[Abstract] IoT small data transmission if facing great security threat， thus the paper analyzed its security solutions in 3GPP IoT specification， made further analysis and comparison between five security solutions on signaling optimization， encryption and integrity protection， security architecture and key derivation， providing reference on small data transmission security for the ocean of IoT terminals.
[Key words]IoT small data transmission transmission security
1 物联网小数据传输安全威胁
随着物联网的规模建设，物联网终端的数量正急剧上升，甚至超越H2H终端数量。由于物联网终端低功耗、低复杂度特性，其数据传输特点也体现为SD（Small Data，小数据）传输。海量物联网终端的小数据传输会对网络产生巨大的安全威胁，如：
（1）新增接入网和核心网大量信令，加重NAS（Non-Access-Stratum，非接入层）信令负载，MME（Mobility Management Entity，移动性管理设备）面临NAS信令过载和DoS攻击威胁，如：idle态切换至connected态进行小数据传输时，需要重新发起RRC（Radio Resource Control，无线资源控制）连接、NAS信令连接、承载建立等；
（2）物联网终端idle态时，无AS安全模式，威胁RRC连接安全；
（3）物联网终端idle态时，用户面数据无加密或完整性保护，可致隐私数据窃听、窃取、篡改、伪造等。
当前，3GPP标准工作组在需求研究报告TR 22.868、需求规范TS 22.368以及技术报告TR 23.888中提出了物联网小数据传输的业务需求和技术规范，并探讨了物联网小数据传输的多种解决方案。在这些解决方案的基础上，SA3工作组在TR 33.868提出了物联网小数据传输多个安全解决方案。
本文重点对其中的五个安全解决方案进行研究。这五个安全解决方案主要研究物联网终端的小数据传输，重点关注终端从idle态切换至connected态时，有效减少大量接入侧和核心侧信令。
2 小数据传输安全解决方案
2.1 方案一：基于NAS信令的小数据传输
方案一主要采用NAS信令消息直接进行小数据加密传输。
首先，引入L3新消息NAS PDU（Packet Data Unit，数据单元）。对小数据传输进行部分加密，并将加密数据封装在NAS PDU中。RRC连接建立完成消息中会携带该NAS PDU，并透传给MME。encrypted IE包含：NAS PDU、承载ID等。UE新增Security header type消息元素和NAS PDU消息；MME新增加解密功能，会校验初始L3消息是否加密/解密，并完成相应解密/加密功能。
其次，删减AS安全模式，无需建立DRB（Data Radio Bearer，数据无线承载）。MME不再派生KeNB、NCC、NH等，UE也不再派生KeNB，略过AS层的RRC完整性保护、加密保护和UP面的加密保护，直接采用NAS层加密和完整性保护。
方案一的小数据传输流程图如图1所示。
关键流程说明：
步骤3：UE设置“Security header type”标识为0101，表示完整性保护和部分加密；
步骤4：NAS PDU中包含：Security header type、eKSI、encrypted data、SNand MAC-I。
2.2 方案二：快通道小数据传输
方案二删除原有UE和eNodeB之间的AS安全模式，通过在UE和SGW之间建立安全通道来进行小数据传输的加密和完整性保护。
方案二新增了UE和SGW之间的SDTSec安全协议，并新增两者之间的小数据传输密钥KSDT。UE、MME分别推衍密钥KSDT，MME将密钥KSDT传给SGW，用于UE和SGW直接的数据加密保护和完整性保护。SDTSec安全协议如图2所示。
方案二快通道小数据传输流程图如图3所示。
关键流程说明：
步骤3：MME推衍KSDT等安全上下文；
步骤7：SGW（Serving GateWay，服务网关）保存MME推衍的KSDT等安全上下文；
步骤12：UE推衍KSDT等安全上下文，并保存SGW传送的承载ID等；
步骤15：UE使用KSDT等安全上下文进行小数据安全保护，包括加密保护和完整性保护；
步骤17～18：UE和SGW之间通过SDTSec安全协议进行小数据安全传输，SGW用KSDT等安全上下文对加密的小数据进行解密。
2.3 方案三：无连接态下小数据传输
方案三引入无连接状态（connectless）的小数据传输，通过使用token关联connected态所建立的NAS/AS安全上下文、恢复承载建立，从而减少UE在idle态切换到connected态后进行数据传输的信令开销（承载建立开销）。token是第一次附着建立时，MME分配给UE，并在后续小数据传输时用于恢复NAS/AS安全上下文以及相关承载信息的。恢复的NAS/AS安全上下文将用于小数据安全保护。后续UE在idle态下进行小数据传输时，不需要发起Service Request请求，只需建立RRC连接，减少了大量信令。
方案三无连接态下小数据传输流程如图4所示。
关键流程说明：
步骤4～6：UE第一次附着时，MME分配token给UE，用于后续小数据传输时恢复NAS/AS安全上下文以及相关承载信息。
步骤11～16：RRC Connection Reconfig Complete消息会携带token用于承载建立，省去eNB与MME、SGW承载建立的流程，迅速建立起DRB、S1 turnnel，从而进行小数据传输。
2.4 方案四：独立安全上下文的小数据传输
方案四，UE connectionless态下进行小数据传输时，会采用独立于UE connected态的安全上下文，并使用不同密钥进行UE和eNB之间的安全保护。UE connected态时，由MME和UE根据KASME生成KeNB，进行数据加密；UE connectionless态时，由MME和UE根据KASME生成KCLT，并推衍出完整性密钥KCLT-int和加密密钥KCLT-enc，进行小数据加密和完整性保护。connectionless态小数据传输和connected态下传统数据传输通切换时，网络或UE会标识指示，以便UE/eNB/MME重配置承载和安全上下文。
方案四小数据流程图如图5所示。
关键流程说明：
步骤4：UE根据KASME和MME随机数生成KCLT，并推衍出完整性密钥KCLT-int和加密密钥KCLT-enc，进行小数据加密和完整性保护；
步骤7：MME根据KASME和MME随机数生成KCLT，并推衍出完整性密钥KCLT-int和加密密钥KCLT-enc，对UE加密的小数据进行解密。
2.5 方案五：基于MTC-IWF的
小数据传输
方案五是UE idle态小数据传输时，省略原有NAS和AS安全模式，通过在UE和MTC-IWF之间建立安全通道来进行小数据传输的加密和完整性保护。
方案五新增了UE和MTC-IWF之间的MTC-IWF安全协议，并新增两者之间的小数据传输密钥KIWF。UE、HSS分别推衍密钥KIWF，HSS将密钥KIWF传给MTC-IWF，用于UE和MTC-IWF之间的数据加密保护和完整性保护。同时，MTC-IWF还认证授权SCS和UE，确保可信SCS或UE接收/发送可靠消息。
MTC-IWF安全协议如图6所示。
MTC-IWF协议基于PDCP之上，由PDCP完成加密、解密、完整性保护和完整性校验功能。IWF协议用于UE和MTC-IWF直接的数据传输，也可在UE/IWF与eNB/MME/SGW之间透传。
方案五基于MTC-IWF的小数据传输流程如图7所示。
关键流程说明：
步骤2：AKA过程中，HSS推衍的小数据传输密钥KIWF，并传送MTC-IWF保存；
步骤4、5：UE推衍小数据传输密钥KIWF，并推衍KIWF-int和KIWF-enc，对小数据进行完整性和加密保护；
步骤6：如果MME接收到的消息类型msg=small data，则略过NAS完整性校验，直接将消息转发给MTC-IWF；
步骤8：MTC-IWF根据HSS推衍的小数据传输密钥KIWF、KIWF-int和KIWF-enc，对小数据进行解密。
3 安全方案对比
上述五个安全解决方案主要从信令优化、加密和完整性保护、安全架构、密钥推衍等方面，解决了UE小数据传输的安全问题，具体对比如下：
（1）信令优化
方案1：NAS层信令面小数据传输，减少AS信令以及DRB承载建立等流程；
方案2：用户面小数据传输，减少AS安全模式、RRC连接重配置等流程；
方案3：用户面小数据传输，利用token恢复NAS/AS安全上下文、承载等，减少接入网和核心网大量信令；
方案4：用户面小数据传输，建立单独小数据安全上下文，减少AS安全模式和RRC连接重配置等流程；
方案5：NAS信令面小数据传输，减少NAS、AS安全模式和RRC连接重配置等流程。
（2）加密和完整性保护
所有方案均实现SD加密和完整性保护。
（3）安全架构
方案1：对现有安全架构无影响；
方案2：UE和SGW之间新增SDTSec安全协议，新增UE-SGW之间的SD安全上下文，对现有安全架构有影响，可能会引入新的安全问题；
方案3：对现有安全架构无影响；
方案4：只是新增connect-less态下独立的安全上下文，没有引入新的安全协议，对现有安全架构没有太大影响；
方案5：UE和MTC-IWF之间新增IWF安全协议，新增IWF SMC安全模式，还额外提供SCS、UE认证，对现有安全架构有影响，可能会引入新的安全问题。
（4）密钥推衍
方案1：UE、MME不产生KeNB；
方案2：UE、MME新推衍密钥KSDT，MME并传递KSDT给SGW；
方案3：无任何影响；
方案4：UE、MME新推衍密钥KCLT，MME并传递KCLT给eNB；
方案5：UE、HSS新推衍密钥KIWF，HSS并发送给MTC-IWF。
4 结论
本文对3GPP规范的物联网小数据传输安全进行了研究，并从信令优化、加密和完整性保护、安全架构、密钥推衍等方面对比分析了五个物联网小数据传输安全解决方案，为应对海量物联网终端的小数据传输提供了参考。但是，标准方案的最终确定和运营商现网部署还需根据实际情况和厂商博弈选择合适的方案。
参考文献：
[1] 3GPP TR 22.868， V8.0.0. Study on Facilitating Machine to Machine Communication in 3GPP Systems[S]. 2007.
