守住商业秘密 护航海运发展

近年来，各行各业在日常运营中产生的数据量呈几何级数增长，这些数据中的很大一部分构成了企业中的商业秘密。商业秘密是企业的宝贵财富，蕴含企业积累数年甚至数十年的生产知识，一旦外泄，将会对企业造成难以弥补的损失。随着中国海运信息化程度的不断提高，给商业秘密的保护也带来了前所未有的风险和挑战，因此，中国海运集团对保护商业秘密尤为重视，旗下中海信息系统有限公司通过建立商业秘密保护平台，达到企业保护商业秘密的目的。

商业秘密面临风险

中国海运集团是以航运为主业的跨国经营、跨行业、跨地区、跨所有制的特大型综合性企业集团，集团及下属子公司逐步建设了自己的信息系统，这些系统每天会输出大量新的业务数据和企业内部文件。各子公司系统之间数据交互，复杂的地域联系，使得中国海运集团的企业数据在通过公网在各子公司之间传输时，很容易遭到黑客的攻击和嗅探，安全威胁频发。企业现有的安全机制已经难以满足目前的信息安全需求，过去针对来自企业外部网络威胁的防范已显得力不从心，加之企业内部人员对商业秘密不正当的操作和使用，手机、平板电脑等移动终端的普及，使得传统的管理和技术手段很难确保数据在流通中的保密性。

目前，中国海运集团的商业秘密首先面临丢失的风险。比如硬盘损坏造成的数据丢失，员工离职或调岗时工作交接不完整可能造成的数据丢失等。数据丢失对企业信息资产是一种慢性侵害，将导致企业的信息资产无法形成长期而有效的积累。

商业秘密外泄也是一大风险，这将会对企业造成极大的损失。以文件形式存在的企业商业秘密数据缺乏必要的标识和保护，导致员工在未意识到的情况下，通过邮件或聊天工具向外传递文件造成数据泄密，或是由于笔记本、U盘、移动硬盘、智能手机等便携设备丢失导致数据泄密。这些数据没有明确的商密标记，缺乏必要的加密保护，安全防护较为薄弱，当被用户下载到个人终端后，企业无法对这些数据实行有效的监管，即使发生泄密事件也难以追责。另外，虚拟化技术的引入使得传统的基于物理服务器为单元划分网络安全域的方法发生了改变，与传统的基于安全域隔离的模型不同，云计算模型不再有物理机的隔离，相应的网络隔离也不再存在。系统遭到黑客入侵，也会带来机密文件的篡改、泄密或者丢失。最后，数据在用户多个终端设备之间的共享，可能导致用户的数据泄密和病毒木马传播更加容易，如何帮助用户解决此类问题，维护企业业务发展，是中国海运一直在探索的课题。

在传统的防御中，企业一般通过基础网络建设对企业的内网安全进行加固，规范内网用户的行为并预防来自外网用户的恶意攻击。目前，中国海运已经建立了信息安全技术体系：通过在网络边界部署上网行为管理设备，进行流量控制、流量负载均衡、是否允许用户上网等管控：通过专业硬件的防火墙，利用应用感知检测引擎，提供强大的应用层安全，防御网络层和应用层攻击、拒绝服务（Dos）攻击以及各种病毒和恶意软件；通过漏洞管理产品和入侵检测系统，高效、全方位地检测网络中的各类脆弱性风险，提供专业、有效的安全分析和修补建议，并贴合安全管理流程对修补效果进行审计，最大程度减小受攻击面；通过部署防病毒网关，阻挡病毒进入网络；通过在内网设备上部署防病毒软件，消除网络病毒对内网设备的影响。

中国海运商业秘密保护平台设计

不过，信息安全技术体系并不能让企业真正做到高枕无忧。商业秘密的保护应以数据安全为核心、物理介质安全为基础、网络安全为保障，并需对终端和移动介质进行必要的管控。结合中国海运信息化建设现状和未来发展趋势，利用成熟的信息技术手段，中国海运建立了商业秘密保护平台，保护机密数据不被流失泄露，确保企业核心经营信息和技术信息安全，为国有资产保值增值发挥重要保障作用。

商业秘密保护系统综合分析企业的整体安全需求，能够从上级企业逐步推行至下级各子公司，安全技术的使用不能以影响业务系统正常运行、降低员工的工作效率为代价，安全技术规划需考虑安全要求与业务要求的平衡性。因此，中国海运商业秘密保护平台应当融合管理与技术手段，平台模型如图1所示：

商业秘密保护平台划分为基础平台层、数据管理层和用户使用层三层架构。在基础平台层，逻辑上采用云存储基础架构，配合云平台强大的备份容灾能力，提供商业秘密保护的底层基础平台；在数据管理层，通过商业秘密保护系统对数据的加密和权限管理保证商业秘密在传输、使用过程中不发生泄露；在用户使用层，通过统一身份认证系统对用户接入的认证和系统中对用户行为的管控，达到保护商业秘密的目的。

建立统一的身份认证系统。传统的身份认证技术在云计算环境中仍然适用，特别是基于“用户名+口令”的身份认证，目前仍然是使用最广泛的认证方式。但是，在企业信息化发展过程中，逐步积累了诸多的企业信息化管理系统，对每一个信息系统，都会独立设置自己的身份认证方式，这不仅增加了系统维护的困难，也造成了后续系统建设的资源浪费。

