信息防泄漏是以加密技术为核心，结合安全审计机制、严格管控机制掌握、控制内部文档操作，有效防止任何状态（使用、传输、存储）的内部资料和信息资产泄漏，基于此技术的防泄漏系统有：UniBDP、DLP等。

随着企业信息化的发展，信息系统越来越多的使用于日常工作中，成为不可或缺的工具和手段。通过企业信息化大大提高了企业生产效率，从 ERP 到SOA，成熟的企业已经越来越依赖于信息系统而运行发展并壮大；虚拟化、云计算等技术的发展更是为许多跨地区、跨国家的企业节约了大笔的专线费用，并且提供了信息传送的实时性、可靠性、保密性的保证。

电子商务、海外分公司、各地专卖店……企业正在利用信息化技术来打破地域之间的阻碍，同时还会产生大量如客户资料、营销方案、财务报表、研发数据等关乎企业核心竞争力的机密资料。然而，信息技术本身的双刃剑特性也在组织内网不断显现：强大的开放性和互通性催生了商业泄密、网络间谍等众多灰色名词，“力拓案”、“维基泄密”等事件让信息安全事件迅速升温，信息防泄漏成为企业越来越关注的焦点。

中国的企业正在由中国制造向中国创造转变，企业内部如客户资料、营销方案、财务报表、研发数据等信息资产对于自身来说的重要性越来越大，这些知识产权甚至是核心竞争力所在，一旦外泄后果不堪设想。同时企业内部的IT应用不断增多，企业对于IT的依赖性加强，这就导致信息外泄的渠道也大大增多，安全风险无处不在。因此，信息防泄漏的管理越来越重要，不仅是IT人员关心的问题，而是企业领导者都必须认真对待的棘手问题。

于是，信息防泄漏问题成为困扰信息化发展与否的重要问题，更多的机构把信息系统的安全问题列为整体战略发展的重要环节之一。

信息防泄漏是指通过一定的技术手段，防止企业的指定（重要或者敏感的）数据或信息资产以违反安全策略规定的形式流出企业的一种策略。

信息防泄漏以文档加密技术为核心，数据库加密为基础，结合安全审计机制、严格管控机制掌握、控制内部文档操作，有效防止任何状态（使用、传输、存储）的内部资料和信息资产泄漏。

国外TCSEC）。

信息安全管理体系标准(ISO27001)可有效保护信息资源，保护信息化进程健康、有序、可持续发展。ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的ISO9000标准。

为了提升企业信息安全性，美国证券市场颁布实施了针对上市公司财务和公司治理的《塞班斯法案》（Sarbanes-Oxley Act，简称SOX法案）

中国： 由全国人民代表大会制定的国家基本法律，如《中华人民共和国保守国家秘密法》、《中华人民共和国国家安全法》、《中华人民共和国电子签名法》等。

由国务院颁布的行政法规，如《中华人民共和国计算机信息系统安全保护条例》、《商用密码管理条例》、《关于加强信息安全保障工作的意见》等。

中国公安部计划建立一个“等级保护制度”， 2007年连续发布了《信息安全等级保护管理办法》、《关于开展全国重要信息系统安全等级保护定级工作的通知》，2009年公安部又颁发了《关于开展信息安全等级保护安全建设整改工作的指导意见》，进一步督促规定范围的机构采取信息安全保护。

根据美国CSI/FBI的调查显示，80%的安全威胁来自企业内部，将近60%的离职者或被辞退者在离开时会携带企业数据。Ponemon研究所（Ponemon Institute）进行的一项最新研究调查显示，内部泄密已经成为企业数据外泄的头号原因，而黑客仅位列第五。

1. 内部人员无意泄密和恶意泄密

企业内部人员在上网时候不小心中了病毒或木马，电脑上存储的重要资料被流失的情况也非常多。由于病毒和木马泛滥，使得企业泄密的风险越来越大。而部分不良员工明知是企业机密信息，还通过QQ、MSN、邮件、博客或者是其他网络形式，把信息发到企业外部，这种有针对性的泄密行为，导致的危害也相当严重。

2. 内部人员离职拷贝带走资料泄密

这类情况发生概率最高。据调查，中国企业员工离职拷贝资料达到70%以上。在离职的时候，研发人员带走研发成果，销售人员带走企业客户资料，甚至是财务人员也会把企业的核心财务信息拷贝带走。

