協(xié)同協(xié)同OA辦公系統(tǒng)信息安全評估及建模研究

申請免費(fèi)試用、咨詢電話：400-8352-114

    隨著企業(yè)信息化的不斷推進(jìn)，協(xié)同OA系統(tǒng)在企業(yè)的應(yīng)用越來越廣泛。由于企業(yè)OA系統(tǒng)本身的重要性和特殊性，安全性問題便成了協(xié)同OA系統(tǒng)上馬實(shí)施時(shí)最鶯點(diǎn)考慮的問題。對于系統(tǒng)的安全性，可解釋為防止電腦病毒的侵襲、破壞以及黑客活動(dòng)，同時(shí)保證信息數(shù)據(jù)的完整、準(zhǔn)確和安全。

    在信息化的實(shí)施過程中，任何安全保護(hù)措施都不是絕對安全的。要真正實(shí)現(xiàn)數(shù)據(jù)的安全，需要建立一個(gè)多蕈保護(hù)系統(tǒng)，使各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)，其它保護(hù)層仍可保護(hù)信息的安全。多重保護(hù)原則體現(xiàn)在硬件設(shè)備接口、網(wǎng)絡(luò)通信、軟件采用的體系架構(gòu)、應(yīng)用系統(tǒng)的安全控制模型以及軟件產(chǎn)品的業(yè)務(wù)功能等方面。構(gòu)建一個(gè)安全的應(yīng)用環(huán)境要以多種不同層面的安全技術(shù)，在多葷保護(hù)原則的前提下相互配合才能得以實(shí)現(xiàn)。

一、協(xié)同OA系統(tǒng)的安全評估

    協(xié)同OA系統(tǒng)實(shí)現(xiàn)的方式是通過B／S結(jié)構(gòu)，借助互聯(lián)網(wǎng)進(jìn)行信息交流的，客戶端使用時(shí)只需要瀏覽器就可以開展工作。對OA系統(tǒng)安全性進(jìn)行評估，就要從OA系統(tǒng)所使用的環(huán)境、使用的平臺(tái)及后期監(jiān)督等幾方面展開。

    1、OA系統(tǒng)傳輸安全性評估

    由于辦公網(wǎng)絡(luò)涉及很多用戶的接入訪問，因此保護(hù)公文對象在傳輸過程中不被竊聽和篡改就成為OA系統(tǒng)建設(shè)主要要考慮的問題之一。通常情況下，保護(hù)公文對象的安全性可以通過數(shù)據(jù)對象的加密保護(hù)及傳輸協(xié)議的加密保護(hù)來實(shí)現(xiàn)。在數(shù)據(jù)對象加密保護(hù)中，對象加密保護(hù)支持對數(shù)據(jù)對象本身進(jìn)行加密處理，在數(shù)據(jù)的上傳和下載的過程中，數(shù)據(jù)都是通過”加密一傳輸一界面一處理”的過程進(jìn)行的，因此惡意訪問者即使截取了數(shù)據(jù)的內(nèi)容，得到的只是一堆對其毫無意義的數(shù)據(jù)，從而保護(hù)了數(shù)據(jù)對象的安全性。而對傳輸協(xié)議的加密則支持通過Web Server提供的標(biāo)準(zhǔn)安全加密傳輸協(xié)議，如最為主流的SSL(安全套接字)協(xié)議。通過傳輸協(xié)議一級的加密保護(hù)，進(jìn)一步增強(qiáng)了公文傳輸?shù)陌踩?/p>

    2、軟硬件結(jié)合的防護(hù)體系評估

    協(xié)同OA系統(tǒng)軟硬件結(jié)合的防護(hù)體系評估，主要看平臺(tái)是否支持多種軟硬件安全設(shè)備結(jié)合，是否能構(gòu)成一個(gè)立體防護(hù)體系。目前大多數(shù)的OA系統(tǒng)除支持所有主流的軟件安全驗(yàn)證解決方案，還能夠兼容所有采用PKI安全框架下標(biāo)準(zhǔn)技術(shù)的安全硬件，包括各種保存?zhèn)€人數(shù)字證書的硬件驗(yàn)證設(shè)備USBKey，基于PKI體系的VPN遠(yuǎn)程接入網(wǎng)關(guān)和SSL加解密加速器等等，支持手機(jī)短信的動(dòng)態(tài)密碼身份驗(yàn)證功能，因此基本上能夠和各種現(xiàn)有的和將來配備的安全設(shè)施協(xié)同工作，一起構(gòu)筑有效的安全防線。

