ERM产品概述

思智泰克公司在ERM（企业权限管理Enterprise Right Management，以下简称ERM）理念的指导下，最终研发出了一套针对于企业级应用的信息安全管理系统——思智ERM文档管理系统。

目前ERM可以解决以下问题：企业内部人员泄露数据；企业数据遭人为破坏或者电脑及存储介质丢失造成数据无法恢复；移动办公或外出时缺乏保护造成数据泄密；企业发生设计资料等核心数据泄密却无法找到责任人；因工作需要敏感数据给合作伙伴后无法控制等等。

本系统通过对企业中各类机密数据信息的加密安全保护，显著提高企业中核心数据资产的安全防护能力。同时在对文件安全保护的基础上，又通过对剪贴板的有效控制，有效切断内部人员泄漏企业机密信息的途径，防止内部窃密事件的发生，而且一旦发生窃密事件，管理者能够通过日志功能，详细追查到窃密的人员、文件信息、途径等信息，以避免窃密事件的再次发生，从而能在很大程度上提高企业对机密数据信息的安全管理。

本文档主要介绍了思智ERM系统的设计思路、工作原理、系统关键技术、主要功能和技术指标等内容。通过本文档，可以快速有效地帮助读者对思智ERM系统的技术实现有一个系统和全面的了解。

ERM产品体系结构

思智ERM系统由服务器、控制台、客户端三部分组成。思智ERM系统采用C/S+B/S的设计架构，即服务器端与客户端以C/S结构工作，控制台与服务器端则是以B/S方式工作。见下图所示系统结构示意图：

? 服务器：服务器是思智ERM系统运行的基础。

? 控制台：即一个系统管理和维护的平台，是客户端与服务器连接的桥梁。为实现集中统一管理的目的，思智ERM系统采用集中化的管理方式和基于角色的权限管理体系，通过该控制台管理员可以完成对客户端管理、机构用户管理、策略配置和应用、服务器远程备份、日志管理、系统设置等功能的配置及维护。

? 客户端：客户端主要是通过执行控制台设置的各种安全管理策略，实现对本地机密文件的各种安全管理，为企业员工提供易用、稳定、安全的安全信息终端。

模块构成：思智ERM系统从功能上划分，可以分为用户管理、策略管理、文件访问权限管理、日志审计管理、文件备份管理、服务器远程管理、客户端等7个主要功能模块。

思智安全方案优势

先进性

思智泰克企业级信息方案的总体设计充分考虑了各类企业各种不同的实际需求和安全策略，并且考虑了其当前各环节管理中数据处理的安全性和便利性。在设计中融入基于模块化设计的思想，使整个系统具有高度的可扩展性和可定制性。系统能够与各类企业已有的基础业务系统良好结合。同时在系统设计中使用可扩展的设计方式，为系统将来的扩展提供了一个良好的基础。

本方案产品是采用可扩展的系统结构设计，研发完成的企业级的信息安全管理系统。系统在设计中将融入基于组建化和模块化设计的思想，使整个系统具有高度的可扩展性和可定制性。

本方案产品采用C/S+B/S的结构设计，管理员在内网中任意一台可以连接服务器的机器上，即可以完成统一的浏览器界面操作，进行企业的管理工作，方便相关管理人员使用。设计风格上以“简洁方便”为宗旨，操作界面完全从用户角度出发，减少获取信息的操作层次。本系统界面友好、美观，操作方便。在颜色、字体、标题、操作提示信息等均采用了标准化、统一化的风格，降低了对使用者计算机知识的要求，易学易用。 考虑到企业安全需求的变化性，本系统在设计上考虑到最小的修改来满足企业在安全上的要求。整体上，系统采用了模块化的设计，新的模块可以进行便捷地动态加载，扩展非常方便。系统客户端安装可以采用远程推送+本地安装+域脚本安装，多种安装方式可以灵活选择并组合使用，更大程度上提高了管理效率。

兼容性

本方案产品支持Windows的各类系统。同时可访问各种大型关系数据管理系统，如Mysql、Oracle、Sybase、DB2、SQL Server等，实现各类系统和数据库之间的信息交换。

