核心商業機密文件保密技術方案研究

龍云 王立星 劉超 王秋林

本文介紹了如何保證核心商業機密文件不發生失泄密事件，指出了可能存在的數據泄密安全挑戰，對建設一套可行的數據防泄密安全保障技術方案進行研究，提出了做好文件保密相關工作的具體內容，為后續安全保密系統的建設提供了較為全面的技術支持和理論指導。

一、背景

隨著互聯網時代的快速發展，日常工作對信息系統的依賴程度越來越高，員工在生產工作中逐步累積形成了很多有價值的數據，主要包括有生產經營過程中產生的各類技術資料、招投標文件、技術文檔、設計方案、管理過程文件等重要數據和信息。目前，這類數據的獲取、存儲、傳輸和處理等過程面臨的安全防護風險日益凸顯，需要考慮利用信息安全保密技術手段對這些涉及商業機密的重要數據進行安全保護，避免因數據泄露造成不可估量的損失。

二、面臨的挑戰

由于數據本身具備“數量多、形態多、可復制、流動快、跨組織”等特點，經常在數據保護目標落地方面會面臨很多挑戰。

（一）分類難

數量多、形式多，數據關系復雜，難以進行梳理。對于內容是否敏感由人主觀意愿判定，缺乏標準性。

（二）識別難

無法明確某類敏感數據在組織的整體分布情況。數據類型多、形態多、數量多，增加了內容識別的難度。

（三）防護難

缺乏數據分類保護規范和分類分級安全策略。缺乏對不同數據在不同位置的風險評估視圖，保護難以下手。

（四）評價難

缺乏數據保護評價指標、方法和數據。數據保護管控措施的有效性無法客觀評價。

三、數據保密技術方案

在日常運行過程中，會產生兩部分的數據，一部分為涉密數據，一部分為商業機密數據。本次研究將針對涉密數據及商密數據兩部分分開進行研究。兩個部分均建議采用多種安全防護技術手段組合的方式構建企業的數據防泄密技術體系。

（一）涉密項目數據保密防護方案

涉密資料目前一般都是刻錄光盤后，由專人帶到相關單位進行交付。因此需要單獨的物理隔離網絡用于承載保密項目的數據傳輸，主要從網絡物理隔離和數據安全防護、計算機終端防護等方面進行安全保障。

1.網絡物理隔離

網絡物理隔離是指涉密計算機不直接或間接連接到非涉密網絡中。物理隔離是信息安全管理中非常有效的保護方式，能夠最大限度地保證內部信息網絡不受來自外部的惡意攻擊，防止信息從外部進行竊取。

2.文檔數據加密

采用文檔加密軟件對涉密項目的電子文檔進行保護，保障文檔在創建、使用、傳送過程中的安全，避免被非授權人員獲得文檔或者文檔被非法傳送、使用。所有需要進行文檔保護的項目組成員均需在工作電腦上安裝加密軟件客戶端，該客戶端會對用戶在密文模式下操作過的所有文檔進行加密保護。技術細節如下：

（1） 文檔加密軟件可設置全盤落地加密策略或部分文件夾加密策略；

（2） 設置全盤落地加密策略時，啟用業務切換模式，對涉密項目允許用戶安裝加密軟件客戶端后手動切換客戶端狀態。在使用涉密項目相關數據時，采用密文模式，對操作過的所有文檔自動加密，并能夠直接打開已加密文檔；其他時候采用明文模式，不對用戶操作的文檔進行加密，也不能查看加密的文檔；

（3） 涉密項目成員的工作電腦根據需要安裝加密軟件客戶端，根據項目成員對項目文檔的使用方式不同可授予不同權限（可刪除、可讀寫、只讀、可解密、可打印等）。

3.文檔數據保密傳遞

隔離專網若需與外面進行數據交換，必須通過離線方式進行。在安全防護區指定一臺計算機終端作為數據擺渡的“中間機”“中間機”配備刻錄光驅和USB接口，將涉密計算機上的數據通過專用U盤拷貝到中間機，以刻盤的方式進行數據輸出，并在輸出前采取嚴格的審批管理制度，防止涉密信息從隔離專網非法流向外部。外部文件輸入到隔離專網內，也是通過光盤拷貝到“中間機”，再用專用U盤將文件將“中間機”上的數據拷貝到隔離專網內的計算機上存儲、使用。專用U盤只能在隔離專網的計算機上使用，禁止在外部網絡中使用。

