CN108183899A - 一种数据安全管理系统和方法 - Google Patents

Abstract

本发明提供了一种数据安全管理系统和方法，该系统包括：安全服务子系统和安全支撑子系统。安全服务子系统的第一处理模块用于根据加密配置信息对数据明文进行加密，得到数据密文和加密识别码并发送给接收端；使用预先配置的用户根密钥对加密过程信息进行加密，将加密后的加密过程信息和加密识别码发送给安全支撑子系统。安全支撑子系统用于使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密；依据解密请求映射加密识别码对应解密后的加密过程信息，对加密过程信息进行处理，生成解密配置信息并反馈给安全服务子系统终的第二处理模块，使得第二处理模块依据解密配置信息生成数据密文对应的数据明文，提供给接收端使用，满足业务需求。

Description

一种数据安全管理系统和方法

技术领域

本发明涉及数据安全技术领域，特别是涉及一种数据安全管理系统和一种数据安全管理方法。

背景技术

随着信息网络技术的快速发展，云计算生态链日益完善，云计算已经成为一种高价值的生产力工具。

当前，越来越多的政府机构、企事业单位和个人开始将应用向云迁移，实现了自身业务需求与资源优化配置间的平衡；但基于数据安全的顾虑，很少把核心业务应用迁移到云。

具体而言，现有云服务商倡导的数据安全防护，通常从基础设施视角开展，基于云计算服务过程，与云租户进行了安全责任划分。其中，云服务商主要负责基础设施安全、云平台网络安全、云平台主机安全；云租户主要负责虚拟网络安全、虚拟主机安全、云应用安全。但是，由云服务商提供在基础设施安全、云平台网络安全、云平台主机安全等层面的数据安全防护，导致云租户无法对其所提供的数据资产进行自主防护。因此，云租户数据资产的防护效果受限于云服务商的技术能力和投入资源。这严重阻碍了云计算服务的高速发展和广泛应用。

发明内容

鉴于上述问题，本发明实施例提供一种数据安全管理系统，解决现有云计算服务过程云租户数据资产无法自主防护所导致的数据安全问题。

相应的，本发明实施例还提供了一种数据安全管理方法、一种设备以及一种可读存储介质，用以保证上述系统的实现及应用。

为了解决上述问题，本发明实施例公开了一种数据安全管理系统，包括：安全服务子系统和安全支撑子系统。所述安全服务子系统包括：第一处理模块和第二处理模块，所述安全支撑子系统包括数据安全模块。

其中，所述第一处理模块，用于从所述安全支撑子系统中获取预先配置的加密配置信息，根据所述加密配置信息对数据明文进行加密，得到数据密文和加密过程对应的加密识别码，将所述数据密文和所述加密过程对应的加密识别码发送给接收端；以及，使用所述安全支撑子系统中预先配置的用户根密钥，利用预置的非对称密码算法对所述数据密文对应的加密过程信息进行加密，得到加密后的加密过程信息，将所述加密后的加密过程信息和所述加密识别码发送给所述安全支撑子系统。

所述数据安全模块，用于接收第一处理模块发送的加密后的加密过程信息和加密识别码，使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息。

所述第二处理模块，用于在接收端接收到所述数据密文和所述加密识别码后，针对所述数据密文，依据所述加密识别码生成解密请求，将所述解密请求提交给所述安全支撑子系统。

所述数据安全模块，还用于依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息，对映射到的加密过程信息进行处理，生成对应的解密配置信息，将所述解密配置信息反馈给所述第二处理模块。

所述第二处理模块，还用于依据所述解密配置信息生成所述数据密文对应的数据明文，并将所述数据明文提供给所述接收端。

可选地，所述第一处理模块，还用于在将所述数据密文和所述加密配置信息对应的加密识别码发送给接收端之前，对所述数据密文进行数据摘要运算，生成所述数据密文对应的原始数据摘要，将所述原始数据摘要添加到所述加密识别码中。所述第二处理模块，还用于对所述数据密文进行数据完整性验证，生成验证数据摘要；检测所述验证数据摘要是否与所述加密识别码中的原始数据摘要一致，若所述验证数据摘要与所述原始数据摘要一致，则执行所述依据所述加密识别码生成解密请求的步骤。

可选地，所述安全支撑子系统还包括：身份认证模块。所述第一处理模块，还用于根据预先配置的第一身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述从所述安全支撑子系统中获取预先配置的加密配置信息的步骤。所述第二处理模块，还用于根据预先配置的第二身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述依据所述加密识别码生成解密请求的步骤。

可选地，所述第一处理模块应用于租户终端中。所述第一处理模块，还用于设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述身份认证模块，用于依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述数据安全模块，还用于依据所述数据安全配置信息，设置数据安全管理信息。

可选地，所述接收端为租户终端。所述第二处理模块，还用于设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述身份认证模块，用于依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述数据安全模块，还用于依据所述数据安全配置信息，设置数据安全管理信息。

可选地，所述数据安全管理信息包括以下至少一项：机密性管理信息，完整性管理信息和加解密管理信息；所述机密性管理信息包括以下至少一项：加密配置信息、密码算法类型设置信息、加密模式设置信息、密钥配置信息、临时密钥设置信息；所述加密过程信息包括以下至少一项：加密密码算法类型、加密密码算法、加密模式、加密密钥和加密日志；所述解密配置信息包括以下至少一项：解密密码算法类型、解密密码算法、解密模式、解密密钥。

本发明实施例公开了一种数据安全管理方法，应用于数据安全管理系统，所述系统包括安全服务子系统和安全支撑子系统，所述安全服务子系统包括：第一处理模块和第二处理模块，所述安全支撑子系统包括数据安全模块，所述方法包括：

所述第一处理模块从所述安全支撑子系统中获取预先配置的加密配置信息，根据所述加密配置信息对数据明文进行加密，得到数据密文和加密过程对应的加密识别码，将所述数据密文和所述加密过程对应的加密识别码发送给接收端；以及，依据预先配置的用户根密钥，利用预置的非对称密码算法对所述数据密文对应的加密过程信息进行加密，得到加密后的加密过程信息，将所述加密后的加密过程信息和所述加密识别码发送给所述安全支撑子系统；

所述数据安全模块在接收第一处理模块发送的加密后的加密过程信息和加密识别码后，使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息；

所述第二处理模块在接收端接收到所述数据密文和所述加密识别码后，针对所述数据密文，依据所述加密识别码生成解密请求，将所述解密请求提交给所述安全支撑子系统；

所述安全支撑子系统中的数据安全模块依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息，对映射到的加密后的加密过程信息进行处理，生成对应的解密配置信息，以及将所述解密配置信息反馈给所述第二处理模块；

所述第二处理模块依据所述解密配置信息生成所述数据密文对应的数据明文，并将所述数据明文提供给所述接收端。

可选地，在将所述数据密文和所述加密配置信息对应的加密识别码发送给接收端之前，还包括：所述第一处理模块对所述数据密文进行数据摘要运算，生成所述数据密文对应的原始数据摘要，将所述原始数据摘要添加到所述加密识别码中。所述第二处理模块对所述数据密文进行数据完整性验证，生成验证数据摘要；检测所述验证数据摘要是否与所述加密识别码中的原始数据摘要一致，若所述验证数据摘要与所述原始数据摘要一致，则执行所述依据所述加密识别码生成解密请求的步骤。

可选地，所述安全支撑子系统还包括身份认证模块，所述方法还包括：

所述第一处理模块根据预先配置的第一身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述从所述安全支撑子系统中获取预先配置的加密配置信息的步骤；

所述第二处理模块根据预先配置的第二身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述依据所述加密识别码生成解密请求的步骤。

可选地，所述第一处理模块应用于租户终端中。所述第一处理模块设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述身份认证模块依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述数据安全模块依据所述数据安全配置信息，设置数据安全管理信息。

可选地，所述接收端为租户终端。所述第二处理模块设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述安全支撑子系统中的身份认证模块依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述安全支撑子系统中的数据安全模块依据所述数据安全配置信息，设置数据安全管理信息。

可选地，所述数据安全管理信息包括以下至少一项：机密性管理信息，完整性管理信息和加解密管理信息；所述机密性管理信息包括以下至少一项：加密配置信息、密码算法类型设置信息、加密模式设置信息、密钥配置信息、临时密钥设置信息；所述加密过程信息包括以下至少一项：加密密码算法类型、加密密码算法、加密模式、加密密钥和加密日志；

所述解密配置信息包括以下至少一项：解密密码算法类型、解密密码算法、解密模式、解密密钥。

本发明实施例包括以下优点：

本发明实施例提供的数据安全管理系统和方法，在满足业务需求的同时，可通过安全服务子系统，依据安全支撑子系统中预先配置的加密配置信息对数据明文进行加密，且该加密配置信息可以是数据安全管理系统依据云租户提供的信息进行设置的，使得云租户能够对其所提供的数据资产进行自主防护，解决了现有云计算服务过程云租户数据资产无法自主防护所导致的数据安全问题，消除了云租户对数据安全的顾虑，使得云计算服务的应用更加广泛，能够扩大云计算服务的应用范围，促进云计算服务的高速发展。