安全性

本方案产品运用了PKI安全认证技术解决系统中所涉及的授权问题、加密问题。系统整个架构可以容纳各种安全协议，适应系统结构的各种变化。 同时系统中的安全管理模块可帮助各级企业，根据各部门的不同权限，设置严密的文件安全策略，保证机密文件及数据的使用安全。 其次，为了满足不同企业对安全的不同要求，在身份认证方面支持USB电子锁、智能卡、指纹、声纹、虹膜等多种先进的终端用户信息认证方式。与传统的用户名/密码登陆手段相比，硬件认证设备具有更为突出的安全性。另外，作为信息安全产品，从传输通道安全－密钥不能被截获、本地安全－不能被轻易破解、备份文件安全－即使系统管理员也不能随意查看等各个环节都体现着系统的安全性。

稳定性

在本方案产品的设计和实现中，我们推行按照软件工程标准体系和ISO9001的软件质量标准体系、软件能力成熟度模型CMM来进行产品开发和实施过程，确保系统的标准化。同时基于在信息安全方面的丰富经验，设计中本系统采用模块化设计，可以根据企业的实际需求增加或减少模块。无论用户的需求发生何种变化，本系统都能够根据变化后的实际需求对系统进行调整，以适应新的企业管理流程。提高企业的信息化安全管理水平，帮助企业领导者借助计算机管理工具及先进的手段来提高企业的安全级别，同时也给系统的稳定性提供了良好的运行机制。

易用性

? 支持复杂网络应用环境

? 支持主流操作系统

? 灵活与其他系统结合应用

? 与主流杀毒软件无冲突

? 支持跨网段网络环境

? 支持域管理的管理方式

? 支持VPN的网络连接方式

? 与财务系统结合应用

可维护性

本方案产品基于企业的管理流程，支持管理流程的灵活定制，能够对不同的业务系统与模块进行整合，统一管理、调度。此外，本系统支持组织结构的灵活定制，能够方便地调整用户组之间的隶书关系，方便地将用户从一个用户组调到另一个用户组。

可移动性

本方案产品可满足各类企业的远程、移动办公的需要。企业人员通过高速网络连接，实现对本系统的无障碍使用，方便快捷地掌握企业内部的工作进度与状况，及时处理工作问题。同时保证企业办公等机密文件的安全性。

可重组性

本方案产品是通过基于模块的开发模式来实现系统功能的。按照一定的需求集合成各类具有特定功能的模块，这些模块之间可以无缝集成。

可管理性

对于一个承载了很多需求，跨越多个部门，甚至在地理上跨越不同地区的安全系统来说，系统是否容易管理是非常重要的。思智企业级信息安全产品做到了这点，它不但大大降低系统管理员的负担，而且能够在系统发生任何问题的时候都能够很容易地进行诊断，并立即采取有效的措施，使得系统在任何情况下，都能正常稳定运行，不影响用户正常的工作，时刻处于良好运行的状态。

企业面临的机密信息安全问题

目前企业的信息安全的现状主要是解决如何加强机密数据本身的安全问题，即在数据信息生命周期的每一个环节上，确保信息存储和传播的安全性。从目前大量的调查结果来看，现阶段企业中存在的潜在安全问题主要有以下几种典型体现：

? 企业中与业务相关的机密信息中有90%左右都会以电子文档的形式存在，这些内部机密文件分散分布在各个内部局域网电脑中，而且没有进行有效的加密保护，企业内部的员工可随意的把公司中的内部文件非法带出公司。

? 虽然一些企业已经通过简单的加密工具，主动加密了企业内部的机密文件，但对于管理者来说，却无法实现对员工对文件操作行为的主动管理，如哪些员工可以拥有对该机密的文件的何种操作权限（如只读、可编辑、可打印等），同时如果没有实现对文件的强制加密保护，则机密文件还是极有可能以各种形式泄露。

? 有些企业已经架设了自己的内部文件服务器，同时也有相应的文件管理员进行专门管理，但无法保证在安装文件安全保护系统之后，不影响用户原有的文件管理习惯，导致用户上手难，适应期长等问题。

? 企业在日常的办公中会经常使用到如邮件系统、及时通讯工具等与客户进行业务上的沟通与联络，在利用这些工具提供方便工作的同时，也带来了机密文件容易向外泄露的安全隐患。

? 在企业的日常办公过程中，经常需要对文件指定不同用户不同访问权限，虽然使用Windows的网络共享功能可以解决部分需求，但无法针对不同文件提供更细致的权限访问控制，从而也无法做到对文件访问的有效管理和控制。

