CN102906759A

CN102906759A - 情境感知数据保护

Info

Publication number: CN102906759A
Application number: CN2011800253457A
Authority: CN
Inventors: N·纳加拉特南; A·霍尼; A·萨克塞纳; S·詹德赫亚拉; S·穆皮迪
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2010-05-27
Filing date: 2011-05-25
Publication date: 2013-01-30
Anticipated expiration: 2031-05-25
Also published as: DE112011100934T5; JP5719431B2; US20120185952A1; GB2493809A; JP2013533993A; WO2011147887A1; CN102906759B; GB201209764D0; US9767301B2; US20110296430A1

Abstract

一种用于情境感知数据保护的方法、系统和计算机可用程序产品。在数据处理系统中接收关于访问情境的信息。识别受该访问情境影响的资源。资源的识别可包括：通过从所述资源的一部分内容推断该访问情境影响该资源，推断该访问情境影响第二资源，由此推断该资源必须被修改，确定该访问情境与所述资源相关，或者它们的组合，从而获得关于资源的知识。接收该资源。识别适用于所述访问情境的策略。确定根据所述策略要修改的所述资源的一部分。根据所述策略和所述访问情境修改该部分以形成修改的资源。传输该修改的资源。

Description

情境感知数据保护

技术领域

本发明一般地涉及一种改进的数据处理系统，具体地讲，涉及一种用于提高数据的安全性的计算机执行的方法。更具体地讲，本发明涉及一种用于情境感知数据内容保护的计算机执行的方法、系统和计算机可用程序代码。

背景技术

数据的安全性是公认的实现和操作数据处理环境时的需要。数据处理环境中的应提供安全性的数据的类型由各种因素确定。例如，某些数据仅可由受限制的一组用户和应用访问。作为另一例子，某些数据仅可读取而不可以修改。作为另一例子，某些数据不可以复制或从指定位置移动。

与数据篡改或数据丢失、公司符合要求、策略和规则、资产保护和其它类似考虑相关联的风险被用于在特定数据处理环境中设计关于数据的安全措施。例如，数据处理环境可限制对某些信用卡信息的访问以防止未授权人员对该信息的恶意使用。作为另一例子，数据处理环境可限制对体现组织的知识产权的某些产品设计文件的访问以避免这些文件的不希望的散布。

典型地，数据存储在由一些应用提供并由其它应用消费的数据储存库（repository）中。在一些情况下，储存库、服务器应用和消费者应用可按照不同组合以组合形式存在。

在现有技术中，数据的安全性是储存库或处理数据的应用承担的责任。通过数据处理环境的这些部件创建、管理并实施用于数据安全性的规则和策略。

在某些数据处理环境结构中，数据安全性策略的创建和管理可以是集中式功能。例如，策略管理应用可允许管理员把公司策略实现于策略管理应用中的一个规则中。策略管理应用随后把该规则提供给储存库或者一个或多个应用以便实施。

发明内容

在现在应该参照的所附权利要求中定义了本发明。

说明性实施例提供了一种用于情境感知数据保护的方法、系统和计算机可用程序产品。在数据处理系统中接收关于访问情境的信息。识别受访问情境影响的资源并且接收该资源。识别适用于访问情境的策略。确定根据该策略要修改的资源的一部分，并且根据该策略和访问情境修改该部分以形成修改的资源。传输该修改的资源。

附图说明

在所附权利要求中阐述视为本发明的特点的新特征。然而，通过在结合附图阅读时参照下面对说明性实施例的详细描述将会最好地理解本发明自身及其优选利用模式、另外的目的和优点，其中：

图1描述可实现说明性实施例的数据处理系统的网络的图示；

图2描述可实现说明性实施例的数据处理系统的框图；

图3描述可实现说明性实施例的数据安全性结构的框图；

图4描述根据说明性实施例的策略管理系统的框图；

图5描述根据说明性实施例的策略管理系统的策略信息部件的框图；

图6描述根据说明性实施例的策略管理系统的策略决定部件的框图；

图7描述根据说明性实施例的策略管理系统的策略实施部件的框图；

图8描述根据说明性实施例的策略管理系统的策略管理部件的框图；

图9描述根据说明性实施例的情境感知数据保护的结构的框图；以及

图10描述根据说明性实施例的情境感知数据保护的处理的流程图。

具体实施方式

本发明意识到，现有技术的数据安全性主要使用基于访问控制的规则来实现。本发明还意识到，在现有技术中，用于访问控制的规则基于访问数据的用户或应用的预定义的身份信息。另外，现有技术仅把这种身份信息与数据的名称或识别信息关联以实施规则。换句话说，在现有技术中，用户的身份必须是针对特定指定的数据的允许的身份之一，否则现有技术访问控制不准许用户对该数据进行访问。

例如，已有数据安全性模型可创建规则：标记为“信用信息”的文件或数据库表仅可由提供授权的证明（credential）的列表中的认证证明的用户或应用访问。当应用提供用于访问该信息的认证证明时，随后实施这种规则。

作为已有的实施的例子，规则被嵌入在请求该信息的应用中。在应用能够提出对信用信息的请求之前，应用要求用户提供认证证明(诸如，用户ID和密码)。应用在本地或远程地存储的列表中匹配提供的用户ID和密码。如果根据该列表，用户ID是能够访问该信息的授权ID之一，则应用提交对信用信息的请求。

作为另一例子，现有技术数据安全性模型可创建把对病人的病历文件的访问仅限制于识别的角色（即医生）的规则。然而，在现有技术中，这种规则嵌入在存储病人文件的储存库中。当应用提供用户的证明以访问病人的病历时，储存库确定该证明是否是具有医生的角色的人的证明。如果证明是医生的证明，则储存库提供病人的病历记录。

在一些情况下，现有技术储存库还确定医生是与病人的记录关联的医生还是不同的医生。例如，储存库将仅允许由属于“John Doe的医生”用户组的医生访问John Doe病人的病历文件。

本发明意识到，在现有技术中，数据安全性措施未能考虑访问某数据的访问情境。例如，特定医生应该一直被允许访问John Doe的病历，因为该医生是John Doe的主治医生。然而，属于医院的重症监护病房的任何医生应该被允许进行类似的访问，如果在当访问时或者在访问前后John Doe事实上处于重症监护的访问情境内该文件被访问的话。

另外，在其它访问情境中，诸如在John Doe被允许重症监护之前从救护车中，护理人员也可被允许访问。一旦John Doe被允许进入重症监护病房，护理人员的访问应该被终止。另一用户(诸如，ER医生)应该被准许访问，直至John Doe的文件显示John Doe的状况已稳定，他已脱离重症监护或者出于其它类似的考虑。

