1.概述

　　1.1背 景

　　信息是财富，安全是保障，网上信息资源共享、网上协同办公等信息系统建设给党政机关和企事业带来了很多便利，极大地提高了工作效率。但是随着封闭系统的开放化程度提高，网络信息系统互联互通和协同性的加强，越来越多的信息安全问题也同时浮现出来。网络所具有的开放性、共享性等特点，使得分布在各应用系统和个人电脑中的重要信息资源处于一种高风险的状态，应用系统和业务数据很容易受到非法访问和恶意攻击，最终造成泄密、业务数据丢失，给用户造成重大损失。如何有效地保护这些重要的网络信息资源，对应用系统和业务数据的访问进行有效的管控，日益成为网络信息系统应用中的关键重要问题，从某种意义上说，这是一个关系到信息化大规模深入，信息系统建设能否顺利实施的关键因素，目前网络信息安全隐患越来越突出，信息泄密事件时有发生，黑客攻击或商业间谍入侵、木马病毒肆虐、内部人员有意或无意的泄密行为，以及存储大量数据的硬件被盗或丢失，都可能直接导致泄密情况发生，并给单位造成极大的经济与声誉损失，信息安全也成为各网络应用单位面临的难点问题，而且随着各单位与个人对网络和电脑依存度越来越大，这种安全威胁和影响也越来越大，甚至已经成为当今网络应用中最敏感的问题之一。往小的说，关系一个单位的生存和发展；往大的说，可能对国家大局和长远利益产生重大影响。

　　缺乏可信的安全措施，信息不敢数字化，不敢将数字信息上网

　　信息系统建设的一个重要目标就是要实现各个部门之间的网络互联、信息互通，业务互动，信息共享，惟其如此才能保证业务处理的高效开展。但由于缺乏可行的安全措施，用户害怕信息化后出现泄密和数据丢失问题，而不敢将信息上网进行信息系统的互联互通、网上协同办公、建立数字信息资源系统和实现信息资源共享。

　　口令繁多、多次登录

　　随着信息技术和网络技术的迅猛发展，企业内部的应用系统越来越多，由于这些系统互相独立，用户在使用每个应用系统之前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码，这给用户带来了不少麻烦。同时，由于口令极易被非法获取或截获，造成系统被非法访问，系统不安全。

　　用户信息分散管理，管理困难且不安全

　　用户在所有应用系统中都存在用户信息，而由于对用户信息的管理没有统一的规划设计，造成一个用户在多个应用系统中有不同的用户信息，用户岗位变更或增加应用系统用户，要重复在多个应用系统中变更用户信息，这既烦琐，又存在遗漏变更而造成影响用户履行新的岗位职责或没有收回老用户资源访问权限而出现安全问题。

　　没有统一的、规范的、合理的的授权信息

　　在现实环境中，每一个工作人员都是依据其组织机构（单位）、部门、职务、岗位、级别等角色信息执行其业务操作。而每个人员的职务和级别任命是由专门的人事部门负责。在信息系统世界中，每一个人的应用系统资源的操作权限是由管理员进行分配的，每个人的职务、岗位等角色信息分散在各个系统中，且叫法不一。这就造成了这些角色信息的混乱、不一致，同时进行修改维护也需要在每一个系统中进行更改，且在信息系统中都由应用系统管理员管理，不符合党政机关管理的实际、存在安全隐患。

　　1.没有统一的信息资源访问控制

　　在众多的应用系统中，哪些用户能够进入哪些应用系统需要管理员在每个应用系统中进行配置，既不方便容易出错，同时也不安全。这就需要一个统一的资源访问控制系统进行应用系统信息资源的统一访问控制，降低工作强度，提高安全强度。

