勘測設計行業數據信息泄露風險及保護措施探討

茆榮珍，舒明星，金 巍

(1.安徽省水利水電勘測設計研究總院有限公司，安徽 合肥 230088；2.江蘇敏捷科技股份有限公司，江蘇 南京 210046；3.江蘇敏捷科技股份有限公司，江蘇 南京 210046)

0 引言

水利水電工程是國民經濟和社會發展的基礎和命脈，水利水電工程勘測設計具有周期長、復雜多樣、協作要求高等特點。勘測設計行業擁有眾多信息系統和水利水電工程控制系統，屬于信息密集型行業。隨著信息技術在工程勘測、設計、施工和運行管理等方面得到普遍應用，數據信息的安全性成為勘測設計行業面臨的重要挑戰。

針對勘測設計行業面臨的核心技術泄密、數據信息隨意篡改、電子文件殘留等安全威脅，提出基于數據安全衛士系統的數據信息泄露防護整體解決方案。通過終端數據信息加密防護、數據信息安全外發控制、數據信息溯源水印等功能場景，提高勘測設計行業信息系統及終端數據安全防護能力。

1 數據信息泄露風險分析

1.1 數據信息泄露的原因及后果

近年來，隨著大數據、物聯網、協同設計、協同管理等先進信息技術的研究與發展，勘測設計行業在數字化建設中取得了跨越式發展。勘測設計行業的信息化建設體現在由簡單的計算機輔助二維設計到BIM三維可視化設計的發展，互聯網遠程協同設計的發展也使信息化建設的進程加速[1]。在各種信息化系統的應用普及和新興數字化產業的引領下，勘測設計行業數據信息不斷積累，數據存儲量呈指數級增長，各級勘測設計單位產生了海量的數據信息，如各類勘測設計數據信息、生產數據信息、檔案數據信息等，這些數據在采集、存儲、流轉過程中存在較大的泄露安全隱患[2]。

分析數據信息泄露的主要原因，一方面勘測設計單位在與客戶簽訂委托合同服務時，客戶在合同條款中除了約定需提供紙質勘測設計成果外，還約定需提供電子勘測設計成果，大多數客戶對接收的電子勘測設計成果缺乏統一保密管理，造成泄密。另一方面勘測設計行業內部對核心數據的使用沒有進行有效管控，單位內部員工可以隨意復制外發，造成核心數據泄露。

勘測設計單位在生產過程中經常發生泄密事件，大量客戶資料和勘測設計數據、檔案數據等敏感數據的信息泄漏，給客戶帶來了巨大的經濟損失，同時也嚴重影響了勘測設計單位的社會聲譽，阻礙了行業發展。

1.2 數據信息泄露的類型

1.2.1員工主動泄露數據信息

員工主動泄密已經成為當前勘測設計行業信息安全的首要問題。根據數據顯示，目前泄密事件近80%的損失都是由單位內部員工不遵守管理制度，主動泄密導致[3]。

目前，勘測設計行業面臨的員工主動泄密行為包括：員工將組織內部文檔通過USB、網絡、即時通訊、刻錄等方式私自復制機密信息外帶；員工擅自訪問未經授權的數據，竊取他人賬戶和設備非法訪問數據；員工配合他人跨安全域傳輸敏感數據；員工通過打印機、傳真機等媒介轉換泄露敏感數據信息并惡意傳播和擴散泄密；員工為了交流便利，使用聊天工具對文檔截圖外發，外發圖片沒有標注任何標志信息，屏幕被截圖發生泄密；員工對核心應用業務系統非安全接入及訪問泄密等。

1.2.2被動泄露數據信息

被動泄密是指導致數據泄密的人在不知情或無意識的情況下發生的數據泄密隱患。在日益激烈的商業競爭中，被動泄密已成為數據泄密的一大隱患。

目前，勘測設計行業的被動泄密行為包括：工作中使用的筆記本電腦和USB存儲設備丟失或被盜而導致的數據泄密；設備維修或廢棄時引發的泄密；郵件或網絡誤操作或誤發送引起的泄密；感染病毒或木馬后引發數據泄密等。

