中国移动南方基地IT支撑中心数据管控平台解决方案

一、项目背景与挑战

一方面，中国移动集团公司在向各分部下发网络和安全保障工作通知，明确要求各省公司应加强客户信息安全保障工作，针对生产终端必须安装终端安全管理套装软件，提供终端系统管理、安全接入认证，并定期审计终端操作日志。

另一方面，随着中国移动南方基地的网络管理信息系统日益完善，应用种类逐渐丰富、用户数量急剧增加、系统互联及整合要求增强，系统和网络面临的安全风险愈加严峻，结合南方基地三年滚动规划的发展思路、发展策略及目标，对IT支撑网、网管支撑网及园区办公计算机网进行安全加固建设。

项目的总体目标是，不断梳理和完善网络安全体系、优化安全管控流程，加大对安全防护手段的建设，进一步加强业务支撑网客户信息安全管理，提升南方基地综合性安全防护整体能力。

二、主要需求

1. 梳理业务系统的敏感数据范围，包括业务系统前端系统和后端数据库等，确保导出这些数据到本地计算机以后，进行安全管控，包括增加水印跟踪、防复制、防打印、防网络工具外传等数据防外泄功能。

2.对于本地受管控的文档，提供基于用户组织架构的流转控制和细粒度权限控制，流转控制包括审批流程。

3.对于本地受管控的文档，提供审计、追踪功能，防止文档随意外流。

4.提供个性化策略功能，以及系统失效保护功能。

三、总体方案

根据南方基地的实际情况，再结合联软在金融行业的成熟经验，决定采用业务数据防泄漏系统（UniBDP）+文档权限管理系统（UniDRM）两套系统结合来解决中国移动南方基地的需求。

UniBDP提供客户端保护功能，有效防止本地文档被主动或被动泄密，以及提供水印功能，使文档可追踪与回溯。

UniDRM提供统一的文档控制和信息共享平台，提高制作文档的管理和协作效率。本地文档可上传到服务器，通过与RMS服务集成，可以对文档进行细粒度权限控制。

四、具体实现

1.UniDRM文档权限管理篇

从业务系统的上传、认证，文档的分级分类、权限控制、流转控制和记录，业务协助等各个方面做了全方位的设计。

      分组建库，统一管理

系统结合南方基地的组织架构，通过分组的方式建立文档库（业支组文档库、安全组文档库等），业务系统可以通过FTP方式上传，并根据南方基地的组织架构目录存放文件，每个用户只能访问并下载对应的目录中的文档。UniDRM会对业务系统统一发放FTP的认证用户名和密码，集中管理。同时，UniDRM系统结合微软的RMS文档加密技术，可对文档进行集中存储，便于共享协作，对文档进行完整的生命周期管理。另外，上传文档时支持文档的批量加密功能，提升工作效率。

本系统从全局进行考虑，把敏感数据直接交由UniDRM进行管理，不再对业务系统进行控制，只有在登录UniDRM系统以及操作PLSQL访问受控数据库时才强制登陆安全客户端。通过这种方式，绕过了对每一个业务系统进行管控，缩减了保护范围，在易用性跟安全性两方面实现了很好的平衡，更重要的是控制力度更加深入。     

      巧妙设计，深入控制

      细粒度文档权限控制

对于文档的细粒度控制，系统提供了完全控制、设计、参与讨论、读取、受限访问、仅查看等6种文档权限，能对word、office、ppt、pdf等办公常用文档类型进行管控。管理员可实时修改文档的权限，对文档进行修改、删除等操作，在细粒度控制的基础上实现灵活办公。

      文档流转全程可控，隐形水印一良方

文档在流转的过程中，本系统会详细记录相关的日志，能够记录文档在使用生命中的每一个动作，文档流转过程都有详细的记录日志。对每个从业务系统导出到本地的文档进行结构调整，并自动对其加上一段信息流实现隐性水印功能。当发现有文档被外泄时，可以获得外泄文档，通过系统工具查看文档的隐性水印，系统以可视化视图，直观的展示文档的整个流转过程，管理员可通过视图查明真正发生原因。可用来追踪泄密渠道，也可用作电子取证。

      公私分明，离线办公

我们对基地的公用机器，做了特殊的设计。在用户结束完业务系统后，系统会自动提示其删除保存的敏感数据文件及注销安全客户端。以防止后来人员查看敏感文件，以及使用自己的账号进行外发操作等。操作的文档可以本地保存、编辑，如果需要保留，可上传到流转中心并进行文件流转，支持离线办公。

2.UniBDP业务系统防泄漏篇

      敏感数据自动归入

本系统对业务系统导出的敏感数据文件进行安全保护，防止非法外泄。对数据分类分级，把敏感性数据人工或系统强制归入管控盘（我们称为O盘），而一般性数据则丝毫不受影响。对于O盘内的文档，可限制直接复制、剪贴和截屏（包括U盘拷贝和网络工具外发等），同时打开文档会显示屏幕水印。

     文档外发灵活配置

管理员可以根据业务需要可对外发进行配置，可以选择“需要经过审批“指定审批人员。外发文档经过审批时会自动上传到服务器进行备份，管理员审批时也能下载文档进行查看。在外发出O盘时，自动加入了水印。水印属性由MAC、 IP、用户名、文档生成时间、唯一序列号等组成，且可以对外发文件的大小进行控制，以避免大文件外发占用服务器空间和带宽。

      准确识别查询工具严管控

本系统可通过配置策略，实现对虚拟发布的后台数据库查询工具（如PLSQL）进行细粒度控制，能够准确检测到使用者是否打开了PLSQL。如用户使用4A系统虚拟发布的查询工具时，便会触发系统策略，进入管控。且该功能对后台系统查询工具具有适应性，如需扩展到其他查询工具，通过修改策略配置即可实现安全管控，无需重新开发或改造业务系统。

3.系统设计篇

      灵活使用各种环境

系统采用B/S架构，产品设计时，充分考虑了各种部署环境的复杂性问题，并且针对适应性做了灵活设计，使得用户简单快速行部署完整个管理系统。

      双机热备，紧急逃生

服务器采用双机故障冗余布署方式，主、备数据库间实时同步，备数据库采用定时全备份，当服务器单点故障时数据库能快速恢复。同时，系统提供紧急逃生功能，在紧急情况下，可关闭本系统的安全控制功能，规避系统故障对正常业务的影响。

五、总体效果

1. 文档实现了集中管理，同时缩减了管控范围，加深了管控力度，大幅提升了文档的安全性和IT管理人员的工作效率。
2. 突破了因安全问题而导致的办公网络的限制，员工可在安全环境下进行离线办公。
3. 对业务系统的敏感数据进行了识别和统一、全面的管理，强化了安全保障体系，有效推动南方基地三年滚动规划的发展思路、发展策略及目标。