trustarmour数据资产内容安全管理系统产品解决方案

第1章适用行 第2章应用概 第3章需求分 应用系统文档安全控制需 终端电子文档内部安全需 第4章系统设计原 第5章解决方 用户认 流程 策略控制功 产品性 应用系统文档安全控制管 终端电子文档内部安全管 电子文件外发控制安全管 敏感信息应用控制审计管 移动终端数据安全控制管 第6章产品规 第7章相关资 第8章产品支 1章适用行业本方案适用于金融、、银行、运行商等非研发类行业2章应用概述2011年底，工信部下发了《产业“十二五”发展规划》和《软件和服务业金融、电力等各个重要行业和领域的数据安全建设问题尤为重要。如何响应息发“rustArmour机构中电子化数据内容应用过程安全控制的软硬件平台系统。理控制和事后追溯审计，并在此基础上重点考虑尽量降低安全系统对实际业务制约的影响，出不同的管理目标，TrustArmour33842127562-11、业务操作者：亦即信息内容接触者，作为数据资产的根源主体必须在体系中被数据资产接触者标识、认证，同时结合数据及衍生管理体系完成及操作能制”，主要完成对数据目标的标识、加，同时结合成员认证子系统及衍生管理3、应用系统：在信息化发展进程中，众多的企业都已经或即将拥有不同形式及规模的4、数据通信：企业为了实现信息交互会引入各种数据通讯体系，例如邮件系统、及时制”作为这个方向的管理支持，将企业通过网络途径向外界输送数据的关键点5、移动式终端：移动式终端包括：可以便捷离开企业网络的新型平板类数据终端和职能类终端等。移动式终端的最大特点是为了提高业务效率，随时需要应用企业6、介质：TrustArmour中的介质是泛指目前已经通行的磁（硬盘，软盘，磁带）、电（U盘，卡，固态硬盘内存条）和光（光盘），并未涵盖未来可能出现的生物智能介质。介质是数据资产的物理承载体，它们是信息化体系运营的基本支撑体，也是数据资产泄密的主要应用单体。TrustArmour数据实体的加密控制，使得数据在任何介质上都不能够任意获取数据内容指：纸张、胶片、喷绘、立体打印塑模、激光雕刻胚体等）的基本。尽管感数据内容的传统输出，主要针对、登记、附加标识来防止传统输出应用造成8、可视效果：可视效果是指在信息系统应用、专项软件应用等信息化体系运作过程中3章需求分析应用系统的数据均为集中，有完善的数据控制机制，主要通过用户名、口令字控制者的及权限。但随着信息化的发展，以信息为目的的行为日益猖獗。然而，目在数据通通过方式截取报文窃取数据资源无法有效管理不同用户对不同应用系统的控制应用系统均有较为完善的权限管理机制，可控制用户对数据的使用和操作权限，但是当一些数据以电子文档形态从应用系统被到用户终端时由于被文（以下简称离线文档）已经脱离了应用系统的安全管控范围，其内容的、扩散将会变得十分容易且无从管理。突出文档是明文，可被任意和打开，内容可被任意并随意打印文档被外发到组织机构以外，完全脱离内部管控，内容安全极大文档后被传递的全过程无法记录，当泄密发生后无法追溯相关责任人文件放到共享服务器上供的时候，窃取通过技术获得电子文件数据题企业需要与外界进行数据交互，这些交互的信息可能会涉及企业内部信息，可是与外部没有对外发送的文件防止被篡改和对于有价值的电子文件，必须能够做到能够监督、、记录所有用户的全部操作，实时查用户的某些操作进行分类整理，通过操作记录，回溯历史活动，从而发现泄密。也需要做到通过用户操作，发现用户的操作，在泄密发现前就获得警报，制止泄密的发生。一旦泄密发生，通过用户操作记录,可以第一时间拿出最有力的。随着信息化建设的深入，越来越多的系统支持移动终端的，移动终端过程中主要通过用户名、口令字控制者的及权限，然移动终端本身的特性却加大了数据扩散的风险,主移动数据终端数据系统多数使用公网，通讯链路存在安全移动终端可以随意应用系统，整个过程中的数据安全难于控制移动终端可以从应用系统数据，所的数据在移动终端上缺乏保护，如果终端的4章系统设计原则的影响，并且在系统功能实现上和企业管理的科学规律相吻合，具体制约原则如下：作为数据资产保护的体系，应当尽量保持内容合法接触者对内容正常使用的合理便制保证数据资产敏感内容不被泄密，另一方面还要最大可能性的保持使用用户应用信息技术是，不是结果，数据资产保护过程中不能没有合适的技术支撑，但是这些技术所实现的业务逻辑，必须与管理制度相配合；同时技术是有一定的局限性，不管哪全管控产生的业务操作习惯甚至业务操作流程、规范的，造成使用者在应用行为过程执5章解决方案加密）HTTA、FTA层协议，对于基于标准网络协议的常见应用系统都能提供完美支持，能够实现终端前台密文使用、服务器明文流转，消除文件从应用系统离线后的安全隐患。5-1TrustArmour基于终端安全准入、网络智能动态加技术，以硬件实体存在，文档权限管理为，防止数据资产扩散为目的而设计的一款企业级应用系统安全防护类产品。