動態(tài)安全的虛擬組織體系結構

1、動態(tài)安全的虛擬組織體系結構周海軍，林翔（北京安高科技有限公司，北京100094）摘要：虛擬組織作為網絡經濟時代組織創(chuàng)新的新模式，在虛擬組織共享組織信息 的框架下保障組織信息的動態(tài)安全成為組織者不得不考慮的問題。從計算機及網 絡科學的角度，論文探討了一種動態(tài)安全的虛擬組織體系結構。在該體系結構呈 現(xiàn)的虛擬組織平臺系統(tǒng)上能夠動態(tài)地構建多個具有保護組織信息訪問安全、存儲 安全和流轉安全的虛擬組織系統(tǒng)，從技術層面有效保護虛擬組織電子信息資產的 安全。關鍵詞：虛擬組織；組織信息；信息安全；動態(tài)管理1引言網絡經濟時代，虛擬組織以其合作、共贏的思想，在技術、資源、成本等方面具有得天 獨厚的優(yōu)勢和生命力，越來

2、越成為大中小企業(yè)以及個人群體實現(xiàn)產品研發(fā)、市場拓展、網上 辦公的新選擇。信息是虛擬組織的關鍵資源，虛擬組織的非實體性、網絡的開放性以及組織 成員的動態(tài)分布性，對組織信息的安全管理，包括對組織信息的訪問管理、存儲管和流轉管 理顯得特別的重要。20世紀90年代以來，虛擬組織作為21世紀企業(yè)戰(zhàn)略得到了全球的廣泛的研究和運用。2006年第12期當代經濟發(fā)表的文章面向虛擬組織的知識管理與創(chuàng)新研究，探討了 虛擬組織與知識管理之間的內在聯(lián)系，研究面向虛擬組織的企業(yè)間的知識創(chuàng)新體系的關鍵內 容和構建過程，旨在豐富虛擬組織和知識管理與創(chuàng)新的理論和方法，不足的是文章沒有提出 一種切實可行的實現(xiàn)方法。現(xiàn)有的虛擬組織

3、解決方案通常是基于internet虛擬專網（VPN）將虛擬組織中的異地成 員信息系統(tǒng)連接起來，達到組織中成員之間信息交換和共享的目的。VPN在互聯(lián)網上的集 成加密、認證和簽名功能，為虛擬組織的建設奠定了一個安全可信的秘密通道。而建設VPN 需要硬件的投入和網絡的部署，不能滿足大量中小企業(yè)和個人動態(tài)組建和臨時組建虛擬組織 的需求，并且無法保障組織信息的訪問安全和存儲安全。中國專利公開號CN1599322提出了一種實現(xiàn)企業(yè)共用虛擬自動化辦公網的裝置和方法，電信運營商為企業(yè)提供共用虛擬辦公自動化平臺，企業(yè)用戶在企業(yè)共用虛擬自動化辦公網服務器上建立其員工的資料數(shù)據(jù)，企業(yè)員工通過企業(yè)虛擬自動化辦公網接入

4、終端，經電信 運營商共用接入網絡連接到企業(yè)共用辦公網服務器，通過自動化辦公客戶端軟件登陸到企業(yè) 共用虛擬辦公自動化平臺進行辦公，包括員工之間的信息交流和文件傳遞等。通過該專利的 方法，解決了虛擬組織的靈活創(chuàng)建問題和信息資源共享問題，但未涉及如何保護企業(yè)的電子 信息、防止重要信息泄漏的安全管理問題。針對目前虛擬組織存在的上述不足，論文提出了一種可實現(xiàn)的虛擬組織體系結構：基于 組織信息安全、組織動態(tài)配置管理的虛擬專有組織(Virtual Proprietary Organization, VPO)。2 VPO介紹vpo體系結構呈現(xiàn)為一種虛擬專有組織平臺系統(tǒng)，采用該平臺系統(tǒng)，能夠為大中小企 業(yè)以及個

