国泰信安电子文档安全管理系统(CPSec GEFS

1、电子文档安全管理系统(CPSec GEFS)随着电脑和Internet的普及与发展，社会各个方面逐渐将越来越多的文件和信息以电子文档的方式保留在计算机上，由此而产生的信息安全隐患以及信息泄密也逐渐受到越来越多的人的重视。目前，在我国的企业和政府部门中，对于电子文档的保密措施也刚刚处于起步阶段。由于单位内部大家使用的都是通用的文字处理软件、制图软件，这样通用格式的文件，一方面使信息的广泛容易沟通得到可能，但是同时也担心内部的机密电子文文档利用网络、U盘、电子邮件、电脑外修的时候，非法外泄。 在日常的企业工作中，黑客的攻击或者企业计算机所中的木马病毒都有可能会在不知情的情况下将企业的机密文件进行泄

2、露，而企业内部员工的或有意或无意的行为也有肯能将企业机密文件外泄。甚至企业计算机或U盘的丢失都有可能造成企业机密文件的泄露。为此，不少企业都进行了一定的硬件防护措施，诸如限制上网，封闭USB端口等措施，不过这样在除了造成了企业员工的部分工作困难外，并不能从根本上解决文档安全的问题。因此在企业的计算机系统中配备一种能够根本解决文档安全的防护软件也就成了目前越来越多的企业面临的唯一选择。北京国泰信安科技有限公司依托专业的信息安全人才、技术、资源优势，针对当前电子文档的非法复制与扩散的安全威胁，自主研发了电子文档安全管理系统。该系统包括内网数据透明加解密系统、移动外携安全办公系统、安全文件外发系统和

3、个人数据处理系统等，全方位保护企业自主知识产权（文档、图纸、代码等）的安全和个人数据的安全。1 技术架构CPSec GEFS系统的目标是实现对于一个企业的计算机网络系统之中所有的终端计算机中受保护的文件格式的自动加密，而不对已有操作过程进行影响。这样，系统对所有受到保护的计算机中的文件都自动做到了加密；系统网络之中得到服务器端认证的终端计算机将对文件进行自动解密，从而能使文件能够正常使用。而任何未经服务器端授权的文件默认将保持在加密状态无法通过正常手段打来，从而做到对于文件的保护作用，防止由于文件泄露而导致的公司保密信息的泄露。CPSec GEFS系统以Client/Server模式提供基于数

4、据加密、数字签名的身份认证、数据完整性保护和不可否认性业务，实现策略服务器控制之下的认证和授权管理，实现对各个GEFS客户端数据的安全管理和控制。GEFS采用基于中间件的分层结构设计，分为如下四个层次:l 表示层：提供安全业务接口，提供图形用户界面实现人机交互。l 逻辑层：控制业务请求/调用事务逻辑，并将相关请求交由下层应用服务处理。l 应用层：接收由逻辑层转来的业务请求，执行相应的安全操作。l 系统层：作为硬件的扩展层，提供基础平台支持。2 系统功能u 数据透明加解密系统v 数据自动加密CPSec GEFS系统无需用户输入口令即可实现由系统自动对文件进行透明加密、解密，这样既方便用户存取、传

5、输，又能实现用户对属于企业知识产权的文件的强制保护。用户端对指定类型的文件（由服务端管理）的加解密是由后台自动完成的。用户在新建、打开、拷贝、移动涉密文件时文件自动加密，在环境中打开密文时自动解密。系统不改变用户原有的操作习惯，同一加密环境内部的文件交流不受影响。数据加密功能包括：l 透明加/解密：无需用户输入口令，由系统自动强制加/解密。l 加/解密文件：加/解密同一目录下单张或多张电子文件。l 批量加/解密：批量加解密电子文件。l 校验文件：校验电子文件文件是否损坏。l 文件归档：将申请归档的文件进行归档。v 数据泄密控制CPSec GEFS系统支持受保护的文件被合法的应用软件访问，支持任

6、意形态的存储加密，无需控制USB接口和移动设备介质使用，有效控制了本地、网络、移动存储设备环境下的泄密控制。系统支持在线和离线模式下各种潜在的泄密风险，主要功能包括：l On-Line情况下的数据泄密控制SMTP-Mail, Web-Mail, Web-HDD控制FTP, Messenger, QQ, BQQ, POPO, MAZE, BT控制l Off-Line情况下的数据泄密控制HDD, FD, MO, ZIP, JAZZ, Flash DeviceCD-R , CD-RWUSB/1394 Storage Devicev 数据条件访问CPSec GEFS系统访问控制功能使得在企业业内部能够

