办公内网建设方案.docx

办公内网建设方案

一、办公文件传输现状

公司目前文件传输主要通过电子邮件或者移动存储设备等手段。但以上做法仍然存在着很多的不便和风险，均不能从根本上防范敏感信息泄密及对文件传输管控，对文件的检查也力不从心，且国家对于军队相关信息不允许在互联网计算机上存储、传输，内网建设需要迫在眉睫。

二、办公文件使用过程主要存在的风险：

（1）传输过程不受控制：使用互联网电子邮件传输文件，导致敏感信息泄露的风险。

（2）文件保存及使用不受控制：通过邮件传递的文件时常含有敏感信息或文件误标密，导致互联网计算机中存在该类文件，对该类文件的保存使用无法做到有效管控，易造成信息泄露的风险。

上述问题直接影响着公司内部重要资料、文件以及数据的安全，一旦出现重要资料、文件或数据通过互联网被泄密出去，大则给国家社会造成危害，小则给公司造成经济损失，因此需要采用各种措施，解决在实际工作中出现的问题，并对尚未出现的危害安全的行为进行防范，以满足文件输出的合规性要求。

（3）敏感信息传递不受控制：BPR、ERP、EC等信息系统存储有大量军队相关的敏感信息，这些信息在互联网计算机上使用，造成失泄密事件的概率极大。

三、办公内网部门调研：

公司含有敏感信息的文集主要集中在人力、客户服务中心、财务、质量办、供应中心、军队部、项目部、系统支持部、产品部、研发部等部门中处理，按照部门人数25%的概率配置内网机需要约XX台，具体人数及分布如下表所示：

部门名称

部门人数

区域

内网机数量

人力

客户服务中心

财务

质量办

供应中心

军队部

项目部

系统支持部

产品部

研发部

四、内网建设方案建议：

1.内网与互联网隔离：

国家保密局在2000年1月发布的《计算机信息系统国际联网保密管理规定》第二章〈保密制度〉第六条规定的“涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其他公共信息网络相联接，必须实行物理隔离。”随着形势的发展，国家保密局在2007年《电子政务保密管理指南》中指出“与互联网络物理隔离的电子政务非涉密网络与涉密网络之间，可以采用双向隔离与交换设备进行双向交换，在与互联网逻辑隔离的电子政务非涉密网络与涉密网络之间，只能采用单向导入设备进行单向数据传输”。

如下图所示，公司内网通过部署单向光闸与现有办公网进行安全隔离和单向数据传输：

2.内网计算机安装

内网计算机安装由国家相关主管部门授权测评机构检测在有效期内的三合一软件、主机审计、单机身份验证登陆软件，操作系统使用windows7、windows10等，且安装唯一的操作系统。安装病毒防护软件并定期进行病毒库升级及病毒查杀。

内网计算机拆除蓝牙和无线上网模块，通过IP地址与MAC地址绑定的形式，禁止未授权终端接入办公内网，互联网计算机传输文件至内网计算机时使用刻录光盘或指定移动存储设备进行。

3.业务系统：

搭建内网专用BPM、ERP、EC等业务系统；搭建邮件服务器，使用内网专用邮箱进行文件之间互相传递;部署铁卷数据安全系统，用于内网机数据安全管理。

4.设备:

本次内网建设包含计算机，业务系统服务器，铁卷数据安全系统服务器，邮件系统服务器，内网交换机及天清安全隔离与信息单向导入系统。

5.部署：根据公司目前办公环境，规划以下三种部署方案

方案一：在现有工位处增加内网网口（拓扑图见图1）。

方案二：各办公区分别划分内网机专用室，实行一机多用，即同一区域部门使用同一内网计算机办公，通过用户KEY及访问权限进行管理，预计分配90台，各房间设置进出权限（拓扑图见图1）。

图1

方案三：公司统一划分内网计算机专用室，各部门内网计算机统一在该室使用，实行一机多用，即不同部门使用同一内网计算机办公，通过不同的用户KEY及访问权限进行管理（网络拓扑图见下图）。

方案一与方案二使用设备数量一致，方案三通过集中办公的形式减少了交换机使用及综合布线的复杂度。