在信息化水平的高速发展的今天，从事高新技术研发行业的企业越来越多，各种研发辅助设计软件、管理软件、协同开发软件等也得到了快速发展及广泛应用。由于企业发展及业务需要，各类包含大量重要信息的电子资料，如源代码、设计图纸、计算书、技术文档等企业知识产权相关的数据被高度共享，在企业内部无障碍应用、传输及存储，这些核心数据关系到企业生存发展及商业竞争力，一旦泄密，将会给企业造成不可估量的损失。
行业大事记
2002年，原华为公司传输部的几位技术人员因与华为公司发生法律纠纷，被公安部门羁押，华为称这几名员工“盗窃”了公司的核心技术，并将“窃取”的核心技术资料卖给了华为的竞争对手。2002年8月，深圳市检察机关批准逮捕了这几名技术人员，并正式立案。
2002年9月，老传奇源代码泄密，源代码流失到英国，英国最大的两家游戏网站“龙站”和“凤凰站”开通免费频道。这消息迅速被中国的游戏高手得知，各位高手纷纷进行汉化，并各自推出自己的免费私人服务器。至此以后，传奇私服数量以空前的速度增加，大量私人服务器的肆意运营，对当时的正牌游戏运营商上海盛大公司造成了巨大的冲击。
2003年9月底，互联网上出现了《半条命2》的源代码。事件始于大约在9月11日前后，一名黑客入侵到Valve公司内部网络，将木马安装在Valve公司的数台机器上，并通过工具软件嗅探Valve公司的整个网络，以获取相关密码与资料。于9月19日，成功复制了《半条命2》的源码库。
2004年，微软Windows 2000和Windows NT操作系统的部分代码遭到泄露，引起了业内的普遍关注，微软立即着手对此事进行调查，就连美国联邦调查局也参与其中。
2012年1月信息安全网站Infosec Island称，黑客已经公布赛门铁克旗下诺顿反病毒软件2006的源代码。赛门铁克随后证实诺顿部分源代码遭到泄露。
2010年4月，因涉嫌窃取宇龙酷派的商业机密，8名同洲电子手机研发人员被深圳警方带走并接受调查。上述8名员工均从宇龙酷派跳槽至同洲电子，私自将宇龙酷派的部分核心源码带入了同洲电子，使得同洲电子即将面市的3G视讯互联网手机E89CDMAEVDO智能手机与宇龙酷派的N900基本一样。
安全现状及风险
作为研发类企业，研发源代码和设计文档是企业的核心资产，是企业的核心竞争力所在，如何有效的保护这些核心数据的安全已经得到企业高层领导的高度重视和密切关注。现如今，互联网上可以搜索到大量公开的源代码，其中也包含有大量涉及企业商业秘密的非公开内容;由于商业恶性竞争和职业道德的低下，存在部分从业人员将企业核心机密如源代码、设计图纸等低价出售给竞争对手或不遵循“竞业禁止”约定而随意拷贝、利用、扩散及分发，给企业带来不可估量的损失。源代码、技术文档资料等是研发企业的核心资产，目前多数企业已经规划或开展信息安全管控策略及措施的实施，但在数据安全保护层面的措施仅限于传统网络安全、存储冗余、备份及集中化管理、桌面安全管理等层面，对于信息系统、业务平台、网络通讯、办公终端以及存储介质中的数据均以明文形式存在，在核心数据资产的使用、传输、保管、销毁的过程中存在较多安全风险，同时也加大了信息安全管理工作的难度，所面临的关键问题及风险统计如下：
一、数据风险
1. 核心数据以明文方式分散储存，难于管理;
2. 核心数据传输环节有较多合法或非法的输出途径且无法有效监管;
3. 核心数据授权带离企业内部环境后面临外部扩散泄密风险;
4. 人员离职时可以将数据资产带离公司环境，造成损失;
5. 各类数据存储设备及介质由于使用、管理及处置不当引发的泄密风险等;
6. 特殊研发场景需开放网络及USB等端口使用权限(如调试、仿真、烧录等)，权限一旦开放将存在重大数据泄密隐患等。
二、人员风险
信息泄密事件的发生大多数和人密切相关，泄密的途径和方式也多种多样，可概括为如下三方面：
1. 主动泄密隐患
主动泄密已经成为当前企业信息安全的首要问题，据报告数据显示，目前泄密事件78.9%的损失都是由内部人员主动泄密导致。目前企业面临的主动泄密隐患包括：
