中小企业商业机密加密保护的标准流程（中央企业商业秘密保护暂行规定）

多数企业已经认识到，商业机密泄露将会给企业带来直接的经济损失。因此，企业纷纷采用各种手段对商业机密进行保护。过去常用的保护手段如静态文件加密、防水墙、内网监控管理软件、电子文档保险柜等等，都从不同程度上保护了企业的核心资料。从当前的技术发展情况看，实施企业级加密软件是目前最受推崇，应用最广，效果最佳的解决办法。

但是，当前很多中小企业在对数据安全的重要认识、信息安全产品的了解、企业自身特点等多方面不是很清晰的情况下，就仓促上马加密类产品，结果不甚理想，没有真正实现企业数据泄露防护的目标。主要表现在以下几个方面：

1. 对文档和数据安全的一些常识和理论没有了解；2. 对市面上各种文档加密产品的优势特点及局限性不了解；3. 中小企业自身欠缺足够的技术实力和技术人员来选型和实施加密软件产品；4. 没有按照科学合理的流程来对加密软件进行测试、试用、和部署；

其实，作为中小企业的一种产品级的功能性工具，加密软件已经逐渐成为中小企业的标准配置。只要按照一些标准的信息安全管理流程来考察、试用和实施，就可以实现数据安全的目标。

对中小企业来说，参照一些信息安全管理规范来选择和实施加密软件产品，是有益的。但是要掌握冗长繁杂的信息安全管理标准，对中小企业技术人员来说，是一件头疼的事情，本人经过对国际常用的信息安全管理标准如BS7799（ISO17799）等标准的梳理和归纳，可以总结为以下十个基本步骤，按照这十个基本步骤，足以完成对文档加密软件的选型实施，并有助于提高成功实施的概率。

一、成立商业机密保护管理小组

在企业里，谁最关心企业核心机密的保护？自然是老板。商业机密作为公司核心资产，首先应该得到老板的重视，这是一个从上到下的实施工程，不是一个普通的软件实施。因此，企业核心商业机密保护，最好是有老板牵头。老板的重视，往往能起到统筹全局的作用，能对项目的顺利进展起到决定性的作用。

除了老板要重视商业机密保护，IT部门负责人也有则无旁贷的义务来组织整个项目具体的计划和实施。一个典型的数据加密项目会涉及企业中的多个部门，我们应当为此建立一个项目团队并确定相关成员。商业机密保护管理小组成员应当包括：

1. 为项目指定一个内部总负责人；2. 企业IT部门的安全技术员、系统管理员和网络管理员；3. 企业中每个部门的主要负责人；4. 加密产品提供商的技术人员或第三方网络和防火墙方面的专家；5. 具体负责执行的人员，来收集整理各种资料，编写各种相关文档等等。

二、对商业机密资产进行分析和总结

如果在应用数据加密之前没有确定明确的保护对象，分析企业中需要应用数据加密的地方，那么，数据加密就无从谈起。 就是要明确企业哪些方面需要保护，也就是确定加密的目标和需要加密的位置。通常，需要清楚下列所示的这些内容：

1. 公司现有的商业机密都有哪些文件？这些机密信息应当包括客户和员工信息、财务信息、商业计划、研究报告、软件代码，以及产品设计图纸和文档，项目招标计划和设计图纸等等；2. 机密信息会产生或者保存在哪些终端、服务器、工作站，或笔记本、U盘等可移动存储设备上？ 3. 上述文件是以何种文件类型的形式保存在各类存储设备上的什么位置？文件类型包括电子表格、Word文档、数据库文件、幻灯片、HTML文件和电子邮件（E-Mail），以及源代码和可执行文件等形式；4. 哪些用户的台式机、工作站、笔记本需要保护？例如，重要的管理人员.销售人员和技术顾问，还是包括所有员工、合作伙伴和承包商；5. 企业中哪些用户在使用笔记本电脑等可移动存储设备？以及机密信息是否会被复杂到USB设备或其它可移动媒介中？6. 企业中哪些员工会使用电子邮件（E-Mail）？或者是即时通讯工具MSN、QQ等？这些电子邮件都从哪些工作站或笔记本电脑上发送的？7. 企业局域网享文件服务器上的机密数据是否安全？8. 企业是否有远程办公室，远程办公室与企业总部之间的远程连接是否包含机密信息？9. 企业员工进行WEB浏览等网络通信是否包含机密信息？通过对企业现有的商业机密类型、产生和保存的位置、文件格式、泄密途径等等进行梳理，是进行下一步工作的基础。

