关键词：私有云；存储；信息安全
一、引言
互联网时代，信息化建设己经得到了极大地发展，数据信息己经成为政府和企事业单位最重要的资产之一，重要应用系统的内部数据更是一个机构组织核心技术和核心竞争力的载体。
如何控制这些重要数据，防止其受到破坏，已经成为政府和企事业单位最为关注的问题。近年来，企事业单位在进行信息化建设同时，对信息安全和系统保障管理进行了一系列探索和实践，但许多工作尚在摸索之中，一些经验也不成熟，统一、高效、健全的信息安全数据管理运行机制和制度体系尚未建立。
本文以私有云技术、虚拟磁盘技术为依托，探讨了一种数据集中存储管控的方法，介绍了信息集中存储技术的作用，对各领域今后重要数据的管理有一定的促进作用。
二、信息管控存在的问题和需求
由于在计算机软硬件资源、网络核心设备等领域受制于人，我国的信息安全面临严峻的挑战。网络安全已经成为我国需要重点防范的安全领域，网络安全也己经上升到国家战略高度，所以对信息系统中的重要信息进行保护十分重要。
目前，集中管控模式下的系统应用越来越广泛，在集中管控模式下，对重要信息进行统一管理、可信认证、访问管控等在很大程度上解决了当今日益严重的信息安全保护问题，并且其完善的系统可以被更多的领域所使用。即使如此，针对集中管控模式下系统中具体的、实体间的可信认证机制的研究少之又少。
在敏感数据管理方面，现有的研究多集中于文件加密相关课题。文件加密存储，能够防止第三方窃取信息，但由于数据文件分散存储在各计算机中，管理者无法对数据进行统一管理。这种无序的状况有可能造成资料数据的遗失，也为电子文件的安全埋下隐患。
三、基于私有云的信息集中管控方案
信息集中管控系统在文档全生命周期内保证文档的安全，在管理方式上，方案采用客户端工具管理和WEB端管理两种方式。
（一）系统方案实现的主要功能如图1所示。
.png)
图1 私有云数据管控方案
1、文档集中安全管理：实现对文档的集中加密存储和安全管理功能，对集中存储的文档进行全生命周期的安全防护和管理，包括：在线编辑、文件可控共享、文件授权、版本控制、文件检索、文件外发管理等。
2、文档本地安全管理：安全盘中的文件都进行加密存储，阅读进程在访问安全盘中文件时进行透明加解密，同时安全防护内核控制阅读进程，防止打开的文件内容通过各种渠道流出。
3、文件终端安全防护：在用户终端打开的数据文件都将被终端的安全防护内核控制，通过安全盘防护内核的控制，安全受控文件将被限制在安全盘内，同时查看安全盘文件内容时无法通过移动存储、打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送等方式传输出去。
4、安全认证控制：系统采用数据加密传输、存储技术，通过访问认证方式来确保数据在传输、存储过程的安全。采用双管理员相互制衡管理机制，修改用户密码和删除用户数据都需要行政管理员认证。
5、文档自动备份：通过客户端备份引擎，将终端的数据文件定时的备份到服务器上，防止因终端系统崩溃造成数据的丢失。
6、日志审计：系统对于任何用户的文档操作、登录情况、系统管理员操作等都有日志记录。系统管理员可查看文件操作日志和登录日志，审计管理员可查看各种操作日志，并对日志进行查询、删除等操作。
（二）基于私有云的信息集中管控方案
针对电子文件的管理，以透明加解密为核心，提出了一套集中存储电子文件的管控技术。该技术通过对用户各类数据的集中存储，使得在瘦终端不存储任何形式的数据；对存储到服务器中的数据进行加密防护，分组分级的授权管理，防止越权访问；结合身份认证、审批、外发及审计等方法，实现电子文件全面的管控。
1、用户身份认证
