随着信息技术的发展，企业为了提高信息处理的速度和效率，越来越多的把自己的文档转化为电子文档的形式，许多企业甚至把90%以上的企业机密信息以电子文档的形式存储在企业内网中。同时，企业也大量使用ERP、CRM等电子信息管理方案。这些新型管理手段的使用，在给企业带来更高的生产效率的同时也给企业的信息安全管理带来了新的挑战。
1、需求分析
很多企事业单位，员工可以通过随意上传下载和发放网络中的文件，而且可以很轻松地把企业的许多重要信息传递到网络外部。但是另一方面，作为公司管理者或相关应用部门，他们都希望这些重要的信息资料，比如：财务数据、技术文档等特殊资料，不能轻易地离开公司的网络环境，甚至不能在公司网络内部随意地传递与交流。
然而，管理者往往无法有效地控制和监控文件使用者的操作，这使得使用者可以利用有许多漏洞截获企业内部的特殊资料。从目前来看，内部泄密主要是通过如下途径：
1、内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走；
2、内部人员通过互联网将资料通过电子邮件发送到自己的邮箱；
3、内部人员将资料打印后带出；
4、将办公用的便携式电脑直接带回家中或将自己的笔记本电脑带到公司，接入局域网，窃取资料；
5、电脑易手后，硬盘上的资料没有及时删除，导致泄密；
6、随意将文件设成共享，导致非相关人员获取资料；
那么如何才能解决内部人员泄密问题呢？一方面要加强管理，做好内部人员的保密教育，法制教育。另一方面利用加密等信息安全技术对公司内部的特殊文档进行加密和合理的授权，主动防止泄密事件的发生；加强对内部人员的使用计算机的行为进行监控和审计，若有泄密事件发生可以找到泄密渠道。
2、解决方案
华为公司开发了Secospace文档安全管理系统（缩写为Secospace DSM，简称DSM），该系统的主要功能主要是通过加密公司的敏感文档来进行详细的权限控制，提供组策略、权限模板来帮助快速简单的授权，还提供了Web界面来给用户和文档管理员进行统一的权限管理，并具备方便的文档权限申请和审批流程。系统还提供了详细的日志来审计用户对文档所进行的所有操作。
Secospace文档安全管理系统可以对Microsoft Office Word、Microsoft Office Excel、Microsoft Office PowerPoint、PDF、JPG、JIF类型的文档进行权限控制，所能控制的权限包括：只读、打印、修改、复制、分发权限、使用期限、打开次数、离线浏览、离线浏览次数、完全控制、打印次数、完全控制、时间段控制。文档权限管理系统在操作系统的驱动层对文件进行加解密，保证文件的明文不被泄露，确保了文件信息的安全性。通过多维度，多层次的文档权限控制，可以有效防止企业的文档泄密。防止无关人员看到企业的敏感文件。
Secospace DRM系统架构如下图所示：
Secospace DRM文档安全管理系统在部署上主要分两级架构，第一级为管理中心，第二级为DRM服务器，管理中心统一对下面的二级DRM服务器进行系统管理，指派二级DRM服务器的文档管理员等。DRM服务器用于处理终端用户的请求，进行文档权限的统一管理。
Secospace DRM文档安全管理组件功能：
管理中心：提供Web管理界面使系统管理员能方便的进行系统管理。
DRM 服务器：处理终端用户请求、对文档权限和密钥进行统一的管理。
DRM 客户端：负责文档的加密、文档的权限控制、离线阅读、文档的还原等功能。
4、主要功能
DRM系统改变了传统意义上的文档安全保护模式，在保证文档安全使用的同时控制了文档相对于不同的使用权限开放不同功能，实现了文档的不同程度的安全共享。
·根据用户的不同级别，可以设置文件的不同使用权限和期限；
·实时监控文件使用者使用文件的情况；
·防止用户非法复制、粘贴、打印文件，支持受控文档内部的复制/粘贴；
·防止用户通过电子邮件、移动硬盘、优盘、软盘等泄密；
·防止屏幕拷贝，录屏的等非法操作；
·可以从服务器端及时控制加密文件的使用权限及期限；
·支持详细的审计功能，包括：谁在什么时间访问过什么内容，对内容执行过哪些操作（如：阅读、打印、修改等）·；
·可以控制用户的阅读次数及打印次数；
·结合水印技术可以查找文件泄密渠道；
·可以限定该文件使用的特定机器特点，如机器码；
·可以设置用户离线操作加密文件，支持离线操作的审计；