[2] 3GPP TS 22.368， V12.4.0. Service requirements for Machine-Type Communications[S]. 2014.
[3] 3GPP TS 22.011 V12.2.0. Technical Specification Group Services and System Aspects， Service accessibility[S]. 2014.
[4] 3GPP TS 33.868 V12.1.0. Study on security aspects of Machine-Type Communications （MTC） and other mobile data applications communications enhancements[S]. 2014.
[5] 3GPP TS 33.889 V13.0.0. Study on security aspects of Machine-Type Communications （MTC） architecture and feature enhancements[S]. 2015.
[6] 毛磊，戴谦，张银成，等. 针对M2M应用的LTE系统优化技术[J]. 电信网技术， 2012（8）： 44-49.
[7] 夏伟. 移动终端中的通信安全技术研究[D]. 北京： 北京邮电大学， 2013.
中国信息化周报：商用密码产品及服务是信息安全产业的重要一环，也是得安的核心竞争力。基于怎样的背景，得安投入商用密码技术研发？
孔凡玉：所谓网络安全、信息安全，最重要的目标是保证信息系统和网络环境中的“数据”、“信息”的安全，而不单是对计算机设备、网络设备自身的安全防护。大到一个国家，小到一个企业和个人，多数黑客进行攻击的真正目的就是窃取机密数据和信息，而不仅仅是破坏信息系统本身。因此，商用密码产品及服务作为保障数据的机密性、完整性等安全性的关键一环，是信息安全产业的重要组成部分。
得安公司成立于1997年10月7日，是我国最早致力于商用密码产品研发及产业化的企业之一，这与我国当时对网络安全和商用密码产品的迫切需求密切相关：一个是随着互联网技术的发展，网上银行、网上证券等金融业务的开展迫切需要商用密码产品和网络安全系统的出现；另一个是，我国信息化建设的飞速发展迫切需要实现商用密码技术的国产化，以保证信息安全核心技术的独立性和自主性。
中国信息化周报：得安现有哪些科研成果？具有哪些核心技术优势？
孔凡玉：得安科技自主研发的“SMS100-1网络安全平台”，这是国内最早通过国家密码管理机构组织鉴定的商用密码PKI产品，并荣获国家科技进步三等奖和密码科技进步二等奖，此系统已在上海证券中国证券登记结算公司的证券系统中成功使用。此外，得安公司也顺利完成了中国金融认证中心CFCA的商用密码模块的国产化开发项目，实现了商用密码产品和接口的国产化，并逐渐将服务器密码机、智能IC卡等产品广泛应用于中国建设银行等各大银行以及邮政、电信、税务、电力、煤炭、石化、广电、烟草、航空等行业。
十六年以来，得安公司一直注重商用密码和信息安全核心技术的创新，在高速密码服务器、数字认证系统、智能IC卡、VPN设备、安全文件传输系统、云安全密码服务平台、大数据安全、移动安全计算等方面具备良好的技术积累，得安参与研发的多项产品和技术填补了国内外空白，保证了核心技术的领先优势。
中国信息化周报：从国家政策层面强化网络安全意识，到首席安全官渐成大型企业标配职位的发展现状，您如何理解密码安全对于企业信息安全堡垒建设的核心意义？
孔凡玉：在目前的互联网时代，每一个企业和个人都在享受着互联网给工作和生活带来的便捷的同时，也遭遇着前所未有的信息安全的巨大风险。中央网络安全和信息化小组的成立，标志着我国已经把网络信息安全上升为国家战略的层面。
在网络信息安全防护中，以数据加密、身份认证、数字签名等为代表的密码技术和以网络攻防、系统漏洞分析、防病毒、入侵检测等为代表的系统安全技术是网络信息安全的两大类核心技术。所以，商用密码安全产品和系统是信息安全市场的必不可少的重要组成部分。
近年来，发生的信息安全事件大致分为两种：一种是单纯的病毒、木马、系统攻击，没有特别的针对性，造成的后果是计算机系统的崩溃或者网络无法正常访问；第二种是针对数据和信息的窃取，这会造成重要数据或个人隐私的泄露，带来严重的后果。最近爆发的信息安全事件，八成以上都涉及到数据泄露问题，例如2013年底发生的美国第二大零售商Target的4000万用户的信用卡和借记卡信息泄露事件，近期爆出的OpenSSL的几个严重漏洞，以及我国近年发生的多个网站的数据泄露问题，这都存在密码技术防护措施不足的问题。这需要对数据的存储和传输进行加密保护，并进行严格的身份认证、访问控制、安全管理等。
得安科技大力推广信息安全服务的理念，所提出的企业信息安全堡垒的建设方案，是一个从技术实现到管理制度、从硬件产品到软件系统、从内部加固到外部防范的立体化的整体解决方案，实现服务端的核心数据的加密、安全可靠的网络数据传输、远程用户的身份认证和访问控制等功能，实现企业信息系统的高安全性和可靠性，为企业提供信息安全保障。
中国信息化周报：在与用户接触过程中，您认为目前企业信息安全系统普遍薄弱的环节有哪些？
孔凡玉：在云计算和大数据时代来临之际，任何信息系统的核心都是“数据”，因此任何信息系统的安全最重要的就是保证“数据”的安全。而数据的安全，包括了数据的产生、存储、传输、访问、处理、共享、销毁等各个环节的安全，这形成一个环环相扣的系统。
在与很多用户进行交流时，我们了解到，现在企业信息安全系统普遍存在的问题是缺乏一个完整、系统的安全解决方案，仅在某一个或几个方面进行了安全防护，但是仍然存在其他方面的漏洞，不能形成一个完整的防护体系。
中国信息化周报：对此，得安科技针对不同行业、不同应用场景下的安全问题，推出了哪些解决方案？
孔凡玉：得安公司一直专注于信息安全核心技术以及信息安全整体解决方案的研发和应用，针对不同行业、不同应用场景，已经在云计算安全、大数据安全、电子商务安全、企业级安全等领域形成了一系列先进的、成熟的、可靠的信息安全整体解决方案，包括云安全密码服务平台、远程文件安全传输解决方案、数字证书认证系统解决方案、安全移动办公解决方案、手机安全支付解决方案、桌面安全解决方案、统一认证授权平台等。具体包括：
■云安全密码服务平台：这是得安公司研发的基于“云计算”技术的高性能密码平台，将多款高端密码设备和软件中间件技术有机融合，以高安全性、高效率、高稳定性为目标，以先进的分布式计算和并行处理技术为核心，提供高性能的数据加密、数字签名、身份认证等密码服务功能。
■远程文件安全传输解决方案：此方案用于解决企业的总部与各分支机构、出差员工之间的文件安全传输问题，在数据的安全、可靠、高效的传输方面，可以解决FTP等传统传输方式的种种不足，为广大企业客户所信赖。同时，该方案可以集成于各类企业的信息系统平台中，实现企业的远程文件的安全传输，目前已经广泛应用于金融、证券、石油化工、电力等行业。
