银行数据防泄密平台方案建议书.docx

银行数据防泄密平台
方案建议书

目 录
1 技术解决方案 4
1.1 项目背景 4
1.2 企业泄密风险 4
1.3 XXX银行关于认证部文档安全管理系统采购项目背景 5
1.4 XXX银行关于认证部文档安全管理系统采购项目网络现状和信息安全需求分析 5
2 山丽防水墙数据防泄漏系统解决方案 7
2.1 产品功能对透明加密管理的满足 8
2.2 产品功能对加密模式本地策略管理的满足 9
2.3 产品功能对多种加密模式管理的满足 10
2.4 产品功能对一文一密钥安全性管理的满足 12
2.5 产品功能对加密系统剪贴板管理的满足 13
2.6 产品功能对加密系统多种登录方式管理的满足 13
2.7 产品功能对出差笔记本防泄漏（加密客户端离网使用）管理的满足 14
2.8 产品功能对文件解密申请管理的满足 15
2.9 产品功能对密文明送文件外发控制管理的满足 18
2.10 产品功能对文件权限管理的满足 19
基于用户为脚色的文档权限控制 20
基于文档为角色的自定义文档权限控制 21
文档权限控制的精细化管理 22
2.11产品功能对基于B/S应用服务器和防水墙系统融合方案的满足 24
2.12 产品功能对PDM、FTP服务器和防水墙系统融合方案的满足 24
产品功能和应用服务器融合的原理 25
产品功能和应用服务器融合的方案 26
2.13产品功能对文件交互管理的满足 28
分支机构和总部的交流 28
产品功能对分支机构和供应商管理的满足 29
2.14 产品功能对计算机外设管理的满足 30
终端外设管理范围 30
外设管理在线、离线策略 31
注册移动存储设备管理策略 31
认证移动存储设备管理策略 32
2.15 产品功能对服务器灾难恢复功能的满足 34
2.16产品功能对审计功能的满足 35
对加密文件的各种操作行为进行审计 35
对加密系统各种操作行为的自动预警式审计 36
2.17 产品功能对系统管理功能的满足 39
防水墙加密系统三员分立管理模式 39
防水墙加密系统系统管理员管理模式 40
2.18 产品功能对安全性要求的满足 42
2.19产品功能对客户端自我防护的满足 43
2.20 产品功能对加密客户端授权管理的满足 43
2.21 产品功能对客户端自动升级的满足 43
3 产品部署方法和部署效果 44
3.1 部署方法 44
3.2 部署效果 44
3.2.1 法规的遵从 44
3.2.2 管理的视角 45
3.2.3 用户的视角 45
4 技术优势 45
5 售后服务体系 46
5.1系统售后服务内容 46
5.2售后服务的关键是处理应急服务 48
5.3售后服务流程 50
6 产品培训 50
6.1培训计划 50
6.2培训对象 51
6.3培训时间 51
6.4培训师资 51
6.5培训考核 52
7 项目实施 52
7.1项目实施流程 52
7.2 实施进度安排 53
7.3 风险管理 55

