DLP數(shù)據(jù)防泄密項(xiàng)目一期方案V2.0

1、*變dlp數(shù)據(jù)防泄密項(xiàng)目方案 保密級別：項(xiàng)目組內(nèi)部公開*變dlp數(shù)據(jù)防泄密項(xiàng)目一期方案北京&科技發(fā)展有限責(zé)任公司二o一二年十二月版本信息更新歷史編寫人日期版本號審核變更內(nèi)容吳悠2012-12-211.0創(chuàng)建吳悠2013-1-152.0變更目錄第一章產(chǎn)品介紹4第二章總體方案介紹52.1方案概述52.2總體部署示意圖5第三章詳細(xì)項(xiàng)目方案73.1安全策略73.1.1通用安全策略73.1.2加密集成策略83.1.3日志審計(jì)策略93.2系統(tǒng)管控103.2.1dlp系統(tǒng)角色及權(quán)責(zé)103.2.2dlp管理方式103.2.3安全策略分發(fā)103.3應(yīng)用場景113.3.1入網(wǎng)終端涉密數(shù)據(jù)外發(fā)113.3.2入網(wǎng)終端

2、應(yīng)急解密響應(yīng)123.3.3系統(tǒng)故障應(yīng)急機(jī)制12第四章日常系統(tǒng)維護(hù)12第五章實(shí)施人員計(jì)劃135.1項(xiàng)目組織及成員135.2實(shí)施計(jì)劃145.3測試方案15第一章 產(chǎn)品介紹&文檔安全管理系統(tǒng)（簡稱：dlp-cdg），是國內(nèi)最早的企業(yè)核心電子數(shù)據(jù)資產(chǎn)提供全方位內(nèi)容安全防護(hù)的信息安全防護(hù)系統(tǒng)。本次方案實(shí)施部署產(chǎn)品版本為涉密信息系統(tǒng)dlp-cdgv3.0，該產(chǎn)品首先在技術(shù)上以數(shù)據(jù)加密技術(shù)為核心，采用文件過濾驅(qū)動技術(shù)，通過實(shí)時攔截文件系統(tǒng)的讀/寫請求，對文件進(jìn)行動態(tài)跟蹤和透明加/解密處理。其主要優(yōu)點(diǎn)：文件加/解密動態(tài)、透明，不改變使用者的操作習(xí)慣；性能影響小，系統(tǒng)運(yùn)行效率高；不改變原始文件的格式和狀態(tài)，同時

3、，部署和內(nèi)部使用非常方便。其次通過將技術(shù)平臺與管理體系有效結(jié)合，實(shí)現(xiàn)對用戶核心信息資產(chǎn)的全方位保護(hù)；通過建立信息安全邊界，降低核心信息資產(chǎn)如源代碼、設(shè)計(jì)圖紙、財(cái)務(wù)數(shù)據(jù)、經(jīng)營分析以及其他任意信息資產(chǎn)的有意或無意泄密風(fēng)險；配合完善的信息安全咨詢服務(wù)，通過對企業(yè)的業(yè)務(wù)梳理和流程建立，保障企業(yè)核心業(yè)務(wù)正常運(yùn)轉(zhuǎn)的同時，不過多影響用戶工作習(xí)慣及業(yè)務(wù)效率。涉密信息系統(tǒng)dlp-cdgv3.0產(chǎn)品符合國家保密標(biāo)準(zhǔn)涉及國家秘密的電子文檔安全保密產(chǎn)品技術(shù)要求（暫行）的要求，涉密信息系統(tǒng)產(chǎn)品檢測證書如下：第二章 總體方案介紹2.1 方案概述根據(jù)前期調(diào)研訪談和需求了解，*變數(shù)據(jù)泄漏防護(hù)（dlp）整體項(xiàng)目方案主要在現(xiàn)有的

4、環(huán)境基礎(chǔ)上，遵循“事前主動防御，事中實(shí)時控制，事后及時追蹤，全面防止泄密”的原則和設(shè)計(jì)理念，以加密技術(shù)為核心，配合身份識別、權(quán)限控制、終端管理、應(yīng)用集成、安全接入以及行為審計(jì)等功能，通過建立統(tǒng)一的dlp平臺最終從數(shù)據(jù)安全層面實(shí)現(xiàn)涉密數(shù)據(jù)“帶不走、打不開、讀不懂”的控制目標(biāo)。通過加密技術(shù)落地、控制涉密數(shù)據(jù)流通、規(guī)范員工訪問行為來實(shí)現(xiàn)涉密數(shù)據(jù)的安全保護(hù)和員工意識提升，有效防止主動及被動泄密。2.2 總體部署示意圖總體dlp產(chǎn)品實(shí)施部署后效果示意圖及說明如下：1) dlp服務(wù)器架設(shè)在服務(wù)器區(qū)域， dlp*變服務(wù)器負(fù)責(zé)*變dlp終端的管理、通信和策略分發(fā)；dlp風(fēng)電服務(wù)器負(fù)責(zé)*風(fēng)電dlp終端的管理、通