三、根据分域安全理论，对商业机密进行分类

针对商业机密保护，目前最领先的理论是“分域安全理论”。经过上一步骤对企业的保护对象进行了梳理，结合分域安全理论，就可以找到相对应的解决办法。

所谓分域安全模式，是相对于传统的分层安全模式而言的。分域安全指的是把网络分为磁盘、终端、端口、服务器、局域网等等工作域，在每一个工作域都采用对应的安全策略。不论是在办公室的主机、工作站、服务器，还是在移动办公、家庭办公的笔记本电脑、移动存储设备，都可以有一个相对应的保护工具，用以提高个人资料的安全性。

换句话说，这种安全模式是基于这样的理论：在网络内部可以找到一种通用的解决办法来处理各个区域的安全问题，但是对于任何一个个性的区域，都能有结合个性特点的细分工具来解决个性问题。根据文档和数据的生命周期，可以把文档基本分为创建、流转、使用、修改、归档、销毁等几个阶段。根据商业机密的全生命周期，可以根据其存储和流转的位置和途径进行分类，把相对应的工作域分为：磁盘、终端、端口、服务器、局域网、移动存储设备、外埠工作域和外部网络等。

通过分域安全理论，对中小企业来讲，基本上可以根据企业的核心机密类型分为两大类，一种是设计、研发类为主的核心机密信息，另一种是财务、营销、管理等部门产生的核心机密信息。

四、选择加密软件技术和产品

第一种武器：透明加密软件

这里指的加密软件，不是网络上可以随意下载的那种免费的个人级数据安全加密软件。我们通常可以在各种软件下载网站，下载诸如文件夹加密超级大师、加密王之类的加密软件，这些软件只是“伪加密”，很容易被菜鸟级的计算机用户破解，而且经常发生文件被破坏无法恢复，非常不安全。

企业用户里的研发部门、设计部门等核心部门，每天产生大量的源代码、平面设计图、电路设计图、3D图、或者是音频视频文件，这些文件需要在产生、使用、存储和流转过程中进行加密处理。这就需要使用企业级“透明加密软件”。这种软件在国内已经相当成熟，以安华金和数据库保险箱系统软件等为代表。

安华金和数据库保险箱系统(简称DBCoffer) 是一款Oracle数据库安全加固系统，该产品能够实现Oracle的数据加密存储、权限控制增强和敏感数据访问审计。DBCoffer可以防止绕过防火墙的外部数据攻击、来自于内部的高权限用户的数据窃取、以及由于磁盘、磁带失窃等引起的数据泄密。

通过DBCoffer用户可以对Oracle数据库应用系统中的敏感数据，进行数据加密；并在现有的Oracle数据库访问控制之上，派生数据安全管理员（DSA）进行加密数据的加密和脱密权限控制，有效防止数据库特权用户访问敏感数据；同时对安全行为和敏感信息的访问进行审计追踪。

当前主流Oracle数据库安全加固方案包括前置代理、应用加密和Oracle自带加密选件TDE。前置代理需要应用大幅改造、大量Oracle核心特性无法使用；应用加密必须由应用实现数据加密，加密数据无法检索，已有系统无法透明移植；TDE不能集成国产加密算法，不符合国家密码政策。因此这几种方案一直未能得到有效推广。

DBCoffer通过独创的、已经申请专利的多层视图技术和密文索引等核心技术，突破了传统Oracle安全增强产品的技术瓶颈，可以实现数据高度安全、应用完全透明、密文高效访问。

DBCoffer当前支持Windows、Linux、Unix等多个平台，提供基于硬件服务器的企业版，和纯软件的标准版，满足用户的多种部署需求。DBCoffer兼容主流加密算法和国产加密设备，提供可扩展的加密设备和加密算法接口。DBCoffer的功能集与国际数据库加密增强产品相当，性能上领先5倍以上。DBCoffer产品已经在若干个用户处得到试用和应用，用户面涉及军队、军工、机要、企业和互联网。

第二种武器：文档权限管理软件

对于个人级的用户，可以利用Windows Rights Management Services(权限管理服务，简称 RMS)，以及Office版本中的信息权限管理(Information Rights Management，IRM)来防止用户利用转发、复制等手段滥用你发给他们的电子邮件消息和Office文档(主要是Word、 Excel、 PowerPoint)。国外企业通常所用的DRM(Data Rights Management)手段大抵如此。对企业级的用户来说，这种权限管理是相当业余的，而且最大的问题是，这种权限管理是没有对数据本身进行高强度的加密。采用这样的权限管理，做不到真正细粒度的权限划分，是一种非常粗放的管理手段，数据安全难以得到保护。