根据本发明，访问数据的环境、数据内容自身的访问牵连（implication）或者与数据访问无关但可能影响数据的保护的事件统称为访问情境。当病人的数据显示病人处于普通(非急诊)康复房间中时去除急诊室护士职员的访问权是数据内容的牵连的例子。

访问情境能够是单个访问情境或者一组访问情境。访问情境能够影响现在对数据的访问或者将来对数据的访问。访问数据的环境的变化、影响对数据的访问的数据内容自身的变化或者能够潜在地影响数据的访问保护的事件转变统称为访问情境变化。访问情境变化能够是单个访问情境变化或者一系列访问情境变化。

理解访问情境和访问情境变化的另一方式是与状态模型相关。数据处理环境中的事件和活动能够映射到一个或多个过程。所述一个或多个过程能够表示为状态图。事件或活动可代表状态转变，或者如果事件是连续的，则代表状态图中的状态。访问情境可由状态代表。与另一事件(例如，同一过程中的先前事件)相关的事件也可代表状态转变。例如，允许病人进入重症监护可以是表示为状态转变的事件，而病人处于重症监护可以是一个状态。病人出院可以是由另一状态转变代表的病人管理过程中的事件。病人出院的访问情境是另一状态。与允许进入重症监护事件相关的出院事件可以是或者暗示状态转变。

作为另一例子，一个过程中的事件可与改变访问情境的另一过程中的另一事件相关，并且也能够代表状态转变。例如，病人管理过程可包括诊断病人的可能的状态。另一过程(诸如，医院的员工管理过程)可具有医生的终止的事件。特定医生离开医院的雇佣可以是员工管理过程的状态模型中的事件。这个事件可在其主治医生是离开医院的雇佣的医生的特定病人的病人管理过程中引起状态转变，因为该医生不能再治疗该病人。

某些过程或其一部分的状态模型可代表可访问数据的一组访问情境。这种状态模型中的状态转变可代表情境变化。

在John Doe的病历文件的例子中，处于救护车中、被允许进入重症监护、脱离重症监护、由主治医生进行的一般访问是可访问病历文件的数据的访问情境的一些例子。从一个访问情境转变为下一访问情境(诸如，从救护车移至重症监护病房)是访问情境变化的例子。

用于数据安全性的现有技术方法在它们的应用中是静态的。现有技术数据安全性方法使用在与访问情境无关的离散时间静态地设计的策略，即，数据访问的情境。本发明意识到，现有技术的数据安全性的方法(包括策略管理应用)不考虑可访问某数据的访问情境。

本发明还意识到，现有技术系统和方法把预定和固定的数据安全性策略包括在代码中。因此，现有技术系统和方法通常不能与访问情境变化一起或者根据访问情境变化的预测而调整数据安全性策略。使用现有技术实现关于某数据的安全措施的变化、策略变化、规则实现和改变的规则实施主要是人工确定。

本发明还意识到，如此实现的现有技术策略和规则经常嵌入在请求受到保护的数据的应用中或者嵌入在提供这种数据的储存库中。因此，本发明意识到，策略和规则的变化经常需要在应用中的代码的变化。本发明意识到，至少由于这个原因，当策略变化发生在数据处理环境中时，策略变化不频繁并且分布在与事件和访问情境变化无关的离散时间。

用于描述本发明的说明性实施例通常处理并解决上述问题和与数据安全性相关的其它问题。说明性实施例提供一种用于情境感知数据保护的方法、计算机可用程序产品和数据处理系统。

本发明的实施例可以使数据处理系统能够在考虑可访问数据的访问情境的同时管理对数据的访问。当在数据处理环境中发生访问情境变化时，可调整对数据的访问或其它操纵。另外，可根据对访问情境变化的预测调整对数据的访问或其它操纵。

另外，根据实施例的按照访问情境感知方式的数据保护可在使已有的应用和储存库保持它们的现有技术形式（即不知道访问情境和访问情境变化的影响）的同时提供情境感知数据保护。另外，实施例可使策略和基于策略的规则与应用和储存库分开，仅把其执行留在应用和储存库的范围中。

实施例可响应于访问情境的变化允许动态的近乎实时的数据操纵和数据安全性。另外，实施例可允许这种动态的近乎实时的操纵，而不必停止应用、实现代码变化或者中断数据处理系统的操作。

另外，动态地确定访问情境或访问情境的变化。例如，当在数据处理环境中发生事件时，可与事件同时地评估访问情境及其变化。例如，在数据处理系统中发生事件时，能够近乎实时地确定该事件是否对于特定资源引起访问情境出现。

作为另一例子，可在访问资源时确定访问情境及其变化。例如，在数据处理系统中接收到访问文件的请求时，能够确定是否存在访问情境或者是否已发生影响对该文件的访问的已有访问情境的变化。

仅作为例子参照某些数据、数据结构、指示器和标识符描述说明性实施例。这种描述并不意图限制本发明。例如，在本发明的范围内，能够以类似方式使用事件消息实现使用位标记指示访问情境变化的说明性实施例。

另外，可针对任何类型的数据处理系统实现说明性实施例。例如，在本发明的范围内，可在多处理器逻辑分区系统中实现参照多处理器独立数据处理系统描述的说明性实施例。作为另一例子，针对服务器应用、客户机应用、数据库或者任何其它软件应用或系统，可实现参照应用描述的说明性实施例。

另外仅作为例子参照某些参数、属性和结构描述说明性实施例。这种描述并不意图限制本发明。可针对任何类型的数据处理系统，例如任何类型的客户机系统、服务器系统、平台或者它们的组合，实现本发明的实施例。

实现实施例的应用可采用数据对象、代码对象、封装指令、应用片段、服务和数据处理环境中可用的任何其它类型的软件实现方式的形式。例如，

虚拟机

对象、企业JavaBean

服务器小程序（servlet）或小应用程序（applet）可以是应用的表现形式，针对该应用、在该应用内或者使用该应用可实现本发明。(Java、JVM、EJB和其它Java相关术语是SunMicrosystems公司在美国和其它国家的注册商标)。

说明性实施例可实现于硬件、软件或者它们的组合中。仅为了描述的清楚而使用本公开中的例子，而非限制说明性实施例。为了类似的目的可从本公开想到另外或不同的信息、数据、操作、动作、任务、活动和操纵，并且在说明性实施例的范围内可设想出这些信息、数据、操作、动作、任务、活动和操纵。