5、人用戶通過intranet、extranet、internet多種網絡形式靈活地組建專屬于自己的虛擬 組織，并且由組織者通過部署終端安全策略的方式自行管理組織成員終端中組織專屬信息的 訪問安全、存儲安全和流轉安全，我們定義這種具有安全管理功能的虛擬組織為虛擬專有組 織(Virtual Proprietary Organization)0虛擬專有組織平臺系統(tǒng)在保障虛擬專有組織正常運轉 的同時，有效地解決虛擬專有組織系統(tǒng)中組織專屬信息的歸屬權問題：虛擬專有組織中工作 形成的電子文檔信息，我們定義為組織專屬信息(Organization Proprietary Information，OPI)， 組

6、織專屬信息不完全屬于成員，成員能夠在工作中正常使用組織專屬信息，但在未授權的情 況下組織專屬信息是無法移出虛擬專有組織，虛擬專有組織擁有組織專屬信息的所有權。如 圖1所示，VPO體系結構由系統(tǒng)服務器、系統(tǒng)管理臺以及多個組織管理臺和成員終端動態(tài) 組合而成。成員終端成員終端!圖1 VPO的體系結構系統(tǒng)服務器：在VPO體系結構中，系統(tǒng)服務器是體系結構的核心部分。系統(tǒng)管理臺、 組織管理臺通過intranet、extranet、internet多種網絡形式以B/S結構連接系統(tǒng)服務器，成員 終端通過intranet、extranet、internet多種網絡形式以C/S結構連接系統(tǒng)服務器。系統(tǒng)服務器 為系

7、統(tǒng)管理臺、組織管理臺和成員終端提供了證書授權認證服務、成員終端軟件下載升級服 務、虛擬專有組織管理服務、成員終端文檔流轉服務、成員終端安全策略服務，成員終端信 息審計服務。系統(tǒng)管理臺：系統(tǒng)管理臺和系統(tǒng)服務器組成VPO體系結構的總控中心。系統(tǒng)管理臺主 要實現(xiàn)虛擬專有組織平臺系統(tǒng)的日常維護和虛擬專有組織的審批、注冊和注銷管理。組織管理臺：組織管理臺和系統(tǒng)服務器組成所屬虛擬專用組織的控制中心。主要實現(xiàn)所 屬虛擬專用組織成員的管理、所屬成員終端安全策略的配置和部署和所屬成員終端信息的審 計。同一個組織管理臺能夠申請管理多個虛擬專有組織，所管理虛擬專有組織可以在同一系 統(tǒng)服務器上，也可以在不同系統(tǒng)服務器

8、上。組織管理臺通過登陸時的不同角色管理各個虛擬 專有組織，之間互不影響。成員終端：基于Windows操作系統(tǒng)的計算機系統(tǒng)從虛擬專有組織平臺系統(tǒng)上下載安裝 成員終端軟件后申請成為成員終端，成員終端登陸所屬虛擬專有組織自動下載并實時執(zhí)行組 織管理臺所部署的終端安全策略，控制成員終端上組織專屬信息的訪問、存儲和流轉，并形 成操作審計信息反饋給系統(tǒng)服務器。同一個成員終端能夠申請加盟多個虛擬專有組織，所加 盟虛擬專有組織可以在同一系統(tǒng)服務器上，也可以在不同系統(tǒng)服務器上，成員終端通過登陸 時的不同角色成為所屬虛擬專有組織成員，成員終端上各虛擬專有組織之間的工作完全獨 立、互不影響。3 VPO的安全管理3.

9、1證書授權與用戶認證安全系統(tǒng)服務器為所屬系統(tǒng)管理臺創(chuàng)建的每一個虛擬專有組織分配組織管理臺及該組織管理臺專屬的授權證書和用戶身份，具體過程如圖2所示，過程描述如下：A、組織者向虛擬專有組織平臺系統(tǒng)提出組建虛擬專有組織的申請；B、系統(tǒng)管理臺在虛擬專有組織平臺系統(tǒng)中新增虛擬專有組織；C、虛擬專有組織平臺系統(tǒng)為虛擬專有組織生成專屬的組織管理臺授權證書文件或ukey 設備；D、組織者安裝組織管理臺授權證書文件或插上ukey設備，成為虛擬專有組織平臺系 統(tǒng)認證的組織管理臺；E、執(zhí)行組織管理臺，選擇組織，輸入用戶名和密碼在線驗證后進入虛擬專有組織管理 狀態(tài)。廣V.組織者111r登陸虛擬專有組 織平臺系統(tǒng)運營

