***变 DLP 数据防泄密项目 一期方案
北京&&&科技发展有限责任公司 二 O 一二年十二月
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
版本信息
更新历史 编写人 吴悠 吴悠 日期 2012-12-21 2013-1-15 版本号 1.0 2.0 审核 创建 变更 变更内容
2 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
目录
第一章 产品介绍 ............................................................................................................................. 4 第二章 总体方案介绍 ..................................................................................................................... 5 2.1 方案概述.......................................................................................................................... 5 2.2 总体部署示意图.............................................................................................................. 5 第三章 详细项目方案 ..................................................................................................................... 7 3.1 安全策略.......................................................................................................................... 7 3.1.1 通用安全策略 .............................................................................................................. 7 3.1.2 加密集成策略 .............................................................................................................. 8 3.1.3 日志审计策略 .............................................................................................................. 9 3.2 系统管控........................................................................................................................ 10 3.2.1 DLP 系统角色及权责 ................................................................................................ 10 3.2.2 DLP 管理方式............................................................................................................ 10 3.2.3 安全策略分发 ............................................................................................................ 10 3.3 应用场景........................................................................................................................ 11 3.3.1 入网终端涉密数据外发 ............................................................................................ 11 3.3.2 入网终端应急解密响应 ............................................................................................ 12 3.3.3 系统故障应急机制 .................................................................................................... 12 第四章 日常系统维护 ................................................................................................................... 12 第五章 实施人员计划 ................................................................................................................... 13 5.1 项目组织及成员............................................................................................................ 13 5.2 实施计划........................................................................................................................ 14 5.3 测试方案........................................................................................................................ 15
3 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
第一章 产品介绍
&&&文档安全管理系统（简称：DLP-CDG） ，是国内最早的企业核心电子数据资 产提供全方位内容安全防护的信息安全防护系统。 本次方案实施部署产品版本为涉密信息系统 DLP-CDGV3.0， 该产品首先在技术上 以数据加密技术为核心， 采用文件过滤驱动技术， 通过实时拦截文件系统的读/写请求， 对文件进行动态跟踪和透明加/解密处理。其主要优点：文件加/解密动态、透明，不改 变使用者的操作习惯；性能影响小，系统运行效率高；不改变原始文件的格式和状态， 同时，部署和内部使用非常方便。 其次通过将技术平台与管理体系有效结合，实现对用户核心信息资产的全方位保 护；通过建立信息安全边界，降低核心信息资产如源代码、设计图纸、财务数据、经 营分析以及其他任意信息资产的有意或无意泄密风险； 配合完善的信息安全咨询服务， 通过对企业的业务梳理和流程建立，保障企业核心业务正常运转的同时，不过多影响 用户工作习惯及业务效率。 涉密信息系统 DLP-CDGV3.0 产品符合国家保密标准《涉及国家秘密的电子文档 安全保密产品技术要求》 （暂行）的要求，涉密信息系统产品检测证书如下：
4 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
第二章 总体方案介绍
2.1 方案概述
根据前期调研访谈和需求了解，***变数据泄漏防护（DLP）整体项目方案主要在现 有的环境基础上，遵循“事前主动防御，事中实时控制，事后及时追踪，全面防止泄 密”的原则和设计理念，以加密技术为核心，配合身份识别、权限控制、终端管理、 应用集成、安全接入以及行为审计等功能，通过建立统一的 DLP 平台最终从数据安全 层面实现涉密数据“带不走、打不开、读不懂”的控制目标。通过加密技术落地、控 制涉密数据流通、规范员工访问行为来实现涉密数据的安全保护和员工意识提升，有 效防止主动及被动泄密。
2.2 总体部署示意图
总体 DLP 产品实施部署后效果示意图及说明如下：
5 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
1) DLP 服务器架设在服务器区域， DLP*变服务器负责***变 DLP 终端的管理、通 信和策略分发； DLP 风电服务器负责**风电 DLP 终端的管理、 通信和策略分发 （这里以风电举例，后期根据规划划分特变、叶片等公司）。 2) 根据 DLP 终端文档保护策略的分发实现涉密数据强制自动加密效果， 防止数据 的明文交叉使用。 3) 通过策略配置与 SMB 文件共享（svrfile1、svrfile2）服务器、OA（svroa3、 svroa4、oamail）服务器、Windchill PDM（svrtsm1）服务器集成，对应*** 变公司的加密文件实现上传解密、下载加密工作。 4) 将涉密网的入网终端数据纳入安全保护范围，防止数据在非涉密网使用流转， 实现涉密网终端数据的安全管控。同时***变和**风电等各自的数据，通过不 同的密钥加密保护，可实现防止未授权的子公司间文件交叉使用。
