基于企业云盘的移动存储介质数据安全保护方法与流程

本发明涉及数据安全领域，具体地，涉及基于企业云盘的移动存储介质数据安全保护方法。

背景技术：

移动存储介质为人们进行数据存储和交换带来了很大的便利性，在企业中使用非常普遍。例如，企业办公人员将重要资料通过U盘拷贝到不同的计算机上，销售人员通过U盘携带资料向客户演示产品等。正因为如此，不法分子也趁机利用移动存储介质非法窃取和传播企业数据，严重损害了企业的核心商业利益。通过低成本的移动存储介质窃取企业数据，这已经成为一种常见的商业秘密泄漏途径。

在允许企业人员使用移动存储介质方便日常工作的同时，又能够有效地管控企业数据的传播和使用，这已经成为企业管理者所关注的重要问题。目前，市场上存在一些专用安全U盘，能够实现部分企业对移动存储介质数据安全的需求。但是，由于采购价格昂贵，成本较高，不便于在一般企业内部推广。其次，移动存储介质类型多。除了U盘，常见的还包括移动硬盘、存储卡等，对此类移动存储介质，企业无法统一管控。最后，企业管理者既要预防不法分子利用移动存储介质恶意泄漏企业商业秘密信息，又要预防企业人员由于移动存储介质丢失、被窃取、设备维修等意外过失泄密的风险。

因此有必要提供一种技术方案，既能为企业实现商业秘密的保护，又能满足企业人员方便办公的需求。

技术实现要素：

针对现有技术中的缺陷，本发明的目的是提供一种基于企业云盘的移动存储介质数据安全保护方法。

根据本发明提供的一种基于企业云盘的移动存储介质数据安全保护方法，包括：

通过移动存储介质的管理机器A格式化移动存储介质，在移动存储介质中形成 启动分区和安全数据分区，在启动分区中写入安全认证应用程序，并设置安全密码；

当移动存储介质接入除了管理机器A之外的其它计算机后，使启动分区能够被所述其它计算机自动识别，并且使安全数据分区处于隐藏状态；

当安全认证应用程序运行后，安全认证应用程序将用户输入的口令与安全密码进行比较以实现安全认证；若口令与安全密码一致，则判定为通过安全认证，隐藏启动分区，恢复显示安全数据分区；否则，则判定为未通过安全认证，继续保持显示启动分区且隐藏安全数据分区。

优选地，还包括：

在管理机器A格式化移动存储介质后，与该移动存储介质相关的参数同步至企业云盘服务器B；其中，所述与该移动存储介质相关的参数，包括移动存储介质身份信息；

在所述其它计算机运行企业云盘客户端的情况下，所述其它计算机利用接收自企业云盘服务器B的移动存储介质身份信息与移动存储介质通过安全认证，使得文件数据能够在所述其它计算机与移动存储介质的安全数据分区之间自由移动，并在安全数据分区中对写入的文件数据加密存储，并且禁止将数据文件从安全数据分区中拷贝到其他位置。

优选地，对于安全数据分区中的文件，只允许被受信任的Windows应用程序访问；

受信任的Windows应用程序打开安全数据分区中的文件后，禁止将该文件拷贝到其他位置，禁止复制该文件中的内容到Windows粘贴板，禁止拖拽、打印、网络传输、导出数据。

优选地，退出移动存储介质时，如果存在已打开的移动存储介质中的数据文件，则自动提示并强制关闭已打开的数据文件。

与现有技术相比，本发明具有如下的有益效果：

1、本发明能兼容不同厂商的U盘和移动硬盘设备，适应范围非常广泛。

2、本发明能利用企业已有的移动存储介质资产，避免重复投资，降低企业成本。

3、本发明能较好地预防企业人员利用移动存储介质主动泄密或过失被动泄密。

4、本发明能够有效地加强了企业对移动存储介质的管控，也便利了企业人员日常办公。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为本发明的原理图。