另外，由于員工的保密意識薄弱，存儲重要數據的機器和存儲介質被隨意移交給他人使用和共享，敏感數據保管不當也會被動地導致數據泄密。

1.2.3第三方泄露數據信息

第三方泄密是指將重要數據交付給合作伙伴、客戶(業主)或其他關系密切人員后，因保管不當或故意分發所引起的第三方擴散泄密。隨著信息技術發展，電子文件利用的便捷性優于紙質文件，客戶(業主)在簽訂合同時約定勘測設計單位必須提交電子文件產品。勘測設計行業企業間協同設計、協同辦公的工作模式，導致信息安全問題逐步顯現[4]。

目前，勘測設計行業第三方泄密隱患主要包括：合作伙伴、外協人員接入內部網絡非法獲取敏感數據信息泄密；應用維護、開發人員訪問系統后臺及數據庫非法獲取敏感數據信息泄密；發送給客戶、合作伙伴及其他關系密切人員的敏感數據保管不當，造成擴散失密；勘測設計委托服務合同、工程設計圖紙以及科研、學術報告等資料在外部打印、復印、拷貝副本時泄密；應用系統、郵件服務器及數據中心由外部托管時被非法竊取泄密等。

1.2.4移動設備泄露數據信息

由于移動互聯網的興起，電子文檔更多的在智能移動終端上使用和傳播，給非法竊取行為提供了途徑。

目前，勘測設計行業移動設備泄密隱患主要包括：在內部的重大會議或對外交流會議上，經常需要展示幻燈片文件，展示過程中存在屏幕被拍攝、拍照而導致信息外泄的事件；發送給客戶的數據信息，被客戶通過手機等移動設備不經意間二次泄露擴散等。

2 數據信息泄露解決方案

張晶姝[5]提出基于敏感信息監控的終端數據防泄漏系統來保護企業數據安全，但該系統對敏感數據識別準確性不高，存在數據安全漏洞。陳中祥[6]介紹了防火墻技術、加密與驗證、口令和安全策略等技術，對于提高信息系統中的數據安全具有一定價值，但對企業中終端的非結構化數據安全風險未考慮全面。黃飛飛等[7]針對企業終端安全威脅介紹了訪問控制技術、VPN技術、防病毒技術等，對企業終端進行安全保護，但未從數據本身出發，從源頭保護數據安全。

分析研判勘測設計行業核心數據面臨的管理問題及安全風險，針對文檔安全和文檔管理需求，在勘測設計行業應用數據安全衛士系統，從數據源頭出發，對勘測設計單位擁有的各類電子文件進行全生命期的安全保護管理。

數據安全衛士系統是采用B/S和C/S相結合架構，由管理端和客戶端組成的數據安全軟件產品。系統管理端控制臺可通過Web登陸的方式進行系統管理，管理端可配置安全管理策略并向客戶端下發，客戶端根據相關策略來執行相應的終端權限管理、文件加密保護、文件外發控制、添加文件水印等動作，適用于勘測設計單位各種類型數據文檔的密級管理與安全保護需求。

2.1 數據安全衛士系統功能實現

2.1.1細粒度權限管理

通過數據安全衛士系統后臺，根據勘測設計單位的組織機構層級對系統用戶進行管理，包括創建用戶、設置用戶崗級、設定用戶密級等。在系統中將用戶密級分“內部”“秘密”“機密”“絕密”4個密級。根據勘測設計單位內實際用戶的密級和崗級劃分來更改系統內置的用戶密級、崗級的值域范圍。采用細粒度化的權限管控，每條權限可根據涉及角色的不同進行分拆或結合，采用RBAC基于角色的權限訪問控制機制，將權限分配到角色，被賦予某個角色的用戶才可使用該角色的權限，實現系統用戶細粒度的權限管理。