■数字证书认证系统解决方案：此方案用于解决企业内部的身份识别与认证的问题。数字证书是由权威机构―CA机构颁发的、标识身份信息的电子文件，提供了一种在网络环境中验证身份的方式，类似于日常生活中的身份证。得安数字证书认证系统简称CA系统，采用双证书机制，利用PKI技术提供数字证书的签发、验证、注销、更新等功能，将个人信息或单位信息及密钥、密码算法集合在一起，提供在虚拟的互联网世界可用的“网上身份证”。得安数字证书认证系统，已经成功应用于广东电子政务认证中心、贵州省数字认证中心的建设，并顺利运行。
■安全移动办公解决方案：此方案用于解决企业的各分支机构和出差员工的远程办公、移动办公问题。通过采用IPSec VPN、SSL VPN、安全网关以及安全客户端等产品，可实现各种复杂环境下的远程和移动办公系统。远程用户在通过互联网登录企业内部业务系统时，首先需要经过安全网关的身份认证，认证通过后才能访问其权限范围内的业务系统；可以在安全网关上进行细粒度的权限配置，保证接入终端的安全性；同时，安全网关支持客户端访问企业内网时不能同时访问其它互联网的功能，更加保证了接入的安全性。目前该解决方案已成功应用于国土资源、石油、煤炭、电力、电信、银行等行业。
■手机安全支付解决方案：得安公司研发的智能SD卡以及软件系统，是近年新兴的一种信息安全产品，把高性能的安全模块集成到SD卡中，这样用户既可以像使用普通SD卡那样使用其大容量存储功能，又可以像使用智能IC卡那样使用SD卡中集成的安全模块，具有密钥管理、证书存储、权限控制、数据加解密等功能，实现个人隐私数据的加密保护和安全支付。此方案已经在金融、电信以及中小企业中推广使用。
■桌面安全解决方案：此方案用于解决企业内部计算机设备的安全控制和信息保密问题，采用智能密码钥匙、安全加密U盘、文件加密软件、Word/PDF文件签名等产品和技术，确保了信息在单位内的安全存储，确保了计算机设备的安全使用。该系统是针对客户端PC安全的整体解决方案，它的最大特点是既能“攘外”，又能“安内”，部署灵活且易于使用，特别适合金融、电信、政府机关、制造业等具有分布式网络应用的行业。
■统一认证授权解决方案：本方案可以为企业的多个业务系统提供安全支撑，简化业务系统的管理方式和使用方式，提高整体系统安全性。通过该解决方案，可以为企业提供各个业务系统的统一认证和登录服务，提供数据传输的加密服务、高强度的身份认证、人员的集中管理和应用的集中管理，适合在具有多个业务信息系统的企业中部署实施。
中国信息化周报：在国内市场，用户往往会在IT价值与IT风险之间寻求一个平衡。让用户为安全买单，很多用户关心的问题是需要支付哪些成本？又能获得哪些收益？得安科技的解决方案又是如何来降低用户IT应用风险的？
孔凡玉：得安科技采用的是一套科学的、系统的信息安全工程建设方法，达到用户的IT价值和风险、收益和成本之间的平衡。
首先，用户的信息系统和数据的有形资产和无形资产是可以进行估算的。这些数据的重要程度，一旦泄露会产生什么样的后果，决定了数据的价值。数据的价值越高，一旦泄露带来的后果越严重，因此需要投入的安全成本就越高。举例来说，价值100万的数据，如果投入200万进行安全防护可能是不必要的；同样，价值1亿的数据，仅投入1万元进行安全防护则可能具有极大的安全风险。
评估了资产的价值后，然后就要分析信息系统存在的风险和威胁，包括目前的信息系统存在哪些漏洞和弱点，内部和外部可能有哪些潜在的攻击威胁等。之后，就要和企业一起制定信息安全保障系统建设的内容，这主要取决于哪些风险必须要降低，降低到什么程度，采用哪些技术手段，成本是多少等。这样，在系统建设之前，用户很清楚建设目标是什么，需要花费多大的成本，会带来怎样的收益，做到有的放矢、未雨绸缪。在系统建设、维护运行以及管理等方面，还有一系列的方法和措施，以保证信息安全项目建设的可控性。
中国信息化周报：相比其他应用安全企业，得安科技有何自身特色？具体到商用密码解决方案，相比其他软件公司，得安科技有哪些独特的优势和创新？
孔凡玉：与其它信息安全企业相比，得安公司的特色体现在三方面。
第一，在商用密码及信息安全核心技术方面具有创新优势。作为国内最早从事商用密码产品研发及产业化的企业之一，得安公司在商用密码以及信息安全核心技术方面具有18年的积累，在高速密码算法实现、数字认证技术、云计算安全、大数据安全、移动互联网安全等方面具备核心技术的创新优势。
第二，在参与国家和行业标准制定方面具有领先优势。作为商用密码基础设施技术标准组的成员单位，得安公司主持或参与了服务器密码机技术规范等20多项国家标准、行业标准的制定，因此在把握行业的发展趋势方面具有优势。2012年，得安牵头制定的《密码应用标识规范》作为我国第一批密码行业标准进行颁布；两年来，《服务器密码机技术规范》、《签名验证服务器技术规范》等行业标准也陆续正式颁布。
第三，具备成熟的信息安全服务理念，并在多个行业成功应用实施。得安一直秉承为用户提供信息安全服务的理念，以可靠的技术实力、稳定的产品性能、优质的服务团队、强大的分支网络赢得了用户的信赖，成功案例遍布于金融、证券、税务、电信、邮政、石油、煤炭等行业。
得安科技的商用密码解决方案，具有以下独特的优势和创新：
（1） 核心产品可靠性和高效性：解决方案中所采用的硬件产品和软件系统必须具有高可靠性和高效性，才能保证整个信息系统的安全性和稳定性。例如，云安全密码服务平台采用了多机并行、动态分配、冗余配置、负载均衡等技术，保证整个平台的可靠和高速。
（2） 量身定制的整体安全架构：这些解决方案不是单纯的硬件和软件的累加，而是经过系统的整体设计后形成的有机整体，而且每一个方案的确立和实施，都要根据用户的信息系统的特点进行量身打造，以保证方案的科学性和合理性。
（3） 运维支持和管理制度：信息安全设施的建设，三分凭技术，七分靠管理。每一个解决方案中都包含了系统的运行维护方案和管理制体系，保证信息安全系统运行期间的动态实时监控和管理岗位的协同工作。
中国信息化周报：得安科技未来的市场竞争策略和发展目标是什么？
孔凡玉：得安未来的市场竞争策略和发展目标，可概括为两个词。
一是“共赢”。“共赢”是指与客户的关系，是对“服务”理念的拓展。“服务”是被动地满足用户的安全需求；“共赢”是主动地去帮助客户发现信息系统中的安全问题并提出科学的解决方案，从而达到与客户共赢的最终目标。
中图分类号：G270.7 文献标识码：A 文章编号：1009-914X（2016）16-0325-01
正文：
数据的机密性保护是一个老问题，现在由于可移动存储设备、笔记本电脑和手持智能设备的普遍使用，进一步地加剧了数据的泄漏问题。
因机密数据的泄漏不仅会带来经济和资产的损失，如果泄漏的机密数据是人们的隐私信息，例如银行信息、身份证号等信息，那么就会带来很大的社会问题。如果泄露的是国家机密文件的话，那么影响就巨大了。
因而国家出台法律，对很多敏感行业制定了数据保护法案，强制使用安全措施来保护机密数据的安全。以下对数据的加密方式进行详细讲解。
一、数据加密方式
现在市面上主要有以下三种数据加密方式：文件或文件夹加密方式，全盘加密（FDE技术）技术，智能加密产品，以下就三种文件加密方式进行详解。
