终归察觉!一手香烟货源微商香烟批发代理“抱薪救火”

中小企业数据资产保全方案

凯道企业NAS及项目与文档管理系统

一）中小企业数据资产防泄密一般方法

1）断网和封禁

将工作电脑通过物理隔离或网络禁止封禁在一个内网内，封锁U盘等任何介质和端口的拷贝功能。

2）用文档加密软件

用绿盾等文档加密软件加密企业数据文件。方法是对加密电脑上落盘的文件加密，文件离开加密软件环境便不能打开。

3）用沙盒软件

通过SDC等沙盒硬盘加密软件，在电脑上创建安全区和上网区，或者全盘加密，限制加密硬盘空间的读取权限，对文件本身不加密，限制和放开特定进程软件的上网行为。

二）三种防泄密方法的优势和缺点比较

1）网和封禁接口的优点和缺点

优点：

物理隔离一切文件外泄的渠道，让文件仅在内网存在和流动，可以避免黑客和病毒入侵，避免一般员工外发拷贝文件。

缺点：

脱离互联网，对外信息交流及文件收发都非常不方便，需要频繁的内外网文件人工审批和转移，降低工作效率，无法排除操作人的泄密风险。

内网系统作为脱离于互联网的孤立信息系统，不利于利用社会信息资源和网络工具。

确保内网不被接入互联网，需要专人看守或封闭空间。

2）用文档加密软件的优点和缺点

优点：

对特定格式、特定电脑的文档加密，不影响其他非涉密人员的工作和非涉密文件的流转。

部署实施和维护工作相对简单。

缺点：

难以调和解密审批权限集中与领导工作量太大，把关压力大的矛盾。

难以调和解密审批权限下放与保密强度下降的矛盾。

被授权的文件解密操作人和外发人必然积累大量公司机密文件，无法排除操作人的泄密风险。

代码文件被加密后无法被编译，需解密后打包，严重降低工作效率。有的软件甚至需要联网打包，代码解密后失去保护，对软件开发项目不利。

3）用用沙盒软件的优点和缺点

优点：

不对文件加密，只对文件存储的硬盘区域进行进出封锁和管控，不影响软件开发编译和调试工作。

可设置个别设置软件的上网功能，方便查询资料和即时通讯工具交流。但上网软件无法上传安全区明文文件和拷贝张贴安全区文件内容。做到外部文件只进不出。

安全区运行的软件可指定禁止上网或只允连接特定的IP地址，同时限制上传行为。防止应用软件将企业信息后台外泄上传。

可设置内网不同涉密级别电脑的访问权限

缺点：

难以调和解密审批权限集中与领导工作量太大，把关压力大的矛盾。

难以调和解密审批权限下放与保密强度下降的矛盾。

被授权的文件解密操作人和外发人必然积累大量公司机密文件，无法排除操作人的泄密风险。

深度涉及网络技术，实施维护技术难度较大。

三）凯道企业数据资产保全解决方案

1）企业数据资产的存在状态

企业数据资产分为结构化系统数据和离散数据两类，结构化系统数据是各类信息系统中的表格化数据，它存在于系统数据库中，录入、检索、权限管理都依存于信息系统的流程框架，不容易灭失和泄露，这一类数据占比约为20%。离散文件是指由各个员工自由创建，在各自电脑自由存储的文档，包括企业各类文书、规章制度、营销文件和研发文档等。这类数据占比约为80%。作为技术企业最核心的数据资产——研发文档就属于离散文档之列。

2）离散文档的管理的目标

2.1收得拢

对文档的离散状态的解决，最简单粗暴的方法是通通集中存储备份，把它们收拢起来。但简单的集中存储需要满足一个条件才能可行——所有员工会知道应该上传什么文件和自觉上传应该上传的文件。

2.2 理得顺

集中上传备份存储了的文档不一定是有价值的数据资产。因为杂乱无章的海量文档可能无法被分辨用途和版本，不能为团队共同利用的数据资产等同垃圾，要满足收拢的数据资产有效的条件是，上传的文件能条理清晰，能为他人辨别用途。

2.3 保得住

数据集中存储后，若没有精确维护的文档权限和保密措施，集中存储文档可能反而为窃密者打开方便之门。文档保密包含对内保密和对外保密两个方面。对内保密需要做好文档权限的管理和维护，做到与某事无关者查看不到相关文件，与它有关者可自由查看和通过授权查看。随着企业人员变动和事权变动，文档权限的维护需要有懂业务的，极具责任心的人员专门操作；对外保密主要是要解决必要的对外外文件交流中，怎么减轻加密解密的繁琐程序和授权风险问题，要做到文档收发过程不让文件落入经手人个人存储器中。

3）实现三个文档管理目标的难点

3.1收得拢的难点

3.1.1怎么创建统一标准的文件夹目录体系？

要对公司各类项目和事务的文档构成结构体系进行标准化的梳理和创建模板，各类员工才有统一的章法，实现文档上传的路径可循。实现这一目标需要专人梳理整理，但往往因其对各个部门业务的不了解，而做不到。各个部门的领导也不容易形成统一的认识和付出同样的责任心将每个部门的业务模板都做得科学完善。

3.1.2怎么保证每个人，每一天都积极负责的上传工作文档？

3.1.2.1文档上传一方面需要员工额外的付出劳动对阶段性工作文件加以规范要求的整理。不是每个员工都能理解公司文档整理规范要求，也不是每个员工都会积极主动遵守规范积极整理上传。