仅作为例子使用特定代码、数据结构、文件系统、设计、架构、布局、示意图和工具描述说明性实施例，而非限制说明性实施例。另外，为了描述的清楚仅作为例子在一些实例中使用特定数据处理环境描述说明性实施例。可结合其它相当的或类似目的的结构、系统、应用或架构使用说明性实施例。

本文列出的任何优点仅是例子，而非意图限制说明性实施例。另外或不同的优点可由特定说明性实施例实现。另外，特定说明性实施例可具有以上列出的优点中的一些、全部或者不具有以上列出的任何优点。

参照附图并且具体参照图1和2，这些附图是可实现说明性实施例的数据处理环境的示例性示图。图1和2仅是例子而非意图声明或暗示关于可实现不同实施例的环境的任何限制。基于下面的描述，特定实现方式可对所描述的环境做出许多修改。

图1描述可实现说明性实施例的数据处理系统的网络的图示。数据处理环境100是可实现说明性实施例的计算机的网络。数据处理环境100包括网络102。网络102是用于在数据处理环境100内连接在一起的各种装置和计算机之间提供通信链路的媒介。网络102可包括连接，诸如导线、无线通信链路或光纤光缆。服务器104和服务器106以及存储单元108耦合到网络102。软件应用可在数据处理环境100中的任何计算机上执行。

另外，客户110、112和114耦合到网络102。数据处理系统(诸如，服务器104或106或者客户机110、112或114)可包含数据并且可具有在它上面执行的软件应用或软件工具。

服务器104可包括策略管理应用105。根据本发明的实施例，策略管理应用105可以是应用、系统或其部件。服务器106包括资源107。存储器108包括资源109。资源107和109是经受使用本发明实施例的数据保护的资源。资源107和109均可以是具有任何形式或结构的数据。客户机112中的应用113是希望访问或操纵资源107、109或者这两者的示例应用。

服务器104和106、存储单元108和客户机110、112和114可使用有线连接、无线通信协议或其它合适的数据连接耦合到网络102。客户机110、112和114可以是例如个人计算机或网络计算机。

在所描述的例子中，服务器104可以把数据(诸如，引导文件、操作系统映像和应用)提供给客户机110、112和114。在这个例子中，客户机110、112和114可以是服务器104的客户机。客户机110、112、114或者其某种组合可包括它们自己的数据（引导文件、操作系统镜像和应用)。数据处理环境100可包括未示出的另外的服务器、客户机和其它装置。

在所描述的例子中，数据处理环境100可以是互联网。网络102可代表使用传输控制协议/互联网协议(TCP/IP)和其它协议彼此通信的网络和网关的集合。在互联网的中心是主节点或主机计算机（包括对数据和消息进行路由的数以千计的商业、政府、教育和其它计算机系统）之间的数据通信链路的主干。当然，数据处理环境100也可以实现为许多不同类型的网络，诸如内联网、局域网(LAN)或广域网(WAN)。图1旨在用作例子而非用作对于不同的说明性实施例的架构限制。

除了其它用途之外，数据处理环境100可用于实现可实现说明性实施例的客户机服务器环境。客户机服务器环境能够使软件应用和数据分布在网络上，从而应用通过使用客户机数据处理系统和服务器数据处理系统之间的交互性而工作。数据处理环境100也可采用面向服务的架构，其中分布在网络上的可互操作的软件组件可以打包在一起作为相干业务应用。

参照图2，该图描述可实现说明性实施例的数据处理系统的框图。数据处理系统200是可针对说明性实施例安置执行处理的计算机可用程序代码或指令的计算机的例子，诸如图1中的服务器104或客户机110。

在所描述的例子中，数据处理系统200采用中心（hub）架构，该中心架构包括北桥和存储控制器中心(NB/MCH)202以及南桥和输入/输出(I/O)控制器中心(SB/ICH)204。处理单元206、主存储器208和图形处理器210耦合到北桥和存储控制器中心(NB/MCH)202。处理单元206可包含一个或多个处理器并且可使用一个或多个不同的处理器系统实现。在某些实现方式中，图形处理器210可通过加速图形端口(AGP)耦合到NB/MCH。

在所描述的例子中，局域网(LAN)适配器212耦合到南桥和I/O控制器中心(SB/ICH)204。音频适配器216、键盘和鼠标适配器220、调制解调器222、只读存储器(ROM)224、通用串行总线(USB)和其它端口232以及PCI/PCIe装置234通过总线238耦合到南桥和I/O控制器中心204。硬盘驱动器(HDD)226和CD-ROM 230通过总线240耦合到南桥和I/O控制器中心204。PCI/PCIe装置可包括例如以太网适配器、附加卡和用于笔记本计算机的PC卡。PCI使用卡总线控制器，而PCIe不使用卡总线控制器。ROM 224可以是例如闪速二进制输入/输出系统(BIOS)。硬盘驱动器226和CD-ROM 230可使用例如集成驱动电子设备(IDE)或串行高级技术附件(SATA)接口。超级I/O(SIO)装置236可耦合到南桥和I/O控制器中心(SB/ICH)204。

操作系统在处理单元206上运行。操作系统协调并提供图2中的数据处理系统200内的各种部件的控制。操作系统可以是可商购获得的操作系统，诸如

(Microsoft和Windows是Microsoft Corporation在美国和其它国家的商标)或

(Linux是Linus Torvalds在美国和其它国家的商标)。面向对象的编程系统(诸如，Java^TM编程系统)可结合操作系统运行并提供从在数据处理系统200上执行的Java^TM程序或应用对操作系统的调用(Java是SunMicrosystems,Inc.在美国和其它国家的商标)。

用于操作系统、面向对象的编程系统和应用或程序的指令位于存储装置(诸如，硬盘驱动器226)上，并且可被加载到主存储器208中以由处理单元206执行。说明性实施例的过程可由处理单元206使用计算机实现的指令执行，该计算机实现的指令可位于存储器(诸如，主存储器208、只读存储器224)中或者位于一个或多个外围装置中。

图1-2中的硬件可根据实现方式而不同。除图1-2中描述的硬件之外或者替代于图1-2中描述的硬件，可使用其它内部硬件或外围装置，诸如闪存、等同的非易失性存储器或光盘驱动器等。另外，说明性实施例的过程可应用于多处理器数据处理系统。

在一些说明性例子中，数据处理系统200可以是个人数字助手(PDA)，个人数字助手(PDA)通常构造为具有提供用于存储操作系统文件和/或用户产生的数据的非易失性存储器的闪存。总线系统可包括一个或多个总线，诸如系统总线、I/O总线和PCI总线。当然，可使用任何类型的通信结构或架构实现该总线系统，所述通信结构或架构提供附接到该结构或架构的不同部件或装置之间的数据传送。