　　1.2.6没有文档数据端安全防护防泄密措施

　　许多单位采取拆除光驱软驱、封掉USB 接口、限制上网等方法来尽可能的减少信息交换，以达到信息保密的目的；或者安装一些监控软件，监控员工的日常工作，使其不敢轻举妄动；或者安装各种网络信息安全防护产品，如防火墙、入侵检测、防病毒产品等来防范黑客攻击和病毒侵袭。但人们很快发现，网络信息安全不是绝对的，没有任何一个产品或者技术能够绝对确保自己的网络不被黑客攻击和病毒入侵。同时，限制上网、封闭USB 接口、拆除光驱软驱、安装监控软件等等做法一方面严重影响工作的方便性，并容易引起员工的抵触情绪；另一方面还是无法根本杜绝有意的内部泄密行为，同时存在因噎废食之嫌。大量事实也证明这些方法效果不是很好，重要的文件依旧会泄漏。

　　1.3系统应用领域

　　本解决方案是一套高扩展性、可定制化的综合安全解决方案，系统集密钥管理、用户和授权管理、单点登录、访问控制、身份验证、数字签名加密、文档数据防泄密和安全PDF版式公文、打印控制、程序控制、文件自动透明加密、安全审计等多种技术于一体，完成用户统一身份认证和信息资源的统一认证、统一授权功能，为各部门之间的信息共享提供一个安全可靠的认证服务和授权服务平台；同时对单位内部的图纸、文件、设计文稿、重要数据或信息等敏感电子文件从创建、分发、流转、审批、归档乃至销毁的全过程进行控制和保护，确保这些文件不被泄漏，即便被黑客盗取或内部员工有意外泄，获得者也无法打开，切实保障单位的信息安全。

　　系统可以广泛应用于需要验证用户身份、限制用户权限、查证用户行为、控制用户访问、以及限制文档访问范围的领域：

　　? 党政机关和军队：涉及国家机密的文档（公文、机密文件、会议纪要、统计数据、军事情报等）。

　　? 金融机构：包含大量敏感信息和商业秘密的文档（投资信息、大客户信息、上市公司年报等）。

　　? 医疗行业：带有不允许泄漏敏感信息的文档（医案、病案、病人信息、图片等）。

　　? 咨询行业：含有商业秘密信息的文档（调查报告、咨询报告、商业计划、客户资料等）。

　　? 制造行业：需要限制共享对象的企业文档（设计图纸、财务预算、商业计划、价格体系、采购成本、合同定单、物流信息、管理制度等）。

　　? 研发行业：需要保护知识产权的文档（源代码、设计文档、知识库等）。

　　2.系统目标

　　? 统一管理数字证书和加密密钥（PKI CA公钥基础实施）：管理用户数字证书、证书吊销列表和加密公私钥对。

　　? 统一管理用户信息和授权信息：从CA获得基本用户信息，并分解成用户所在的行政区划、单位信息，配置用户所属部门、职务、岗位、级别、组织机构代码（身份证号码）、级别、秘密等级等用户信息，配置用户角色，配置角色可以访问的IP地址、服务等粗粒度资源，向应用系统、单点登录系统和下级统一用户信息和授权信息管理系统发布用户信息、用户角色信息和角色资源授权信息。

　　? 实现单点登录统一身份认证和粗粒度资源访问控制：对用户登录应用系统进行基于PKI密码技术的强认证，从用户和授权信息管理系统获得IP、服务端口等粗粒度的资源授权信息，进行资源访问控制决策，禁止非法用户访问单点登录系统所保护的网络信息资源。

　　? 实现基于角色的应用系统细粒度资源访问控制：管理细粒度的应用系统和客户端信息资源，包括：功能模块、信息目录、信息条目、操作按钮，细分到对信息和文档的阅读、增加、删除、修改、复制/另存、打印等操作授权控制，进行用户访问信息资源的决策，防止非法用户对应用系统和客户端信息资源的非法访问。

　　? 进行业务数据数字签名、加密密码安全服务：确保业务数据和文档的真实性，防止窃取敏感信息和涉密信息

　　? 客户端数据加密防泄密和安全PDF版式公文：使用文档和存储介质加密、虚拟硬盘、文档操作集中授权等技术防止对文档的非法阅读、发送、修改、复制/另存、打印、脱密，防止在硬盘上残留涉密文档数据。

　　? 负责安全审计：对用户受控的信息资源访问进行审计

　　3.系统总体结构

文章作者：安信天元
责任编辑：钟燕