用户身份认证，是该系统的安全基础。身份认证采用USBKey双因子认证方式，保证访问者的物理身份与数字身份的一致性。每一个USBKey都具有硬件PIN码保护，PIN码和硬件构成了用户使用USBKey的两个必要因素，即所谓“双因子认证”。用户只有同时取得了USBKey和用户PIN码，才可以登录系统。即使用户的PIN码被泄漏，只要用户持有的USBKey不被盗取，合法用户的身份就不会被仿冒；如果用户的USBKey遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。
2、文件集中加密存储
在用户的本地瘦终端计算机中，不配置存储器，所有信息存储在私有云的存储池中，用户之间经授权的文件传输由云端完成，避免了文件在瘦终端之间交互，提高了传输速度和可控制性。存储任何形式的文件信息，所有文件均自动加密并保存至文件服务器。
3、文件权限控制
所有存储到文件服务器中的文件，均对权限进行细粒度的控制，只有符合权限所允许范围内的用户，才能获得明文数据，否则，当前用户对文件的访问被拒绝。该系统可以根据分组、角色、用户或IP等进行权限控制，使加密文件只允许某小组或某限制范围内的用户使用。同时又可以对某些用户设置特殊访问权限，使其可以访问某些或所有用户的加密文件，使得只能在某小组或某范围内才能正常使用的加密文件可以被小组或范围外的该特殊用户正常使用。
4、公文审批流转
存储在文件服务器中的文件，均对权限进行控制。除特权用户，一般用户只允许访问已分配权限的文件。对于不同分组不同角色的用户，若需访问其他用户的文件，可通过审批工作流提出申请，对文件进行主动授权，限制该文件只能被某些用户或小组使用，同时指定具体的使用权限(只读、允许修改、允许打印、带水印打印、使用时间，以及是否记录使用日志等等)该授权过程通过在线审批或离线申请来完成。
5、文件外发管理
对于需带出到外部的文件，通过外发管理对文件进行审批。在文件服务器中加密存储的文件只能在内部由授权用户进行使用。单位有时需要与外部进行文档形式的交流或合作，为了不影响这种对外交流，系统对外发文件进行授权管理，由用户向管理者提出申请，审批通过后，方可带出文档。在单位外部使用外发数据时，其使用范畴及生命周期均受到严格的控制，并对数据安全进行全面防护。外发的文件其访问权限的控制包括使用范围、使用时间、使用次数、打印控制和打印水印等。
6、统计审计分析
对于用户的所有操作行为，如用户通过身份认证后访问文件服务器的行为、公文审批的流程和外发审批管理，系统均记录日志，以便以后统计分析。同时，对于核心文件的使用过程，如流转给哪个用户，用户对文件进行了哪些操作，系统均可追踪有关文件的详细信息，从而为管理者把握整体的文件使用情况提供便利。
四、总结
针对当前电子文件难以管控的问题，本文提出一种基于私有云的文件集中管控方案，该技术以透明加解密为核心，在不改变用户使用习惯、不增加用户成本投入及性能消耗的同时，解决文件集中存储和访问控制等一系列安全管理问题，为进一步深入研究电子文件的管理奠定了基础。
参考文献
[1]芮坤坤.基于私有云存储的网盘系统设计研究[J].内江科技,2019,40(12):38-40.
[2]张琦.云计算及关键技术的发展[J].计算机与网络,2019,45(24):44.
[3]马国胜,黄豪琛.基于私有云的文档存储与资源平台建设[J].中国金融电脑,2020(01):50-52.
[4]关宏.基于VMwarevSphere私有云计算模式的数字化实验室建设[J].电脑知识与技术,2020,16(02):232-233.
[5]石宝金,刘晓斌,储德锋.基于信息流控制模型的云计算数据隐私保护算法研究[J].西安文理学院学报(自然科学版),2020,23(01):41-45.
论文作者:黄雨薇
论文发表刊物:《科学与技术》2020年1期
论文发表时间:2020/4/29
标签：文件论文; 用户论文; 数据论文; 系统论文; 终端论文; 文档论文; 信息论文; 《科学与技术》2020年1期论文;