文档安全管理系统技术要求.docx
- 文档编号:9781965
- 上传时间:2023-02-06
- 格式:DOCX
- 页数:35
- 大小:28.09KB
文档安全管理系统技术要求.docx
《文档安全管理系统技术要求.docx》由会员分享,可在线阅读,更多相关《文档安全管理系统技术要求.docx(35页珍藏版)》请在冰豆网上搜索。
文档安全管理系统技术要求
文档安全管理系统技术要求
1.目标
风帆有限责任公司为保障终端的数据安全,通过数据防泄漏服务对操作敏感信息、外发邮件、设备流出的文件进公司内容识别、审计,避免数据泄漏,保护公司信息资产和知识产权安全,实现电子文件“打不开、拿不走、赖不掉”的控制目标及效果。
实现重要经营决策、战略发展规划、财务报表、设计图纸等核心知识产权和商业机密的精细化授权及控制。
2.概述
通过文档防泄漏安全防护系统,对风帆有限责任公司数据资产进行全方位的防护,建设更完善的终端安全防护体系。
加强风帆有限责任公司终端数据防泄漏安全防护,项目实施内容包括但不限于:
项目方案确定、产品实施与部署、策略制定与优化、维保服务、培训及知识转移等。
2.1文档安全管理系统基本要求及技术参数要求
2.1.1软件基本功能要求
基础信息
产品信息
产品架构
C/S架构(Client/Server),B/S管理(Browser/Server)。
加密算法
支持国密算法、支持AES算法。
系统平台
服务端
操作系统
支持centos7系统,内核3.10以上;支持64位操作系统,支持国产化系统。
客户端
Windows系统
XP、win7、win10的32/64位操作系统;中文、英文操作系统(不包含嵌入式系统),支持国产化操作系统。
Linux系统
Ubuntu14.0416.0418.04centos7.4
Mac系统
10.14、10.14.1、10.14.2、10.14.3、10.14.4、10.14.5、10.15、10.15.1、10.15.2、10.15.3、10.15.4、10.15、5、10.15.6、11.1、11.2
移动终端
Android、IOS
数据库
标准支持
MySQL、SQL、达梦DM、人大金仓Kingbase
、南大通用Gbase等
管理控制平台
浏览器支持
火狐最新版本浏览器,chrome最新版本浏览器、IE、搜狗、360浏览器等
2.1.2文档安全管理系统功能要求
文档智能加密
Windows客户端
可实现的加解密模式
透明加解密
提供对受控程序在文件读/写操作时,实现文件自动、强制、透明加解密;受控程序之间相互信任;受控程序与非受控程序相互隔离
半透明加解密
提供受控程序仅对已加密的文件做安全防护(支持加密文件的打开、浏览、编辑等操作);非加密文件操作不受加密防护;打开加密文件窗口与非加密文件窗口之间提供安全隔离处理
落地监控加解密
提供文件内容识别技术与加密技术相结合,可识别落地到终端上的文件中是否包含敏感或涉密信息,对落地到终端指定目录的敏感或涉密文件实现落地加密或解密处理
智能扫描加密
提供文件内容识别技术与加密技术相结合,可识别终端磁盘上的历史文件中是否包含敏感或涉密信息,对终端磁盘指定目录的历史敏感或涉密文件实现定期扫描加密处理
手动加解密
提供手动对文件、文件夹、电脑磁盘做加密或解密处理
工作流解密
提供以流程审批方式实现文件解密。
提供审批文件预览、快速审批、文件过滤方式进行文件解密审批
邮件白名单解密
提供基于标准smtp或smtps协议的邮件白名单解密,提供基于exhange协议的邮件白名单解密,实现白名单范围内的exhange邮箱地址通过outlook邮件客户端发送的密文自动解密
压缩包穿透加解密
提供对压缩包进行穿透加解密处理。
仅对压缩包中的原始文件做加解密处理,压缩包本身不处理。
可支持的压缩包格式包括RAR、ZIP、7Z。
支持压缩包的多层穿透