5、信和策略分發(fā)（這里以風(fēng)電舉例，后期根據(jù)規(guī)劃劃分特變、葉片等公司）。2) 根據(jù)dlp終端文檔保護(hù)策略的分發(fā)實(shí)現(xiàn)涉密數(shù)據(jù)強(qiáng)制自動加密效果，防止數(shù)據(jù)的明文交叉使用。3) 通過策略配置與smb文件共享（svrfile1、svrfile2）服務(wù)器、oa（svroa3、svroa4、oamail）服務(wù)器、windchill pdm（svrtsm1）服務(wù)器集成，對應(yīng)*變公司的加密文件實(shí)現(xiàn)上傳解密、下載加密工作。4) 將涉密網(wǎng)的入網(wǎng)終端數(shù)據(jù)納入安全保護(hù)范圍，防止數(shù)據(jù)在非涉密網(wǎng)使用流轉(zhuǎn)，實(shí)現(xiàn)涉密網(wǎng)終端數(shù)據(jù)的安全管控。同時*變和*風(fēng)電等各自的數(shù)據(jù)，通過不同的密鑰加密保護(hù)，可實(shí)現(xiàn)防止未授權(quán)的子公司間文件交叉使用。第

6、三章 詳細(xì)項(xiàng)目方案3.1 安全策略3.1.1 通用安全策略系統(tǒng)通用安全策略分平臺策略，主要是針對dlp系統(tǒng)平臺的總體策略；二是終端策略，主要針對是用戶系統(tǒng)終端的管控策略，詳細(xì)策略控制說明與效果如下：策略分類策略功能描述配置項(xiàng)配置效果外發(fā)管理外發(fā)管理： 對外發(fā)出去的文件做細(xì)粒化的權(quán)限設(shè)置，如打開次數(shù)、使用時間、是否可以打印、是否可以修改等設(shè)置審批人員兩種方式：1對終端用戶開發(fā)外發(fā)管理模塊，由終端用戶配合外發(fā)ukey使用2服務(wù)器端設(shè)置外發(fā)審批員，有終端用戶發(fā)起申請，通過后終端通過服務(wù)器得到外發(fā)文件平臺策略用戶管理：創(chuàng)建用戶組織后臺與*域控集成同步與ad域一致解密管理員：設(shè)置系統(tǒng)解密員設(shè)置審批人員需

7、要對確認(rèn)的解密人員配置使用“允許解密審批”的權(quán)限終端管理：可以對需要升級、刪除、離線補(bǔ)時的終端等進(jìn)行相應(yīng)的管控操作自動生成記錄選擇的終端被執(zhí)行升級、允許刪除、離線補(bǔ)時的操作。密鑰管理：系統(tǒng)加密的密鑰進(jìn)行配置默認(rèn)生成隨機(jī)密鑰*變的數(shù)據(jù)使用本部門的密鑰進(jìn)行加解密操作終端策略打印控制：是否容許打印加密文件未啟用根基規(guī)定要求不同，可設(shè)置部分人員啟用打印控制受控程序不允許打印容災(zāi)時長允許客戶端與服務(wù)器不互聯(lián)的情況下的加密文件可以使用的時長已設(shè)置對于涉密單機(jī)終端可以在6個月內(nèi)正常使用加密文件模式切換：允許客戶端在個人模式（不加解密）與工作模式下（加解密）切換使用禁用不允許客戶端進(jìn)行模式切換復(fù)制粘貼控制：加

8、密內(nèi)容是否允許復(fù)制到非加密內(nèi)容已全局配置禁止加密內(nèi)容復(fù)制到不受保護(hù)的內(nèi)容（不加密）中另存為控制：加密內(nèi)容另存出來的文件是否控制已全局配置受控軟件另存出來的所有內(nèi)容均為加密文件拖拽控制：加密內(nèi)容是否允許拖拽到非加密內(nèi)容已全局配置禁止受控制的內(nèi)容通過拖拽的方式進(jìn)入非受控的內(nèi)容網(wǎng)絡(luò)發(fā)送控制：加密內(nèi)容是否允許網(wǎng)絡(luò)發(fā)送非加密內(nèi)容已全局配置禁止受控的內(nèi)容通過網(wǎng)絡(luò)發(fā)送功能發(fā)送到非受控內(nèi)容對象插入控制：加密內(nèi)容是否允許插入非加密內(nèi)容已全局配置禁止受控內(nèi)容通過對象插入方式插入到非受控內(nèi)容中拷屏控制：加密內(nèi)容是否允許拷屏已全局配置禁止受控內(nèi)容通過拷屏方式截圖根據(jù)配置的文件類型，對于該文件類型的歷史數(shù)據(jù)進(jìn)行加密已全