·支持方便快捷的授权方式，可配置组策略及本地权限模版；
·支持大规模分布式部署；
·支持跨服务器授权及服务器之间的漫游；
·普通用户可以登录服务器管理自己的文档；
·支持批量制作加密文件及授权；
·支持第三方系统通过DRM提供的组件接口接入DRM系统实现文档安全需求
4、方案特点
·完善的权限体系及实时的权限控制
DRM系统定义了阅读、打印、编辑、复制、再授权、离线、完全控制等基本权限，为了方便用户进行授权操作，系统将权限分为读取、编辑、完全控制三种级别，用户通过权限级别对文档进行授权，可根据需要调整每种级别的可选权限。
·完善的授权渠道
DRM系统通过“再授权”机制实现公文流转中的安全转发功能。再授权权限的授予基本不依赖其他权限，拥有“再授权”权限的用户在再授权时依据最小授权原则，即由该“再授权”用户授权的权限不能超过该用户的权限；同时，DRM系统能够实时记录用户的操作日志，所有授权与再授权的授权内容也都包含在日志当中。
·分散管理文件，集中管理信息
DRM系统解决方案采用先进的分散管理文件、集中管理加密信息的安全策略，不仅极大地降低了服务器工作负载，而且确保了信息系统内用户能够灵活操作文件。
·批量制作加密文档
DRM系统为用户提供批量生成加密文件功能，文件作者可以将一个文件夹中的多个文件一次批量做成加密文件。首次做成加密文件时，这些文件拥有相同的关键字、摘要，被追加相同的用户，相同的授权。
·详细的审计日志管理
通过审计功能，管理员可以监督、跟踪所有用户的全部操作，查看系统的使用情况，实现最高的系统安全。
·不受限制的文件存储方式
DRM系统适用各种传输及存储方式，包括服务器下载、局域网下载、 Email、Ftp 下载、U盘、光盘、软盘存储等。
·超强的文件格式支持
DRM系统解决方案支持加密目前广泛应用的多种文件类型，支持doc、xml、ppt、pdf文档格式，可方便扩展支持其他文档格式（如：bmp,gif,jpg），实现文档无损加、解密。用户申请使用文件并通过身份验证后，呈现在用户眼前的是已按照此用户权限屏蔽部分功能的文件。
·禁止屏幕打印功能
DRM系统解决方案不仅支持屏蔽通过键盘或鼠标发出的屏幕拷贝、打印命令，而且也支持自动检测并屏蔽各种屏幕拷贝、屏幕录像软件、打印软件，更加全面地保文件安全，实现真正意义上的“限浏览”功能，有效防止潜在的、破坏性的屏幕打印。
·离线文档完全控制
针对在用户无法与服务器通信，无法打开加密文档的情况，DRM系统为用户提供了离线操作和USB锁绑定功能。
·方便快捷的授权方式
为了方便用户快速准备的对受控文档进行授权操作，DRM系统除了支持对单个用户及组进行授权外，还支持通过组策略及权限模版的方式进行授权。
·灵活的水印格式设置
通过水印技术可以查找文件泄密渠道，用户在正常使用DRM文档时不会显示水印，仅当用户进行打印操作时，打印出来的文档会在正文位置显示打印用户的用户名以及日期的水印信息。
·友好的人性化操作界面
DRM文档安全管理系统秉承“科技以人为本”的理念，采用了众多交互界面良好的设计，具有更佳的可管理性和可操作性。DRM文档安全管理系统简洁的人机界面、合理直观的显示、简便的操作模式以及多种强大的管理工具等都极大的降低了用户的工作量。
5、部署方式
·独立部署方案
DSM只部署一套服务器时称为独立部署，为了做到冗余备份和负载均衡，还要达到很好的性能，一般情况下都会部署三台硬件服务器，第一台硬件服务器主要用来承载DSM系统使用的数据库，因为数据库的性能对DSM系统来说非常重要，所以单独占用了一台机器，第二台硬件服务器承载见证数据库和一个DSM服务器软件系统，第三台硬件服务器承载镜像数据库和和一个DSM服务器软件系统。
DSM服务器独立部署示意图
·分级部署方案
分级部署一般情况下都使用分布式部署，主要是将管理中心跟各个地区的DSM服务器分开部署，一般来说，把管理中心部署在总部的数据中心，把每个DSM服务器部署到每个本地地区，一般是各个地区的数据中心。每个地区的架构和独立部署DSM系统时时一样的，为了提高可靠性，每个地区都会部署至少两个DSM服务器来做冗余和负载均衡，数据库部署也部署主、备数据库（备数据库称为镜像数据库），因为备机一般情况下都不会使用，为了节省成本，可以将一台DSM服务器和镜像数据库部署到同一台机器上。
Secospace DSM分级分布式部署示意图