1 技术解决方案
1.1 项目背景
2012年1月16日，中国互联网络信息中心(CNNIC)发布《第29次中国互联网络发展状况统计报告》，报告显示，截至2011年12月底，中国网民规模突破5亿，达到5.13亿。
网民的生活、信息交流、办公已经无法离开互联网；
基于网络的工作、创新、仿真、制造、管理已经是当代企业生存的必要条件。
但因为国际、国内企业之间的进一步加剧、各个国家保护产权创新的力度和范围大有不同，基于个人或者企业的信息泄密事件时时在发生中……
其中，超过80%是由内部员工故意或无意地泄漏和破坏引起的……
对IT资产中电脑硬件的终端管理，和对电脑硬件里面的数据管理成为信息泄密安全管理问题亟待解决的两大问题。
信息安全的核心是内部信息安全的问题，是对内部电脑资源设备的管控和电脑资源设备上的数据文档的管控。
1.2 企业泄密风险
可能的泄密途径，应该来讲主要包括：
ü 服务器上泄密、
ü 工作站泄密、
ü 移动设备泄密、
ü 网络泄密、
ü 输出设备泄密、
ü 客户泄密、
ü 合作单位员工转发泄密等
主要的表现形式如下：
服务器泄密：
1、 网络维护人员在进行维护时使用移动硬盘将服务器上的资料自备一份。
2、 维护人员知道服务器密码，远程登陆上，将服务器上的资料完全的拷到本地或者自己家里的机器上。
工作站泄密：
1、 乘同事不在，开启同事电脑，浏览，复制同事电脑里的资料。
2、 内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走。
3、 将笔记本（或者台式机）带出管控范围重装系统或者安装另外一套系统从而将资料拷走。
4、 将笔记本（或者台式机）带出管控范围利用GHOST程序进行资料盗窃。
5、 将笔记本（或者台式机）的硬盘拆回家盗窃资料，第二天早早来装上。
6、 将办公用便携式电脑直接带回家中。
7、 将笔记本（或者台式机）带出管控范围使用光盘启动的方式，使用磁盘管理工具将资料完全拷走。
8、 将笔记本（或者台式机）的硬盘或整机送修，资料被好事者拷走。
9、 电脑易手后，硬盘上的资料没有处理，导致泄密。
10、 笔记本（或者台式机）遗失或者遭窃，里面的资料被完整的窃取。
网络泄密：
1、 内部人员通过互联网将资料通过电子邮件发送出去。
2、 内部人员通过互联网将资料通过网页bbs发送出去。
3、 随意将文件设成共享，导致非相关人员获取资料。
4、 将自己的笔记本带到公司，连上局域网，使用各种手段如PDM、FTP、telnet窃取资料
5、 随意点击不认识的程序、上不熟悉的网站导致中了木马产生的泄密。
输出设备（移动设备）泄密：
1、 移动存储设备共用，导致非相关人员获取资料。移动设备包括：u盘、移动硬盘、蓝牙、红外、并口、串口、1394等
2、 将文件打印后带出。
客户泄密：
1、 客户将公司提供的文件自用或者给了竞争对手。
2、 客户处管理不善产生的泄密。
3、 员工收到文件后将文件发送给其他人员产生的泄密。
1.3 XXX银行关于认证部文档安全管理系统采购项目背景
XXX银行关于认证部文档安全管理系统采购项目已经采取了积极的手段对重要文档加以保护，能够有效地防止外部威胁入侵窃取公司敏感信息，但仍存在一定的文档泄密风险。
1.4 XXX银行关于认证部文档安全管理系统采购项目网络现状和信息安全需求分析
企业大量机密数据均以电子文档的形式存在，其传播方式也是多种多样。互联网时代的快速发展推进了企业信息化进程，同时也将企业机密数据置于巨大的风险之中，保护机密数据和敏感信息免遭恶意或意外泄露，是当今企业所面临的最大安全问题之一。
目前，XXX银行关于认证部文档安全管理系统采购项目已经在内部采用了一些管理措施，就数据安全方面，公司的基本情况和需求如下：
基于上述对XXX银行关于认证部文档安全管理系统采购项目项目需求的分析，结合山丽信息安全有限公司在数据泄露防护领域多年信息安全项目建设经验，我们建议部署山丽防水墙数据防泄漏系统来保护XXX银行关于认证部文档安全管理系统采购项目数据的安全性。

2 山丽防水墙数据防泄漏系统解决方案
山丽防水墙数据防泄漏系统是一套包含了数据透明加密、剪贴板截屏控制、文件外发控制、USB存储设备控制、信息资产查询、文档权限控制、数据备份管理的综合性信息安全管理系统。
系统的各个模块广泛用于企业、政府、金融、军工等单位，为服装、设计、制造、集成电路、软件开发、船舶、航空等各行业提供着强大的信息安全防护。

山丽防水墙数据安全保护系统软件部署与效果
2.1 产品功能对透明加密管理的满足

山丽防水墙采用基于操作系统内核的处理技术,并不使用Hook技术,满足对不同软件的加密需求。目前可以设置成支持所有格式的加密（全盘加密，包括绿色软件的加密，随意压缩格式文件的加密，所有数据库格式文件的加密），可以设置为支持特定格式的加密，可以设置为支持具体目录的加密等等。一般公司的加密软件无法支持所有格式的加密，无法支持绿色软件的加密，甚至都不能支持特定目录的加密。
市场上所见的加密技术，或者是采用了个钩子（Hook）技术、或者采用了驱动技术，但这些软件或者只能达到和文件格式有关，或者实际上是硬盘加密，市场上许多硬盘如seagate硬盘已经自带硬盘加密，实际上互联网上已经有了这些加密软件的破解工具！而且和文件格式有关的软件无法适应未来的文件格式，更无法解决软件格式被加壳的情况，而互联网上基本有4000余种加壳工具。
山丽加密功能不采用Hook技术体现在即使将防水墙客户端程序终止了用户仍会在加密环境中，而许多加密软件只要将进程终止后加密效果就失效了，而从原理上，么有不能禁止的进程！
山丽防水墙支持穿透压缩包功能，可以实现对压缩文件的穿透加密。（所有压缩格式均可）
山丽防水墙支持对所有格式的加密，包括所有压缩文件的加密，经过加密的压缩文件，压缩包里面的内容也都是密文，即使被解压缩出来也是密文，除非是在加密环境里面解压缩。
文件的操作者和平常一样，对文件进行正常操作。他们不会感觉到Windows I/O及底层发生的一切变化。文件经过Windows I/O、透明加密技术平台和Windows 文件系统的处理，最后存放在磁盘上的文件是经过加密的。同时，加密策略（算法、密钥和加密文件的指定）是内置在透明加密技术平台中的，由系统管理员集中管理的，文件操作者是无权获取或更改的。