2.1.2終端數據加密防護

(1)單位內部透明加密

通過數據安全衛士系統實時透明加密技術，解決勘測設計單位內部核心文檔易泄密問題，可以不改變員工熟悉的操作模式，保證文件操作的安全性與便捷性。在辦公環境中，所有機密數據都是加密的，文件在整個生命周期內自動加密，無需使用傳統的密碼輸入和手動加密操作。無論文件如何存儲或傳輸，都不會出現數據泄漏，一旦加密文件離開公司，文件無法使用。系統對文件加密強度高，難以通過暴力破解，用戶無法通過文件改名、刪除進程等非法手段躲過文件加密限制。

(2)部分終端采用智能模式

部分對外交互文件較頻繁的用戶終端，啟用數據安全衛士系統的智能加密模式。在智能模式下，只對從核心應用系統中下載的文件自動加密保護，用戶本地新建的文件不加密且能打開加密文件。用戶可以正常使用指定格式加密文檔，本地明文文檔不受加密影響，拷貝密文內容至明文會感染加密。在保證了用戶涉密數據的安全性同時，又滿足了用戶對非涉密數據不強制加密的要求。

(3)允許居家離線辦公

因新冠疫情反復，勘測設計單位員工攜帶筆記本電腦居家辦公經常發生。在這種情況下，可以根據勘測設計單位自身的管理要求，限制員工電腦中加密文件離線使用的時間。

通過設定系統離線策略，可以讓電腦脫離系統網絡運行，確保加密和解密操作正常，以便員工可以在家中或其他地方正常工作。員工離線策略是由管理人員進行授權，對客戶端可設置成是否允許離線工作狀態，能控制用戶能否進行加密文件的離線使用，授權方式通過離線時間或到期日期控制。超出使用時間后，客戶端會自動失效。

有些情況下，客戶端離線時間無法掌控，系統可提供脫機時間延長策略，通過制作“時間策略包”，經郵箱或者即時通訊工具發送到離線電腦上，運行后即可獲得再次授權的時間，保證在外工作正常進行。

(4)保證應用系統數據安全

針對勘測設計單位的各種業務系統(如OA、項目協同設計系統、檔案管理系統、知識管理系統等)的文件集中存放在系統中，容易導致泄密，系統實現可應用系統數據安全管控，對勘測設計單位的B/S和C/S類系統服務器控制文件上傳自動解密、下載落地加密、身份認證，實現服務器安全準入和明文存儲，防止文檔有意或無意的泄露。

針對B/S系統服務器，系統支持將B/S系統IP地址作為白名單和瀏覽器受控，上傳密文自動解密；針對C/S系統服務器，數據安全衛士系統支持將系統客戶端程序受控，上傳密文自動解密，文件明文存儲在系統服務器里。從應用系統中下載保存文件時，系統通過落地加密技術對下載文件自動加密。

另外，通過端口重定向技術，系統管理員可以指定安裝了加密客戶端且下發應用策略的電腦才能正常訪問應用系統服務器。

2.1.3數據安全外發審批

需要對外發送的文件，勘測設計單位內普通員工必須通過解密外發審批流程來解密文件。系統后臺靈活定義文件外發審批流程，單位內部的文件需要對外發送時，可以通過不同安全級別的內部審批流程控制，同時還可以對外發文件的操作或閱讀權限進行控制。

通過數據安全衛士系統，可以配置文件外發審批流程的策略。當員工需要對外發送文件時，必須提交申請理由和申請文件，審批人按照審批規則執行同意或拒絕外發的審批操作。審批流程通過后，文件外發服務器自動處理文件，并將審批結果和處理好的文件反饋給申請人。

當需要外發的文件不能完全以明文外發而失去控制時，可以通過系統審批流程生成帶權限的外發文件，權限包括：外發文件的打開次數控制、打開時間控制、編輯權限控制、打印權限控制和顯示水印等。當外發文檔的使用時間或次數用完以后，即文件失效，失效后的文件即使有多份拷貝，也無法打開。

