協(xié)同協(xié)同OA辦公系統(tǒng)信息安全評估及建模研究

申請免費試用、咨詢電話：400-8352-114

    隨著企業(yè)信息化的不斷推進，協(xié)同OA系統(tǒng)在企業(yè)的應(yīng)用越來越廣泛。由于企業(yè)OA系統(tǒng)本身的重要性和特殊性，安全性問題便成了協(xié)同OA系統(tǒng)上馬實施時最鶯點考慮的問題。對于系統(tǒng)的安全性，可解釋為防止電腦病毒的侵襲、破壞以及黑客活動，同時保證信息數(shù)據(jù)的完整、準確和安全。

    在信息化的實施過程中，任何安全保護措施都不是絕對安全的。要真正實現(xiàn)數(shù)據(jù)的安全，需要建立一個多蕈保護系統(tǒng)，使各層保護相互補充，當(dāng)一層保護被攻破時，其它保護層仍可保護信息的安全。多重保護原則體現(xiàn)在硬件設(shè)備接口、網(wǎng)絡(luò)通信、軟件采用的體系架構(gòu)、應(yīng)用系統(tǒng)的安全控制模型以及軟件產(chǎn)品的業(yè)務(wù)功能等方面。構(gòu)建一個安全的應(yīng)用環(huán)境要以多種不同層面的安全技術(shù)，在多葷保護原則的前提下相互配合才能得以實現(xiàn)。

一、協(xié)同OA系統(tǒng)的安全評估

    協(xié)同OA系統(tǒng)實現(xiàn)的方式是通過B／S結(jié)構(gòu)，借助互聯(lián)網(wǎng)進行信息交流的，客戶端使用時只需要瀏覽器就可以開展工作。對OA系統(tǒng)安全性進行評估，就要從OA系統(tǒng)所使用的環(huán)境、使用的平臺及后期監(jiān)督等幾方面展開。

    1、OA系統(tǒng)傳輸安全性評估

    由于辦公網(wǎng)絡(luò)涉及很多用戶的接入訪問，因此保護公文對象在傳輸過程中不被竊聽和篡改就成為OA系統(tǒng)建設(shè)主要要考慮的問題之一。通常情況下，保護公文對象的安全性可以通過數(shù)據(jù)對象的加密保護及傳輸協(xié)議的加密保護來實現(xiàn)。在數(shù)據(jù)對象加密保護中，對象加密保護支持對數(shù)據(jù)對象本身進行加密處理，在數(shù)據(jù)的上傳和下載的過程中，數(shù)據(jù)都是通過”加密一傳輸一界面一處理”的過程進行的，因此惡意訪問者即使截取了數(shù)據(jù)的內(nèi)容，得到的只是一堆對其毫無意義的數(shù)據(jù)，從而保護了數(shù)據(jù)對象的安全性。而對傳輸協(xié)議的加密則支持通過Web Server提供的標準安全加密傳輸協(xié)議，如最為主流的SSL(安全套接字)協(xié)議。通過傳輸協(xié)議一級的加密保護，進一步增強了公文傳輸?shù)陌踩?/p>

    2、軟硬件結(jié)合的防護體系評估

    協(xié)同OA系統(tǒng)軟硬件結(jié)合的防護體系評估，主要看平臺是否支持多種軟硬件安全設(shè)備結(jié)合，是否能構(gòu)成一個立體防護體系。目前大多數(shù)的OA系統(tǒng)除支持所有主流的軟件安全驗證解決方案，還能夠兼容所有采用PKI安全框架下標準技術(shù)的安全硬件，包括各種保存?zhèn)€人數(shù)字證書的硬件驗證設(shè)備USBKey，基于PKI體系的VPN遠程接入網(wǎng)關(guān)和SSL加解密加速器等等，支持手機短信的動態(tài)密碼身份驗證功能，因此基本上能夠和各種現(xiàn)有的和將來配備的安全設(shè)施協(xié)同工作，一起構(gòu)筑有效的安全防線。

    3、身份確認及操作不可抵賴

    身份確認對于協(xié)同平臺來說有兩重含義，一是用戶身份的確認，二是服務(wù)器身份的確認。在協(xié)同OA系統(tǒng)中，用戶身份確認是通過個人數(shù)字證書和密碼得以保證，使系統(tǒng)確認用戶沒有被冒認。同時通過和公文內(nèi)部記錄以及日志功能的結(jié)合，實現(xiàn)操作的不可抵賴性。而服務(wù)器的身份認證也是非常重要的技術(shù)之一，這是因為已經(jīng)出現(xiàn)很多利用冒認服務(wù)器身份騙取用戶密碼和投放木馬程序的黑客技術(shù)。通過PKI結(jié)構(gòu)下的服務(wù)器認證技術(shù)，確保服務(wù)器的身份也是確認無誤的，同時在該服務(wù)器下載的各種控件也是通過該服務(wù)器簽名，為用戶和機器雙方都建立起了良好的信任關(guān)系。

    4、數(shù)據(jù)存儲的安全性評估

    在OA系統(tǒng)中，辦公系統(tǒng)數(shù)據(jù)存儲通?？刹扇《嗟罊C制進行的保護，一是系統(tǒng)提供的訪問權(quán)限控制，二是數(shù)據(jù)的加密存放，其次還可以通過實現(xiàn)數(shù)據(jù)的加密保存技術(shù)來實現(xiàn)數(shù)據(jù)安全性保護。即所有文件在數(shù)據(jù)庫里面都是經(jīng)過64位加密再存儲的，即使惡意訪問者竊取了數(shù)據(jù)庫管理員的密碼，他看到的也只能是加密后產(chǎn)生的亂碼。