6 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
第三章 详细项目方案
3.1 安全策略 3.1.1 通用安全策略
系统通用安全策略分平台策略，主要是针对 DLP 系统平台的总体策略；二是终端 策略，主要针对是用户系统终端的管控策略，详细策略控制说明与效果如下： 策 略 策略功能描述 分类 外 发 管 理 配置项 配置效果
外发管理： 对外发出去 设置审批人员 的文件做细粒化的权限 设置，如打开次数、使 用时间、是否可以打印、 是否可以修改等
两种方式： 1 对终端用户开发外发管理模块，由终端用 户配合外发 UKEY 使用 2 服务器端设置外发审批员，有终端用户发 起申请，通过后终端通过服务器得到外发文 件 与 AD 域一致
平 台 策 略
用户管理：创建用户组 织 解密管理员：设置系统 解密员 终端管理：可以对需要 升级、删除、离线补时 的终端等进行相应的管 控操作 密钥管理：系统加密的 密钥进行配置
后台与**域控集 成同步
设置审批人员
需要对确认的解密人员配置使用“允许解密 审批”的权限 选择的终端被执行升级、允许删除、离线补 时的操作。
自动生成记录
默认生成随机密 钥 未启用
***变的数据使用本部门的密钥进行加解密 操作 根基规定要求不同，可设置部分人员启用打 印控制受控程序不允许打印 对于涉密单机终端可以在 6 个月内正常使用 加密文件
终 端 策 略
打印控制：是否容许打 印加密文件 容灾时长 允许客户端与服务器不 互联的情况下的加密文 件可以使用的时长 模式切换： 允许客户端在个人模式 （不加解密）与工作模
已设置
禁用
不允许客户端进行模式切换
7 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
式下（加解密）切换使 用 复制粘贴控制： 加密内容是否允许复制 到非加密内容 另存为控制： 加密内容另存出来的文 件是否控制 拖拽控制： 加密内容是否允许拖拽 到非加密内容 网络发送控制： 加密内容是否允许网络 发送非加密内容 对象插入控制： 加密内容是否允许插入 非加密内容 拷屏控制： 加密内容是否允许拷屏 根据配置的文件类型， 对于该文件类型的历史 数据进行加密 注销菜单： 是否允许用户账号注销 终端工具： 是否允许用户使用流转 工具 已全局屏蔽 已全局配置 对于已配置的的文件类型，进行全盘初始化 加密的操作 已全局配置 已全局配置 已全局配置 已全局配置 已全局配置 已全局配置 禁止加密内容复制到不受保护的内容（不加 密）中
受控软件另存出来的所有内容均为加密文 件
禁止受控制的内容通过拖拽的方式进入非 受控的内容
禁止受控的内容通过网络发送功能发送到 非受控内容
禁止受控内容通过对象插入方式插入到非 受控内容中
禁止受控内容通过拷屏方式截图
已全局屏蔽
禁止终端用户注销功能 解密管理员帐号容许解密 有解密权限的用户可以配合解密 Ukey 完成 解密工作
3.1.2 加密集成策略
系通加解密集成策略分成终端软件和系统集成两部分，详细分类与实效效果如下： 策 略 策略功能描述 分类 配置项 配置效果
8 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
终 端 软 件
完成终端软件策略的配置，使其产 生的文件自动完成保护
已全局配置
已配置策略内容的软件产生 的文件自动加密保护，保护 的文件透明在加密区域内容 使用，对用户无影响。由各 部门兼职保密管理员保管和 维护软件清单。
系 统 集 成
终端加密的文件，上传系统后自动 变成明文存储于系统，从应用系统 下载到本地后自动变成密文存储于 本地。
终端加密文件上传 OA、SMB （文件共享服务器）和 PDM 系统时自动变成明文， OA、 从 SMB 和 PDM 下载到本地后自 动变成密文。
3.1.3 日志审计策略
日志审计主要包含两部分内容，一是终端操作的日志，令一个是服务器端策略的 设置，详细分类与实效效果如下： 策略分类 终端日志 策略功能描述
解密日志
配置项
暂未启用
配置效果
通过终端流转工具解密的文 件操作保持记录 查看用户的增加、删除、授 权、补时等操作记录 查看客户端删除、升级、登 陆等信息 查看数据的备份与还原记录 可以审查服务器端安全策略 的变更与分发情况
用户类日志
系统默认记录
服务器日志
客户端日志
系统默认记录
系统类日志 策略类日志
系统默认记录 系统默认记录
9 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
3.2 系统管控 3.2.1 DLP 系统角色及权责
本方案中为制定需求，根据保密工作要求系统角色为系统管理员、配置管理员、 审计管理员，以下为各人员角色的 DLP 系统策略权限。
角色 系统管理员 用户名 Sysadmin 权责 负责用户角色及终端管理、加解密策略配置及 DLP 系统的日常 检查及运维管理工作 负责 DLP 系统运行的基础配置,可以交由系统管理员合并管理, 主要包括: 【数据库配置】【AD 域配置】【邮件配置】【上传 ， 、 、 下载】【管理员】模块 、 负责 DLP 系统日志、 文件日志进行查询、 归档、 管理等工作, 主 要包括： 【服务器端日志】【终端日志】【文件日志】【邮件日 、 、 、 志】【日志下载管理】模块 、 负责环境内加密文件的流程解密审批，解密后文件还原为明文 状态后可发送到非加密环境内使用
配置管理员
Configadmin
审计管理员
Logadmin
文 件 解 密 实际用户 审批管理 员 文 件 外 发 实际用户 审批管理 员 普通用户
实际用户
负责环境内文件外发的流程审批工作，制作成的外发文件发送 到外单位有打开次数、使用时间等权限限制
具有文件强制加密及加密文件解密申请权限
3.2.2 DLP 管理方式
? 集中管理
对于入网终端采用集中管控方式， 所有用户信息管控策略均在服务器制定和维 护。
? 分散管理
对于未入网终端由于无法连接到 DLP 服务器，必须采用分散管理方式，但是 策略和密钥仍然保持与涉密网终端一致，确保安全策略的统一性和可管理性。
3.2.3 安全策略分发
策略内容根据不同用户、不同场景的管控的需求，可以制定不同的安全策略组.
10 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
本次实施策略通用安全策略和日志审计策略统一设置，加密集成策略根据部门实际情 况单独设置策略组，详见 3.1.2. ? 策略新增 当管控要求发生改变时，已有的策略不能用当前策略管控变更给予满足时，需要 新增管控策略，策略的制定参照 3.1 章节的安全策略。 ? 策略变更 当管控的策略内容发生变更时，如软件（系统）增添、应用安全控制等，此时可 以通过变更相应的策略后给予满足 ? 策略分发 对于入网终端， 变更策略将通过网络自动分发给相应的用户以完成策略变更工作； 对于未入网终端，系统管理员需将通过 VPN 与 DLP 服务器端连通后更新策略，实 现策略内容的变更和统一策略管理。
3.3 应用场景 3.3.1 入网终端涉密数据外发
? 场景描述
目前存在涉密数据外发需求， 比如将文件给供应商、 外协厂、 客户等， DLP 系统上线后文件会被加密， 按照原有输出流程， 第三方收到加密文件后无法正 常使用。
? 支持流程 1) 2) 3) ? 所有要外发的文件都通过 DLP 中“文档解密申请”作为解密外发申请流程； 按规定中的流程解密节点和审批层级，同意解密申请文件将被解密； 增加解密管理员角色，负责处理用户涉密数据输出解密工作；
说明： 1) 2) 公司人员要外发的输出都使用 DLP 系统“文档解密流程” 解密公司内部
?
实现效果
制定审批流程和节点，结合制度完善文件外发流程，积累并形成公司特色
11 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
的数据泄露防护体系。
3.3.2 入网终端应急解密响应
? 场景描述
工作中可能出现在解密审批员请假或者下班的情况下，有用户提出数据输 出解密申请，此时会存在用户申请无法处理早晨关键工作或业务延误。
? 支持流程 1) 2) ? 每个部门均设定有解密审核人员； 审核人员审核后流程走到总师办解密后可外发密文文件；
实现效果
确保在解密责任人外出的轻快下实现应急解密，保证关键工作的持续。
3.3.3 系统故障应急机制
? 场景描述
当 DLP 系统发生故障导致系统停止服务时，可能导致加密数据无法解密 的情况发生，影响涉密数据输出工作。
? 解决方法
系统成功安装后，会自动注册 CoborDG 系统主服务，同时开启 ftp server 检查服务启动状态，如未启动则手动启动该服务。如果上述服务无法启动时， 依据下列步骤执行系统恢复：
1) 2) 3) 4) 5) 6) 项目初期可以还原虚拟机快照； 系统管理员联系厂商技术人员协助执行以下恢复步骤； 立即对当前状态的数据库文件执行备份操作； 删除 DLP 系统服务器程序，按照手册重新安装； 在新数据库中导入最近一次正确的数据库备份； 在终端用户处执行功能验证，确认系统功能恢复正常；
第四章 日常系统维护
为保证 DLP 系统高效稳定运行，工作中需要对系统进行如下方面的维护操作： ? 用户权限审查 对于解密人员的权限定期进行审查，对于已经发生权限变更的人员权限要及时回 收，防止实际权限信息与用户授权信息不一致的情况。
12 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
?
