一种基于共享数据安全管理的方法和系统的制作方法
【专利摘要】本发明提供一种基于共享数据安全管理的方法，首先将原始信息资源库同步到信息资源共享库中，该信息资源共享库只响应来自数据共享安全网关的指令，数据共享安全网关根据该用户身份对应的权限列表，对信息资源共享库中返回的数据进行处理，然后对处理后的数据进行加密，回传给应用设备。该方案中，通过单独设置数据共享安全网关，来对信息资源共享库进行安全管理，在数据共享安全网关中，通过权限列表给用户分配了细化到行、列数据的权限，这样，就实现了不加密库表中的数据，而对结构化数据进行细粒度的管理，避免了现有技术中无法快速响应检索、数据库权限无法实现数据库行、列和某字段的控制的问题，增加了数据共享的安全性能。
【专利说明】一种基于共享数据安全管理的方法和系统
【技术领域】
[0001] 本发明涉及数据安全领域，具体地说是一种基于共享数据安全管理的方法和系 统。
【背景技术】
[0002] 目前，数据从类型上来分，可以分为结构化数据和非结构化数据。结构化数据即行 数据，存储在数据库里，可以用二维表结构来逻辑表达实现的数据。相对于结构话数据而 言，不方便用数据库二维逻辑表来表现的数据即称为非结构化数据，非结构化数据包括所 有格式的办公文档、文本、图片、标准通用标记语言下的子集XMUHTML、各类报表、图像和音 频/视频息等等。
[0003] 在当前社会信息化建设已经日渐成熟，很多企业或者机构已经积累了大量的数 据。数据作为信息价值的重要源泉，数据共享和第三方进行数据查询、挖掘分析是再创造价 值的重要手段。数据中包含了大量的信息，数据共享可提供数据信息的利用程度，充分发挥 数据的价值。但是企业或机构中的数据，可能包含有敏感的信息，特别是结构化数据，包括 商业秘密、用户隐私信息等，直接共享会带来意想不到风险，所以必须在数据可安全管理的 前提下提供共享。如公安人口信息资源库中包含了居民的基本信息，在铁路部门大力推广 火车票实名制时，需要对居民的身份信息进行核实，通过用户的姓名和身份证号来验证其 合法性，但是此时无需获取该用户的社会关系等信息。这就需要在数据检索和共享时，同时 兼顾数据的可利用性能和保密性能。
[0004] 现有对数据的安全管理基本集中在非结构化数据，也就是文档类型数据的管理， 包括使用文档加密、文档权限控制等，但对结构化数据的防护主要依赖数据库系统自身的 技术，包括账号访问权限控制和加密数据库中的数据。但数据库账号的权限最小单位是表， 无法对表中的行、列或者某字段进行防护，另外数据库中数据加密后对数据检索效率影响 较大，应用场景有限。
【发明内容】
[0005] 为此，本发明所要解决的技术问题在于现有技术中的数据库字段加密后无法快速 响应检索、数据库权限无法实现数据库行、列和某字段的控制，影响数据共享和使用的效 果，从而提出一种检索快速准确且保密性好的基于共享数据安全管理的方法和系统。
[0006] 为解决上述技术问题，本发明的提供一种基于共享数据安全管理的方法，包括如 下步骤：
[0007] 将原始信息资源库的数据同步到信息资源共享库中，信息资源共享库中的信息加 密存储；
[0008] 信息资源共享库与数据共享安全网关通信，且该信息资源共享库只响应来自数据 共享安全网关的指令，数据共享安全网关中存储有用户身份及其对应的权限列表；
[0009] 数据共享安全网关接收应用设备的请求，数据共享安全网关确认应用设备的用户 身份后向信息资源共享库发送请求；
[0010] 信息资源共享库响应该请求，并获取该请求需要的数据，将数据返回数据共享安 全网关；
[0011] 数据共享安全网关根据该用户身份对应的权限列表，对信息资源共享库中返回的 数据进行处理，然后对处理后的数据进行加密，回传给应用设备；
[0012] 应用设备解密后获得所需数据。
[0013] 优选地，信息资源共享库中的信息加密存储时，采用整盘加密方式，对存储的信息 资源整体加密。
[0014] 优选地，信息资源共享库与数据共享安全网关通信时，采用链路加密方式。