2.1.4數據信息溯源水印

通過設置屏幕水印、打印水印、外發文件帶水印等保護措施，對設備屏幕、涉密文檔和紙質文件上打標記，可預防通過拍照、截圖和打印等行為外泄敏感數據信息內容，有效解決數據信息泄密的溯源舉證。當發生敏感數據信息外泄時，水印信息可提供溯源舉證的效果，幫助勘測設計單位維護自身的知識產權，增強數據防御能力。

當系統啟用屏幕水印策略后，用戶對著屏幕拍攝加密文件或對屏幕截屏操作時可以起到版權保護的作用；同時，當拍照信息有意無意外泄時，為信息產品的歸屬提供完全和可靠的證據。通過系統策略配置，在電子文件和打印紙質文件中附著水印，不改變文件格式和內容，可以讓用戶明確文檔的重要性，提高防泄密意識，也避免用戶隨意裁剪篡改文件，文檔外泄后也能通過數據溯源系統進行舉證定責。

2.1.5安全日志審計

對用戶敏感數據信息的操作行為進行審計和記錄日志，可增強對泄密事件的追溯能力，對勘測設計單位內部員工泄露敏感信息的行為起到告知警示作用，對觸發安全規則的泄密行為進行預警，防止員工泄露單位的敏感信息，可以規范用戶的內網辦公行為。

通過數據安全衛士系統可以詳細記錄用戶使用的各類日志，包括加解密、外發、打印等行為。日志管理員通過查看、匯總、審計各類操作日志，及時發現系統安全隱患。同時，通過操作日志審計可以對用戶內網操作行為進行監管，包括安裝軟硬件、復制粘貼文件、收發郵件、瀏覽網頁和使用移動存儲外設外傳文件等容易造成數據泄密的行為。

另外，把大數據技術應用到系統中，借助數據采集、分類、處理、分析等技術，對數據安全狀態進行分析評價，并利用可視化技術，根據勘測設計單位的業務特點和需求關注點，可將安全態勢數據以圖形圖像的方式進行綜合展現。系統可以實時反饋組織數據安全整體運轉狀態，統計終端在線率、外發量、外發途徑、外發文件類型，可疑用戶top5和部門top10外發量統計，全局觀察勘測設計單位內部數據安全態勢。

2.2 數據安全衛士系統關鍵技術

2.2.1微服務架構

數據安全衛士系統采用微服務架構，無需中心節點提供復雜處理，可以為不同的平臺構建相應應用程序，支持根據用例需求在不同的安裝中以不同的規模布置并實施域，更靈活地響應業務變化。

在連接通道方面，微服務采用輕量級的通訊協議(如HTTP)和簡單數據格式(如JSON)。在系統管理方面，微服務對系統拆分徹底，在多個層面實現對系統的分散管理：在業務層面，微服務聚焦細分業務領域，是對應業務規則的唯一入口，它把整體業務分割成一個個高內聚的小業務，簡化業務之間依賴關系；在數據層面，微服務獨占式訪問對應的數據，服務和數據是一體的，把整體數據分割成一塊塊數據，數據塊內部的表緊密相關，塊間數據相關性弱；在物理資源層面，借助虛擬機和容器技術，將一臺物理機切分為多套環境，對服務器資源更高效地利用。

2.2.2國密SM4算法

數據安全衛士系統采用國家密碼局SM4算法，是一種分組密碼算法。SM4算法將明文數據按固定長度進行分組，然后在同一密鑰控制下逐組進行加密，從而將各個明文分組變換成一個等長的密文分組的密碼。SM4加密算法和密鑰擴展算法迭代輪數均為32輪，SM4加解密過程的算法相同但是輪密鑰的使用順序相反[8]。SM4算法有計算量小、加密速度快、加密效率高的特點。