安全域隔离
安全域管理
针对透明加解密策略,可设置不同的文件安全域以实现部门之间的加密数据需要安全隔离的管理要求
文件权限控制
针对企业内部文档访问需要做更精细的隔离或访问控制,可以通过设置文件权限来控制。
文件权限包括打开、打印、解密、调整安全域的控制
移动介质管控
移动介质注册
提供对移动存储介质注册功能,注册后的移动存储介质,仅在单位智能加密系统环境内部使用,移动存储介质接入非本单位智能加密系统环境时,无法识别注册后的移动存储介质
移动介质绑定
注册并绑定类型的移动介质,对已注册的移动存储介质绑定使用人群,限制其使用范围,否则无法使用
移动介质使用权限管理
可对终端用户设置移动存储介质的读写权限,权限范围包含:
只读、读写、无法识别
移动介质写入加密
可设置写入移动存储介质的文件,主动加密
半透明支持软件类型
PDF相关
AdobeAcrobat、AdobeReader、福昕
绘图软件
CorelDrw、画图、Photoshop
日常办公
MSOffice、Office、Wps、记事本、写字板、XPS浏览器
图片浏览
ACDSee
视频播放
StormPlayer、媒体播放器等
二维设计
Autocad、国产化CAD及3D
透明加解密支持软件类型
支持所有类型软件,非常用软件可单独适配
账号绑定
支持终端与账号绑定,防止账号盗用,杜绝内部切换账号进行非法操作。
Linux客户端
常规功能
安装卸载
支持全自动安装,卸载,卸载后确保恢复原系统内核,支持覆盖安装,支持客户端开启关闭状态切换
文件安全域隔离
根据终端帐号所属文件安全域,划分为不同的安全域,可根据实际情况设置不同安全域产生的文件是否可以相互打开
账号绑定
支持终端与账号绑定,防止账号盗用,杜绝内部切换账号进行非法操作。
离网控制
支持客户端与服务器连接异常,在客户端允许离网时长范围内,继续生效最近一次登录帐号对应权限,支持客户端离网补时操作
文件互通
linux客户端密文与windows客户端密文互通,相互可以正常打开。
防泄密控制
透明/手动加解密
提供对受控程序在文件读/写操作时,实现文件自动、强制、透明加解密及手动加密;受控程序之间相互信任;受控程序与非受控程序相互隔离。
内容复制防护
控制用户是否可以将受控程序的内容复制粘贴到另一个非受控程序
审批集成
审批集成
Linux客户端支持审批功能
编译平台支持
基于开源代码编译应用程序
系统自带策略,关联用户后,可以基于开源代码编译应用程序加密解密,编译linux内核加密解密,androidos交叉编译环境加密解密
支持软件类型
支持办公类程序:
wps、office、evince、et、wpp、notepad、nano文本编辑器、VI文本编辑器、WIM文本编辑器、gedit文本编辑器;命令类程序:
commonuse;编译类软件:
compie、qt、less;管理类软件:
git、SVN
MacOS客户端
常规功能
安装卸载
支持全自动安装,卸载,支持覆盖安装,无卸载权限的账号无法卸载客户端,支持客户端开启关闭状态切换
透明加解密
提供对受控程序在文件读/写操作时,实现文件自动、强制、透明加解密;受控程序之间相互信任;受控程序与非受控程序相互隔离。
手动加解密
提供手动对文件、文件夹、电脑磁盘做加密或解密处理
文件安全域隔离
根据终端帐号所属文件安全域,划分为不同的安全域,可根据实际情况设置不同安全域产生的文件是否可以相互打开
账号绑定
支持终端与账号绑定,防止账号盗用,杜绝内部切换账号进行非法操作。
离网控制
支持客户端与服务器连接异常,在客户端允许离网时长范围内,继续生效最近一次登录帐号对应权限,支持客户端离网补时操作
文件互通
Mac客户端密文与windows客户端、Linux客户端密文互通,相互可以正常打开。
监控统计
支持客户端登录信息上传服务器,服务器在线监控终端登录状态
防泄密控制