通信单元可包括用于发送和接收数据的一个或多个装置，诸如调制解调器或网络适配器。存储器可以是例如主存储器208或高速缓存，诸如布置在北桥和存储控制器中心202中的高速缓存。处理单元可包括一个或多个处理器或CPU。

图1-2中的所描述的例子和上述例子并不意图暗示架构限制。例如，除了采用PDA的形式之外，数据处理系统200也可以是平板计算机、膝上型计算机或电话装置。

参照图3，图3描述可实现说明性实施例的数据安全性结构的框图。结构300包括应用302，应用302可类似于图1中的应用113。储存库304可类似于图1中的存储器108或服务器106。规则数据库306可以是类似于图1中的策略管理应用105的现有技术策略管理系统的部件。

应用302是用于访问资源308的应用的例子。资源308可以以某种方法受到保护。资源308可以是一项或多项资源，诸如图1中的资源109。资源包括数据。例如，资源可以是在医院的病人的文件，包括病人的病历、诊断、保险和负责医生的数据。作为另一例子，资源可以是与病人相关的记录。资源的数据可以是可通过合适的查询而检索的一组数据库条目。

为了管理对资源308的访问，应用302通常包括以嵌入访问规则310的形式嵌入的访问控制机制。嵌入规则310通知应用302如何验证对资源308中的资源的请求。

嵌入规则310可采用编码逻辑、文件或数据库的形式或者适合应用302的具体实现方式的任何其它形式。在一些实例中，嵌入规则310可以是用于请求资源308的默认规则。在其它实例中，嵌入规则310可以由来自外部源(诸如，规则数据库306)的规则补充。

储存库304通常包括用于访问控制实施的安全部件312。部件312实施用于管理资源308的安全性的访问控制规则314。访问控制规则314可嵌入在储存库304中，或者可从外部源(诸如，规则数据库306)提供。

在现有技术操作中，应用302可使用嵌入规则310验证对资源308中的资源的请求。在满足嵌入规则310的要求后，应用302把请求316传递到储存库304。储存库304可进一步使用部件312实施访问控制规则314中的任何规则。储存库304可把资源318返回给应用302，资源318是资源308中的资源。

本发明认识到，现有技术嵌入规则310、现有技术访问控制规则314和其它类似实现方式不对提出请求316或提供资源318的访问情境做出响应。规则310和314被预先编码并且不能响应于访问情境变化而动态地改变。另外，预先编码的规则310或314在它们自身内嵌入了非常有限的预定访问情境、访问情境变化、数据处理环境中的事件和它们与资源308的内容的关系的知识。具体地讲，结构300不包括这样的机制：通过该机制，可获得关于资源308的内容的知识并且使该知识与访问情境和访问情境变化关联。本发明认识到，相同的访问情境变化能够根据关于不同资源的内容的知识不同地修改对这些资源的访问。

关于资源的内容的知识不限于定义该资源的属性。该知识还包括资源的内容中直接包括的信息和可从这种内容推导或推断的信息。因此，从资源获得的知识是关于资源的访问情境的知识。另外，可从资源的数据挖掘这种知识以评估访问情境或访问情境变化。

关于资源的内容的知识可用于针对资源做出重要决定。在现有技术中，人必须从可用资源推断这种知识，并且人使用人工决策过程使用这种知识做出任何重要决定。对于使用资源工作的应用或系统，知识的提取和使用知识做出的决定是非平凡的步骤。本发明提供用于在自动决策过程中可编程地提取并使用知识的一些示例性实施例。

参照图4，该图描述根据说明性实施例的策略管理系统的框图。策略管理系统402可用作图3中的规则数据库306、嵌入规则310或者这两者的替换物。

选择策略管理系统402的部件以便仅示出策略管理系统402的功能方面。这种部件并不意图限制本发明，并且在本发明的范围内可设想包括类似功能和特征的其它实现方式。

策略信息部件404提供关于资源的内容、主体（subject）或环境的知识。在一个实施例中，策略信息部件404可检测与资源关联的一组属性。资源可类似于图3中的资源308中的资源。一组属性是零个或更多的属性。资源的属性的一些例子可以是资源的文件名、文件路径、最后修改的日期、大小和读写执行许可。

策略信息部件404还可确定与资源关联的一组参数。一组参数是零个或更多的参数。这种参数的一些例子可以是资源的所有权、资源的索引、授权的拷贝及其位置、通知触发器和对其它资源的依赖性。

策略信息部件404还可包括打开资源并检索内容的能力。例如，如果资源是文本文件，则部件404可解析该文件以识别关键字。作为另一例子，如果资源是数据库表，则策略信息部件404可识别针对某些列包含某一范围中的值的行。

策略信息部件404还可构造为确定访问情境或访问情境变化与内容的相关性、内容的关系，并且确定能够对资源的属性、参数或内容执行的修改。资源的修改可包括：修改资源的属性、与资源关联的参数、资源的内容的一部分、资源的特征、资源的容器的一方面，对其它类似可用数据执行类似目的的动作，或者它们的组合。

策略信息部件404根据对资源的请求的访问情境、这些访问情境的变化或者发生在数据处理系统中的其它事件，执行这些和其它类似动作。例如，医院数据处理系统中的事件可以是特定医生离开医院。这个事件与John Doe的病历文件的相关性可以是：该医生按照重症监护治疗John Doe。策略信息部件404可检索John Doe的记录中的内容，该内容可能由于这个事件而必须被更新。策略管理系统中的一个不同部件可更新合适资源的内容并把更新的资源存储在储存库中。

在另一实施例中，策略信息部件404可提供关于主体的知识。例如，策略信息部件404可提供与请求资源的请求者关联的标识符。通常，策略信息部件404可提供与当前正在尝试或者将来可能尝试访问资源的身份关联的信息。

在另一实施例中，策略信息部件404可以是访问情境部件，因为策略信息部件404可提供关于环境的访问情境。例如，策略信息部件404可提供与可请求资源的数据处理环境关联的标识符。通常，策略信息部件404可提供与应用、数据处理系统、网络、结构或可影响对资源的访问的任何其它环境相关因素关联的信息。

策略决定部件406考虑到数据处理系统中的访问情境和访问情境变化，确定可适用于资源的策略。策略决定部件406可考虑到资源、访问情境和访问情境变化的知识，通过在数据处理系统、应用或其部件中提供关于应该在资源中做出的结构变化的信息而对数据处理系统中的访问情境变化或事件做出响应。结构变化可导致资源的属性、参数或内容的变化。