    3、身份確認(rèn)及操作不可抵賴

    身份確認(rèn)對于協(xié)同平臺(tái)來說有兩重含義，一是用戶身份的確認(rèn)，二是服務(wù)器身份的確認(rèn)。在協(xié)同OA系統(tǒng)中，用戶身份確認(rèn)是通過個(gè)人數(shù)字證書和密碼得以保證，使系統(tǒng)確認(rèn)用戶沒有被冒認(rèn)。同時(shí)通過和公文內(nèi)部記錄以及日志功能的結(jié)合，實(shí)現(xiàn)操作的不可抵賴性。而服務(wù)器的身份認(rèn)證也是非常重要的技術(shù)之一，這是因?yàn)橐呀?jīng)出現(xiàn)很多利用冒認(rèn)服務(wù)器身份騙取用戶密碼和投放木馬程序的黑客技術(shù)。通過PKI結(jié)構(gòu)下的服務(wù)器認(rèn)證技術(shù)，確保服務(wù)器的身份也是確認(rèn)無誤的，同時(shí)在該服務(wù)器下載的各種控件也是通過該服務(wù)器簽名，為用戶和機(jī)器雙方都建立起了良好的信任關(guān)系。

    4、數(shù)據(jù)存儲(chǔ)的安全性評估

    在OA系統(tǒng)中，辦公系統(tǒng)數(shù)據(jù)存儲(chǔ)通常可采取多道機(jī)制進(jìn)行的保護(hù)，一是系統(tǒng)提供的訪問權(quán)限控制，二是數(shù)據(jù)的加密存放，其次還可以通過實(shí)現(xiàn)數(shù)據(jù)的加密保存技術(shù)來實(shí)現(xiàn)數(shù)據(jù)安全性保護(hù)。即所有文件在數(shù)據(jù)庫里面都是經(jīng)過64位加密再存儲(chǔ)的，即使惡意訪問者竊取了數(shù)據(jù)庫管理員的密碼，他看到的也只能是加密后產(chǎn)生的亂碼。

二、OA系統(tǒng)信息數(shù)據(jù)安全模型的構(gòu)建

    在協(xié)同OA系統(tǒng)中，信息數(shù)據(jù)安全性的總體結(jié)構(gòu)可分為三部分：即系統(tǒng)安全體系、信息安全體系、安全服務(wù)體系。這三者具體包含的內(nèi)容可從下圖1所示：

圖1 協(xié)同OA安全模型

    對于系統(tǒng)安全體系，可以分別建立隔離平臺(tái)，這個(gè)隔離平臺(tái)可以從物理和邏輯兩方面進(jìn)行著手，而網(wǎng)絡(luò)安全就要從系統(tǒng)結(jié)、信息傳輸、物理設(shè)備幾方面進(jìn)行著手，對于安全管理則要從數(shù)據(jù)備份、日志審計(jì)、病毒防范、網(wǎng)絡(luò)管理等幾方面進(jìn)行著手。

三、建立有效的信息數(shù)據(jù)安全管理原則

    1、協(xié)同0A操作系統(tǒng)安全管理原則

    協(xié)同OA系統(tǒng)通常要安裝于操作安全性較高的系統(tǒng)平臺(tái)，主機(jī)系統(tǒng)的基礎(chǔ)是操作系統(tǒng)，信息數(shù)據(jù)的安全，要以操作系統(tǒng)的安全性作為最重要的保證，如果應(yīng)用服務(wù)器或數(shù)據(jù)庫服務(wù)器的操作系統(tǒng)安全失效，那么所有的安全措施都將無法保障。對于主機(jī)的操作系統(tǒng)，其數(shù)據(jù)安全性主要包括訪問控制、系統(tǒng)漏洞及系統(tǒng)配置等方面，在進(jìn)行操作系統(tǒng)選擇時(shí)，同樣要選擇安全性高的操作平臺(tái)，對于系統(tǒng)不必要的資源共享一定要進(jìn)行限制或者取消。

