Internet是一个开放的网络，当用户享受其高速发展所带来的大量的信息流通和前所未有的工作效率，可曾注意过伴随网络所产生的严重的网络安全问题。目前，各企业都拥有自己的品牌或各自的业务范围，都利用信息化手段进行高效管理。随着计算机、互联网的广泛应用，信息的交流和共享已经成为各企业自身发展必要的手段。企业内部竞争性情报信息也就自然成为广受关注、为企业所青睐的重要活动，成为企业进行无形资产管理的重要部分。俗话说“知己知彼，百战不殆”，如何保护企业自身重要情报不被竞争对手窃取，使企业在使用网络来提高工作效率的同时避免企业重要的知识产权遭受侵害，将是文档安全管理的一个重要课题。

企业内部竞争性情报类型主要有：

l 企业的机密技术文件、产品研发资料

l 设计图稿

l 会计账目、财务报表资

l 战略计划书

l 外购竞标信息和供应链合作伙伴信息

l 重要研究成果

l 研究论文  

l 市场营销策划资料

l 其他：如董事会、投融资等方面管理类资料，客户资料

大中型企业一般有着完善的书面文档泄密管理制度，并且由单独的文控中心负责制订、监督、审计企业内部重要情报信息使用状况，亦达到了很好的效果。但是这些电子文档存储的方式为明文方式存储在计算机硬盘中，电子格式存储的重要情报信息却由于传播的便利性和快捷性，对分发出去的文档无法控制，极大的增加了管理的负责程度，这部分的资产极易于受到损害。

安全漏洞分析

隐藏的安全漏洞主要有文档明文存放、粗放的权限控制、无限期的文件权限、不可靠的身份认证和无法追踪文件的使用情况等五类，下面一一阐述。

1.明文保存

目前，多数企业内部的文件都是以明文保存，仅限制浏览文件的用户。如果不加密，则进行再多的防范都是不可靠的，同样会泄密。文档防泄密现在有很多手段防止文档非法拷贝，如堵塞电脑的USB接口，检查电子邮件发送，但是，只要是明文的文档，泄密的途径就防不胜防，变换明文为密文后通过邮件传输、手机红外线传输、拷屏、录屏、拆开计算机直接挂上硬盘拷贝等。

泄密的方式		对明文情报的危害
黑客侵入	不法分子通过各种途径获取商业机密。如侵入内部网络，电子邮件截获等；	防不胜防，特别终端由个人掌控。
互联网泄密	通过EMail，FTP，BBS等方式传递情报；
内部局域网泄密	自带笔记本电脑接入网络，从而拷贝数据；
移动终端泄密	将工作用笔记本电脑带到外界，通过笔记本电脑的相关通讯设备（软驱、光驱、刻录机、磁带驱动器、USB存储设备）、存储设备（串口、并口、调制解调器、USB、SCSI、1394总线、红外通讯设备、以及笔记本电脑使用的PCMCIA卡接口）将信息泄漏到外界。
固定终端泄密	通过台式电脑的相关通讯设备（软驱、光驱、刻录机、磁带驱动器、USB存储设备）、存储设备（串口、并口、调制解调器、USB、SCSI、1394总线、红外通讯设备、以及笔记本电脑使用的PCMCIA卡接口）将信息泄漏到外界。

表格1 泄密方式

2.粗放的权限控制

在现在的情况下，企业内部信息的权限管理是粗放的，一旦将这些重要资料交给他人，就完全失去了对资料的控制，一般的资料（电子文档格式）权限有以下分类：

编号	权限	控制	危害
1	根据公司保密制度传递情报	有	情报交给对方就完全控制不了他如何使用，包括是否交给非设密的第三方；
2	打印，打印次数	无	接受方可不受限制的打印情报；
3	保存和另存	无	接受方可保留情报的副本；
4	复制和拷贝	无	接受方可保留情报的副本或某部分；
5	屏幕拷贝	无	接受方可通过计算机提供的屏幕拷贝按键和截屏软件获取情报内容；
6	阅览次数	无	接受方可无限次的读取情报；
7	控制阅读的条件——指定机器、指定USB锁、指定IP区域	无	对于绝密情报，不能控制接受方阅读地点——有可能他正在和竞争对手一起观看！

表格 2 权限类型及在不受控情况下产生的危害

只要交给对方后就再也不能控制信息资料的使用方式，这是非常危险的，“一传十、十传百”，只要拥有资料的人多了，泄密就不可避免。

3. 拥有时间无期限

拥有时间无期限指的是资料递交给接授方后，接授方就永远拥有此资料的所有权，随时可以使用资料。

拥有资料的时间无期限，会产生如下危害：

1） 当员工离职，就可能带走公司的很多重要资料，可以永远重复的使用；

2） 与合作伙伴协同工作完成后，合作伙伴利用原有的资料用于其他项目；

4. 不可靠的身份认证机制

身份认证是指计算机及网络系统确认操作者身份的过程。计算机和计算机网络组成了一个虚拟的数字世界。在数字世界中，一切信息包括用户的身份信息都是由一组特定的数据表示，计算机只能识别用户的数字身份，给用户的授权也是针对用户数字身份进行的。在网络环境中，辨认网络另一端的身份就是一个复杂的问题，我们从以下场景来看看身份认证的重要性。

场景一：不法分子打开我的电脑，将我的《XX产品技术方案》拿走了，而我茫然不知；

场景二：我忘了我已经将电脑里面的目录设为共享，别人很容易就拷贝走了我的资料；

场景三：我传递了一份资料给分公司的同事，而此时这位同事恰巧离开位置，其他人看得到这份资料。

身份认证有三个层次：一种为证明你知道什么——即现在广泛的用户名/密码方式；其二为证明你拥有什么——即给你一个独一无二的设备，如印章，每次需要出示才能确定你的身份；最后一种为证明你是什么——即通过生物技术，如指纹、面貌等确定。

目前，身份认证手段主要有密码认证、PKI认证、指纹认证、USB硬件认证等几种方法。

l 用户名/密码方式:简单易行,保护非关键性的系统，通常用容易被猜测的字符串作为密码，容易造成密码泄漏；由于密码是静态的数据，很容易被驻留在计算机内存中的木马程序或网络中的监听设备截获。是极不安全的身份认证方式；

l IC卡认证:简单易行,很容易被内存扫描或网络监听等黑客技术窃取；

l 动态口令：一次一密，安全性较高，但使用烦琐，有可能造成新的安全漏洞；

l 生物特征认证：安全性最高，但技术不成熟，准确性和稳定性有待提高 ；

l USB Key认证： 安全可靠，成本低廉 但依赖硬件的安全性。

5. 使用追踪

如果出现了泄密事故，那么我们关心的就是损失有多大，有哪些人参与，由于哪些操作导致泄密，需要追查事故责任人。而现在，由于没有采用有效的手段，只能通过人工方式调查取证，使得追查周期过长，损失加大，追查到真相的几率极低。

我们也不知道哪些人关注过哪些信息，某些信息被哪些人关注过，不能及时查出泄密的渠道，不能在第一时间估算出泄密所带来的损失。

加密系统