1、文件或文件夹加密方式
文件/文件夹加密产品目前加密主要的方式，这三种主要方式包括：文件加密产品、文件夹加密产品和文件/文件夹加密产品。文件或文件/文件夹加密产品通常需要用户自己操作需要加密的文件或文件夹。文件或文件/文件夹加密产品是很容易实现的。
但是，这些产品需要用户参与，如果用户不注意就会造成遗漏，而且，这些产品并不能对临时文件夹和交换空间进行加密，这就造成了一些敏感信息的副本仍然没有被加密。而且，一些在远程系统上经过妥善加密了的文件及文件夹也不能轻易地证明它已经是被加密过了的。
2、全盘加密（FDE技术）技术
全盘加密技术产品，由它的名字就可以清楚地知道它是针对整个硬盘或某个卷的。这样，包括操作系统、应用程序和数据文件都可以被加密。通常这个加密解决方案在系统启动时就进行加密验证，一个没有授权的用户，如果不提供正确的密码，就不可能绕过数据加密机制获取系统中的任何信息。
全盘加密技术是一种非常成熟的技术，而且非常容易使用和配置，因为只需要用户决定如个磁盘或卷需要加密即可。而且除了需要用户记住加密密码之外，其它的操作都不需要用户参与。它还能保护操作系统、临时文件夹、交换空间，以及所有可以被加密保护的敏感信息。
但是，要加密整个磁盘的速度是非常慢的，对一些大容量的文件也是如此。虽然现在的全盘加密产品的加密速度有了长足的提高，但是，在实际的使用过程中，如果磁盘或卷中存款额大量的文件，那么其加密速度还是看起来非常慢的。并且，如果磁盘的主引导记录可能使它与备份和恢复程序很难共存，一旦磁盘发现故障或错误，那么将会造成数据无法被正确恢复的局面。
3、智能加密产品
新出现的智能加密产品结合了文件及文件夹加密产品和全盘加密产品的主要特点。例如国内比较有名的是思智ERM301企业数据智能加密系统。这些混合的解决方案与文件/文件夹加密产品有一定的相似之外，因为它可以由用户决定只加密文件或文件夹，而不需要加密操作系统或应用程序。这将大大减少加密所费的时间，提高加密的性能。另外，它还允许管理员指定加密文件的具体类型，例如电子表格或PPT，以及某些具体应用产品，例如财务和人力资源应用。
智能加密技术确保指定的文件类型或应用类型都能加密，而不需要文件是否存在于某个指定的加密文件夹。并且，这种技术不会干扰备份和恢复、补丁管理或强制认证产品。但是，要确保所有机密信息都得到保护，我们就需要知道它们是什么，以及存在于什么位置。如果我们没有一种了机密信息的处理机制，那么还是使用全盘加密技术比较可靠。
以下对特殊的文件存储--云存储加密进行具体讲解，并就优缺点进行分析。
二、云存储的加密方式
云存储模式所存在的问题已经困扰行业多年，在静态数据加密存储的过程中，只有实现真正意义上的数据私有化才能保证数据的安全，保障数据拥有者的利益。
1、云存储应用中的加密技术
云存储应用中的存储安全包括认证服务、数据加密存储、安全管理、安全日志和审计。对用户来说，在上述4类存储安全服务中，存储加密服务尤为重要。加密存储是保证客户私有数据在共享存储平台的核心技术，是对指定的目录和文件进行加密后存储，实现敏感数据存储和传送过程中的机密性保护。根据形态和应用特点的差异，云存储系统中的数据被分为两类：动态数据和静态数据。动态数据是指在网络中传输的数据，而静态数据主要是指存储在磁盘、磁带等存储介质中的数据。
（1）静态数据加密
对于那些在云中存储备份自己长期数据的客户，他们可以将自己的数据加密，然后发送密文到云存储提供商（cloud storage provider，CSP）。目前，大多数该类解决方案基于用户的数字证书进行认证和加密。用户使用数字证书向云管理系统进行身份认证，并使用对称密钥在本地加密云中存储的数据，同时使用证书公钥加密对称密钥，然后将加密后的数据传到云中进行存储。这些客户控制并保存密钥，当客户要获取数据时，先将云中密文下载到本地，再由客户自行解密该数据。
该模式的优点是：只有客户可以解密云中的存储数据，可以有效地保证数据的私密性。缺点是：客户端需要较强的密码运算能力来实现加密功能，同时用户数据的加密密钥必须保管安全，一旦丢失，将无法恢复数据，且该模式只适用于客户自己生成的静态数据加密，对于在IaaS、PaaS、SaaS下在云中产生的动态数据无法使用该模式进行加密。
（2）动态数据加密
对于在云计算环境中产生的动态数据，只能由云计算管理系统进行加密，虽然CSP的网络比开放网络安全。在多租户的云计算应用模式下，客户租用云计算系统的计算能力，虚拟化技术使得一个客户的应用以不同层次与其他客户的应用共享物理资源，因此客户在云计算环境中产生的数据不可避免地交由云计算环境进行加密。
保护敏感数据
当今的安全行业趋势显示,恢复加密资料所需时间较长,这通常会使企业浪费资源,并保持低效运营。而且,当今数据已经不再仅仅集中于企业内部,而是扩展到了更多分支机构、合作伙伴、外包厂商以及共享资源的服务供应商等地方。当这些数据通过复杂的网络被收集、共享、处理和存储的时候,企业则面临着数据被盗、丢失以及泄漏的风险。
近日SafeNet公司与Aladdin公司推出了业界首个可扩展的企业级数据保护解决方案(EDP)套件,其旨在降低商业和政府机构在规则合规性、数据隐私以及信息风险管理方面的成本和复杂性。同时,SafeNet在EDP的框架内还特别推出了全新的基于RapidRecovery技术的ProtectDrive 9.0全硬盘和移动存储设备加密解决方案。
业界知名的技术咨询机构Churchill&
Harriman公司首席执行官Ken Peterson说:“当企业为了满足政府要求匆忙地保护敏感数据时,他们常常通过采用新金字塔式的信息技术控制和不能交互的协作技术。这种零散的部署方式只能提供很少的保护,不仅复杂而且成本高。同时,从长期看来,对于解决合规要求和安全威胁也不是很有效。”
SafeNet公司亚太区总裁陈泓表示,利用加密方法,企业可以确保只有拥有数据密钥的授权用户或机构才能访问经过加密的数据和应用程序。
SafeNet公司商用安全产品技术专家童军水说,通过利用基本的数据加密方法保护数据,以及与集中密钥和策略管理进行整合,SafeNet EDP套件可以确保整个数据库、应用、文件服务器、网络以及终端设备数据的隐私性和控制。
5分钟恢复数据
记者了解到,SafeNet EDP套件向企业提供了一个利用普通平台就能够确保数据安全和合规的框架和集成的系列产品。根据Churchill&Harriman公司的研究,这个特殊的方法能够把合规报告、审计和管理的成本降低约25%。
童军水介绍说,ProtectDrive Rapid
Recovery是SafeNet EDP套件的一部分。通过它,用户不仅能够把关键数据从受损系统中恢复出来,而且用时不会超过5分钟,大大减少宕机时间和收入损失。作为企业级数据保护套件的一部分和全硬盘加密解决方案,它不仅能够保终端设备,而且还可以保护数据。
根据测试体验,ProtectDrive Rapid
众所周知，数据泄露一般经由三中途径造成，一是内部员工恶意窃取数据，二是内部员工无意间将数据外泄，三是外部威胁(如有组织的黑客犯罪集团及恶意软件等)。但在今天，无论是网络犯罪者，或者企业员工都清楚地意识到企业中的某些数据就是一种有形的价值资产，获取企业的敏感数据就等同于获得了现金。在这种直接利益引发的诱惑，我们不难预测在2011年甚至更远的将来，数据泄漏问题只会越演越烈。