3. 内部文档权限失控失密

在单位内部，往往机密信息会分为秘密、机密和绝密等不同的涉密等级。一般来说，根据人员在单位中的地位和部门的不同，其所接触和知悉的信息也是不同。然而，当前多数单位的涉密信息的权限划分是相当粗放的，导致不具备相应密级的人员获知了高密级信息。

4. 存储设备丢失和维修失密

移动存储设备例如笔记本电脑、移动硬盘、手机存储卡、数码照相/摄录机等，一旦遗失、维修或者报废后，其存储数据往往暴露无遗。随着移动存储设备的广泛使用，家庭办公兴起，出差人员的大量事务处理等等都会不可避免地使用移动存储设备。因此，移动存储设备丢失和维修导致泄密也是当前泄密事件发生的主要原因之一。

5. 对外信息发布失控失密

在两个或者多个合作单位之间，由于信息交互的频繁发生，涉密信息也可能泄露，导致合作方不具备权限的人员获得涉密信息。甚至是涉密信息流至处于竞争关系的第三方。因此，对于往外部发送的涉密信息，必须加以管控，防止外发信息失控而导致失密。

6. 外部竞争对手窃密

竞争对手采用收买方式，买通企业内部人员，让内部人员把重要信息发送竞争方，从而窃取机密的情况也非常多。这种方式直接损害了企业的核心资产，给企业带来致命的打击。

7. 黑客和间谍窃密

国际国内许多黑客和间谍，通过层出不穷的技术手段，窃取国内各种重要信息，已经成为中国信息安全的巨大威胁。虽然许多企业都部署了防火墙、杀毒软件、入侵检测等系统，但是对于高智商的犯罪人员来说，这些防御措施往往形同虚设。

信息泄漏的途径多种多样，在企业内部，信息有可能通过以下途径被带走：

文件可能通过USB口拷贝到U盘、移动硬盘等移动存储介质带离公司；

可通过3G上网卡等连接网络，把信息通过网络带走；

可将文件通过邮件（NOTES、WEB）发送给外部人员；

能通过打印把电子文档转换成纸质资料带走；

通过共享目录将文件拷贝到笔记本电脑带离公司；

电脑或者硬盘丢失则难以防范。

系统化的、全方位立体化的信息防泄漏解决方案才能真正的保护企业的数据。

所谓系统化，即要系统化地运用加密、管控、审计等多种手段，盛行的“加密风”让不少企业选择了加密产品，但其实单纯的加密是不够的，企业还需要审计技术来了解内部发生了什么，管控技术来防止泄密事件发生，只有把多种技术结合在一起，才能真正意义上的保护企业的数据安全。

全方位、立体化的信息防泄漏解决方案，指的是要全面考虑到企业信息可能泄漏出去的每一个方面，最大限度消除数据外泄风险；同时，还要针对企业多部门多层级的内部结构，合理划分员工的文档访问权限，建立一个立体化的分级保密体系。

因为，在信息安全领域中，信息安全的整体防护强度取决于“马奇诺防线”中最为薄弱的一环。由于缺乏必要的技术管理手段，安全事件可能从各种地方发生。如果无法明确安全漏洞，很可能内部价值上千万的机密信息，只是因为一个U盘的不慎使用，或者是一个普通员工的无意识操作，就瞬间外泄出去。

所以，全面的信息防泄漏体系是企业数据防泄漏的考察重点。

结合企业实际情况，建立全面的信息防泄漏三重保护安全体系：首先通过完整的文档操作审计发现网内安全的威胁，及时进行防御；其次，根据企业内部的部门和职位划分立体化的保密体系，同时对网络和外部设备等可能的泄密渠道加以控制，防止文档外流；高强度的透明加密作为文档保护最后也是最有力的一道保护盾，保证文档在任何地方都能得到有效保护。

信息防泄漏解决方案，不仅为防止信息通过U盘、Email等泄露提供解决方法，更大的意义在于，它能够帮助企业构建起完善的信息安全防护体系，使得企业可以实现“事前防御—事中控制—事后审计”的完整的信息防泄漏流程，从而达到信息安全目标的透明性、可控性和不可否认性的要求。信息防泄漏三重保护体系包括详尽细致的操作审计、全面严格的操作授权和安全可靠的透明加密三部分。

