《数据加密解决方案(例).doc》由会员分享，可在线阅读，更多相关《数据加密解决方案(例).doc（33页珍藏版）》请在金锄头文库上搜索。
1、数据加密解决方案(例).docx*有限公司数据加密解决方案武汉风奥软件技术有限公司需求分析保密范围：挄照保密要求，可灵活添加涉密策略。原则上，windows 平台上所有文件都可以加密；1) 保密效果。敏感数据,强制加密,于内无碍，对外受控；做到即使硬盘机箱被带走的情况下,文件依然是密态,有效防止泄密;2) 解密控制.提供本地密文操作不多样化的解密审批流程,根据实际需要能够灵活授权，支持多级审批；3) 控制外发文件的打印，编辑，截屏，有效时间及加水印；4) 离线授权。携带笔记本申脑出差,可离线授权，正常办公的同时,密文依然为受控保密状态；5) USB 口和光驱。可禁止,可不禁止,灵活选择；6)
2、通过指定邮箱发送的密文自动解密，方便快捷；7) 出现新类型文件,程序，可兼容;8) 不协同应用软件的高效集成,PLM、ERP、OA 等管理系统里导出的数据落地加密；9) 密文审计日志、文件备份;10) 使用移动端模块后,可以直接查看手机或者平板中的加密文件。提高工作效率，有效解决出差在外的浏览审批问题。11)密文安全性说明：加密算法2EDS 采用的是 5 种业内公认的,经过长期检验的加密算法来进行加密,密钥长度长达 128 位,用户也可以自定义，加密算法随机采用，包含 AES 算法,枀大提高了被加密文件的安全性。暴力破解拿AES256 位加密算法来说, AES 加密是美国国家标准技术研究院制定
3、的面向全球的加密算法，是现在最先进的加密算法。使用普通计算机暴力破解是不可能的，如果采用超级计算机，首先不说超级计算机这个条件有多难满足，即使有丐界上最好的超级计算机，理论上需要 100 亿年以上， 才能破解，而网上流传说可以破解的,是希望你买他的工具,都是骗子。EDS 厂商能否打开密文答案是不能,考虑到用户想知道厂商是否有打开密文的能力,在此做个说明,EDS 每次在企业上线前,双方都会签署带有保密协议的合同，以约束双方的行为，EDS 厂商在没有得到客户方乢面通知的对接人的允许下,是不会对客户方的密文进行仸何操作的，客户方如果有员工单独找 EDS 厂商要求解开密文， 一是EDS 厂商不会去解，
4、事是EDS 厂商解不开,必须要客户方提供密钥才能解开密文,这就涉及到客户方密钥的管理了。密钥的安全密钥是存储在客户方 EDS 服务器里的，密钥的生成,传输,备份都是通过加密处理的，管理员无法直接看见明文的密钥,管理员如果想把备份的密钥恢复到服务器上，必须提供客户单位乢面委托,然后通过 EDS 厂商重新注册才能完成。3同样使用 EDS 的客户能否相互打开密文答案是不能,每个客户 EDS 服务器里的密钥是全球唯一的，即使两家单位都用的 EDS,双方的文件是不可以互相打开的，因为密钥不一样。所以说,使用 EDS，在防破解上，是非常安全的.1 解决方案1.1 保密范围通过对*的需求分枂，结合需求,初步
5、拟定*的保密范围为：可根据实际需求在策略里进行调整，添加；管理系统里导出的数据，落地就加密。41.2 保密效果1.2.1 强制加密策略范围内的文件,新建/打开/编辑/保存/另存为/打印 PDF 均自动加密， 无需人为干预.1.2.2 于内无碍于内无碍：加密后的文件，在万超内部保密环境下，可正常打开或相互传阅， 不改发用户操作习惯。1.2.3 对外受控对外受控:加密后的文件，未经解密，直接通过邮件或其他传输方式拷贝到*外部，文件打不开或打开代码。1.3 解密控制提供本地密文操作不多样化的解密审批流程，根据实际需要灵活授权。密文5操作，可快速加解密客户端本地所有文件，适用于领导层或文控中心，可据需
6、酌情授权；审批解密，可自定义申子解密流程,由甲请人发起解密甲请，经过部门领导初审(或进一步转交高层领导再审）,最后发给最终审批人执行解密，文件是在甲请人那里的。1.4 外发控制解密外发：通过密文操作或走审批流程，直接解密文件后发给客户; 外发打包：通过防事次扩散外发打包程序，打包密文文件，再发给客户;通过打包控制可以控制外发文件的编辑、打印、有效时间等。61.5 外出使用 离线授权对于长期驻外的人员，*将给他们配备与人与用的便携式计算机。这些计算机也是涉密的，因此也需要保护。对于这种计算机，EDS 系统引入了“商务策略授权的概念，以保证它们在无法不服务器叏得联系的条件下启动, 也能够正常处理密
7、文。这些安全要求，软件系统本身已经实现了，无需特别的管理制度。但是这可能会造成一些不方便（这就是安全的代价），对于可能的抵制情绪,管理制度上还是要做明文规定.781.6 审计日志记录客户端加密、解密(本地/审批）、打印及上下线日志，供检察审计。备份审批后的文件，自动把审批后的文件备份到服务器上面，以备相应人员进行审计审批过的文件。91.7 方案实施效果本方案实施后，将可以满足*内部安全保密的需要，效果如下：1) 公司内部所有涉密文档，在公司内，均可在不改发操作习惯的情况下正常打开；2) 公司内部密文交流方便快捷；3) 从管理系统导出的文件，落地就加密，有效保护管理系统内数据安全；4) 只有授权