3.1.2.2 适时的文档上传会即刻暴露自己的工作成果情况，摸鱼的员工会想方设法回避文档按规范上传。

3.2理得顺的难点

集中上传的文档怎么做到即使不是自己经历的项目，只要有权限，就可以做到：

3.2.1检索项目

迅速检索定位到某个项目、某个任务或事务过程中产生的需求、过程、结果和审核通过的数据文档；

3.2.2检索项目的节点与分支

能迅速定位项目或任务过程中某个节点和分支上的文档版本；

3.2.3检索人员的工作

能迅速定位某个人在某件事上的某个节点所上传的文档。

3.3保得住的难点

3.3.1对内保密的难点

即使设置文控专员，也无法了解所有业务节点上相关文档的权限设置需求，管太死，各类文档需求人员不能及时使用相关文档会阻滞工作，为领导到来极大授权操作的工作压力。管太松，有心人会逐渐洞悉公司各种技术和商业机密。严格文控带来的工作扯皮和人际关系问题会逐渐瓦解企业文控管理规则。

3.3.2对外保密的难点

文档防外泄管理系统带给领导繁琐的外发审批操作任务，也不可避免造成工作效率降低，甚至人际关系紧张。即使再严格的审批与外发操作流程设计，也无法解决脱密文件落入文件外发经手人的问题，久而久之，各种操作方法和妥协也可以逐渐瓦解瓦解企业文件防外泄措施。

4）凯道对文档管理难点的解决之道

4.1收得拢的难点解决

4.1.1再领导给下属指派任务时，按专项-子项目-任务工单三级结构分解任务，指派任务工单给项目经理和执行任务的员工。实现相关工单任务文档上传路径的结构化预设。

4.2.2建立统计员工每日在指派工单上打卡的机制，制度性要求员工每日需在实际执行任务的工单卡上打卡。

4.2.3 员工打卡前需设定相关任务文档在本地电脑上的同步文件夹，打卡下工时自动同步上传文件并创建当日版本日志文件夹，自动去除冗余重复数据。

综合以上，员工的每个任务的成果文件的每一个版本都自动存入结构化创建的工单任务卡上了。

4.2理得顺的难点解决

4.2.1文档自动结构化上传

只要企业设置工单打卡机制，员工的日常工作文件会自动上传服务器上的工单文件夹内，实现结构化的存储。

4.2.2文档自动梳理

只要企业设置工单及时关闭考核机制，员工就会催促其领导及时评审阶段汇报文件，实现最终文档的入库冻结并完成工单任务。这样在每个完成的工单上，不仅可以查找到工单领导提交的任务需求文件、执行人每天的工作成果文档的版本状态，也可以查看任务完成的最终成果文件。

4.2.3快捷的结构化检索

因为文档依附于工单存在，检索变得非常迅捷。只需多重交叉过滤检索专项、子项目、工单任务卡创建过程中输入的任何表格信息如名称、员工姓名、预设关键词、时间、任务状态等，可迅速定位需要查找的工单，打开工单可在较小的范围内通过关键词迅速查找相关文件，通过文件版本比对可迅速定位某一文件的不同版本。

4.3保得住的难点解决

4.3.1对内保全

文档的内部权限维护完全同步于工单任务卡的执行权和管理权，工单任务卡上的文档，仅限于工单任务卡的执行人、项目经理和管理员、第一管理员及超级管理员。任何人能在自己权限所及的工单任务卡之间推送文件，管理者可在同一个专项中的不同子项目之间创建工单任务卡的关联，实现事务与文档权限的自动的，完全契合的统一。当工单任务的执行人、管理人被调整后，相关文档的权限也并行地被加以调整。

4.3.2 对外保全

虽然凯道本身不对文件或硬盘空间加密，却可以利用各类加密软件的功能特征，实现绝对避免文档的解密外发过程中，经手人留一手的可能。

4.3.2.1 可在SDC等沙盒保密软件设置装在机密段端上的凯道邮件发送系统是唯一可对外发送文件的进程软件。若使用绿盾等文档加密软件，可免加解密审批和人工外发，在凯道邮件被审批通过后自动解密附件秘密发送。

4.3.2.2凯道在超级管理员保密设置中创建公司发件箱库，每个发件箱只对员工展示代号。

4.3.2.3专项创建者在专项联系人设置业填入外部收件人白名单，需第一管理员或超级管理员审批后才生效。

4.3.2.4项目经理创建工单任务卡时可设置工单对应的收件人和发件箱，两个邮箱只能看到代号。

4.3.2.5工作执行人选择文件，右键菜单选择邮件推送即可发送邮件或进入邮件审批流程。

4.3.2.6加密系统对被批准发送的邮件中的附件解密后发送给对方。

综上，邮件的发送操作者、审批人都无法了解邮件的具体发件箱账号密码，也不需要审批解密文件，邮件审批替代了解密审批、服务器自动实现了文件解密和外发操作，全过程没有任何人能接触加密文件。所有邮件无法删除，结构化保留在工单卡上，万一被故意泄密，证据链条清晰可查。

凯道结合项目管理，实现文档整理上传、理顺和权限维护的自动化，实现企业数据资产对内保全的自动化。

凯道与加密软件结合，由加密软件实现对落盘文件的加密，通过凯道的企业邮件子系统实现免除加密软件的人工解密和外发的操作，实现企业数据资产对外保全的业务闭环。