透明加解密
提供对受控程序在文件读/写操作时,实现文件自动、强制、透明加解密;受控程序之间相互信任;受控程序与非受控程序相互隔离。
内容复制防护
控制用户是否可以将受控程序的内容复制粘贴到另一个非受控程序
窗口浮水印
控制用户打开密文是否显示文字水印,通过水印信息震慑用户拍照、截录屏等泄密行为,并根据水印信息进行追溯。
审批集成
审批集成
mac客户端支持审批功能
透明加解密支持软件类型
PDF相关
Preview
绘图软件
Photoshop、lllustrator
日常办公
MSOffice2019、MSOffice2016、iwork、Wps(1.40、1.3.1)、Keynote、Xmind8、XmindZEN
图片浏览
Preview
视频播放
QuickTimePlayer
1.2文档安全外发系统
外发制作
手动制作外发文件
提供手动右键直接对文件、文件夹进行外发制作
工作流制作外发文件
提供以流程审批方式实现外发文件制作
外发文件类型
明文制作外发
将企业内部明文文件制作成外发包文件
密文制作外发
将企业内部普通密文或授权文件制作成外发包文件
外发包验证方式
密码认证
外发包使用时需输入正确的密码
外协人员认证
外发包使用时需输入外协人员账号和密码
授权码认证
设置外发包使用时需与计算机硬件进行绑定,外发包使用时需输入正确的硬件绑定码才可使用
外发文件使用控制
只读权限
设置外发文件只能查看,不能修改,防止外发文件篡改内容。
打印权限
设置外发文件打印权限,防止外发文件随意打印,导致外发文件泄密。
打开次数
设置外发文件充许打开次数,在设定的次数内可以打开,次数耗尽外发文件自动销毁。
有效期限
设置外发文件使用有效期限,在设定的时间内可以打开,超时外发文件将自动销毁。
外发客户端
绿色版
外发文件浏览器无需安装。
支持软件类型
办公类、图形类、二维设计、三维设计、音视频文件、装配体类
支持操作系统
Windows
1.3移动终端安全系统
文件处理
密文浏览
支持在移动终端设备上无需解密即可正常打开、浏览加密文件,确保涉密文件使用的同时规避涉密风险。
支持Office、PDF、WPS、记事本、图片等常用办公类文档,无加装原有编辑软件
文件加密
支持在移动终端设备上选择任意文件进行加密操作,加密后的文件只可在安装有文档安全管理系统的PC机上或安装有移动终端安全系统的移动终端上才可正常使用
文件解密
支持拥有解密权限的用户直接在移动终端设备上选择加密文件进行解密操作,解密操作日志会被系统回传到服务器以备日后审计
移动审批
支持移动终端工作流审核,确保业务连续性
账号绑定
支持终端与账号绑定,防止账号盗用,杜绝内部切换账号进行非法操作。
安全增强
二次密码校验
可对移动终端上重要文件设置使用密码,使用重要文件时必须再输入一次正确的使用密码才可正常使用
指纹识别
可对移动终端上重要文件设置指纹识别码,使用重要文件时必须指纹识别通过后才可正常使用
通信协议加密
支持通讯协议加密,确保关键数据在传输过程不被黑客、木马等网络方式窃取数据,造成数据泄露
1.4文档内容泄密防护
内容复制防护
控制用户是否可以将受控程序的内容复制粘贴或拖拽到另一个非受控程序,造成数据泄密
拖拽防护
控制用户是否可以将受控程序的内容或加密文件拖拽到另一个非受控程序,造成数据泄密
OLE嵌入防护
控制用户是否可以将受控程序的内容通过OLE方式嵌入到另一个非受控程序
网络发送控制
控制用户通过网络发送(socket)方式向外发送数据
截屏控制保护
控制用户是否可以使用截屏键或截屏软件;截屏控制只防护涉密窗口,不影响非涉密窗口的显示
1.5打印控制
打印控制
打印权限
控制用户是否可以打印文件的权限
打印机黑白名单
根据打印机型号设置打印机,判断是否能正常打印涉密文档。
打印快照上传
控制客户端在加密文件打印时是否上传快照日志,提高审计的可溯性,快照支持全文件内容的快照上传
