某农商银行是国务院批准组建的省级股份制农村商业银行，坚守“立足城乡、服务三农、服务中小企业、服务市民百姓”的市场定位，，助力乡村振兴，成为服务首都实体经济发展和保障民生的重要金融力量。
为方便行方员工加强交流与通讯，提升沟通协作效率，故而选择采用建设企业即时通讯系统，通过定制化开发方式，实施系统建设。系统建设有以下三个特色：
1，打通内网、外网即时通讯壁垒，实现在网络物理隔离情况下，外网手机端、内网pc端可互联互通
2，采用多因子登录（短信验证）确保登录安全、外网手机端登录时有数据安全控制，实现数据不落地，进而确保数据安全
3，完成国产化系统改造，服务端及客户端均完成该项系统改造
一、实施背景
为加强员工在工作中的交流与通讯，提升沟通协作效率，建设企业即时通讯系统。随着系统使用、便捷性增加，随之在系统通讯中产生大量的工作信息及工作文件。进一步提高系统便捷性，随即开通了外网的手机端使用场景。为确保行方数据安全，定制了数据安全管控机制，确保外网手机端文件不落地。
二、建设内容
1、实现即时通讯客户端之间正常沟通使用（主要是外网客户端与内网之间）
从网络上包括内网之间、内网与外网之间、外网之间；
从客户端上包括手机端与PC端之间、PC端之间、手机端之间,手机端包括苹果、安卓；
从使用上包括单聊、群聊、发送文件、图片、音视频等所有即时通讯具备的正常功能；
2、多因子登录方式（用户名、口令+短信随机码）
包括外网手机端和PC端（现有内网PC客户端有特殊定制内容）
3、外网客户端文件不落地
包括外网手机端和PC端，收到的文件包括文件、图片、音视频等仅可在即时通讯系统中浏览查看，不能转发给第三方应用打开查看
4、外网文件禁止传入内网
外网文件禁止发送到内网，防止感染病毒文件进入内网传播，功能可控制（控制外网客户端是否可以发送文件等），当在系统中文件由外网发送至内网时，或如外网客户端发送文件时，弹出相应提示并阻断传入
5、采用国密算法加密消息通道防止信息泄露
6、防截屏、水印
增加阅读水印及防截屏转发功能。
部署架构图
系统架构
三、实施方案
即时通讯
1、实现即时通讯客户端之间正常沟通使用（主要是外网客户端与内网之间）
即时通讯实现方式：外网客户端发送请求，与部署于DMZ区的代理服务器进行连接，代理服务器转发请求到密信内网服务器进行请求处理，密信内网服务器处理完毕后转发到内网客户端或外网移动端实现外网与内部网络的即时通讯沟通。
2、多因子登录方式（用户名、口令+短信验证码）
外网客户端用户在登陆过程中，首先选择外网登录的方式，外网登录方式需要用户输入用户名、口令和短信验证码实现登录。
首先用户通过代理服务器域名或IP及输入手机号来获取短信验证码，代理服务器收到请求后，判断是外网IP发来的请求，则转发获取短信验证码的请求到信源密信服务器，由信源密信服务器触发短信服务器发送短信给用户输入的手机号。
用户输入用户名、口令和接收到的短信验证码，发起登录请求后，代理服务器将请求发送到信源密信服务器，由信源密信服务器从内网域服务器及短信服务器获取相关信息进行信息比对，实现登录验证，验证通过，则返回登录成功信息到客户端，客户端实现登录。
3、外网客户端接收文件不落地
外网客户端接收到文件后，可下载查看，下载后加密存储于本地数据库，第三方应用无法打开查看文件内容。
4、外网文件禁止传入内网
当外网客户端发送文件时，代理服务器判断出是外网地址，返回拒绝信息，客户端给用户弹出禁止发送文件提示，功能可控制（控制外网客户端是否可以发送文件等）,转发收到的文件不受影响
5、采用国密算法加密消息通道防止信息泄露
信源密信支持采用国密算法进行数据加密。
6、防截屏、水印
信源密信支持在管理后台开启禁止截屏（IOS手机暂不支持），开启明水印，开启暗水印，禁止将消息转发到三方应用，禁止复制消息等开关。从多个方面，有效防止消息的泄露及数据溯源。