1.需求与挑战

当前，我国金融业普遍面临信息网络基础设施薄弱、金融服务日益依赖互联网开放系统从而增加遭受攻击或信息被窃取的潜在风险、管理和应急处置能力亟待提升、信息安全保障机制不健全等问题。尤其近年来，内部信息泄密频发，网络攻击形势严峻，金融业网络和信息系统安全运行面临比以往更多的挑战。这些挑战包括来自网络的恶意攻击，内部泄密，权限滥用，认证与接入控制，以及安全管理等。根据我们的调研，各种安全问题占客户数的百分比如下：

 

客户问题	关注此问题客户比例
内部信息防泄密	81.25%
安全体系规划，建设及实施	68.75%
安全运维及效率	62.50%
新技术商业模式安全问题（主要是移动办公）	62.50%
身份认证与准入控制	50.00%
审计合规	28.57%
外来攻击	28.57%

 

为应对以上信息安全问题，单一的产品或系统很难满足其对信息安全风险管控的需要，为此金融机构需要从如下几点加强管控：

 

 建设完善的准入机制与认证机制，保障终端的使用安全；

 实施有效的终端安全管理措施，最大程度的减少安全风险从终端传播至内网的可能性；

 实施完善的数据保护与隔离措施，适应网络融合建设带来新的信息安全风险挑战；

 运用适当的IT手段，规范管理目前文档数据的流转、管理，做到事前可审批、时候可审计，全面保护行内数据的安全性；

 保证信息安全措施的全行覆盖，全面管控行内各个高风险环节。

 

2.解决方案

2.1解决方案总体简介

华为桌面安全解决方案，坚持以提高外部风险防御能力与加强内部信息安全管控并重为原则，构建精细化信息安全管控体系，保护信息资产安全，保障业务持续运行，通过对终端准入控制、移动介质管理、数据隔离与保护、网络访问控制、终端安全管理、文档权限管控、文档集中存储和管理、文档与数据的共享管理、分策略细粒度审计等进行综合规划,实现对终端设备安全接入，桌面数据安全防护与隔离、文档安全管控、全过程的集中审计，帮助金融客户构建体系化的、全方位的、整体的信息安全管理和技术体系，解决客户信息安全的痛点，为金融企业的发展保驾护航。

 

如上图所示，方案由接入安全、终端安全、文档安全三个子方案组成，其中接入安全方案提供安全接入控制、安全策略管理、员工行为管理、补丁管理、软件分发和资产管理六大功能组件，并采用License控制的方式实现这些功能组建的搭配组合,通过检查、隔离、加固和审计等手段为金融企业提供网络接入控制、安全策略管理等一体化的内网终端安全防护与管理；终端安全方案可实现对包括PC、Pad在内的各类型终端的数据保护及隔离，做到数据防泄漏、可审计、集中管理；文档安全方案通过实时权限控制，提供安全授权下的机密信息共享，使信息所有者能够定义信息的访问者、访问方式和时间等，并记录文档操作日志，助力金融企业构建安全可控的文档安全管理平台。

 

整体方案特点：

 

 接入、终端、文档三层安全，全过程安全管控，业务数据不泄露；

 唯一支持多类型应用的平台，最完善的接入控制功能，终端接入全过程完整可控；

 集中式多层安全过滤设计、细粒度的安全审计，提供全方位的终端安全管理；

 强大的AES动态加解密技术、实时文档权限控制，降低主动泄密、黑客窃密、意外丢失风险。

 

2.2接入安全解决方案

需求分析

 

据统计，目前企业网络受到的攻击，企业信息泄密至少80%来自内部的终端系统，内部泄密对金融企业造成的危害尤其严重。终端是金融企业中数目最多，也是安全风险最为严重的部分之一。正因为如此，如何对系统中的大量终端进行有效管理，杜绝其对银行信息安全带来的巨大风险得到越来越多重视。

 

终端安全管理主要解决来自企业内部网络的安全威胁，涉及终端安全的各个方面,如非法接入和越权访问控制、终端安全策略检查、实时监控和取证、终端行为控制、资产管理等等。其主要需求集中在7大方面：终端用户管理；多种认证方式；安全接入控制和终端安全策略管理；员工行为管理；软件分发；补丁管理；资产管理。

 

方案概述

 

接入安全解决方案通过双重认证检查，包括对终端设备合法性与合规性检查、终端用户的身份认证和安全策略检查,实现阻断非法终端，隔离修复不安全终端；根据终端用户的角色实施细粒度的访问控制，保护业务系统的安全；对进入企业网络后的终端实施行为监控和设计，使终端安全得到有效控制，防范不安全终端给金融企业内网带来的安全威胁；构筑在检查、隔离、加固、管理的安全模型之上的终端安全管理系统，为企业提供持续的内网终端安全管理与防护。

