监狱戒毒所双模式警务通安全管控平台

目录

1  范围与适用

2  建设背景、规范、原则

3  双模式与模式切换

4  应用白名单

5  电话白名单

6  移动执法系统

7  通知通告系统

8  安全管控组件

9  安全接入与组网

10  手机选型

11  后台功能简介

12  下载功能与报价简表

1  范围与适用

范围：

本方案满足《司法行政移动执法系统技术规范》《智慧监狱技术规范》等标准要求，结合诸多监狱戒毒所警务通系统建设案例提炼而成，其主要内容包括了：

1.1  定制手机双模式与模式切换策略，满足手机带入监区的要求，满足在监区外通过手机行政办公的要求；

1.2  应用白名单、电话白名单、IP白名单等管控功能，满足安全模式的基本应用通信功能；

1.3  移动执法取证与通知通告等工具，满足安全模式基本执法、办公功能；

1.4  安全管控组件，满足手机管控功能；

1.5  安全接入与后台的系统，满足手机安全接入监狱内网，后台分发应用与安全策略等管理功能。

适用：

本方案适用于监狱和戒毒所单位，监区内外执勤民警和行政人员均可使用，可适配为双模式多场景需求。进入监区，强制切入安全模式，离开监区，强制退出安全模式（有时称为监区模式）。

单系统手机和双系统手机均支持双模式的适配。

2  建设背景、规范、原则

建设背景：

随着 “科技强警平安监狱”战略的实施，司法部明确指出，向科技要警力，执法阳光化，体现人文关怀。监狱戒毒所（以下以监狱为例）担负着改造犯人管理学员的重任，其监管区必须是一个“封闭的，独立的” 区域，对信息安全有特殊的要求，必须严格区分监区周界内外对信息安全的不同要求。其信息安全，是以周界为划分的，有的信息数据是杜绝带出监区的，而有的信息数据又是严禁带监入区的。（相比较而言，公安系统的数据安全是按照人的职务权限划分的），同时监狱也存在行政办公区域和人员，其对信息安全的要求又与监区内不一样。这就是监狱移动警务通系统建设的信息安全的特殊性。信息安全涉及到终端使用，数据采集与存储，传输网络，系统组网等诸多方面。同时，向科技要警力，执法阳光化，落实”互联网+警务“，实现执法的移动化，优化一线警察的现场执法模式，拓展一线警察的工作广度、减轻执法难度、规避执法风险、严格依法执勤执法的目的，建设移动警务执法系统也是必有趋势。

建设规范：

SF/T 0008  全国司法行政信息化总体技术规

SF/T 0028—2018  智慧监狱 技术规范

SF/T 0049—2020  司法行政移动执法系统技术规范

GB/T 25070  信息安全技术 网络安全等级保护安全设计技术要求

GB/T 34975—2017  信息安全技术 移动智能终端应用软件安全技术要求和测试评价方法

GB/T 34976  信息安全技术 移动智能终端操作系统安全技术要求和测试评价方法

GB/T 35282  信息安全技术 电子政务移动办公系统安全技术规范

建设原则： 

集成化：系统应用系统不是独立的系统，它实现PC系统在系统端应用延伸的集成。

标准化：系统应用系统从应用功能、内容组织、界面风格、上下互联、网络支撑、安全管理等各个方面，都必须遵照标准化原则，统一规划，规范建设。

部署方便：系统应用系统作为移动信息化的延伸，可快速部署和扩展，保持执法通的完整性和独立性，降低实施成本。

易操作性：系统应用平台保证在功能和人机交互界面上贴近用户使用习惯，功能模块和功能按钮说明定义清晰、命名直观，达到简单易用、提高工作效率的目的。

扩展性强：采用符合国际标准和适应国际发展潮流的移动化信息系统技术、可平滑扩展的系统硬件体系结构、开放式的系统软件平台、模块化的应用软件结构，确保系统在处理能力和业务功能方面可灵活扩充，并可与其它系统进行无缝集成。

安全性高：平台能提供有效的安全保障，具备完善的身份认证、访问控制、日志管理、系统审计、数据加密等安全保密机制，保证网络系统、主机系统和应用系统的安全，提供完整的安全保密。

3  双工作模式与模式切换

3.1  定制手机双模式

3.1.1  手机经过深度定制开发，定制成为双工作模式。一个是安全模式（有的项目里又称监区模式），一个是普通模式（又称生活模式）；顾名思义，安全模式（监区模式）是手机在监区内的模式或者办公的模式，必须满足司法部各种安全措施；普通模式就是监区外，可以作为普通手机使用的模式。（在有些项目需求里，安全模式，又可以根据需要，分为安全模式---执勤场景，安全模式---行政场景，故成为双模式三场景，本网站另外一个方案里介绍，本方案重点建设双模式）。