1.6水印防护
水印防护
水印位置
支持屏幕浮水印、窗口浮水印、截屏水印、打印水印
水印类型
支持图片水印、文字水印、二维码水印、点阵水印
二、产品基本功能
2.1组织架构管理
部门与用户管理
组织架构自定义
支持服务器本地设置部门与用户关系,设置用户的登录帐号、密码等信息
组织架构导入
支持从excel模板文件内导入部门与用户信息
域同步管理
手动同步
支持从AD域或LDAP域手动同步导入组织架构
自动同步
支持从AD域或LDAP域自动同步导入组织架构,可设置每天、每周、每月从AD域或LDAP域同步组织架构
第三方应用管理
组织架构导入
支持从第三方应用系统手动导入组织架构
用户登录
系统用户身份认证
支持系统内自定义账号登录,实现本地身份认证。
域用户身份认证
支持AD域或LDAP域帐号登录,实现域帐号身份认证。
2.2日志审计
日志类型
文件日志
可审计用户通过手动解密、解密审批流程解密、邮件审批解密、目录监控解密、批量工具解密文件,以及手动安全域调整、工作流调整文件安全域、移动终端解密、邮件白名单解密、手动外发文件、工作流外发文件、普通密文打印、授权文件打印、授权文件制作、授权文件变更、授权文件打开、授权文件复制、授权文件移动、文件粉碎的日志
管理日志
可审计系统管理员的操作日志
登录日志
可审计普通用户和管理员的登录日志
移动介质使用记录
可审计移动介质接入终端的日志
违规记录
可审计用户违规操作的日志
文件日志删除
支持金库模式验证删除文件日志
日志查询
可根据账号、姓名、IP地址、计算机名、操作类型、操作时间等字段对日志进行筛选,多个字段和筛选条件可组合使用
2.3数据集中展现
加密文件数量统计
统计管控范围内的加密文件数量,加密文件数量以各安全域进行统计,可直观地看到不同安全域的加密文件数量
可提供密码强度检测,用户修改密码时校验密码强度,强度达到标准后,方可修改
用户状态统计
可直观地监控到系统用户的登录情况,及时发现异常用户的存在
提供控制台账号锁定功能。
错误次数、锁定时长可自定义。
当终端密码输入错误次数超过预设阈值后,账号被限时锁定功能
解密文件数量统计
解密文件数量以账号进行统计,可直观地看到统计TOP10的用户及其对应的解密文件数量
提供用户违规登陆告警、账号密码错误超限告警、授权文件违规流转告警、外发文件超限告警功能
审批流程数量统计
审批流程数量以流程模板进行统计,可直观地看到统计TOP10的流程模板及其对应的流程数量
管理员可针对日志类型设置定期自动删除,可选范围包含:
文件日志、用户登录日志、管理日志、审批流程记录、移动介质使用记录、违规记录
外发文件数量统计
外发文件数量以账号进行统计,可直观地看到统计TOP10的用户及其对应的外发文件数量
提供流程审批文件预览、禁止流程审批文件下载、邮件通知审批人功能
授权文件数量统计
统计管控范围内的授权文件数量,授权文件数量以密级进行统计,可直观地看到不同密级的授权文件数量
2.5终端更新管理
手动更新
程序包管理
管理员可新增、修改、删除程序包,用作向客户端分发程序包。
一个程序包内可包含多个组件
程序包执行
分发范围:
可选择补丁包分发的终端范围;
生效方式:
可选择补丁包分发到终端后是即时生效还是重启后生效
手动更新记录
更新状态监控
可监控手动更新记录的执行情况,更新完成率,各终端手动更新是否完成的详细信息
执行状态控制
对未完成的更新记录,可中止整个手动更新任务或删除个别未更新的终端的手动更新任务
自动更新包管理
自动更新包上传
管理员可上传客户端模块包,用作向客户端自动更新模块
自动更新
自动更新任务
自动更新任务发布范围:
灰度发布、正式发布
自动更新任务支持范围:
支持模块包更新
当前版本更新记录
可监控当前版本自动更新记录的执行情况,更新完成率,各终端自动更新是否完成的详细信息
查看历史记录