解密日志审查 解密日志每两周与申请流程记录进行核对，以确认两者信息是否一致。
?
查询日志归档 对于系统中的日志可以根据时间归档，以便存档供历史查询使用。
?
数据库备份 为保证数据库安全，每周定期执行数据库全备份，以备系统故障时恢复使用。
?
终端维护 对于个别用户存在交叉式登陆系统在终端中产生的记录，需要定期对于终端状态 为“未使用”的终端进行删除，以保证当前终端记录与用户登录信息的一致。
第五章 实施人员计划
5.1 项目组织及成员
***变 DLP 项目团队
&&& 项目经理（**）
***变 项目经理（*部长）
&&&商务
&&&实施工程师
业务代表
技术支持小组
** （商务部 分及人员 调配）
***、** （石家庄办技术工 程师） 、****办公自 动化设备有限公司 技术人员
**
**
**IT 人员
13 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
本次项目组成员主要由项目经理、实施工程师、业务代表、技术支持小组等角色 组成： ? 业务代表 根据双方约定的项目实施计划， 业务部门接口人参与方案的评审、 配合系统测试， 作为项目小组对业务部门的唯一接口人，协调相关工作任务资源及配合项目的工作推 进，具体工作结果对项目经理负责；需熟悉部门业务及人员组织情况。 ? 业务部门负责人 根据双方约定的项目实施计划， 对项目阶段过程中的关键任务节点进行评审决策， 监督项目执行情况，支持推动部门内项目的整体进行。 ? 技术支持小组 根据双方约定的项目实施计划，对项目实施过程中需要的各项网络、系统资源及 安全配置等进行技术答疑与支持，以保证部署实施工作的顺利进行。 ? 项目经理 根据双方约定的项目实施标准进行项目管理工作，包括计划的制定、资源的调配 以及控制项目各阶段成果的正常输出，并与招标方项目经理配合最终实现项目目标的 达成；具备三年以上项目管理经验。 ? 实施工程师 根据项目经理的工作计划按时完成项目实施工作，包括系统的安装、系统测试、 问题收集与处理及用户培训等工作；具备两年以上项目实施及技术维护经验。
5.2 实施计划
项目实施计划：
2012.12.19-2012.12.21 2012.12.25 2012.12.26-2012.12.29 前期需求沟通、现场环境调研。 DLP 服务器端部署。 终端测试、应用系统集成测试。
14 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
2013.1.4-2013.1.11 2013.1.14-2013.1.15 2013.1.17 制 表
终端域推送安装、培训。 系统稳定性观察。 项目一期验收 吴悠
5.3 测试方案
测试计划 测试内 序号 容 AD 域 用 1 户同步 户一致 检查终端安装后是否存在异常，与现有杀毒软件 终端安 2 装 在问题 终端加 配置并测试 cad（、dwg、dwf、dxf、drw）pdf、 3 密策略调 excel（xls）等文件终端使用是否存在异常 试 全盘扫 4 描加密测 试 应用系 5 统测试 文档解 设置并测试文件解密流程是否稳定并可以满足用 6 密流程测 户要求 试 是 满足甲方要求的效果 设置并测试 cad（、dwg、dwf、dxf、drw）pdf、 excel（xls）文件全盘扫描加密后是否对现有系 统有影响 设置并测试 windchill PDM、SMB 文件共享与 OA 是 是 是 安装异常需手动安装 是否完全兼容，后期制作的 MSI 包域推送是否存 分正常安装少量出现 存在部分问题， 大部 检查&&&用户管理中同步的用户是否与 AD 中的用 是 测试内容 是否通过
15 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
文档外 设置并测试文件外发流程是否稳定并可以满足用 7 发流程测 户要求 试 终端离 8 线使用测 试 测试客户端在离线状态下是否稳定无问题 是 是
16 / 16
赛门铁克DLP数据防泄密方案 文档编号： 创建日期：2009-02-12 最后修改日期：2010-04-13 版本号：1.0.0
目录 1.设计思路 (1) 1.1.什么是数据防泄漏 (1) 1.2.机密信息的划分标准 (1) 1.2.1.基于权限 (1) 1.2.2.基于内容 (2) 1.3.全面的多层次防护 (2) 1.3.1.IT基础架构安全防护 (2) 1.3.2.数据防泄密 (2) 1.3.3.安全管理 (3) 1.4.首要解决大概率事件 (3) 2.数据防泄露技术介绍 (4) 2.1.概述 (4) 2.2.产品功能模块介绍 (5) 2.2.1.V ontu Enforce (5) 2.2.2.V ontu Network Monitor (5) 2.2.3.V ontu Network Prevent (5) 2.2.4.V ontu Endpoint Prevent (5) 2.2.5.V ontu Endpoint Discover (6) 2.2.6.V ontu Network Discover (6) 2.2.7.V ontu Network Protect (6) 3.数据防泄漏技术实现 (6) 3.1.定义企业机密信息：如何建立机密信息样本库 (7) 3.1.1.结构化数据：精确数据匹配 (7) 3.1.2.非结构化数据：索引文件匹配 (8) 3.1.3.补充：描述内容匹配 (8) 3.2.制定监视和防护策略 (9)
3.3.部署监视防护策略，检测敏感数据 (9) 3.3.1.网络DLP (10) 3.3.1.1.V ontu Network Monitor 的工作原理 (10) 3.3.1.2.V ontu Network Monitor 部署 (11) 3.3.1.3.V ontu Network Prevent 的工作原理和部署 (11) 3.3.1.3.1.V ontu Network Prevent for Email (12) 3.3.1.3.2.V ontu Network Prevent for Web (12) 3.3.2.端点DLP (13) 3.3.2.1.端点DLP架构 (13) 3.3.2.2.V ontu Endpoint Prevent 的工作原理 (14) 3.3.2.3.V ontu Endpoint Discover (15) 3.3.2.4.对网络和端点的影响 (16) 3.3.2.4.1.端点影响 (16) 3.3.2.4.2.网络影响 (16) 3.3.2.5.防篡改和安全性 (17) 3.3.3.存储DLP (17) 3.3.3.1.V ontu Network Discover 的工作原理 (17) 3.3.3.1.1.无代理 (18) 3.3.3.1.2.基于扫描程序 (18) 3.3.3.1.3.基于Windows 代理 (19) 3.3.3.2.玩网络 (19) 3.3.3.3.V ontu Network Protect 的工作原理 (19) 3.3.3.4.V ontu Storage DLP 部署 (20) 4.关于Gartner MQ (Magic Quadrant) (20) 4.1.赛门铁克DLP评估（摘自2008年6月的Gartner报告） (21) 4.2.什么是魔力象限(Magic Quadrant) (21)