3.1.2  终端在安全模式（又称监区模式，工作模式），在监区内使用，终端受到最为严格的管控。结合司法业务的需求，定制独立的工作界面，仅能连接指定的网络，仅能访问白名单的IP，仅能使用白名单APP，仅能接拨指定的电话，USB仅充电功能，本地数据自动上传后台系统，本地不保存任何数据，本地缓存也按照预设机制删除，确保任何数据带不出监区。各模组外设的开启禁用在后台按需配置。该模式进程与普通模式进程互不可见。

3.1.3  终端在普通模式下，就像日常的手机一样，可以上互联网，可以接拨任何电话，可以访问任意网络、安装常用的APP如QQ,微信等，不受移动警务系统的管控。在普通模式下，无法使用工作APP，无法访问监狱的内网，无法访问使用工作的数据。

3.1.4  终端在各个模式下重启，开关机等操作，终端始终保持原有的工作模式。只有通过规定的模式切换策略进行模式切换，否则无法退出当前模式。为方便理解，下表对监区模式与普通模式的异同，对比如下（安全模式是在监区里使用，有时习惯称为监区模式，这样与普通模式对应起来）：

3.2  手机模式切换策略

3.2.1  为确保手机在监区内切换到安全模式（监区模式），离开监区，切换到普通模式，杜绝在监区使用普通模式的现象，就必须定制各种模式切换策略。从技防而言，有主动切换与强制被动切换两种，前者如门禁融合，后者如电子围栏。

3.2.2  通过门禁融合实现模式切换

通过干警通道进入监区时，首先在AB门通道之间，刷卡开启十字闸门禁，同时手机自动实现切换到安全模式。离开监区，首先在AB门通道之间，刷卡开启十字闸门禁，同时手机自动切换到普通模式。模式切换与门禁开启相互关联。

3.2.3  通过蓝牙，WIFI等电子围栏实现模式切换

有些高戒备监狱，对模式切换提出了更高的要求，必须进入监区后，手机无感知的强制的切换到安全模式。（手机即使是通过车辆通道带入监区，或者普通模式关机后，带入监区再开机，也要通过技术手段强制切换到监区模式），此时一般的做法是通过电子围栏实现模式切换。在监区内外部署若干大功率蓝牙基站，手机感知到监区内的蓝牙Mac，自动切入安全模式，离开监区，感知到监区外的蓝牙Mac，自动切入普通模式。（手机蓝牙无法关闭，保持常开）。如果监狱监区已经有WIFI，也可以通过WIFI热点作为电子围栏的依据。

3.3.4  其他切换模式的方法

在管理平台后台，可以发送模式切换指令，手机在联网状态下，收到指令后自动实现模式切换。在一些应急的情况系，通过管理后台对警务通授权，可以支持手动切换模式。

4  应用白名单

在安全模式，支持应用白名单功能，只能安装后台推送的白名单APP，非白名单APP无法安装，无法使用，执勤场景和行政场景会自动杀死非白名单APP的进程；

安全模式下的白名单APP，支持远程安装，静默卸载，防卸载，防止休眠等功能。手机白名单的管理功能，在后台系统，如下图：

5  电话白名单

在安全模式（监区模式）下，支持电话白名单功能，只能拨打和接听白名单电话。白名单的设置在管理后台，自动同步到手机终端。白名单可以分别设置工作白名单，亲情白名单。非白名单电话拨打手机，无法接听。在普通模式下，手机不少电话白名单控制。后台设置白名单如下图：

6  移动执法系统

在安全模式（监区模式），警用手机可以随时获取现场的照片、音频和视频，并把相关数据传到后台，自动删除本地数据，达到取证的目的；取证的数据，按照组织权限，在系统后台查看，查看人员无法修改删除取证数据。

7  通知通告系统

通过警务通后台系统，各种通知通报可以推送到警务手机上； 收到推送消息后，在对应业务应用系统图标上显示收到的消息条数并声音提醒； 如果手机处于离线状态，通知通告回持续推送，直到手机收到为主；同时在后台系统，可以达到通知通告签收，阅读情况。在产生警情时，应急预案会自动推送到预设的警务手机上。