1) 将企业内部文档私自拷贝外带及复用泄密(USB/网络/即时通讯/刻录);
2) 越权访问非授权数据泄密;
3) 盗用他人账号及设备非法访问数据泄密;
4) 伙同他人实现敏感数据跨安全域转移泄密;
5) 通过打印机、传真机等将敏感数据进行介质转换泄密;
6) 私自携带笔记本设备接入内部网络非法下载数据泄密;
7) 对敏感数据的恶意传播及扩散泄密;
8) 对核心应用系统的非安全接入及访问泄密;
9) 不遵守管理制度的其他导致数据泄密的行为等。
2. 被动泄密隐患
被动泄密是指导致信息泄密的人员在无意识或不知情的情况下所发生的泄密隐患，被动泄密已成为当前日益激烈的恶性商业竞争下的主要泄密隐患。目前存在的被动泄密隐患包括：
1) 移动笔记本、USB存储设备遗失或失窃导致数据泄密;
2) 邮件或网络误操作、误发送引起的泄密;
3) 保密意识淡薄对敏感数据保管不当引起的泄密，如随意共享等;
4) 感染病毒、木马后引发的敏感数据泄密;
5) 将存放重要数据的机器、存储介质随意交与他人使用引发的泄密;
6) 移动笔记本、USB存储设备和硬盘等维修、废弃时引发的泄密。
3. 第三方泄密隐患
第三方泄密是指重要数据交付给合作伙伴、客户或其他关系密切人员后保管不当或故意分发所引起的第三方扩散泄密，是目前企业商业化合作需求背景下逐渐体现的信息安全问题。
总体方案及结构
棱镜数据泄漏防护(P-EDS)整体解决方案是对用户的“有意”、“无意”两种数据泄露行为的统一防护，采用“事前主动防御，事中实时控制，事后及时追踪，全面防止泄密”的设计理念，融合“加密敏感数据”、“控制敏感内容流通”、“规范员工访问行为”为主体的核心技术，配合身份识别、权限控制、终端管理、应用集成、安全接入以及行为审计等功能，形成一套适合国内信息安全现状及管理目标的全新P-EDS解决方案，最终实现“带不走、打不开、读不懂”的控制目标及效果。
1. 核心数据安全存储需求-透明加密
1) 强制加密：通过智能动态加解密技术，对文件进行强制加密处理，从文件创建开始即可自动加密保护。
2) 透明使用：核心数据在加密前后对于数据合法使用者无任何差异，不增加用户负担、不改变任何工作流程及使用习惯。文件的保存加密、打开解密完全由后台加解密驱动内核自动完成，对用户而言完全透明、无感知。
2. 核心数据分级管控需求-权限管理
1) 权限管理：棱镜数据泄露防护解决方案，可以根据文件的重要程度，按照组织架构(部门、用户、项目组等)对文件进行密级标识及授权管理，只允许合法授权用户根据分配权限受控使用;非授权用户即使获取到数据也将无法查阅。
2) 权限控制：文档设置只读、打印、修改、再次授权、阅读次数及生命周期等权限，授权用户只能按照规定好的权限进行使用，无法通过属性修改、内容复制、副本另存等方式越权使用。
3) 集中管理：采用“权限集中管理、数据可分散存储”的设计理念，实现合法用户访问授权数据时，需实时认证权限信息;文档管理员可对集中化权限信息及权限文档进行统一集中管控，并可实现权限变更、权限归档、文档销毁等管理功能。
3. 敏感数据内容保护需求-内容安全
1) 剪切板/拖拽控制：合法用户打开加密文件时，防护系统将对合法程序的剪切板行为进行监控，受控程序之间可以进行内容的复制、粘贴、剪切等操作，但是受控程序的内容不允许粘贴至非受控程序中。
2) 另存为控制：合法用户打开加密文件后，根据工作需要进行副本及格式另存为;也可能出于泄密目的，将文件保存为任意不规则格式(包括无格式)副本。
3) 拷屏/录屏：合法用户打开加密文件后，系统将实时监控用户的截屏及录屏行为，当用户发起截屏请求时(比如键盘PrintScreen、QQ截屏以及其他截屏工具等)，系统会自动拦截截屏请求，实现屏幕黑屏保护;而当用户未打开任意加密文件时，系统不对用户截屏行为进行任何控制。
4) 打印控制：防护系统可对用户的打印行为进行灵活控制，即可实现“开/关式”打印控制，控制用户是否允许或禁止打印加密文件，也可实现打印精细化管理，控制用户对指定文档的阅读、打印权限，如使用次数和时限，也可进行打印水印设置等。