    2、數(shù)據(jù)庫安全管理原則

    在OA系統(tǒng)中，數(shù)據(jù)庫系統(tǒng)的安全性主要體現(xiàn)在數(shù)據(jù)的完整性、可用性、不可篡改性等等方面，要建立數(shù)據(jù)庫的安全原則上即要嚴(yán)格劃分?jǐn)?shù)據(jù)庫各使用者的權(quán)限劃分，在OA系統(tǒng)中，數(shù)據(jù)的交換與共享不可避免，對于一些十分重要的原始數(shù)據(jù)要進(jìn)行高端技術(shù)手段進(jìn)行處理，保留其原始的狀態(tài)不被更改。同時(shí)要合理劃分?jǐn)?shù)據(jù)庫的內(nèi)容，對于不同數(shù)據(jù)內(nèi)容進(jìn)行即時(shí)的備份。

    3、安全管理規(guī)章的實(shí)施

    對于OA系統(tǒng)數(shù)據(jù)的安全性，除了通過技術(shù)保障外，還要有嚴(yán)格精確的管理規(guī)章作為保障。系統(tǒng)安全管理規(guī)章也是評價(jià)系統(tǒng)安全性的重要內(nèi)容。安全管理規(guī)章要對系統(tǒng)使用人員進(jìn)行定期的培訓(xùn)，及時(shí)對系統(tǒng)實(shí)施過程中的不合適宜的規(guī)章制度進(jìn)行調(diào)整。同時(shí)對規(guī)章制度的要求嚴(yán)格執(zhí)行。通常情況下，很多人認(rèn)為有了完備的OA系統(tǒng)技術(shù)作為安全保障，就忽略了人為的管理制度，這是很不對的，所有的系統(tǒng)最終的操作者還是人，人的作用在安全體系中絕不可輕視。

四、結(jié)束語

    協(xié)同OA系統(tǒng)的建設(shè)，要將多個(gè)應(yīng)用軟件進(jìn)行充分的整合并納入統(tǒng)一平臺(tái)進(jìn)行管理，要實(shí)現(xiàn)多個(gè)軟件之間切換并保證軟件同步運(yùn)作，這對于協(xié)同軟件本身的技術(shù)性要求較高，目前很多協(xié)同協(xié)同OA軟件基本能實(shí)現(xiàn)這一目標(biāo)，但也還存在一些缺陷?？傊趨f(xié)同OA平臺(tái)中，人與人之間的屏障正逐漸被打破，不同部門之間的工作人員可被隨時(shí)調(diào)動(dòng)起來組成跨部門、跨企業(yè)、跨地域的”虛擬團(tuán)隊(duì)”，一起來實(shí)現(xiàn)企業(yè)大型的項(xiàng)目工程。

    好的OA系統(tǒng)，其系統(tǒng)的安全性、準(zhǔn)確性，對于數(shù)據(jù)的管理與歸納評估，都有很好的系統(tǒng)保障運(yùn)行機(jī)制。通常情況下，系統(tǒng)都呵以讓用戶很方便的進(jìn)行權(quán)限設(shè)置，這樣既方便各種文件數(shù)據(jù)在系統(tǒng)內(nèi)的統(tǒng)一管理又保證安全，管理者根據(jù)職位高低給員工設(shè)置不同的訪問權(quán)限，只有具有相應(yīng)權(quán)限的人才能夠看到這些資料，其他人則無法查看。實(shí)現(xiàn)OA系統(tǒng)解決方案軟硬件一體化，將具有更高的安全性。無論如何，現(xiàn)代信息技術(shù)發(fā)展日新月異，在設(shè)計(jì)和評估協(xié)同OA系統(tǒng)安全性的過程中，既要實(shí)用，又要方便簡單，堅(jiān)持技術(shù)和管理兩手抓，應(yīng)用和管理同時(shí)進(jìn)行，一定可以更好的展現(xiàn)協(xié)同OA系統(tǒng)的優(yōu)越性，提高企業(yè)的辦公效率。