涉及国家秘密信息和涉军信息。 严禁在工作中使用未注册编号的移动存储介质，发现未注册编号的移动存储介质进入办公区域，除没收外，将对责任人处以5001000元罚款，并对所在单位进行通报批评。 人员在公司内部调动，原移动存储介质归还原单位，需在新单位重新办理领用登记手续；人员调离公司或退休，需上交移动存储介质；工作中损坏或不用的移动存储介质应退还发放单位。 未经公司主管领导批准，“内部专用”移动存储介质不得以任何理由赠送、处理、转借给其他部门、外单位或个人使用；需要上报或移交到外单位的“内部专用”移动存储介质，必须按照公司对外提供图纸、资料、磁介质载体审批流程办理，经公司主管领导批准，到安全保密办公室签订保密协议后，方可提供。 各单位因工作需要购买移动存储介质，必须按照办公自动化设备、设施安全保密管理暂行规定办理审批手续，经信息化建设部审批后，报安全保密办公室注册、备案并领取标识。 禁止使用软盘作为涉密移动存储介质。 严禁在“内部专用”移动存储介质上存储、处理涉密信息和涉军信息；在“内部专用”移动存储介质上存储、处理的信息的，不得高于涉密移动存储介质本身的密级；涉密移动存储介质也不得在与本身密级不符的涉密计算机上使用。 “内部专用”移动存储介质包括存有工作信息的移动存储介质，严禁连接国际互联网，一经发现处以责任人5002000元罚款，并对所在单位进行通报批评。 “内部专用”移动存储介质严禁在非单位内部计算机间交叉使用，一经发现处以责任人5001000元罚款，三次以上者调离涉密岗位。 “内部专用”移动存储介质不能降低密级使用，不再使用的应及时销毁。 移动存储介质报废必须办理销毁手续，交安全保密办公室统一销毁。 涉密人员违反公司移动存储介质安全保密管理规定，造成重大泄密隐患或泄密事件的，将给予党纪、政纪处分；构成犯罪的将移送司法机关依法追究刑事责任。 对不认真履行移动存储介质安全保密管理职责，对本单位移动存储介质使用监管不力，存在重大泄密隐患的单位，公司将给予通报批评，并取消年终评优评先资格；发生泄密事件的将对负有主要领导责任的人员给予党纪、政纪处分；构成犯罪的将移送司法机关依法追究刑事责任。 本规定自发布之日起施行；本规定由安全保密办公室负责解释。附件a“内部专用”移动存储介质领用发放登记表单位：序号介质种类编号用途领用时间领用人签 字归还时间专管员签 字备注附件b借用“外出携带专用”移动存储介质审批表单位：序号介质种类编号密级用途借用人借用期限单位领导审批借用时间借用人签字归还时间专管员签 字7 服务保障 实施阶段技术工程师按用户单位上班工作时间每天上班下班。 实施完成技术工程师依然按用户单位上班工作时间每天上班下班，直到驻厂满三个月。 项目验收合格后进入维护阶段。 项目经理支持：1、驻厂实施经理24小时开机时时在现场解决问题；（实施开始指定驻厂经理）2、项目经理24小时开机（负责项目总协调安排）； 上门维护：1、紧急响应2小时到达现场，服务器故障为紧急响应。 2、一般响应24小时到达现场，单个终端出现故障、遇到管理员培训管理知识内容以外的故障。 远程在线支持： 1、在线支持系统（5*8 小时） 2、技术客服（7*8小时）3、一般单个计算机出现问题可时时进行远程。 项目经理支持：1、驻厂实施经理24小时开机（实施开始指定驻厂经理）2、项目经理24小时开机（负责项目总协调安排）四 数据存储安全第一、二阶段建设主要是监控审计，分行员工几乎没有任何感觉，使用上也逐步会培养出较高的安全意识，加强了分行信息网络安全；所以放在第三阶段 2014年5月5号开始-6月30日完成。1 启用的功能模块：文档加密功能模块2 功能模块描述：加强文档加密：采用驱动级加密技术实现对文档的加密防护，驱动级加密技术是一种先进的加密技术它工作于windows底层，通过监控应用程序对文件的读写操作实现文件的透明加解密，即：文件打开是自动解密，关闭时自动加密后存储于磁盘。加密后的文件一旦脱离计算机环境将不能正常打开，以此来防止计算机文件被非法窃取造成的泄密事件。通过驱动级加密技术文件不会被破坏，不影响文件的可操作性。该加密驱动技术可实现任何文件类型的实时、动态加密。（包含下面子功能）功能列表详细描述本地加解密可对客户端文件强制性透明加解密，启用本地加解密策略后未授权文件通过任何方式外出都是密文。本地加解密策略支持任何文件类型可针对不同文件类型分别设置透明加解密策略。