7、实现系统授权下的数据共享和交换，为企业协同设计开发提供便利，同时确保在企业内部的数据安全。文档访问控制功能确保在企业授权环境下的设计与开发，方便企业内部数据安全使用，对不同权限层次的用户主体分配不同的操作权限。可以根据需要灵活定制用户、对象和权限关系，动态管理用户对文档资源的相应访问权限，实现层次化安全访问管理。文档访问控制功能主要包括：l 文档访问控制：不同级别的用户对不同文档资源拥有不同的权限，包括读、写、预览、执行、共享、删除等访问控制。l 权限分离：实现设计人员与非设计人员的权限分离。l 文档控制：网络存储外出控制流程、归档控制流程。l 远程文档管理：打开、自动下载、共享、申请外带、归

8、档。v 部门管理部门管理主要是指对系统的部门进行管理，以及在对应项目的相应权限，主要功能如下：l 设置部门：添加、修改、删除部门。l 组织结构：添加、修改、删除组织机构。l 设置项目：添加、修改项目。l 设置权限：设置部门的权限。v 用户管理用户管理主要是指对系统用户指派所在项目组，以及在对应项目的相应权限，主要功能如下：l 设置用户：添加、修改、删除、禁用、恢复用户帐号。l 组织结构：添加、修改、删除组织机构。l 设置项目：添加、修改项目。l 设置权限：设置用户的权限。v 系统统计CPSec GEFS系统提供强大的实时审计功能，可以详细审计到何种用户在何时何地对何种文件实施了何种操作。可以按

9、离线或者在线方式有效审计用户对文件的新建、修改、拷贝、共享、打印等操作，为系统管理员或者部门主管提供风险管理依据。系统审计功能包括：l 动态可编辑安全策略：与安全实施模块相分离，提供动态可编辑安全审计策略，从而实现安全水平可配置的安全审计。l 实时日志：实时记录用户活动，对敏感资源的实施踪迹跟踪。l 实时报警：根据安全策略实时违规报警。l 可视化分析：提供可视化安全审计分析工具。u 移动外携安全办公系统l 系统提供移动办公的商务授权功能。l 当笔记本用户需要外出办公时，可通过服务端进行商务授权，让移动用户在指定时间内可以脱离服务端使用。l 涉密文件仍然为加密状态，授权时甚至可以限止密文打印（当

10、前为自动限止打印）。但是外出办公人员完全拥有对于办公文档的打开、编辑以及一定条件下的打印许可权限。l 外出办公人员对于所使用的办公文档所作出的操作均会被外携办公系统自动进行记录，并在计算机接入系统服务器时自动对操作记录进行上传。u 安全文件外发系统l 系统提供对外文档发送的功能。l 当系统用户需要将文档发送给系统外的相关业务对象时，可通过本地客户端进行解密操作，让用户将指定文档进行解密操作。l 解密文档可以通过邮件、U盘等方式发送给需要的系统外人员。但是，所有对于涉密文档的解密以及外发操作都会通过系统本地客户端进行自动记录。防止用户通过解密外发功能随意将涉密文档进行泄密。l 外出办公人员需要对

11、所使用的办公文档进行外发操作时，也可通过客户端进行解密，并不需要服务器端的认证，但是客户端的自动记录功能依然会自动进行。当外出计算机重新接入本地内网时会自动向服务器端上传外发过程资料，做到对于外发资料的同意管理。u 个人数据安全处理系统l 系统提供个人隐私数据授权解密功能。l 当用户需要使用个人隐私数据时，可通过服务端进行授权解密，让用户在指定时间和空间内解密数据使用。l 个人隐私数据只限定一般的权限处理，比如邮件发送等。3 应用模式CPSec GEFS系统实施目标就是为企业构建企业内部可信环境，建设企业内部应用数据安全设计平台，实现企业内部灵活的数据交换和外部的增强型安全保护能力，为企业提供

12、有效的保护知识产权保护，全面提升企业竞争力。国泰信安电子文档安全管理系统应用模式如下图所示。集团总部系统子公司系统公司部门公司部门公司部门4 系统特色v 系统具有实时加密，透明加密的特点，在加密的过程中，并不影响使用者的正常使用，加密时不会产生其他文件，做到加密时的安全保障。v 加密时时对文件采用实时加密，因此，在加密完成后对于文件存储介质没有要求，可以保证文档在转移或拷贝等情况下的文档安全。v 加密算法稳定可靠，采用了目前公认的比较成熟的加密算法，基于MD5、AES以及RSA等加密算法，可以确保系统加密过程的安全与稳定。v 功能结构相对简单，能够适用于各种不同的公司网络，对于不同的公司网络结

13、构都能够做到很好的包容。5 支持的系统环境（1）支持的操作系统l Windows 7l Windows Server 2008l Windows Vista with Service Pack 1 (SP1)l Windows Vistal Windows Server 2003 with Service Pack 2 (SP2)l Windows Server 2003 with Service Pack 1 (SP1)l Windows Server 2003l Windows XP with Service Pack 3 (SP3)l Windows XP with Service Pack 2 (SP2)l Windows XP with Service Pack 1 (SP1)l Windows XPl Windows 2000 with Service Pack 4（SP4）+ RUP（仅此版本安装后需要重启机器，其他均无需重启）（2）支持的文件系统l NTFSl FAT12l