数据泄露防护（DLP）解决方案 以数据资产为焦点、数据泄露风险为驱动，依据用户数据特点（源代码、设计图纸、Office文档等）与具体应用场景（数据库、文件服务器、电子邮件、应用系统、PC终端、笔记本终端、智能终端等），在DLP平台上灵活采取数据加密、隔离、内容识别等多种技术手段，为用户提供针对性数据泄露防护整体解决方案，保障数据安全，防止数据泄露。 其中包括： 数据安全网关 数据安全隔离桌面 电子邮件数据安全防护 U盘外设数据安全防护 笔记本涉密数据隔离安全保护系统 笔记本电脑及移动办公安全 文档数据外发控制安全 1、数据安全网关 背景： 如今，企业正越来越多地使用ERP、OA、PLM等多种应用系统提升自身竞争力。与此同时，应用系统中的数据资产正受到前所未有的安全挑战。如何防止核心数据资产泄露，已成为信息安全建设的重点与难点。 概述： 数据安全网关是一款部署于应用系统与终端计算机之间的数据安全防护硬件设备。瞬间部署、无缝集成，全面实现ERP、OA、PLM等应用系统数据资产安全，保障应用系统中数据资产只能被合法用户合规使用，防止其泄露。
具体可实现如下效果： 应用安全准入 采用双向认证机制，保障终端以及服务器的真实性与合规性，防止数据资产泄露。非法终端用户禁止接入应用服务器，同时保障合法终端用户不会链接至仿冒的应用服务器。合法用户可正常接入应用服务器，访问应用系统资源，不受限制； 统一身份认证 数据安全网关可与LDAP协议等用户认证系统无缝集成，对用户进行统一身份认证，并可进一步实现用户组织架构分级管理、角色管理等； 下载加密上传解密 下载时，对经过网关的文件自动透明加密，下载的文档将以密文保存在本地，防止其泄露；上传时对经过网关的文件自动透明解密，保障应用系统对文件的正常操作； 提供黑白名单机制 可依据实际管理需要，对用户使用权限做出具体规则限定，并以此为基础，提供白名单、黑名单等例外处理机制。如：对某些用户下载文档可不执行加密操作； 提供丰富日志审计 详细记录所有通过网关的用户访问应用系统的操作日志。包括：时间、服务器、客户端、传输文件名、传输方式等信息，并支持查询查看、导出、备份等操作； 支持双机热备、负载均衡，并可与虹安DLP客户端协同使用，更大范围保护企业数据资产安全； 2、数据安全隔离桌面 背景： 保护敏感数据的重要性已不言而喻，但如何避免安全保护的“一刀切”模式（要么全保护、要么全不保护）？如何在安全保护的同时不影响外部网络与资源的正常访问？如何在安全保护的同时不损坏宝贵数据？ 概述： 在终端中隔离出安全区用于保护敏感数据，并在保障安全区内敏感数据不被泄露的前提下，创建安全桌面用于安全访问外部网络与资源。在保障敏感数据安全的同时，提升工作效率。 具体可实现效果： 1）只保护安全区内敏感数据安全，其它数据不做处理； 2）通过身份认证后，方可进入安全区； 3）安全区内可直接通过安全桌面访问外部网络与资源； 4）安全区内敏感数据外发必须通过审核，数据不会通过网络、外设等途径外泄； 5）敏感数据不出安全区不受限制，数据进入安全区是否受限，由用户自定义；
数据安全解决方案之企业防护墙撇开外部攻击的原因，信息时代企业内部本身也存在着很多潜在的数据安全隐患，而这种安全隐患需要针对性的数据安全解决方案才能化解。 一个好的企业可以带领员工稳步的发展，过上更好的生活;而对于企业本身来说，它又是由众多员工组成的，是一个组织。但是身处信息时代的也会面临着意想不到的阻力，这个阻力来自一个名为“信息安全”的问题。 一、信息是商机开始源头数据安全防护刻不容缓 (一) 企业内重要文件被非法拷贝走，给企业带来极大的损失。 (二) 缺乏基于角色的用户权限管理措施，企业内部因部门不同、员工级别不同，针对文件使用 范围也不同。然而企业内部管理人员无法根据实际需求设置不同权限部门、员工使用不同的文件。 (三) 缺乏对文件的使用权限控制措施，企业内部文件甚至核心机密文件不能合理地设置不同使 用权限，造成文件在企业内部的滥用，从而给企业核心机密外泄带来了隐患。 (四) 缺乏对文件有效的离线控制，企业内部常常面临信息外携使用、交互使用的需求，文件一 旦外携出去将处于不可控状态，离线文件可以被随意编辑、复制、刻录、打印。 (五) 缺乏全面的日志审计，企业内部一旦发生机密信息外泄，管理者无法对外泄事件进行审计， 不能为企业内部安全事件提供有力的追踪依据。
(六) 缺乏有效的备份机制，企业电脑一旦出现物理损坏或病毒感染等情况，存储在电脑上的文 档很有可能无法恢复。 (七) 缺乏防范企业内部员工主动泄密的措施，企业内部员工因工作需要常使用电子邮件、QQ 等工具，员工能随意将企业内部文件拷贝、复制、粘贴到QQ上，给企业数据安全造成巨大隐患。 二、致得E6协同文档管理系统文档安全控制方案 (一) 文档的加密存储 支持开启加密存储，系统自动将服务器文件转换为加密形式存储。 自动加密企业核心资料文件，加密的文件即使拷贝出去，也无法正常打开，确保信息安全。此安全防扩散泄密机制，有效防止机密外泄充分保证了数据安全。 (二) 目录与文件权限管理 支持针对目录进行权限管理。例如，设置【销售部文档】的浏览权，只能查看该目录无法对其进行任何操作。 支持针对文件进行权限管理。例如，如果您不想某个用户对您编辑过的文档进行修改，可以将其锁定，只有解锁后方可修改。 支持同时为部门及用户分配不同的权限 支持为整个部门授予指定权限。例如，让销售部全体对【通知公告】目录具有浏览和阅读权。
信息安全数据泄露防护DLP解决方案Copyright HESUN COMPUTER INFORMATION SYSTEMS
目录 信息安全数据泄露防护DLP解决方案 (1) 一、概述 (3) 1.背景 (3) 2.数据泄露防护技术DLP (3) 二、解决方案 (4) 1.目标 (4) 2.分析信息外泄的途径 (4) 3.DLP防护指导思想 (5) 4.信息安全的特点和保护策略 (6) 三、产品功能介绍 (7) 1.Windows数据防丢失子系统功能列表 (7) 2.Linux数据防丢失子系统功能列表 (10) 3.安全网关子系统功能列表 (11) 四、产品规格 (12) 1.Windows系统支持规格 (12) 2.Linux系统支持规格 (13) 3.Windows 加密与Linux加密兼容 (13) 五、产品技术 (13) 1. Windows文件加密系统优势 (13) 六、项目实施 (15) 1.确认可信域 (15) 2.信息安全评估 (15) 3.选择部署策略 (15) 4.软件实施过程 (16)
一、概述 1.背景 有一农户在杀鸡前的晚上喂鸡，不经意地说：快吃吧，这是你最后一顿！第二日，见鸡已躺倒并留遗书：爷已吃老鼠药，你们别想吃爷了，爷他妈也不是好惹的。 当对手知道了你的决定之后，就能做出对自己最有利的决定。——纳什均衡理论 所以加强信息内容安全的管理很重要。 当今信息技术高度发达，人们早已习惯了用电子化平台获取信息，企业的数据、信息以电子档案形式处理，传输，存储已成主流。但是信息化就像一把双刃剑，给企业运营带来极大便利的同时，也相应地存在安全隐患。威胁企业信息安全的方式多种多样，计算机犯罪、网络“黑客”行为、内部泄密、信息丢失、人为错误，甚至自然灾害、意外事故等都能造成信息侵害。要保障企业信息安全，一方面是要加强内部管理，提高人员道德修养和技术水平，防止内部泄密或者因技术水准不高而引发的失误性损害；另一方面是加强信息技术软硬件建设，做好信息安全防护工作。 实际上，随着信息化发展，企业的信息安全管理开始重视，可是相关调查显示，多数企业并未设立专业的信息管理团队，因此信息安全形势不容乐观。一旦信息被破坏或泄露，要挽回损失，将面临取证困难和法律规范将是两大难点。因此，企业建立完备的信息安全体系势在必行。 2.数据泄露防护技术DLP 信息安全威胁主要来源于外部的黑客攻击和内部员工的信息泄露。通过防火墙、防毒软件等手段可以阻挡外部的入侵，但是事实上90%以上的信息泄密事件源于企业内部，针对企业内部数据泄露防护技术DLP应运而生。DLP主要是提供文档加密、身份认证、行为管理、监控审计等功能对信息安全进行防护。防火墙是由外而内的信息安全防护，DLP的是由内而外的信息安全防护，两者相辅相成，一起构筑了企业的信息安全环境。
技术白皮书 苏州深信达2013年10月