详尽细致的操作审计是三重保护体系的基础，也是不可或缺的部分，它使得庞大复杂的信息系统变得透明，一切操作、行为都可见可查。

审计不仅可以用作事后审计以帮助追查责任，更能够帮助洞察到可能的危险趋向，还能够帮助发现未知的安全漏洞。

全面严格的操作授权从网络边界、外设边界以及桌面应用三方面做以全方位控制，达到信息安全目标中的“可控性”的要求，防止对信息的不当使用和流传，使得文档不会轻易“看得到、改得了、发得出、带得走”。

安全可靠的透明加密为重要信息提供最有力的保护，它能够保证涉密信息无论何时何地都是加密状态，可信环境内，加密文档可正常使用，在非授信环境内则无法访问加密文档，在不改变用户操作习惯的同时最大限度保护信息安全。

以上参考IP-guard信息防泄漏解决方案。

第一重保护：详尽细致的操作审计

——及时发现危险趋向，提供事后追踪证据！

文档全生命周期审计

完整而详细地将文档从创建之初到访问、修改、移动、复制、直至删除的全生命周期内的每一项操作信息记录下来，同时，记录共享文档被其它计算机修改、删除、改名等操作。

另外，对于修改、删除、打印、外发、解密等可能造成文档损失或外泄的相关操作，在相关操作发生前及时备份，有效防范文档被泄露、篡改和删除的风险。

文档传播全过程审计

细致记录文档通过打印机、外部设备、即时通讯工具、邮件等工具进行传播的过程，有效警惕重要资料被随意复制、移动造成外泄。

桌面行为全面审计

屏幕监视功能，能够对用户的行为进行全面且直观的审计。通过对屏幕进行监视，企业甚至可以了解到用户在ERP系统或者财务系统等信息系统中执行了哪些操作。

第二重保护：全面严格的操作授权

——管控所有程序操作，封堵可能泄密漏洞！

文档操作管控

控制用户对本地、网络等各种位置的文件甚至文件夹的操作权限，包括访问、复制、修改、删除等，防范非法的访问和操作，企业可以根据用户不同的部门和级别设置完善的文档操作权限。

移动存储管控

授予移动存储设备在企业内部的使用权限。可以禁止外来U盘在企业内部使用，做到外盘外用；同时还可对内部的移动盘进行整盘加密，使其只能在企业内部使用，在外部则无法读取，做到内盘内用。

终端设备规范

能够限制USB设备、刻录、蓝牙等各类外部设备的使用，有效防止信息通过设备外泄出去。

网络通讯控制

能够控制用户经由QQ、MSN、飞信等即时通讯和E-mail等网络应用发送机密文档，同时还能防止通过上传下载和非法外联等方式泄露信息。

及时检测并阻断外来计算机非法接入企业内网从而窃取内部信息，同时还能防止内网计算机脱离企业监管，造成信息外泄。

设置安全管理策略,关闭不必要的共享,禁止修改网络属性,设定登录用户的密码策略和账户策略。

第三重保护：安全可靠的透明加密

——透明加密指定文档，最大限度保护文档安全！

强制透明加密

对电子文档进行强制性的透明加密，授信环境下加密文档可正常使用，非授信环境下加密文档则无法使用。同时，鉴于内部用户主动泄密的可能性，在加密文档的使用过程中默认禁止截屏、打印，以及剪切、拖拽加密文档内容到QQ、Email等可能造成泄密的应用。

内部权限管理

对于多部门多层级的组织，提供了分部门、分级别的权限控制机制。根据文档所属部门和涉密程度贴上标签，拥有标签权限的用户才能够访问加密文档，控制涉密文档的传播范围，降低泄密风险。

文档外发管理

对于合作伙伴等需要访问涉密文档的外部用户，提供了加密文档阅读器，通过阅读器企业可以控制外发加密文档的阅读者、有效访问时间以及访问次数，从而有效避免文档外发后的二次泄密。

可靠的防灾机制

采用备用服务器机制以应对各种软硬件及网络故障，保证加密系统持续不断的稳定运行。加密文档备份服务器可以对修改的加密文档实时备份,给客户更多一份的安心保证。

1.最大限度企业内部机密如个人（企业）客户资料、未公开的政策法规、商业信息等核心信息外泄。

2.详细掌握内部所有操作，使用户操作的更加可视化、规范化、流程化。

3.完全符合国家正积极推进的等级保护和监管部门推出关于信息安全保障工作等法律法规的要求。

4.保护企业机密资产，帮助其专注于核心事业，规避商业、法律、政治上的风险。