安全标记:基于行为特征,文档画像

企业 PC 终端创建的每一个文件,建立一个唯一 FileID,在文档的企业全生命周期内只有一个不变的 ID。数据防泄漏的核心是“安全又便捷”,即在对文档分类分级的前提下,机密文档不能外发、普通文档进出自由。数据防泄漏(Data Loss Prevention, DLP),主要应用在各种数据交换场景中,旨在保护企业的敏感数据,防止未经授权的泄露。

《等保》合规需求

网络安全等级保护等保3级

国家在《网络安全法》中重点强调了等级保护,并为此出台了具体的管理办法和技术指标。例如《GB/TGB∕T 22239-2019网络安全等级保护基本要求》的第三级通用要求:访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表级;应对重要主体和客体设置安全标记,并控制主体对有安全标记信息资源的访问。

《等级保护安全框架和关键技术使用要求》强制访问控制:应在高等级保护对象中使用强制访问控制机制,强制访问控制机制需要总体设计、全局考虑,在通信网络、操作系统、应用系统各个方面实现访问控制标记和策略,进行统一的主客体安全标记,安全标记随数据全程流动,并在不同访问控制点之间实现访问控制策略的关联,构建各层面强度一致的访问控制体系。

安全标记

文档实体画像

基于行为特征,文档实体画像,可以为文档生成文档身份证 FileID、级别、类别等关系元数据,存储至文档格式中,并在数据库中为 PC 机每一个文档生成一个文档画像(即文档对应的数据库的文档画像元组)。

不可分离不可篡改

基于行为特征,响应文档的存储位置,自动更新文档容器的 FileID、级别类别等元数据存储方法,使得文档虽然到处流动,但文档扩展属性中级别类别等元数据以及数据库中的元组始终与文档难以分离。

安全标记支持的文档格式

安全标记系统,支持 Microsoft Office 文档 (.doc\.docx\.ppt\xlsx) 、WPS 文档(.wps) 、PDF 文档、以及 PNG 、JPEG 、BMP 、GIF 、MPEG 、BMP 等常用的音视频文档。选配的支持格式,具体请咨询销售人员。

需要遵从数据出境评估的企业

国家安全评估的审查要点包括:数据出境的目的、范围、方式等的合法性、正当性、必要性

海外上市的企业

跨国公司的分支机构。其经营过程中产生个人信息(联系人信息、员工信息)经营数据(产品销售数据等),传输至境外集团总部系统进行分析、处理,从而进行统一经营决策。

向境外提供个人信息的企业

地理导航、自然资源、基因、生物特征、宏观统计数据等

互联网平台、云计算平台、大数据平台、国防科工、 大型装备、化工、食品药品科研生产企业

联想、华为、中国银行等中国的跨国企业

文档实体关系画像

文档与自定义元数据不可分离(安全标记要求中的 级别类别元数据与文档的不可分离)是困扰网络安全业届的一个长期技术难点,用数据库管理非结构化数据也是困扰计算机业界的一个长期技术难点。 本公司创新的发现,可以用一个文档画像技术,同时解决文档与自定义元数据的不可分离、数据库管理 PC 机文档这两个技术难题,并且两者互为支持,互相耦合。即数据库管理 PC 端文档在一些场景下是文档与扩展属性中存储自定义元数据不可分离的支撑,文档扩展属性中存储自定义元数据在另一些场景中支持数据库管理 PC 端文档。

每一个新文档,即建立一个新的实体三元组属性。 每一个文档不变,则维持文档、文档画像的实体三元组。 即新的PC机文档、新文档的扩展属性中的新 FileID、基于新 FileID 建立 DB 中的新元组。这样可以实现双向寻址,即 PC 机的文档可以找到 DB 中的文档画像元组,DB 中的文档画像元组可以找到 PC 机的文档。具体而言由文档可以获得扩展属性中存储的 FileID,由 FileID 可以获得服务端数据库中的唯一对应的文档画像元组。同时 DB 中的文档画像元组可以通过文档路径+设备 ID 找到 PC 机的文档。

文档画像,由多类关系进行连接,形成纵横交错的文档网络。纵向关系:文档流动,由文档衍生关系、文档网络传输关系组成。本系统体现的是文档流动全周期管理,是法庭证据级的责任追究、实现文档分级分类的基础。文档画像具有业务、级别、类别属性,本系统最核心的是通过文档流可视,从而获得业务的可视性。由于本系统创造性的基于画像技术,实现了准确的文档流动全周期管理,从而能够准确的获得文档流动特征,以及找到该文档流动特征所对应的文档业务、级别类别,进而准确获得文档的级别类别。

企业价值观

极致、开放、持续向上