如果威胁已经无法避免，那么企业应如何面对各种途径造成数据泄露问题呢?随着企业逐渐对数据安全重视，市场中各种类型的数据安全产品和解决方案也在各自为营，企业安全相关工作人员需要准确判断自身数据安全需求，并正确认识数据安全解决方案的特点，才能为企业做出最佳的数据安全产品选择，和最符合成本利益投资。对于数据安全我们需要了解：
安全是相对的
用户有时候对数据安全的应用希望能够追求尽善尽美，倾向于把所以认知到的数据安全问题项都罗列出来，并希望这些数据安全问题能全部解决。但安全和威胁一直都是博弈存在的，此长彼消。作为安全厂商和企业我们共同的目标是要做到让数据安风险趋于零，而不是过于追求大而全的单款方案。在选择数据安全产品时，企业进行更多理性判断，诸如，什么情况下适合用怎样数据安全技术来对此类问题进行控制，而什么情况下我们需要借助数据安全工具将企业数据泄漏风险到最低，当然这个最低是业企业所能接受的，这样企业才能正确衡量投入多少资本进行安全防护是合理的，从而收到高的安全投资回报。
数据安全问题其实也是一种风险管理的问题，我们应该先解决最为严重的数据泄露风险，对于无法回避的数据泄露风险应该采用规章制度或者其他转嫁方法来解决。
企业数据安全运营
为企业解决数据安全问题，最理想的做法是从企业业务风险大小出发，告之企业一旦数据泄露对其业务影响有多大，这种影响绝不是只对其IT层面。如果企业的图纸和源代码等核心数据泄露，整体企业都必须为其承担风险，而风险程度对于每个企业是各不相同的。例如某厂商的一款芯片的相关核心技术提前泄漏，由于一款芯片的生命周期是18个月，那么泄漏一款芯片对企业就不仅仅是半年到一年的影响，而意味着未来18个月企业都很难翻身。这对企业来说不是简单的几十万的损失，而是几百万甚至更多的无法预估的损失。所以要把数据泄露放在企业运营层面看待，它不仅仅保护企业内部的一些流程，不是对企业IT架构有多重要，而是对企业有多重要。数据安全不单单为一个部门，而是为企业运营解决问题。
数据泄漏防护
数据泄漏防护(DLP)解决方案是目前最为成熟和国外最主流的数据安全保护方案，它可以有效识别各种机密数据的内容，从而应对各种数据变形后的泄密事件。但目前国内推出的DLP解决方案大部分依托于访问控制，加解密的保护。但在国外比较成熟的DLP产品会更多关注数据的内容到底是什么，它会用更多的技术去分析企业正在泄露的数据是工资单、图纸还是源代码。而不是不管是源文件还是代码，统统在策略中定制的只要是机密，就加密。
加密和DLP其实是两个概念。一款成熟的DLP产品需要做到能够真正识别企业机密数据的内容，正确的认识企业的业务流程(谁可以把何种企业数据发送到哪里?)以梳理出合理的业务流程保证敏感数据正确的流动，此外，还需针对主要的HTTP／s、SMTP和USB等不同的业务渠道进行保护，并可以施以统一的策略管理和部署。
单纯通过加密和访问限制来对数据安全防护是非常局限的。进行加密之后文件从技术上讲内容被改变了，数据可能受到影响。此外，加密也可能会成为一种伪装，因为加密决策是由人来制定的。所以如果企业没有审计制度，就无法保证决策外的机密文件及其里面的内容是否没有被泄漏的。而这时，企业就会需要另寻专业的DLP技术来审计分析，外传文件中是否含有源代码等重要内容，因为审计部门靠人工是很难发现文件中是否有组合源代码的。并且，大范围内的加解密也会影响业务效率。尤其是对于上GB的文件来说。但一款专业的DLP方案能判断出真正是机密的内容，从而阻止外传，降低安全效率的损耗，缩小范围，提升效率。
但是，通常DLP解决方案无法解决数据已经泄漏到公司外部的情况，因此，企业可以采用加密、数字水印等技术来进行补充保护。
二、移动数据通信的无条件加密方案
随着移动通信设备功能的日渐强大，出于用户信息安全的考虑，在移动设备与中心服务器交互当中，加密方案将保证用户信息和通话安全。移动通信通常采用HTTP方式，但HTTP是无状态协议，为了满足数据交互需求，其中需要加入客户端，才能够保持用户间的通信。对于任何一个移动通信用户而言，其数据交换过程当中，由于出于安全性考虑，服务器脚本设置当中的Session在无响应状态中保持时间，无法与服务器交互，进而Session自动取消，服务器将不再保留信息。信息加密的目的是为了防止恶意攻击者截获信息，通过加密后，截获的信息将无法阅读，从而保证用户信息安全。这种加密主要采取了密钥的方式，只要对密钥进行破解，才能够浏览信息。目前为止，网络上的加密手段主要采取混合加密体制，但应用于移动数据通信当中的密钥，要求较为复杂一些。移动数据通信加密具有以下几个特点：第一，拥有更好的安全性能，避免信息被他人截获和阅读；第二，算法执行效率更高；第三，密文有一定限度；第四，通信负荷较低。移动数据通信采取的加密方式通常为高级加密，其选择方案时以AES和XXTEA作为加密算法。AES算法具有高安全性、高性能、高效率等优点，在移动通信设备系统中表现更为优秀。XXTEA算法的安全性也很高，并且初始化实际短，更适合Web开放中，实际应用于移动数据通信当中较少。
三、移动数据通信密钥管理
在移动数据通信当中，密钥是实现加密手段的一个关键项。密钥管理占有着重要地位，是移动数据通信进行加密必须要解决的一个问题。在无条件安全加密方案中，服务端所连接的客户可以共享n种解密方式，其过程如下：当收到客户请求后，服务器随机生成0~26535之间的整数r，之后选取对应加密方式，随机生成。之后，按照密钥固定长度进行随机生成补足部分，并将补足部分的序列传回客户端。客户在获取密钥后，将加密后的序列传导服务器端，SessionID检验客户身份，然后使用密钥解密敏感数据信息。密钥的方案有多种，具体实现中，C0、C1、C2分别设为XXTEA固定密钥，也可以根据实际情况进行具体的加密方式选择。密钥管理当中，根据所加密算法不同，可以选择固定或非固定密钥进行解密。但对于不同加密方案，参数长度将影响其安全性，可能降低密码分析难度，从而造成安全漏洞。混合加密密钥可以避免大量费时操作，极大的提高了效率，并且其简单算术操作和对称性的密钥加密操作，对于移动设备通信密钥加密操作更加方便，且有利于执行。所以，客户在选择密钥过程当中，要根据自身的实际情况，选择更加合适的密钥进行加密管理，从而保证移动数据通信的安全性。
在双向数字电视网络环境中。内容者和终端用户之间存在两条传输信道：一条传输信道为传统的单向广播HFC信道；另一条为经过双向化改造后增加的双向IP信道，如图1所示。其传输流程为：运营商将节目内容打包成MPEG TS流，以广播方式发送给终端用户；终端用户与内容提供者之间通过IP通道完成认证授权及许可证申请。以保障内容传输的安全性。
与其他安全解决方案相比，采用基于数字版权管理(DIM)技术的双向数字电视安全解决方案，在实现对双向数字内容端到端安全传输及存储的基础上，还可实现对数字内容权限的使用控制。