二、OA系統(tǒng)信息數(shù)據(jù)安全模型的構(gòu)建

    在協(xié)同OA系統(tǒng)中，信息數(shù)據(jù)安全性的總體結(jié)構(gòu)可分為三部分：即系統(tǒng)安全體系、信息安全體系、安全服務(wù)體系。這三者具體包含的內(nèi)容可從下圖1所示：

圖1 協(xié)同OA安全模型

    對于系統(tǒng)安全體系，可以分別建立隔離平臺，這個隔離平臺可以從物理和邏輯兩方面進行著手，而網(wǎng)絡(luò)安全就要從系統(tǒng)結(jié)、信息傳輸、物理設(shè)備幾方面進行著手，對于安全管理則要從數(shù)據(jù)備份、日志審計、病毒防范、網(wǎng)絡(luò)管理等幾方面進行著手。

三、建立有效的信息數(shù)據(jù)安全管理原則

    1、協(xié)同0A操作系統(tǒng)安全管理原則

    協(xié)同OA系統(tǒng)通常要安裝于操作安全性較高的系統(tǒng)平臺，主機系統(tǒng)的基礎(chǔ)是操作系統(tǒng)，信息數(shù)據(jù)的安全，要以操作系統(tǒng)的安全性作為最重要的保證，如果應(yīng)用服務(wù)器或數(shù)據(jù)庫服務(wù)器的操作系統(tǒng)安全失效，那么所有的安全措施都將無法保障。對于主機的操作系統(tǒng)，其數(shù)據(jù)安全性主要包括訪問控制、系統(tǒng)漏洞及系統(tǒng)配置等方面，在進行操作系統(tǒng)選擇時，同樣要選擇安全性高的操作平臺，對于系統(tǒng)不必要的資源共享一定要進行限制或者取消。

    2、數(shù)據(jù)庫安全管理原則

    在OA系統(tǒng)中，數(shù)據(jù)庫系統(tǒng)的安全性主要體現(xiàn)在數(shù)據(jù)的完整性、可用性、不可篡改性等等方面，要建立數(shù)據(jù)庫的安全原則上即要嚴格劃分數(shù)據(jù)庫各使用者的權(quán)限劃分，在OA系統(tǒng)中，數(shù)據(jù)的交換與共享不可避免，對于一些十分重要的原始數(shù)據(jù)要進行高端技術(shù)手段進行處理，保留其原始的狀態(tài)不被更改。同時要合理劃分數(shù)據(jù)庫的內(nèi)容，對于不同數(shù)據(jù)內(nèi)容進行即時的備份。

    3、安全管理規(guī)章的實施

    對于OA系統(tǒng)數(shù)據(jù)的安全性，除了通過技術(shù)保障外，還要有嚴格精確的管理規(guī)章作為保障。系統(tǒng)安全管理規(guī)章也是評價系統(tǒng)安全性的重要內(nèi)容。安全管理規(guī)章要對系統(tǒng)使用人員進行定期的培訓(xùn)，及時對系統(tǒng)實施過程中的不合適宜的規(guī)章制度進行調(diào)整。同時對規(guī)章制度的要求嚴格執(zhí)行。通常情況下，很多人認為有了完備的OA系統(tǒng)技術(shù)作為安全保障，就忽略了人為的管理制度，這是很不對的，所有的系統(tǒng)最終的操作者還是人，人的作用在安全體系中絕不可輕視。

四、結(jié)束語

    協(xié)同OA系統(tǒng)的建設(shè)，要將多個應(yīng)用軟件進行充分的整合并納入統(tǒng)一平臺進行管理，要實現(xiàn)多個軟件之間切換并保證軟件同步運作，這對于協(xié)同軟件本身的技術(shù)性要求較高，目前很多協(xié)同協(xié)同OA軟件基本能實現(xiàn)這一目標，但也還存在一些缺陷?？傊?，在協(xié)同OA平臺中，人與人之間的屏障正逐漸被打破，不同部門之間的工作人員可被隨時調(diào)動起來組成跨部門、跨企業(yè)、跨地域的”虛擬團隊”，一起來實現(xiàn)企業(yè)大型的項目工程。

    好的OA系統(tǒng)，其系統(tǒng)的安全性、準確性，對于數(shù)據(jù)的管理與歸納評估，都有很好的系統(tǒng)保障運行機制。通常情況下，系統(tǒng)都呵以讓用戶很方便的進行權(quán)限設(shè)置，這樣既方便各種文件數(shù)據(jù)在系統(tǒng)內(nèi)的統(tǒng)一管理又保證安全，管理者根據(jù)職位高低給員工設(shè)置不同的訪問權(quán)限，只有具有相應(yīng)權(quán)限的人才能夠看到這些資料，其他人則無法查看。實現(xiàn)OA系統(tǒng)解決方案軟硬件一體化，將具有更高的安全性。無論如何，現(xiàn)代信息技術(shù)發(fā)展日新月異，在設(shè)計和評估協(xié)同OA系統(tǒng)安全性的過程中，既要實用，又要方便簡單，堅持技術(shù)和管理兩手抓，應(yīng)用和管理同時進行，一定可以更好的展現(xiàn)協(xié)同OA系統(tǒng)的優(yōu)越性，提高企業(yè)的辦公效率。