透明加密效果示意图
2.2 产品功能对加密模式本地策略管理的满足
山丽防水墙完全和文件格式无关，山丽防水墙的透明加解密模块处于系统内核里面，随系统启动而启动，随系统关闭而关闭。可以应对未来产生的文件格式，更能应对被加壳的文件。
管理人员可以自由定义用户（组）的加密模式或策略：全盘加密、目录加密、特定格式加密、特定格式不加密、自主加密等。
用户在登陆进入加密系统后，本地即执行对应加密策略。管理人员也可以设置系统为自动登陆或者开机登陆，满足用户不需要输入密码的使用体验。（实际上，有时候为了安全，在实践中又往往是在企业内部选择采用自动登陆在企业外部采用秘密登陆的方式）
达到效果：
1、内部的用户，管理的需要，可以加载全盘加密方式、目录加密方式、程序加密方式、空加密方式，满足对不同角色用户的管理；
2、内部资料，不经过公司允许，通过各种途径外发的均是密文，对大多数用户而言，需要审批批准方可解密，对特殊用户，可以自行解密外发；

2.3 产品功能对多种加密模式管理的满足
山丽网安的多种客户端加密模式，管理人员可以自由的组合，以应用与任何组，或者组的成员；区别于一般公司的产品不同的是，山丽网安的产品的这些模式是同时提供给用户的，而不是仅仅只能提供其中一种加密模式，不会造成用户的适用性、扩展性无法满足的现状。
另外，互联网上已经有公开的加密软件解密工具可以得到。这些工具可随意的对格式加密类软件进行破解。这也是山丽防水墙提供了多种加密模式的原因。