例如，在一个实施例中，策略决定部件406可从一组策略中选择一个子集。一组策略是一个或多个策略。策略可一般地适用于多个资源或者专用于特定资源。策略可以被编码，从而策略适用于一组资源而不管它们的位置如何。一组资源是一个或多个资源。

策略也可以被编码，从而策略适用于一组主体。主体是资源的请求者、消费者、目的地、起源、源、提供者或者中间系统或应用。一组主体是一个或多个主体。规则包括用于策略的全部或一部分的实现逻辑。规则也可包括可能有助于实现策略但可能未在策略中指定的逻辑。

策略也可以被编码以应用于一组条件。条件是一个或多个条件。例如，继续医疗记录例子，条件可以是事件的发生，诸如特定医生离开医院。另一示例条件可以是资源的内容中的某数据的存在，诸如治疗医生的名字。另一示例条件可以是数据处理系统中的访问情境的存在，诸如医院的特定侧楼中的病人的存在。另一示例条件可以是从一个特定访问情境到另一访问情境的变化，诸如病人从医院出院。

示例策略可提供—如果医生离开医院的话，则出现该医生的名字的任何记录应该被修改为包括不同的医生的名字。另一示例策略可提供—离开医院的医生的用户ID应该在预设时间段期间被分配给该医生的主管。第三示例策略可具体地用于John Doe的记录，从而—当离开医院的医生是John Doe的治疗医生时，除了指定的个人之外，没有人(包括该医生的主管)可以访问John Doe的记录。当医生离开使用John Doe的记录的医院时，策略决定部件可选择这些示例策略中的所有三个策略。

策略实施部件408可基于适用的策略、结构变化或者它们的组合，提供实施动作。实施动作可针对一个或多个受影响的资源(具体地讲，识别的资源)、系统结构、应用结构、工作流过程或者它们的组合。例如，继续以上的示例策略，策略实施部件408可确定几种实施动作。离开的医生的用户ID必须被重新构造为允许主管的访问；该用户ID必须被构造为在将来的预设时间过期；包括离开的医生的名字的一个或多个资源的内容必须被修改为默认医生的名字；并且与John Doe的记录关联的资源的访问参数必须被修改以排除该医生的用户ID。

策略管理部件410可提供用于创建、管理、修改或以其它方式操纵策略的能力。策略管理部件410还可提供用于配置将要检测的访问情境和访问情境变化的能力。

策略管理部件410还可提供用于使资源与访问情境和访问情境变化关联以及使资源彼此关联的能力。策略管理部件410还可提供用于使资源和主体的知识与访问情境和访问情境变化相关的能力。

仅作为例子描述策略管理系统402的这些部件，而非意图限制本发明。这些部件的功能、示例实现方式和示例性操作也类似地并非意图限制本发明。从本公开将会想到这些和其它类似的功能、操作、动作、结构和部件，并且在本发明的范围内可设想这些和其它类似的功能、操作、动作、结构和部件。

参照图5，该图描述根据说明性实施例的策略管理系统的策略信息部件的框图。策略信息部件502可实现为图4中的策略信息部件404。

在工作时，策略信息部件502接收数据504，数据504可以是与资源关联的任何信息或数据资源自身。例如，数据504可以是资源的属性、参数或内容；系统的属性、参数或结构；或者它们的组合。

策略信息部件502提供关于数据的知识506作为输出。例如，知识506可包括资源的某些内容与数据处理系统中正在发生或将要发生的某些事件的相关性。策略信息部件502可按照参照图4中的策略信息部件404描述的方式提供知识506。

参照图6，该图描述根据说明性实施例的策略管理系统的策略决定部件的框图。策略决定部件602可实现为图4中的策略决定部件406。

在工作时，策略决定部件602接收关于数据的知识604，关于数据的知识604可以是例如图5中的策略信息部件502的输出。策略决定部件602还接收外部信息606。外部信息606可包括关于访问情境或访问情境变化的信息，诸如发生在数据处理系统中的事件。

给定这些输入，策略决定部件602根据某些策略提供一组适用的策略或规则作为输出608。例如，输出608可包括策略。作为另一例子，策略608可包括策略中未提供的信息，诸如对特定属性的约束或限制、用于结构参数的受约束的或修改的值或值范围或者它们的组合。

参照图7，该图描述根据说明性实施例的策略管理系统的策略实施部件的框图。策略实施部件702可实现为图4中的策略实施部件408。

在工作时，策略实施部件702接收适用的策略、约束或者它们的组合作为输入704。例如，输入704可以是图6中的输出608。

策略实施部件702提供输出706。输出706包括根据适用的策略的变化动作。例如，适用的策略中的策略可调用另一策略。在一个实施例中，输出706可操纵属性、参数、内容、结构或工作流，诸如通过指示另一过程执行这种操纵。

参照图8，该图描述根据说明性实施例的策略管理系统的策略管理部件的框图。策略管理部件802可实现为图4中的策略管理部件410。

在工作时，策略管理部件802接收输入804。输入804可包括但可不限于图4中的策略管理部件410被描述为接收的任何输入。例如，输入804可包括安全指南、已有策略、关于资源的信息、关于访问情境和访问情境变化的信息、关于主体的信息或者它们的组合。

一些输入可来自于根据实施例的策略管理系统的其它部件。用户(诸如，管理员)能够把信息作为输入提供给策略管理部件802。例如，输入可以是已有策略的有效期的延长。策略管理部件802可包括用户接口、逻辑或代码以把输入应用于策略。作为例子，由策略管理部件802提供的可填写表格可接收来自用户的输入，该输入可通过使用该表格中的逻辑或数学算子被组合到策略中。

策略管理部件802提供新的或修改的策略、规则、处理策略和规则时可用的信息或者它们的组合作为输出806。在一个实施例中，策略管理部件802可包括用于促进策略管理功能的接口部件，诸如图形用户接口。

参照图9，该图描述根据说明性实施例的情境感知数据保护的结构的框图。可使用图3中的结构300和图4中的策略管理系统400实现结构900。

可使用图4中的策略管理系统400实现策略管理系统902。储存库904可类似于图3中的储存库304。应用906可类似于图3中的应用302。

应用906可以是可向储存库904发送对资源的请求908的应用。应用906可以不知道数据处理环境中的访问情境和访问情境变化，并且可使用应用906的已有代码提出请求908。

储存库904可提供资源912中的资源910。在提供资源910时，储存库904可使用实施部件916执行一个或多个规则914。

一个实施例可不需要用于实现基于访问情境的数据保护的储存库904和实施部件916的代码修改。从储存库904的角度，储存库904继续实施可存储或者以在现有技术中提供已有规则的方式提供的规则914。就储存库904而言，规则914看起来是不感知访问情境的，不需要知道在储存库904的部分上的访问情境或访问情境变化。