附图说明

图1是本发明的一种数据安全管理系统实施例的结构框图；

图2是本发明一个示例中的一种数据安全管理系统架构图；

图3是本发明一个示例中的平台云端模块对发送的数据明文进行加密的示意图；

图4是本发明一个示例中的租户终端模块对接收到的数据密文进行解密的示意图；

图5是本发明的一种数据安全管理方法实施例的步骤流程图；

图6是本发明一个示例中的数据安全管理系统对数据安全进行管理的示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

云计算是一种基于网络的计算模式，帮助用户方便地从可配置的计算资源共享池中快速、便捷地获取需要的资源，同时可以将资源管理工作和与服务商的交互减小到最低限度。

在云计算服务过程中，云租户通过有偿或无偿的方式，获取云服务商提供的云计算服务，如云租户可以利用云服务商提供的云平台管理系统，将特定的应用和数据上传到云服务商的云平台；并且可以按照云服务商提供的服务与技术规则，利用云平台管理系统完成云应用和对应云存储的配置、初始化，从而实现云应用和对应云存储在云平台的托管。其中，云租户可以包括基于云服务构建应用的政府机构、企事业单位和个人等等；云服务商可以包括云计算服务的提供商。

云用户也可以利用云平台管理系统提供的特定云应用入口，与云应用交互，透明地获取云应用提供的服务。其中，透明地获取云应用提供的服务是指：云用户使用云应用满足特定的业务需求时，无需关注云应用的实现架构、部署方式等系统特性。从云用户的感知层面，使用云应用与使用本地应用无明显差异。云应用可以将运行过程中涉及的数据存储到对应的云存储。云用户可以包括使用云应用的政府机构、企事业单位和个人等等。

云计算服务本质上一种托管服务过程。云租户将数据资产托管在云平台上，云服务商对云租户所托管的数据资产拥有实际控制权，即云租户已经丧失了数据的自主控制权。现有云服务商与云租户间缺失信任机制。对于云服务商的约束，仅依靠云服务商自律。即使云服务商泄漏和非法授权使用云租户的数据资产，云租户也无从知晓，因此现有技术中云租户无法约束云服务商行为，存在数据安全隐患。

本发明实施例的核心构思之一在于，利用加密技术，提出一种数据安全管理系统和方法，使得云租户能够对其所提供的数据资产进行自主防护，解决现有云计算服务过程中云租户无法约束云服务商行为的缺陷，消除了云服务商泄漏和非授权使用云租户数据资产的风险。

参照图1，示出了本发明的一种数据安全管理系统实施例的结构框图，该数据安全管理系统100可以包括：安全服务子系统110和安全支撑子系统120。安全服务子系统110可以包括第一处理模块111和第二处理模块112。安全支撑子系统120可以包括数据安全模块121。

其中，所述第一处理模块111，用于从所述安全支撑子系统110中获取预先配置的加密配置信息，根据加密配置信息对数据明文进行加密，得到数据密文和加密过程对应的加密识别码，将所述数据密文和所述加密过程对应的加密识别码发送给接收端；以及，依据安全支撑子系统110中预先配置的用户根密钥，利用预置的非对称密码算法对所述数据密文对应的加密过程信息进行加密，得到加密后的加密过程信息，将所述加密后的加密过程信息和所述加密识别码发送给所述安全支撑子系统120。

需要说明的是，非对称密码算法可以依据非对称技术进行设置，且可以用于生成非对称密码算法的用户私密钥和用户公钥。本发明实施例中的用户根密钥本质上可以是用户私密钥，如可以是数据销毁系统初始化时配置给发送端的用户私密钥。在生成用户私密钥的同时时，还可以利用非对称加密技术，生成发送端对应的用户公钥，本发明实施例对此不作具体限制。

所述安全支撑子系统120中的数据安全模块121，用于接收第一处理模块发送的加密后的加密过程信息和加密识别码，使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息，以便后续依据加密过程信息生成对应的解密配置信息。可选的，数据安全模块121还可以对加密识别码和解码后得到的加密过程信息进行关联存储。

所述第二处理模块112，用于在接收端接收到所述数据密文和所述加密识别码后，依据所述加密识别码生成所述数据密文对应的解密请求，将所述解密请求提交给所述安全支撑子系统120。

所述安全支撑子系统120中的数据安全模块121，用于依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息；对映射到的加密过程信息进行处理，生成对应的解密配置信息；以及，将所述解密配置信息反馈给所述第二处理模块112。

所述第二处理模块112，还用于依据所述解密配置信息生成所述数据密文对应的数据明文，并将所述数据明文提供给所述接收端。

在具体实现中，可以基于应用场景，对数据安全管理系统中的每个模块进行部署。例如，在云用户向云应用发送数据的场景中，安全服务子系统中的第一处理模块可以部署在用户终端中，作为用户终端模块，且可以根据该数据安全管理系统的安全支撑子系统中预先配置的加密配置信息，如预先配置的密码算法、加密模式等，对云用户准备发送给云应用的数据明文进行数据加密，得到数据加密后的数据密文以及加密过程对应的加密识别码，然后可通过特定信道将云用户的数据密文和加密识别码发送给云平台，以通过云平台将数据密文和加密识别码转发给云应用，如可以按照预设的特定规则对数据密文和加密过程对应的加密识别码进行封装，将封装后的数据密文和加密识别码发送给云应用，从而使得云应用可以获取到该数据密文和加密识别码；同时，可以提取数据加密的加密过程信息，对提取到的加密过程信息进行封装，并可以使用预先在安全支撑子系统中设置的用户根密钥进行加密，如可以使用云用户的用户根密钥，即使用在初始阶段配置给云用户的用户私密钥，利用非对称加密技术对加密过程信息进行加密，得到加密后的加密过程信息，以及，可在加密后的加密过程信息中附上加密识别码，随后可通过安全信道，将加密后的加密过程信息和加密识别码提交给安全支撑子系统，如可以按照特定规则对加密后的加密过程信息和加密识别码进行封装，然后通过安全信道，将封装后的加密过程信息和加密识别码发送给安全支撑子系统，使得安全支撑子系统中的数据安全模块可以接收到的加密后的加密过程信息和加密识别码。数据安全模块在接收到用户终端模块发送的加密后的加密过程信息和加密识别码后，可基于接收到的加密后的加密过程信息和加密识别码构建对应的加密过程信息数据库，如可以按照预设的特定规则对接收到的加密识别码和加密后的加密过程信息进行拆分，拆分后可以得到加密识别码和加密后的加密过程信息，随后可使用用户终端模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息，以及将该加密过程信息安全存储至加密过程信息数据库中，实现了对加密过程信息的安全存储。该加密过程信息数据库可以包含加密后的加密过程信息和加密识别码之间的关联关系、加密后的加密过程信息、加密识别码等等。安全服务子系统中的第二处理模块可作为平台云端模块，且可以以软件形态部署在接收端中，如可以部署在接收端的云应用中；也可以采用硬件形式部署在接收端中，本发明实施例对此不作限制。接收端可以包括安装有云应用的设备，如可以是服务器设备等。云应用在接收到数据密文和加密识别码后，可通过安全服务子系统中的第二处理模块提取接收到的加密识别码和数据密文，如可通过第二处理模块，按照特定规则对接收到的数据密文和加密识别码进行拆分，从而可拆分得到数据密文和加密识别码，随后可针对接收到的数据密文，向安全支撑子系统发起解密请求。该解密请求可以携带有提取到的加密识别码。安全支撑子系统中的数据安全模块在安全支撑子系统接收到解密请求后，可以提取加密识别码中的唯一标识号，然后可依据唯一标识号在预先生成的加密过程信息数据库映射出该加密识别码对应的加密过程信息。该加密过程信息可以是记录特定的数据加密操作过程的相关信息集合，具体可以包括数据加密时的过程信息，如可以包括：数据加密时使用的加密密码算法类型、加密密码算法、加密模式、加密密钥等，以及还可包括加密日志等。数据安全模块可以对映射到的加密过程信息进行处理，生成对应的解密配置信息，随后可将解密配置信息反馈给安全服务子系统中的第二处理模块。第二处理模块在接收到解密配置信息后，可以根据解密配置信息对云用户发送给云应用的数据密文进行数据解密，得到数据明文，并提供给云应用使用，满足业务需求。其中，解密配置信息可以是记录特定的数据解密操作过程的相关信息集合，具体可以包括：对数据密文进行数据解密操作时所需要使用的信息，如可以包括：数据解密时使用的解密密码算法类型、解密密码算法、解密模式、解密密钥等。

当然，本发明实施例中提供的数据安全管理系统还可以应用在其他场景，如可以应用在诸如云应用向云租户发送数据的场景、云租户向云应用发送数据的场景、云应用向云用户发送数据场景等，本发明实施例对此不作具体限制。