10、網1F注冊用戶1F網上進行 虛擬專有組織申 請下載組織證書文 件1r安裝組織證書文 件1F打開組織管理臺1T選擇組織， 輸入用戶名和密 碼組織證書文件,系統(tǒng)管理臺I1T打開系統(tǒng)管理臺1F對虛擬組織申請 進行審核1!在系統(tǒng)中 新增組織信息1F形成組織證書文 件*進入組織的 管理狀態(tài)1F組織名、用戶 名、密碼驗證身份確認*圖2虛擬專有組織申請流程系統(tǒng)服務器為所屬組織管理臺創(chuàng)建的每一個成員終端配置成員信息及該成員終端專屬授權證書和用戶身份，具體過程如圖3所示，過程描述如下：A、成員終端向組織管理臺發(fā)出加盟組織的申請；B、組織管理臺在虛擬專有組織中新增成員；C、虛擬專有組織平臺系統(tǒng)為成員終端生成專屬的

11、成員終端授權證書文件或ukey設備；D、成員終端安裝成員終端授權證書文件或插上ukey設備，成為虛擬專有組織認證的 成員終端；E、執(zhí)行成員終端登陸，選擇組織，輸入用戶名和密碼在線驗證后，成員終端從非工作狀態(tài)進入虛擬專有組織工作狀態(tài)。導入組織成員 證書文件1安裝組織成員 證書文件1r打開用戶注冊1選擇組織， 輸入用戶名和密碼進入組織的 工作狀態(tài)11組織名、用戶 名、密碼驗證IF身份確認圖3成員終端加盟虛擬專有組織流程3.2成員終端的存儲和訪問安全成員終端為每一個虛擬專有組織配置組織專屬信息存儲區(qū)，組織專屬信息以加密的方式 存儲在組織專屬信息存儲區(qū)中，組織專屬信息存儲區(qū)外的信息允許移入組織專屬信息

12、存儲 區(qū)，組織專屬信息存儲區(qū)的信息禁止移出組織專屬信息存儲區(qū)，非工作狀態(tài)下禁止訪問組織 專屬信息存儲區(qū)，工作狀態(tài)下只能訪問角色所屬的組織專屬信息存儲區(qū)而禁止訪問其他角色的組織專屬信息存儲區(qū)。每一個虛擬專有組織的加密密鑰具有唯一性，虛擬專有組織之間的 組織專屬信息不具有直接交換使用性，保障了組織專屬信息的存儲安全。普通信息存儲區(qū)組織A專屬信息存儲區(qū)組織B專屬信息存儲區(qū)組織A安全策略組織B安全策略組織AT作誑程組織B工作進程組織A成員工作環(huán)境組織B成員工作環(huán)境成員終端軟件成員終端圖4成員終端的信息存儲和流轉成員終端成員終端軟件在工作狀態(tài)，成員終端的進程分為工作進程和非工作進程，僅允許工作進程訪問組

13、織專 屬信息，工作進程所創(chuàng)建的信息屬于組織專屬信息只能存儲到組織專屬信息存儲區(qū)中，工作 進程在訪問組織專屬信息時，系統(tǒng)自動進行信息加解密處理，并且控制成員終端內或成員終 端之間的進程信息通訊，包括：允許工作進程與工作進程間的信息通訊，允許非工作進程與 非工作進程間的信息通訊，允許非工作進程到工作進程間的信息通訊，阻止工作進程到非工 作進程間的信息通訊，保障了組織專屬信息的應用安全。組織管理臺對所屬成員終端的組織專屬信息存儲區(qū)具有控制功能，包括失效成員終端對 組織專屬信息存儲區(qū)的訪問、遠程復制成員終端組織專屬信息存儲區(qū)、清除成員終端組織專 屬信息存儲區(qū)，保障了成員離職后的組織專屬信息的安全。在組

