监狱移动终端安全防护系统主要有四部分构成：移动应用、安全硬件、安全通道和安全业务后台。天宽安全域+移动终端管理平台+智能终端+点名外设为监狱干警办公和执行任务提供安全、稳定的软硬件环境，生活系统和工作系统通过NFC刷卡或与门禁系统联动实现即时自动切换，比如狱警刷卡进入监区后，终端系统会自动进入工作系统，仅开放白名单通话、多媒体取证、虚拟网短号通话、集群对讲、一键报警等功能。
在监狱业务使用场景中，智能终端+点名外设的模块化设计理念，能够独立完成点名及盘点的信息采集、人员一对一核对，点名结果的输出。点名及盘点名单的下发，结果的上传，需要经过警务通手机的授权确认。
移动终端安全管理平台后台可实现各个监狱细节功能的微调，根据具体需求对终端设备功能进行管控，通过安全应用商店，实现移动终端在不同监区的功能应用。天宽安全域支持离线管控和在线管控。
一、实施背景
为深入贯彻落实全国司法行政信息化工作，推进会议精神，全面加快“智慧监狱”建设，立足推动监狱管理由“智能化”向“智慧化”的转变，按照《“数字法治智慧司法”信息化体系建设指导意见》和《“数字法治智慧司法”信息化体系建设实施方案》的要求，司法部印发《关于加快推进“智慧监狱”建设的实施意见》的通知，在2019年底达到“充分运用大数据、物联网、人工智能等现代科技手段，将现代信息技术与监狱各项业务融合，最大限度地汇聚整合、感测分析监管改造信息资源和社会信息资源，从而对监狱工作的各项需求做出智慧判断响应”的总体目标，并且要做好“构建统一的安全保障体系，确保监狱系统的信息网络和信息系统中的信息资源免受各种类型的威胁、干扰和破坏。根据监狱工作的实际需求，如何保证在数据安全的前提下，提升监狱民警工作效率是我们亟待解决的问题。
二、需求分析
监狱是国家司法机关的重要组成部分，担负着执行法纪、教育改造的重要使命。监狱管理工作内容繁杂、责任重大，其业务需求主要以下几方面：
2.1移动警务终端便利性需求
由于监狱系统的特殊性，干警需要经常出入监区，而监区内又属于受控区域，干警的警务通终端会频繁在生活模式和监区模式下切换。因此移动警务通终端方案在设计之初，需要考虑到干警在日常进出进去遇见的切换便捷性和可靠性问题，杜绝切换速度慢，切换成功率低下的问题。
2.2移动警务终端的安全需求
(一)移动警务终端侧的安全风险
设备面临来自硬件、操作系统、应用软件及数据等层面的安全风险。
(二)无线通讯网络的安全隐患
主要来自于通信网络自身、信息传输过程中出现的安全风险。
2.3移动终端统一管理的需求
监狱系统内部移动应用较多，如何实现移动终端的统一安全策略管理、移动应用的统一推送、统一部署管理、移动文档内容的统一管理等综合管理述求。
2.4符合政策的技术要求
移动终端应采用沙箱等隔离技术保证移动政务应用与个人应用运行环境的有效隔离。-------内容摘自《电子政务移动办公系统安全技术规范》
移动终端应安装、注册并运行终端管理客户端软件
-------内容摘自《网络安全等级保护基本要求》
三、实施目标
天宽安全域、移动终端安全管控平台符合国家有关法律法规和标准规范，并符合移动电子政务建设的安全要求。为各省监狱管理局及直属单位使用的移动警务系统提供一个技术领先、稳定可靠的全方位、多层次移动终端安全立体防御体系，有效抵御移动终端各种安全威胁与病毒入侵风险,提高安全防御水平。本次建设目标其主要内容包括：
●新建的移动警务系统建设完成后，能够与各直所单位门禁系统实现联动，当用户进出监区，将自动进度不同的工作系统内。
●移动办公通信服务，包含语音通信和数据通信，为移动办公提供通信服务保障。
●建设移动终端安全隔离系统，对移动终端信进行安全加固，为移动办公提供安全防护。
建立统一的安全移动管理平台，并解决终端、网络、数据、管理等方面的安全问题；
四、建设内容
总体解决方案
监狱移动终端安全防护系统主要有四部分构成：移动应用、安全硬件、安全通道和安全业务后台。天宽安全域+移动终端管理平台+智能终端+点名外设为监狱干警办公和执行任务提供安全、稳定的软硬件环境，生活系统和工作系统通过NFC刷卡或与门禁系统联动实现即时自动切换，比如狱警刷卡进入监区后，终端系统会自动进入工作系统，仅开放白名单通话、多媒体取证、虚拟网短号通话、集群对讲、一键报警等功能。
在监狱业务使用场景中，智能终端+点名外设的模块化设计理念，能够独立完成点名及盘点的信息采集、人员一对一核对，点名结果的输出。点名及盘点名单的下发，结果的上传，需要经过警务通手机的授权确认。
移动终端安全管理平台后台可实现各个监狱细节功能的微调，根据具体需求对终端设备功能进行管控，通过安全应用商店，实现移动终端在不同监区的功能应用。天宽安全域支持离线管控和在线管控。
4.1系统安全设计
4.1.1系统功能结构