9、局配置對于已配置的的文件類型，進(jìn)行全盤初始化加密的操作注銷菜單：是否允許用戶賬號注銷已全局屏蔽禁止終端用戶注銷功能解密管理員帳號容許解密終端工具：是否允許用戶使用流轉(zhuǎn)工具已全局屏蔽有解密權(quán)限的用戶可以配合解密ukey完成解密工作3.1.2 加密集成策略系通加解密集成策略分成終端軟件和系統(tǒng)集成兩部分，詳細(xì)分類與實(shí)效效果如下：策略分類策略功能描述配置項(xiàng)配置效果終端軟件完成終端軟件策略的配置，使其產(chǎn)生的文件自動完成保護(hù)已全局配置已配置策略內(nèi)容的軟件產(chǎn)生的文件自動加密保護(hù)，保護(hù)的文件透明在加密區(qū)域內(nèi)容使用，對用戶無影響。由各部門兼職保密管理員保管和維護(hù)軟件清單。系統(tǒng)集成終端加密的文件，上傳系統(tǒng)后自動變

10、成明文存儲于系統(tǒng)，從應(yīng)用系統(tǒng)下載到本地后自動變成密文存儲于本地。終端加密文件上傳oa、smb（文件共享服務(wù)器）和pdm系統(tǒng)時自動變成明文，從oa、smb和pdm下載到本地后自動變成密文。3.1.3 日志審計(jì)策略日志審計(jì)主要包含兩部分內(nèi)容，一是終端操作的日志，令一個是服務(wù)器端策略的設(shè)置，詳細(xì)分類與實(shí)效效果如下：策略分類策略功能描述配置項(xiàng)配置效果終端日志解密日志暫未啟用通過終端流轉(zhuǎn)工具解密的文件操作保持記錄服務(wù)器日志用戶類日志系統(tǒng)默認(rèn)記錄查看用戶的增加、刪除、授權(quán)、補(bǔ)時等操作記錄客戶端日志系統(tǒng)默認(rèn)記錄查看客戶端刪除、升級、登陸等信息系統(tǒng)類日志系統(tǒng)默認(rèn)記錄查看數(shù)據(jù)的備份與還原記錄策略類日志系統(tǒng)默認(rèn)記

11、錄可以審查服務(wù)器端安全策略的變更與分發(fā)情況3.2 系統(tǒng)管控3.2.1 dlp系統(tǒng)角色及權(quán)責(zé)本方案中為制定需求，根據(jù)保密工作要求系統(tǒng)角色為系統(tǒng)管理員、配置管理員、審計(jì)管理員，以下為各人員角色的dlp系統(tǒng)策略權(quán)限。角色用戶名權(quán)責(zé)系統(tǒng)管理員sysadmin負(fù)責(zé)用戶角色及終端管理、加解密策略配置及dlp系統(tǒng)的日常檢查及運(yùn)維管理工作配置管理員configadmin負(fù)責(zé)dlp系統(tǒng)運(yùn)行的基礎(chǔ)配置,可以交由系統(tǒng)管理員合并管理,主要包括: 【數(shù)據(jù)庫配置】，【ad域配置】、【郵件配置】、【上傳下載】、【管理員】模塊審計(jì)管理員logadmin負(fù)責(zé)dlp系統(tǒng)日志、文件日志進(jìn)行查詢、歸檔、管理等工作, 主要包括：【服務(wù)

12、器端日志】、【終端日志】、【文件日志】、【郵件日志】、【日志下載管理】模塊文件解密審批管理員實(shí)際用戶負(fù)責(zé)環(huán)境內(nèi)加密文件的流程解密審批，解密后文件還原為明文狀態(tài)后可發(fā)送到非加密環(huán)境內(nèi)使用文件外發(fā)審批管理員實(shí)際用戶負(fù)責(zé)環(huán)境內(nèi)文件外發(fā)的流程審批工作，制作成的外發(fā)文件發(fā)送到外單位有打開次數(shù)、使用時間等權(quán)限限制普通用戶實(shí)際用戶具有文件強(qiáng)制加密及加密文件解密申請權(quán)限3.2.2 dlp管理方式l 集中管理對于入網(wǎng)終端采用集中管控方式，所有用戶信息管控策略均在服務(wù)器制定和維護(hù)。l 分散管理對于未入網(wǎng)終端由于無法連接到dlp服務(wù)器，必須采用分散管理方式，但是策略和密鑰仍然保持與涉密網(wǎng)終端一致，確保安全策略的統(tǒng)一