[0015] 优选地，权限列表包括对数据库中结构化数据的表、行、列字段的获取权限。
[0016] 优选地，数据共享安全网关对处理后的数据进行加密时，使用应用设备的用户身 份的公钥进行加密，应用设备解密时采用自身的私钥进行解密。
[0017] 优选地，数据共享安全网关根据该用户身份对应的权限列表，对信息资源共享库 中返回的查询数据进行处理的过程，包括
[0018] 根据用户身份的权限列表，将返回的数据进行内容去除或者脱敏处理。
[0019] 优选地，应用设备包括查询服务终端、共享服务终端
[0020] 本发明还提供一种基于共享数据安全管理的系统，包括信息资源共享库和数据共 孚安全网关，其中：
[0021] 信息资源共享库，只响应来自数据共享安全网关的指令，包括：
[0022] 存储单元：采用加密的方式存储有与原始信息资源库同步的数据；
[0023] 响应单元：响应来自数据共享安全网关发送的请求，获取该请求需要的数据，将数 据返回数据共享安全网关；
[0024] 数据共享安全网关，包括：
[0025] 权限管理单元：存储有用户身份及其对应的权限列表，
[0026] 请求单元：接收应用设备的请求，确认应用设备的用户身份后向信息资源共享库 发送请求，与信息资源共享库通信；
[0027] 处理单元：根据该用户身份对应的权限列表，对信息资源共享库中返回的数据进 行处理，然后对处理后的数据进行加密，回传给应用设备。
[0028] 优选地，数据共享安全网关具备与信息资源共享库匹配的网络加密单元。
[0029] 优选地，权限列表包括对数据库中结构化数据的表、行、列字段的获取权限。
[0030] 本发明的上述技术方案相比现有技术具有以下优点，
[0031] (1)本发明提供一种基于共享数据安全管理的方法，首先将原始信息资源库同步 到信息资源共享库中，该信息资源共享库只响应来自数据共享安全网关的指令，数据共享 安全网关中存储有用户身份及其对应的权限列表，数据共享安全网关接收应用设备的请求 (如共享数据的请求或查询请求）后，数据共享安全网关确认应用设备的用户身份后向信 息资源共享库发送请求，信息资源共享库响应该请求，并获取该请求需要的数据，将数据返 回数据共享安全网关；数据共享安全网关根据该用户身份对应的权限列表，对信息资源共 享库中返回的数据进行处理，然后对处理后的数据进行加密，回传给应用设备。该方案中， 通过单独设置数据共享安全网关，来对信息资源共享库进行安全管理，在数据共享安全网 关中，通过权限列表给用户分配了细化到行、列数据的权限，这样，就实现了不加密库表中 的数据，而对结构化数据进行细粒度的管理，增加了数据共享的安全性能，避免了现有技术 中无法快速响应检索、数据库权限无法实现数据库行、列和某字段的控制，影响数据共享和 使用的效果的问题。
[0032] (2)本发明的基于共享数据安全管理的方法，采用链路加密方式进行信息资源共 享库与数据共享安全网关之间的通信，信息资源共享库仅接受数据共享安全网关的数据请 求，数据安全管理网关接管所有的外部设备发送的数据共享或查询请求，这样，通过数据安 全管理网关提高了信息资源共享库共享数据时的安全性，但是由于外部设备的请求是在信 息资源共享库中进行的，因此其具有较好的数据共享或数据查询的效果，仅是通过数据安 全管理网关在返回的数据中进行处理，按照匹配的规则进行内容清洗或者脱敏，保证返回 给用户端的信息的安全性。
[0033] (3)本发明的基于共享数据安全管理的方法，权限列表包括对数据库中结构化数 据的表、行、列字段的获取权限，由于该权限列表针对用户的权限进行了详细的划分，细到 结构化数据中的表、行、列甚至具体的某一字段，都可以分别进行配置，实现了对数据的细 粒度管理。