类似地，实施部件916以访问情境不可知的方式继续实施规则914。换句话说，实施部件916不需要被修改以包括对访问情境或访问情境变化的任何感知。

在一个实施例中，策略管理系统902可按照下面的示例方式与储存库904一起工作。策略管理系统902接受关于正被创建的访问情境和数据处理系统中正在发生的访问情境变化的信息918。

在一个实施例中，策略管理系统902可轮询或监测信息918以检测访问情境和访问情境变化。例如，策略管理系统902可侦听系统中传送的事件消息并根据感兴趣的事件消息而行动。

在另一实施例中，策略管理系统902可接收指示访问情境和访问情境变化的信息918。例如，当在应用906中发生某些活动时，应用906可使得在数据处理系统中设置一标记。该标记设置能够形成信息918，策略管理系统902可从信息918确定访问情境的变化。

例如，如果先前从重症监护病房访问病人John Doe的记录并且随后从住院房间访问John Doe的记录，则病人John Doe可能已被移动并且访问情境可能已改变。因此，可以是医疗记录访问应用的应用906可产生可由策略管理系统902检测的事件作为信息918。

作为另一例子，在发布产品之前，产品相关文档可被标记为保密。产品的发布通告可以是由应用(诸如，日历应用)引起的事件。策略管理系统902可检测该事件作为信息918。响应于这种事件，文档的属性可能必须从保密变为公开。

根据接收的关于访问情境或访问情境变化的信息918，策略管理系统902可识别受到信息918影响的储存库904中的一个或多个资源或结构。策略管理系统902从储存库904提取或接收资源的数据920，例如资源的内容或结构数据。在一个实施例中，策略管理系统902(诸如，通过请求和响应)可检索资源或结构数据920。在另一实施例中，包括储存库904的另一系统或应用可在没有请求数据920的情况下把数据920发送给策略管理系统902。

策略管理系统902使用信息918和数据920执行操作922。在执行操作922时，策略管理系统902对于接收的数据920识别适用的策略和约束。策略管理系统902可基于识别的策略和约束，识别数据920的访问情境相关变化、修改或其它操纵。例如，策略管理系统902可使用图5中的策略信息部件502、图6中的策略决定部件602或图7中的策略实施部件702的组合，执行所描述的操作922。

策略管理系统902把数据924发送给储存库904。数据924可以是数据920的修改形式或者用于修改数据920的信息。或者，数据924可以是用于在储存库904实施的策略信息。

例如，数据922可以是应该作为访问情境非感知规则存储在储存库904中的规则914中的根据适用的策略的规则。储存库904可使用情境非感知实施部件916实施这种规则，就像任何其它规则一样。

作为另一例子，数据922可以是要存储在资源912中的修改的资源。修改的资源可包括修改的或新的属性或参数、修改的或新的内容或者它们的组合。例如，当John Doe从重症监护病房移至住院房间时，与John Doe的记录关联的授权的一组医生在修改的资源中会被改变。

在一个实施例中，策略管理系统902可包括编辑部件(未示出)。策略管理系统902可把情境感知规则提供给编辑层。编辑部件可根据该规则编辑资源，并把编辑的资源放回到储存库904中。

在一个实施例中，针对提交给储存库904的对资源的请求，策略管理系统902与储存库904异步地工作。换句话说，在对资源的请求被提交给储存库904之前、同时以及之后，策略管理系统902可对储存库904的资源或结构进行操作。另外，策略管理系统902可对可与在操作时从储存库904请求的资源相关或者不相关的储存库904的资源或结构进行操作。

在另一实施例中，当储存库904调用策略管理系统904时，策略管理系统902可按照同步方式与储存库904一起工作。在一些实现方式中，就系统资源而言，这种实施例与异步实施例相比可能更昂贵。

与异步实施例相比，储存库904针对在请求908中正在请求的特定资源调用策略管理系统902的这种实施例也可能在执行方面更慢。例如，对请求908的响应可能必须等待，直至策略管理系统902能够提供与被请求资源相关的情境感知数据保护特征。

虽然两种实施例实现类似的目的并且都落在本发明的范围内，但相对于调用实施例而言，某些实现方式可能优选与异步实施例相似的实现方式。相反地，如果实现方式优选对资源912的修改的紧密控制，关心由策略管理系统902消费的资源，希望仅在按需的基础上实现策略或者它们的组合，则相对于异步实施例而言，某些实现方式优选调用实施例。

参照图10，该图描述根据说明性实施例的情境感知数据保护的过程的流程图。可在策略管理系统(诸如，图9中的策略管理系统902)中执行过程1000。

过程1000开始于监测并识别访问情境和访问情境的变化(步骤1002)。例如，过程1000可通过接收图9中的信息918执行步骤1002。

作为另一例子，诸如当正在创建或修改策略时，过程1000可从规范（specification）接收关于访问情境和访问情境变化的信息。在这种情况下，过程1000可在步骤1002中接收信息，而在数据处理环境中事件未实际发生、访问情境未实际被创建以及访问情境未实际改变。换句话说，过程1000可在保持在目前的访问情境中的同时接收信息1002。

过程1000根据步骤1002的信息确定各种资源和系统的希望的行为(步骤1004)。例如，过程1000可通过识别受到步骤1002中识别的访问情境或访问情境变化影响的资源执行步骤1004。另外，在步骤1004中，过程1000也可确定应该被修改、增加、删除或以其它方式操纵的识别的资源或系统的属性、参数、内容或结构。

过程1000可根据希望的行为修改识别的资源或结构(步骤1006)。过程1000之后结束。

在步骤1006中，替代于修改或者除了修改之外，过程1000可把可用于修改资源或结构的信息发送给另一过程。例如，过程1000可在步骤1006中如参照图9所述把规则发送给储存库。储存库可随后在实施访问控制时使用该规则。

过程1000可在步骤1006之后把修改的信息或可用于修改的信息发送给系统或应用。在一个实施例中，过程1000可根据来自系统的请求发送这种信息。接收修改的信息或可用于修改的信息的系统可以是除了在步骤1004的处理中提供资源和结构的系统之外的系统。

参照图11，该图描述根据说明性实施例的示例性实现方式的框图。该实施例的一些方面已实现于用于策略管理器1104的适配器1102中。适配器1102设计为把策略管理器1104与内容管理器1106对接。内容管理器1106容纳内容资源1107。适配器1102包括策略引擎1108。策略引擎1108从策略管理器1104的策略分配部件1110接收策略信息。策略管理器1104还包括辅助以任何希望的格式编写策略的策略编写部件1112。例如，策略编写部件1112可按照可扩展访问控制标记语言(XACML)或目标策略储存库的本机语法创建策略。因此，由策略引擎1108接收的策略信息可以是具有XACML形式或适合部署在内容管理器1106中的另一形式的策略。