需要说明的是，数据安全管理系统中预先配置的信息，如安全支撑子系统中预先配置的加密配置信息、用户根密钥等等，可以由云租户手动设置，也可以由数据安全管理系统根据导入的安全管理策略进行自动设置，本发明实施例对此不作限制。该安全管理策略可以由云租户提供，且可以用于在数据安全管理系统初始化时自动配置用户分组、用户权限、用户根密钥，加密配置信息等等，本发明实施例对此也不作限制。

综上，本发明实施例的数据安全管理系统，在满足业务需求的同时可以通过安全服务子系统，依据安全支撑子系统中预先配置的加密配置信息对数据明文进行加密，且该加密配置信息可以是数据安全管理系统依据云租户提供的信息进行设置的，使得云租户能够对其所提供的数据资产进行自主防护，解决了现有云计算服务过程云租户数据资产无法自主防护所导致的数据安全问题，消除了云租户对数据安全的顾虑，使得云计算服务的应用更加广泛，能够扩大云计算服务的应用范围，促进云计算服务的高速发展。

此外，安全服务子系统中的第一处理模块可依据安全支撑子系统中预先配置的用户根密钥，利用预置的非对称密码算法对数据密文对应的加密过程信息进行加密，随后可将述加密后的加密过程信息发送给安全支撑子系统；且该安全支撑子系统在接收加密后的加密过程信息后，可使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，能够给进行抗抵赖，加强了信息安全的抗抵赖性。

在本发明实施例中，加密识别码可以包含记录特定的数据加密操作对应的唯一标识号，如数据加密操作对应的流水号等。可选的，加密识别码中还可以包括数据密文的数据摘要，该数据摘要可以用于验证数据完整性。在具体实现中，数据安全管理系统中的模块，如上述安全服务子系统中的第一处理模块、第二处理模块、安全支撑子系统中的数据安全模块等等，可以依据初始化配置中完整性验证的开闭设置情况，来确定是否需要依据数据摘要验证数据密文的数据完整性。若数据安全管理系统初始化配置中将数据完整性验证功能设置为开启状态，则安全服务子系统中的第一处理模块可以中加密识别码中添加原始数据摘要，并将添加了原始数据摘要的加密识别码发送给安全服务子系统中的第二处理模块，使得第二处理模块依据加密识别码中的原始数据摘要验证接收到的数据密文的数据完整性。

在本发明的一个可选实施方式中，所述第一处理模块111，还用于在将所述数据密文和所述加密配置信息对应的加密识别码发送给接收端之前，对所述数据密文进行数据摘要运算，生成原始数据摘要，将所述原始数据摘要添加到所述加密识别码中。所述第二处理模块112，还用于对所述数据密文进行数据完整性验证，生成验证数据摘要；检测所述验证数据摘要是否与所述加密识别码中的原始数据摘要一致，若所述验证数据摘要与所述原始数据摘要一致，则执行所述依据所述加密识别码生成解密请求的步骤。

数据安全模块在接收第一处理模块发送的加密后的加密过程信息和加密识别码后，可以按照特定规则进行拆分，拆分后可得到加密识别码和加密后的加密过程信息，以及，可使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息。在接收到第二处理模块发送的解密请求后，数据安全模块还可以依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息；对映射到的加密过程信息进行处理，生成对应的解密配置信息，随后可将生成的解密配置信息反馈给所述第二处理模块，使得第二处理模块可以依据接收到的解密配置信息对数据密文进行解密。

作为本发明的一个示例，在云应用向云用户发送数据的场景中，安全服务子系统中的第一处理模块可以部署在云应用中，作为平台云端模块，且可以根据预先在该数据安全管理系统的安全支撑子系统中配置的加密配置信息，如预先配置的加密算法、加密模式等，对云应用准备发送给云用户的数据明文进行数据加密，生成数据加密后的数据密文。若数据安全管理系统开启了数据完整性验证，则第一处理模块可在数据加密后，对数据密文进行数据摘要运算，生成原始数据摘要，并将该原始数据摘要写入加密识别码中。若数据安全管理系统未开启数据完整性验证，则加密识别码可以不包含原始数据摘要，只包含唯一标识号，本发明实施例对此不作限制。第一处理模块可通过特定信道，将云应用的数据密文和加密识别码发送给云发送给云平台，以通过云平台将数据密文和加密识别码转发给云用户所使用的用户终端，使得云用户所使用的用户终端可以接收到该数据密文和加密识别码；并且，可以按照特定规则对数据加密时的加密过程信息进行封装，以及，可以使用预先设置的用户根密钥，如云应用的用户根密钥等等，利用非对称加密技术对加密过程信息进行加密，得到封装、加密后的加密过程信息，随后可通过安全通道，将加密后的加密过程信息和添加了原始数据摘要的加密识别码发送给安全支撑子系统中的数据安全模块。

云用户在接收云平台转发的数据密文和加密识别码后，可以根据数据安全管理系统在初始化配置中设置的数据完整性验证情况，进行数据完整性验证。若初始化配置中关闭了数据完整性验证，则可以确定数据完整性验证成功，并可按照完整性验证成功的流程对接收到的数据密文和加密识别码进行处理，如可以直接按验证成功的进行操作。具体而言，安全服务子系统中的第二处理模块可以部署在云用户所使用的用户终端中，作为用户终端模块。用户终端在接收到数据密文和加密识别码后，可通过第二处理模块，按照特定规则进行拆分，拆分后得到数据密文和加密识别码，随后可对拆分后得到的数据密文进行数据完整性验证，生成验证数据摘要，然后可将生成的验证数据摘要与接收到的加密识别码中的原始数据摘要进行比较、匹配。若生成的验证数据摘要与原始数据摘要匹配失败，则可以终止终止云数据安全管理服务，如可以忽略或丢弃接收到的数据密文等等；若生成的验证数据摘要与原始数据摘要匹配成功，则可以通过数据安全管理系统中的第二处理模块依据接收到的加密识别码，针对接收到的数据密文向安全支撑子系统中的数据安全模块发起解密请求。其中，解密请求可以携带有加密识别码。

安全支撑子系统中的数据安全模块在接收到解密请求后，可以对该解密请求进行响应。具体的，数据安全模块可以提取加密识别码中的唯一标识号，然后可依据该唯一标识号与加密过程信息数据库中存储的信息进行匹配，以匹配到的加密识别码对应加密后的加密过程信息，如可以依据加密识别码中的唯一标识号进行映射，以映射出数据加密时的加密过程信息。数据安全模块可以对映射到的加密过程信息进行处理，得到对数据密文进行数据解密操作时对应的解密配置信息，随后可通过安全通道将该解密配置信息反馈给安全服务子系统中的第二处理模块。

安全服务子系统中的第二处理模块在接收到解密配置信息后，可以依据接收到的解密配置信息对用户终端接收到的数据密文进行解密，如可根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥等对云应用发送给云用户的数据密文进行数据解密，得到对应的数据明文，并且可以将该数据明文提供给云用户使用，满足业务需求。可选的，第二处理模块还可以在数解密过程中，还可以记录对应的解密日志，以便后续可依据记录的解密日志进行分析审计。

在本发明实施例中，可选的，安全支撑子系统还可以包括：身份认证模块。具体的，身份认证模块可以用于提供用户管理和/或身份认证服务。其中，身份认证模块提供的用户管理服务可以包括：设置用户分组、用户权限和用户根密钥等等，如可以依据云用户从系统界面添加的用户帐号，设置用户分组、用户权限和用户根密钥；又如，可以依据设置的导入策略，从离线文件或云应用中批量、动态地导入用户帐号，自动配置用户分组、用户权限和用户根密钥等等。身份认证模块提供的身份认证服务可以包括以下至少一项：设置身份认证的方式、设置身份认证的模式，设置临时授权的条件、对特定用户控制身份认证的开闭等等。

可选的，身份认证的方式可以包括以下至少一种：静态口令认证方式、动态口令认证方式、生物特征认证方式、其他根据实际安全环境或安全防护需求自定义的认证方式等等，本发明实施例对此不作限制。身份认证的模式可以包括下至少一种：单因素认证模式、多因素认证模式、双向身份认证模式、其他根据实际安全环境或安全防护需求自定义的认证模式等等，本发明实施例对此也不作限制。身份认证模块在特定用户满足自定义条件时，可以对特定用户提供临时授权。

安全服务子系统中的第一处理模块111，还用于根据预先配置的第一身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述从所述安全支撑子系统中获取预先配置的加密配置信息步骤。若身份认证失败，则可以终止云数据安全管理服务，如可以不生成数据明文对应的数据密文等等。

安全服务子系统中的第二处理模块112，还用于根据预先配置的第二身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述依据所述加密识别码生成所述数据密文对应的解密请求的步骤。若身份认证失败，则可以终止云数据安全管理服务，如不针对数据密文生成解密请求等等。