可查看模块历史更新记录,包括更新时间和更新版本号
2.6系统自身安全
服务器
协议加密
使用https协议,保证通讯过程中的数据不被泄密和被篡改
漏洞扫描
经权威第三方安全检测,确保系统没有明显的安全漏洞
客户端
客户端卸载防护
提供客户端卸载防护,没有卸载授权将无法正常卸载程序
客户端进程防护
提供客户端进程保护及进程自动重启功能
客户端组件隐藏
提供客户端组件隐藏功能,客户安装路径不会被人为找到从而遭到破坏
3.软件功能要求(下文中带★号的为必须满足项)
3.1系统无感知体验
系统在推广、安装、使用时应做到用户无感知体验,尤其是在进行数据保护时,一般情况不得出现产品与用户的多次复杂交互,包括以下方面:
1、产品安装应具有无感知、静默效果,一旦安装登录后,能够达到无需再次登录的效果。
2、产品功能不得影响现有业务流程,应达到最小交互体验原则,同时在使用核心的数据防泄漏功能时,操作应具有透明化、强制化、易用化的特性。
3.2身份认证
能够提供多种认证方式,包括用户名口令、Token认证等。
支持我方现有用户身份体系架构,也可实现独立的用户增加、停/启用、修改和查询等管理。
具体需求包括:
1、支持定制化开发,与风帆有限责任公司现有用户身份体系架构对接,同步更新风帆有限责任公司现有用户身份体系的用户信息,并能根据我方身份体系系统升级进行定制开发升级。
2、支持单点登录,统一由风帆有限责任公司现有用户身份体系实现身份认证。
★3、支持本地自主创建用户与部门,并支持自定义部门人员,风帆有限责任公司现有用户身份体系的组织架构及帐号可与本地创建的组织架构及帐号独立或并存管理。
3.3文档加密
对于终端存储的电子文档提供手动加密和自动加密两种模式。
对于应用系统的重要业务数据,提供业务数据导出和下载到终端时的加密服务接口。
★1、支持手动加密。
手动加密指基于用户意愿的主动加密。
由用户根据工作需要对电子文档进行手动加密,用户对手动加密后的文档可控制其使用范围和使用权限。
★2、支持自动加密。
自动加密指基于公司统一安全策略的强制加密。
由系统根据监管要求、我方保密管理规定以及审批授权结果明确的安全策略进行强制加密。
系统可支持根据文件内容(含正则表达式和关键字)文件后缀、文件路径和指定磁盘分区等模式进行加密。
后台管理支持自动加密模式的组合和搭配,实现数据保护策略。
3、支持下载加密。
支持标准化接口开发和业务系统免改造两种方式。
实现当业务数据脱离应用系统服务器下载到内网终端时,可根据文件内容或文件类型等策略进行加密,加密文件上传到指定应用系统可自动脱密为明文后回传应用系统。
可灵活配置应用系统服务器的下载加密策略,支持配置应用系统服务器的IP地址、URL、IP网段等。
★4、文档加密支持类型包含且不限于doc、docx、xls、xlsx、ppt、pptx、pdf、txt、csv、bin、et、wps、dps、rtf、pps、zip、7zip、rar、jpg、bmp、tiff、png、dwg、dwf、dws、dxf等。
3.4文档审批与安全外发
文档审批包含文档外发审批和文档授权审批,支持敏感文档和加密文档。
系统自身具备文档审批功能,并支持与我方相关审批系统定制开发,实现文档审批功能,并能根据我方审批系统升级进行定制开发升级。
★1、可自定义配置批量审批功能是否开启、开启哪类用户(如作者、文档管理员、分发权限)等;应具备追加授权功能,可实现:
权限实时更新,要求对加密文档的使用权限进行实时的权限控制,文档所有者能够实时动态更改和回收加密文档权限,变更使用者的访问权限。
2、用户发送含有敏感信息的文档时只能看到自己上级的审批人;当用户为审批人的情况下,发送文档,可由处在同一层级的审批人进行审批也可以由上级审批人进行审批,构建主、副审批人模式。
★3、支持用户鼠标右键菜单选择文件主动进行外发审批申请,同时自动将文件上传到审批流程申请页面中。