多种加密模式示意图
具体来讲，山丽防水墙对数据的加密提供动态加密和静态加密两种。
其中，动态加密有7种方式，可以根据管理目标-用户或者用户组，进行设置，具体包括：
1、加密特定的格式，如用户所列出的各种软件，这个是市面上一般企业可以提供的加密模式；这种模式的优点是简单，但存在着被破解的可能性，目前网上已经出现了破解工具；这种方式的另外特点是应对未来的发展性较差；
2、某些格式不加密，其他格式均被加密，这个目前仅只有山丽网安提供；这种方式的特点也是简单，同时安全性相比1有所提高，对未来的扩展性也有很好的适应，因为未来的均会被加密；
3、目录加密，这种模式可以做到和文件格式无关，即文件放到加密目录下面即自动被加密，这种模式主要的应用对象是企业的高级管理人员，其本人可以自主将资料解密，而不需要申请；目前仅有山丽网安提供有这种模式；
4、空加密模式，这种模式显然是应用与企业或者组织的最高级领导的，即：最高级的领导本身的资料不进行任何的加密，但其本人又可以自由的阅览任何密文；目前仅有山丽网安提供有这种模式；
5、网络加密模式，这种模式可以决定以网络形式存在于服务器上的数据的加密属性，可以自由的决定数据存在于服务器是密文还是明文，而不管其本身原来是何状态；目前，仅有山丽网安提供有此模式；
6、外设加密模式，这种模式是为了满足工作内部、外部自由交流的方便性而设，可以自由的决定数据存在于外设是密文还是明文，而不管其本身原来是何状态；目前，仅有山丽网安提供有此模式的高级功能—其他软件只能加密，山丽防水墙可自由设置是否加密；
7、全盘加密模式，这种模式最严格，一般应用与研发人员或设计人员，这些人员的创造成果对企业的发展具有举足轻重的作用，有时侯，为了平衡使用者的心理，有些管理人员也主动采用这种模式进行防护；目前，仅有山丽网安提供有此模式；
所有的动态加密，文件一旦被修改或者新创建（包括复制等操作），文件就会按照既定的策略被加密。
在静态加密上，山丽防水墙提供有两种，用户右手点击某文档决定是否加密（有权限的也可以直接点击右键解密）
8、手动加密，这种模式目前有美国airzip提供，同时山丽网安也提供有这种模式；这种模式的特点就是完全依赖作者本人的行为，比较适用高层管理人员；
9、批量加密，控制台操作，对历史的文件进行一次性的处理，文件变成密文。这种方式的目的一般是对服务器上的文件进行加密操作。
山丽网安的8种客户端加密模式，管理人员可以自由的组合，以应用与任何组，或者组的成员；区别于一般公司的产品不同的是，山丽网安的产品的这些模式是同时提供给用户的，而不是仅仅只能提供其中一种加密模式，不会造成用户的适用性、扩展性无法满足的现状。
2.4 产品功能对一文一密钥安全性管理的满足
山丽防水墙采用的是国际先进的对称加密和非对称加密相结合的方式，在管理中，并不进行密钥许可，这是极为不安全的。因为加密软件必须采用国家规定的加密算法，如果密钥可以拿到。用户即使拿到密文也是可以被解密的。
在山丽防水墙系统中，文档的加密密钥是动态变化的，这一点可以从密文另存为相同几份密文后，在加密环境外打开密文内容不一样得到确认。
山丽防水墙用户并不持有文件加密密钥，而持有PKI证书中自己的私钥，这个私钥只是确认自己是一个合法的用户而已，当用户合法后，本地的加解密驱动开始工作，实现对文件的动态、实时、透明加解密。
山丽防水墙的用户相邻可以查看彼此文件的关系就是通过PKI体系来管理的，而不是通过文件加密密钥实现。因为那样安全风险是非常大的。
※另外还需要注意的是：※
山丽防水墙系统基于脚色管理的权限系统，对文件的流转途径没有任何限制，也就是说，一旦脚色相互之间的关系确认，通过u盘、qq、mail、应用系统等等方式流转的文件均接受这样的管控权限的约束。
在市场上，有的公司的产品加密和权限是两套系统，对文档的权限控制需要将文档上传到特定的服务器进行设置才行，这个管理带来了巨大的挑战，毕竟，用户购买产品的目的是使用产品，不是增加自己的管理成本的。
如果实施加密产品而不考虑产品的安全性，那信息化管理人员就不是在买安全产品了。因此，加密产品的安全性应该成为产品购买和实施的重点考虑对象。
目前的加密产品，按照国家管控的要求，加密算法必须是采用国家指定的加密算法（也是公开的），否则产品不能在国内进行销售。这个也是国外的安全产品迟迟不能今进入中国境内进行销售的原因。
但国外安全产品的安全性往往又非常高，这个又是什么原因呢？
这个是因为，有的数据加密产品，在产品交付给用户的时候，往往供应商会讲，是给用户提供一个密钥，或者说给一个部门一个密钥。
不要相信什么不能破解的神话。没有不能破解的。当其他人一旦获得了公司的密钥或者一个部门的密钥，加密算法是公开的（也不用费神破解加密算法了），企业的数据还有什么不能破解的。
因此，一文一密钥是安全的基本保证。国外产品的安全性高的原因就是一文一密钥（一个文件一个密钥）。
这样，破解者即使得到了一个产品的密钥，也不会对数据安全产生根本性的影响
要实现一文一密钥，必须采用对称加密和非对称加密的相结合的方法。目前pdf的加密、windows的efs的加密是这样的，国内也有山丽防水墙是这样的。
因此，采用对称加密和非对称加密，并实现一文一密钥是产品安全性的保证。
2.5 产品功能对加密系统剪贴板管理的满足