[0034] (4)本发明还提供一种基于共享数据安全管理的系统，包括信息资源共享库和数 据共享安全网关，信息资源共享库中包括存储单元和响应单元，存储有数据信息资源，并仅 仅响应来自数据共享安全网关发送的请求，并根据请求获取相应的数据并返回；数据共享 安全网关包括权限管理单元、请求单元和处理单元，接收外部应用设备的请求，确定身份后 发送给信息资源共享库，并将该信息资源共享库返回的数据，根据用户身份对应的权限列 表，对数据进行处理，然后将处理后的数据加密发送给外部的应用设备。该系统降低了数据 共享带来的风险，采用不加密库表中的数据而对结构化数据进行细粒度的管理，弥补了现 有技术中的缺陷。
【专利附图】
【附图说明】
[0035] 为了使本发明的内容更容易被清楚的理解，下面根据本发明的具体实施例并结合 附图，对本发明作进一步详细的说明，其中
[0036] 图1是本发明实施例1中基于共享数据安全管理的方法的流程图；
[0037] 图2是本发明实施例2中基于共享数据安全管理系统的结构示意图；
[0038] 图3是本发明实施例2中基于共享数据安全管理的方法的流程示意图。
【具体实施方式】
[0039] 实施例1 :
[0040] 本实施例中提供一种基于共享数据安全管理的方法，包括如下步骤：
[0041] 首先，将原始信息资源库的数据同步到信息资源共享库中，信息资源共享库中的 信息加密存储。采用整盘加密方式，对存储的信息资源整体加密。
[0042] 信息资源共享库与数据共享安全网关通信，且该信息资源共享库只响应来自数据 共享安全网关的指令，数据共享安全网关中存储有用户身份及其对应的权限列表。该处的 权限列表包括对数据库中结构化数据的表、行、列字段的获取权限。此处的权限列表不同于 现有技术中对用户的一般权限认证，对用户的权限认证与本方案中确认用户身份的身份认 证相类似，根据用户身份给予其一定的使用权限，如通过用户身份查看其是否具有共享数 据、查询数据的权限，此处的权限仅仅是对数据库中表格、文档等是否具有权限，或者是否 具备使用某些功能的权限。而在数据共享安全网关中存储的权限列表，是在用户身份认证 的权限的基础上，增加了用户对数据库中结构化数据中的某些具体字段的权限，可以细化 到某行、某列数据，乃至某个特殊的字段，实现了对用户权限的精细到内容的细粒度管理。
[0043] 然后，当外部的应用设备向信息资源共享库发送查询请求（或者共享请求）时，数 据共享安全网关接收该应用设备的请求，数据共享安全网关确认应用设备的用户身份后再 向信息资源共享库发送请求。
[0044] 之后，信息资源共享库会响应数据共享安全网关的请求，并获取该请求需要的数 据，如根据查询请求，在信息资源数据库中进行查询，得到查询结果，然后将结果数据返回 数据共享安全网关。
[0045] 接着，数据共享安全网关根据该用户身份对应的权限列表，对信息资源共享库中 返回的结果数据进行处理，包括数据清洗、脱敏等处理，然后对处理后的数据进行加密，回 传给应用设备；
[0046] 最后，应用设备解密后获得所需数据。
[0047] 该方案中，通过单独设置数据共享安全网关，来对信息资源共享库进行安全管理， 在数据共享安全网关中，通过权限列表给用户分配了细化到行、列数据的权限，这样，就实 现了不加密库表中的数据，而对结构化数据进行细粒度的管理，增加了数据共享的安全性 能，避免了现有技术中无法快速响应检索、数据库权限无法实现数据库行、列和某字段的控 制，影响数据共享和使用的效果的问题
[0048] 在进一步的实施方式中，信息资源共享库的网络通信接口和设备接口，都通过链 路加密方式与数据共享安全网关通信，该信息资源共享库仅能接受数据共享安全网关的数 据请求，进一步保证了数据资源共享时的安全性能。
[0049] 此外，数据共享安全网关对处理后的数据进行加密时，使用应用设备的用户身份 的公钥进行加密，应用设备解密时采用自身的私钥进行解密。
[0050] 实施例2 ：
[0051] 本实施例中给出一个基于共享数据安全管理系统，该系统采用数据库存储整库加 密，当数据库加载后可以正常运行，不影响数据检索等操作的效率。通过数据共享安全网关 对数据进行细粒度的访问控制和脱密，实现结构化数据进行细粒度的管理。
[0052] 本实施例中的基于共享数据安全管理系统，包括
