别让文档成为泄密源头

别让文档成为泄密源头（计算机世界报 2007年12月24日第49期 B14-B15）
2007-12-21 15:10:17
（池小宁）
文档加密控制作为保护企业经营信息、捍卫知识产权的重要手段，越来越被企业所重视，但文档加密项目实施和风险控制的难度，也让许多企业管理者头疼。有的企业在风险控制方面没有做好，甚至导致项目失败。文档加密产品实施的难度可以说是信息安全产品中最为复杂和难以控制的。首先，和防火墙、邮件过滤等网关类产品比较，文档安全产品需要在每一台计算机上部署客户端，使它涉及的技术和管理方面的难度大为增加; 其次，和资产管理、终端安全、防病毒等终端类产品相比较，文档加密产品又和企业的文档流转、业务流程有密切关系，已经远远超出一个“单纯”技术产品部署的范畴。
精细规划是前提
谈到流程，大家一定会联想到ERP系统，文档安全的项目虽不像ERP系统那样涉及到那么多复杂的企业业务流程，但其使用的人数有过之而无不及。试想一下，在部署产品以前，我们考虑好以下问题没有:
文档加密以后，对现有的业务流程有什么影响？
文档加密以后，我们如何和客户、合作伙伴交互文档？
不同的分公司、业务部门之间是否要限制使用？文件又如何流转？
普通员工知道哪些文档需要加密吗？加密的文件哪些人可以使用呢？
谁能对文件进行解密操作？需要什么样的审批、审计流程呢？
如果产品部署以后，才去面对这样的问题，项目离失败已经不远了。我们必须事先规划好，做好管理上的准备。图1是文档安全项目建设规划模型。
●  业务需求
首先应分析企业业务对文档加密的需求，包括核心的知识产权、企业赖以生存的核心文档、企业重要的经营信息等。确定这些信息需要什么级别的保护，对内、对外的安全要求又是怎样的？
●  业务解决方案
在分析完业务需求后，需要设计业务解决方案，业务解决方案由一系列的业务流程组成。业务解决方案需要考虑以下问题: 文档加密管理与现有的业务流程关系如何？文档在企业内部如何流转？文档对外怎样交互？文档如何在企业内发布？文档解密如何控制和审计等？在文档的全生命周期中，要考虑的问题很多，总之，在每一个环节，必须从人、流程、技术三个维度进行保障（图2）。
●  管理规划
管理方面的规划主要由管理规范组成，主要包括: 文档安全管理的组织、文档各操作环节的岗位责任及技能、文件的密级划分、文件的操作流程和操作规范、审计及考核等方面。
●  技术规划
技术规划主要包括产品的技术路线、产品的功能、产品的部署方案、产品的集成和二次开发、产品的日常维护等方面的内容。
产品筛选是基础
选择什么样的文档加密产品能满足企业自身的业务需求是文档安全项目成功的重要基础。目前国内市场上的企业级文档加密软件的品牌有200多个，客户端主要支持微软的Windows操作系统。由于文档加密市场的迅速扩张，每年都有大批文档加密产品的研发企业诞生，用户往往在众多的品牌面前不知所措。每个加密产品都有自己的特点和优势，同时又有许多不尽人意的地方。选择什么样的产品能满足自己的需求呢？下面从产品的技术路线和产品功能两方面进行介绍。
●  文档加密产品的技术路线
从文档加密产品的技术路线，能够判断一个产品能否长久地满足企业不断发展的业务需求，以及功能的可扩展性和成熟完善的能力。以下分析主流的加密技术路线。
微软Windows采用事件驱动的机制，通过消息的传递来实现对应用的管理，文档加密技术就是利用Windows 的这一机制工作的。这一技术监控Windows打开（读）、保存（写）文件的动作，并利用适当的技术进行加密、解密工作。微软为32位CPU定义了4种（0～3）特权级别，或称环（ring）。
其中0级为特权级，3级是最低级（用户级）。运行在0级的代码又称内核模式，3级为用户模式。Window允许编程人员在内核级和用户级对文件的读写进行管理，内核级采用虚拟驱动的方式，用户级采用Hook API（俗称钩子技术）的方式。加密产品主要有采用钩子模式和采用驱动模式这两种技术路线。两种加密技术路线工作在不同的层面，其产品的应用效果、产品的开发难度、产品的稳定性方面各有特点。
采用钩子模式开发相对容易，产品易于稳定。由于控制的层面较高，很多底层的操作难以实现，对各种应用程序的支持需要专门的处理，容易受到应用版本的限制。一旦应用修改了读写方法，如使用Office软件、Autocad软件的不同版本，加密软件就必须跟着修改，新的软件或者版本的引入，也必须进行针对性的开发定制。
