华商宝

移动存储介质使用管理系统  功能与价值

1、访问控制

1.1、外来移动介质策略

安装部署移动存储介质使用管理系统后，外来的移动介质插入到安装客户端的计算机上会提示该移动介质“未注册的移动介质” ，针对未注册的移动介质管理员可以设置策略,

策略1：未注册【只读】，只读即外来移动介质可以将数据拷贝到客户端，但是不可以将客户端的数据拷贝到外来移动介质，相当于对该移动介质设置为只读权限，这样即方便了外来资料的进入，也增加了内部数据的安全。

策略2：未注册【禁用】，该策略是软件默认的策略，所外来移动介质插入到客户端后均不可以使用，虽然可以发现移动介质，但是移动介质里的内容为空。

1.2、内部移动介质策略

内部信任移动介质必需在管理控制台【注册授权】后方可使用。针对注册后的移动介质并指定使用范围后，管理控制台也可以对注册过的移动介质设置策略。

策略1：已注册【读写】 ，设置为读写后，注册过的移动介质插入客户端可以正常使用，其中将资料拷贝到移动介质后会自动加密，将移动介质中的数据拷入计算机会自动解密。

策略2：已注册只【只读】，设置为只读后，即使移动介质注册过，插入到客户端也会变为只读权限。

上面提到移动介质如果在内部安装客户端的计算机上使用，必需注册授权，注册授权是为了能识别移动介质对应的责任人，以便在日后的审计中有相应的信息，同时软件会对注册过的移动介质做保护，防止拷贝到注册介质中的安全性。 移动存储介质使用管理系统提供的注册功能有两项

2.1、杀毒注册

为了有效防护移动介质使用过程中带来的病毒感染，尤其是自动运行类的病毒如：autorun.exe，在打开移动介质时就会自动运行并感染病毒，所以系统会自带杀毒注册功能，杀毒注册可以有效的防护 Autorun 类病毒，杀毒注册过的移动介质可以到对 Autorun 类病毒免疫，其次软件可以配合当前的杀毒软件进行杀毒表示，只有经过杀毒表示，才能使用，否则会提示未杀毒注册不可以使用。

2.2、实名注册

实名注册会将移动介质与负责人信息如：姓名、部门、电话、移动介质编号等信息绑定，实名注册后会在注册台生成一条注册信息，信息包括移动介质的唯一的ID号及注册时添加的附属信息，附属信息会在移动介质使用过程中记录到审计日志里，管理员在查看审计日志时一目了然。

出于安全性考虑，存储在注册介质的资料会进行加密处理，移动介质如果拿到外部使用时不会得到移动介质里的资料，系统从安全方面考虑，分为两个版本：【外出拷贝】、【外出禁用】，外出禁用的安全性更高。

3.1、外出拷贝

外出拷贝版，注册过的移动介质可以在外部计算机上打开，能够看到移动介质里存储的文件名称，由于存储在移动介质里的数据做过加密处理，所以打开相应的文件会以“乱码” 、 “无法打开”的形式显示；如果内部数据想通过注册过的介质拷贝出去，必需通过上级领导审批才能拷贝出去，同时为了保护外出文件的安全，当用户在没有安装客户端程序计算机上使用外出文件时，需首先进行身份认证识别，当认证通过后移动介质会自动判断计算机是否联接互联网，如果计算机联接互联网数据将无法打开，可有效防止用户无意将移动介质插入联接互联网计算机上使用造成数据泄密的发生。

3.2、外出禁用

外出禁用版，注册过的移动介质不能在外部计算机上打开，打开时会友情提示【是否格式化】从而得不到移动介质里的数据；如果格式化，移动介质里的数据将会丢失；如果内部数据想外出，必需通过博睿勤“中间机软件”才能拷贝出去，中间机软件可以安装在一台不联网的计算机上，专门实现内、外部数据交互，并且交互的信息都会自动记录到中间机上。

3.3、口令保护

为了防止移动介质交叉使用，移动介质可以设置使用口令，注册过的移动介质插入到客户端计算机时会提示输入口令，输入口令正确后才能正常使用，客户端可以修改自己的移动介质口令，同时为了防止暴力破解，当移动介质输入三次口令错误后，移动介质会被锁定，锁定后的移动介质，只有通过管理员在管理控制台才能解锁。

3.4、适用范围

为了防止注册过的移动介质可以在任何安装客户端的计算机上使用，移动介质在注册的时候提供了使用范围设置，使用范围可以同过密级来控制。

3.4.1、密级控制

注册移动介质时可以对移动介质做级别标识，系统预设了机密、秘密、普通、内部、用户五个级别，同时客户端也会有级别标识，高级别的移动介质不可以插入到低于该介质级别的计算机上使用，这样有效的防护了越权操作。

3.4.2、指定计算机控制

注册过的移动介质也可以通过指定IP的方式来控制使用范围，可以是IP范围、部门或者IP段。

3.5、介质防护

为了防止移动介质丢失以后造成数据泄密，软件设置丢失防护的【锁定】功能，被锁定的移动介质不可以在任何安装客户端的计算机使用，锁定功能不仅用于介质丢失，也可以在员工出差后让管理员远程锁定介质，在员工出差回来后在将介质解锁。

移动存储介质使用管理系统提供详细的审计记录，审计信息是用来提供事后的事件追查。

审计信息包括系统日志、操作日志；

系统日志包括管理员的操作如：注册了哪个移动存储设备，对其设置了什么策略；

操作日志包括使用移动存储设备所做的操作如：拷贝、删除、修改文件都会有详细的日志，单机版、网络版有各自的审计信息，同时中间机的数据转换也有详细的日志信息，同时日志可以根据自定义条件以 HTML、PDF、EXCEL方式打印出来。

系统设计了四种类型的管理员角色，他们根据不同的需要行使不同的权利，是系统实现真正的分权分级的安全管理。

1.安全员管理员:原厂内置初始帐号，仅用来部署模块、设置部门权限，设置operator对模块管理的权限，以及增加安全员用户。

2.系统管理员:原厂内置初始帐号，仅用来设置移动介质管理的策略，但该用户不具有设置用户的权限，不具有查看日志的权限。

3.审计员:原厂内置初始帐号，仅用来查看、修改、删除、备份日志，审计信息。

4.审计管理员:原厂内置初始帐号，仅用来增加或修改审计员用户信息、密码等操作。