企业应用信息安全解决方案

现在，许多大中企业都部署了 ERP( 企业资源规划 ) 、 CRM( 客户关系管理 ) 、 SCM( 供应链管理 ) 、 OA( 办公自动化 ) 、 MIS( 管理信息系统 ) 和 CAD( 计算机辅助设计 ) 等信息系统，为企业的管理和科学决策起到了非常大的作用，而这些系统基本上涉及到了企业的所有核心机密数据如财务账目、凭证、采购销售、资金使用 ) 、生产计划、客户、在线报销和在线转帐等，而访问方式涉及到内部网访问、通过外部互联网访问和通过 VPN 外联网访问，访问人员涉及到企业员工、合作伙伴、供应商、代理商、客户等，可以说，这些对于企业的信息主管绝对是一个不小的挑战，因为这些访问人员会通过各种访问方式获得了企业的机密信息，一旦数据失真或被内部人员、黑客和商业间谍窃取将有可能导致严重的后果，甚至破产。因此，采取强有力的信息安全措施来保障企业的信息安全将变得尤为重要。目前企业的信息安全出现的主要问题总结如下：

（1） 真实身份认证问题： 涉及到两个真实身份的认证问题，一个是访问企业信息系统的用户的真实身份认证，另一个是企业网站的真实身份认证。而前者对于企业来讲最重要，因为访问者可能在世界各地通过各种方式访问，而仅凭“用户名＋口令”的传统身份认证方式根本就没有任何安全性可言，而有些大企业 ( 如神州数码 ) 采用昂贵的能产生动态口令的令牌卡也是不安全的，除了有可能遗失令牌卡、电池没电甚至不按规定借给其他人使用等不安全因素外，如果没有考虑输入密码通过认证后的所有从客户端到服务器的数据交换在不安全的网络上明文传输的话，则仍然是不安全的，但令牌卡会麻痹用户认为非常安全。

（2） 信息的机密性问题 ：企业的各种用户在访问企业的信息系统时要求用户输入用户帐号和密码以及其他机密信息和通过身份认证后从服务器传来的机密信息，用户端电脑与服务器之间的机密数据的传输过程中要经过许多网络设备和传输链路 ( 特别是有些不安全的宽带接入方式使得整个办公楼或居民小区的所有用户实际上是在一个共享的局域网上 ) ，如果此类机密信息不加密传输，则非常容易和极有可能在传输过程中被非法截取而泄密，这是非常危险的，但企业往往只重视了身份认证问题。

（3） 信息的完整性问题： 如果在用户端电脑到企业数据库服务器之间的所有信息交换在传输过程中不加密的话，则非常容易和极有可能在传输过程中被非法恶意篡改，使得企业蒙受巨大的经济损失，而用户还不知晓。

（4） 不可否认性问题： 不管是上游供应商还是下游分销商以及员工，所有用户有可能会否认其在线操作行为，这里有许多原因，可能是用户本身的原因，也可能是其他方面的原因，每笔在线操作一定要有可靠的签名记录用于纠纷仲裁的法律依据。

针对以上安全隐患和可能出现的问题， WoSign 推出了基于 PKI 技术的企业信息化应用信息安全解决方案，完全解决了以上 4 大问题：

(1) 为企业的服务器 (Web 服务器和其他服务器 ) 颁发全球通用的支持所有浏览器的支持强制128位加密的 SSL证书，确保全球用户在任何地方都可以使用任何浏览器访问企业的服务器，支持从浏览器到服务器之间机密信息的高强度加密传输，从而有效地防止了信息的机密信息、帐号、密码和交易数据的机密性和完整性。

(2)  为每个访问企业信息系统的用户 ( 员工、合作伙伴和客户 ) 颁发一个全球通用的 ( 在任何地方，即使在国外也可以使用 ) 单位数字证书用于登录企业信息系统的真实身份认证和用于每个在线操作的数字签名，从而杜绝了口令泄露而造成的损失和提供了交易不可否认的证据。为了杜绝使用公用电脑和专用电脑的间谍软件或其他可能的手段非法使用数字证书问题， 强烈推荐用户使用 USB 型移动数字证书来确保是真实的合法用户安全地登录企业信息系统 ( 需要登录和在线处理业务时就把移动数字证书插入电脑的 USB 口，用完就拔下 ) 。此证书不仅可以用于强身份认证，还可以用于电子邮件数字签名和加密，也可以用于数字签名PDF文件，从而真正实现全程无纸化。

(3)  在企业网站的显著位置显示安全认证签章，让用户一眼就看出他 / 她正准备联上的网站确实是该用户计划登录的企业网站，而不是假冒的企业网站。现在假冒一个一模一样的网站只需几秒钟时间，而网站身份认证签章在假冒网站上是不能显示的。

以上解决方案涉及到的产品有：服务器SSL证书、客户端数字证书、网站身份认证，请浏览以下页面了解产品详情，我们不仅提供产品，而且免费提供开发和应用指导：

服务器SSL证书： https://www.wosign.com/OVSSL/OV_ZhenSSL_Pro.htm

企业CA托管解决方案：https://www.wosign.com/Products/EPKI_Organizations.htm

客户端数字证书：http://www.wosign.com/Products/clientcert.htm

强身份认证技术选型指南：http://www.wosign.com/solution/Strong_authentication_solution.htm

使用客户端数字证书实现强身份认证登录演示：https://www.wosign.com/LoginDemo/

如果您就是企业的信息主管，请重视企业信息系统的信息安全建设，并请立刻 联系我们 ，我们有更详细的方案发给您；如果您是企业的员工，并把我们的解决方案报告贵公司的信息主管以便尽快采取有效的信息安全防范措施，只有大家齐努力才能确保企业重要的信息系统的信息安全，我们愿意为此做出应有的贡献。