目前DRM的实现主要采用两类技术：数字水印技术及数据加密技术。其中数字水印技术尚不成熟，且只能在发现盗版后用于取证或追踪，不能在事前防止盗版。数据加密型DRM技术的核心思想是对数字内容进行加密，只有授权用户才能获得内容解密的密钥正常收看。鉴于此，当前国内外多数公司及研究机构的DRM系统均采用了基于数据加密的技术。
本文介绍的双向数字电视DRM安全解决方案的主要技术原理为：基于数据加密DRM技术，结合证书认(PKI／CA)，通过为终端设备及前端服务器签发数字证书，在运营商与用户之间及用户与用户之间建立信任体系；通过多层密钥体系，使用非对称密码算法进行身份认证、内容密钥的安全分发和协商；使用对称密码算法将数字内容加密为媒体文件密文后，通过直播、点播等业务模式，分发给终端用户，并控制数字内容在终端的合理使用。
解决方案
1 体系架构
双向数字电视安全方案的系统架构如图2所示。
整体系统由下列模块组成：
证书中心(CA)：为前端授权管理系统及终端签发数字证书。建立基于PKI的信任体系，终端及授权管理系统通过证书交换和密钥协商完成双向身份认证和安全通道建立；
授权管理系统：为终端生成许可证，认证终端的身份，并为终端进行安全授权；
密码管理系统：生成各种密钥，并实现对内容的加密(对于直播内容进行在线实时加密，对于点播内容，进行离线预加密)；
DRM：设备中的可信实体，实施对内容的许可和限制，并控制对内容的使用，严格按照权限对数字内容进行操作；
内容分发服务器：存储并管理加密的数字内容，并按照不同业务模式分发内容。
2 密钥体系
为了充分保证业务的安全性，该方案结合PKI非对称密码体系，建立了多层密钥体系，其中最上面两层为设备公私钥对及用户密钥。对于诸如机顶盒的终端设备，在初始化时生成公私钥对，其中私钥存储于终端，公钥通过安全通道传送到前端CA中心申请终端证书，终端的设备公钥及证书全部由前端服务器维护。采用这种方案时，必须对用户的智能卡进行初始化操作，以在智能卡内写入用户密钥或域密钥，并使服务端的用户密钥，域密钥与智能卡之间建立一一对应关系。
对于直接加密内容的密钥。根据内容类型的不同，可采用不同的密钥体系：当数据内容为TS流或流文件时，密钥方案采用类CAS的实时加扰密钥体系：即使用控制字(CW)加扰内容后，再使用业务密钥(SK)加密传输CW，加密的CW和节目控制数据被封装在ECM中，随内容数据一起广播。业务密钥被用户密钥(PK)，域密钥(DK)加密，封装在EMM中广播下发，或通过双向IP信道端对端下发。其原理如图3所示。
当数据内容为非Ts流型数据(如图像、动画数据)时，则采用对称密钥型密钥体系：即使用内容加密密钥(CEK)直接加密内容数据，内容加密密钥被封装在权限对象中使用用户密钥(PK)／域密钥(DK)加密，通过双向IP通道端对端下发，工作原理如图4所示。
3 数据封装
针对不同的内容类型，可采用不同的数据加密及封装方式：对于TS流媒体内容，对TS报文进行逐个加密(只加密TS报文负荷的184字节)，直接与其他TS流复用后进行广播分发；对于非TS流文件(如动画、图片内容)，则对其连续加密后，打包成TS流进行循环广播。
业务流程
DRM安全方案可支持直播、点播等多种业务模式。对于不同的业务模式，其业务流程也各不相同：对于直播业务，其加密方式和业务流程均类似于传统的单向网络电视广播业务，即对数字内容进行实时加扰，加扰控制字CW被加密封装在ECM中，业务密钥加密则封装于EMM中，加扰的数字内容及ECM、EMM一起被广播分发。当然，EMM也可通过双向IP网络在线分发。
下面以点播业务为例，简单介绍一下陵方案的业务处理流程：
首先，数字内容在密码管理系统中被预加密的同时，将加密密钥发送给授权管理系统生成权限许可证，并将加密的数字内容发送给内容分发服务器；
其次，用户在终端点播数字内容时，首先向授权管理系统提交此数字内容的权限许可证，此时需对终端和授权管理系统进行双向身份认证，并协商会话密钥，以建立双方的安全连接；
再次，授权管理系统通过连接保护向终端下发点播内容的授权许可证，同时要求内容分发服务器向终端传输其所点播的内容；
最后，终端DRM验证授权许可证的有效性，并严格按照许可证中的权限许可和限制对内容进行操作，为用户提供相关服务。
安全性分析
该方案的技术安全性主要基于以下几个方面：
1 信任模型
DRM安全解决方案采用基于PKI的证书认证体系，每个终端设备在初始化时均需要向证书中心申请证书，前端服务器通过验证终端证书的有效性来证终端的身份，以在系统实体之间建立高度的可信任关系。
2 内容安全和授权安全
海力士所面临的风险包括有意或无意的销毁、黑客攻击、恶意软件造成的数据丢失、内部人员的偷窃等。
在这些威胁和风险中，最有可能发生并造成严重后果的便是保密信息有意或意外的泄漏。一旦发生数据泄漏事件，企业不单要承担保密数据本身价值的损失，严重的时候还会影响企业的声誉和公众形象，并有可能面临法律上的麻烦。
Forrester Research的统计资料显示，70%以上的数据泄露都是无意的。电子邮件在不经意间就可能将海力士的核心机密信息泄露给竞争对手。
面对这样的窘境，海力士希望将可能让机密或专有信息泄露的行为牢牢控制住，例如员工使用加密Web邮件、数据向第三方存储站点的传输、远程访问应用软件等。
因此，必须制定一套有效的信息泄漏预防解决方案，来着眼于无意的数据丢失所导致的日常风险。
有安全专家曾建议，基于终端的防泄密从技术上来说是不可靠的，而且规模越大，可靠性越差，而管理难度也越大。
因为基于终端的解决方案是一种封堵传播途径的技术，在理想的情况下，如果能够封堵所有的文档传播途径，则文档不会被传播出去。
Blue Coat Systems大中华区执行总监潘道良表示：“企业必须从互联网网关处入手，有效阻止意外泄露和恶意窃取。企业的网络资源管理人员必须清楚获知机密数据在网络中的精确位置。监测这些数据、信息的使用者状况，并有力保护数据的不被窃取、流失和破坏，帮助企业保护财产、控制风险。海力士需要重新获得网络的控制权，管理盲点，在保护数据的同时实现法规遵从。”
网关阻止信息泄露
由于大多数Web安全解决方案不能检查SSL隧道，SSL隧道携带着点到点的加密数据，使SSL成为截获数据最有效的承载体。
海力士通过选型对比，选择了Blue Coat ProxySG设备，实现监测互联网通信并根据政策进行控制。借助Blue Coat的SSL，海力士可以了解内部用户和外部站点之间的SSL加密通信。他们还可以对带宽进行优先化管理，验证网站证书，在不审查通信内容的情况下避免钓鱼欺诈，这将有助于保持员工个人财务交易的安全性和机密性。
其中具备ProxyAV模块的ProxySG让海力士能够对带宽进行优先化管理，验证网站证书和检查SSL通信，从而更好地避免数据泄露和恶意软件威胁，例如僵尸网络和Web邮件。
近日,Oracle针对数据库的安全推出了一系列的解决方案组合,可保护数据隐私,防范内部威胁,并确保遵守法规,用户无需改变应用程序,即可部署可靠且经济有效的解决方案。据刘松介绍,组合中的Oracle身份管理系统使客户能够高效地满足合规要求,保护其关键的管理软件和敏感数据,并降低运营成本。