适配器1102中的事件队列1114接收来自内容管理器1106的信息1116和来自其它数据处理系统的信息1118。使用信息1116和1118，适配器1102能够确定由访问情境变化引起的内容管理器1106中的变化。

元数据引擎1120使用关于内容管理器模型的信息执行模型提取服务1122。元数据引擎1120把提取的模型信息1124发送给策略管理器1104中的内容管理器服务插件1126。

内容管理器模型可以是例如内容管理器中的资源的分级组织。作为另一例子，内容管理器模型可以是为可存储资源内容的数据库的一部分构造的逻辑视图。

从模型提取的元数据可以是模型的实例级视图。在分级模型的例子中，元数据可以是描述存在于模型的分级结构的节点处的资源的数据。

如果诸如由于事件队列1114中的事件导致在模型中发生任何元数据变化，则适配器1102中的通知服务1128把通知1130发送给使用API 1132的策略管理器1104。适配器1102的策略引擎1108中的转换器部件1134诸如通过更新内容管理器1106的安全性策略储存库1138，把修改的策略1136提供给或应用于内容管理器1106。

在示例操作中，可以在内容管理器1106中使用示例模型。模型中的资源可由于事件（访问情境变化）而改变，引起资源的元数据的变化。元数据的变化被传送给策略管理器1104。策略编写部件1112可使用模型、元数据的变化和访问情境变化创建或修订策略。新的或修订的策略被传送给转换器部件1134，转换器部件1134可利用该新的或修订的策略更新策略储存库1138。在另一示例操作中，该新的或修订的策略能够响应于访问情境变化在策略引擎1108处被应用于模型中的一个或多个节点资源。

仅作为例子描述上述框图中的部件和流程图中的步骤。为了描述的清楚而选择这些部件和步骤，而非限制本发明的说明性实施例。例如，在不脱离说明性实施例的范围的情况下，特定实现方式可组合、省略、进一步细分、修改、增加、减少或者替代地实现这些部件或步骤中的任何部件或步骤。另外，在本发明的范围内，上述过程的步骤可按照不同次序执行。

因此，在情境感知数据保护的说明性实施例中提供一种计算机实现的方法、设备和计算机程序产品。使用本发明的实施例，数据处理系统能够响应于改变访问情境和可发生在该系统或另一系统中的事件而保护数据和资源。使用这些实施例，与通过静态规则和对事件的人工响应所提供的安全性相比，数据处理系统能够在具有提高的信息安全性的情况下工作。

在特定实施例中描述的规则仅是例子而非意图限制本发明的范围。在本发明的范围内，可按照与本公开中描述的规则相似的方式实现任何规则。

本发明的实施例通常能够与已有的应用、系统、储存库和主体协作。实施例也能够允许已有的应用和过程透明地使用情境感知数据保护，其中它们仅构造为使用访问情境非感知规则和策略。另外，在使用期间，已有的主体能够保持不知道可修改资源和结构或者改变安全性策略的访问情境和访问情境变化。

本发明能够采用完全软件实施例或者既包含硬件元件又包含软件元件的实施例的形式。在优选实施例中，本发明以软件或程序代码实现，所述软件或程序代码包括但不限于固件、常驻软件和微码。

另外，本发明能够采用可从提供由计算机或任何指令执行系统使用或结合计算机或任何指令执行系统使用的程序代码的计算机可用或计算机可读介质访问的计算机程序产品的形式。为了这个描述的目的，计算机可用或计算机可读介质能够是能够包含、存储、传送、传播或传输由指令执行系统、设备或装置使用或结合指令执行系统、设备或装置使用的程序的任何有形设备。

介质能够是电子、磁、光学、电磁、红外或半导体系统(或设备或装置)或者传播介质。计算机可读介质的例子包括：半导体或固态存储器、磁带、可移动计算机盘、随机存取存储器(RAM)、只读存储器(ROM)、刚性磁盘、和光盘。光盘的当前例子包括：压缩盘-只读存储器(CD-ROM)、压缩盘-读/写(CD-R/W)和DVD。

另外，计算机存储介质可包含或存储计算机可读程序代码，从而当计算机可读程序代码在计算机上执行时，这种计算机可读程序代码的执行使计算机在通信链路上传输另一计算机可读程序代码。这种通信链路可使用介质，该介质例如非限制性地是物理介质或无线介质。

适合存储和/或执行程序代码的数据处理系统将包括直接或通过系统总线间接耦合到存储元件的至少一个处理器。存储元件能够包括：在程序代码的实际执行期间采用的本地存储器、大容量存储介质、和高速缓存，该高速缓存提供至少一些程序代码的临时存储以便减少在执行期间必须从大容量存储介质取回代码的次数。

数据处理系统可用作服务器数据处理系统或客户机数据处理系统。服务器数据处理系统和客户机数据处理系统可包括计算机可用的(诸如，计算机可读的)数据存储介质。与服务器数据处理系统关联的数据存储介质可包含计算机可用代码。客户机数据处理系统可下载该计算机可用代码，诸如存储在与客户机数据处理系统关联的数据存储介质上或者用在客户机数据处理系统中。服务器数据处理系统可类似地从客户机数据处理系统上传计算机可用代码。可按照这种方式使用服务器数据处理系统和客户机数据处理系统上传或下载得自于说明性实施例的计算机可用程序产品实施例的计算机可用代码。

输入/输出或I/O装置(包括但不限于键盘、显示器、定点装置等)能够直接地或者通过中间I/O控制器耦合到该系统。

网络适配器也可耦合到该系统以使数据处理系统能够变为通过中间专用或公共网络耦合到其它数据处理系统或远程打印机或存储装置。调制解调器、线缆调制解调器和以太网卡就是几种当前可用类型的网络适配器。

提供本发明的描述用于说明和描述的目的，而非是穷举的或者将本发明局限于所公开的形式。对于本领域普通技术人员而言，许多修改和变化将是清楚的。选择并描述这些实施例是为了解释本发明的原理、实际应用并且使其他本领域普通技术人员能够理解本发明的具有适合设想的特定用途的各种修改的各种实施例。