在具体实现中，租户可以通过数据安全管理系统中的租户终端模块，对云数据安全管理系统进行初始化配置，如可以添加数据安全管理系统中的用户，设置用户分组、用户权限和用户根密钥等等；又如可以设置身份认证方式、身份认证模式、临时授权的条件、密码算法类型、密码算法、加密模式、特定用户身份认证的开闭情况等等；还可以配置密钥管理过程信息、完整性管理信息等等，本发明实施例对此不作限制。

在实际应用中，数据安全管理系统中的这些模块可以使用不同的形态或方式部署在应用场景中的。具体而言，为保证数据安全管理方法的用户体验，该数据安全管理系统中每个模块，如图1中的第一处理模块111、第二处理模块112、数据安全模块121、身份认证模块等等，都可以采用软件、硬件部署在应用场景的处理终端中。该处理终端可以包括云计算服务过程中的任意一处理端，如租户终端、用户终端、云平台中的云端设备(简称平台云端)等等。平台云端可以包括云应用所在的设备，如服务器设备。当然，数据安全管理系统中每个模块也可以采用其他方式部署在应用场景中，如可以采用安全插件、服务接口、应用程序编程接口(ApplicationProgramming Interface，API)、软件开发工具包(SoftwareDevelopment Kit，SDK)等方式进行部署，还可以采用其他根据实际安全环境或安全防护需求定制的形态部署在应用场景中，本发明实施例对此不作限制。

在本发明实施例中，数据安全管理系统可以包括至少两个子系统，从而可以通过至少两个子系统之间的数据交互实现数据安全管理。例如，如图2所示，该数据管理系统100可以由安全服务子系统110和安全支撑子系统120组成，可以为云租户、云应用、云用户提供云数据安全管理服务。具体的，安全服务子系统110可以为云租户、云应用、云用户提供云数据安全管理服务，具体可以包括以下至少两个模块：租户终端模块211、平台云端模块212和用户终端模块213。安全支撑子系统120可以与安全服务子系统110的租户终端模块211、平台云端模块212、用户终端模块213进行交互，并且可以为云租户、云应用、云用户获得云数据安全管理服务提供支撑，具体可以包括身份认证模块221、数据安全模块121。

其中，租户终端模块211可以是云租户参与云计算服务的安全媒介，具体可以包括身份认证子模块、数据安全子模块和安全配置子模块。身份认证子模块可以与安全支撑子系统120的身份认证模块221进行交互，实现云租户与安全支撑子系统120的身份认证。数据安全子模块可以基于国密兼容国际主流标准密码算法，与安全支撑子系统120的数据安全模块121进行交互，保证云租户与云应用间数据传输的机密性和完整性。

具体的，在云租户与云应用的交互过程中，租户终端模块221中的数据安全子模块可以依据预先在安全支撑子系统120的数据安全模块121中设置的对称密码算法或/和非对称密码算法，对云租户发送给云应用的数据明文进行加密、对云应用发送给云租户的数据密文进行解密，从而保证云租户与云应用间数据传输的机密性。此外，租户终端模块221中的数据安全子模块还支持摘要算法，可以依据摘要算法对云租户与云应用间传输的数据进行完整性验证。

租户终端模块221中的安全配置子模块可以用于配置云数据安全管理系统，具体可以包括身份认证配置、数据安全配置。一个可选示例中，云租户可以通过部署在租户终端中的租户终端模块211，对安全支撑子系统120的身份认证模块221进行身份认证配置，具体可以包括用户帐号管理、身份认证管理等等。具体的，数据安全管理系统中可以支持人工手动和自动这两种方式对用户帐号进行管理，如云租户可以从数据安全管理系统的系统界面添加用户帐号，并且可以设置用户分组、用户权限和用户根密钥等等；又如，租户终端模块211中的安全配置子模块可以根据云租户设置的导入策略，从离线文件或云应用批量、动态导入用户帐号，并且可自动配置用户分组、用户权限和用户根密钥等等。

当然，云租户可以通过租户终端模块221的安全配置子模块对数据安全管理系统中的身份认证进行管理，如可以设置身份认证的方式，具体可以包括：静态口令认证方式、动态口令认证方式、生物特征认证方式、其他根据实际安全环境或安全防护需求自定义的认证方式等等，生物特征认证方式可以利用诸如指纹、虹膜、声纹等其中一种或几种生物特征进行认证；又如可以设置身份认证的模式，可以包括单因素认证模式、多因素认证模式、双向身份认证模式、其他根据实际安全环境或安全防护需求自定义的认证模式等等，多因素认证模式可以采用一种或多种身份认证方式，如可以静态口令认证方式、动态口令认证方式以及生物特征认证方式等；又如可以对特定用户设置身份认证的开闭情况，如针对认证流程繁琐的情形，可对特定用户关闭身份认证功能，以简化特定用户的认证流程；还可设置临时授权的条件，以在满足自定义条件时对特定用户提供临时授权等等。

此外，云租户也可以通过租户终端模块，对安全支撑子系统的身份认证模块进行身份认证配置，如设置机密性管理信息、完整性管理信息。其中，机密性管理信息可以包括以下至少一项：加密配置信息、密码算法类型设置信息、加密模式设置信息、密钥配置信息、临时密钥设置信息等等。加密配置信息可包括数据安全管理系统中设置的密码算法、加密模式等等，密码算法可包括对称密码算法和非对称密码算法。密码算法类型设置信息可以用于设置密码算法类型。在已设置密码算法类型的情况下，可以选择密码算法。加密模式设置信息可以用于设置加密模式，如可以设置一次加密、迭代加密(多重加密)、其他根据实际安全环境或安全防护需求自定义的加密模式等等。密钥配置信息可以用于对密钥分类、分配、注入、存储、更新、销毁、查询等过程进行配置。临时密钥设置信息可以用于设置提供临时密钥的条件，以在满足云租户自定义的临时密钥的条件时，对特定用户提供临时密钥。完整性管理信息可以用于控制数据完整性验证的开闭，如在开启数据安全管理系统的数据完整性验证功能时，可以选择摘要算法对数据明文进行完整性验证。

平台云端模块212可以是云应用参与云计算服务的安全媒介，可以包括身份认证子模块和数据安全子模块。平台云端模块212中的身份认证子模块可以与安全支撑子系统120的身份认证模块221交互，实现云应用与安全支撑子系统120的身份认证。平台云端模块212中的数据安全子模块可以基于国密兼容国际主流标准密码算法，与安全支撑子系统120的数据安全模块121交互，保证云应用与云租户间数据传输的机密性和完整性。

具体的，在云应用与云租户的交互过程中，平台云端模块212中的数据安全子模块可依据安全支撑子系中预先设置的对称密码算法或/和非对称密码算法，对云应用发送给云租户的数据明文进行加密、对云租户发送给云应用的数据密文进行解密，从而保证云应用与云租户间数据传输的机密性；此外，平台云端模块212中的数据安全子模块还支持摘要算法，如可以依据信息-摘要算法(Message-Digest Algorithm 5，MD5)对云应用与云租户之间传输的数据密文进行完整性验证。

用户终端模块213可以是云用户参与云计算服务的安全媒介，可包括身份认证子模块、数据安全子模块。用户终端模块213中的身份认证子模块，可与安全支撑子系统120的身份认证模块221进行交互，实现云用户与安全支撑子系统120的身份认证。用户终端模块213中的数据安全子模块，可基于国密兼容国际主流标准密码算法，与安全支撑子系统120的数据安全模块121进行交互，从而保证云用户与云应用间数据传输的机密性和完整性。

具体的，在云用户与云应用的交互过程中，用户终端模块213中的数据安全子模块可以依据安全支撑子系中预先设置的对称密码算法或/和非对称密码算法，对云用户发送给云应用的数据明文进行加密、对云应用发送给云用户的数据密文进行解密，从而保证云用户与云应用间数据传输的机密性。此外，用户终端模块213中的数据安全子模块还支持摘要算法，可以依据摘要算法对云用户与云应用间传输的数据进行完整性验证。

安全支撑子系中的数据安全模块121可以为云数据安全管理服务提供支撑，可以用于设置包括数据安全管理信息。该数据安全管理信息包括以下至少一项：机密性管理信息、完整性管理信息和加解密管理信息等等。其中，机密性管理信息可与用于设置密码算法类型、加密模式、提供临时密钥的条件等等，还可以对密钥分类、分配、注入、存储、更新、销毁、查询等过程进行配置。完整性管理信息可以用于控制是否提供数据完整性验证服务，如可以控制是否开启数据安全管理系统的数据完整性验证功能。在在开启数据安全管理系统的数据完整性验证功能时，可以选择摘要算法对数据明文进行完整性验证。加解密管理信息可以用于提供加密识别码和加密过程信息的关联存储与查询服务。例如，安全支撑子系120中的数据安全模块121可以对加密过程信息进行逆向处理，得到该加密过程信息对应的解密配置信息，该解密配置信息可以用于实现特定数据加密操作对应的数据解密操作。此外，数据安全模块121还可以对加密识别码和加密过程信息进行关联存储，且在存储过程中可以不破坏多类数据对象间的关联关系，如可从加密过程信息数据库中读取加密过程信息，随后进而依据读取到的加密过程信息查找到对应的加密识别码。