4. 核心数据外发安全需求-外发管控
核心数据对外发布时，通过对数据进行加密及授权封装，保障数据在外部环境的存储及使用安全，主要包括如下：
1) 文件加密保护：采用高强度加密技术对外发数据进行加密保护，防止非法用户暴力破解泄密。
2) 安全身份校验：外发文件提供多种安全身份认证机制，包括：密码口令认证、机器绑定认证、硬件USB-KEY认证及混合认证等，在身份认证通过后才可正常、安全打开外发文件。
3) 文件使用权限控制：外发文件提供细粒度权限控制保护，包含文档使用权限如只读、打印、修改等控制;文档生命周期管理如：阅读次数、阅读时限及过期自动销毁等保护;文档协同权限如修改、还原以及文档内容保护、打印水印等控制。
4) 文件内容安全控制：为防止使用者恶意将文件内容扩散，系统对其内容进行高强度安全控制，如内容剪切保护、禁止截屏、禁止另存为及打印控制等。
5) 外发文件易用性：外发文件在外部环境使用时，无需安装任何客户端及插件，用户双击外发文件完成身份认证后即可根据预设权限透明、安全使用。
5. 密文离网安全使用需求-移动客户端
P-EDS系统平台提供密文离网安全使用方案，通过在普通U盘中安装P-EDS移动客户端程序，实现在非办公电脑上处理公司重要数据时的无缝安全协同。
即插即用设计原理，当U盘移动客户端插入个人电脑并认证通过后，系统自动进入密文模式，可提供与企业内网终端完全一致的安全防护效果，确保企业加密数据外部使用安全;当U盘移动客户端移除或退出用户登录后，客户端将自动完成环境移除并关闭加解密功能，不对用户处理个人数据产生任何影响;安全离网身份认证， U盘移动客户端需完成身份认证后才可正常安全使用等。
数据泄密事件无时无刻不在发生，已经被越来越多的企业所关注，如何做好企业内部的数据防护措失也成为了研发行业稳步持续发展的重中之重。
棱镜助力研发业全方位打造数据安全解决方案
在信息化水平的高速发展的今天，从事高新技术研发行业的企业越来越多，各种研发辅助设计软件、管理软件、协同开发软件等也得到了快速发展及广泛应用。由于企业发展及业务需要，各类包含大量重要信息的电子资料，如源代码、设计图纸、计算书、技术文档等企业知识产权相关的数据被高度共享，在企业内部无障碍应用、传输及存储，这些核心数据关系到企业生存发展及商业竞争力，一旦泄密，将会给企业造成不可估量的损失。
行业大事记
2002年，原华为公司传输部的几位技术人员因与华为公司发生法律纠纷，被公安部门羁押，华为称这几名员工“盗窃”了公司的核心技术，并将“窃取”的核心技术资料卖给了华为的竞争对手。2002年8月，深圳市检察机关批准逮捕了这几名技术人员，并正式立案。
2002年9月，老传奇源代码泄密，源代码流失到英国，英国最大的两家游戏网站“龙站”和“凤凰站”开通免费频道。这消息迅速被中国的游戏高手得知，各位高手纷纷进行汉化，并各自推出自己的免费私人服务器。至此以后，传奇私服数量以空前的速度增加，大量私人服务器的肆意运营，对当时的正牌游戏运营商上海盛大公司造成了巨大的冲击。
2003年9月底，互联网上出现了《半条命2》的源代码。事件始于大约在9月11日前后，一名黑客入侵到Valve公司内部网络，将木马安装在Valve公司的数台机器上，并通过工具软件嗅探Valve公司的整个网络，以获取相关密码与资料。于9月19日，成功复制了《半条命2》的源码库。
2004年，微软Windows 2000和Windows NT操作系统的部分代码遭到泄露，引起了业内的普遍关注，微软立即着手对此事进行调查，就连美国联邦调查局也参与其中。
2012年1月信息安全网站Infosec Island称，黑客已经公布赛门铁克旗下诺顿反病毒软件2006的源代码。赛门铁克随后证实诺顿部分源代码遭到泄露。
