研發(fā)制造：研發(fā)制造

行業(yè)及應(yīng)用環(huán)境簡(jiǎn)介

企業(yè)以研發(fā)、生產(chǎn)和銷售專業(yè)廣播系統(tǒng)為主要業(yè)務(wù)方向，產(chǎn)品廣泛應(yīng)用于文體場(chǎng)館、政府、企業(yè)、商超、消防和交通等領(lǐng)域，屬于典型的研發(fā)型制造業(yè)，有大量開(kāi)發(fā)人員借助計(jì)算機(jī)進(jìn)行產(chǎn)品設(shè)計(jì)和研發(fā)，產(chǎn)出了大量高價(jià)值的文件，如源代碼、設(shè)計(jì)圖和技術(shù)資料等，因產(chǎn)品研發(fā)及業(yè)務(wù)要求，研發(fā)及各職能部門的計(jì)算機(jī)均可訪問(wèn)互聯(lián)網(wǎng)，計(jì)算機(jī)各類接口也是完全開(kāi)放的，安全事件隨時(shí)可能發(fā)生。

現(xiàn)存的信息安全問(wèn)題

公司有嚴(yán)格的文控制度，但無(wú)法實(shí)現(xiàn)落地，沒(méi)有從實(shí)質(zhì)上解決核心文檔泄露問(wèn)題：

源代碼、UI設(shè)計(jì)圖、各類重要的office文檔以明文的方式存儲(chǔ)在實(shí)體機(jī)或虛擬機(jī)，加上開(kāi)放的通渠道，隨時(shí)面臨泄密風(fēng)險(xiǎn)。

嵌入式開(kāi)發(fā)場(chǎng)景多，存在通過(guò)U盤或燒錄等方式將代碼泄露出去的風(fēng)險(xiǎn)。

所有可能對(duì)機(jī)密信息造成泄密的行為均缺乏監(jiān)視措施，公司不具備調(diào)查取證的能力。

應(yīng)用服務(wù)器賬號(hào)密碼泄露，依然會(huì)導(dǎo)致服務(wù)器數(shù)據(jù)泄露。

開(kāi)發(fā)平臺(tái)多樣化，因此廣泛采用虛擬機(jī)技術(shù)，面臨拷貝虛擬機(jī)泄密的風(fēng)險(xiǎn)和私建虛擬機(jī)逃避管控的行為。

解決辦法

1開(kāi)發(fā)過(guò)程防泄密

對(duì)各事業(yè)部研發(fā)部門產(chǎn)生的源代碼及設(shè)計(jì)圖進(jìn)行強(qiáng)制加密，其他部門產(chǎn)生的重要office文件進(jìn)行加密保護(hù)，全體員工可訪問(wèn)加密文件。

Linux電腦：主要使用Gcc、eclipse和Qt等完成開(kāi)發(fā)任務(wù)。
Windows電腦：主要用于嵌入式開(kāi)發(fā)，包括：硬件開(kāi)發(fā)、FPGA開(kāi)發(fā)、web開(kāi)發(fā)、++開(kāi)發(fā)、dsp算法、音視頻處理、后臺(tái)開(kāi)發(fā)、APP 開(kāi)發(fā)、UI設(shè)計(jì)。

2服務(wù)器防泄密

使用安全網(wǎng)關(guān)保護(hù)重要的服務(wù)器，禁止非法PC訪問(wèn)它們。
實(shí)現(xiàn)上傳解密下載加密，保證開(kāi)發(fā)人員接觸的代碼文件一直處于加密狀態(tài)。

服務(wù)器的類型：SVN、Gitlab、Jenkins、編譯服務(wù)器和文件服務(wù)器等。
訪問(wèn)控制原則：未經(jīng)明確允許，則一律禁止訪問(wèn)。
管轄的計(jì)算機(jī)：Windows、Linux和虛擬機(jī)。

3調(diào)試燒錄防泄密

調(diào)試設(shè)備時(shí)，僅允許研發(fā)人員通過(guò)COM口燒錄設(shè)備。
在正式燒錄時(shí)，研發(fā)人員需將可執(zhí)行文件發(fā)送給文控員，文控員再將文件移交給專職燒錄人員進(jìn)行燒錄。

4編譯防泄密

開(kāi)發(fā)人員可通過(guò)域賬號(hào)登錄跳板機(jī)，借助跳板機(jī)上的 putty等工具訪問(wèn)編譯服務(wù)器完成編譯任務(wù)，在跳板機(jī)上安裝IP-guard客戶端，對(duì)開(kāi)發(fā)人員的操作行為進(jìn)行錄屏和下載文件審計(jì)。

5解密外發(fā)管理

因業(yè)務(wù)需要外發(fā)文件時(shí)，統(tǒng)一由文控部門手動(dòng)解密后直接發(fā)送出去，研發(fā)人員沒(méi)有解密和外發(fā)文檔的權(quán)限。

6文檔操作記錄

記錄文件（代碼、圖紙、技術(shù)資料等）的操作及流通情況，提升公司對(duì)泄密事件的追溯水平。

7虛擬機(jī)管理

明確每位員工所需虛擬機(jī)的數(shù)量并登記造冊(cè)，對(duì)現(xiàn)存的虛擬機(jī)部署IP-guard客戶端并加密核心成果文件，通知要求新建虛擬機(jī)須得到公司批準(zhǔn)，對(duì)創(chuàng)建、移動(dòng)和刪除虛擬機(jī)的行為進(jìn)行記錄和報(bào)警，一旦發(fā)現(xiàn)違規(guī)行為進(jìn)行行政處罰。