CN108287987A - 数据管理方法、装置、设备及可读存储介质 - Google Patents

Abstract

本发明公开了一种数据管理方法，包括：管理平台接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对所述访问请求进行匹配验证；当匹配验证成功后，接收所述用户的操作；根据访问权限通过查询所述数据库对所述操作进行验证，判断所述操作是否为允许操作；当所述操作属于允许操作时，根据操作策略对所述操作进行处理，本发明提供的数据管理方法可以实现对数据的全面管控，防止数据泄密。本发明还公开了一种数据管理装置、系统及一种可读存储介质，具有上述有益效果。

Description

数据管理方法、装置、设备及可读存储介质

技术领域

本发明涉及电子技术领域，特别涉及一种数据管理方法、装置、设备及一种可读存储介质。

背景技术

当前企业移动办公非常流行，员工可以使用自己的笔记本或者手机等设备来对企业数据进行各种处理，比如，员工可以对企业数据执行下载、编辑、上传、共享等各种操作。当员工离职或者出现其它情况时，企业信息安全管理员需要知道此员工的设备上是否还保留有企业数据，以及员工在对企业数据的操作过程中是否出现泄密的情况并且对企业数据进行管控。目前，对企业数据流通的整个过程并没有进行完整分析监控管理的方法。为防止企业数据在用户的各种类型的操作中出现泄露，

因此，如何全面实现对数据的管控，防止数据泄密，是本领域技术人员需要解决的技术问题。

发明内容

本发明的目的是提供一种数据管理方法，该方法能够全面实现对数据的管控，防止数据泄密；本发明的另一目的是提供一种数据管理装置、设备及一种可读存储介质，具有上述有益效果。