在本发明的一种可选实施方式中，第一处理模块应用于租户终端中；所述第一处理模块111，还用于设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息发送给和所述数据安全配置信息发送给所述安全支撑子系120。所述安全支撑子系120中的身份认证模块221，用于依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述安全支撑子系120中的数据安全模块121，还用于依据所述数据安全配置信息，设置数据安全管理信息。

具体而言，当安全服务子系统中的第一处理模块部署在云租户所使用的租户终端中，可以将该第一处理模块作为租户终端模块，使得云租户通过第一处理模块对云数据安全管理系统进行初始化配置。具体的，云租户可通过第一处理模块的安全配置子模块，对云数据安全管理系统进行初始化配置，如添加云数据安全管理系统的用户、设置身份认证方式、设置身份认证模式、对特定用户设置身份认证的开闭、设置临时授权的条件、设置加密模式、设置提供临时密钥的条件、配置密钥管理过程信息、配置完整性管理信息，等等。

其中，在数据安全管理系统中设置的加密模式可以包括：一次加密、迭代加密、其他根据实际安全环境或安全防护需求自定义的加密模式等等，本发明实施例对此也不作具体限制。在数据安全管理系统中配置的密钥管理过程信息，可以包括对密钥分类、分配、注入、存储、更新、销毁、查询等密钥管理过程进行详细配置的信息，具体可以用于对数据安全管理系统中的密钥进行管理，实现了数据安全管理系统的高级密钥管理功能，方便云租户对数据安全管理系统中的密钥进行管理。此外，数据安全管理系统可以提供默认模式，以快速实现云数据安全管理系统基本功能的配置，如在无特殊安全要求的情况下，可以选择默认模式，以通过一键配置的方式实现云数据安全管理系统基本功能的配置，方便云租户完成数据安全管理系统的配置、操作简单，提高数据安全管理系统的配置效率。

可选的，在第一处理模块设置了密码算法类型后，可以选择该密码算法类型对应的密码算法，如可以选择密码算法类型对应的对称密码算法，也可以选择密码算法类型对应的非对称密码算法等等，本发明实施例对此不作限制。在设置数据完整性验证的开闭情况后，可以选择相应的摘要算法，以使数据安全管理系统中的模块依据选择的摘要算法进行数据完整性验证。

例如，在云租户向云应用发送数据的场景中，安全服务子系统中的第一处理模块可以部署在租户终端中，作为租户终端模块；第一处理模块可以部署在云平台的云应用中，作为平台云端模块。第一处理模块(即租户终端模块)可根据在数据安全管理系统的初始化配置中设置的身份认证方式和身份认证模式，将云租户与安全支撑子系统中的身份认证模块进行身份认证。如果数据安全管理系统在初始化配置中关闭了身份认证功能，则可以直接按认证成功进行操作。若身份认证失败，则租户终端模块可以终止云数据安全管理服务；若身份认证成功，则租户终端模块可以提供云数据安全管理服务，亦即云租户可通过租户终端模块对其所要发送的数据明文进行数据加密，以保证数据安全。

具体而言，租户终端模块可以针对云租户所要发送的数据明文，从安全支撑子系统中获取预先设置的加密配置信息，随后可根据获取到的加密配置信息对数据明文进行数据加密，如可根据数据安全管理系统初始化时在安全支撑子系统中设置的密码算法类型和加密模式，对云租户准备发送给云应用的数据明文进行数据加密。若数据安全管理系统中开启了数据完整性验证，则租户终端模块可在数据加密后，对数据加密后的数据密文进行数据摘要运算，生成原始数据摘要，并且可将该原始数据摘要写入加密识别码。若数据安全管理系统中未开启数据完整性验证，则加密识别码可只包含唯一标识号。租户终端模块可通过特定信道将云租户的数据密文和加密识别码发送给云平台，以通过云平台将数据密文和加密识别码转发给云应用，从而使得云应用可以获取到该数据密文和加密识别码。

此外，租户终端模块还可以提取数据加密的加密过程信息，并可以使用云租户的用户根密钥进行加密、封装，得到加密后的加密过程信息；以及，可在加密后的加密过程信息中附上加密识别码，随后通过安全信道，将加密后的加密过程信息和加密识别码提交给安全支撑子系统，使得安全支撑子系统中的数据安全模块可以接收到的加密后的加密过程信息和加密识别码。

云应用在接收到数据密文和加密识别码后，可根据在数据安全管理系统初始化配置中设置的数据完整性验证情况进行数据完整性验证。如果初始化配置中关闭了数据完整性验证，则可以直接按验证成功进行操作。具体的，在数据安全管理系统中开启了数据完整性验证的情况下，云应用可通过第二处理模块(即平台云端模块)，对接收到的数据密文进行数据完整性验证，生成验证数据摘要，随后可将该验证数据摘要与加密识别码中原始数据摘要进行匹配。若匹配失败，则平台云端模块可以终止云数据安全管理服务。若匹配成功，则云应用可以通过平台云端模块，根据初始化配置中设置的身份认证方式和身份认证模式，与安全支撑子系统中的身份认证模块进行身份认证。如果数据安全管理系统在初始化配置中关闭了身份认证功能，则可以直接按认证成功进行操作。若身份认证失败，则平台云端模块可以终止云数据安全管理服务；若身份认证成功，则平台云端模块可以提供云数据安全管理服务，亦即云租户可通过平台云端模块，依据接收到加密识别码，向安全支撑子系统发起解密请求，如可以通过安全信道，将携带有加密识别码的解密请求提交给安全支撑子系统中的数据安全模块。

安全支撑子系统中的数据安全模块可响应解密请求。具体的，数据安全模块在安全支撑子系统接收到解密请求后，可以从该解密请求中，提取加密识别码中的唯一标识号，然后在加密过程信息数据库中对该唯一标识号进行映射，以映射到加密识别码对应的加密过程信息，即映射出数据加密时的加密过程信息。随后，数据安全模块可以对映射出的加密过程信息进行处理，得到对数据密文进行数据解密操作时对应的解密配置信息，通过安全信道将解密配置信息发送给安全服务子系统中的平台云端模块，即将解密配置信息提供给平台云端模块使用。平台云端模块可以根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥等，对云租户发送给云应用的数据密文进行数据解密，得到数据明文，将数据明文提给供云应用使用，满足业务需求。

当然，数据安全管理系统中的其他模块也可以部署在云租户所使用的租户终端中，如可以将第二处理模块部署在租户终端中，本发明实施例对此不作具体限制。

在具体实现中，当接收端为云租户所使用的租户终端，且安全服务子系统的第二处理模块部署在接收端中，第二处理模块可以作为租户终端模块，使得云租户通过第二处理模块对数据安全管理系统进行初始化配置。因此，在本发明的另一个可选实施例中，接收端可以为租户终端；所述第二处理模块112，还用于设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述安全支撑子系统中的身份认证模块，用于依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述安全支撑子系统中的数据安全模块121，还用于依据所述数据安全配置信息，设置数据安全管理信息。

例如，在云应用向云租户发送数据的场景中，安全服务子系统的第一处理模块可以部署在云平台的云应用中，作为平台云端模块；安全服务子系统的第二处理模块可以部署在租户终端中，作为租户终端模块。云应用可以通过平台云端模块，根据数据安全管理系统在初始化配置中设置的身份认证方式和身份认证模式，与安全支撑子系统进行身份认证。如果数据安全管理系统在初始化配置中关闭了身份认证功能，则可以直接按认证成功进行操作。若身份认证失败，则可以终止云数据安全管理服务；若身份认证成功，则云应用可以通过平台云端模块与从安全支撑子系统进行交互，确定数据安全管理系统在初始化配置过程中设置的密码算法来写和加密模式，随后可根据初始化配置中设置的密码算法类型和加密模式，对云应用准备发送给云租户的数据明文进行数据加密，得到加密后的数据密文，如图3所示。若数据安全管理系统中开启了数据完整性验证的功能，则平台云端模块可在数据加密后，对数据密文进行数据摘要运算，生成原始验证数据摘要，并且可将该原始验证数据摘要写入加密识别码。若数据安全管理系统中未开启数据完整性验证的功能，则加密识别码可只包含唯一标识号。平台云端模块可通过特定信道，将云应用的数据密文和加密识别码发送给云平台，以通过云平台将数据密文和加密识别码转发给云租户；并且，可以提取数据加密的加密过程信息，使用云应用的用户根密钥，利用非对称加密技术对加密过程信息进行加密，得到加密后的加密过程信息，随后可将加密后的加密过程信息中附上加密识别码，通过安全信道提交给安全支撑子系统，如可将所述加密后的加密过程信息和所述加密识别码按照特定规则进行封装，即能够对加密过程信息进行加密、封装，然后通过安全信道，将封装后的加密识别码和加密后的加密过程信息提交给安全支撑子系统，使得安全支撑子系统中的数据安全模块可以接收到的加密后的加密过程信息和加密识别码。安全支撑子系统中的数据安全模块在接收到平台云端模块发送的加密后的加密过程信息和加密识别码后，可以按照预设的特定规则对接收到的加密识别码和加密后的加密过程信息进行拆分。数据安全模块在拆分得到加密识别码和加密后的加密过程信息后，可使用平台云端模块对应的用户公钥对加密后的加密过程信息进行解密，得到加密过程信息，以及可以对加密识别码和加密过程信息进行关联存储，以便后续处理中可依据加密识别码映射出对应关联存储的加密过程信息。

