X
牛竞技的愿景:构建可控的互联世界!

中国移动南方基地IT支撑中心数据管控平台解决方案
发布时间:2015-07-21 | 牛竞技来源地:联软科技 | 浏览次数:6325

一、项目背景与挑战

一方面,中国移动集团牛竞技在向各分部下发网络和安全保障工作通知,明确要求各省牛竞技应加强客户信息安全保障工作,针对生产终端必须安装 终端安全管理 套装软件,提供终端系统管理、 安全接入认证 ,并定期审计终端操作日志。

另一方面,随着中国移动南方基地的网络管理信息系统日益完善,应用种类逐渐丰富、用户数量急剧增加、系统互联及整合要求增强,系统和网络面临的安全风险愈加严峻,结合南方基地三年滚动规划的发展思路、发展策略及目标,对 IT 支撑网、网管支撑网及园区办公计算机网进行安全加固建设。

项目的总体目标是,不断梳理和完善网络安全体系、优化安全管控流程,加大对安全防护手段的建设,进一步加强业务支撑网客户信息安全管理,提升南方基地综合性安全防护整体能力。


二、主要需求

1. 梳理业务系统的敏感数据范围,包括业务系统前端系统和后端数据库等,确保导出这些数据到本地计算机以后,进行安全管控,包括增加水印跟踪、防复制、防打印、防网络工具外传等 数据防外泄 功能。

2.对于本地受管控的文档,提供基于用户组织架构的流转控制和细粒度权限控制,流转控制包括审批流程。

3.对于本地受管控的文档,提供审计、追踪功能,防止文档随意外流。

4.提供个性化策略功能,以及系统失效保护功能。


三、总体方案

根据南方基地的实际情况,再结合联软在金融行业的成熟经验,决定采用 业务数据防泄露系统 UniBDP + 文档权限管理系统( UniDRM )两套系统结合来解决中国移动南方基地的需求。

南方基地业务数据防泄露UniBDP+文档权限管理系统UniDRM解决方案结构示意图

UniBDP 提供客户端保护功能,有效防止本地文档被主动或被动泄密,以及提供水印功能,使文档可追踪与回溯。

UniDRM提供统一的文档控制和信息共享平台,提高制作文档的管理和协作效率。本地文档可上传到服务器,通过与 RMS 服务集成,可以对文档进行细粒度权限控制。


四、具体实现

1.UniDRM 文档权限管理篇

从业务系统的上传、认证,文档的分级分类、权限控制、流转控制和记录,业务协助等各个方面做了全方位的设计。

分组建库,统一管理

系统结合南方基地的组织架构,通过分组的方式建立文档库(业支组文档库、安全组文档库等),业务系统可以通过 FTP 方式上传,并根据南方基地的组织架构目录存放文件,每个用户只能访问并下载对应的目录中的文档。 UniDRM 会对业务系统统一发放 FTP 的认证用户名和密码,集中管理。同时, UniDRM 系统结合微软的 RMS 文档加密技术,可对文档进行集中存储,便于共享协作,对文档进行完整的生命周期管理。另外,上传文档时支持文档的批量加密功能,提升工作效率。

系统上线前
文档库存储分散,员工的访问管理不够细致,文档上传到文档库未做加  密等保护措施 , 文档容易被外发泄密。
系统上线后
分组建库,统一管理,用户对文件的访问颗粒化,文档上传批量加密,文档加密后,外发泄密的可能性大大降低。

本系统从全局进行考虑,把敏感数据直接交由 UniDRM 进行管理,不再对业务系统进行控制,只有在登录 UniDRM 系统以及操作 PLSQL 访问受控数据库时才强制登陆安全客户端。通过这种方式,绕过了对每一个业务系统进行管控,缩减了保护范围,在易用性跟安全性两方面实现了很好的平衡,更重要的是控制力度更加深入。

巧妙设计,深入控制

系统上线前
管理员需要对每一个业务系统进行管理,工作量很大,工作效率底,且很难细致管控到文档、数据。
系统上线后
放弃对业务系统的管控,通过直接观看 UniDRM ,缩减管理员保护范围,同时加深管控深度,大幅提高工作效率和成果。

细粒度文档权限控制

对于文档的细粒度控制,系统提供了完全控制、设计、参与讨论、读取、受限访问、仅查看等 6 种文档权限,能对 word office ppt pdf 等办公常用文档类型进行管控。管理员可实时修改文档的权限,对文档进行修改、删除等操作,在细粒度控制的基础上实现灵活办公。

系统上线前
访问权限没有落实到文档级,只能通过各类子系统和账户来控制其权 限,管理员很难统一管理。
系统上线后
可对常用办公文档进行权限统一管控,根据文档安全等级,对不同职能部门或人员分配不同权限,细化权限,进一步保证信息安全,同时可实时修改权限,避免了因工作临时需要而设立临时账号或传输文件等复杂操作。