据了解,随着全球经济的高度发展和技术的快速进步,以往公认的安全状态已经发生了清晰而显著的转变,企业不仅面临着海量增长的数据、频繁的数据侵犯、内外部威胁、各种法规监管要求等诸多数据安全性领域的挑战, 还需要应对外联网安全性、分散的应用安全性和身份孤岛等带来的应用安全性领域的问题。因此,众多企业纷纷把数据安全和应用列为IT建设的关键。
据介绍,甲骨文拥有30多年数据库安全方面的经验,能为企业提供全面和透明的解决方案,“所谓透明就是让客户在没有负担、不知道的情况下对数据进行自动保密。”刘松表示, Oracle Advanced Security提供了透明的数据加密技术和密钥生命周期管理,可高效加密所有应用数据,无需更改基础架构且易于实施。
集成化解决方案逐渐盛行。与IT领域一样，集成化的解决方案在数据中心领域也越来越流行，将电源、制冷、监控、机柜等部件全部集成在一起，可以简化系统的采购与部署。施耐德电气推出的集成方案——英飞集成系统已经有十年时间。现在，施耐德电气不仅有针对企业级用户的英飞集成系统，而且有针对中小企业用户的Mini-英飞集成系统。有时，一个机柜就包含了数据中心物理基础设施的所有主要部件，一个机柜就是一个数据中心。
集成化数据中心解决方案的适用范围越来越广泛，几乎所有主流的数据中心解决方案提供商都已经提供集成化的解决方案，包括施耐德电气、艾默生网络能源有限公司、伊顿、科华、台达、华为等。在集成化解决方案的基础上，能否提供端到端数据中心解决方案（包括咨询、设计、解决方案、实施、服务和运维等），也成为衡量厂商综合实力的一个重要指标。
节能减排重任在肩
电费是巨大负担，节能减排重任在肩。一方面，企业更倾向于选择节能的设备；另一方面，企业在数据中心整体的优化、降低能耗方面也下了很大功夫。
在数据中心的制冷方面，动态制冷、靠近热源制冷、自然冷却等概念日渐流行。有效利用自然冷源和创新的技术，在提升制冷设备自身效率的同时实现整个数据中心能效的提升和节能降耗是值得认真思考的问题。制冷作为数据中心基础设施重要的组成部分，同时也是数据中心能源消耗的大户，其优化和管理应该引起用户的高度重视。
创新由硬及软
UPS是一个相对成熟和稳定的市场。从UPS产品来看，技术方面并没有太大变化。行业用户最看重的还是UPS的效率。像高频机、直流供电这样的话题还是业内追逐的热点，但是并没有突破性的技术出现。精耕细作垂直行业市场是UPS厂商的核心任务。值得一提的是，华为又重新进入UPS市场，并在国内外诸多行业树立了样板客户。总体来说，单纯UPS产品的竞争已不是热点，针对数据中心的整体解决方案才是厂商比拼的焦点。有的厂商通过自主研发或收购，不断扩展产品线，进一步强化提供整合方案的能力；也有的厂商虽然专注于某一领域，比如制冷，但通过多种方式与合作伙伴一起提供完整的数据中心解决方案。在二、三级市场以及中小型数据中心里，整合式的解决方案越来越受欢迎。
管理与服务将是竞争的新焦点。用户对数据中心物理基础设施（主要是硬件）的关注度一直比较高。但是仅有好的硬件，并不能保证数据中心的高效运行和节能减排，数据中心的持续优化与节能降耗与监控、软件管理以及运维息息相关。现在，越来越多数据中心解决方案厂商开始发力数据中心基础设施管理（DCIM）软件市场。DCIM软件可以统一监管理数据中心物理基础设施和IT设备，及早发现系统中存在问题，并提前报警，从而提高整体机房的效率。
科华恒盛生态节能型数据中心解决方案
绿色节能、智能控制双管齐下
科华恒盛致力于推进生态节能型数据中心的建设，采用环保节能技术，逐步将风光互补等新能源技术引入数据中心，将太阳能发电幕墙和风力发电系统相结合，为数据中心配套设施提供有效的自然能源。
科华恒盛“云动力”生态节能型数据中心解决方案以绿色节能和智能控制两个方面为突破口，从数据中心规划设计阶段的三维仿真智能化设计，到提供自主研发的模块化“端到端”智能精密配电系列产品，再到制冷节能解决方案以及三维综合运维监控系统的智能化管理，科华恒盛通过循序渐进的实施过程，为用户构建高可靠、模块化、一体化的数据中心机房。与此同时，科华恒盛致力于采用节能环保技术逐步将风光互补一体化新能源产品引入数据中心的配套设施，充分利用自然资源，实现生态节能型数据中心绿色解决方案。
云动力数据中心解决方案以模块化的结构设计、个性化的产品组合、安装方式简洁、厂家级售后服务为主体，组合出一体化机房产品线。方案由配电系统解决方案、制冷系统解决方案、冷通道系统解决方案、基础环境系统解决方案、IT微环境系统解决方案、综合运维管理系统解决方案组成。科华恒盛旗下全资子公司——厦门华睿晟智能科技有限责任公司以云动力绿色数据中心解决方案为主要载体，致力于打造国内数据中心物理基础架构平台解决方案品牌。
InfraStruxure英飞集成系统解决方案
按需配置 实现高可用
施耐德电气旗下的APC新一代InfraStruXure英飞可扩展高适应性数据中心IT机房架构可缩短从构思设计到安装完成整个过程的耗时并简化工序的复杂性。其供电、制冷、机架、安全和管理组件作为集成系统的一部分进行设计及测试，提供集成软件管理的多功能系统。基于对系统状况的全面了解有助于实现更快速度、更高密度和更加绿色所带来的效益，该解决方案可以帮助用户确保达到关键应用可用性的目标。作为一款开放式的系统，英飞可以独立部署、按区域部署或分阶段部署，被认为是一个可以为数据中心各种规模IT机房应用提供高可用性并实现节能目标“按需配置”的架构。
新一代英飞系统具有的优势有：供电及制冷能力提高了25%，同时缩小了15%的占地空间；灵活扩展，可根据用户的需求灵活扩展。从最初规划到最终运营的整个阶段更快更便捷，自动规划和设计工具结合开放式集成管理和运营软件。
世图兹CyberAir 3精密制冷解决方案
提供制冷系统
世图兹（STULZ）新推出的CyberAir 3精密空调系统，将EC风机应用于精密机房空调领域，凭借多种方案选择和气流传输设计，实现了其在数据中心领域的“节能使命”。CyberAir 3精密空调系统可以满足极为苛刻的空间使用率和能效的要求，提供了制冷系统，包括了风冷、水冷、冷冻水、双冷源、间接自然冷以及直接自然冷却等各种制冷系统。世图兹利用CFD （计算机辅助流体动力学） 科学地分析、优化机组内部气流传输，其开发出的CyberAir 3精密空调系统采用了新风机和 CFD 优化设计，具有很好的空气传输性能，融合技术精华，创造高效运行的节能效果。CyberAir 3 精密空调系统中风冷、水冷以及间接动态自然冷却机组可选用高效节能的 EC压缩机。EC压缩机采用R410A环保冷媒，制冷量可依据实际冷负荷动态匹配调节。世图兹使用的新型EC风机，其叶轮采用航空级工程复合材料制造。凭借先进的材料和注射成型技术，世图兹制造出一次成型的三维叶轮，增加了风机表面积，降低了风机功耗和噪音，并使得气流传输更高效。
艾默生网络能源DCIM管理系统
完整提供 DCIM 解决方案
艾默生网络能源作为当今DCIM市场的主导供应商之一，利用在供电和制冷领域的研发经验，结合Aperture、 Avocent、 Liebert、 Asco在数据中心管理方面的技术实力，很好地整合并打通了数据中心物理基础设施和IT两个层面，提供数据收集能力。