用户组用户剪贴板管理
复制和粘贴功能：防止重要的文件内容从受控程序中直接复制到非受控程序中，如需复制和粘贴，则可以指定复制、拷贝到某一应用程序中。
山丽防水墙的剪贴板管理也有独立的模块进行管理。
山丽防水墙对剪切板具有精细化的管控：或者全开，或者关闭，两种模式；在管理模式情形下，又可以设置剪贴板可信的程序，从而可以copy内容进入；具体的管理细则如下;
1、所有的受控程序相关的内容均不得copy进入非受控进程；
2、所有的非受控程序的内容均可copy进入受控进程具有写入权限的文件；
3、具有只读权限的密文内容不得copy进入任何其他文件，只读权限之间亦然；
4、受控程序之间的内容可以自由copy，只读除外；
5、如果放开了剪贴版控制，则以上不再管理，但只读密文仍在管控范围；
6、如果禁止了剪贴板管理，则遵行以上原则；
7、如果设置了某程序剪贴板可信进程，则内容仍可copy进入之；
2.6 产品功能对加密系统多种登录方式管理的满足
山丽防水墙系统可以提供多种登陆进入加密系统的方式。包括：
1、域结合登陆：和域控账号结合的登陆方式，用户登陆域即自动进入加密系统；
2、自动登陆：山丽防水墙提供有自动进入加密系统的选项，可以在开机即随之进入加密系统而无需用户输入密码；用户也可以取消自动登陆的功能；
3、标准登陆：对有的用户，在需要看密文的时候再进行登陆也是一种选择；
2.7 产品功能对出差笔记本防泄漏（加密客户端离网使用）管理的满足
用户有将电脑带回家办公或者到客户现场办公的实际需要，对这种需求，山丽防水墙提供了多种解决方案。
方案一：采用VPN联入内网后登入加密系统，适合可以通过互联网连接进入公司内网的情况；
方案二：采用软件Key证书在没有任何网络情况下进入加密系统；
方案三：采用硬件Key证书在没有任何网络情况下进入加密系统；使用硬件key的安全性要大于软件key；
具体来讲，对不同的用户，出差时候管控策略也可以不一致，一个用户，也可以在不同的场景下采用不同的策略；
策略可以包含如下：
1、为用户发放离线电子钥匙（硬件Key或者软件key），用户在没有网络的情形下使用该电子钥匙登录进入加密环境，对密文进行操作；说明：笔记本丢失后，拾遗者没有电子钥匙和登录口令将无法查看和处理密文；
软件离线证书可在证书过期后重新发放；
硬件离线证书在证书过期前可以将时间延长；
2、对使用烧录软件进行烧录的情况，将烧录软件管理策略定制在离线电子钥匙里面即可；这样，用户在进行代码编辑仍然可以进行，但需要将代码烧录到设备里面的时候则烧录时即会自动解密烧录进入PLC等设备，不需要现场进行任何解密操作；但这些代码文件单纯的使用U盘（移动存储设备）拷贝出去的时候还可以是密文；
3、为部分用户提供3G上网卡，这些用户可以通过VPN方式登录进入防水墙服务器系统，像在公司局域网一样接受管控；在登录一次防水墙之后，只要用户不重启机器，安全策略就一直有效；
对出差员工的管理，因为不能做到实时有效的反馈需求，因此，离线管理是一种优选方案；同时，通过VPN提供远程登陆也是一种可以参考的方案；其次，通过对烧录软件的管理，也实现了安全和方便的要求；
部署结构：

2.8 产品功能对文件解密申请管理的满足
密文发送给用户需要解密处理，密文解密需要通过审批流程互动；
文件的加密是处于防范泄密的需要，但企业也有数据解密的需要。

审批流程图
山丽防水墙提供了多种文件解密的方式，其中一种是使用电子钥匙由管理人员对文件进行解密, ，以用于特殊目的，比如大批量文件的解密等等。如图

发放解密工具
发放解密工具必须要对应工作站用户的电子钥匙，可以按用户发放也可以按工作站发放；区别在于给用户发放的可以在多台工作站上使用，给工作站发放的只能在一台工作站上使用。
很多数据加密软件厂商在综合型企业设置审批文件者往往都固定在一个人或者一个部门，随着企业不断发展壮大，公司内部业务越来越多，文件审批外用的申请也会随之增加，随时会有泄密的风险。
在管理方面，综合型企业具有跨地域、跨行业等特点，面临的管理问题更多，更为复杂
由于管理跨度大、层次多，综合型企业对下属公司的控制乏力。
由于信息不能及时、准确地收集和传递，导致集团决策滞后、市场反馈迟缓。
综合型企业的内网是一个信息点较为密集的高速网络系统，且网络中运行重要业务系统，如ERP、OA、财务等业务，有多个分支机构与主体相连。在如此庞大的树形结构中，审批管理的快速与方便显得尤为重要！
山丽网安在自身的审批管理模块中添加了审批流的技术创新概念。将公司业务流程如同生产流水线般针对工作需求进行审批管理，这在信息安全行业可谓是首创！
山丽网安在自身产品设计上已经实现了串行审批、自动审批、委托审批。山丽网安开创的多级审批流程在原有基础上开创了4个全新的功能：
l 平行审批：可同时设置两条或者以上平级审批人
此功能可以同时设置两个或者以上平级一审批人，当其中一条线的审批人不在公司时，另外一条线可以审批文件，这样就可以将文件传递下去，进行接下来的第二、第三人审批。同样的，我们也可以同时设置第二、第三审批人也为两人。
l 单线审批：当某一层的审批人不在时，可设置此功能
两条不同的审批线，但最后的审批结果是一样的，是一个审批通道。单线效果：当其中一条线中的某个审批人不在时，第二条线的审批人就可以进行审批。例如，谁先看到有审批的文件就可以审批。当其中一条线审批不通过审批时，另外一条审批线还是可以根据自己的决定批准或者拒绝，即第二线审批人审批通过，那么文件就能进行使用，无需两条线同时进行审批。
l 全线审批：根据文件的机密性来进行设置
全线也分为两条线进行审批，全线的重点在于审批的文件一定要全部审批人都通过审批才能使用。反之，如果其中一个人没有审批通过，那么就无法使用这个文件。这就是全线审批与单线审批的区别。单线是其中一条不通过审批，另外一条线可以通过审批。全线更能反映出企业机密文件的重要性。
全线审批，可以设置所有的审批人为并行，这个时候就是无顺序的会审效果，谁先拿到谁审批，全部审批才算通过。
l 提审：根据需审批的文件的紧急程度来设置
高级权限的拥有者是整个公司的高机领导人员。当文件已经审批的情况下，此时最高领导人员看到了这个文件的紧急程度，可以把文件提前出来，进行审批通过。在高级领导人员审批通过的同时，无论是单线审批还是全线审批的审批成员都会收到消息，告知其他审批成员此文件已经审批通过，无需再次审批。
审批模式示意图
山丽网安作为独领信息安全行业的翘楚企业，在山丽防水墙数据防泄漏系统的多模审批管理模块中不断创新，为广大企业用户开创新的管理理念！
2.9 产品功能对密文明送文件外发控制管理的满足
为了应对许多客户机器没有安装客户端的时候也想看到受限制的“密文”。 “山丽防水墙数据防泄漏系统”可对外发到企业外部的机密文件进行控制，包括设置外发文件的生命周期，只读、打印等所有使用期限。“山丽网安”则将内部保护和外发保护无缝结合，一套系统即可解决两类问题，合力构建了一个全方位的文件权限体系。

