行业需求

 

  海量的数据资源与流动规模推动数字经济的蓬勃发展，也带来巨大的安全隐患。数据安全已成为数字经济时代最紧迫、最基础的安全问题。2020年4月，中共中央、国务院发布《关于构建更加完善的要素市场化配置体制机制的意见》将数据定位为继土地、劳动力、资本、技术之后的“第五生产要素”，数据安全上升到国家战略高度。2021年9月1日，《中华人民共和国数据安全法》正式施行，这是我国首部独立将数据作为保护对象的基础性法律，该法与网络安全法以及即将施行的个人信息保护法一起，搭建起我国数据安全治理与保护的“四梁八柱”。

近年各企业资料外泄事件频发，网络高速化发展为内部信息外泄提供了便捷的手段，终端应用的不断丰富也为给企业的内部防控带来极大的难度，传统的安全控制手段如桌面管理、上网行为、网络防火墙等均无法有效的防止内部核心数据外泄，数据安全必须从信息源头抓起，才能有效的实现信息全生命周期保护。

风险分析

目前多数企业已经规划或开展信息安全管控策略及措施的实施，但在数据安全保护层面的措施仅限于传统网络安全、存储冗余、备份及集中化管理、桌面安全管理等层面，对于信息系统、业务平台、网络通讯、办公终端以及存储介质中的数据均以明文形式存在，在核心数据资产的使用、传输、保管、销毁的过程中存在较多安全风险，同时也加大了信息安全管理工作的难度，所面临的关键问题及风险统计如下：

数据风险

1、核心数据以明文方式分散储存，难于管理；

2、核心数据传输环节有较多合法或非法的输出途径且无法有效监管；

3、核心数据授权带离企业内部环境后面临外部扩散泄密风险；

4、人员离职时可以将数据资产带离公司环境，造成损失；

5、各类数据存储设备及介质由于使用、管理及处置不当引发的泄密风险等；

6、特殊研发场景需开放网络及USB等端口使用权限（如调试、仿真、烧录等），权限一旦开放将存在重大数据泄密隐患等。

 

人员风险

信息泄密事件的发生大多数和人密切相关，泄密的途径和方式也多种多样，可概括为如下三方面：

主动泄密隐患
主动泄密已经成为当前企业信息安全的首要问题，据报告数据显示，目前泄密事件78.9％的损失都是由内部人员主动泄密导致。目前企业面临的主动泄密隐患包括：

1、将企业内部文档私自拷贝外带及复用泄密(USB/网络/即时通讯/刻录)；

2、越权访问非授权数据泄密；

3、盗用他人账号及设备非法访问数据泄密；

4、伙同他人实现敏感数据跨安全域转移泄密；

5、通过打印机、传真机等将敏感数据进行介质转换泄密；

6、私自携带笔记本设备接入内部网络非法下载数据泄密；

7、对敏感数据的恶意传播及扩散泄密；

8、对核心应用系统的非安全接入及访问泄密；

9、不遵守管理制度的其他导致数据泄密的行为等。

 

被动泄密隐患
被动泄密是指导致信息泄密的人员在无意识或不知情的情况下所发生的泄密隐患，被动泄密已成为当前日益激烈的恶性商业竞争下的主要泄密隐患。目前存在的被动泄密隐患包括：

1、移动笔记本、USB存储设备遗失或失窃导致数据泄密；

2、邮件或网络误操作、误发送引起的泄密；

3、保密意识淡薄对敏感数据保管不当引起的泄密，如随意共享等；

4、感染病毒、木马后引发的敏感数据泄密；

5、将存放重要数据的机器、存储介质随意交与他人使用引发的泄密；

6、移动笔记本、USB存储设备和硬盘等维修、废弃时引发的泄密。

 

第三方泄密隐患
第三方泄密是指重要数据交付给合作伙伴、客户或其他关系密切人员后保管不当或故意分发所引起的第三方扩散泄密，是目前企业商业化合作需求背景下逐渐体现的信息安全问题。目前存在的第三方泄密隐患包括：

1、合作伙伴、外协人员接入内部网络非法获取敏感数据泄密；

2、应用维护、开发人员访问系统后台及数据库非法获取敏感数据泄密；

3、发送给客户、合作伙伴及其他关系密切人员的敏感数据保管不当或恶意扩散引起的泄密；

4、合同、图纸以及科研、学术报告等敏感资料外部打印、复印时副本拷贝泄密；

5、应用系统、邮件服务器以及数据中心外部托管时非法窃取泄密。

 

管理风险

1、现有安全管控措施不能有效预防核心数据主动、被动泄密风险；

2、合法授权用户对核心数据的使用无法审计；

3、出现信息安全事件后不能快速定位责任人；

缺乏有效的技术手段或平台落实核心数据资产的保护政策等。

解决方案

亿赛通电子文档安全管理系统以数据资产防泄密为核心，涵盖文档安全、终端安全、防勒索、安全态势、集团管控五大板块，实现对用户电脑终端、移动办公、各类应用系统上的数据从生产、存储、流程、外发到销毁进行全生命周期保护。

 

文档安全

基于亿赛通操作系统内核级加解密驱动技术，通过对电子文档进行加密保护、数据分类分级管控、数据使用过程保护、权限管理、外发保护、风险预警，全方位保护文档安全避免明文泄密风险。

 

终端安全

对用户电脑终端环境进行安全防护，包含：终端软硬件资产、移动存储介质管控、软件分发和应用程序管理。

 

防勒索

采用应用实体可信计算技术，通过对应用软件进程进行合法性检测与识别，实现合法应用软件可以访问指定文件类型，非法应用软件无法访问，从而防止勒索软件、病毒等恶意应用软件对用户文件的恶意破坏。

 

安全态势

详尽的终端用户操作行为及文档全生命周期分析，实现数据安全审计和事件可追溯。

 

集团管控

支持系统分布式部署，集团总部和分部数据互联互通。总部能够集中管控各个分部数据安全策略，能够汇总分部日志进行安全审计。

方案收益

数据安全防护体系的建立及实施，可以全方位地保护企业核心知识产权和商业机密，保证企业核心竞争力，为企业推进数字化进程保驾护航。通过实施CDG数据安全管理系统，企业将在以下方面得到收益：

 

核心知识产权的保护

CDG系统平台的建立，将对企业的核心数据资产，如：研究成果、设计图纸等提供全生命周期的有效保护。通过对核心数据的加密保护，保证核心数据非法流出企业外部时无法复制及使用，而在企业内部可以在受控范围内灵活使用。

 

商业机密的保护

企业日常运行中的商业机密，如：重要经营决策、战略发展规划、财务报表、日常管理文件等。这些数据可以在发布、使用过程中得到良好的控制和保护，通过精细化的授权及控制，防止非法查阅及复制等。

 

客户及合作伙伴的信任

目前国际商业市场对供应商及合作伙伴的信息安全管理有很高的要求。CDG防护体系的建立可以使客户及合作伙伴的信息得到有效的保护，赢得客户及合作伙伴的信任，为企业国际化市场、国内市场的拓展提供安全保障。

 

提升公众公司的形象

目前国家对上市公司的监管越来越严格，对上市公司信息披露的规范性，上市公司财务信息的真实性等有很高的要求，审计公司在对上市公司审计时，对信息的保密性、完整性有很高的要求。CDG防护体系可以充分体现企业在经营、财务及管理等信息的保护能力，赢得股东的信任。