随着企业信息化进程的推进，工具软件与信息系统在企业中发挥着越来越重要的作用。企业常用的软件包括办公类软件（例如，微软Office系列）、二维CAD软件（例如，AutoCAD）、三维CAD软件（例如，Pro/E、UG、SolidWorks）、电子设计软件（例如，Protel）、图像处理软件（例如，PhotoShop）、视频处理软件（例如，Premiere）、软件开发环境（例如，Visual Studio），以及财务管理、ERP、PDM、PLM、CAPP、CAM、CAE等软件。这些软件中以电子数据的形式存储着企业的机密或专利信息。这些信息对于企业至关重要，甚至决定了企业的生死存亡。可以说，这些电子数据是企业的重要资产。
　　随着网络的普及，这些重要数据正面临被窃取的威胁。据CSI/FBI的2006年度调查报告显示，因敏感或专利数据被窃取造成的经济损失占全部损失的11%，笔记本等移动设备被窃造成的经济损失占全部损失的13%，对信息的未授权访问占全部损失的20%。仅上述三项与数据窃取有关的行为造成的损失约占总损失的一半。该数据表明，数据窃取已成为企业数据安全的重大威胁。对企业来说，如不正视这一威胁，就可能造成企业重要资产的流失。
　　目前市场上已有的安全产品，例如防病毒软件、防火墙、网络隔离器、虚拟专用网、入侵检测系统、容灾备份系统等，能组成一套数据安全的解决方案。这种解决方案更多关注于对外部威胁的防护上，对于内部威胁的防护则作用有限。而在现实生活中，针对企业数据的内部威胁无处不在。例如，
　　· 设计人员窃取企业的电子图纸文件；
　　· 内部人员窃取企业的财务数据；
　　· 药厂或化工厂内部人员窃取企业的配方；
　　· 广告公司人员窃取创意；
　　· 软件开发者窃取企业源代码与文档。
　　另据CSI/FBI的2006年度调查报告显示，超过三分之二的被调查者认为企业中存在着内部威胁，并给企业造成损失。事实上，堡垒最容易从内部攻破，内部威胁比外部威胁更具有破坏性。
　　面对上述内部威胁，国内多数企业的应对措施局限在通过人工方式来解决。例如，
　　· 管理人员监督和定期检查计算机使用情况；
　　· 禁止计算机连接网络；
　　· 拆除计算机上的光驱、软驱；
　　· 破坏USB口，禁止使用可移动存储器；
　　· 在外设接口与机箱上贴封条，定期检查封条状态。
　　上述“堵”的方式将网络化的数据共享环境人为隔离开，使工作人员退回了在一个个“信息孤岛”上工作的原始状态。 实践证明， 这种方式不仅影响员工正常工作，而且管理成本相当高，同时效果也比较有限。因此，针对企业数据的内部威胁问题，迫切需要一个新的企业数据安全保障系统。该系统通过与传统安全产品的集成，能有效封上数据安全防护堡垒的最后一块砖。

企业数据安全，为谁而战
　　首先要考虑的问题是：这个企业数据安全保障系统要保护的对象是什么？从名称上可以知道，该系统要保护的对象是企业数据， 而非个人数据。 本文所谓的企业数据主要指企业内部的机密或专利数据，例如设计图纸、配方、广告创意、财务数据、软件源代码与文档等。 这些数据能够为企业创造价值， 体现了企业利益所在，是企业核心竞争力所在。这决定了企业数据安全保障系统应是符合企业利益的，而非个人利益。该系统的主要功能是防止企业内部或外部人员有意或无意地泄露企业数据。因此，企业数据安全保障系统从安全管理角度应由管理人员集中控制，其功能目标可通过“六个集中，六个强制”来归纳。
　　1. 集中策略管理，强制执行策略
　　企业数据安全保障系统中涉及的策略主要包括：文件、网络、外设的访问控制策略；用户策略；安全域构成策略；资源共享策略。该系统应将上述策略交由管理人员集中管理与控制，能将策略自动分发到工作人员所在的计算机上，并在该计算机上强制执行这些策略。
　　2. 集中密钥管理，强制加密数据
　　安全系统的一个重要基础是其密码系统，密钥管理是密码系统的两大要素之一。企业数据安全保障系统应确保根密钥掌握在管理人员手中，密钥使用范围与时间的限制由管理人员来控制。为便于企业使用，加密企业数据的密钥应能自动分发与更换。 为便于集中控制， 工作人员处理、分发、传输企业数据的过程中能强制加密，确保存储或传输的数据是加密的。
　　3. 集中安全审计，强制提交日志
　　任何安全系统都不能保证没有防护上的安全漏洞，因此安全审计作为安全防护的一种有效补充手段，能强化整个系统的安全性。企业数据安全保障系统的安全审计子系统应能对安全域中的计算机进行集中的、可视的审计，及时发现安全隐患，增强系统安全性。为达到集中控制的目的，应强制工作人员所在计算机提交计算机环境、程序运行、用户操作等审计日志。
　　4. 集中导入控制，强制导入数据
　　如要把历史遗留的企业数据也用企业数据安全保障系统管理起来，就需进行数据导入。由于并非所有工作人员都能维护企业利益，数据导入工作一般由少数人进行。为此，企业数据安全保障系统应为数据导入者提供一个便利的集中导入控制台。该控制台能搜索安全域中所有计算机上的历史遗留数据，并集中导入到安全系统中。
　　5. 集中存储管理，强制提交数据
　　部分企业数据（例如图纸文件）存储在工作人员的计算机上，只有将它们集中存储，才能进一步整理与挖掘这些数据，为企业积累知识。企业数据安全保障系统应能强制控制工作人员计算机的企业数据存储区域，或能强制将工作人员计算机中的企业数据提交到服务器上，从而使企业数据的集中存储、集中归档成为可能。
　　6. 集中安装控制，强制安装系统
　　企业数据安全保障系统能否发挥作用， 重要前提是工作人员计算机上都安装和使用了该系统的软件。 为此，有必要给管理人员提供集中安装控制的工作台，从而确保能在工作人员计算机上强制安装企业数据安全保障系统，并防止工作人员恶意卸载与破坏。