13、性和可管理性。3.2.3 安全策略分發(fā)策略內(nèi)容根據(jù)不同用戶、不同場景的管控的需求，可以制定不同的安全策略組.本次實(shí)施策略通用安全策略和日志審計(jì)策略統(tǒng)一設(shè)置，加密集成策略根據(jù)部門實(shí)際情況單獨(dú)設(shè)置策略組，詳見3.1.2.l 策略新增當(dāng)管控要求發(fā)生改變時，已有的策略不能用當(dāng)前策略管控變更給予滿足時，需要新增管控策略，策略的制定參照3.1章節(jié)的安全策略。l 策略變更當(dāng)管控的策略內(nèi)容發(fā)生變更時，如軟件（系統(tǒng)）增添、應(yīng)用安全控制等，此時可以通過變更相應(yīng)的策略后給予滿足l 策略分發(fā)對于入網(wǎng)終端，變更策略將通過網(wǎng)絡(luò)自動分發(fā)給相應(yīng)的用戶以完成策略變更工作；對于未入網(wǎng)終端，系統(tǒng)管理員需將通過vpn與dlp服務(wù)器端

14、連通后更新策略，實(shí)現(xiàn)策略內(nèi)容的變更和統(tǒng)一策略管理。3.3 應(yīng)用場景3.3.1 入網(wǎng)終端涉密數(shù)據(jù)外發(fā)l 場景描述目前存在涉密數(shù)據(jù)外發(fā)需求，比如將文件給供應(yīng)商、外協(xié)廠、客戶等，dlp系統(tǒng)上線后文件會被加密，按照原有輸出流程，第三方收到加密文件后無法正常使用。l 支持流程1) 所有要外發(fā)的文件都通過dlp中“文檔解密申請”作為解密外發(fā)申請流程；2) 按規(guī)定中的流程解密節(jié)點(diǎn)和審批層級，同意解密申請文件將被解密；3) 增加解密管理員角色，負(fù)責(zé)處理用戶涉密數(shù)據(jù)輸出解密工作；l 說明：1) 公司人員要外發(fā)的輸出都使用dlp系統(tǒng)“文檔解密流程”2) 解密公司內(nèi)部l 實(shí)現(xiàn)效果制定審批流程和節(jié)點(diǎn)，結(jié)合制度完善文件

15、外發(fā)流程，積累并形成公司特色的數(shù)據(jù)泄露防護(hù)體系。3.3.2 入網(wǎng)終端應(yīng)急解密響應(yīng)l 場景描述工作中可能出現(xiàn)在解密審批員請假或者下班的情況下，有用戶提出數(shù)據(jù)輸出解密申請，此時會存在用戶申請無法處理早晨關(guān)鍵工作或業(yè)務(wù)延誤。l 支持流程1) 每個部門均設(shè)定有解密審核人員；2) 審核人員審核后流程走到總師辦解密后可外發(fā)密文文件；l 實(shí)現(xiàn)效果確保在解密責(zé)任人外出的輕快下實(shí)現(xiàn)應(yīng)急解密，保證關(guān)鍵工作的持續(xù)。3.3.3 系統(tǒng)故障應(yīng)急機(jī)制l 場景描述當(dāng)dlp系統(tǒng)發(fā)生故障導(dǎo)致系統(tǒng)停止服務(wù)時，可能導(dǎo)致加密數(shù)據(jù)無法解密的情況發(fā)生，影響涉密數(shù)據(jù)輸出工作。l 解決方法系統(tǒng)成功安裝后，會自動注冊cobordg系統(tǒng)主服務(wù)，同