图2为本发明的部署结构图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

本发明的基本思想是：对普通的移动存储介质设置初始化的格式，并在此基础上构建一个安全的数据访问环境，确保用户在受控的情况下访问文件数据。

根据本发明提供的一种基于企业云盘的移动存储介质数据安全保护方法，包括：

通过移动存储介质的管理机器A格式化移动存储介质，在移动存储介质中形成启动分区和安全数据分区，在启动分区中写入安全认证应用程序，并设置安全密码；

当移动存储介质接入除了管理机器A之外的其它计算机后，使启动分区能够被所述其它计算机自动识别，并使安全数据分区处于隐藏状态；

当安全认证应用程序运行后，安全认证应用程序将用户输入的口令与安全密码进行比较以实现安全认证；若口令与安全密码一致，则判定为通过安全认证，隐藏启动分区，恢复显示安全数据分区；否则，则判定为未通过安全认证，继续保持显示启动分区且隐藏安全数据分区；

在管理机器A格式化移动存储介质后，与该移动存储介质相关的参数同步至企业云盘服务器B；其中，所述与该移动存储介质相关的参数，包括移动存储介质身份信息；

在所述其它计算机运行企业云盘客户端的情况下，所述其它计算机利用接收自企业云盘服务器B的移动存储介质身份信息与移动存储介质通过安全认证，使得文件数据能够在所述其它计算机与移动存储介质的安全数据分区之间自由移动，并在安全数据分区中对写入的文件数据加密存储，并且禁止将数据文件从安全数据分区中拷贝到其他位置；

对于安全数据分区中的文件，只允许被受信任的Windows应用程序访问；受信任的 Windows应用程序打开安全数据分区中的文件后，禁止将该文件拷贝到其他位置，禁止复制该文件中的内容到Windows粘贴板，禁止拖拽、打印、网络传输、导出数据；

退出移动存储介质时，如果存在已打开的移动存储介质中的数据文件，则自动提示并强制关闭已打开的数据文件。

更为具体地，格式化普通的移动存储介质，形成2个分区：启动分区和安全数据分区。在这个过程中，移动存储介质被赋予唯一的存储标识(Storage Identify,SID)，并在启动分区中写入Windows应用程序safedisk.exe作为安全认证应用程序。

将移动存储介质接入新的Windows计算机后，系统能自动识别其启动分区，但是，安全数据分区处于隐藏状态。

运行safedisk.exe后，必须进行安全认证。认证通过后，自动隐藏启动分区，恢复显示安全数据分区。

如果Windows计算机运行企业云盘客户端，那么，它能与接入的移动存储介质自动相互识别和认证，该过程不需要用户参与，对用户来说是完全透明的。文件数据可在它与移动存储介质的安全数据分区中自由移动，并在安全数据分区中自动加密存储，但禁止从安全数据分区中拷贝到其他位置。

在应用Windows Ring3Hook技术的情况下，对于安全数据分区中的文件，只有受信任的Windows应用程序能访问它，其他应用程序无法访问。受信任的Windows应用程序打开安全数据分区中的文件后，禁止另存为到其他位置，禁止复制内容到Windows粘贴板，禁止拖拽、打印、网络传输、导出数据等行为。

退出移动存储介质时，如果存在已打开的文件，那么，程序自动提示并强制关闭已打开的数据文件，以保证数据安全。

更进一步具体地，假定企业内部已部署了一套企业云盘系统，企业云盘系统包括服务器和客户端。如图2所示，A为移动存储介质的管理机器，B为企业云盘服务器，C1、C2、C3均为企业办公机器，S为移动存储介质。其中，A、C1、C2、C3均为Windows操作系统环境，C1安装了企业云盘的Windows客户端。

首先，企业管理员在A上登记和初始化S，并为用户产生随机隐私的安全密码，同步与S相关的移动存储介质身份信息至B。其次，用户使用已初始化的S接入C1，手动运行位于启动分区中的程序，并主动提供用户安全密码。认证通过后，自动加载S安全数据分区，此时，用户可通过受信任的Windows应用程序访问位于安全数据分区中的文件。由于C1安装了企业云盘客户端，根据B推送的移动存储介质身份信息，它能与S 进行相互认证，文件也能在企业云盘客户端和S的安全数据分区之间自由移动，并且S安全数据分区中的文件自动加密存储。在未安装企业云盘客户端的C2上，当S接入并通过认证后，文件只能从其他位置拷贝到S的安全数据分区，即单向拷贝。最后，当用户将S携带出企业之外时，S能进行离线认证并正确加载安全数据分区。根据安全策略，用户在访问安全数据分区的文件时，程序将禁止用户将分区内的文件拷贝至其他位置，禁止另存为、打印、导出数据、复制和拖拽内容，网络传输等行为，以实现全面地保护企业数据。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。