Trellis动态基础设施优化平台即是艾默生网络能源在DCIM方面的创新。该系统充分利用艾默生网络能源的全线产品，包括资产、电源、制冷的设计和管理解决方案以及嵌入式服务器处理器固件的管理能力，由此便诞生了一个完整的 DCIM 解决方案，可实现数据中心IT和基础设施的统一管理，更好地降低数据中心的复杂性和运营成本，解决当前所面临的问题并为未来做好准备。
Trellis动态基础设施优化平台的核心部件是Avocent统一管理网关（Avocent Universal Management Gateway），这是一个独特的数据中心设备系列。它将远程管理、服务处理器管理和实时的数据中心基础设施监控以及事件处理集中到单一设备之上。该设备释放了机架空间，通过将多个设备整合到单一的解决方案之中来提供优化数据中心效率和灵活性所需的实时数据，从而降低了复杂度。Trellis平台能够管理容量，跟踪设备存量，规划变更，可视化配置，分析并计算能量使用，优化制冷、供电设备并实现虚拟化。
艾默生网络能源依靠技术能力的成熟运用，研发的Trellis动态基础设施优化平台为数据中心的建设与管理带来了应用价值，帮助用户有效提高了数据中心的可用性、能源利用性以及日常维护的工作效率，满足了数据中心既要保持运行效率和可用性、又要控制成本的迫切需求。
英维克XRow列间空调高效制冷解决方案
一体化降低PUE
XRow系列列间空调高效制冷及自然冷却解决方案是英维克以技术积累和产品开发能力，为新一代数据中心设计的作品。该方案突出了制冷、节能一体化的整体技术优势，实现了PUE值降低。在解决高热密度、局部热点等关键问题上发挥出了综合性能。
1 档案数字化建设概述
1.1 内 涵
所谓档案数字化建设，简单的来说，就是将传统的纸质信息转变为电子数据信息的过程，需要通过借助当前先进的各种技术，包括扫描技术、信息技术以及网络技术等，构建完善的档案数据库，改变传统的以纸质作为载体的信息记录方式，实现对数据信息的快速查询、共享，提升信息资源的利用价值。
1.2 内 容
在档案数字化建设中，需要建设的内容主要包括两个方面，一是数据库，二是技术保障体系，其中，数据库是档案信息存储所在，必须保障数据库的安全可靠，避免数据的泄露，确保数据安全，为档案管理与应用奠定良好基础；档案数字化建设是与互联网息息相关的，而互联网中安全风险远远高于传统纸质数据保存方式，对此，就需要通过完善、可靠的技术保障体系，来加强对档案数据信息的保护，包括限定访问权限、定期维护与升级系统、建立身份认证机制、采取密钥等措施。
2 档案数字化建设现存的安全问题分析
2.1 缺乏良好安全保护意识
安全保护意识是减轻安全风险的基础，但就当前实际情况来看，安全意识的缺乏是一个十分普遍，但也较为严重的问题。我国档案管理工作起步相对较晚，在管理机制上本身就存在一定不足，许多档案管理人员本身对档案工作认识存在偏差，对档案的重要性没有正确认知，在从传统档案向数字化建设转型过程中，这种理念并没有改变，导致数字化档案信息存在许多流失的漏洞，比如没有合适的分类保管，可以随意进行信息的拷贝与复制、在管理中未严格遵循相应的规范等，都严重降低了数字化档案的安全性，引发各种安全风险，导致出现安全问题。
2.2 技术保障体系不够完善
数字化档案是基于信息技术、网络技术存在的，必须有完善的技术保障体系，才可最大程度的避免安全风险。档案数据与计算机是密切相关的，由于计算机病毒的存在，在数据传输过程中，也容易被计算机病毒所感染，加上恶意攻击等行为的存在，如果没有对应水平的技术保障体系，档案数据库很容易被侵入，造成大量信息的丢失、泄漏等问题，极大威胁档案数字化建设的安全。
2.3 安全管理人员相对缺乏
档案数字化是一种新的档案管理模式，其安全管理与传统模式有很大区别，对安全管理人员的专业素质有着极高要求，特别是在计算机能力方面。但是，就实际情况来看，许多安全档案管理人员的计算机能力水平只在中等甚至以下，是难以达到电子档案管理需求的，在此种情况下，一旦档案数据库被入侵，很难采取有效处理措施，安全风险得不到解决，引发安全问题。
2.4 档案数字化理论与资金支持不足
我国档案数字化建设起步相对较晚，依然处于探索论证的初级阶段，相关的成熟理论较为有限，理论水平相对较弱，依然有许多需要研究的内容，无法为档案数字化建设提供足够的理论支撑，导致很多档案数字化建设隐患、缺陷未被及时发现，在一定程度上对档案数字化安全造成了不良影响。
档案数字化建设是一种以高新技术为基础的工作，在硬件、软件等方面都需要大量的投入，也就是对资金有着较大需求，数字化设备购入、现有设备的运行使用、落后过时硬件的及时更新以及相关软件的开发升级等，都离不开资金的支持。但是，就实际情况来看，无论是企业、事业单位，还是高校、行政部门，经费投入都较为有限，特别是在安全方面，经费严重不足，各种安全问题普遍存在。
3 档案数字化建设安全问题解决对策
3.1 提升档案管理安全意识
针对档案数字化建设安全意识薄弱的问题，首先，应当加强对档案管理安全的宣传，了解档案管理安全的重要性，认识到档案的重要价值，从日常工作的各个方面，主动采取并落实相应的安全措施，预防安全问题发生。
其次，建立责任制度，将档案管理安全责任层层分解到对应的岗位、人员身上，激发其责任心，使其以认真、负责的态度对待数字化档案管理工作，严格执行相应管理制度，减少因人为因素导致的档案安全隐患，提升电子档案安全性。
3.2 建立档案安全技术保障
在档案数字化建设安全工作中，采取适宜的技术，是实现安全有效途径，常用的安全保障技术包括加密技术、防火墙技术、入侵检测技术以及数字签名技术等等。其中，加密技术是应用最为普遍，也是最为经济、安全的技术措施，在档案数字化中应用加密技术，对于不同重要级别的档案信息，分别对其进行不同复杂程度的加密，给档案信息提供有力的防护，有效避免信息被截取或篡改，提升档案信息安全。
随着各种学科、技术的不断进步，加密技术也越来多加多样化，为档案数字化安全提供了许多选择。对于电子档案来说，在信息传递过程中，常用的加密技术是“非对称密钥”，也就是指分别使用公钥、私钥两个密钥，来分别完成电子档案的传递、接收解读，在此过程中，电子档案的加密、解密对应的密钥是不相同的，即使文件被截获，也很难将其破解，大大提高了电子档案的安全性。
3.3 提高档案管理人员素质
对于档案数字化建设的安全来说，人力资源是最为根本、最为基础的，加强对档案管理人员的培养，提升其整体素质水平，建设符合信息时代背景下档案管理的复合型人才队伍，对档案数字化建设安全提升是有着重要的意义。
对此，首先，要严格档案管理人员的考核，在聘任人员时，需要选择具备相应专业技能水平的人才，保证其能力满足档案数字化建设安全的需求，更好地开展安全保护工作。同时应保障档案管理人员的工资福利能与当时社会消费水平保持平衡，尽量消除其在生活中的经济压力，保证能更专心地提升自身专业技能水平，更好地应对不断升级的档案工作需求。
其次，做好人员的专门培训，定期开展各种培训、交流活动，积极了解技术变化情况，了解并掌握先进安全技术等，提升自身专业技术水平，增强对各种安全问题的发现与解决能力，有效保护档案安全。
3.4 加大档案数字化建设投入