也就是说：密文明送管理（俗称外发控制），可以实现：给客户一种特殊的明文，客户只能看，但看到时间、次数、打印、截屏、复制均被设置了管理限制；必要的时候，还会被限制在特定的电脑上才能打开；文件也可以设置用户无法破解的密码。
2.10 产品功能对文件权限管理的满足
山丽防水墙产品可以实现密文的权限管理，满足平级关系、上下级关系文档权限管理；产品可以实现对企业标准化文件的精细化管理，可以实现特定的标准化文件只能在特定的服务器上只读，不能修改，不能下载到本地可以读取；
对公司的管理方法，就是把一个个公司当作一个组来进行管理即可，组内的用户就是公司的员工。

文档权限管理示意图
按层级进行密级授权管理，不同密级的管理者拥有不同的管理权限，上级拥有查看下级文档的权限，下级无权查看上级文档，如需查看需经上级进行授权；可针对部门或不同使用人群设置不同密级，未经授权相互之间无法访问。
山丽防水墙的文档权限控制可以用户脚色之间的关系进行设置。设置之后，可以满足上级可以自由查看下级文件，下级无权查看上级文件，如需查看，需要上级进行许可。
山丽防水墙采用的是国际先进的对称加密和非对称加密相结合的方式，在管理中，并不进行密钥许可，这是极为不安全的。因为加密软件必须采用国家规定的加密算法，如果密钥可以拿到。用户即使拿到密文也是可以被解密的。
在山丽防水墙系统中，文档的加密密钥是动态变化的，这一点可以从密文另存为相同几份密文后，在加密环境外打开密文内容不一样得到确认。
山丽防水墙用户并不持有文件加密密钥，而持有PKI证书中自己的私钥，这个私钥只是确认自己是一个合法的用户而已，当用户合法后，本地的加解密驱动开始工作，实现对文件的动态、实时、透明加解密。
山丽防水墙的用户相邻可以查看彼此文件的关系就是通过PKI体系来管理的，而不是通过文件加密密钥实现。因为那样安全风险是非常大的。
山丽防水墙系统基于脚色管理的权限系统，对文件的流转途径没有任何限制，也就是说，一旦脚色相互之间的关系确认，通过u盘、qq、mail、应用系统等等方式流转的文件均接受这样的管控权限的约束。
在市场上，有的公司的产品加密和权限是两套系统，对文档的权限控制需要将文档上传到特定的服务器进行设置才行，这个管理带来了巨大的挑战，毕竟，用户购买产品的目的是使用产品，不是增加自己的管理成本的。
基于用户为脚色的文档权限控制
山丽防水墙的文档权限控制，可以基于脚色进行相互之间的关系设置，一旦设置之后，各个脚色新产生、原来的秘文均按照这种相邻关系进行约束；这些脚色可以是一个用户、一个用户组、一个部门、一个分公司等等。
基于脚色控制，完全不需要将这些文档预先上传到服务器上去追加权限，权限和文档处于的位置不需要预设限制条件。