云平台在接收到数据密文和加密识别码后，可以通过特定信道，将接收到的数据密文和加密识别码转发给云租户，从而使得云租户可以接收到该数据密文和加密识别码。云租户在接收到数据密文和加密识别码后，可根据在数据安全管理系统初始化配置中设置的数据完整性验证情况进行数据完整性验证。如果初始化配置中关闭了数据完整性验证，则可以直接按验证成功进行操作。具体的，在数据安全管理系统中开启了数据完整性验证的情况下，云租户可以通过租户终端模块，对接收到的数据密文进行数据完整性验证，生成验证数据摘要，随后可将该验证数据摘要与加密识别码中原始数据摘要进行匹配。若匹配失败，则可以终止云数据安全管理服务。若匹配成功，则云租户通过租户终端模块，根据初始化配置中设置的身份认证方式和身份认证模式，与安全支撑子系统进行身份认证。如果初始化配置中关闭了身份认证功能，则可以直接按认证成功进行操作。若身份认证失败，则可以终止云数据安全管理服务；若身份认证成功，则云租户可以通过租户终端模块，提取加密识别码，以依据加密识别码向安全支撑子系统发起解密请求，如图4所示，可以通过安全信道，将携带加密识别码的解密请求提交给安全支撑子系统。

安全支撑子系统可响应解密请求。具体的，安全支撑子系统可以从该解密请求中提取加密识别码，然后可以依据加密识别码中的唯一标识号，在加密过程信息数据库中对该唯一标识号进行映射，以映射出数据加密时的加密过程信息。安全支撑子系统可以对映射出的加密过程信息进行逆向处理，得到对应的解密配置信息，随后可提取该解密配置信息，通过安全信道将解密配置信息发送给租户终端模块，即租户终端模块可以通过安全通道，从安全支撑子系统提取到解密配置信息，以依据提取到的解密配置信息对数据密文进行解密。具体的，租户终端模块可以根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥等，对云应用发送给云租户的数据密文进行数据解密，得到数据明文，将数据明文提供给云租户使用，满足业务需求。

在本发明实施例中，可以根据实际安全环境或安全防护需求，对特定用户设置身份认证的开闭，从而保证数据安全管理系统的效率和性能。例如，数据安全管理系统在采用特定的技术或管理措施保证云租户、云应用、云用户的真实性前提下，可以针对特定用户关闭身份认证功能，以提高数据安全管理系统的处理效率。

本发明实施例中，可选地，针对初始化、系统维护或其他特定的需求，数据安全管理系统可以对特定用户提供临时授权，如可以对特定用户提供临时密钥，提高用户体验。

为了保证云数据安全管理系统的效率和性能，也可以根据实际安全环境或安全防护需求，可以设置数据安全管理系统的数据完整性验证功能的开闭情况，本发明实施例对此不作限制。

参照图5，示出了本发明的一种数据安全管理方法实施例的步骤流程图。该数据安全管理方法可以应用于上述的数据安全管理系统中，具体可以包括如下步骤：

步骤501，安全服务子系统中的第一处理模块从所述安全支撑子系统中获取预先配置的加密配置信息，根据所述加密配置信息对数据明文进行加密，得到数据密文和加密过程对应的加密识别码，将所述数据密文和所述加密过程对应的加密识别码发送给接收端；以及，依据预先配置的用户根密钥，利用预置的非对称密码算法对所述数据密文对应的加密过程信息进行加密，得到加密后的加密过程信息，将所述加密后的加密过程信息和所述加密识别码发送给安全支撑子系统；

步骤502，安全支撑子系统中的数据安全模块在接收第一处理模块发送的加密后的加密过程信息和加密识别码后，使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息。

步骤503，安全服务子系统中的第二处理模块在接收端接收到所述数据密文和所述加密识别码后，针对所述数据密文，依据所述加密识别码生成解密请求，将所述解密请求提交给所述安全支撑子系统。

步骤504，安全支撑子系统中的数据安全模块依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息，对映射到的加密后的加密过程信息进行处理，生成对应的解密配置信息，以及将所述解密配置信息反馈给所述第二处理模块。

步骤505，第二处理模块依据所述解密配置信息生成所述数据密文对应的数据明文，并将所述数据明文提供给所述接收端。

在本发明的一个可选实施例中，在将所述数据密文和所述加密配置信息对应的加密识别码发送给接收端之前，还可以包括：所述第一处理模块对所述数据密文进行数据摘要运算，生成所述数据密文对应的原始数据摘要，将所述原始数据摘要添加到所述加密识别码中。所述第二处理模块对所述数据密文进行数据完整性验证，生成验证数据摘要；检测所述验证数据摘要是否与所述加密识别码中的原始数据摘要一致，若所述验证数据摘要与所述原始数据摘要一致，则执行所述依据所述加密识别码生成解密请求的步骤。

在本发明实施例中，可选的，所述方法还可以包括：所述第一处理模块根据预先配置的第一身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述从所述安全支撑子系统中获取预先配置的加密配置信息的步骤；所述第二处理模块根据预先配置的第二身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述依据所述加密识别码生成解密请求的步骤。

在本发明的一种可选实施方式中，所述第一处理模块可以应用于租户终端中。所述第一处理模块设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述安全支撑子系统中的身份认证模块依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述安全支撑子系统中的数据安全模块依据所述数据安全配置信息，设置数据安全管理信息。

在本发明的另一种可选实施方式中，所述接收端为租户终端。所述第二处理模块设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统。所述安全支撑子系统的身份认证模块依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息。所述安全支撑子系统的数据安全模块依据所述数据安全配置信息，设置数据安全管理信息。

在本发明实施例中，可选地，所述数据安全管理信息可以包括以下至少一项：机密性管理信息，完整性管理信息和加解密管理信息；所述机密性管理信息包括以下至少一项：加密配置信息、密码算法类型设置信息、加密模式设置信息、密钥配置信息、临时密钥设置信息；所述加密过程信息包括以下至少一项：加密密码算法类型、加密密码算法、加密模式、加密密钥和加密日志；所述解密配置信息包括以下至少一项：解密密码算法类型、解密密码算法、解密模式、解密密钥和解密日志。

综上，本发明实施例的数据安全管理系统包括安全服务子系统和安全支撑子系统，且安全服务子系统中的第一处理模块可以根据预先在安全支撑子系统中配置的加密配置信息对数据明文进行加密，生成数据密文，实现了对当前要发送的数据明文进行加密，并且将加密后的数据密文和加密过程对应的加密识别码发送给接收端，使得接收端接收到数据密文可以附上加密识别码；以及，安全服务子系统中的第二处理模块可针对接收端接收到的数据密文，依据加密识别码生成解密请求，并将该解密请求提交给安全支撑系统，以触发安全支撑子系统依据该解密请求中携带的加密识别码映射出出对应的加密过程信息；安全支撑子系统可以对映射到加密过程信息进行处理，生成对应的解密配置信息，然后将解密配置信息提供给安全服务子系统的第二处理模块，从而使得第二处理模块能够依据解密配置信息生成接收端接收到的数据密文对应的数据明文，供接收端使用，满足业务需求。

作为本发明的一个具体示例，本发明实施例中的数据安全管理系统可以应用在公有云场景下，如图6所示。数据安全管理系统可以包括安全服务子系统和安全支撑子系统。云租户可以通过安全服务子系统中的租户终端模块，对云数据安全管理系统进行初始化配置。具体的，云租户可以通过租户终端模块的安全配置子模块添加云数据安全管理系统的用户，如可以设置导入策略。具体的，租户终端模块可以根据云租户设置的导入策略，从离线文件批量导入用户帐号，同时可随着云应用运行从云应用动态导入用户帐号，自动配置用户分组、用户权限和用户根密钥。当然，云租户还可以通过租户终端模块设置身份认证信息，如将身份认证方式设置为动态口令认证方式、将身份认证模式设置为双向身份认证模式、将身份认证功能设置为开启状态，设置不提供临时授权服务、设置密码算法类型为对称密码算法类型、将密码算法设置为国产密码算法SM1、将加密模式设置为一次加密模式，将密钥管理过程信息配置为默认模式的信息、设置不提供临时密钥，将完整性验证功能设置开启状态、设置采用国产密码算法SM3进行数据完整性验证，等等。