对此，中国海运认为，随着企业业务的快速发展，1T设施集中整合已经成为发展趋势，账号统一管理、认证集中和授权集中是系统集中整合的重要基础。集中用户管理、身份认证及授权平台是提高企业IT设备、主机系统和业务系统安全的重要举措。企业需要建立统一的信息化身份认证系统，达到一次建设、多次使用的目的。因此，中国海运目前采用了用友PORTAL第三方系统集成方案，在集团总部率先实现了应用系统单点登录技术（SSO）（见图2），允许用户一次登录门户，访问授权许可范围内的所有系统。通过统一身份认证系统实现用户接入商业秘密防泄露平台中的第一步验证。此外，平台管理员可以为用户分组，或者定义不同的角色，配置不同的资源，使得特定的用户只能访问授权的特定资源，禁止访问未授权的系统资源，做到“事前防御”。

采用云存储手段。云存储是一种数据存储服务，也是在云计算技术上延伸和发展的一个新存储及服务提供方式。云存储系统中的设备由多个存储节点设备构成，但它对用户完全透明，任何经过授权的用户都可以通过网络与云存储连接。云存储具备弹性扩展、动态分配和资源共享等特点，在其模式下，软件、硬件、平台等IT资源将作为基础设施，以服务的方式提供给使用者。

中国海运目前已初步建成云存储平台（见图3），为企业人员提供个人在线云存储（云盘）服务，将企业商业秘密数据保存在云存储数据中心，可方便地应对目前和不断增长的数据量，利用云端硬件强大的运算能力和备份容灾等技术手段，保证数据不会丢失，安全可靠。

中国海运通过云存储，对集中存储的数据按商业秘密的管理目标分为“数据不丢失”、“数据不泄密”、“形成可控的IT资产”几个层面，这几个层面的管控都必须以数据集中为前提。在商业秘密保护系统中，使用云存储可以方便地实现涉密数据的共享，通过权限控制，实现文件的云端读取、修改、保存，免除了使用移动工具在文件转移交换过程中的泄露，并可轻松实现涉密文件的版本控制。

云端数据加密，增强安全防范。2013年10月5日，国内第三方漏洞监测平台乌云发布报告，指出国内一家大型酒店数字客房服务商“慧达驿站”的WiFi系统认证用户名跟密码是明文传输并实时保存到后台存储，导致国内多家大型连锁酒店住客信息遭到泄露并可在第三方网站明文查询。

可见，数据加密技术是保证信息安全的最核心、最基本的部分，加密机制可以保证存储在云里的数据只能以密文的形式存在。为此，中国海运实行诸多举措，对其商业秘密保护平台的数据进行严格控制，力图保证数据的高效、安全存储（见图4）。首先，数据块加密密钥由数据所有者掌握，数据块解密密钥由客户端根据数据块内容向云端发起请求，在云端进行运算后产生并返回客户端。这种面向云存储的数据加密策略，可以实现对数据文件的双重权限控制。密文访问权限由数据所有者制定，但由云服务器执行，解密密文所需要的密钥材料则由数据所有者控制，从而加强了对数据文件的控制，并且可以灵活实现权限撤销。通过对明文数据的加密和对密文数据的处理，使数据申请者每次申请都得到全然不同的密文结果，进一步增强了数据的保密性。同时，存放在云端的文件在上传前已经被分割成数据块，每个数据块使用独立的密钥进行加密，即使通过某种途径获取到某个数据块密钥，也无法解密其他数据块，从而不能对整个文件进行解密。这种基于数据块的加解密方式可以实现对密文数据的高效更新，不用重新加密并上传整个数据文件，提高了系统传输和存储效率。另外，客户端、服务器以及服务器间的通讯报文经过加密处理，采用https协议，保证数据在传输和存储时的更高级别的安全，当数据在访问层和应用接口层被拦截时，拦截者不会得到有效的数据信息。

行为控制和审计功能加强商业秘密保护。中国海运商业秘密保护平台通过行为控制、审计功能，完成商业秘密保护的事中监控、事后审计。商业秘密保护系统需要有严格的权限管控功能，通过严格的角色控制，来限制进入系统的用户只能访问限定的数据，并控制对数据的操作权限。当用户在自己的终端打开一份商业秘密进行阅读或者修改时，商业秘密保护系统会区分核心商业秘密和普通商业秘密，并按照策略指示灯（见图5）限制用户的相应操作，杜绝云存储中的商密信息以各种方式和途径泄露。

另外，系统后台记录着用户对平台中所有商业秘密的操作历史，包括修改、审阅、打印、外发等事件。商秘文件上的水印信息，可以记录哪个用户在什么时间用哪个IP地址等对该商秘文件进行了文件打印或者拍照，一旦出现涉及商业秘密的文件外泄，可根据水印追踪到泄密人员、电脑等信息，对泄密人员产生了一定的威慑。

随着中国海运信息化的发展，企业应用对海量数据存储和保护的需求越来越迫切。中国海运商业秘密平台通过建设私有云存储技术来实现企业商业秘密的集中存放和共享，利用云存储提供的备份容灾能力，保证涉密数据不丢失，能够真正做到商业秘密的事前防御、事中监控、事后追溯，为企业创造出更多的经济效益和社会效益。