4.終端接入控制

網絡隔離區采用計算機MAC地址與交換機端口進行綁定的管理方式，計算機網卡MAC地址與交換機的端口一一對應并進行綁定，其他未連接涉密計算機的交換機空余端口全部禁用，從而防止外部的非涉密計算機接入到隔離專網內。

5.終端防病毒

所有計算機終端全部安裝防病毒軟件，軟件病毒庫可直接通過互聯網進行更新。網絡隔離區內再分別部署一套防病毒軟件，定期對病毒庫進行手工離線升級，保證隔離區內計算機終端的安全。

（二）商業機密數據安全防護方案

商業機密數據是企業賴以生存的核心“數字資產”和核心競爭力，商業機密數據的安全防護也是企業高質量發展的必備條件。企業在日常運營過程中產生大量的商業機密數據，這些數據包括重大管理經營數據、設計文件、生產、銷售、采購、財務、人力等信息，相關信息如被竊取將對企業造成巨大損失。同時，因為同業競爭、個人私利，或者合作商為了謀取自身利益的最大化，都有可能窺探企業內部核心敏感信息。這些信息關系企業生存與發展的命脈，一旦流失將會讓企業面臨信譽、財務、生產運營、隱私和法規遵從等多方面的威脅。

在涉密項目中可通過與互聯網隔離的方式實現數據安全。在商業機密項目中，考慮到用戶時常會使用互聯網與外部業務對項目文件進行交互，因此安全防護方案將從網絡環境防護、員工辦公終端防護、數據日常監測等三方面進行考慮。

1.網絡環境防護

作為企業員工日常辦公的主要地點，保障企業辦公區網絡安全是數據防泄密的重中之重。通過部署監控審計系統及郵件審計系統實現企業敏感文件的外發監控及阻斷。

（1） 監控審計系統部署

需在數據中心互聯網出口部署監控審計系統，針對流量中的敏感內容檢測與監控，網絡DLP設備以旁路模式部署，從交換機、防火墻等設備將流量鏡像或分流到DLP系統中進行協議分析并還原識別內容，從而發現其中違反安全策略的敏感內容風險事件，并根據預置響應策略進行記錄、告警、響應、自動化等動作。

（2） 郵件審計系統部署

在網絡出口處部署郵件DLP網關，通過私有部署識別還原網絡出口流量中的郵件協議內容實現對全量外發郵件的內容監控和審計。

2.辦公終端防護

終端DLP技術，對終端設備上所存儲的數據進行識別與分類，實現內網中的敏感數據識別。通過關鍵字及語義識別技術對數據進行自動發現，可以針對數據的重要程度進行分類識別，針對識別引擎的特性，幫助根據敏感數據特征發現的工作流程，完成樣本分析，樣本整理、特征詞選擇等工作，并最終按照關鍵數據智能檢查系統能識別的格式導出預期的結果。

3.數據日常監測

在做好企業網絡安全防護及員工個人辦公電腦防護工作后，可能有些企業文件或成果資料在員工居家辦公期間由個人家庭電腦編輯完成并發送給用戶方，用戶方可能會在不經意間將資料上傳至百度文庫、百度網盤、道客巴巴等國內知名知識分享網站，用于賺取一些積分或個人使用方便，此類文件的上傳會對企業的文件追蹤溯源造成較大困難，建議通過互聯網數據資產測繪軟件定期對互聯網上散布的企業資產進行搜索排查。

四、結束語

隨著企業主營業務范圍的不斷擴展，對于商業數據的安全保密工作越來越重要，如何規范化、科學、專業化地做好企業安全保密工作，實現保密工作零失誤的目標，為企業業務拓展提供有力支撐，是企業目前面臨的一大挑戰。建議通過網絡環境防護、辦公終端防護、數據日常監測的全生命周期數據安全防護手段。運用網絡DLP、郵件DLP、辦公終端DLP及網絡空間資產測繪等多種手段，全方位保障企業重要文件的安全，可以實現文件數據安全的全生命周期管理，提升企業的網絡安全防護能力，為企業高質量發展保駕護航。

作者單位：中鐵二院工程集團有限責任公司信息技術中心