4、可支持多个敏感文件上传、文件夹上传审批,可对上传文档和文件夹中的敏感文档弹出审批窗体,一键批量审批。
★5、支持外发文件制作和外发文件审批,可根据部门、人员等多维度授予外发文件制作权限,外发文件制作包括密码校验、机器码校验等方式,外发文件可设置打开次数、过期时间、水印、限制打印、截屏功能。
支持单个文件或多个文件外发,多个文件外发以单一外发包方式外发,方便传输。
3.5管理员权限管理
1、支持三权分立,系统对系统管理员、安全管理员、审计管理员等有明确的权限划分。
★2、支持系统账户的多级管理功能,支持建立各级管理员并能够灵活地对账户权限进行管理,有效地将管理工作分发到各分支机构,以满足大规模部署的需要。
★3、支持不同部门配置差异化的策略及对策略中参数进行调整,包括但不限于文档扫描策略、外发预警拦截策略、审批权限等。
各部门的权限可分发给各级管理员实施;
4、后台支持批量和自定义文档权限审批人,各级管理员可自定义辖内各部门的审批人和审批流程。
5、后台支持批量和自定义各部门数据安全员,数据安全员可查看本部门人员所用终端上的敏感信息扫描结果,进行相应处理。
3.6防截屏管理
1、可在系统管理界面设置安全策略,设置开关允许用户打开指定敏感级别加密文档后,实现禁止系统自带和第三方软件的截屏/录屏功能。
2、系统支持区分进程控制截屏,如禁止截屏的加密文档最小化或不在屏幕显示时,允许截屏。
★3、系统支持灵活控制截屏权限,如同时打开一个加密文件和不加密文件,将两个窗口并排或者叠加截屏,不加密窗口可正常截屏,加密窗口截屏无内容。
3.7水印管理
★1、支持屏幕浮水印、文档阅读窗口浮水印、打印水印、截屏水印设置,在所有终端设备(包括扩展屏幕)以水印的方式显示附加相关信息,实现屏幕截图、手机拍照图片的追溯。
2、通过系统配置,支持屏幕浮水印和文档阅读窗口浮水印及打印水印的开关设置。
3、支持与我方终端安全管理类软件对接,在安装客户端的终端设备开机后,在所有终端设备(包括扩展屏幕)以水印的方式显示附加后台设定的水印信息,水印信息支持用户账号、ip、mac、时间等信息并支持自定义。
4、支持明水印和点阵水印,水印的具体效果可配置,如间距、大小等,可获取完整水印信息。
3.8用户异常行为处置
★1、异常行为的定义可通过后台服务器策略设置,指定阀值;策略新增或调整时,相关策略自动下发到终端实时生效。
2、客户端按照策略对客户异常行为进行告警及阻断操作,用户异常行为处置方式包括阻断、告警、阻断+告警等。
3、当用户的行为达到策略配置的阀值时,触发异常行为处置。
3.9文档全生命周期跟踪管理
1、可对每一个加密授权文档,查询全生命周期,包括创建者、授权记录、操作记录等。
2、根据文档名查询后显示的结果,应包含文档的概要信息,如文档ID、作者、文档创建时间、文档大小等信息。
★3、加密授权文档的全生命周期视图内容应包含:
文档生成、修改、复制、授权、流转等全部过程中的关键信息记录及相应的表现形式。
3.10审计日志查询
1、审计管理员可以查询系统管理员在后台管理系统的操作日志审计内容,需包含管理员授权及取消授权、策略增删改、关键配置的调整等,需定位到管理员在什么时间、什么IP、什么机器上进行的操作。
2、各级系统管理员可以查询本机构下员工对文档的操作记录,需包含用户外发、拷贝、刻录、打印、复制文档等记录,需定位到用户在什么时间、什么IP、什么机器、什么文档上进行的操作。
3、各级系统管理员可查询本机构下文档的审批流程日志,需定位到发起人、审批人在什么时间、什么IP、什么机器、什么文档上进行的操作。
★4、对系统内存储的日志进行管理,可对日志(包含:
登录日志、授权文件访问日志、系统设置变更日志、用户操作行为日志)设定保
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 文档 安全管理 系统 技术 要求