湖南高新创业投资集团

应用产品：非结构化数据数据安全协作平台、透明加密系统、风筝文档、数据安全网关

01 前言

随着大数据、云计算等技术的发展，企业纷纷迎来数字化转型以助推企业效率提升，赋能企业发展，与之伴随的是企业信息化办公所产生的数字文档管理规模越来越大，需要管理的数据类型日益多样。这些文档是企业经营过程中积累的数字资产，蕴含着巨大的价值，是信息时代企业赖以发展和进步的核心竞争力，因而如何实现文档的安全合规管理、统一管理、安全备份、跨网使用、协同工作，是政企单位数字化转型中至关重要的一环。

02 文档安全案例背景需求

案例背景

湖南高新创业投资集团有限公司（下简称高新创投）系湖南省委、省政府批准设立的全省唯一的省级国有创投机构。高新创投聚焦新材料、新装备、新能源、新一代信息技术等领域，以军民融合、“卡脖子”工程为重点布局方向，是省委省政府创新引领开放崛起战略和建设湖南现代产业体系的抓手。

文档安全需求

目前高新创投用 OA 系统管理各类文档，OA 系统部署在阿里云上，没有文档权限管理功能。下一步正在筹备 OA 系统的升级改造，升级后将具有文档的权限管理功能，但系统仍然会部署在阿里云上。高新创投在日常业务中，需要存储、处理、转发大量的敏感文档，例如商业计划书、投资计划等。这类文档由于其高价值特性和一定保密性，在其整个生命周期中需要进行严格管理。

在高新创投日常工作中对文档的处理主要包括以下典型场景：

场景 1：

内部电脑主机在本地编辑、存储各类文档。在这种场景下文档面临的安全风险主要体现在内部用户随意拷贝、转移文档以及电脑遭受木马等攻击后出现文件被外传的情况。

场景 2：

内部电脑主机用户需要将文档通过微信、邮件等发送给外部合作伙伴，或者通过 U 盘拷贝给外部合作伙伴。在这种场景下文档面临的安全风险主要在于外部合作方可能会导致文件二次扩散导致的泄露。

场景 3：

内部用户通过手机查阅各类文档，在手机端需要在不干扰私人内容（如家庭成员传递的资料）的情况下，安全查看工作文档，并避免被手机端各类同步软件采集工作文档导致内容失泄。

需要解决上述问题，那么就需要在以下几个方面实施安全管控：

1）需要对高新创投内部个人使用的电脑上留存的文档进行管控；

2）需要对外发文档实施严格管控，避免文档二次扩散；

3）需要支持手机端直接查阅加密文档。

传统的数据加密手段可以在一定程度上满足上述需求，但是却会给高新创投内部工作带来额外的密钥管理、分发的负担，导致文档流转效率下降。因此需要构建完备的文档安全管控机制，在保证高安全的同时确保高可用。

03 文档安全建设方案

根据客户的情况，我们针对该企业内部文档安全保护和外部流转管控两方面的安全保护需求，设计了如下文档安全管理系统，该系统包含：

新一代透明加解密系统：针对内部电脑，在不影响日常使用习惯的前提下，为企业内部流转的本地文档和离线外带的文档提供高强度的加密以及粗颗粒度的访问限制，支持多种类型的办公文档；

文档外发管控系统：针对互联网外发文档，基于“风筝文档”平台，提供高强度加密和细颗粒度访问控制，支持浏览器、小程序和阅读器访问。考虑到外发文档的主要目的是阅读或签批，因此采用PDF能够在很大程度上满足需求。

文盾文档云平台：基于文盾文档一体化平台（文盾云平台）实现办公文件的集中存储、分类展示、自动备份、在线预览、协同编辑、云端访问和权限管控。还提供企业一站式的文档资产管理、控制、分析挖掘和知识化能力，为支撑企业建立基于文档的版本管理、知识管理和运用体系，便于企业将日常工作中的文档转换成为新的生产力。

同时，为加强访问控制，还在内部云端系统边界安装应用安全网关，对云端OA系统及其文档数据进行用户的接入控制，确保云端软件不受非授权用户的非法访问。

文档安全解决方案架构图

04 文档安全项目方案建设效果

该方案实施后，将单位内部电脑上的所有办公文档进行加密处理，结合内部 OA 系统实现了内部流转控制，兼顾考虑到了内部用户移动办公和手机查阅的需求；并借助硬件网关实现了外部用户与内部用户对OA 服务器的访问隔离；同时基于风筝文档和文盾云平台实现了企业内部流转的文档通过文档云进行集中管理，并提供数据备份能力，办公电脑和私人电脑之间的文档流转、编辑依托文档云提供的在线查看、编辑功能支持，可以提高文档的安全性、抗毁性，还能是办公过程轻量化、移动便捷化，面向外部合作伙伴的外发控制，防止了外发文档的二次传播和细粒度权限控制。具体效果如下：

公司内部电脑主机用户办公时

1. 可以直接通过常用办公文档编辑软件正常新建、打开、编辑、保存各类办公文档，保存后的文档自动加密为密文。如果用户直接通过微信、邮件等客户端发送内部文件到外部，接收方收到内容为密文，除使用透明加解密手机客户端并通过身份认证（即确认该用户为内部用户）外无法直接打开查看文件。

2. 内部用户如果需要移动办公，则在笔记本电脑上安装对应的加密客户端软件，其控制效果与内部办公电脑一样。

3. 内部高级用户使用手机移动办公时，在手机上安装手机客户端，并设置为“仅解密查看、不强制加密”模式，则可以通过手机查看内部用户发送的加密文件，但不影响其手机上产生或其他好友发来的非工作文档。

4. 内部电脑主机用户如需将内部文件外发给外部合作方，则需要通过风筝文档客户端将文件提交到风筝文档外发服务端进行受控加密并设置权限后，生成外发链接，再通过微信邮件等发送外发链接给外部合作方。外部合作方收到风筝文档加密后的外发文档后，使用手机浏览器或风筝文档阅读器客户端，通过微信或手机号一键登录确认身份和权限后可以查看文档，内部用户可以随时取消外部用户的权限。

员工私人电脑及手机办公时

1. 私人电脑上编辑的文档可以通过文档云挂载盘或客户端便捷的同步到云端，并在云端进行分享和在线编辑，内部文档流转更加可信可控；

2. 私人电脑和办公电脑上的文档均在云端自动备份并版本化，在本地遭受勒索病毒攻击或数据损坏时，可以快速地从云端恢复文档到特定版本；

3. 提供手机 APP，实现办公文档与私人文档的处理隔离，更好实现文档的安全管理。

系统安全应用及文档知识化管理

1. 应用安全网关负责检查接入云端系统的主机、手机是否为授权内部用户，如不是，则拒绝访问，避免云端系统受攻击或被接入后读取服务器端文档。

2. 服务器端文件可以同样采用透明加密技术，实现文档的加密存储。

3. 文档云通过人工智能手段支持将同一项目的文档快速识别分类归并并进行知识化，并针对不同用户、角色形成不同的视图，便于企业中各类人员快速掌握自己关心的内容，可以有效提升用户对文档资产的运用能力。