设置用户平级脚色的共享关系图

设置用户的下级、上级、自我权限关系图
基于文档为角色的自定义文档权限控制
在基于脚色之外，山丽防水墙的文档权限还可以设置给特定用户自行改变文档权限的能力，即自行设置权限文件夹，设置该文件夹的访问权限，当用户访问这些文件夹中文件的时候，将按照用户新设置的权限进行控制。
对有些文档，属于一定的机密文档，需要对其扩散范围进行限制。比如，A和B属于一个部门的，有些文件只能在A和B之间流转，安全策略规定不能共享给C使用，用户A需要在本地加密目录中建一个目录，然后对目录设置对应的用户权限，当将文件往这个文件夹里一丢，这个文件的权限控制就变成了和这个文件夹一样的权限属性了。然后，A将这个文件给B（任何方式），B只能在权限限制的范围内阅览了。这个时候，即使C拿到这个文件，也无法阅览—因为没有权限。

文档权限控制的精细化管理
除了可以控制剪切板、截屏、录屏软件之外，山丽防水墙对文档的精细化管理可以达到：只读、写入、下载、离线、删除、重命名、打印等等。包括了可以禁止另存、格式转换之后还是秘文，虚拟打印还是秘文等等。
山丽防水墙对客户端产生的文件、服务器上存在的文件，有多种权限可以供灵活设置，权限控制包括了权限颗粒度和用户之间的相互权限限制两个方面。
权限颗粒度包括并不限于：
只读、文件对特定用户而言只能阅读，并且不能编辑、另存、修改。对没有只读权限的人显示的就是乱码了。
编辑、文件可以采用各种方式被修改。文件修改后，文件的作者将变成了修改者本人。
复制、文件可以在特定的地方打开，不能copy到另外的地方使用。
打印、文件没有打印权限，用户打印即提示没有特定的权限。用户需要打印，必须经过一个审批流程。
截屏、用户可以对文件进行合法操作，但无法通过截屏的方式将文件通过QQ等方式泄密。
下载、文件只能在特定的服务器上使用，复制到本地无法使用。
离线、文件仅仅能在组织内部使用，带出组织环境（即使在合法的离线笔记本上）也无法使用。
次数、文件有打开时间的限制。
时间、文件有打开此次数的限制。

截屏控制策略

文件其他权限颗粒度

文件无权限打开的提示

次数和时间
2.11产品功能对基于B/S应用服务器和防水墙系统融合方案的满足
用户部署有较多的ASP/Php开发的B/S架构的应用服务器系统，用户希望密文文件上传到这些服务器系统上附件直接转化为明文，但用户电脑的密文在用户发送到私人的webmail中（如qqmail）还是保持原状，即密文还是密文。
利用山丽防水墙网络可信程序的设计，满足当密文发送到基于ASP/Php开发的B/S应用服务器系统上时，文件自动解密；但文件发送到自己的私人webmail中则保持原状—密文还是密文；
这种设计满足：IE6、IE7、IE8 、IE9等；支持打开一个IE进程后关闭再打开另外一个进行进行分别文件传递，支持同时打开两个IE进程分别进行文件传递，也支持打开一个IE进程使用不同的选项卡分别进行文件传递（一共三种状态）。
2.12 产品功能对PDM、FTP服务器和防水墙系统融合方案的满足
也有的用户有许多的PDM、FTP服务器，使用的PDM、FTP程序也是五花八门，用户希望能够实现使用任何PDM、FTP程序从PDM、FTP服务器上下载下来的任何文件都是密文，但上传到服务器上就是明文。当然，已经加密的文件发送到不信任的PDM、FTP服务器上又必须是密文了。
利用山丽防水墙网络可信程序的设计，设置特定的PDM、FTP服务器是可信的，则通过任何PDM、FTP程序从该服务器上下载下来的文件（包括导出的文件）均是密文；
如果用户指定了特定的端口或者固定的PDM、FTP程序，在防水墙的设置中，也可以设置为该特定的程序下载下来的任何文件均是密文（包括导出的文件）。
产品功能和应用服务器融合的原理
为避免机密数据泄露和协同管理，加密系统必须与公司协同工作平台等兼容。
山丽防水墙在设计上充分考虑了系统边界的问题，在底层执行的技术可以确保和各种应用系统完美兼容。

系统边界原理图
在应用中，山丽防水墙和PDM、FTP、OA、CAD管理软件等系统有许多灵活应用。
在应用系统融合的方案部署中，山丽防水墙可以在可信模块的支持下，发送密文或者明文数据到PDM、FTP、OA、CAD管理软件系统服务器端。
当发送密文到PDM、FTP、OA、CAD管理软件服务器端的时候，希望看到服务器上数据的客户端就必须在客户端进入防水墙系统（不然打开是密文），从而保护了PDM、FTP、OA、CAD管理软件系统上的数据不会产生任何泄密。
当发送明文到PDM、FTP、OA、CAD管理软件服务器端的时候（在实际部署中，客户选择此种方案的数量还比较多），希望看到PDM、FTP、OA、CAD管理软件服务器上数据的客户端必须在客户端进入防水墙系统，不然无法连接进入PDM、FTP、OA、CAD管理软件、服务器端，这是因为山丽防水墙依据自己服务器的TPM装置，天然的在自己的客户端建立了一个自动可信的环境，而没有安装防水墙的客户端无法连接进来，从而保护了PDM、FTP、OA、CAD管理软件、系统上的数据不会产生任何泄密。
即使在PDM、FTP、OA、CAD管理软件服务器上以明文形式存在的情况下，也可以通过可信设置，设置特定的用户端不安装防水墙客户端就可以连上来，以满足跨区域用户的需要。