移动终端安全需求包括来自网络安全接入、终端安全系统、终端管理系统等内容。
4.1.2网络安全接入
网络安全接入分为两个方面，第一个方面：通过在运营商开通了APN专线的4G SIM卡，将内网数据与公网数据隔离开来；第二方面：通过网络检测功能，时刻检测警务终端在备勤域或工作系统下的外网访问能力，一旦检测到能够访问外网，将立即关闭备勤域和工作系统的网络连接，保证系统内的网络接入安全。
4.1.3终端安全系统
采用天宽安全域为移动终端提供运行环境隔离、系统安全加固、网络访问控制、外设端口防护、移动应用保护、移动数据保护等功能。
4.1.4终端管理系统
包括移动设备管理（MDM），移动应用管理（MAM），移动内容管理（MCM），移动用户管理（MUM）等移动终端管理组件。
4.2方案特点
4.2.1多工作模式设计
考虑到监所民警在实际工作中，对于不同工作环境之间有不同网络隔离和管控需求，天宽采用安全域虚拟技术实现三个应用系统，用于满足监所民警在非监区模式下的办公、办文、办案需求。
警务通终端在普通系统模式下，没有做任何安全管控，干警可以在该模式下使用任何应用程序，访问任何网络，即该空间是个完全不受管控的空间，仅当做个人手机使用。
监所干警从所内外出时，处于该系统内。
普通系统仅可通过“备勤域”切换图标切换到“备勤域”，不可再切换到“工作系统”
备勤域的管控等级低于工作系统，用于处理系统内低涉密等级的移动办公场景使用，例如领导出差过程中的版本办公场景。
在该模式下，可以通过移动终端管控平台下发应用。备勤系统内不设置通话和短信白名单，干警可以灵活使用通话和短信功能。备勤域下对应用安装和运行环境进行控制，仅允许特定应用安装和运行，保证备勤系统内应用环境的安全。
备勤域可通过手动切换功能，退出到普通系统。但不可通过手动切换的方式进入工作系统，进入工作系统必须通过NFC刷卡，或者与门禁系统联动的方式进入。
工作系统通过运营商的VPDN方式网络与监所内网连接，可以处理监所内网业务（监控，提审等）。并且，在该工作系统内，终端不可连接公共网络，仅可拨打白名单内的电话号码和接收白名单内的短信。同时，禁止在该空间内安装其它与工作不相关的应用。
工作系统只要应用在监区内场景，用于处理监区内部高涉密区域的工作。
工作系统需要与门禁系统联动，干警刷卡后，终端自动进入工作系统内。出监所时，自动切换回普通系统；刷卡切换时，不可手动切换域。
考虑到监区安全管理要求，工作系统也可通过移动终端管理平台的远程切换功能，强制切换到工作系统或普通系统。
三系统工作模式
移动警务点名外设
4.2.2安全设计
●基础安全内容如下：
●防卸载及重置
●防重置为禁止系统恢复出厂设置；
●防root
●网络隔离
●机卡绑定
●数据加密
●系统内文件加密
●加密相机及加密图库
●自动清空缓存
●警务通终端整机水印
4.2.3业务设计
自动接入监狱内网
为简化干警操作步骤，普通系统（或备勤域）与工作系统之间进行切换时，会自动进行网络切换（切入内网或公网），同时，若工作系统接入了安全接入平台，进入到工作系统时会自动拉起安全接入服务，建立安全连接，无需干警手动操作，优化用户体验。
为了提高警务通终端在身份校验方面的安全性，同时更加有效的实现警务终端的管理。本次设计将警务通终端的人脸解锁功能与监狱管理局的人脸数据库实现数据互通，以监狱管理局的人脸数据库实现数据为人脸识别的图像基础，与干警的实时人脸信息做比对，实现基于基于统一人脸数据库的人脸识别功能，提升警务通终端身份校验环节的安全性。
统一身份认证
通过对已认证干警人员关键数据的抓取，以标准接口的方式为工作系统或备勤系统内的应用提供本地免登录的索引标识，当干警使用警务应用时，警务应用将自动从上述接口中拉取干警的标识，进行用户名和密码的后台匹配工作，不需要干警额外输入用户名及密码，整个过程在无感知状态下进行，大大提高了干警的操作效率。
门禁联动设计
基于安全终端支持NFC功能、门禁系统支持对接、管控平台网络能够同时分别在内网和外网发送和接收消息这三点均可用的情况下实现；
安全终端通过模拟卡功能获得向门禁系统刷门禁的能力；
移动终端管理平台通过能够向内外网发送和接收消息获得无论在内网还是外网均可通过网络切换工作系统，以及获取工作系统切换成功回执的能力，
门禁系统则与移动终端管理平台进行对接从而实现联动切换工作系统的能力：通过对接获得向终端发起切换指令，以及获取是否切换成功的状态，实现判断是否打开安全门的功能；
系统应急切换机制逻辑
鉴于司法场所的对于安全要求的特殊性以及业务的突发性，如果只基于门禁系统切换，将无法应对例如紧急提押犯人的应急场景，因此，需要考虑多种切换机制，保证警务通终端在安全管理的基础要求上，最大限度的提高使用灵活性。
结合不同场景、触发条件，本方案设计了基于应急切换卡、网络指令、地理位置三种应急切换机制。