2.2.3透明加密技術

數據安全衛士系統采用透明加密技術，通過監控文件上應用程序的操作，在程序讀寫文件時改變程序操作方式，使密文在讀入內存時程序自動對密文進行解密，在寫文件時又自動將明文加密寫入，從而保證文件一直處于被加密的狀態[9-10]。

在受保護程序讀寫文件的過程中，確保加密時間最早，解密時間最晚，盡量減少內存中明文信息的可訪問路徑，也減少病毒、木馬竊取明文的機會。對于涉密進程運行中產生的文件，包括過渡文件、臨時文件、導出文件等，均被自動加密。這樣無論保存的文件名稱是什么，轉換的文件格式是什么，文件都會受到嚴格的加密保護，即使用文件恢復工具也無法獲取加密文檔的明文內容。

2.2.4數據自動分類技術

數據安全衛士系統利用數據自動分類技術，通過特征表示與提取、分類計算模型、特征選擇等方法進行文本挖掘和數據信息檢索，將數據劃分到已知的一個或者多個類別集合中，實現數據信息過濾、自動安全等級劃分、信息組織管理及定位、電子文檔自動分類等功能。

2.2.5數據可視化技術

通過大數據可視化開源庫的技術框架對系統進行二次研發與封裝，創新了具有企業特色的數據可視化平臺。數據可視化技術考慮平臺響應速度、平臺穩定性、易維護等問題，且與數據安全系統進行無縫融合，通過直接打點、網格、熱力圖、聚合等方式展示大量的點、線、面安全動態數據，全方位展示數據安全態勢，提供高品質的用戶體驗[11-12]。

2.2.6數字水印技術

數字水印是一種通過數據嵌入和數據提取過程隱藏數據的安全技術。作為信息安全領域的一項重要安全手段，數字水印在版權保護、原始性認證等方面具有豐碩的研究成果[13]。在不同的應用背景下，數字水印的實現方法具有極大的多樣性，但是也具有共同的基本模型。數字水印技術一般包括：水印預處理、輪廓波變換、邊緣檢測、圖像分塊、水印嵌入、水印提取和閾值選擇等過程[14]。

3 數據信息泄露防護應用效果

基于數據安全衛士系統，以某一勘測設計單位為例，對其電子文件和紙質資料采取安全管控措施。

在這一案例中，系統通過開放的API接口，與項目協同設計系統集成，實現了加密、外發等功能在第三方應用系統的調用。文件在第三方應用系統走審批流程，流程完成后，通過調用加解密接口對文件進行加解密處理。同時，通過接口調用，實現了密文的在線預覽、權限管理等功能。通過授信進程智能識別，系統拒絕非授信進程對文件進行修改，從而使勒索病毒不能對用戶的重要文檔進行加密，從文件根源上進行隔離保護，杜絕勒索病毒危害。

通過文檔加密、解密審批、溯源水印、系統集成、日志審計等功能，數據安全衛士系統從源頭上保證了該勘測設計單位文件的安全，確保了單位敏感數據在管理受控下安全使用，為該勘測設計單位各部門之間和上下游企業的高效協同提供安全平臺，使協同設計數據全生命周期安全無泄漏，大大提高了該勘測設計單位技術創新水平和安全能力。

4 結語

在勘測設計行業中，為防止敏感數據泄密事件發生，本文提出的數據泄露防護解決方案以數據防泄密技術作為切入點，系統采用智能安全分析技術、操作系統內核技術、高強度加密算法，有效地解決了企業內部用戶有意或者無意的數據泄漏問題，實現了電子文檔的全生命周期管理，對保障勘測設計行業數據安全具有一定意義和價值。

針對勘測設計行業數據泄露問題，僅靠技術手段去防范是遠遠不夠的。勘測設計單位在未來實際工作中，不僅要加強數據防泄露技術手段，更要貫徹執行數據安全管理制度，提升用戶數據安全意識，嚴防數據泄露，共同守護勘測設計行業數據安全。