客户端权限管理管理控制台可对客户端指定文件类型、文件夹设置只读、读写、隐藏、防删除功能，防止客户端对文件的随意删除或更改。（特殊用户需求）文档权限管理给单个文件、文件夹授予不同用户、不同部门的不同访问权限；系统提供多种权限级别的授权管理功能，支持对文档的只读、读写、打印、及次数的细粒度控制；同时可对文档的访问操作提供时间限制，超过指定时间段文档拒绝访问。数据实时备份可按系统进程、文件后缀及指定目录等方式将客户端数据以明文方式实时备份到文档备份服务器；系统支持断点续传功能。文档批量加解密可通过设置文件类型对计算机进行全盘扫描加密或解密功能，该功能支持任何文件类型。文档外发控制对外出文件的管理、控制功能；支持对外出文档的只读、读写及使用次数等多种方式的限制。系统可设置外出文档的时效性，超过时效性文档系统会自动销毁。笔记本离线外带控制笔记本外出需经审批同意，并可设定出差天数，时间到了提供延时申请，可设置外出笔记本使用权限，当离线笔记本回到网里，外出使用日志自动上传到服务器控制台。审批流程控制系统按文件类型对文档做加密保护，被加密的受控文件不论是内部流转、文档外发或计算机离线等多个环节设置审批流程，必须经相应审批人员审核通过后该流程才可正常流转，审批流程设置灵活、多样并易于客户使用。日志审计详细记录系统中所有操作日志的审计信息。包括：管理员登陆、操作信息，文件授权信息、本地文件操作日志等，日志信息可根据需要生成相应报表。3 策略制订描述：3.1 文档加密策略启用：（用户视觉感知，使用没有感觉）管理效果：加密文件在单位内部可以正常使用，未经审批带走不可使用，显示乱码，有效保护核心数据安全。文档未受保护前与安装软件后文档受保护后的效果文档未收保护前 文档受保护后3.2 文档申请解密流程启用后操作智能化：（用有感知，使用需互动走流程）管理效果：内部受保护的文件解密后发给单位外部的计算机或未装安全软件的计算机上，文件可以正常打开使用；并能够追溯发起者的申请，审批人批准，后台记录详细日志审计，并会备份申请解密文件原文，一旦发生泄密事件能够追溯到源。 操作步骤： 在加密文件上点击右键，弹出右键菜单 在右键菜单中选择”申请解密”，弹出”文件解密申请”窗口 在文件解密申请窗口中，填写申请标题后，点击提交申请按钮 申请解密文件自动传输到服务器端并且在申请端弹出”申请成功”对话框。 客户端自动弹出”解密文档审批处理完成”对话框，并且加密文档图标自动消失 解密后的文件不要再打开、编辑等操作否则会造成该文件再次加密；解密后的文件直接发走即可。3.3 笔记本电脑申请外带启用后操作：（用有感知，使用需互动走流程）管理效果：笔记本电脑带回去加班或出差，当计算机与单位内部网络断开，笔记本上面的文件可正常使用1分钟-72小时（根据单位离线时间管理规定），1分钟-72小时后计算机笔记本上的文件将不可使用，打开是密文，笔记本长时间外出（如加班或出差）请申请外带时间，经审批同意后笔记本电脑可长时间正常出差使用。操作步骤： 用户在电脑任务栏中找到安全终端的托盘，右键点击外带管理。 用户需写外带的原因及需要外带的使用时间。 如果申请外带时间已到，用户可以延期使用，延期可以通过生成文件或串码的方式发给管理员以获得延期。 当员工提交外带流程后，管理员需要登陆服务器的后台管理页面，找到审计管理外出申请审批选项来审批，同意是否。 管理员同意后，该对话框，可以设置外出的起始与截至的时间，确认完成。4工作流程图：5第二阶段推广分析：5.1在上海分行推广的有利条件：电子文件加密追踪技术实现了对文档从产生、使用、流转到销毁全生命周期的安全防护，该加密技术可实现文档的动态加密防护，同时对加密文件的访问权限控制和转储备份等全方位立体式的防护；严格控制文档流转的使用权限及文档的知悉范围，对外出的文档采用领导审批并结合文档外出的权限控制技术实现外出的文档也可达到可控制、可追踪、可销毁的防护效果；该设计方案数据存储安全从多角度、全方位的保证数据的存储安全。目前上海分行的绝大多数业务均已实现了数据化，通过内部网络进行无纸化办公，所以，该技术及其相关策略的启用，可以从根本上解决分行目前面临的数据安全隐患，具备实施简单、成效明显和见效迅速的优势。5.2在上海分行推广的不利条件: 员工逐步接受过程，分行员工文档可在单位内部正常使用，不管通过任何方式流出分行，文件都是密文； 员工逐步接受过程，分行员工文档外出设计智能