一、需求分析
（一）管理現狀
核心技術保密的關鍵是對核心技術所涉及的密件、密品、涉密載體和涉密人員的管理。公司目前雖已配備涉密計算機用於處理核心商業祕密，但並未對核心技術材料採取針對性的技防保密措施，存在較大的失泄密風險，因此迫切需要對核心技術涉密資料進行分級管理和防護。
（二）業務需求
1.文件加密
對涉密文件實現加密處理，從文件創建開始進行自動加密保護。實現對核心數據進行全生命週期保護，確保核心數據只可在企業安全域內正常、透明使用，通過任意方式將數據非法帶離內部環境將無法正常使用。
2.分級授權
根據生產流程的不同分工、技術研究的不同環節、研發項目的不同階段，對所涉及的技術資料、人員進行權限分類，涉密人員無權查看權限之外的涉密技術資料，將核心技術信息做到分層、分散。建立分級管理模式，實現涉密文件從創建、傳遞、解密及審批流程的層層管控，將技術文件的操作控制在合理的權限範圍內，確保技術涉密文件的利用安全。
3.外發管控
嚴格控制涉密文件的外發流程。涉密文件對外發送時，需要操作人提出外發申請流程，申請合格後方可對特定文件進行降密或解密處理，並對指定外發文件設定查看期限、打開次數、打開密碼及複製、編輯、打印、截屏等使用權限。
4.實時監控
對涉密技術資料保密管理的各環節進行監控，形成督查整改和後評價的管理閉環。通過敏感內容識別對未按規定流程操作的涉密文件及時進行預警、攔截和保護，後台自動感知對外交互和網絡使用信息，出現敏感或密級文件時，進行預警和阻斷。
5.異地管理
由於公司業務遍佈全國，涉密人員會經常面臨外地出差的問題，為了確保員工出差期間能正常使用涉密文件，可對出差人員設置個性化的離線策略，在員工出差離開公司內部網絡環境前，申請離線加密授權，根據實際情況對其離線時長、使用軟件類別及涉密文檔使用權限進行設置。
（三）技術需求
1.部署方式
滿足集團型公司管控模式，可實現集羣部署，異地訪問。
2.安全要求
（1）全面保護公司的整體網絡穩定運行，不被外界人員非法攻擊及篡改，保護核心技術資料不被外界人員非法獲取。
（2）結合對核心技術涉密人員分級授權，非經授權不能越級查看權限以外涉密文件。
（3）有效控制對核心技術涉密文檔的非法操作。
（4）規範技術人員工作行為，提升保密意識。
（5）文檔加密後，更改後綴不能查看。
3.應用要求
（1）提供友好的交互界面，能在短時間讓相關人員上手操作。
（2）操作符合日常辦公方式，不能對員工辦公效率影響太大。
（3）支持常見電子文檔和圖文格式加密，可自定義格式加密。
（4）提供移動端，可隨時進行文檔查閲和流程審批。
4.性能要求
（1）用户安裝客户端後，對電腦主機的資源佔用率低，不影響用户電腦的性能，保證正常辦公。
（2）滿足公司3-5年業務發展需求，系統至少支持500以上併發用户使用。
（3）支持大文件快速加解密，至少支持2G以上快速加解密。
5.靈活性要求
（1）可區分時段、地域、部門、項目組等不同條件下設置靈活的管理策略，實現對異地辦公的安全管控。
（2）區分不同的應用程序、訪問網站及存儲設備進行靈活的分類管理。
（3）文件授權和分組模板化管理，支持個人定製多個模板。
二、項目方案
（一）部署方案
技術保密信息系統採取總部統一部署的管理模式，部署一台主用和一台備用服務器，主用服務器宕機時，備用服務器可自行接管。各分子公司和外出人員可通過VPN訪問的方式使用該系統。
（三）解決方案
對涉密文件的創建、加密、解密、外發等流程進行跟蹤管控，全方位保證核心技術資料的安全,具體保密操作流程如下圖所示。
1.文件加密
（1）科技信息部根據實際情況，對關鍵技術人員創建的電子文檔採取不同加密手段，包括自動加密（所有文檔新建或修改後即加密）、智能加密（根據關鍵字或者表達式等自動識別文檔內容，並進行加密）、人工加密（用户手動選擇加密等級和查閲範圍）或者混合方式加密。
（2）建立加密文件類型選擇模塊，根據實際要求設置需要加密的文檔類型。在新用户接入時，通過創建不同的策略掃描用户電腦磁盤，對設定的文檔類型或全部文檔進行掃描加密。
2.分組管理
針對不同部門或項目組設定特定的文件共享組，並配合策略實現對不同部門或項目組的文檔隔離。非本項目組成員，無權限查閲或操作該組文件。
3.權限控制
根據文件的重要程度，設定控制屬性。文件通過系統加密後，非安裝客户端授權用户不能正常打開加密文件，即使傳輸到非授權員工手中或公司外部，文件依然處於加密狀態。主要措施包括：