目录 第一章. 概述 (3) 1.1 常见的机密电子文件泄密途径 (3) 1.2 防泄密的现状 (3) 1.3 深信达SDC机密数据保密系统 (4) 第二章SDC系统介绍 (6) 2.1 SDC系统架构 (6) 2.2 SDC系统功能 (7) 2.2.1客户端涉密文件自动加密 (7) 2.2.2涉密网络内部通畅，隔离外来PC (7) 2.2.3非涉密受限白名单 (8) 2.2.4涉密文件外发 (9) 2.2.5打印内容日志 (10) 2.2.6离线客户端 (10) 2.2.7 客户端涉密文件自动备份 (10) 2.2.8涉密文件加密导出导入 (11) 2.2.9 服务器端数据保护 (11) 第三章SDC系统特点 (13) 3.1沙盒加密是个容器，和软件类型无关，文件类型无关 (13) 3.2能和文件共享服务器，应用服务器无缝结合 (13) 3.3安全稳定，不破坏数据 (13) 3.4使用便利，操作机密数据的同时，可以上网 (14) 3.5超强的反截屏 (14) 第四章推荐运行环境 (15) 4.1 管理端（可以和机密端装在一起） (15) 4.2 机密端（可以和管理端装在一起） (15) 4.3 外发审核服务器（可以和管理端装在一起） (15) 4.4 客户端 (15) 第五章关于深信达 (16) 5.1深信达介绍 (16) 5.2联系我们............................................................................................. 错误!未定义书签。附录一：透明加密技术发展 (17) 附录二：SDC沙盒资质及成功客户.............................................................. 错误!未定义书签。
密级：商业秘密 文档编号： XX集团数据防泄密解决方案 技术建议书 专供 XX集团 2013年11月2013年11月4日 尊敬的XX集团用户，您好！ 赛门铁克是提供安全、存储和系统管理解决方案领域的全球领先者，可帮助XX集团保护和管理信息。我们的首要任务之一是认识数字世界的变化趋势并快速找到解决方案，从而帮助我们的客户提前预防新出现的威胁。另外，我们会提供软件和服务来抵御安全、可用性、遵从性和性能方面的风险，从而帮助客户保护他们的基础架构、信息和交互。 赛门铁克致力于： ?与您携手合作，共同打造一个全面且可持续的解决方案，从而满足您的全部需求。 ?确保项目取得成功并最大程度地降低风险。 ?在部署后向 XX集团提供支持与建议，从而确保平稳运营和持续防护。 ? 如果您在阅读完本产品技术方案后仍有疑问，请与我联系。如果您在决策过程中需要赛门铁克的任何其他支持，也请尽管告诉我。 我期待着与您合作，并为这个重要项目的成功而尽力。
保密声明与用途 本产品技术方案包含“保密信息”（如下定义）。本产品技术方案旨在提供赛门铁克提交本文之时提供的产品和（或）服务的相关。本产品技术方案专向XX集团（以下简称“您”或“您的”）提供，因为赛门铁克认为“您”与赛门铁克公司（以下简称“赛门铁克”）达成交易。赛门铁克努力确保本产品技术方案中包含的信息正确无误，对于此类信息中的任何错误或疏漏，赛门铁克不承担责任，并在此就任何准确性或其他方面的暗示保证提出免责。“您”接受本文档并不代表“您”与赛门铁克之间达成约束性协议，仅表明“您”有义务保护此处标识的任何“保密信息”。赛门铁克有权就任意及所有客户协议的条款与条件进行协商。 “您”与赛门铁克之间有书面保密协议，但“您”阅读赛门铁克建议书即表明，在因本产品技术方案而交换和接收的赛门铁克保密信息和专有信息的范围内，包括但不限于报价、方法、知识、数据、工作文件、技术和其他商业信息，无论书面还是口头形式（以下简称“保密信息”）， “您”同意依照“您”在申请函中所述用途仅在内部阅读本“保密信息”。“您”同意不泄露、销售、许可、分发或以任何其他方式向他人提供“保密信息”，除非因需知晓该信息而必须提供，但必须遵守此类“保密信息”使用的管理条款与条件，而且该条款与条件的限制性必须至少相当于“您”用于保护自有同类信息所用的条款与条件，且在任何情况下绝不低于合理的商业保护。 本产品技术方案及已提供的任何其他赛门铁克相关信息仍归赛门铁克独自所有，未经赛门铁克事先书面许可，不得拷贝、复制或分发。赛门铁克提供本产品技术方案，但并不负责为“您”提供任何产品或任何服务。本产品技术方案阐述赛门铁克就本文所述主题而言的一般意图， 除非“您”已经获得赛门铁克的事先书面许可，否则赛门铁克谨请“您”不要联系本产品技术方案中可能提及的任何赛门铁克客户。 一经请求即可提供此处所述产品使用和（或）服务交付所适用的赛门铁克条款与条件的副本以供查阅和审议。条款与条件可在签订合同时进行协商。 Contents 1 概述.......................................................................................................................................................... 1.1项目背景 ........................................................................................................................................... 1.2 XX集团信息安全项目目标............................................................................................................. 1.3 术语解释........................................................................................................................................... 2XX集团信息安全项目需求及实现......................................................................................................... 2.1 XX集团信息安全涉密信息分级控管需求与实现......................................................................... 2.1.1分阶段推进方法 ........................................................................................................................ 2.1.2 管理要求建议 ............................................................................................................................ 2.1.3 人员岗位建议 ............................................................................................................................ 2.1.3 管理流程建议 ...........................................................................................................................