16、時開啟ftp server檢查服務(wù)啟動狀態(tài)，如未啟動則手動啟動該服務(wù)。如果上述服務(wù)無法啟動時，依據(jù)下列步驟執(zhí)行系統(tǒng)恢復(fù)：1) 項(xiàng)目初期可以還原虛擬機(jī)快照；2) 系統(tǒng)管理員聯(lián)系廠商技術(shù)人員協(xié)助執(zhí)行以下恢復(fù)步驟；3) 立即對當(dāng)前狀態(tài)的數(shù)據(jù)庫文件執(zhí)行備份操作；4) 刪除dlp系統(tǒng)服務(wù)器程序，按照手冊重新安裝；5) 在新數(shù)據(jù)庫中導(dǎo)入最近一次正確的數(shù)據(jù)庫備份；6) 在終端用戶處執(zhí)行功能驗(yàn)證，確認(rèn)系統(tǒng)功能恢復(fù)正常；第四章 日常系統(tǒng)維護(hù)為保證dlp系統(tǒng)高效穩(wěn)定運(yùn)行，工作中需要對系統(tǒng)進(jìn)行如下方面的維護(hù)操作：l 用戶權(quán)限審查對于解密人員的權(quán)限定期進(jìn)行審查，對于已經(jīng)發(fā)生權(quán)限變更的人員權(quán)限要及時回收，防止實(shí)際權(quán)限信

17、息與用戶授權(quán)信息不一致的情況。l 解密日志審查解密日志每兩周與申請流程記錄進(jìn)行核對，以確認(rèn)兩者信息是否一致。l 查詢?nèi)罩練w檔對于系統(tǒng)中的日志可以根據(jù)時間歸檔，以便存檔供歷史查詢使用。l 數(shù)據(jù)庫備份為保證數(shù)據(jù)庫安全，每周定期執(zhí)行數(shù)據(jù)庫全備份，以備系統(tǒng)故障時恢復(fù)使用。l 終端維護(hù)對于個別用戶存在交叉式登陸系統(tǒng)在終端中產(chǎn)生的記錄，需要定期對于終端狀態(tài)為“未使用”的終端進(jìn)行刪除，以保證當(dāng)前終端記錄與用戶登錄信息的一致。第五章 實(shí)施人員計(jì)劃5.1 項(xiàng)目組織及成員*變dlp項(xiàng)目團(tuán)隊(duì)& *變 項(xiàng)目經(jīng)理（*） 項(xiàng)目經(jīng)理（*部長）&實(shí)施工程師&商務(wù)業(yè)務(wù)代表技術(shù)支持小組*、*（石家莊辦技術(shù)工程師）、*辦公自動化設(shè)

18、備有限公司技術(shù)人員*it人員*（商務(wù)部分及人員調(diào)配）本次項(xiàng)目組成員主要由項(xiàng)目經(jīng)理、實(shí)施工程師、業(yè)務(wù)代表、技術(shù)支持小組等角色組成：l 業(yè)務(wù)代表根據(jù)雙方約定的項(xiàng)目實(shí)施計(jì)劃，業(yè)務(wù)部門接口人參與方案的評審、配合系統(tǒng)測試，作為項(xiàng)目小組對業(yè)務(wù)部門的唯一接口人，協(xié)調(diào)相關(guān)工作任務(wù)資源及配合項(xiàng)目的工作推進(jìn)，具體工作結(jié)果對項(xiàng)目經(jīng)理負(fù)責(zé)；需熟悉部門業(yè)務(wù)及人員組織情況。l 業(yè)務(wù)部門負(fù)責(zé)人根據(jù)雙方約定的項(xiàng)目實(shí)施計(jì)劃，對項(xiàng)目階段過程中的關(guān)鍵任務(wù)節(jié)點(diǎn)進(jìn)行評審決策，監(jiān)督項(xiàng)目執(zhí)行情況，支持推動部門內(nèi)項(xiàng)目的整體進(jìn)行。l 技術(shù)支持小組根據(jù)雙方約定的項(xiàng)目實(shí)施計(jì)劃，對項(xiàng)目實(shí)施過程中需要的各項(xiàng)網(wǎng)絡(luò)、系統(tǒng)資源及安全配置等進(jìn)行技術(shù)答疑與支持，以保證部署實(shí)施工作的順利進(jìn)行。l 項(xiàng)目經(jīng)理根據(jù)雙方約定的項(xiàng)目實(shí)施標(biāo)準(zhǔn)進(jìn)行項(xiàng)目管理工作，包括計(jì)劃的制定、資源的調(diào)配以及控制項(xiàng)目各階段成果的正常輸出，并與招標(biāo)方項(xiàng)目經(jīng)理配合最終實(shí)現(xiàn)項(xiàng)目目標(biāo)的達(dá)成；具備三年以上項(xiàng)目管理經(jīng)驗(yàn)。l 實(shí)施工程師根據(jù)項(xiàng)目經(jīng)理的工作計(jì)劃按時完成項(xiàng)目實(shí)施工作，包括系統(tǒng)的安裝、系統(tǒng)測試、問題收集與處理及用戶培訓(xùn)等工作；