14、織管理臺授權的情況下，允許所屬成員終端以加密方式、加殼方式、明文方式導出 組織專屬信息存儲區(qū)中的文檔。加密方式：將組織專屬信息以加密的方式移出組織專屬信息 存儲區(qū)，通過導入的方式存入同組織的成員終端的組織專屬信息存儲區(qū)中；加殼方式：將組 織專屬信息移出組織專屬信息存儲區(qū)后在信息上綁定密碼，在訪問加殼信息時驗證密碼；明 文方式：將組織專屬信息解密后移出組織專屬信息存儲區(qū)成為普通文檔。在組織管理臺授權 的情況下，允許所屬成員終端脫網工作，成員終端脫網工作時仍然受安全策略的控制，脫網 的審計信息在上網時自動發(fā)送系統(tǒng)服務器。充分保障了虛擬專有組織在組織控制臺控制下的 工作靈活性。3.3組織專屬信息的流

15、轉安全組織管理臺能夠將虛擬專有組織的成員配置為多個安全域，每個成員可以是其中幾個安 全域的成員，如圖5所示。安全域標記:該安全域內終端之間的數(shù) 據(jù)傳輸僅限于設計部A分別與B、C之間建立安令域 進行數(shù)據(jù)的傳輸。但B與C之間 無法直接仲輸數(shù)據(jù)。該終端不在任何安全域內，無 法通過安全傳輸平臺進行數(shù)據(jù) 傳輸P圖5組織專屬信息的流轉控制在工作狀態(tài)，僅允許同一安全域的成員終端之間流轉組織專屬信息，流轉時系統(tǒng)自動進 行信息加解密、壓縮解壓縮處理，并且，文檔流轉接收方成員終端只能將接收到的組織專屬 信息存入相應的組織專屬信息存儲區(qū)，保障了組織專屬信息的流轉安全。4結語論文以動態(tài)安全為出發(fā)點，提出了一種強操作性

16、的虛擬組織體系結構，具體闡述了該虛 擬組織體系結構下的虛擬專有組織vpo平臺系統(tǒng)的證書授權與用戶認證安全、成員終端的 存儲和訪問安全以及組織專屬信息的流轉安全。在充分保障虛擬組織成員對組織信息的協(xié)作 和共享的基礎上，有效保護了虛擬組織的組織專屬信息OPI的安全。動態(tài)安全的虛擬組織體系結構對實踐具有很好的指導性，當然，論文只是初步提出虛擬 專有組織VPO體系結構的構建方法和參考模型，隨著研究的不斷深入和逐步的實踐，虛擬 專有組織VPO體系結構及虛擬專有組織VPO平臺系統(tǒng)將會更加完善和成熟，從而滿足虛擬 組織在當今網絡經濟時代的迫切需求，推動虛擬組織的廣泛運用。參考文獻：1朱雪忠等.虛擬研發(fā)組織知

17、識產權管理框架分析J.科學與法律,2006,4程濤等.一種基于虛擬Agent市場的虛擬制造組織體系結構J.組合機床與 自動化加工技術,2006,3朱穎俊.面向虛擬組織管理與創(chuàng)新研究J.當代經濟,2006,12侯萬春.一種實現(xiàn)企業(yè)公用虛擬自動化辦公網的裝置和方法M.中國知識產 權網Hamideh Afsarmanesh,Luis M. Camarinha-Matos.A FRAMEWORK FOR MANAGEMENT OF VIRTUAL ORGANIZATION BREEDING ENVIRONMENTSJ. Springer Boston, 2006,3Jill Gemmill,John-

18、Paul Robinson,Tom Scavo,Purushotham Bangalore. Cross-domain authorization for federated virtual organizations using the myVocs collaboration environment. Concurrency and Computation, 2008,4An Architecture Based on Dynamic Security forVirtual OrganizationZhou Hai Jun,Lin Xiang（Beijing Amgo Technology Co.,Ltd,Beijing 100094）Abstract : As the network economy era , Virtual organization is organizational innovation new model , Under the framework of share virtual organization information , Protect organizations dynamic information security has become the organizers had to consider problem . Fro