第三种武器：文档外发管理系统

对那些经常需要把文档发送给合作伙伴或者是出差人员的企业来说，如果把文档发给外部单位之后，就放任不管，必然有造成重大机密泄露的风险。为了防范文档外发之后造成泄密的风险，采用文档外发管理系统是目前最有效的数据安全。

目前这种文档外发管理软件产品比较多。亿赛通文档外发管理系统是比较出色的一种。亿赛通文档外发管理系统是针对客户的重要信息或核心资料外发安全需求设计的一款外发安全管理解决方案。当客户要将重要文档外发给客户的出差人员、合作伙伴或客户时，应用文档外发管理程序打包生成外发文件发出。当外发文件打开时，需通过用户身份认证，方可阅读文件。同时，外发文件可以限定接收者的阅读次数和使用时间等细粒度权限，从而有效防止了客户重要信息被非法扩散。

五、制定数据加密项目计划和设计解决方案

为了确保项目的顺利实施，应该与其它大型的安全防范项目一样，制定一个切实可行的数据加密计划，减少在具体实施过程中不必要的错误和麻烦，以及许多令人头痛的问题。因此，制定计划需要注意以下问题：

1.将文档加密的目标、需求和策略问题做一个具体的文档，确保制定的这些文档很容易被受这个项目影响的管理者和用户群体所理解；

2.规定文档加密项目的范围和限制，包括项目将耗费多长时间，需要投入多少成本，是否有足够的人力资源实施该项目等内容。如前所述，在预算和技术人员这两个方面的限制因素将为我们选择数据加密产品提供一个充分的理由；

3.如果企业技术人员充分，可以选择自己解决文档加密软件的部署。否则。企业也可以决定是否需要得到安全厂商的支持，或者决定将此项目外包给第三方等；

4.大多数文档加密解决方案需要计算机最终用户的操作行为做一些改变，所以最终用户有意抵制做出改变将给应用数据加密带来新的风险。因此，应当分配资源和制定时间表来培训用户接受这种改变；

5.为数据加密项目规定一个最终的标示成功的目标，这个目标可以作为项目是否已经实施成功的参考值。这也就给此数据加密项目做了一个具体的范围限制，也为项目最后的管理做了一个参考坐标。这方面可以具体落实为一个测试、试用、实施和验收的整天方案；

6.使最终用户只具有最小的操作权限。设计的方案除了提供警报功能，以及由最终用户执行数据加密任务或更新软件以外，其它的操作，例如用户不能改变加密软件的任何配置参数或加密方式，也不能改变连接到具体设备上的加密设备。

六、组织测试

1.搭建模拟测试环境。一般来说，加密软件是C/S架构的软件，并具有B/S管理功能。在测试之前，根据加密软件的特点，搭建一个标准的C/S架构体系，准备对加密进行测试；

2.制订测试方案。根据企业需求，结合选用的加密软件，对软件的测试制订一个严格规范的测试方案。这是一个很重要的步骤，不可缺少。对加密软件的功能性能、与企业系统的兼容性等进行全面测试，需要按照计划有步骤地进行；

3.在模拟环境上开始测试。测试一般有加密软件厂商配合，双方人员现场测试。。以确保这些加密产品是否能达到预期的目的。以便能确定最佳的加密做法是什么，以及检验这些加密软件与系统.应用程序及硬件之间的兼容情况，检验加密软件是否出现了不可预期的错误；

4.对测试结果进行总结，并形成测试总结报告。

七、试用加密软件

通过模拟测试，对加密软件的性能功能已经有了初步了解，就可以进入试用期。一般来说，试用期7天足以完全了解软件运行情况。经过试用，能验证加密软件是否满足企业需求。我们还必需定时进行定期检查，以确保没有用户绕过数据加密软件进行操作。所有的这些信息应当记录并存储在一个服务器之上，并审计相关日志；确保数据加密软件都是最新版本，并修补了所有的漏洞。要求数据加密软件供应商提供各种操作文档及最新版本的加密软件。

八、部署加密软件

通过试用，企业对加密软件应该有了全方位的了解，就可以在全公司实施加密软件了。可以按照厂家提供的实施计划，分部门有节奏地进行。

九、进行全面总结，并制定企业商业机密保护制度

三分技术，七分管理。这是所有信息安全保护的基本原则。在全面部署实施加密软件之后，必须建立一个科学有效的商业机密保护制度，从技术和管理两个方面来实现对商业机密的保护。

以上是中小企业全面保护商业机密的标准流程。在实践中，企业可以根据具体情况对某些步骤稍作调整。从现有市场的情况来看，只有少数加密软件厂商才建立了规范的操作流程，多数加密软件厂商出于种种目的，故意简化流程深圳省略重要步骤，其结果很可能导致加密软件项目的失败。