PDM、FTP、OA、CAD管理软件等系统兼容部署图

注：本方案不需要添加硬件设备。
产品功能和应用服务器融合的方案
因为山丽防水墙可以实现在不增加任何设备的情况下客户端上传到服务器上即自行解密，下载即自行加密，而且和使用的程序无关，需要加密的文件格式无关，这种方式也满足对任何应用系统的支持。
但用户可能在不启用加密系统的情况下，登陆进入应用系统，从而造成安全隐患。山丽防水墙推荐如下四种方案：
1、 在应用系统服务器上部署山丽防水墙认证端
在windows应用系统服务器上，防水墙的处理方案是在windows系统上安装防水墙认证客户端，从而实现不安装并且登陆防水墙的客户端机器不能登陆windows应用系统服务器；
在应用系统服务器上一样，也安装防水墙认证客户端，从而实现不安装并且登陆防水墙的客户端机器不能登陆windows应用系统服务器；
方案优点：
不需要在网络环境中增加任何硬件设备，仅仅需要轻量级的安装即可满足对所有服务器的防护；而且没有任何的安全缝隙；
方案缺点：
需要在服务器上安装防水墙认证客户端，有工作量，尤其是服务器多的情况下。
2、 在企业内部部署网络准入设备
随着企业终端规模的扩大，哪些客户端工作站可以连接哪些服务器是企业管理的重点，任何外来的电脑、手持设备不能肆意接入公司网络是企业网络边界管理的重点；因此，许多企业已经完成了网络准入设备的部署。
在解决非window应用系统服务器数据防护方面，采用防水墙+网络准入设备也可以满足这个管理需求，而且一样，可以实现没有任何的安全缝隙。
即：在部署的时候，可以将是否登陆了防水墙客户端作为客户端电脑连接到对应服务器的安全策略（正如是否安装和启用了杀毒软件、是否打了补丁一样）。
在用户没有部署网络准入设备的情况下，用户可以采用山丽网安的网络准入设备。
实际上，网络准入设备的安全范畴要远远大于本处描述的作用，正如一个国家需要管理自己的边境线一样，网络准入设备是网络边界安全的必备设备。
3、 在应用系统服务器前部署山丽防水墙系统安全网关
对应用系统服务器的防护，也可以采用加密安全网关进行防护。
在实践中，将安全网关部署在应用系统服务器前面，文件上传到安全网关时候进行解密，文件从应用系统服务器下载到客户端工作站的时候，在安全网关上进行加密；
“安全网关”和山丽防水墙客户端之间形成一个安全域的堡垒，所有想访问安全网关后面服务器的客户端首先需要部署山丽防水墙客户端才能通过安全网关进行通讯；没有安装山丽防水墙客户端的电脑将无法和后面的服务器进行通讯；
用户通过安全网关，将实现数据下载加密、上次解密的效果，这样，数据在应用系统服务器仍然是明文，但用户下载下来就是密文了。
优点：
实现了对应用系统服务器的防护
缺点：
所有经过应用系统服务器的数据均需经过安全网关的处理；网络中需要新增加硬件设备，会改变网络拓扑；
数据加密网关拓扑
4、 在应用系统服务器和山丽防水墙系统之间进行数据接口开放，二次开发
具体的二次开发需要依据具体应用系统来进行分析。
山丽防水墙在中控股份、思源电气方面进行的是二次开发的方式。
2.13产品功能对文件交互管理的满足
分支机构和总部的交流
在防水墙管理架构下，分支机构和总部交流方式有以下几种（用户可以选择并行或者固定采用其中一种）：
⑴总部每次发送附件的时候，先行解密然后发送
方案优点：分支机构办公方式无须任何的改变，工作方式和原来一样；分支机构自己起草的任何文件均不会有加密的情况，可以自由的外发自己的客户；
方案缺点：总部外发文件前需要先将文件申请解密；在交流过于频繁的情下会增加一定程度的工作量；
⑵总部每次发送附件的时候，设置分公司的mail地址为绿色信任邮箱，这样，通过山丽防水墙的专用工具发送给这些用户的mail附件将会自动解密，
方案优点：分支机构办公方式