（1）對截屏、複製、OLE對象插入、對象拖放等進行控制，防止重要文件或信息被偽裝後傳輸出去。防止通過OLE對象插入功能將文件插入到未加密的文件中，防止抓取加密文檔中的部分內容後直接發送出去。
（2）對涉密電腦的打印權限進行設置，涉密文件按照規定禁止打印，需打印的文件經規定審批通過後，由後台對該文件的打印時間、打印次數進行設置，並對操作人員和操作痕跡進行實時監控，防止員工將重要資料通過打印方式以紙質方式帶出去。（3）對加密文件進行防刪除功能設置。非指定用户無權刪除客户端上的加密文件，以防止員工在離職前或其他特定場合惡意刪除重要加密文件。
4.文件查閲
所有科技系統相關人員需安裝科技保密信息系統客户端，用户拿到相應的授權後才能查閲涉密文件。非文件授權用户，即使拿到文件，也無法查看文件內容，無法進行其他功能的操作。
5.文件解密
通過用户直接解密、流程審批解密（可設置多級審批流程）、郵件審批解密等方式進行文件解密，根據實際應用場景，授予涉密人員指定的解密權限。一般員工只能通過流程審批解密，解密審批流程根據文檔類型和密級而定，通過流程審批後對指定的文件自動解密。
6.文件外發
對涉密文件的外發進行統一流程管理，外發時需要在系統內提出外發申請，並對外發的打開次數、打開時長、文件打印、文件複製等參數進行控制。
（1）文件外發時，根據文件的密級和外放對象，設定一種或者多種控制屬性，生成外發文件後，必須通過企業郵箱進行對外發送。
（2）外部使用者接收文件後，根據該文件的外發屬性設置，選擇對應的方式打開。外分文件的打開屬性一般有三種，一是密碼方式，打開文件時，必須輸入設定的密碼即可查看。二是激活方式，在設定時需要通過工具先獲取打開文件的電腦特徵碼，外部接收者拿到文件在指定電腦上，打開文件輸入激活碼即可打開查看。三是指定文件查看工具，需要通過系統設置的指定查看工具才能打開（其他屬性可同時設定），外部使用者必須運行該查看工具才能打開文件，該工具具有時效性和唯一性。
7.離網管理
員工外出辦事或出差時，根據特定場景設定多種離網管理方式。一是員工外出時，通過VPN連接保密系統，登錄VPN後方可正常使用。二是通過直接授權，允許離網使用。三是採用UKEY和映射等方式，以備特殊場景使用。
8.開關客户端功能
系統具有開關客户端的功能，允許指定人員可在關閉客户端的狀態下製作明文文件，並在需要查看指定加密文件時打開客户端。
9.系統容災
出現服務器損壞，斷網等情況時，用户在一定的時間內可正常使用原存於電腦中的加密文件，保證遇到突發情況時所有數據依然處於加密狀態。
客户端有故障保持時間，在故障保持時間內加密系統依然可以正常運行。同時配置備用服務器，在主服務器崩潰的同時，客户端會自動連接到備用服務器，從而保障客户端的正常運行。
10.日誌管理
系統日誌會詳細記錄文件操作日誌、管理日誌、打印日誌、授權日誌、外發日誌等信息。文件日誌頁可查詢所有加密文件的操作和管理記錄，打印日誌記錄了涉密文件的所有打印操作，可查看所打印文件的快照圖片，授權日誌可查看涉密文件的授權情況。
11.報表管理
系統以報表形式對文件授權、文件加密、文件解密等記錄情況進行多維度分類統計，並在月底提供該電腦本月的加密文件數量、違規情況統計等報表信息，可進一步規範員工的操作行為。
12.移動端
系統移動端APP支持Android和蘋果IOS系統，手機安裝APP後，實現加密文件查閲和流程審批，支持與其他移動開發平台整合。
13.系統集成
將技術保密系統與泛微OA8.0系統進行集成，加密文件上傳到OA系統中可實現自動解密，下載到本地時自動加密，方便文件的利用。科技保密信息系統審批流程可跟OA系統審批流程集成，實現統一登錄和流程。系統也可支持與開放移動平台的無縫集成，如公眾號、企業微信、釘釘等。
14.其他
（1）大文件支持
系統管理端具有大文件操作端，可實現對2G以上文件的快速加解密操作。
（2）打印快照
加密文件打印過程中會上傳打印文檔的信息(用户名，文檔名，打印時間，機器名等)，同時提供了打印時用户的屏幕信息，保證可以監控到打印文檔原始的情況。
（3）監控指定目錄
對特殊項目組人員產生的涉密文件進行監控，系統對需要監控的文件目錄進行設置，對該目錄所包含的加密文件進行強制加密和操作痕跡監控。
（4）模板管理
通過技術保密信息系統提供的模板功能，指定目錄設置成同一類型分組和權限文件，公司層面通過系統設置全局模板，滿足部門間的訪問和隔離，用户通過系統設置多個個人模板，實現項目組和日常辦公文件快速加密和流轉。
蒙田範文網