? 企业由于业务的需要把文件外发之后，无法控制其二次传播。

? 企业已经有一些文件安全的管理方法，但是对于经常出差或者外出办事的员工，无法控制他们在离开企业内网环境下，其笔记本上存储的企业内部机密文件的安全。

对于企业在文件安全管理过程中出现的文件安全事件无法进行有效的追踪。在企业中，一旦出现文件泄密事件，缺乏有效跟踪查询的依据

思智ERM系统由服务器、控制台、客户端三部分组成。思智ERM系统采用C/S+B/S的设计架构，即服务器端与客户端以C/S结构工作，控制台与服务器端则是以B/S方式工作。见下图所示系统结构示意图：

图 1-1系统结构示意图

l 服务器：服务器是思智ERM系统运行的基础。

l 控制台：即一个系统管理和维护的平台，是客户端与服务器连接的桥梁。为实现集中统一管理的目的，思智ERM系统采用集中化的管理方式和基于角色的权限管理体系，通过该控制台管理员可以完成对客户端管理、机构用户管理、策略配置和应用、服务器远程备份、日志管理、系统设置等功能的配置及维护。

l 客户端：客户端主要是通过执行控制台设置的各种安全管理策略，实现 对本地机密文件的各种安全管理，为企业员工提供易用、稳定、安全的安                                            全信息终端。

图1-2 功能模块示意图

模块构成：思智ERM系统从功能上划分，可以分为用户管理、策略管理、文件访问权限管理、日志审计管理、文件备份管理、服务器远程管理、客户端等7个主要功能模块。

思智ERM系统是一个针对于企业级应用的信息安全管理平台，本系统能帮助企业解决有效的企业中数字化资产（即电子文档）的控制和管理问题。

先进性

思智泰克企业级信息方案的总体设计充分考虑了各类企业各种不同的实际需求和安全策略，并且考虑了其当前各环节管理中数据处理的安全性和便利性。在设计中融入基于模块化设计的思想，使整个系统具有高度的可扩展性和可定制性。系统能够与各类企业已有的基础业务系统良好结合。同时在系统设计中使用可扩展的设计方式，为系统将来的扩展提供了一个良好的基础。

本方案产品是采用可扩展的系统结构设计，研发完成的企业级的信息安全管理系统。系统在设计中将融入基于组建化和模块化设计的思想，使整个系统具有高度的可扩展性和可定制性。

本方案产品采用C/S+B/S的结构设计，管理员在内网中任意一台可以连接服务器的机器上，即可以完成统一的浏览器界面操作，进行企业的管理工作，方便相关管理人员使用。设计风格上以“简洁方便”为宗旨，操作界面完全从用户角度出发，减少获取信息的操作层次。本系统界面友好、美观，操作方便。在颜色、字体、标题、操作提示信息等均采用了标准化、统一化的风格，降低了对使用者计算机知识的要求，易学易用。 考虑到企业安全需求的变化性，本系统在设计上考虑到最小的修改来满足企业在安全上的要求。整体上，系统采用了模块化的设计，新的模块可以进行便捷地动态加载，扩展非常方便。系统客户端安装可以采用远程推送+本地安装+域脚本安装，多种安装方式可以灵活选择并组合使用，更大程度上提高了管理效率。

兼容性

本方案产品支持Windows的各类系统。同时可访问各种大型关系数据管理系统，如Mysql、Oracle、Sybase、DB2、SQL Server等，实现各类系统和数据库之间的信息交换。

安全性

本方案产品运用了PKI安全认证技术解决系统中所涉及的授权问题、加密问题。系统整个架构可以容纳各种安全协议，适应系统结构的各种变化。 同时系统中的安全管理模块可帮助各级企业，根据各部门的不同权限，设置严密的文件安全策略，保证机密文件及数据的使用安全。 其次，为了满足不同企业对安全的不同要求，在身份认证方面支持USB电子锁、智能卡、指纹、声纹、虹膜等多种先进的终端用户信息认证方式。与传统的用户名/密码登陆手段相比，硬件认证设备具有更为突出的安全性。另外，作为信息安全产品，从传输通道安全－密钥不能被截获、本地安全－不能被轻易破解、备份文件安全－即使系统管理员也不能随意查看等各个环节都体现着系统的安全性。