2010年4月，因涉嫌窃取宇龙酷派的商业机密，8名同洲电子手机研发人员被深圳警方带走并接受调查。上述8名员工均从宇龙酷派跳槽至同洲电子，私自将宇龙酷派的部分核心源码带入了同洲电子，使得同洲电子即将面市的3G视讯互联网手机E89CDMAEVDO智能手机与宇龙酷派的N900基本一样。
安全现状及风险
作为研发类企业，研发源代码和设计文档是企业的核心资产，是企业的核心竞争力所在，如何有效的保护这些核心数据的安全已经得到企业高层领导的高度重视和密切关注。现如今，互联网上可以搜索到大量公开的源代码，其中也包含有大量涉及企业商业秘密的非公开内容;由于商业恶性竞争和职业道德的低下，存在部分从业人员将企业核心机密如源代码、设计图纸等低价出售给竞争对手或不遵循“竞业禁止”约定而随意拷贝、利用、扩散及分发，给企业带来不可估量的损失。源代码、技术文档资料等是研发企业的核心资产，目前多数企业已经规划或开展信息安全管控策略及措施的实施，但在数据安全保护层面的措施仅限于传统网络安全、存储冗余、备份及集中化管理、桌面安全管理等层面，对于信息系统、业务平台、网络通讯、办公终端以及存储介质中的数据均以明文形式存在，在核心数据资产的使用、传输、保管、销毁的过程中存在较多安全风险，同时也加大了信息安全管理工作的难度，所面临的关键问题及风险统计如下：
一、数据风险
1. 核心数据以明文方式分散储存，难于管理;
2. 核心数据传输环节有较多合法或非法的输出途径且无法有效监管;
3. 核心数据授权带离企业内部环境后面临外部扩散泄密风险;
4. 人员离职时可以将数据资产带离公司环境，造成损失;
5. 各类数据存储设备及介质由于使用、管理及处置不当引发的泄密风险等;
6. 特殊研发场景需开放网络及USB等端口使用权限(如调试、仿真、烧录等)，权限一旦开放将存在重大数据泄密隐患等。
二、人员风险
信息泄密事件的发生大多数和人密切相关，泄密的途径和方式也多种多样，可概括为如下三方面：
1. 主动泄密隐患
主动泄密已经成为当前企业信息安全的首要问题，据报告数据显示，目前泄密事件78.9%的损失都是由内部人员主动泄密导致。目前企业面临的主动泄密隐患包括：
1) 将企业内部文档私自拷贝外带及复用泄密(USB/网络/即时通讯/刻录);
2) 越权访问非授权数据泄密;
3) 盗用他人账号及设备非法访问数据泄密;
4) 伙同他人实现敏感数据跨安全域转移泄密;
5) 通过打印机、传真机等将敏感数据进行介质转换泄密;
6) 私自携带笔记本设备接入内部网络非法下载数据泄密;
7) 对敏感数据的恶意传播及扩散泄密;
8) 对核心应用系统的非安全接入及访问泄密;
9) 不遵守管理制度的其他导致数据泄密的行为等。
2. 被动泄密隐患
被动泄密是指导致信息泄密的人员在无意识或不知情的情况下所发生的泄密隐患，被动泄密已成为当前日益激烈的恶性商业竞争下的主要泄密隐患。目前存在的被动泄密隐患包括：
1) 移动笔记本、USB存储设备遗失或失窃导致数据泄密;
2) 邮件或网络误操作、误发送引起的泄密;
3) 保密意识淡薄对敏感数据保管不当引起的泄密，如随意共享等;
4) 感染病毒、木马后引发的敏感数据泄密;
5) 将存放重要数据的机器、存储介质随意交与他人使用引发的泄密;
6) 移动笔记本、USB存储设备和硬盘等维修、废弃时引发的泄密。
3. 第三方泄密隐患
第三方泄密是指重要数据交付给合作伙伴、客户或其他关系密切人员后保管不当或故意分发所引起的第三方扩散泄密，是目前企业商业化合作需求背景下逐渐体现的信息安全问题。
总体方案及结构
棱镜数据泄漏防护(P-EDS)整体解决方案是对用户的“有意”、“无意”两种数据泄露行为的统一防护，采用“事前主动防御，事中实时控制，事后及时追踪，全面防止泄密”的设计理念，融合“加密敏感数据”、“控制敏感内容流通”、“规范员工访问行为”为主体的核心技术，配合身份识别、权限控制、终端管理、应用集成、安全接入以及行为审计等功能，形成一套适合国内信息安全现状及管理目标的全新P-EDS解决方案，最终实现“带不走、打不开、读不懂”的控制目标及效果。
1. 核心数据安全存储需求-透明加密