 

方案特点：

 

 全面的网络准入控制方案,全方位保护企业内网安全---提供基于接入层、汇聚层网络设备（交换机、Wlan、防火墙等）联动的准入控制，形成有线无线一体化接入控制方案；提供802.1x认证、Portal认证、MAC认证等多种认证方式，接入用户可通过客户端、Web、Webagent发起认证，灵活适应企业雇员、合作伙伴、访客等各种网络接入用户的认证需要；

 丰富的安全策略，实时掌握现网终端的安全状况:量化安全风险管理---提供终端遵从性评分，实时监控接入终端的安全状态，让安全状态一目了然；可扩展的安全策略：提供业界最丰富的安全策略，并提供所见即所得的策略自定义工具，可根据用户需要灵活配置所需安全检查策略；

 强大的桌面运维管理，轻松实现对桌面终端的远程管理---提供全方位的桌面运维管理功能，包括资产管理、软件分发、补丁管理、远程协助等，协助用户集中运维；网络设备扫描，自动识别IP打印机、IP电话、IP扫描仪、部门专用服务器等非PC类设备，免除在NAC部署前后需要对该类设备逐一采集登记和维护的麻烦。

2.3终端安全解决方案

需求分析

 

银行的区域隔离面临巨大的挑战，一方面受到国际网络安全紧迫形势的冲击，黑客攻击活动猖獗，利用网络安全漏洞通过互联网入侵银行内部网络的事件时有发生，导致银行敏感信息泄露、数据遭删除和篡改、系统长时间中断；另一方面国家政策推动银行的信息安全建设，要求商业银行加强敏感信息保护。金融机构作为信息安全敏感单位，数据安全尤其重要，不同区域不同安全级别需要采用区别性安全防范手段。

 

 不同权限，不同区域的隔离：涉密数据防泄漏，防止高密区的数据泄漏到低密区；

 支持各种终端接入，保障接入和终端安全；

 支持移动办公需要，同时防止内网文件及数据非法复制到外网终端；

 防止上网行为不规范,导致的被动泄密隐患；

 终端异常或网络中断，不影响业务应用；

 数据集中存储，统一运维。

 

方案概述

 

金融终端安全解决方案坚持以合规性、有效性、易用性、覆盖全面的设计原则，采用集中式多层安全过滤设计，保障关键数据不落地，内部共享信息只存储在指定区域，同时满足移动办公需要，实现数据统一管理。整体方案包括安全桌面解决方案、桌面云解决方案与安全审计解决方案。针对金融机构现状，对于信息保密等级高或需要资源动态分配的环境（如研发区）等建议采用桌面云解决方案；对于低密区或有移动办公需求的环境（如笔记本）建议采用桌面云软终端或安全桌面；对于有开放性要求并部分涉密的环境（如移动PAD）建议使用安全桌面解决方案。整体方案可同时覆盖老式固定PC和新式移动设备，实现“数据防泄密，行为可审计，策略集中管理”。具体以桌面云达到数据不落地，安全桌面技术达到数据落到特殊安全环境并保证移动性；同时以安全审计解决方案帮助客户实现文档、业务、运维操作全过程可审计(包括文件交换、文件打印、邮件外发、敏感业务操作和运维过程的审计),真正做到监控与运维一体化。

 

方案特点：

 

 防泄密、高可靠---领先的虚拟化技术，采用集中式多层安全过滤设计，根据安全等级进行分区分域管理，预防为主，监控与审计为辅，风险降到最低。支持移动办公需要，遵循信息安全基线，建立独立可控制的移动办公环境，满足移动办公安全性与便捷性；

 集中管理---集中的设备管理与数据管理，统一的身份、权限和设备管理；统一运维入口、集中帐号管理；客户端设备集中管理；信息安全策略集中管理；系统运维集中管理 ；

 可审计---根据客户安全策略进行不同细粒度的审计，记录关键业务操作、文件交换和运维操作过程，快速的故障定位和责任追踪；并为第三方审计机构提供审计报表和原始日志。

2.4文档安全解决方案

需求分析

 

据调查显示，信息泄密已成为当前企业面临的TOP10安全威胁之一，而不受权限限制的阅读、修改、分发文件是导致信息泄密的重要原因。从目前来看，内部泄密主要是通过如下途径：

 

1、内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走；

 

2、内部人员通过互联网将资料通过电子邮件发送到自己的邮箱；

 