文档流转全程可控,隐形水印一良方

文档在流转的过程中,本系统会详细记录相关的日志,能够记录文档在使用生命中的每一个动作,文档流转过程都有详细的记录日志。对每个从业务系统导出到本地的文档进行结构调整,并自动对其加上一段信息流实现隐性水印功能。当发现有文档被外泄时,可以获得外泄文档,通过系统工具查看文档的隐性水印,系统以可视化视图,直观的展示文档的整个流转过程,管理员可通过视图查明真正发生原因。可用来追踪泄密渠道,也可用作电子取证。

系统上线前
文档流转无记录,若发生文档泄露,缺乏溯源的依据,难以进行分析、改进。
系统上线后
整个文档流转过程都有详细记录,导出的文档都有隐形水印,泄露可通过日志和水印追踪泄密渠道、查明泄露根源,优化处理。

公私分明,离线办公

牛竞技对基地的公用机器,做了特殊的设计。在用户结束完业务系统后,系统会自动提示其删除保存的敏感数据文件及注销安全客户端。以防止后来人员查看敏感文件,以及使用自己的账号进行外发操作等。操作的文档可以本地保存、编辑,如果需要保留,可上传到流转中心并进行文件流转,支持离线办公。

系统上线前
从技术层面未严格区分公用机和私用机,文件和账号乱用、套用的情况不时发生。
系统上线后
系统会在下一个人员使用前进行归位,员工只会用其所需资源,文件和账号无法乱用、套用。

2.UniBDP 业务系统防泄漏篇

敏感数据自动归入

本系统对业务系统导出的敏感数据文件进行安全保护,防止非法外泄。对数据分类分级,把敏感性数据人工或系统强制归入管控盘(牛竞技称为 O 盘),而一般性数据则丝毫不受影响。对于 O 盘内的文档,可限制直接复制、剪贴和截屏(包括 U 盘拷贝和网络工具外发等),同时打开文档会显示屏幕水印。

系统上线前
敏感数据和一般性数据交杂,区分有困难,不经意间敏感数据易泄露,且人工区分、审核工作量非常大。
系统上线后
敏感信息自动吸入安全管控盘( O 盘), O 盘的数据系统会严格管控,同时一般性数据丝毫不受影响,对终端使用者无感。

文档外发灵活配置

管理员可以根据业务需要可对外发进行配置,可以选择“需要经过审批“指定审批人员。外发文档经过审批时会自动上传到服务器进行备份,管理员审批时也能下载文档进行查看。在外发出 O 盘时,自动加入了水印。水印属性由 MAC IP 、用户名、文档生成时间、唯一序列号等组成,且可以对外发文件的大小进行控制,以避免大文件外发占用服务器空间和带宽。

系统上线前
员工外发文件难以管控,外发审批无记录
系统上线后
所有外发文件都可以进行管控,审批文件备份有记录。且可通过水印、文件大小设置等进行外发来源查究及带宽控制,同时可根据需要对外发文档进行加密处理。
准确识别查询工具严管控

本系统可通过配置策略,实现对虚拟发布的后台数据库查询工具(如 PLSQL )进行细粒度控制,能够准确检测到使用者是否打开了 PLSQL 。如用户使用 4A 系统虚拟发布的查询工具时,便会触发系统策略,进入管控。且该功能对后台系统查询工具具有适应性,如需扩展到其他查询工具,通过修改策略配置即可实现安全管控,无需重新开发或改造业务系统。

系统上线前
无法管控虚拟发布的数据库查询工具。
系统上线后
通过策略即可准确知道是打开了数据库查询工具,且策略可扩展其他的  同类工具,无需开发或改造业务系统。


3.系统设计篇

灵活使用各种环境

系统采用 B/S 架构,产品设计时,充分考虑了各种部署环境的复杂性问题,并且针对适应性做了灵活设计,使得用户简单快速行部署完整个管理系统。

双机热备,紧急逃生

服务器采用双机故障冗余布署方式,主、备数据库间实时同步,备数据库采用定时全备份,当服务器单点故障时数据库能快速恢复。同时,系统提供紧急逃生功能,在紧急情况下,可关闭本系统的安全控制功能,规避系统故障对正常业务的影响。


四、总体效果

1. 文档实现了集中管理,同时缩减了管控范围,加深了管控力度,大幅提升了文档的安全性和 IT 管理人员的工作效率。

2. 突破了因安全问题而导致的办公网络的限制,员工可在安全环境下进行离线办公。

3. 对业务系统的敏感数据进行了识别和统一、全面的管理,强化了安全保障体系,有效推动南方基地三年滚动规划的发展思路、发展策略及目标。




客户案例

关注微信: Leagsoft

2018年中总结

牛竞技©2003-2018 深圳市联软科技股份有限牛竞技 粤ICP备11101642号.