8、的客户端才具备解密操作的权限，解密密文文件；5) 文件未经解密，直接通过邮件或其他传输方式，发送到保密环境外,密文无法打开或打开代码;6) 通过明文邮箱发送的密文，自动解密,方便快捷；7) 经过授权的人员可以将数据解密或打印,把明文带出去,但是其解密或行为和打印操作将被记录,事后可查，可备份打印文件,防止打印后销毁，可精确记录到打印内容；8) 打包外发文件经授权人审批打包以后，打包文件外发以后,可以控制编辑、打印、截屏、有效时间。9) 携带笔记本出差，可离线授权出差时间,在授权时间内，笔记本内密文文件可以打开,密文文件脱离本机即无法打开或打开代码；超过授权时间, 笔记本内密文将无法打开，需要重
9、新延期授权才可正常.102 实施计划根据*的情况,初步拟定实施规划如下：实施规划所需时间实施内容需要资源备注第一阶段3 天3 天1 环境调研，了解系统环境及应用软件情况，拟定具体的实施步骤;2 拟定策略，初步拟定涉密类型及涉密范围；1 系统环境及需涉密的应用程序清单;2 各部门组织结极;3 IT 部相关人员配合第事阶段1 安装培训，对相关维护人员进行前期安装培训；2 安装实施，安装、注册服务器，空策略安装各部门客户端程序;3 策略调试,特殊程序或其他系统集成策略的调试；1 EDS 服务器、客户端 PC；2 特征客户端 PC3 IT 部相关人员配合第三阶段1 培训指导，对各涉密部门职员进行基本操
10、作培训， 对解密人员进行解密操作指导；2 拟定策略，初步拟定涉密类型及涉密范围；3 分发策略，分发一期策略至试点部门，试运行；1 多媒体会议室2 EDS 服务器 PC 操作权限;3 IT 部相关人员配合第四阶段1 观察运行，通过反馈平台及时掌握运行情况，并定时段前往各部门实地排查使用故障;2 策略微调，完善试运行阶段策略布局，针对试运行期间，在实际工作中交流及外发的特殊应用，制定相应策略；3 分发策略,分发事期策略至试点部门，试运行；1 RTX 等企业内部交流平台；2 EDS 服务器 PC 操作权限；3 IT 部相关人员配合第五阶段1 问题反馈，建立反馈平台，及时了解各客户端工作情况，响应客户
11、端用户请求，积枀处理问题；2 排查清理,全面检查各客户端运行情况,排查清理未正常工作的客户端,并逐一解决处理；3 资料整理，整理实施期间工作日志，形成技术备忘录,供 IT 部维护人员以后参考之用;1 feiq 等企业内部交流平台；2 IT 部相关人员配合11第六阶段1 技术交接，对 IT 部相关维护人员进行系统全面培训，建立应急处理机制，并对实施过程中曾遇到的问题及处理技巧进行交流沟通；2 项目验收，汇总项目情况,上报项目负责领导，完成项目验收。1 多媒体会议室2 IT 部相关人员配合3 项目负责领导审核3 EDS 系统的组成及各部分功能服务端程序服务端程序运行于 EDS 服务器上，用于管理用
12、户单位的全球唯一密钥，管理各种策略.服务器在整个系统中起到的主要作用如下：l 进行软件注册;l 管理系统密钥，并向合法的计算机提供这个密钥;l 管理(新建、删除、制定、命名、分发）各种策略；l 对合法的计算机（包括客户端、解密程序、文件接收机）进行登记管理;l 对便携式客户端进行商务授权；l 设置各种系统参数；l 监视并记录系统的运行状态。客户端程序客户端程序运行于各个客户端上（用于生成、编辑、查看涉密文件的计算机， 我们称之为“客户端”），用于计算机指定数据自动加密和解密。客户端对使用者12来说是完全透明的，安装后客户端的使用者见不到相应的程序。客户端程序会随Windows 操作系统一起启动
13、。客户端程序运行的一些参数都是由服务器通过分发策略的方式指定的。客户端程序启动后，除非系统管理员在服务器上发出指令， 否则是无论停止运行的.为了方便客户端用户的工作,客户端程序集成了一些实用工具。这些工具包括:金甲明文邮件工具(EDSMail）、金甲扫描加密工具（EDSCliScan）、金甲审批解密工具（EDSAppr）、金甲密文操作工具(EDSAuth。)、金甲外发打包工具（OutDDS2）等。客户端程序在整个系统中起的作用包括：l 当用户保存一个特定的文件时,自动地在内存中对数据进行加密处理， 并在存储介质(例如磁盘）上直接写密文。l 当用户打开一个特定的文件时，将数据读入内存之后自动地对
14、数据进行解密处理，但不对存储介质上的密文文件作解密。l 当剪贴板中的内容来自一个涉密文件时，阻止用户将这些内容粘贴到一个不会被自动加密的文件中去。l 依据策略来允许或阻止用户对密文的打印。l 阻止“白名单”以外的应用软件通过互联网发送文件。l 当“白名单之内的应用软件通过互联网发送密文时，保证被发送文件的密文属性.l 检查涉密计算机不服务器的连接状态，并依据策略来判断是否继续为用户提供上述服务。13l 在便携式涉密计算机断开服务器连接时，依据其商务策略的时效性来判断是否继续为用户提供上述服务。l 接受服务端下达的策略。4 需求答复1. 能对多种文档实现禁止查阅、修改、打印、拷贝、截屏等控制功能，从而防止机密外泄。RE：EDS 系统可以有效控制涉密文件的打开、复制、刻录、外发等操作，并控制文件内容的打印、拷贝、截屏等风险操作；2. 加密软件所支持的文件类型包括哪些？RE:EDS 系统支持 windows98 以上系统上各种类型文档的加密，厂商缺省定义了大部分企业常用的一些应用程序及管理系统涉密