数据防泄密方案 一、数据泄密的原因 1、黑客、间谍、竞争对手窃密； 2、内部人员离职拷贝带走资料泄密； 3、内部人员无意泄密和恶意泄密； 4、内部文档权限失控失密； 5、存储设备丢失和维修失密； 二、数据泄密的途径 1、USB口、光驱等外设； 2、打印文件、虚拟打印文件转换； 3、邮件发送； 4、QQ、MSN即时通讯； 5、截屏、复制粘贴、拖拽； 根据上述数据泄密原因和途径的分析，以及结合我公司现阶段实际情况，现草拟如下两套防泄密方案： 三、防泄密方案一 薪酬福利、财务等核心部门各配置一台专用电脑，专人使用，并作如下限制和要求： 1、电脑禁用网络、蓝牙、WIFI； 2、电脑禁止打印； 3、电脑禁用光驱；
4、电脑限制使用USB口，使用时需输入密码； 5、对存储数据分区进行加密，打开分区需输入密码； 6、对重要文件进行加密，打开文件需输入密码； 7、使用USB设备考取数据后，使用完即刻删除； 该方案是针对电脑中数据的入、出进行控制。优点是不需要增加任何费用和设备，配置操作短时间内可以完成。弊端是基本依靠人工操作，数据流出后不可控性较大，仍存在数据泄密可能性。 四、防泄密方案二 对关键部门、岗位电脑安装防泄密软件，根据配置策略对电脑中数据进行加密，软件可实现如下功能： 1、对电脑中全部数据根据配置策略自动加密
2、对电脑中重要的数据进行手动选取加密 3、外发加密数据可根据策略配置审批人员、阅览次数、使用 时限等使用权限 4、加密数据可根据策略配置打印机、USB口设备、刻录光驱、 虚拟打印、复制粘贴、截屏、拖拽等使用权限 5、对电脑中数据操作进行人员、时间、行为信息的日志记录该方案是对数据本身进行底层加密，并对数据外泄的各种途径进权限设置，数据正常流出后仍可具有很强的可控性，结合多种策略的配置使用，可基本满足数据防泄密的要求。弊端是软件需根据业务使用要求进行一段时间的安装、配置、调试，且根据软件用户端的数量需5-10W费用。
公司数据防泄密方案 Standardization of sany group #QS8QHH-HHGX8Q8-GNHHJ8-HHMHGN#
数据防泄密方案 一、数据泄密的原因 1、黑客、间谍、竞争对手窃密； 2、内部人员离职拷贝带走资料泄密； 3、内部人员无意泄密和恶意泄密； 4、内部文档权限失控失密； 5、存储设备丢失和维修失密； 二、数据泄密的途径 1、USB口、光驱等外设； 2、打印文件、虚拟打印文件转换； 3、邮件发送； 4、QQ、MSN即时通讯； 5、截屏、复制粘贴、拖拽； 根据上述数据泄密原因和途径的分析，以及结合我公司现阶段实际情况，现草拟如下两套防泄密方案： 三、防泄密方案一 薪酬福利、财务等核心部门各配置一台专用电脑，专人使用，并作如下限制和要求： 1、电脑禁用网络、蓝牙、WIFI； 2、电脑禁止打印； 3、电脑禁用光驱； 4、电脑限制使用USB口，使用时需输入密码；
5、对存储数据分区进行加密，打开分区需输入密码； 6、对重要文件进行加密，打开文件需输入密码； 7、使用USB设备考取数据后，使用完即刻删除； 该方案是针对电脑中数据的入、出进行控制。优点是不需要增加任何费用和设备，配置操作短时间内可以完成。弊端是基本依靠人工操 作，数据流出后不可控性较大，仍存在数据泄密可能性。 四、防泄密方案二 对关键部门、岗位电脑安装防泄密软件，根据配置策略对电脑中数据进行加密，软件可实现如下功能： 1、对电脑中全部数据根据配置策略自动加密 2、对电脑中重要的数据进行手动选取加密 3、外发加密数据可根据策略配置审批人员、阅览次数、使用时限 等使用权限 4、加密数据可根据策略配置打印机、USB口设备、刻录光驱、虚 拟打印、复制粘贴、截屏、拖拽等使用权限 5、对电脑中数据操作进行人员、时间、行为信息的日志记录 该方案是对数据本身进行底层加密，并对数据外泄的各种途径进权限设置，数据正常流出后仍可具有很强的可控性，结合多种策略的配置使用，可基本满足数据防泄密的要求。弊端是软件需根据业务使用要求进行一段时间的安装、配置、调试，且根据软件用户端的数量需 5-10W费用。 五、对公司数据安全的规划建议
安恒信息数据安全防“脱库”解决方案 1.前言 近日不断有黑客陆续在互联网上公开提供国内多家知名网站部分用户数据库下载，国内外媒体频繁报道，影响恶劣，引起社会广泛关注。其中涉及到游戏类、社区类、交友类等网站用户数据正逐步公开，各报道中也针对系列事件向用户提出密码设置策略等安全建议。 注册用户数据作为网站所有者的核心信息资产，涉及到网站及关联信息系统的实质业务，对其保密性的要求强度不言而喻。随着网站及微博实名制规定的陆续出台，如果在实名制的网站出现用户数据泄露事件，将会产生更恶劣的影响。 针对近期部分互联网站信息泄露事件，工信部于2011年12月28日发布通告要求：各互联网站要高度重视用户信息安全工作，把用户信息保护作为关系行业健康发展和企业诚信建设的重要工作抓好抓实。发生用户信息泄露的网站，要妥善做好善后工作，尽快通过网站公告、电子邮件、电话、短信等方式向用户发出警示，提醒用户修改在本网站或其他网站使用的相同用户名和密码。未发生用户信息泄露的网站，要加强安全监测，必要时提醒用户修改密码。 各互联网站要引以为戒，开展全面的安全自查，及时发现和修复安全漏洞。要加强系统安全防护，落实相关网络安全防护标准，提高系统防入侵、防窃取、防攻击能力。要采用加密方式存储用户信息，保障用户信息安全。一旦发生网络安全事件，要在开展应急处置的同时，按照规定向互联网行业主管部门及时报告。 工信部同时提醒广大互联网用户提高信息安全意识，密切关注相关网站发布的公告，并根据网站安全提示修改密码。提高密码的安全强度并定期修改。 2.信息泄密的根源 2.1.透过现象看本质 2.1.1.攻击者因为利益铤而走险 攻击者为什么会冒着巨大的法律风险去获取用户信息？ 2001年随着网络游戏的兴起，虚拟物品和虚拟货币的价值逐步被人们认可，网络上出现了多种途径可以将虚拟财产转化成现实货币，针对游戏账号攻击的逐步兴起，并发展成庞大的虚拟资产交易市场；
亿赛通推出智能移动终端数据泄露防护解决方案 在今天，移动互联网已成为当今网络的一大热门词汇，其日趋火热也是网络发展的必然结果。移动互联网的普遍应用让人们可以随时随地的工作、娱乐，提高了人们的效率，逐渐改变了人们的生活方式。智能移动终端的市场规模与应用领域也在飞速增长，更多的规模企业已经开始逐步普及智能移动终端的企业级应用。他们通过部署大量的终端设备，依靠WLAN/WiMax/3G/GPRS等网络接入方式，快捷访问内部办公及其他管理系统获取资源数据。 灵活性、易用性、可操作性无疑是智能移动终端的最大优势，但是它在方便人们工作方式的同时，也给企业内部网络带来了极大的安全隐患。如:智能移动终端便于携带和使用，非法用户可随时通过 WLAN/WiMax/3G/GPRS等方式接入内部网络访问和获取内部资源数据；网络数据传输通道未得到安全保护，存在数据窃听等泄密隐患；智能移动终端接入内网系统获取大量数据信息，文件实体本地存储和使用，当设备丢失或被盗时，涉密信息将无法得到保护。 如何防止内部数据泄露的安全问题，成为智能移动终端广泛应用的巨大挑战。作为国内领先的数据泄露防护（DLP ）解决方案提供商，亿赛通在技术方面处于绝对的领先地位，早在2009年末就率先推出了第一代移动终端接入网关产品，配合移动终端数据泄露防护系统，共同构建移动终端数据安全解决方案，支持NOTEBOOK 、PDA 、MID 等众多移动设备的企业级应用。 最近又有消息称，亿赛通第二代智能移动终端数据泄露防护整体解决方案DLP OF IMT将在2011年年底前正式推出。据亿赛通技术高层透漏，DLP OF IMT 在继承第一代产品的优势之外，还在核心技术上做了革命性的创新。不仅在终端类型上增加了主流的基于Android 、iOS 、Windows Mobile嵌入式操作系统的设备支持，同时在解决方案的整体功能上也相应增加了更多的企业级应用模块，从移动终端用户身份安全、移动终端网络接入安全、网络数据通信安全、应用访问控制安全、数据存储与访问控制安全等多个环节，全面构建智能移动终端的数据泄露防护