8  安全管控组件

对警务通终端进行全面安全管控，首先在警务通终端部署安全管控客户端，在后台服务器部署终端管理系统；后台管理系统可以通过安全客户端实现对前端移动设备的深度管控。从平台层、终端层、数据传输层、本地数据层等进行全方位的保护，提供全面的日志审计功能，提供终端丢失后的销毁功能，避免泄漏戒毒所涉密信息。并通过安全策略机制、白名单模式、访问设置等模式确保端到端的安全。警务通安全管控系统包括硬件管控、数据管理、应用管理、用户管理、日志审核等。

8.1  警务通终端硬件设备管控

通过后台系统和警务通前台客户端，对警务通终端的硬件设备实现管控，可以通过对以下硬件实现开启，关闭，断电、指定连接等功能：摄像头、语音、蓝牙、WIFI、NFC、SIM卡等硬件进行管控，在监区模式下，可根据需要对上述模组进行供电、断电、禁用，启用管控。

8.2  警务通终端数据安全管控

通过后台系统，对手持终端的使用安全进行管理，实现远程对警务通终端使用进行管理，只需通过移动警务系统后台，进行强行实现远程关机、重启、禁用等操作，警务通终端数据加密后，通过VPDN传输都戒毒所专网后台系统。

8.3  警务通终端用户管理与安全认证

用户管理与绑定，警务通终端发放时必须保证四元信息绑定（警号、密码、SIM卡序列号、IMEI号），缺任何一项都不能使用。

机卡互锁：警务通与SIM卡互锁

 警务通支持密码多次错误锁死功能，锁死后需要单位信息科解锁方可使用。

8.4  警务通终端日志审计管理

警务手机在监区模式的任何操作将有日志可查询。保证在监区模式下设备、用户、SIM卡所有的操作都有记录可查询。记录设备/用户/SIM卡 刷卡切换时间、进入监区时间、离开监区时间、访问某个应用数据的时间等。

9  安全接入与组网

9.1  安全接入

司法行政移动执法系统网络接入安全体系通过终端加固、信道加密、认证接入、接入前置设备、网闸隔离、接入控制设备和访问控制，构建包括司法行政移动执法终端、移动执法无线专网或虚拟无专用网络、司法行政移动执法网接入区、安全边界和司法行政移动执法专网的网络接入安全体系架构。

终端接入常见的方式，有些单位是租用运营商VPDN，有些单位是监狱通过加密WIFI，有些戒毒所直接通过双向物理隔离网站和防火墙接入自有机房。

9.2  组网

司法行政移动执法系统组网从网络结构：

 ①  移动执法专网（监狱/戒毒内网）：各监狱/戒毒所自建或统一筹建的本地移动执法网络；

 ②  司法行政移动执法网接入区：完成对接入移动执法专网的司法行政移动执法终端的审计、认证，以及电子政务外网与监狱/戒毒移动执法专网的数据隔离共享；

③  电子政务外网：通过电子政务骨干网实现全国互联；

④  移动执法无线专网或虚拟无线专用网络：通过移动执法无线专网或虚拟无线专用网络将司法行政移动执法终端连接到司法行政移动执法网接入区，也可通过虚拟无线专用网络将司法行政移动执法终端连接到电子政务外网。

10  手机选型

终端的选型是警务通项目中最重要的选择之一，是用户体验的直接提现。满足司法警务通系统要求的警务通终端有很多，从品牌分类，主要有一线大品牌手机（通过OTA升级司法定制版本操作系统），和专用行业机之分；从操作系统看，主要有单系统双域的行业定制系统与双系统之分。本方案可以适配华为品牌、荣耀品牌手机，以及LOXO品牌行应定制机型。普通单系统手机，定制为双工作模式，完全满足监狱戒毒所的安全需求，业务需求，也满足司法部有关规定。

11  后台功能简介

后台系统部署在监狱机房，主要是系统管理员，监狱信息科，指挥中心使用。其主要功能有基础数据管理，用户管理、设备管控，应用管理，通知通报、交互信息管理、日志管理等等模块。后台系统的主要功能分为两类，一是手机管控部分，二是结合诸多的案例实践，总结了监狱戒毒所在警务通应用方面的痛点，开发了与“应用”相关的管理后台。基本覆盖了监狱戒毒所的全部需求。

后台设备管控界面和功能：

后台日志、网络、IIP等界面：

后台模式切换界面：

12  下载功能与报价简表

请点击下载

司法警务通产品架构与功能简介.xlsx

安全管控与应用平台--报价简表.xlsx