“最近，不少政企单位的IT负责人都在头疼同一个问题：工作秘密防护到底怎么做才既合规又不影响办公？”

随着《工作秘密信息防护指南（试行）》等文件的落地，等保三级、商密测评已成为刚性要求。很多单位开始动手建设，却发现落地远比想象中复杂——

选型难：专机专网、终端沙箱、云桌面，每条路都有利弊，选错一步可能多花半年时间。

平衡难：安全做得太狠，员工抱怨“没法干活”；放得太松，又过不了测评。

过关难：等保、商密、工作秘密三项测评环环相扣，一个细节没到位就得推倒重来。

京华信息在一次大型集团企业的实践中，找到了应对这些难题的思路。以下是我们的一些经验和思考。

一、三种技术路径的对比与选择

根据《工作秘密信息防护指南（试行）》的技术要求，结合客户现有的网络环境和用户规模，梳理出三种可行的技术路线。

方案一：专机专网

新建一套工作秘密域，与现有网络逻辑隔离，配备专用终端（建议国产）。用户处理非密信息仍使用现有OA和终端，处理工作秘密信息则切换到专用终端和工作秘密办公系统。

由于终端可多人共用，按岗位和部门配备，300人规模的单位初步规划63台终端即可覆盖。

优点：物理隔离，安全性最高

代价：需调整网络架构，员工需在两台终端间切换

方案二：终端沙箱

不改变现有网络，在用户现有终端上安装沙箱客户端，形成安全隔离的运行环境。需每人一个授权，300人需采购300个客户端和1个服务器端。同时需部署数据库加密系统以满足《指南》对存储加密的要求。

优点：不改网络，部署灵活

代价：对终端性能有消耗，兼容性需逐一验证

方案三：云桌面（VDI）

所有桌面系统、软件、数据运行在机房服务器虚拟机中，前端仅通过瘦客户端传输画面和键鼠指令，本地不留存任何文件。需采购300个云桌面授权、300个瘦客户端及配套外设，以及3台云桌面服务器。

优点：数据不落地，安全性强

代价：服务器投入大，对网络依赖性高

三种方案的对比如下：

对比维度	专机专网	终端沙箱	云桌面VDI
网络调整	需新建专网	无需调整	无需调整
终端形式	63台专用终端	300个沙箱客户端	300个瘦客户端
用户体验	需切换终端	在原有终端上操作	需适应虚拟桌面
数据存储加密	物理隔离	需数据库加密系统	需数据库加密系统
建设周期	约6个月	约6个月	约6个月

没有绝对的最优方案，只有最适合客户现状的方案。

京华信息的做法是：基于客户的网络条件、预算约束和人员规模，提供三种方案的量化对比，由客户自主决策。

二、京华工作秘密办公系统

   密级随行，安全无感

无论选择哪种终端方案，工作秘密办公系统本身的设计决定了最终的防护效果和使用体验。京华信息的工作秘密办公系统围绕 “密级随行，安全无感” 的理念，将安全能力嵌入办公流程，而非外挂于业务之上。

我们将核心能力归纳为“四把锁”：

第一把锁：公文标密锁——从源头锁住密级

在收文处理过程中，拟办环节即可设定收文密级、保密期限、知悉范围。系统自动在后台对正文加密，后续环节处理人打开时自动解密发文处理过程同理，从起草到盖章，每一版文件均自动加密，密级数据标识始终与文件绑定。

定密后的文件在左上角增加密级标识，密级一目了然。

第二把锁：访问控制锁——密级不够，发不出去

内部邮件和文件传递是工作秘密泄露的高发场景。系统在发送邮件时自动判断收件人密级是否低于文件密级，若低于则禁止发送。回复、转发时同样执行此校验，确保知悉范围外的用户无法获取文件内容。

第三把锁：终端管控锁——右键一键标密，拷贝自动校验

用户在终端新建文档时，系统自动弹出密级设置选项框。若设为“公开”，则不进行防护；若设为“工作秘密”，文件图标上将显示密级标识。已存在于终端中的文件，可通过右键菜单一键添加密级标识。文件被拷贝或发送时，系统自动根据人员密级和文件密级判断是否允许。

第四把锁：日志审计锁——每一步操作，都有迹可循

系统提供统一的日志记录功能，涵盖登录日志、资源访问日志、应用操作日志。可记录用户进入系统的时间、IP地址、使用的功能模块，以及具体的操作内容和审批情况。

三、实战案例

某重点行业大型集团企业的落地之路

某重点行业大型集团企业，总部下设多家直属公司，日常需处理大量涉及工作秘密的公文和内部文件。项目覆盖用户约300人，并与上级单位的公文交换平台存在对接需求。

选型决策

项目启动后，京华信息并未直接推荐单一方案，而是基于客户网络现状、预算约束和人员规模，提供了三种技术路径的详细量化对比（见第一部分），由客户自主决策。客户经过内部评估，综合考虑了以下因素：

l 专机专网需新建网络和63台专用终端，多人共用会影响办公效率

l 终端沙箱需每人一个客户端授权，且需额外部署数据库加密系统

l 云桌面服务器投入较大，且对网络稳定性要求较高

最终客户选择了最适合自身现状的专机专网方案，并同步部署京华工作秘密办公系统，承载公文处理和内部邮件两大核心业务。

建设亮点

在项目实施过程中，有个关键点值得关注：

一次性通过等保三级、商用密码测评、工作秘密测评。系统上线前，三项测评均无重大整改项，一次性通过测评。客户评价为：“管理规范完善、工作标准清晰、业务融合充分、操作指导有效。”

四、京华信息的方法论

通过多个项目的积累，在工作秘密上，京华信息形成了三个基本原则：

业务优先：在满足安全的前提，也要便利信息资源合理有效利用。系统设计遵循“安全无感”原则，标密、加解密均在由后台自动完成，不增加用户的学习成本和操作负担。

方案定制：专机专网、终端沙箱、云桌面三种方案灵活组合。京华信息提供详细的量化对比，由客户基于自身情况做出选择。

全栈国产：从芯片、操作系统到数据库、中间件，全部实现信创适配，并通过实际项目验证了方案的可行性。

五、下一步

工作秘密防护是一项持续演进的能力建设。如果您正在考虑以下问题：

l 本单位目前的工作秘密防护处于什么水平？

l 三种方案中哪一种更适合自己的实际情况？

l 如何确保系统一次性通过三项测评？

欢迎联系京华信息获取《工作秘密防护合规自查清单》，或预约专家团队进行免费咨询。