本发明的另一优选实施例提供一种用于情境感知数据保护的计算机实现的方法，该计算机实现的方法包括：提供代表状态模型的一组参数，该状态模型代表数据处理系统中的访问情境；在策略储存库中提供一组策略，所述一组策略可用于管理对一组资源的访问，所述一组资源中的资源是数据；通过检测所述一组参数中的参数的变化检测访问情境的变化；识别受访问情境变化影响的资源；识别与访问情境变化对应的策略；识别管理对资源的访问的非情境感知访问控制实施部件；根据所述策略修改非情境感知访问控制实施部件，由此在感知访问情境变化的情况下管理对资源的访问。

Claims

1.一种用于情境感知数据保护的计算机实现的方法，该计算机实现的方法包括：

接收关于数据处理系统中的访问情境的信息；

识别受所述访问情境影响的资源，该资源是数据；

接收该资源；

识别与所述访问情境对应的安全性策略；

根据所述安全性策略确定要修改的所述资源的一部分；

根据所述安全性策略和所述访问情境修改该部分以形成修改的资源；以及

传输所述修改的资源。

2.如权利要求1所述的计算机实现的方法，其中接收关于访问情境的信息与对资源的请求是异步的。

3.如权利要求1或2所述的计算机实现的方法，其中所述访问情境是能够发生的访问情境变化。

4.如权利要求1、2或3所述的计算机实现的方法，该方法还包括：

提供代表状态模型的一组参数，该状态模型代表数据处理系统中的访问情境；

在策略储存库中提供一组安全性策略，所述一组安全性策略可用于管理对一组资源的访问，所述一组资源中的资源是数据；

通过检测所述一组参数中的参数的变化，检测访问情境的变化；

识别受访问情境变化影响的资源；

从所述一组安全性策略中识别与所述访问情境变化对应的安全性策略；

识别管理对资源的访问的非情境感知访问控制实施部件；

根据所述策略修改所述非情境感知访问控制实施部件，由此在感知访问情境变化的情况下管理对资源的访问。

5.如权利要求4所述的计算机实现的方法，其中所述资源是数据储存库的结构，所述非情境感知访问控制实施部件是该数据储存库的部件。

6.如权利要求4或5所述的计算机实现的方法，其中识别资源包括：

推导关于资源的知识，推导该知识还包括推断访问情境影响第二资源，由此推断所述非情境感知访问控制实施部件必须被修改。

7.如任一前面权利要求所述的计算机实现的方法，其中在与提供关于访问情境的信息的数据处理系统不同的系统上接收关于访问情境的信息。

8.如任一前面权利要求所述的计算机实现的方法，其中所述资源是储存库的结构。

9.如任一前面权利要求所述的计算机实现的方法，其中所述资源包括资源的内容、与资源关联的属性、与资源关联的参数和与资源关联的结构。

10.如任一前面权利要求所述的计算机实现的方法，其中识别资源包括：

推导关于资源的知识，推导该知识还包括推断访问情境影响第二资源，由此推断该资源必须被修改。

11.如任一前面权利要求所述的计算机实现的方法，其中所述访问情境包括多个单独的访问情境并且所述修改响应于一个单独的访问情境。

12.如任一前面权利要求所述的计算机实现的方法，其中修改资源包括在非访问情境感知系统根据策略准备可用于修改所述部分的信息，并且其中所述传输包括把可用于修改资源的信息提供给非访问情境感知系统，其中非访问情境感知系统在策略的非访问情境感知实施中把所述信息应用于资源以在非访问情境感知系统形成修改的资源。

13.如任一前面权利要求所述的计算机实现的方法，其中所述访问情境是与正在提出对资源的请求的环境关联的信息。

14.一种包括计算机可用存储介质的计算机可用程序产品，该计算机可用存储介质包括用于情境感知数据保护的计算机可用代码，该计算机可用代码包括：

用于接收关于数据处理系统中的访问情境的信息的计算机可用代码；

用于识别受所述访问情境影响的资源的计算机可用代码；

用于接收该资源的计算机可用代码；

用于识别与所述访问情境对应的策略的计算机可用代码；

用于根据所述策略确定要修改的所述资源的一部分的计算机可用代码；

用于根据所述策略和所述访问情境修改该部分以形成修改的资源的计算机可用代码；以及

用于传输所述修改的资源的计算机可用代码。

15.如权利要求14所述的计算机可用程序产品，其中接收关于访问情境的信息与对资源的请求是异步的。

16.如权利要求14或15所述的计算机可用程序产品，其中所述访问情境是能够发生的访问情境变化。

17.如权利要求14、15或16所述的计算机可用程序产品，其中所述资源是储存库的结构。

18.如权利要求14至17中任一项所述的计算机可用程序产品，其中用于识别资源的计算机可用代码包括：

用于推导关于资源的知识的计算机可用代码，推导该知识还包括推断所述访问情境影响第二资源，由此推断所述资源必须被修改。

19.如权利要求14至18中任一项所述的计算机可用程序产品，其中所述访问情境包括多个单独的访问情境并且所述修改响应于一个单独的访问情境。

20.如权利要求14至19中任一项所述的计算机可用程序产品，其中用于修改资源的计算机可用代码包括用于在非访问情境感知系统根据所述策略准备可用于修改所述部分的信息的计算机可用代码，并且其中用于传输的计算机可用代码包括用于把可用于修改所述资源的信息提供给非访问情境感知系统的计算机可用代码，其中非访问情境感知系统在所述策略的非访问情境感知实施中把所述信息应用于所述资源以在非访问情境感知系统形成修改的资源。

21.如权利要求14至20中任一项所述的计算机可用程序产品，其中所述计算机可用代码存储在数据处理系统中的计算机可读存储介质中，并且其中从远程数据处理系统通过网络传送该计算机可用代码。

22.如权利要求14至21中任一项所述的计算机可用程序产品，其中所述计算机可用代码存储在服务器数据处理系统中的计算机可读存储介质中，并且其中计算机可用代码通过网络被下载到远程数据处理系统以供在与该远程数据处理系统关联的计算机可读存储介质中使用。

23.一种用于情境感知数据保护的数据处理系统，该数据处理系统包括：

存储装置，包括存储介质，其中该存储装置存储计算机可用程序代码；和

处理器，其中该处理器执行该计算机可用程序代码，并且其中该计算机可用程序代码包括：

用于识别受所述访问情境影响的资源的计算机可用代码；

用于接收该资源的计算机可用代码；

用于识别与所述访问情境对应的安全性策略的计算机可用代码；

用于根据所述安全性策略确定要修改的所述资源的一部分的计算机可用代码；

用于根据所述安全性策略和所述访问情境修改所述部分以形成修改的资源的计算机可用代码；以及

用于传输所述修改的资源的计算机可用代码。