为解决上述技术问题，本发明提供一种数据管理方法，包括：

管理平台接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对所述访问请求进行匹配验证；

当匹配验证成功后，接收所述用户的操作；

根据访问权限通过查询所述数据库对所述操作进行验证，判断所述操作是否为允许操作；

当所述操作属于允许操作时，根据操作策略对所述操作进行处理。

优选的，所述根据操作策略对所述操作进行处理包括：

判断所述操作的类型；

当所述操作属于数据上传类操作时，对上传的数据进行加密处理；其中，所述数据上传类操作包括数据上传至服务器端以及所述管理软件内数据的分享操作；

当所述用户操作属于存储类操作时，对存储的数据进行追踪管控；其中，所述存储类操作包括数据下载、数据另存、截屏以及所述管理软件外的数据分享操作。

优选的，所述对上传的数据进行加密处理包括：

结合所述管理软件的功能，对所述上传的数据进行加密处理。

优选的，所述管理软件外的数据分享方法包括：

接收并存储用户选择的需要分享的数据的信息以及被分享用户的信息；

根据所述被分享用户的权限以及所述数据的权限对所述数据进行相应的操作；

对所述数据进行追踪管控。

优选的，所述数据的追踪管控方法包括：

记录对所述数据的传输信息；其中，所述传输信息包括进行传输操作的用户信息、接收所述数据的用户信息以及传输的数据信息；

对所述数据以及所述数据编辑后生成的第二数据保持所述数据的访问权限；其中，所述编辑操作包括修改、另存以及复制；

对所述第二数据进行追踪管控；

对所述数据以及所述第二数据进行加密或者删除处理。

优选的，所述数据管理方法还包括：

对所述数据库中用户的信息进行分析；

判断所述用户是否出现异常操作。

优选的，所述数据的身份验证方法包括：

控制所述管理软件提取所述数据的指纹信息；

将所述数据与预先存储的管控数据进行对应类型的指纹信息比对，得到比对结果；

判断所述比对结果是否达到对应类型的预设匹配结果；

如果是，对所述数据进行监控管理；

其中，所述指纹信息包括基本指纹信息、特殊指纹信息以及内容指纹信息中至少一种。

优选的，所述数据的身份验证方法包括：

控制所述管理软件提取所述数据的基因信息；

将所述数据与预先存储的管控数据进行对应类型的基因信息比对，得到比对结果；

判断所述比对结果是否达到对应类型的预设匹配结果；

如果是，对所述数据进行监控管理；

其中，所述基因信息包括文件的特征码、名称信息、类型信息、大小信息、内容信息、属性信息、标记信息中至少一种。

本发明公开一种数据管理装置，包括：

匹配验证单元，用于接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对所述访问请求进行匹配验证；

操作接收单元，用于当匹配验证成功后，接收所述用户的操作；

权限验证单元，用于根据访问权限通过查询所述数据库对所述操作进行验证，判断所述操作是否为允许操作；

操作处理单元，用于当所述操作属于允许操作时，根据操作策略对所述操作进行处理。

本发明公开一种数据管理设备，包括：

存储器，用于存储程序；

处理器，用于执行所述程序时实现所述数据管理方法的步骤。

本发明公开一种可读存储介质，所述可读存储介质上存储有程序，所述程序被处理器执行时实现所述数据管理方法的步骤。

本发明所提供的数据管理方法当用户通过管理软件向企业数据发起访问请求时，管理平台接收所述访问请求并根据访问策略通过查询数据库对所述访问请求进行匹配验证，通过对访问请求的验证可以实现对企业数据的第一重防护；对企业数据以及企业员工的所有相关信息都存储于数据库中，实现数据共享，无论用户做出什么操作，均可以通过数据库来进行查询。当匹配验证成功后，接收用户通过管理软件对数据的操作，通过查询数据库，根据预先设定的访问权限对用户的操作进行验证，判断用户操作是否属于访问权限允许范围内的操作，通过对用户操作的验证可以实现对企业数据的第二重防护当所述操作属于允许操作时，根据操作策略对所述操作进行处理，针对用户对企业数据各种类型的操作均有其对应的管理操作策略来对用户的行为进行监控，根据操作策略对所述操作请求进行处理，对用户对数据的操作进行管理监控即可实现对企业数据的第三重防护。这样，通过访问前的访问请求验证过程、验证通过后的操作权限验证过程、以及对用户各种操作的追踪监控，可以实对企业数据全方位无死角的管控。因此，该方法能够全面实现对数据的管控，防止数据泄密。本发明还公开了一种数据管理装置、设备及一种可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的数据管理方法的流程图；

图2为本发明实施例提供的匹配验证示意图；

图3为本发明实施例提供的数据下载示意图；

图4为本发明实施例提供的数据删除示意图；

图5为本发明实施例提供的数据上传/下载示意图；

图6为本发明实施例提供的管理软件内的数据分享示意图；

图7为本发明实施例提供的数据管理装置的结构框图；

图8为本发明实施例提供的文件管理系统的结构框图。

具体实施方式

本发明的核心是提供一种数据管理方法，该方法能够全面实现对数据的管控，防止数据泄密；本发明的另一核心是提供一种数据管理装置、设备及一种可读存储介质，具有上述有益效果。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

目前，现有技术中对企业数据的管理监控基本上都是针对于特定一个情景的，比如：只做加密，只做行为安全分析等。

具体的，现有的行为分析产品只能分析到用户使用了哪些应用，不能分析到用户使用了应用中的哪些具体功能。现有的加密产品是针对于文件和数据做统一的加解密处理，无法和应用相结合来做加解密处理，比如他们把数据做了加解密后会破话原有应用的功能(比如，检索，搜索等)，而现有的企业数据安全管理产品只能满足一部分用户场景，比如，必须利用U盘加密，无法支持没有USB接口的设备；共享桌面产品必须在有网络支持的情况下才可以使用；沙箱技术产品必须用户使用在沙箱里安装的企业应用才可以管控企业数据等。而现有的企业数据安全分享产品只提供分享功能，无法提供文件的分享追溯功能和分享的文件权限管理功能，也就是管理员无法知道文件分享给了谁，谁又将这个文件分享给了其他第三方。文件被分享了之后没有办法对分享的文件做出的权限控制。现有的企业文件防泄露产品只能对标记为企业数据的文件做到防止泄露，无法自动识别哪些文件是企业文件。

可见，当前市面上的产品都无法全面覆盖企业用户的使用场景，只能覆盖某一种用户场景。

本发明提供的数据管理方法可以为用户提供一整套的企业内部数据安全管理的方案，可以覆盖到企业数据从产生到传播整个链条上的追踪和管控。可以保证企业数据在任何一个场景和环节都可查可控，有效的防止了企业内部数据的泄露。请参考图1，图1为本发明实施例提供的数据管理方法的流程图；该方法可以包括：

