一、用户背景

某证券股份有限公司成立于1993年，证券公司拥有分布在全国各地的89家营业网点，遍布北京、上海、天津、乌鲁木齐、广州、深圳、海口、厦门、南宁、柳州、桂林、昆明、长沙、武汉、南京、盐城、杭州、宜兴、烟台、沈阳、大连等城市及新疆主要地、州、市。公司可同时为用户开通A、B股交易业务，并对交易所上市各交易品种提供代理买卖。

二、用户需求

该证券公司的CRM系统的安全需求如下：

1. 确保身份的真实性

能够严格控制并识别用户的身份，登录到CRM系统的人必须是相关业务人员，凡非相关人员，系统拒绝其访问。

2. 确保传输的机密性

对远程传输的数据进行加密，确保数据传输的机密性；满足远程用户远程安全访问的需求。

3. 确保交易操作的防抵赖、防篡改

企业内部的一些关键性操作，需要进行防抵赖，出现问题后可进行责任追溯。

三、解决方案

1. 建设数字证书认证服务器，解决服务器和个人用户身份真实性的问题。具体建设方案如下：
   • 1） 数字证书认证服务器负责证书的全生命周期管理，部署在独立的基础认证域；
   • 2） 为应用服务器颁发服务器证书，为个人用户颁发个人证书。登录时，实现双向验证，确保应用服务器身份和个人身份的真实性；
   • 3） 个人证书存储于USB KEY，确保私钥的安全。USB KEY是带有密码芯片算法的KEY，存储量大于等于64K。
2. 建设签名验签服务器，对用户在 CRM 系统中的操作进行数字签名，保证数据的完整性，实现抗抵赖的功能。具体建设方案如下：
   • 1） 将签名验签服务器部署在应用服务域，在浏览器安装签名控件；
   • 2） 用户的操作需要用私钥进行签名，服务器端对用户的签名数据进行验签；
   • 3） 根据需要，进行服务器和客户端双向签名和验签；
   • 4） 应用数据和签名数据进行分别存储。
3. 建设安全认证网关，解决身份认证、访问控制、传输加密问题，实现统一认证和单点登录。具体建设方案如下：
   • 1） 安全认证网关部署在防火墙之后，采用串联方式，热备部署。部署中心化、简单化，不改变整体网络的结构；
   • 2） 对互联网发布的应用服务器全部在安全认证网关的保护之下，用户远程登陆，通过安全认证网关的身份认证后，在授权范围内访问有权限的应用服务；
   • 3） 所有传输的数据全部进行加密，保证数据的完整性和机密性，防止被黑客窃听和截取；
   • 4） 实现统一认证和单点登录，提高用户的操作便捷性，带来良好的用户体验。

四、网络拓扑

图 应用安全设备部署拓扑图

五、用户收益

1. 通过强身份认证手段的采用，确保所有登录CRM系统用户的身份的真实性。
2. 对CRM系统中各环节的操作、交易实现签名，满足不可抵赖性、事后追溯性的安全需求。
3. 提供安全可靠的数据加密传输服务功能，保证数据完整性、私密性需求。