[0053] 信息资源共享库，原始信息资源库将数据同步到信息资源共享库中，此信息资源 共享库所在的服务器采用整盘加密方式，对存储的信息资源整体加密，防止不通过本机系 统直接访问存储设备；对信息资源共享库的网路通讯接口和设备接口进行控制，通过链路 加密方式与数据共享安全网关通讯，达到仅接受数据共享安全网关的数据请求的效果。
[0054] 数据共享安全网关，具备与信息资源共享库匹配的网络加密模块，并接管所有的 终端或者服务器的数据共享和查询请求；内置一套规则，将查询结构匹配规则后进行内容 清洗或者脱敏再加密传输给查询终端。
[0055] 上述基于共享数据安全管理系统工作过程如下：
[0056] 查询终端带身份信息向数据共享安全网关发出请求，数据共享安全网关确认身份 后向信息资源共享库请求数据，信息资源共享库响应该请求，并根据其进行数据查询，获得 查询结果数据后返回给数据共享安全网关，该数据共享安全网关将取得的数据进行加密， 并使用查询终端身份的公钥进行加密密钥的保护，回传给查询终端，查询终端采用自身的 私钥解密后取得最终数据。
[0057] 作为一个具体的实例，如公安人口信息资源库共享应用是信息化建设的基本原 贝1J。人口信息资源是公安掌握的国家基础性信息资源，广泛应用于公安侦查办案和社会管 理业务中，同时也广泛共享给其他政府部门和社会企事业单位开展人口身份信息验证和人 员管理等功能和服务。但人口信息资源库中有很多敏感同时与某些业务无关的信息，需要 在对外共享时进行严格控制。
[0058] 例如银行开户，通过用户姓名或者身份证号可以查询该用户的合法性，但无需查 询获取用户的社会关系信息。使用该基于共享数据安全管理系统，在银行开户时，银行操作 人员使用其设备作为查询终端，发送查询请求，数据共享安全网关在接收该查询请求后，核 实其查询身份后，将请求发送给信息资源共享库，该信息资源共享库响应该查询请求，返回 查询结果给共享安全网关，共享安全网关根据查询终端的权限，将结果中的数据进行过滤， 如与用户身份认证无关的信息都被过滤掉，然后加密返回给查询终端，查询终端解密后仅 能获得用户身份认证的信息，其他信息都被过滤掉。
[0059] 此外，对于信息资源共享库中的一些特殊人员的信息，如一些涉及到国家安全的 保密人员的信息，普通的用户无权限访问这些特殊字段，对于查询后的数据中包含的这些 信息，可以通过内容清楚的方式进行数据处理。此外，对于信息资源共享库中的一些敏感信 息，也可以根据查询用户的权限列表分别设置为保密或者脱密，这样，针对不同的用户，可 以安全的共享所有数据。本实施例中的方案可以在不降低数据库运行效率的前提下，对数 据库中的表、行、列和字段进行精细到内容的细粒度管理，从而增加数据共享安全性。
[0060] 实施例3 ：
[0061] 一种基于共享数据安全管理的系统，包括信息资源共享库和数据共享安全网关， 其中：
[0062] 信息资源共享库，只响应来自数据共享安全网关的指令，包括：
[0063] 存储单元：采用加密的方式存储有与原始信息资源库同步的数据，；
[0064] 响应单元：响应来自数据共享安全网关发送的请求，获取该请求需要的数据，将数 据返回数据共享安全网关；
[0065] 数据共享安全网关，包括：
[0066] 权限管理单元：存储有用户身份及其对应的权限列表，
[0067] 请求单元：接收应用设备的请求，确认应用设备的用户身份后向信息资源共享库 发送请求，与信息资源共享库通信；
[0068] 处理单元：根据该用户身份对应的权限列表，对信息资源共享库中返回的数据进 行处理，然后对处理后的数据进行加密，回传给应用设备。
[0069] 优选地，数据共享安全网关具备与信息资源共享库匹配的网络加密单元。权限列 表包括对数据库中结构化数据的表、行、列字段的获取权限。
