一．現狀分析1．人員情況：共約1000點，其中經理、主管及業務骨干約260人；2．網絡環境：所有員工共處MDCN網絡，網絡互通，但分屬多個網域；3．對內通訊方式：OA郵件系統、QQ發送、內部文檔管理系統、網絡共享；4．對外通訊方式：QQ發送、郵件系統、U盤（或移動硬盤）拷貝；5．常用文件類型：Office文檔（*.DOC\*.XLS\*.PPT）、Mind-Manager文檔（*.MMAP）、AutoCAD文檔（*.DWG）Project文檔（*.MPP）。二．文件安全需求分析1．文檔密級需求（1）普通文件（不加密文件）：可以通過公司內部的文檔管理系統和OA系統任意下載和傳播，不涉及到公司的機密；（2）一般加密文件：只有部分用戶的人才能看到的文件，可以進行復制、打印等操作；（3）秘密文件：只有部分用戶才可以查看的文件，不可以進行復制、打印等操作；（4）機密文件：僅限公司內部少數進行察看和共享的文件。打印、復制、修改能權限必須通過授權來嚴格控制。2．郵件外發的安全需求（1）普通文件外發不受限制，可以和外部用戶自由的溝通；（2）加密文件外發時，對方無法打開，必須安裝公司授權的加密客戶端才能正常閱讀；（3）部分加密的文件通過郵件發送時，可以控制接收者復制和打印操作。（4）部分或授權用戶可以通過發送郵件的方式，將文件自動解密發送給郵件接收者。3．離線工作需求（1）未經授權的計算機在離開公司后，加密文件無法打開；（2）部分公司或員工在外出時，攜帶的計算機中的加密文件允許被正常打開閱讀；（3）計算機丟失后，硬盤上的加密資料無法被打開使用。4．打印控制需求（1）普通文件（未加密文件）可以正常打印；（2）可以限定用戶是否允許打印加密文件；（3）可以對指定加密文件設置打印權限。三．解決方案1．文件安全管理目標（1）文件安全可保證：文件采用專用算法進行加密，而且每個加密文件都有不同的密鑰，無法對單個文件進行破解，更無法進行批量破解。（2）業務流程可保留：2文件的加解密都在后臺透明的執行，不改變公司原有的工作習慣。2通過明文出口的設定，保證公司內部以及對外合法溝通暢通無阻。2離線客戶可以在權限范圍內獲得相應的文件操作權限。（3）加密級別可區分：通過文檔密級的設定，保證不同安全級別的用戶可以操作不同安全級別的文件。（4）使用權限可控制：對高密級的文件，可以控制到文件的閱讀、復制和打印等操作。（5）出現問題可追溯：一旦出現機密文件的泄漏，可以根據安全日志來追溯責任。2．解決方案在本方案中采用巨石企業文件加密防盜軟件為技術支撐平臺，通過文件透明加解密模塊實現文件的加解密，通過文檔安全權限模塊來實現復雜權限的設置，從而滿足**移動公司的安全管理需求。（1）加密軟件部署a.加密服務器：指定一臺計算機為加密服務器，安裝加密服務器軟件，用于保存安全管理，包括安全組管理、策略管理、密鑰管理等等。b.FTP服務器：指定**移動公司文件管理服務器為FTP服務器，安裝加密客戶端，指定需要加密的目錄為加密路徑，從各個客戶機上傳到該服務器上該指定目錄下的文件自動進行加密。c.普通客戶機：不安裝加密客戶端軟件，只能閱讀和操作未加密的文件，無法打開加密文件。d.加密客戶機：在經理、主管和業務骨干的計算機上安裝加密客戶端軟件，成為加密客戶機，只有這些計算機可以閱讀和操作加密文件。e.安裝加密權限模塊的計算機：重要的可以加裝權限模塊，能夠更進一步的控制文件的復制和打印操作，或者進行點對點的授權。f.允許脫機使用的計算機：滿足出差員工或者部分脫機工作的需要。（2）文檔密級管理：a.普通文件：不進行加密，所有員工都可以閱讀并外發。b.一般加密文件：上傳到文件服務器指定目錄下的文件，自動進行加密。這些文件在下載到本地后，只要是安裝加密客戶端的計算機都可以打開查看。c.秘密文件：在加密服務器中建立“秘密用戶組”，使用安全權限模塊，將秘密文件打包為文件包，綁定對“秘密用戶組”的授權，并上傳至FTP服務器的指定目錄。“秘密用戶組”的成員可以對這些文件包進行相應的操作。d.機密文件：在加密服務器中建立“機密用戶組”，使用安全權限模塊，將秘密文件打包為文件包，綁定對“機密用戶組”的授權，并上傳至FTP服務器的指定目錄。“機密用戶組”的成員可以對這些文件包進行相應的操作。同時，機密用戶組中的成員可以點對點的進行文件授權查看，并進一步限制打印和復制操作。（3）郵件、QQ外發的安全管理：a.普通文件外發不受限制，可以和外部用戶自由的溝通；加密文件外發時，如果沒有經過授權，郵件接收者收到的文件將是亂碼，無法打開。b.普通加密文件正常外發時，接收者可以采用以下方式查看：l 通過正常渠道進行申請，使用專門的加密文件手工解密工具進行解密，解密日志將保存在服務器的解密日志中；l 接收者安裝與**公司相同的加密客戶端，并得到**公司的授權后，就可以正常打開加密文件。l 通過授權的計算機發送郵件時，自動將文件進行解密，接收者收到解密后的明文文件。c.秘密和機密文件一般不會發送到外界，如果確實有這種需求，而又希望控制文件的復制和打印，則接收者需要安裝安全權限模塊并得到授權。（4）離線工作管理：加密文件的離線工作主要由加密軟件的脫機管理功能來設定。a.普通用戶設定為不允許脫機，為了防止網絡不穩定帶來的短期斷線的可能性，可以設定在1小時為允許的脫機時間，只要在一個小時內能夠恢復網絡連通，即可保證加密文件始終可以正常打開閱讀。b.對于臨時出差需要帶計算機外出，同時需要在出差期間正常查看加密文件，可以在出差之前進行申請，經過批準后，由管理員設定允許脫機時間，如1個月。1個月后，出差攜帶的計算機上的加密文件將無法再打開。c.未經脫機授權的計算機，在離開**移動公司網絡環境后，計算機上的文件無法打開。d.對于部分公司，可以設定為允許脫機，即不限定脫機時間。e.一旦公司的計算機被盜，由于設定了脫機時間，計算機上的加密文件將無法再打開，從而保證了機密文件不會被泄漏。（5）打印控制管理a.普通文件的打印不做控制；b.通過加解密軟件的打印策略的制定，可以限定某臺計算機對指定的加密文件的類型（如*.doc文件）的打印權限，受限的計算機將無法打印相應的加密文件；c.通過安全管理模塊，可以指定某人（或者一組人），是否對該打包的文件擁有打印權限。