外协交互方案

安全·可控·可审计的内外协同文件流转体系

一、方案摘要

本方案面向研发制造单位与外协单位之间的文件交换场景，围绕「内网直连、外网受控、落地加密、全程审计」四大支柱，构建一套以捍卫者文件流转系统为中枢、以捍卫者加密系统为数据安全底座的安全交互体系。方案通过安全接入网关与外发访问策略，实现外网终端的身份准入、审批控制和单双向流转；同时通过加密落地与指定解密员机制，确保文件在传输与存储过程中的机密性和可追溯性。

二、方案目标

• 打通内外协同：在研发制造单位与外协单位之间建立统一、规范的文件交换通道，既满足业务协作效率，又不因开放网络而泄露核心数据。
• 安全可控：外网访问须经准入与审批，外发文件落地即密文；谁能访问、能传什么、能否解密，全部由策略集中管控。
• 可审计可追溯：文件上传、下载、外发、解密等每一次操作均留痕，形成完整审计链，责任可定位、过程可回溯。

三、总体架构

本方案整体架构分为三大区域：外协单位外网区、边界接入控制区、研发制造单位内网区。核心系统（文件流转系统、加密系统、审计日志中心）部署在内网侧，外网访问通过安全接入网关受控进入。

内网终端通过 Web 浏览器直接访问捍卫者文件流转系统；外网终端须安装捍卫者安全访问客户端 APP，通过指定 IP/特征机器或 VPN 通道接入，经过安全接入网关的身份认证与准入控制后，再根据外发访问策略（支持审批及单向/双向设置）访问文件流转系统。所有文件在系统中落地即加密，外发文件以密文形式流转，仅安装了捍卫者加密系统的授权客户端方可打开；如需彻底解密为明文，须经过审批流程或由指定解密员登录操作。全流程行为汇聚至审计日志中心，实现可追溯、可审计。

四、核心安全机制

◆ 文件落地加密

• 文件经流转系统后由捍卫者加密系统自动加密，以密文形式落盘存储，从源头保证「存的就是密文」。
• 加密文件只能由安装了捍卫者加密系统客户端的终端访问与打开。
• 外发到外协单位的文件同样保持密文，未授权环境无法读取。
• 即便文件被拷贝、外传，脱离授权环境仍是不可用密文。

◆ 解密管控

• 密文不能随意还原为明文，彻底解密须经过受控流程，杜绝个人私自解密外带。
• 方式一：提交解密申请，经审批通过后执行解密。
• 方式二：由指定解密员登录后进行解密操作。
• 解密动作全程记录，谁解密、解密了什么、何时解密均可追溯。

◆ 审批与单向/双向流转

• 外网协作的访问权限与数据流向可按业务需要灵活配置，做到按需开放。
• 外网访问可开启审批，经授权后方可建立访问。
• 文件交换支持单向（仅下发/仅上传）或双向互传。
• 结合指定 IP、设备特征、VPN 与客户端，实现多重准入。

◆ 全程审计追溯

• 文件流转、外发、解密、访问等行为汇聚至审计日志中心，形成完整证据链。
• 上传、下载、外发、解密、登录等操作逐一留痕。
• 内网直连与外网受控访问行为统一纳入审计。
• 支持事后追溯与责任定位，满足合规与内控要求。

五、典型交互流程

• 步骤 1 · 安全接入：外协终端安装安全访问客户端，经 VPN 或指定 IP/特征机器，由安全接入网关完成身份认证与准入。
• 步骤 2 · 审批与策略：按外发访问策略执行审批，并设定本次协作为单向下发或双向互传。
• 步骤 3 · 密文流转：文件经流转系统由加密系统落地加密，外发文件以密文送达，仅授权加密客户端可打开。
• 步骤 4 · 解密与留痕：需明文时经审批或解密员登录解密；全过程行为汇聚审计日志中心，可追溯。

六、方案价值总结

• 安全——数据不出「密态」：落地即加密、外发是密文，脱离授权环境不可用。
• 可控——权限策略集中管：准入、审批、单双向、解密权限按需配置。
• 可审计——全程留痕可追溯：访问、外发、解密行为全记录，责任可定位。
• 高效——内外协同不打折：内网 Web 直连、外网客户端/VPN 便捷接入。