由于网络的互联性和开放性，使得数据存储与传输面临种种危险，也由此提出了相应的平台安全要求。保证平台的安全，对于信息的安全性、完整性都非常重要。因此在构建协同管理平台时，我们充分考虑安全因素，制定了一套信息安全的整体建议方案。
1.安全方案的基本要求
本系统基于复杂的计算机网络环境，面向内部各级领导和员工，使用环境具有广泛性，因此，必须保证OA办公系统的安全，软件根据各种复杂的登录场景设计了一套立体的安全策略，供客户灵活选择：
—强制修改初始密码。系统默认的初始密码都是一样的。在系统正式上线时刻强制修改初始密码。
—数据安全：支持数据库定时自动备份功能；支持数据库导入、导出、修复等功能，即使在服务器突然掉电或中止运行的情况下，也能确保系统数据不会受到破坏。
—IP限制。普通用户要进行登录IP限制，仅能在公司内部使用。不允许在外网访问。防止重要信息泄露。
—密码强度。为防止密码被破解可设置要求的密码强度。位数越多越难破解。
—设置密码有效期。强制用户定期修改密码。
—图形验证码。为防止系统被密码破解软件暴力破解可设置图形验证码。
—针对安全级别要求特别高的用户可使用Ukey加密锁。
—丰富的安全加密、认证措施，支持数据加密传输功能，确保系统安全无风险运行。
—系统提供详细的审计功能，能即时审计安全操作日志。
—审计管理包括：系统开关审计，群组审计，IP审计，门户审计，菜单审计，扩展菜单审计，组织结构审核，人员信息审核，用户角色审计。等八个方面。从某种程度上来说，一个公司的系统管理员掌握的整个公司业务系统的“生杀大权”。因此需要一个独立的角色对系统管理员的操作进行审计。否则存在很大的安全隐患。
—系统支持集团化的、复杂的多级单位应用的组织架构和权限模型，支持：集团系统管理员、分子公司系统管理员、跨组织系统管理员、集团应用管理员、分子公司应用管理员、跨组织应用管理员、个人管理员、支持定制组织范围和业务范围进行权限授予等各种权限管理模型。
—在用户使用层面实现细致的权限设置，使用户只能查询到与自己相关的组织结构、通讯录、流程制作和数据查询等。
2.主机与网络安全防御体系
为保证服务器主机与网络的可用性，需部署专业的安全系统：
—防火墙
—入侵检测监控系统
—病毒防杀
—网络与系统安全漏洞扫描系统
3.软件安全策略
应用对安全功能的要求包括信息保密性、身份的确定性、访问控制、禁止上传非法文件、统一报错信息、禁止SQL注入、身份验证和授权、IP访问控制等。每一部分都非常重要。协同办公平台提供了各方面的安全解决方案。
—信息保密性
对于系统中的重要信息实施加密，如用户名密码采用MD5二次加密，杜绝，使非法用户无法获取其他用户信息；对附件采取部分加密，防止非法下载。
—身份验证
系统支持大量认证方式，如用户名、密码，UKey、LDAP认证、CA认证等方式可以供用户选择，最大限度的保证用户登录的合法性，且每个用户只能在一个终端登录。系统对每个页面都做了认证，若不经过登录直接请求URL将直接转向到登录页面，保证系统信息不被非法获取。
—密码策略
系统提供丰富强大的密码策略设置，保证密码的有效性；包括密码长度控制、复杂度控制、强制修改密码、重复登录次数、锁定帐号、图形验证码等。
—禁止上传非法文件
攻击者经常采用上传可执行文件到服务器的方式，获取服务器信息或系统信息。在本系统中对所有上传的文件都进行了检查，不允许上传exe、jsp、asp、php等对系统产生威胁格式的文件至服务器。
—统一报错信息
有攻击者会故意输入错误的URL使程序不能正确执行，获取出错页面用来分析服务器信息，并加以利用进行攻击。本系统采用统一的出错提示页面，使攻击无法获取实际的出错信息，阻止了其进一步攻击。
—禁止SQL注入
这种攻击方式一般只对直接使用SQL语句的系统有效，常见攻击方式为，在URL中加入特殊的SQL语句段，以获取数据库中信息。在本系统中未直接使用SQL语句存取数据，因此避免了SQL注入攻击的发生。
—授权管理
系统管理员可以把系统用户划分成不同的组，并具有不同的身份和其他属性。并可以定义一系列不同的访问规则，如用户身份验证规则，授权规则等。系统管理员可以把不同组中的用户通过既定的规则分配来实现对不同资源的访问从而完成授权管理。
—IP控制
系统能够通过IP控制登陆系统的用户群，拥有特权的用户在特权期限内可以随时随地登陆系统，普通用户只有在开通IP地址的机器上才能登陆系统。在局域网内，IP地址一般都分布在一个或几个IP段内，管理员只要将IP段开通，用户通过开通的IP可以成功登陆系统。
—审计功能
系统提供详细的审计管理，防止超级管理员一权独大，系统管理员所做的系统设置、用户授权都需要审计管理员的审核才能生效；所有的系统设置和审计记录都有详细的日志记录，供日后查阅分析。