采用驱动模式是从更低的层面进行控制，可以获得更高的安全性和效率，但是技术难度很大，底层的操作需要考虑系统各个层面之间的协调处理，产品的稳定周期较长。由于驱动中程序的健壮性更多由程序本身决定，难以依赖操作系统对错误进行处理，如果这个驱动存在缺陷或者被某些程序异常终止，在系统底层无任何保护措施的情况下，其直接的后果就是系统蓝屏崩溃。
●  文档加密产品的功能
企业对文档加密产品功能上的需求可以分为两大方面。一是对外防范的需求，企业希望文档在非法外传后，外部人员不能打开，即使打开了也是乱码，不能识别; 另一方面是对内防范的需求，文档在企业内部能够按敏感程度授权使用，没有权限的人不能打开，有权限的人根据权限确定是否能够阅读、打印、修改、再授权等。当然，以下方面也是很重要的需求: 加密强度应足够高，不容易破解; 加密、解密效率高，用户能够接受; 自己的员工可以在授权后把文档带出使用，方便业务往来等。
目前主流的文档加密产品在功能上可以分为透明加解密和权限管理两类。透明加解密类产品以PC为主体，在安装客户端的PC上，可以根据策略对指定类型的文档自动进行加密解密操作。也就是说文件保存时自动加密，在磁盘上的文件处于加密状态; 当打开文件或者对文件进行编译操作时，自动解密，可以正常使用。透明加解密的优点是文件产生、保存时自动进行加密，不需人为进行加密操作，且不会有文档遗漏，安全性高，加密效率高;  但它也有很大的局限性，由于同一类文档（如Office系列）不论是否机密都被自动加密了，文档对外交互需要大量的解密和相关的审批操作，文件流转的效率大大降低; 另外，这类加密技术对内部没有区分权限，所有的内部人员都有相同的阅读、修改等权限，从另一个层面也不利于信息的保密。透明加解密产品适合于需要对文档进行全生命周期保护、对外文件交互较少的企业或者核心部门使用。
权限管理类加密产品以人为主体，新产生的文件不会自动加密，需要人为地进行加密和授权操作，使用时需要先认证身份，根据授权得到对文档相应的操作权限。这类产品的优点是只对重要的文件加密和授权，不影响普通文件的操作，总的使用效率高; 同时，可以对不同人授予只读、打印、修改等权限，文件的安全控制精细化。这类产品的缺点是对人的要求高、对企业的管理要求高，如果员工不主动进行加密操作，文件就是明文。员工进行加密操作时，必须能够判断一个文档该给什么人授予什么样的权限; 其次，实施这样的系统时需要企业有一个统一的人员信息库作为认证源，实施周期和难度是一个挑战。权限管理类加密产品适合内部分公司、部门较多，内部既要信息共享，又需相互保密的大型企业使用。
可喜的是，近一两年，已经出现了既能够实现透明加解密方式又能够实现权限管理方式的加密产品，对于企业来说有更大的选择余地。这样的产品能够满足企业内部文档需要分权控制、核心部门又要对文档严格控制的双重需求。
深入部署是关键
选择一个适合的产品，并不等于能用好这个产品。文档加密类产品的部署不仅是技术上的实施，更为重要的是业务流程上与企业运作的融合。特别是对于大型企业，用户数量多、透明加解密和权限管理综合使用的情况下，部署阶段的准备工作和风险控制显得尤为重要。以下控制要点可供参考:
●  区域的合理划分
哪些PC或者用户需要使用透明加解密控制？哪些需要权限管理类控制？它们之间的文档怎样传递和转换？区域划分直接影响产品部署后的流转效率和产品能否真正满足业务对文档安全控制的需求。区域划分的原则要基于业务及文档的流转规律，和地域没有必然的关系。
●  流程的宣导与人员培训
加密客户端部署后，员工该如何操作？员工是否有基本的知识和技能使用客户端软件？遇到异常情况该如何处理？这些问题是产品能否被用户接受的重要因素，部署前必要的流程宣导和对不同岗位员工进行针对性的培训十分必要。
●  产品测试与试点
所有的客户端软件部署都会涉及到兼容性问题，因为企业的软件环境一般都是很复杂的。在正式部署前，搭建测试环境，在企业典型的用户PC上进行试点可以事先发现兼容性问题，并找出解决办法，为全面部署提供保障。试点及测试主要包括软件性能测试、功能测试、流程测试等几方面。（本文作者系深圳市易聆科信息技术有限公司总工）
 
作者简介
池小宁，在大型跨国企业负责信息安全及IT系统规划、建设、运行维护等工作多年。有八年信息安全专职工作经验，在信息安全管理体系、信息安全技术解决方案方面有丰富的实践经验。现为专业的信息安全咨询顾问，资深培训讲师，专注于中国企业信息安全建设的实践探索。为多家大型企业（如平安集团、万科集团、中集集团、腾讯科技等）提供信息安全管理体系咨询和技术解决方案等方面的咨询服务。