[0070] 本实施例中的基于共享数据安全管理的系统，包括信息资源共享库和数据共享安 全网关，信息资源共享库中包括存储单元和响应单元，存储有数据信息资源，并仅仅响应来 自数据共享安全网关发送的请求，并根据请求获取相应的数据并返回；数据共享安全网关 包括权限管理单元、请求单元和处理单元，接收外部应用设备的请求，确定身份后发送给信 息资源共享库，并将该信息资源共享库返回的数据，根据用户身份对应的权限列表，对数据 进行处理，然后将处理后的数据加密发送给外部的应用设备。该系统降低了数据共享带来 的风险，采用不加密库表中的数据而对结构化数据进行细粒度的管理，弥补了现有技术中 的缺陷。
[0071] 显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对 于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或 变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或 变动仍处于本发明创造的保护范围之中。
【权利要求】
1. 一种基于共享数据安全管理的方法，其特征在于，包括如下步骤： 将原始信息资源库的数据同步到信息资源共享库中，信息资源共享库中的信息加密存 储； 信息资源共享库与数据共享安全网关通信，且该信息资源共享库只响应来自数据共享 安全网关的指令，数据共享安全网关中存储有用户身份及其对应的权限列表； 数据共享安全网关接收应用设备的请求，数据共享安全网关确认应用设备的用户身份 后向信息资源共享库发送请求； 信息资源共享库响应该请求，并获取该请求需要的数据，将数据返回数据共享安全网 关； 数据共享安全网关根据该用户身份对应的权限列表，对信息资源共享库中返回的数据 进行处理，然后对处理后的数据进行加密，回传给应用设备； 应用设备解密后获得所需数据。
2. 根据权利要求1所述的基于共享数据安全管理的方法，其特征在于，信息资源共享 库中的信息加密存储时，采用整盘加密方式，对存储的信息资源整体加密。
3. 根据权利要求1或2所述的基于共享数据安全管理的方法，信息资源共享库与数据 共享安全网关通信时，采用链路加密方式。
4. 根据权利要求1-3任一所述的基于共享数据安全管理的方法，其特征在于，权限列 表包括对数据库中结构化数据的表、行、列字段的获取权限。
5. 根据权利要求1-4任一所述的基于共享数据安全管理的方法，其特征在于，数据共 享安全网关对处理后的数据进行加密时，使用应用设备的用户身份的公钥进行加密，应用 设备解密时采用自身的私钥进行解密。
6. 根据权利要求1-5任一所述的基于共享数据安全管理的方法，其特征在于，数据共 享安全网关根据该用户身份对应的权限列表，对信息资源共享库中返回的查询数据进行处 理的过程，包括 根据用户身份的权限列表，将返回的数据进行内容去除或者脱敏处理。
7. 根据权利要求1-6任一所述的基于共享数据安全管理的方法，其特征在于，应用设 备包括查询服务终端、共享服务终端。
8. -种基于共享数据安全管理的系统，其特征在于，包括信息资源共享库和数据共享 安全网关，其中： 信息资源共享库，只响应来自数据共享安全网关的指令，包括： 存储单元：采用加密的方式存储有与原始信息资源库同步的数据； 响应单元：响应来自数据共享安全网关发送的请求，获取该请求需要的数据，将数据返 回数据共享安全网关； 数据共享安全网关，包括： 权限管理单元：存储有用户身份及其对应的权限列表， 请求单元：接收应用设备的请求，确认应用设备的用户身份后向信息资源共享库发送 请求，与信息资源共享库通信； 处理单元：根据该用户身份对应的权限列表，对信息资源共享库中返回的数据进行处 理，然后对处理后的数据进行加密，回传给应用设备。
9. 根据权利要求8所述的基于共享数据安全管理的系统，其特征在于，数据共享安全 网关具备与信息资源共享库匹配的网络加密单元。
10. 根据权利要求8或9所述的基于共享数据安全管理的系统，其特征在于，权限列表 包括对数据库中结构化数据的表、行、列字段的获取权限。
【文档编号】H04L29/06GK104065750SQ201410327743
【公开日】2014年9月24日 申请日期:2014年7月11日 优先权日:2014年7月11日
【发明者】李欣, 吴昌明 申请人:中国人民公安大学