银行业数据防泄密平台 方案建议书
目录 1 项目背景概述 (4) 1.1 项目背景 (4) 1.2 企业泄密风险 (4) 1.3 数据防泄密项目背景 (5) 1.4 数据防泄密项目网络现状和信息安全需求分析 (5) 2 山丽防水墙产品介绍 (6) 3 山丽防水墙数据防泄漏系统解决方案 (7) 3.1 产品功能对透明加密管理的满足 (7) 3.2 产品功能对加密模式本地策略管理的满足 (8) 3.3 产品功能对多种加密模式管理的满足 (9) 3.4 产品功能对一文一密钥安全性管理的满足 (11) 3.5 产品功能对加密系统剪贴板管理的满足 (12) 3.6 产品功能对加密系统多种登录方式管理的满足 (12) 3.7 产品功能对出差笔记本防泄漏（加密客户端离网使用）管理的满足 (13) 3.9 产品功能对文件解密申请管理的满足 (14) 3.10 产品功能对密文明送文件外发控制管理的满足 (17) 3.12 产品功能对文件权限管理的满足 (18) 3.12.1基于用户为脚色的文档权限控制 (19) 3.12.2基于文档为角色的自定义文档权限控制 (20) 3.12.3文档权限控制的精细化管理 (21) 3.15 产品功能对基于B/S应用服务器和防水墙系统融合方案的满足 (23) 3.16 产品功能对PDM、FTP服务器和防水墙系统融合方案的满足 (23) 3.16.1产品功能和应用服务器融合的原理 (24) 3.16.2产品功能和应用服务器融合的方案 (25) 3.17 产品功能对文件交互管理的满足 (27) 3.17.1分支机构和总部的交流 (27) 3.17.2产品功能对分支机构和供应商管理的满足 (28) 3.18 产品功能对计算机外设管理的满足 (29) 3.18.1 终端外设管理范围 (29) 3.18.2外设管理在线、离线策略 (30) 3.18.3注册移动存储设备管理策略 (30) 3.18.4认证移动存储设备管理策略 (31) 3.19 产品功能对服务器灾难恢复功能的满足 (33) 3.20产品功能对审计功能的满足 (34) 3.20.1对加密文件的各种操作行为进行审计 (34) 3.20.2对加密系统各种操作行为的自动预警式审计 (35) 3.21 产品功能对系统管理功能的满足 (38) 3.21.1防水墙加密系统三员分立管理模式 (38) 3.21.2防水墙加密系统系统管理员管理模式 (39) 3.22 产品功能对安全性要求的满足 (41) 3.23 产品功能对客户端自我防护的满足 (42) 3.24 产品功能对加密客户端授权管理的满足 (42) 3.25 产品功能对客户端自动升级的满足 (42) 4 产品部署方法和部署效果 (43) 4.1 部署方法 (43) 4.2 部署效果 (43) 4.2.1 法规的遵从 (43)
IP-guard是采用模块化架构的企业级内网安全管理系统，共包括15个不同的功能模块，自由组合之后可以实现文档透明加密、全面信息防泄漏管理、上网行为管理、计算机使用行为监管、IT资产管理与远程维护等多种功能。 客户收益： 符合保密规定，降低泄密风险 IP-guard通过全方位的保护措施，保证政府机密文件的安全，防止信息泄露造成有重大影响的敏感事件 严防入侵风险，保证政府内网安全严格满足国家关于政府内网安全要求，防止非法入侵，保证政府内网安全，稳定发挥电子政务的服务作用 规范系统应用，提升工作效率 培养工作人员规范的系统使用行为，提升系统应用效率，降低非法应用造成的系统威胁，最大限度发挥电子政务对业务的推动作用 简化系统维护，保证系统稳定 通过强大的系统管理与远程维护，把IT管理人员从冗繁重复的工作中解放出来，更多精力优化信息系统，保证网络安全 保护国家资产 轻松监控系统内软硬件资产，及时掌握变动情况，支持非IT资产自定义管理，强力杜绝国有资产流失 概述 以电子政务为代表的政府信息化在各级政府部门的应用日益广泛与深入，电脑与互联网让政府与政府、商业机构、公民以及雇员（公务员）之间更紧密、更便捷
的连接和沟通成为现实，工作效率和服务能力得以显著提升，成为促进我国经济与社会快速发展的重要因素。 政府内部的文件和信息往往涉及国计民生，一旦发生外泄，不仅会给国家带来不可估量的经济损失，更严重的是，还可能造成无法挽回的国家声誉的影响，今年的“力拓案”就是一个例证，给政府部门敲响了警钟。 在网络安全管理方面，政府部门实行严格的内外网分离政策，并且部署了防病毒软件、防火墙、入侵检测系统等众多安全产品，为什么依然不能杜绝信息外泄等问题呢？ 事实上，据权威统计显示，政务网络中80%的安全威胁来自内部： l 未经授权的文件传输导致重要文件外泄， l 无管理的移动存储设备使用造成病毒泛滥甚至导致文档泄露； l 篡改甚至删除重要文档等蓄意的破坏 l 补丁安装和系统漏洞修补不及时，给网络威胁留下可乘之机； l 网络滥用造成的网络阻塞与应用效率低下； l 计算机和网络维护繁琐导致不及时，造成安全隐患 凡此种种“内忧”，应付“外患”的网络边界防御产品自然无能为力。作为政府内网的管理者，一个越来越迫切的问题摆在眼前： 在已有的边界控制的基础上，如何从内部保证政府信息网络的安全，从而最大限度的发挥信息化对电子政务的推动作用？ IP-guard政府行业内网安全整体解决方案 立足政府内网需求，功能强大，实现灵活，运行稳定，轻松解决政府内网安全难题！
***变 DLP 数据防泄密项目 一期方案
北京&&&科技发展有限责任公司 二 O 一二年十二月
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
版本信息
更新历史 编写人 吴悠 吴悠 日期 2012-12-21 2013-1-15 版本号 1.0 2.0 审核 创建 变更 变更内容
2 / 16
***变 DLP 数据防泄密项目方案
保密级别： 项目组内部公开
目录
第一章 产品介绍 ............................................................................................................................. 4 第二章 总体方案介绍 ..................................................................................................................... 5 2.1 方案概述.......................................................................................................................... 5 2.2 总体部署示意图.............................................................................................................. 5 第三章 详细项目方案 ..................................................................................................................... 