例如，在云租户向云应用发送数据时，云租户可以通过安全服务子系统的租户终端模块，采用动态口令认证方式，与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则租户终端模块，可以利用SM1算法，采用一次加密模式对云租户准备发送给云应用的数据明文进行数据加密。在数据加密后，租户终端模块可利用SM3算法对数据密文进行数据摘要运算，生成原始数据摘要，并且可以将原始数据摘要写入到加密识别码中，随后可通过特定信道，将云租户的数据密文和加密识别码发送给云平台。租户终端模块可以提取数据加密的加密过程信息进行封装，并且可使用云租户的用户根密钥，利用非对称加密技术对该加密过程信息进行加密，得到加密后的加密过程信息，然后可将加密后的加密过程信息附上加密识别码，通过安全信道提交给安全支撑子系统。安全支撑子系统在接收租户终端模块发送的加密后的加密过程信息和加密识别码，可以使用租户终端模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息。云平台接收到云租户发送的数据密文和加密识别码后，可以通过特定信道，将接收到的数据密文和加密识别码转发给云应用。云应用在接收云平台转发的数据密文和加密识别码后，可通过平台云端模块，利用SM3算法对数据密文进行数据完整性验证，生成验证数据摘要，然后可以将该验证数据摘要与加密识别码中的原始数据摘要进行匹配。如果匹配失败，则可以终止云数据安全管理服务。如果匹配成功，则云应用可以通过安全服务子系统的平台云端模块，采用动态口令认证方式与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云应用可通过平台云端模块，提取加密识别码，针对接收到的数据密文发起解密请求。平台云端模块可以通过安全信道将该解密请求提交给安全支撑子系统。安全支撑子系统可以响应解密请求，即从该解密请求中提取加密识别码中所包含的唯一标识号，然后将该唯一标识号与加密过程信息数据库中存储的加密识别码中的唯一标识号进行匹配，从而可以映射出数据加密时的加密过程信息；可对加密过程信息进行处理，得到对应的解密配置信息，以及可以通过安全信道，将该解密配置信息发送给平台云端模块，使得平台云端模块可以依据该解密配置信息对数据密文进行数据解密操作。具体的，平台云端模块可以根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥等，对云租户发送给云应用的数据密文进行数据解密，得到数据明文和记录对应的解密日志，以及可将数据明文提供给云应用使用，满足业务需求。

又如，在云应用向云租户发送数据时，云应用可以通过安全服务子系统的平台云端模块，采用动态口令认证方式与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云应用可以通过平台云端模块，利用SM1算法，采用一次加密模式，对准备发送给云租户的数据明文进行数据加密。在数据加密后，平台云端模块，可以利用SM3算法对数据密文进行数据摘要运算，生成原始数据摘要，并写入加密识别码，使得密识别码可以包含原始数据摘要。平台云端模块可通过特定信道，将云应用的数据密文和加密识别码发送给云平台。平台云端模块还可以提取数据加密的加密过程信息，使用云应用的用户根密钥对加密过程信息进行加密，得到加密后的加密过程信息，随后可按照特定规则进行封装，以将加密后的加密过程信息附上加密识别码，通过安全信道提交给安全支撑子系统。云平台在接收到云应用发送的数据密文和加密识别码后，可以通过特定信道，将接收到的数据密文和加密识别码转发给云租户。云租户可以接收云平台转发的数据密文和加密识别码，并且可以通过租户终端模块，利用SM3算法对数据密文进行数据完整性验证，生成验证数据摘要，然后可以将该验证数据摘要与加密识别码中原始验证数据摘要进行匹配。如果匹配失败，则可以终止云数据安全管理服务。如果匹配成功，则云租户可通过租户终端模块，采用动态口令认证方式与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云租户可通过租户终端模块提取加密识别码，然后可以依据加密识别码，针对接收到的数据密文向安全支撑子系统发起解密请求，如可通过安全信道将解密请求提交给安全支撑子系统。安全支撑子系统从接收到的解密请求中提取加密识别码中的唯一标识号，然后可将该唯一标识号与加密过程信息数据库中存储的加密识别码中的唯一标识号进行匹配与加密过程信息数据库进行匹配，得到数据加密时的加密过程信息；以及，可以对加密过程信息进行处理，得到对应的解密配置信息，随后可通过安全信道，将解密配置信息发送给租户终端模块。租户终端模块可以根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥等，对云应用发送给云租户的数据密文进行数据解密，得到数据明文，并将数据明文提供给云租户使用，满足业务需求。

同理，在云用户向云应用发送数据时，云用户可以通过安全服务子系统的用户终端模块，采用动态口令认证方式与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云用户可通过用户终端模块，利用SM1算法，采用一次加密模式，对准备发送给云租户的数据明文进行数据加密。在数据加密后，用户终端模块可以利用SM3算法对数据密文进行数据摘要运算，生成原始验证数据摘要，并写入加密识别码；可通过特定信道，将云用户的数据密文和加密识别码发送给云平台；以及，可以提取数据加密的加密过程信息，进行封装，同时可以使用云用户的用户根密钥，利用非对称加密技术进行加密，得到加密后的加密过程信息，随后可将加密后的加密过程信息附上加密识别码，通过安全信道提交给安全支撑子系统。云平台接收云用户发送的数据密文和加密识别码后，可通过特定信道，将接收到的数据密文和加密识别码转发给云应用。云应用接收到云平台转发的数据密文和加密识别码后，可通过安全服务子系统的平台云端模块，利用SM3算法对数据密文进行数据完整性验证，生成验证数据摘要，并且可以将该验证数据摘要与加密识别码中的原始验证数据摘要进行匹配。如果匹配失败，则可以终止云数据安全管理服务。如果匹配成功，则云应用可通过安全服务子系统的平台云端模块，采用通过动态口令认证方式与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云应用可通过平台云端模块提取加密识别码，针对接收到的数据密文向安全支撑子系统发起解密请求，如可通过安全信道将解密请求提交给安全支撑子系统。安全支撑子系统从接收到的解密请求中提取加密识别码中的唯一标识号，然后可将该唯一标识号与加密过程信息数据库中存储的加密识别码中的唯一标识号进行匹配与加密过程信息数据库进行映射，得到数据加密时的加密过程信息；以及，可以对加密过程信息进行处理，得到对应的解密配置信息，随后可通过安全信道，将解密配置信息发送给平台云端模块。平台云端模块可以根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥等，对云用户发送给云应用的数据密文进行数据解密，得到数据明文，并将数据明文提供给云应用使用，满足业务需求。

在云应用向云用户发送数据时，云应用可以通过平台云端模块，采用动态口令认证方式与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云应用通过平台云端模块，利用SM1算法，采用一次加密模式，对准备发送给云用户的数据明文进行数据加密。数据加密后，平台云端模块可以利用SM3算法对数据密文进行数据摘要运算，生成原始数据摘要，并写入加密识别码。平台云端模块可以通过特定信道，将云应用的数据密文和加密识别码发送给云平台；也可以提取数据加密的加密过程信息进行封装，以及可以使用云应用的用户根密钥进行加密，得到加密后的加密过程信息，随后可将加密后的加密过程信息附上加密识别码，通过安全信道提交给安全支撑子系统。云平台接收云应用发送的数据密文和加密识别码，并且可以通过特定信道将接收到的数据密文和加密识别码转发给云用户。云用户接收到云平台转发的数据密文和加密识别码后，可通过用户终端模块，利用SM3算法对数据密文进行数据完整性验证，生成验证数据摘要，并将该验证数据摘要与加密识别码中的原始数据摘要进行匹配。如果匹配失败，则可以终止云数据安全管理服务。如果匹配成功，则云用户可以通过用户终端模块和动态口令认证方式，与安全支撑子系统进行双向身份认证。如果身份认证失败，则可以终止云数据安全管理服务。如果身份认证成功，则云用户可以通过用户终端模块提取加密识别码，以依据加密识别码向安全支撑子系统发起解密请求，如可以通过安全信道将解密请求提交给安全支撑子系统。安全支撑子系统从接收到的解密请求中提取加密识别码中的唯一标识号，然后可将该唯一标识号与加密过程信息数据库中存储的加密识别码中的唯一标识号进行匹配与加密过程信息数据库进行匹配，得到数据加密时的加密过程信息；以及，可以对加密过程信息进行处理，得到对应的解密配置信息，随后可通过安全信道，将解密配置信息发送给用户终端模块。用户终端模块可根据解密配置信息中的密码算法类型、密码算法、解密模式、解密密钥和解密日志等，对云应用发送给云用户的数据密文进行数据解密，得到数据明文，并将数据明文提供给云用户使用，满足业务需求。