稳定性

在本方案产品的设计和实现中，我们推行按照软件工程标准体系和ISO9001的软件质量标准体系、软件能力成熟度模型CMM来进行产品开发和实施过程，确保系统的标准化。同时基于在信息安全方面的丰富经验，设计中本系统采用模块化设计，可以根据企业的实际需求增加或减少模块。无论用户的需求发生何种变化，本系统都能够根据变化后的实际需求对系统进行调整，以适应新的企业管理流程。提高企业的信息化安全管理水平，帮助企业领导者借助计算机管理工具及先进的手段来提高企业的安全级别，同时也给系统的稳定性提供了良好的运行机制。

易用 性

? 支持复杂网络应用环境

? 支持主流操作系统

? 灵活与其他系统结合应用

? 与主流杀毒软件无冲突

? 支持跨网段网络环境

? 支持域管理的管理方式

? 支持VPN的网络连接方式

? 与财务系统结合应用

可维护性

本方案产品基于企业的管理流程，支持管理流程的灵活定制，能够对不同的业务系统与模块进行整合，统一管理、调度。此外，本系统支持组织结构的灵活定制，能够方便地调整用户组之间的隶书关系，方便地将用户从一个用户组调到另一个用户组。

可移动性

本方案产品可满足各类企业的远程、移动办公的需要。企业人员通过高速网络连接，实现对本系统的无障碍使用，方便快捷地掌握企业内部的工作进度与状况，及时处理工作问题。同时保证企业办公等机密文件的安全性。

可重组性

本方案产品是通过基于模块的开发模式来实现系统功能的。按照一定的需求集合成各类具有特定功能的模块，这些模块之间可以无缝集成。

可管理性

对于一个承载了很多需求，跨越多个部门，甚至在地理上跨越不同地区的安全系统来说，系统是否容易管理是非常重要的。思智企业级信息安全产品做到了这点，它不但大大降低系统管理员的负担，而且能够在系统发生任何问题的时候都能够很容易地进行诊断，并立即采取有效的措施，使得系统在任何情况下，都能正常稳定运行，不影响用户正常的工作，时刻处于良好运行的状态。

企业面临的机密信息安全问题

目前企业的信息安全的现状主要是解决如何加强机密数据本身的安全问题，即在数据信息生命周期的每一个环节上，确保信息存储和传播的安全性。从目前大量的调查结果来看，现阶段企业中存在的潜在安全问题主要有以下几种典型体现：

1. 企业中与业务相关的机密信息中有90%左右都会以电子文档的形式存在，这些内部机密文件分散分布在各个内部局域网电脑中，而且没有进行有效的加密保护，企业内部的员工可随意的把公司中的内部文件非法带出公司。

2. 虽然一些企业已经通过简单的加密工具，主动加密了企业内部的机密文件，但对于管理者来说，却无法实现对员工对文件操作行为的主动管理，如哪些员工可以拥有对该机密的文件的何种操作权限（如只读、可编辑、可打印等），同时如果没有实现对文件的强制加密保护，则机密文件还是极有可能以各种形式泄露。

3. 有些企业已经架设了自己的内部文件服务器，同时也有相应的文件管理员进行专门管理，但无法保证在安装文件安全保护系统之后，不影响用户原有的文件管理习惯，导致用户上手难，适应期长等问题。

4. 企业在日常的办公中会经常使用到如邮件系统、及时通讯工具等与客户进行业务上的沟通与联络，在利用这些工具提供方便工作的同时，也带来了机密文件容易向外泄露的安全隐患。

5. 在企业的日常办公过程中，经常需要对文件指定不同用户不同访问权限，虽然使用Windows的网络共享功能可以解决部分需求，但无法针对不同文件提供更细致的权限访问控制，从而也无法做到对文件访问的有效管理和控制。

6. 企业由于业务的需要把文件外发之后，无法控制其二次传播。

7. 企业已经有一些文件安全的管理方法，但是对于经常出差或者外出办事的员工，无法控制他们在离开企业内网环境下，其笔记本上存储的企业内部机密文件的安全。

8. 对于企业在文件安全管理过程中出现的文件安全事件无法进行有效的追踪。在企业中，一旦出现文件泄密事件，缺乏有效跟踪查询的依据。