一、项目简介
某军工集团公司是中国兵器工业集团的骨干企业，是当地最大的装备制造企业，公司努力推动信息系统在企业中的应用范围和应用水平，已具有多种现代化设计和制造软件系统，为企业生产工作提供了高效的支撑。
公司作为国家军工生产重点企业，也是保密要求非常严格的涉密单位，众多的应用系统既提供了便利、高效的生产能力，但也产生和存储了大量涉及国家秘密的重要电子文件数据，急需对这些电子文件数据进行保护，并能在企业内进行电子文件密级流向控制。
二、项目需求
公司多次召开项目研讨会和需求分析会，研究并总结了项目的主要需求和建设目标：
- 对指定进程创建的电子文件进行自动强制加密，以密文形式存储和使用。
- 对用户、密文分别设置密级属性，并进行密级流向控制。
- 建立企业共享文档库，并控制不同用户访问权限。
- 可以设置不同用户使用密文的权限，实现密文安全交换。
- 密文权限可根据需要进行权限申请与审批，审批流程可自定义。
- 密文需要外发时必须审批。
- 审批人可查看待审批文档内容。
三、项目建设效果
时代亿信采用SecureDOC产品构建集团公司文档安全系统，保护企业涉密电子文件的存储和使用安全。
3.1 整体体系结构
图：文档安全系统体系结构
体系组成说明：
文档安全服务器
采用时代亿信SecureDOC产品服务器端程序部署，主要完成用户信息、文档密钥、文档权限及文档审计日志等存储和管理功能。还负责提供企业共享文档库和文档交换中转站。
文档安全客户端
采用时代亿信SecureDOC产品客户端程序部署，包含用户操作控制台、文件加解密驱动、权限控制等组件。主要完成文档加解密、授权和权限控制等功能。
3.2 文件加解密
透明加解密：
文档安全系统采用先进的驱动级文档加解密技术，默认采用128位AES对称加解密算法，可以根据应用需要替换算法和密钥长度。同时，密文和密钥分离，密钥在服务端加密存储，客户端通过加密通道从服务端获取文档密钥和权限。
图：文件透明加解密示意
自动加密：
文档安全系统由管理员设置进程加密策略，在客户端同步该策略后，即可对用户计算机本地的文件进行自动强制加密。
图：进程加密策略设置
3.3 细粒度权限控制
文档安全系统对文件操作提供细粒度权限控制，具体如下：
阅读：控制文档阅读编辑：控制文档不允许被编辑
复制：控制剪切板，防止文档内容通过剪切板复制
打印：控制文档打印
打印水印：控制文档打印时是否加入水印
截屏：对常用的截屏软件和屏幕录像软件进行控制
在文件操作权限的基础上，还提供了如下用户延伸权限：
分发：控制用户是否可以对文件授权
离线：控制用户是否可以在脱离企业安全环境下使用加密文档
外发：控制用户是否可以发送文件到企业外部机构、客户、合作伙伴
解密：控制用户是否可以解密加密文件
通过上述细粒度授权策略，既保证文档在流转过程中的安全使用，又可以控制文档的使用权限，有效防止电子文件的非法传播。
3.4 密级流向控制
文档安全系统提供了密级设置功能，可对用户、加密文件分别设置各自密级属性。
图：密级流向控制
用户标密：管理员可对用户设置密级属性，用户的密级可分为普通、秘密和机密三个等级。
加密文件标密：加密文件的密级可分为普通、秘密和机密三个等级，用户进行密文安全交换时必须首先选择加密文件的密级，系统会根据指定的密级控制策略匹配用户和加密文件两者的密级，禁止低密级用户接触高密级加密文件。
用户地址树密级控制：用户在选择加密文件密级时，会自动匹配相应的用户地址树，即当加密文件为普通密级时，地址树中将显示全部用户；当加密文件为秘密级时，地址树中只显示密级为秘密和机密的用户；当加密文件为机密级时，地址树中只显示密级为机密级的用户。
3.5 企业共享文档库
文档安全系统提供了企业共享文档库功能，可集中加密存储企业内部文档。企业共享文档库采用了类似资源管理器的风格，不同部门可建立不同层级的目录结构，满足存储本部门加密文档的需求。同时，管理员还可针对不同目录设置不同权限，防止非授权的用户获取重要信息。
3.6 权限申请与审批
文档安全系统提供了权限申请与审批机制，既能满足用户使用密文的实际需求，又防止了用户被过度授权导致的被动或主动泄密情况发生。用户可对文件的如下权限进行申请：
文件解密：将加密文件还原为明文文件安全交换：在企业内部安全环境下向其他用户提供授权加密文件
文件外发：将文件制作为外发包发送给外部用户
权限申请审批流程由集团公司进行自定义，根据不同部门的使用需求自行定义审批节点和相应的审批人员。审批人员可以查看待审批文档的内容，以便对申请人所提权限申请做出正确判断。
四、经验总结
“某集团公司文档安全工程”的成功经验总结如下：
1.结合用户应用场景，选定自动强制加密方式保护电子文件数据安全，同时又可对部分用户设置手动加密方式，满足其办公需求。
2.采用一文一密、密钥和密文分离存储、客户端与服务器端安全通道通讯等技术最大限度增强系统整体安全。
3.文件透明加解密，不改变文件格式和关联程序，无需对用户培训即可使用。
4.对企业现有Pro/E、CAPP、AutoCAD等软件良好兼容。
5.设置用户和加密文件密级，并进行密级流向控制。
6.利用企业共享文档库集中存储加密文件，并设置不同部门或用户使用权限。
7.涉及到加密文件的权限变更与发送均经过审批流程后才能进行，审批流程完全自定义，以满足不同部门的实际需要。
8.时代亿信SecureDOC文档安全产品通过国家保密局、公安部产品检测，满足计算机分级保护技术规范。