7 3.1 安全策略.......................................................................................................................... 7 3.1.1 通用安全策略 .............................................................................................................. 7 3.1.2 加密集成策略 .............................................................................................................. 8 3.1.3 日志审计策略 .............................................................................................................. 9 3.2 系统管控........................................................................................................................ 10 3.2.1 DLP 系统角色及权责 ................................................................................................ 10 3.2.2 DLP 管理方式............................................................................................................ 10 3.2.3 安全策略分发 ............................................................................................................ 10 3.3 应用场景........................................................................................................................ 11 3.3.1 入网终端涉密数据外发 ............................................................................................ 11 3.3.2 入网终端应急解密响应 ............................................................................................ 12 3.3.3 系统故障应急机制 .................................................................................................... 12 第四章 日常系统维护 ................................................................................................................... 12 第五章 实施人员计划 ................................................................................................................... 13 5.1 项目组织及成员............................................................................................................ 13 5.2 实施计划........................................................................................................................ 14 5.3 测试方案........................................................................................................................ 15
3 / 16
数据防泄漏解决方案 - - - Array & VMware 整体解决方案 一、前言 您是否遇到过这样的问题？ 1、您公司的某个员工在出差时，不慎把笔记本电脑丢失。电脑并不值多少钱，但电脑中的数据万一被竞争对手获得，后果将不堪设想。 2、某个对公司不满的员工将电脑中的数据复制并故意泄漏。 3、员工的电脑中了恶意木马，在不知情的情况下，电脑中的机密信息不幸被泄露。 此时您该怎么办? 难道您要放弃网络给大家带来的便利，要把公司的电脑全部都锁到保险柜中，让员工只能在办公室摄像头的监控下工作吗？ 只要您拥有Array & VMware数据防泄漏解决方案，企业机密信息仅在VMware的虚拟机中运行，并且只能通过Array的SSL VPN加密隧道的方式传输到公司数据中心，这样您就能轻松保护企业的数据安全了。 Array & VMware 数据防泄漏解决方案让一切变得都这么简单！ 二、企业数据风险分析 当今企业在迅猛发展的同时，企业的机密数据存在如下风险： 风险1，用户故意将电脑中的数据拷贝泄漏。 风险2，用户上网时，恶意木马窃取了电脑中的机密信息。 风险3，用户电脑丢失而导致的数据泄漏。 风险4，。。。。 如何解决移动办公和数据安全之间的矛盾？如何保证企业机密数据在个人PC中的安全？很多企业采用了严格的内、外网隔离的管理方式，试图用管理方式来解决现实中面临的数据泄漏方面的风险。 内外网隔离的管理方式，虽然可以解决数据防泄漏的问题，但是，它一方面要求客户建
设两套完全不同的网络，增加了客户的投资。另一方面又无法解决用户同时使用两套网络的灵活性。 是否能通过技术手段来解决机密数据隔离的问题？是否可以构建一个安全虚拟网络来代替物理的内外网分离方式，让机密的数据只能在安全虚拟的网络环境中运行？ 请看Array & VMware 数据防泄漏整体解决方案！ 三、Array & VMware 数据防泄漏解决方案 Physical PC ACE Management Server Physical PC VMware ACE Remote User 如上图所示，物理机用于处理日常非机密类的流量，而物理机上的虚拟机则用于处理机密的业务类数据流。 虚拟机与物理机的通信隔离，保证虚拟机中数据在本地不被窃取。且虚拟机是加密方式存储的，即使电脑丢失，也可保证虚拟机中的数据不被破解泄漏。 在虚拟机上，启动L3 功能与企业数据中心的Array SSL VPN 建立一条full tunnel，并且虚拟机上的安全策略，只允许与SPX 通信，保证虚拟机联网时的数据不被恶意木马窃取。 通过以上技术手段，我们可以利用VMware 虚拟机，实现数据在同一物理介质上的安全隔离，利用Array SSL VPN 的full tunnel，构建一个安全的虚拟专用网络。保证数据在传输时的安全。从而通过技术手段实现了非业务流量与业务流量的隔离。