3、内部人员未经授权将资料打印后带出；

 

4、将公司电脑直接带回家中或将自己的笔记本电脑带到公司，接入局域网，窃取资料；

 

5、电脑易手后，硬盘上的资料没有及时删除，导致泄密；

 

6、随意将文件设成共享，导致非相关人员获取资料；

 

7、权限分发错误，给无关的人发送了文档并且把权限给了他。

 

解决以上问题的有效方法是结合文档安全管理系统技术进行文档权限控制：

 

 将公司的机密文档加密保存在硬盘里，不允许硬盘存有明文的公司机密文档，即使硬盘丢失、转手或者被盗也不会导致文档内容丢失；

 严格控制机密文档的权限，限制文档的离线阅读权限，即使通过邮件发送到公司外部，连接不到公司的内部服务器也无法打开文档和难以用其它方式获取文档内容；

 对于公司的机密文档，限制普通人员的打印权限；

 对于非法或者由于不小心导致的共享，没有权限的人获取到的只是密文，难以解密还原成明文文档；

 使用强度大的加密算法对文档进行加密，使丢失或者被盗的文档基本无法可解密；

 对于机密文档，需要严格控制每个人的权限和权限的有效时间；

 对已授权的文档权限支持实时回收，使损失降低到最小甚至无损失。

 

方案概述

 

华为文档安全管理系统是一款功能强大且易于使用的文档权限管理软件产品。通过实时权限控制，为企业提供安全授权下的机密信息共享机制，使信息所有者能够定义信息的访问者、访问方式和时间等，并记录文档操作日志。而且不论文档转发到什么地方，包括公司内部、外部网络（合作伙伴、客户等），访问权限始终附加在信息上，实现文档权限的永久性控制机制。系统的高稳定、可靠性，以及良好的扩展性，能同时满足企业其它应用系统文档加密和授权需求，助力企业构建安全可控的文档安全管理平台。

 

方案特点：

 

 强大的动态加解密技术和档权限控制，为文档提供更高安全性---业界领先的128位AES驱动层动态加密技术，运行速度快，加解密操作更稳定，保护敏感文档信息；无论文档分发、保存到何处，访问权限始终附加在信息上，实现文档权限的永久性控制机制；文档所有者都可以动态更改和回收权限，权限信息将实时发送到DSM服务器上，并立即生效，动态控制使用者的访问权限；

 完善的权限管理，灵活授权---只读、修改、复制、完全控制、分发、打印、权限有效期等多种权限类型，全面覆盖权限需要。全局组策略、本地系统组策略、客户端策略模板多种组策略与策略模板，实现文档权限统一管理；

 丰富的文档支持格式，满足企业各类业务需求---支持常用主流文档格式，包括MS Office，Adobe Reader；全面日志审计与用户管理功能，满足法律、法规要求，有效追踪文档泄密渠道；支持帐号与部门管理、跟踪记录所有文件操作日志，包括创建、阅读、修改和打印等。

 

2.5解决方案价值

 降低内部机密信息泄漏的风险---根据业务划分，安全性的不同要求，将内网细分为不同的区域，配置不同的策略进行隔离；一体化、多层次、全方位的终端安全管理，实现银行内网从被动响应到有预见性、主动性的防御方式转变；高安全、高可靠、高灵活性、高效率的文档管理方案保障银行文档安全；

 最简单，最安全，最方便的远程接入移动办公---无需安装任何客户端软件即可实现对企业内网资源安全访问；支持Web Server安全访问、文件共享访问、Notes、Exchange、FTP、Oracle、Telnet、SSH、RDP、VNC等应用类型的访问；基于用户名密码的认证授权，同时支持多种主流的认证和外部授权平台；支持3DES、AES等加解密算法，为远程访问提供端到端的安全保障；

 打破安全孤岛，让安全管理变的简单，轻松，有效---高达160多种设备日志识别，对于非通用设备的日志提供快速定制识别；强大的事件关联分析能力，对常见的安全威胁进行识别和告警；从安全咨询、方案设计、安全策略制定到实施落地的完整解决方案；

 最全面的运为审计，有效规范银行安全管理，降低合规性风险---统一访问入口，集中权限控制，实现运维操作的规范化管理；完善组织的内控与审计体系，从而满足合规性要求，使组织能够顺利通过IT审计；有效防止了误操作、滥操作以及越权访问对核心业务系统造成的破坏；快速的故障定位，提高故障处理效率，提供精准的责任鉴定和事件追溯；构建由内而外的安全管理机制，完善银行信息化安全管理系统和制度。