企业数据安全，如何应战
　　明确了企业数据安全保障系统的目标后，需考虑如何满足上述目标，即解决如何做的问题。从安全需求角度，企业数据安全保障系统应确保企业数据按预期方式传输、存储与处理，并保障在上述过程中企业数据的机密性、完整性、真实性、不可抵赖性和可用性。其中，
　　· 机密性：指不会出现未授权的信息泄露。
　　· 完整性：指不会出现未授权的信息篡改。
　　· 真实性：指确保是合法者发送的信息，而不是非法者或入侵者发送。
　　· 不可抵赖性：指发送信息的一方不能对自己的发送的信息进行抵赖，不能否认自己发送信息的行为。
　　· 可用性：指用户能够随时随地访问到工作所需要的信息。
　　在上述特性中，企业数据的机密性与可用性对企业数据安全保障系统尤为重要。机密性是企业数据安全保障系统的根本目标，但不能在保障机密性的同时降低了数据可用性。如果数据可用性差，会给工作人员带来很大不便，使工作人员难以接受企业数据安全保障系统，甚至会影响企业正常运作。
　　为提高数据可用性，除采取提高系统持续运行能力，实施容灾备份措施之外，企业数据安全保障系统还能从细化控制粒度角度贴近用户体验，从而提高数据可用性。

细化控制粒度可从控制方式、控制对象、空间位置、时间范围四个角度入手。
　　1. 控制方式
　　从控制方式角度，应采用以疏导为主，外松内紧的管理方式，系统遵循如下设计原则：
　　· 尽量不改变工作人员现有工作习惯；
　　· 在授权情况下，不限制网络、存储介质与外设的使用；
　　· 工作人员操作过程中，自动、透明地进行数据加解密操作；
　　· 在发生灾难时，允许短时间的应急使用。
　　2. 控制对象
　　传统的企业数据安全保障系统控制对象的粒度一般是计算机或网络。这造成了工作人员之间、内部人员与外部人员之间交流不畅，影响了工作效率，增加了管理成本。
　　企业数据安全保障系统控制对象的粒度应细化到文件、计算机、网络、用户、程序这五个层面，并支持上述五个层面的认证鉴别、授权与访问控制机制。
　　3. 空间位置
　　传统的企业数据安全保障系统对空间位置的限制比较死，一般局限在固定的网络或计算机上。随着互联网与移动应用的普及，为便于企业内部或企业间的交流沟通，空间位置范围应在如下方面拓展：
　　· 允许客户端与服务器分布在广域网上，并跨异构组织工作；
　　· 在连接不上服务器的情况下，允许携带笔记本外出工作；
　　· 允许支持PDA、手机等移动应用。
　　4. 时间范围
　　相对于空间位置范围的拓展，企业数据安全保障系统对时间范围的约束应更加严格，粒度更精细。企业数据安全保障系统中的文件、计算机、网络、用户、程序都应有有效期限，并有相应的有效期管理功能。

结束语
　　清软英泰文件守护神系统（TiFG）是一个基于上述理念设计的企业数据安全保障系统。TiFG能提供一个处理、传输与分发企业数据的安全环境。在该环境中，无需改变工作人员的操作习惯。工作人员与外部人员无法从该环境中窃取数据，同时数据操作过程始终处于管理人员监控之中。
　　当TiFG与相关管理软件（例如，TiPDM、TiPLM）集成后，能在确保安全前提下真正实现企业数据共享，并支持企业内与企业间协同工作。