1) 强制加密：通过智能动态加解密技术，对文件进行强制加密处理，从文件创建开始即可自动加密保护。
2) 透明使用：核心数据在加密前后对于数据合法使用者无任何差异，不增加用户负担、不改变任何工作流程及使用习惯。文件的保存加密、打开解密完全由后台加解密驱动内核自动完成，对用户而言完全透明、无感知。
2. 核心数据分级管控需求-权限管理
1) 权限管理：棱镜数据泄露防护解决方案，可以根据文件的重要程度，按照组织架构(部门、用户、项目组等)对文件进行密级标识及授权管理，只允许合法授权用户根据分配权限受控使用;非授权用户即使获取到数据也将无法查阅。
2) 权限控制：文档设置只读、打印、修改、再次授权、阅读次数及生命周期等权限，授权用户只能按照规定好的权限进行使用，无法通过属性修改、内容复制、副本另存等方式越权使用。
3) 集中管理：采用“权限集中管理、数据可分散存储”的设计理念，实现合法用户访问授权数据时，需实时认证权限信息;文档管理员可对集中化权限信息及权限文档进行统一集中管控，并可实现权限变更、权限归档、文档销毁等管理功能。
3. 敏感数据内容保护需求-内容安全
1) 剪切板/拖拽控制：合法用户打开加密文件时，防护系统将对合法程序的剪切板行为进行监控，受控程序之间可以进行内容的复制、粘贴、剪切等操作，但是受控程序的内容不允许粘贴至非受控程序中。
2) 另存为控制：合法用户打开加密文件后，根据工作需要进行副本及格式另存为;也可能出于泄密目的，将文件保存为任意不规则格式(包括无格式)副本。
3) 拷屏/录屏：合法用户打开加密文件后，系统将实时监控用户的截屏及录屏行为，当用户发起截屏请求时(比如键盘PrintScreen、QQ截屏以及其他截屏工具等)，系统会自动拦截截屏请求，实现屏幕黑屏保护;而当用户未打开任意加密文件时，系统不对用户截屏行为进行任何控制。
4) 打印控制：防护系统可对用户的打印行为进行灵活控制，即可实现“开/关式”打印控制，控制用户是否允许或禁止打印加密文件，也可实现打印精细化管理，控制用户对指定文档的阅读、打印权限，如使用次数和时限，也可进行打印水印设置等。
4. 核心数据外发安全需求-外发管控
核心数据对外发布时，通过对数据进行加密及授权封装，保障数据在外部环境的存储及使用安全，主要包括如下：
1) 文件加密保护：采用高强度加密技术对外发数据进行加密保护，防止非法用户暴力破解泄密。
2) 安全身份校验：外发文件提供多种安全身份认证机制，包括：密码口令认证、机器绑定认证、硬件USB-KEY认证及混合认证等，在身份认证通过后才可正常、安全打开外发文件。
3) 文件使用权限控制：外发文件提供细粒度权限控制保护，包含文档使用权限如只读、打印、修改等控制;文档生命周期管理如：阅读次数、阅读时限及过期自动销毁等保护;文档协同权限如修改、还原以及文档内容保护、打印水印等控制。
4) 文件内容安全控制：为防止使用者恶意将文件内容扩散，系统对其内容进行高强度安全控制，如内容剪切保护、禁止截屏、禁止另存为及打印控制等。
5) 外发文件易用性：外发文件在外部环境使用时，无需安装任何客户端及插件，用户双击外发文件完成身份认证后即可根据预设权限透明、安全使用。
5. 密文离网安全使用需求-移动客户端
P-EDS系统平台提供密文离网安全使用方案，通过在普通U盘中安装P-EDS移动客户端程序，实现在非办公电脑上处理公司重要数据时的无缝安全协同。
即插即用设计原理，当U盘移动客户端插入个人电脑并认证通过后，系统自动进入密文模式，可提供与企业内网终端完全一致的安全防护效果，确保企业加密数据外部使用安全;当U盘移动客户端移除或退出用户登录后，客户端将自动完成环境移除并关闭加解密功能，不对用户处理个人数据产生任何影响;安全离网身份认证， U盘移动客户端需完成身份认证后才可正常安全使用等。
数据泄密事件无时无刻不在发生，已经被越来越多的企业所关注，如何做好企业内部的数据防护措失也成为了研发行业稳步持续发展的重中之重。
