一、项目背景和目标

      目前，我行基于移动终端进行内部工作流程处理的APP已逐渐增多，如已建的移动办公系统，拟建的电子设备维保管理系统等项目也提出了使用APP进行工作流程处理的需求。随着我行信息化水平的不断提升，今后会有更多的便于处理我行内部工作流程的APP运行在我行配发的移动终端或员工个人的移动终端上。移动终端上除安装我行APP外，用户还可以安装个人APP或存储个人数据，个人数据与企业数据同时明文存储在移动终端上，企业数据得不到有效保护，面临数据泄露的风险。在上述背景下，特提出建设移动终端安全系统，对移动终端进行安全管控，保证企业数据安全。本项目的目标是对装有我行APP的移动终端进行安全管控，保护企业数据安全，提升我行APP所在移动终端的安全性。实现的主要功能包括设备安全管理、应用安全管理、内容安全管理及安全审计。具体功能项如下：

    （1）设备安全管理，对接入系统的设备进行安全管理，终端注册、配置安全策略等。

    （2）应用安全管理，对我行发布的APP应用进行安全管理，包括应用程序加固，发布，升级管理。

    （3）内容安全管理，对企业数据进行安全防护，保证数据不泄露。

    （4）安全审计，对用户行为进行安全审计，图表展现审计结果

二、项目方案

      移动终端安全系统的用户通过LDAP方式在单点系统进行认证，只有经过证书认证后才能访问被授权的业务系统，而未经过授权以及未进行身份认证的用户无法访问业务系统，从而提升用户移动办公安全性。设备在初次登记时需要进行检测，只有检测通过后才可以进行设备登记，检测的项目有：是否root、是否越狱，是否有病毒，是否安装移动终端安全APP，移动终端安全APP是否运行。在安全监控的状况下设备才允许接入，如果设备脱离管控或者存在安全风险，则不允许移动设备与服务端进行连接以及移动应用的使用。服务器端可以自由配置APP黑白名单，如果移动端安装了不符合规则的APP，将不能进行设备登记。

      移动应用产生的数据都要进行隔离，在移动终端安全门户中的企业应用产生的数据与移动设备上的个人应用产生的数据相隔离，个人应用无法查看安全门户中的应用的数据并转发、用户通过USB连接到移动设备后也无法查看安全门户中的应用数据。安全门户中有自有文档管理入口和安全文档阅读器，无法在个人域查看企业数据，只能在安全门户中查看企业数据，并保证企业数据在查看时不外传。

      应用使用安全防护，在DMZ区接入应用级安全接入服务，对用户使用应用的行为进行管理，如发现用户没有安装终端安全客户端，直接安装企业的应用（如移动OA，移动邮箱），则不允许用户使用企业应用；只允许用户线安装终端安全客户端后，在终端安全客户端内部下载和安装企业应用，并在内部使用企业应用进行办公。

三、创新点

      由于移动终端安全APP试运行在互联网上，且起着保护全行移动APP安全性的重要作用，其自身的坚固性和安全性至关重要，因此系统在建设过程中充分考虑了安全性的设计，并对移动终端安全APP进行了加固，防止反编译等代码攻击。建设过程中也充分进行了安全测试，防止出现root绕过登等安全漏洞。为了对移动端企业数据进行更好的保护，系统使用了安全沙箱技术。

      安全沙箱技术通过虚拟化独立内存空间，避免其他未授权进程对内存空间的访问，并且对存储的数据采用透明加密机制，确保任何存储于手机或SD卡上的数据都受到有效的保护，避免被黑客进行静态文件分析。透明加密使用的存储加密密钥，与终端环境绑定，每个终端运行时动态生成，并进行差异化处理，确保不同终端、应用、用户的差异性。运行时安全沙箱检测环境变化，如检测到运行环境改变，及时阻断对于存储内容的访问。

      在应用推广中，前期考虑用户使用习惯不容易一下改变，预留缓冲期，允许其他APP在移动终端安全外运行。之后通过网络策略配置，切断移动终端安全外的所有APP的访问路径，全部APP只能运行在移动终端安全内，平滑有序的完成应用推广。

四、技术实现特点

      移动终端安全系统由9部分组成，包括设备管理模块，可以远程实现设备操控，实现发送推送信息，安装应用程序，清空设备，清除密码，锁定设备等，还可以进行重新绑定设备，删除设备，设备查询；用户管理模块进行用户更新（添加用户，编辑用户，删除用户），批量操作，导入/导出用户，绑定设备；应用管理模块可进行应用更新（添加应用，删除应用，编辑应用，上下架，升级应用），权限设置，推送应用，安装统计，推送日志等；日志审计模块记录用户信息，设备信息，报警信息，应用信息，系统操作日志，设备操作日志，失联日志等；信息发布模块可以发布信息，查看已发送信息，草稿箱等；配置管理模块可以更新管理员权限，配置安全策略，管理用户组等；系统设置模块可进行服务器设置，角色管理，应用代理转发配置等；报警信息模块可对病毒、非法程序安装、脱离管理设备、设备越狱或破解等进行报警；移动端模块可以进行病毒查杀，应用商店管理，消息管理等。

五、项目过程管理

      商务阶段      2018年12月 至 2019年4月

        完成项目集采和合同签订等商务流程。

     系统设计阶段  2019年4月 至 2019年6月  

       完成系统设计形成系统方案，整理前期项目文档。

     系统实现阶段  2019年5月 至2019年8月

       完成系统开发、单元测试、系统测试及验收测试，提交相关项目文档。

     系统优化阶段  2019年9月 至2020年1月

       完成系统全部功能投产及试运行，并开始进行推广。

     系统全面推广  2020年1月 至2020年4月

        实现系统在行内全面推广。

六、运营情况

       项目投产以来，系统保持平稳运行，并逐渐受到越来越多用户认可和使用。目前系统已经在行内全面推广，所有移动端APP都必须在移动终端安全内部使用。系统使用人员近500人，涵盖所有具有移动办公需求的人员，保障我行移动端数据都已受到保护。

七、项目成效

      北京农商银行所有移动端APP均已限制在移动终端系统内使用，确保行内数据与员工个人数据分离，并且保证移动终端安全沙箱内的数据不会被分享或泄露，即使进行拍照，也可以通过水印找到数据来源，极大地提高了我行移动办公数据的安全性，为我行移动办公提供安全可靠的平台。

八、经验总结

      作为一个移动办公的安全平台，系统设计中，除了要实现安全防护的基本功能，还要考虑用户使用便捷性，尽量减少由于本系统带来的额外操作，保持高效移动办公的特点。对于新系统的推广，一些技术手段控制可以使推广更加高效和快捷。