实现文件数据体下行加密、上行对终端文件进行控制，可按照密级、群组等方式实现对终端应用系统的准入控制，对企业应用系统数据资源到终端（包括智能终端，PAD终端使用者识别、和控制加密文件数据体进行读和写加密控制完成离线文档二次再获得数据操作能力，而应用系统并不校验用户名、口令字是否有真正的持有者在使用，许多应用系统准入，就是针对制定的应用系统进行通路数据加密，是任何用户系统时获得数据都是加密，只有在PC终端上安装了强化认证的软件，才能正常阅读应用系统中的数据；这种情况下即便是者通过获取了合法的用户名口令字，由于没有终端软件也无、终端受控应用系统采用协议数据加密防护，保障应用系统的数据安全，防止、、TCPRC4经国家局认证的国际标准算文件有两种情况：一种是数据本身就是以文件的形式在应用系统中，过程是直接获得文件数据实体，另一种是在请求时应用系统把内部数据组合称为文件以供（一般称为旦被到了终端PC上，文件的使用就脱离了应用系统制约（这种情况也称为：离线文档，文实现文件的加密，加密的文件在合法的TrustArmour用户中间可以正常使用，但是对于非件的，这样可以保证应用系统中保持着明文状态。不需要关心文件的变化。加密的文件格式都会在过程中被加密，用户不能加密而且加密的结果文件也不能进行有移动终端安全准入控制服务器时进行终端的强制验证合法通过阻断移动终端数据加密控制：移动终端采用底层动态加技术，保障落地数据安全移动终端的个人隐私保护：加密保护用户隐私数据，包括：、、、..等"人员"可集成多种认证体系，支持基于Ldap和OpenLdap协议的统一认证平台(如AD、ED、TDS等)进行无缝集成。系统支持对文档的多版本管理，根据需要用户可以和使用同一个文档的不同版本。权限模版：对于加密文档的是以第一文档作为目标单元的，本身的频度和工作强度文件分级：顺应文件分级管理而设计的，在文件进行时者只需要选择文件别进行，文件被阅读的过程中，系统会识别阅读者的级别是否与所使用的文件相匹配，如果不匹配系统中打开文件。ABCD级A可B可可C可ABCD级A可B可可C可可可D可可可可图5-2分级模文件按照级别进行在许多个企业中和有实际的应用，特别是一些国有大中型企业，种情况下TrustArmour支持将主管们家里一个逻辑安全组，财务部门可以将文件给逻辑在群组的逻辑中“借阅”同样存在，其模式类似于文件分级自由：文件拥有者可以按照实际业务的需要对指定的用户进行文件使用文档的使用者的情况下不能将密文中的内容通过剪贴板移植到非加密文档中；但是并为流程各级节点提供业务提醒及审核结果通报等支持，如客户端消息、E-Mail通知等。暂时容灾服务器或网络出现意外情况不能工作终端仍可在容灾时间内保持正常工作当需要进行外发时，外发发起人需要进行外发的文件上传给TrustArmour同时系统会在服务器端制作外件，且将外件和使用说明书文件共同形成一个ZIP压缩包；该压缩包可以通过用服务器明文：TrustArmour对上传的文件，的文件加密。对终端的应用准入、用户的认证、客户端文档操作等进行审计风险功能，在管理过程中及时发现和修正错误行为系统整个的逻辑架构划分为用户层、接入层、应用层、数据层和应用层5-3从使用方式上可以分为通过浏览器OA、KM等系统，内容和通过亿赛通TA系统进行文从网络途径上可以分为，内网用户和用户。用户通过 有同等的权限。亿赛通TA网关可以对Web服务器发起的请求，分析出其中的文件信息，并对上行（用户层到应用层的请求）的文件，对下行（应用层到用户层的请求）的文件加密，是KM系统和OA系统实现文件安全的重要方式。WebKMOA系统应用做软件方式的负载均衡，并提高用户对静态内容的LDAPHRTALDAP数据库中导入。知识管理应用数据库主要存放知识的基础信息和使用信息、项目日历、白等信息。流程数据库是应用系统流程引擎的数据库。内容数据库是应用系统内容引擎的数据库内容是知识管理应用用于存放文档等非结构化信息的地方，基于应用系统内容引擎LDAPLDAP5-4TrustArmourTrustArmour的文件进行，受保护的文件进行加理。TrustArmour客户端软件主要对的加密文件进行动态的加支撑同时对打开的文件进300000的安全文档进行有效的控制盒管理，保障应用数据的安全。TrustArmour系统客户端和服务器使用连接过程加密提供多种用户认证模（用户LDAPTrustArmour系统参数备份与恢复功能；CPU、内存等资源消耗的及策略管理功能；各种简化IT资源运维根据业务策略灵活按需交付应用可让终端用户可以安全便捷、极大程度的保护应用系统的数据交互安全性，防止随意或泄密对智能终端进行安全防护，在高效便捷的同时保护数据的安全3.5.5.35-5TA系统针对应用系统的安全采用了安全准入的控制机制。对终端应用系统进行数据安全控制，确保受控应用系统的终端以及数据传输过程的安全性。是者通过获取了合法的用户名口令字，由于没有终端软件也无法正常获得系统图5-6应用系统文档控系统对文档采用了加密控制机制，通过安全网关实现文档的加控制，用户从应用系统文档自动加密，TA客户端能够自动识别并进行认证、权限认证、安全、日志图5-7终端文档模本方案采用多种模式，控制电子文档内部过程的安全自主模式控制敏感内容文件在公司内部的过程不同的人只能按照自己所获得授分级模式控制文档的职级范围，在内部应用过程中可形象的比喻为：看的文件，群众看群众的文件，能看群众的文件，群众不能看的文件。也就是说高密级的用户可看低密级用户的文件，反之则不可以。高密级的文件可通过借阅的方式由高密级的用户借阅给低密级的用户使用，但有时间和次数的限制。设置成一个用户组或项目组，当需要时可实现一次。极大方便用户的操作过程，提高工U-U-35-8内部加密文件生周期可管理文件在过程中主要依靠系统的安全策略和权限进行生命周期控制，对于文件