需要说明的是，在接收到第一处理模块发送的加密后的加密过程信息和加密识别码后，安全支撑子系统还可以按照特定规则进行拆分，以及使用第一处理模块对应的用户公钥，对拆分后得到的加密后的加密过程信息进行解密，得到解密后的加密过程信息，以及可以对解码后的加密过程信息和加密识别码进行关联存储。

综上，本发明实施例利用身份认证、密码技术，提出一种云数据安全管理系统和方法，解决现有技术在云租户数据资产无法自主防护、无法约束云服务商行为等方面存在的缺陷，实现云租户数据资产自主加密防护，能够有效约束云服务商行为，从而可以消除了云租户对数据安全的顾虑。

在具体实现中，即使云服务商提供的基础设施安全、云平台网络安全、云平台主机安全等层面的数据安全防护，防护效果受限于云服务商的技术能力和投入资源，云租户仍然可以通过本发明实施例提供的数据安全管理系统和方法对数据资产自主加密防护，从而解决了现有云计算服务过程云租户数据资产无法自主防护所导致的数据安全问题。

本发明实施例还可以有效约束云服务商行为。具体的，尽管云服务商自身的管理能力和权限远远高于云租户，对托管数据资产拥有实际控制权，可是云租户已对托管数据资产进行加密保护，云服务商在未获得云租户授权的情况下实际控制的是加密后的数据密文，该数据明文在不解密的情况下不具备使用价值，消除了云服务商泄漏和非授权使用云租户数据资产的风险。

对于方法实施例而言，由于其与系统实施例基本相似，所以描述的比较简单，相关之处参见系统实施例的部分说明即可。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种数据安全管理系统和方法，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (12)

1.一种数据安全管理系统，其特征在于，所述系统包括：安全服务子系统和安全支撑子系统，所述安全服务子系统包括：第一处理模块和第二处理模块，所述安全支撑子系统包括数据安全模块；

其中，所述第一处理模块，用于从所述安全支撑子系统中获取预先配置的加密配置信息，根据所述加密配置信息对数据明文进行加密，得到数据密文和加密过程对应的加密识别码，将所述数据密文和所述加密过程对应的加密识别码发送给接收端；以及，使用所述安全支撑子系统中预先配置的用户根密钥，利用预置的非对称密码算法对所述数据密文对应的加密过程信息进行加密，得到加密后的加密过程信息，将所述加密后的加密过程信息和所述加密识别码发送给所述安全支撑子系统；

所述数据安全模块，用于接收第一处理模块发送的加密后的加密过程信息和加密识别码，使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息；

所述第二处理模块，用于在接收端接收到所述数据密文和所述加密识别码后，针对所述数据密文，依据所述加密识别码生成解密请求，将所述解密请求提交给所述安全支撑子系统；

所述数据安全模块，还用于依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息，对映射到的加密过程信息进行处理，生成对应的解密配置信息，将所述解密配置信息反馈给所述第二处理模块；

所述第二处理模块，还用于依据所述解密配置信息生成所述数据密文对应的数据明文，并将所述数据明文提供给所述接收端。

2.根据权利要求1所述的系统，其特征在于，

所述第一处理模块，还用于在将所述数据密文和所述加密配置信息对应的加密识别码发送给接收端之前，对所述数据密文进行数据摘要运算，生成所述数据密文对应的原始数据摘要，将所述原始数据摘要添加到所述加密识别码中；

所述第二处理模块，还用于对所述数据密文进行数据完整性验证，生成验证数据摘要；检测所述验证数据摘要是否与所述加密识别码中的原始数据摘要一致，若所述验证数据摘要与所述原始数据摘要一致，则执行所述依据所述加密识别码生成解密请求的步骤。

3.根据权利要求1所述的系统，其特征在于，所述安全支撑子系统还包括：身份认证模块；

所述第一处理模块，还用于根据预先配置的第一身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述从所述安全支撑子系统中获取预先配置的加密配置信息的步骤；

所述第二处理模块，还用于根据预先配置的第二身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述依据所述加密识别码生成解密请求的步骤。

4.根据权利要求3所述的系统，其特征在于，所述第一处理模块应用于租户终端中；

所述第一处理模块，还用于设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统；

所述身份认证模块，用于依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息；

所述数据安全模块，还用于依据所述数据安全配置信息，设置数据安全管理信息。

5.根据权利要求3所述的系统，其特征在于，所述接收端为租户终端；

所述第二处理模块，还用于设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统；

所述身份认证模块，用于依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息；

所述数据安全模块，还用于依据所述数据安全配置信息，设置数据安全管理信息。

6.根据权利要求4或5所述的系统，其特征在于，

所述数据安全管理信息包括以下至少一项：机密性管理信息，完整性管理信息和加解密管理信息；

所述机密性管理信息包括以下至少一项：加密配置信息、密码算法类型设置信息、加密模式设置信息、密钥配置信息、临时密钥设置信息；

所述加密过程信息包括以下至少一项：加密密码算法类型、加密密码算法、加密模式、加密密钥和加密日志；

所述解密配置信息包括以下至少一项：解密密码算法类型、解密密码算法、解密模式、解密密钥。

7.一种数据安全管理方法，其特征在于，应用于数据安全管理系统，所述系统包括安全服务子系统和安全支撑子系统，所述安全服务子系统包括：第一处理模块和第二处理模块，所述安全支撑子系统包括数据安全模块，所述方法包括：

所述第一处理模块从所述安全支撑子系统中获取预先配置的加密配置信息，根据所述加密配置信息对数据明文进行加密，得到数据密文和加密过程对应的加密识别码，将所述数据密文和所述加密过程对应的加密识别码发送给接收端；以及，依据预先配置的用户根密钥，利用预置的非对称密码算法对所述数据密文对应的加密过程信息进行加密，得到加密后的加密过程信息，将所述加密后的加密过程信息和所述加密识别码发送给所述安全支撑子系统；

所述数据安全模块在接收第一处理模块发送的加密后的加密过程信息和加密识别码后，使用第一处理模块对应的用户公钥对加密后的加密过程信息进行解密，得到解密后的加密过程信息；

所述第二处理模块在接收端接收到所述数据密文和所述加密识别码后，针对所述数据密文，依据所述加密识别码生成解密请求，将所述解密请求提交给所述安全支撑子系统；

所述安全支撑子系统中的数据安全模块依据所述解密请求中携带的加密识别码，映射所述加密识别码对应解密后的加密过程信息，对映射到的加密后的加密过程信息进行处理，生成对应的解密配置信息，以及将所述解密配置信息反馈给所述第二处理模块；

所述第二处理模块依据所述解密配置信息生成所述数据密文对应的数据明文，并将所述数据明文提供给所述接收端。

8.根据权利要求7所述的方法，其特征在于，

在将所述数据密文和所述加密配置信息对应的加密识别码发送给接收端之前，还包括：所述第一处理模块对所述数据密文进行数据摘要运算，生成所述数据密文对应的原始数据摘要，将所述原始数据摘要添加到所述加密识别码中；

所述第二处理模块对所述数据密文进行数据完整性验证，生成验证数据摘要；检测所述验证数据摘要是否与所述加密识别码中的原始数据摘要一致，若所述验证数据摘要与所述原始数据摘要一致，则执行所述依据所述加密识别码生成解密请求的步骤。

9.根据权利要求7所述的方法，其特征在于，所述安全支撑子系统还包括身份认证模块，所述方法还包括：

所述第一处理模块根据预先配置的第一身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述从所述安全支撑子系统中获取预先配置的加密配置信息的步骤；

所述第二处理模块根据预先配置的第二身份认证信息和所述安全支撑子系统中的身份认证模块进行身份认证；在认证成功后，执行所述依据所述加密识别码生成解密请求的步骤。

10.根据权利要求9所述的方法，其特征在于，所述第一处理模块应用于租户终端中；

所述第一处理模块设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统；

所述身份认证模块依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息；

所述数据安全模块依据所述数据安全配置信息，设置数据安全管理信息。

11.根据权利要求9所述的方法，其特征在于，所述接收端为租户终端；

所述第二处理模块设置身份认证配置信息和数据安全配置信息，将所述身份认证配置信息和所述数据安全配置信息发送给所述安全支撑子系统；

所述安全支撑子系统中的身份认证模块依据所述身份认证配置信息，设置身份认证信息和/或用户管理信息，所述身份认证信息包括所述第一身份认证信息和所述第二身份认证信息；

所述安全支撑子系统中的数据安全模块依据所述数据安全配置信息，设置数据安全管理信息。

12.根据权利要求10或11所述的方法，其特征在于，

所述数据安全管理信息包括以下至少一项：机密性管理信息，完整性管理信息和加解密管理信息；

所述机密性管理信息包括以下至少一项：加密配置信息、密码算法类型设置信息、加密模式设置信息、密钥配置信息、临时密钥设置信息；

所述加密过程信息包括以下至少一项：加密密码算法类型、加密密码算法、加密模式、加密密钥和加密日志；

所述解密配置信息包括以下至少一项：解密密码算法类型、解密密码算法、解密模式、解密密钥。