步骤s100、管理平台接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对访问请求进行匹配验证；

其中，访问请求中一般可以包括用户信息、用户设备信息、管理软件信息、用户对管理软件的操作以及用户大多网络类型等信息，用户信息进一步可以包括用户的身份信息以及用户的位置信息等，用户设备信息可以进一步包括设备型号以及设备的操作系统等，具体的访问请求中包含的信息类型在此不做限定。管理软件指对企业数据进行管理的软件，该软件安装于用户设备中，一般一个企业可以配置一个对应管控该企业数据的软件，以便于在没有其它因素干扰的情况下更简便地对企业数据进行管理，在此对管理软件的具体配置不做限定，可以根据自身需要自行进行配置；管理软件安装于用户设备中，用户设备指用户对企业数据进行操作的设备，可以包括手机、电脑等设备，具体设备类型不做限定，只要可以安装管理软件的设备均可，本发明无需额外其他硬件支持，通过软件即可实现对企业数据的各种管控操作，而且整个过程透明，对用户的各种操作没有明显影响，对用户来说十分方便。

本发明通过管理平台实现对整个操作过程的监控管理，具体的管理平台可以架设于普通的服务器端，具体的架设方式不做限定。当用户对管理软件发起访问请求时，管理平台接收访问请求，以便于对该请求进行解析分析，对企业文件进行第一重的保护。

访问策略可以根据不同企业的不同需要自行配置，访问请求中可以包括用户信息、用户设备信息、管理软件信息、用户对管理软件的操作以及用户的网络类型等信息，为了增强匹配验证的效果，实现对多种信息的匹配验证，根据访问策略对访问请求进行匹配验证可以包括：对用户的信息、访问频率、用户设备信息、访问时间、用户的位置信息以及用户的网络类型中至少一种与对应的允许访问的访问策略进行比对，减少可能出现疏漏的区域，可以同时对用户信息、用户设备信息、管理软件信息、用户对管理软件的操作以及用户的网络类型进行匹配验证，以实现增强企业数据的安全性。

其中，对用户的信息进行匹配验证可以进一步包括对用户的身份信息以及用户的位置信息进行匹配验证。对用户的身份信息进行匹配验证可以用于判别当前请求访问企业数据的用户是否为合法用户，是否为企业允许访问用户等，对用户的位置信息进行匹配验证可以检测该用户是否在异常位置进行访问等，以防止出现盗用的情况，例如，位于内蒙古的用户甲仿造了位于北京的企业员工乙的身份信息，在用户甲在请求访问时，发现用户乙在从未去过的地方进行访问，很有可能出现盗用身份信息的情况出现。通过对用户的信息进行验证可以核验用户信息，保障企业数据的安全。

对用户设备信息进行匹配验证可以进一步包括对设备型号以及设备的操作系统进行匹配验证。对设备型号进行匹配验证可以预先设置每个用户访问时默认的访问设备，比如华为荣耀V9手机、Apple MacBook Air等，当检测到该用户在未修改默认访问设备的情况下通过其他设备进行请求访问，可能会出现用户信息被冒用的情况。对设备的操作系统进行匹配验证指对用户请求访问的设备的操作系统与用户默认设备操作系统进行匹配验证，与上述对设备型号类似，可以预先设置默认操作系统，默认操作系统的设置可以在用户设置默认设备时对默认设备的操作系统进行检测，判断默认设备的操作系统是何种类型，比如UNIX、XENIX、LINUX、Windows、Netware等，对操作系统以及用户设备的匹配验证可以大大增加冒用登录的难度，减少冒用登录的情况出现，保障企业数据的安全。

对管理软件信息进行匹配验证可以包括对用户发起访问请求的软件进行验证，判断该软件是否为企业数据访问时设定的默认软件，由于可能会出现通过某些非法软件企图非法侵入企业数据库的情况，对企图访问企业数据库的软件信息进行匹配可以大大降低非法侵入的风险。

对用户对管理软件的操作进行匹配验证可以包括当用户通过管理软件请求访问时企图对管理软件的信息进行未经许可的篡改或者复制等行为时，即使该用户为企业默认的合法用户，将用户对管理软件进行的操作进行监控以及匹配验证可以显著降低企业员工非法窃取企业数据的情况。

企业可以设置用户通过管理软件登录时的默认网络，比如用户只能通过企业内网进行访问、或者禁止用户通过未经过安全认证的无线网络进行访问等，可以设定用户只有在安全的网络情况下才能通过管理软件进行访问。通过对用户的网络类型进行匹配验证可以防止企业数据通过网络进行传送的过程中出现通过非法网络侵入企图窃取数据的行为。

根据访问策略对访问请求进行匹配验证具体的过程可以如图2所示，在此以通过PC端的员工A以及通过手机的员工B请求访问企业应用服务器为例，当员工A与员工B对企业应用服务器发起访问请求后，首先经过管理平台，管理平台通过预先设置的企业安全策略进行匹配验证，管理平台与企业应用服务器连接，当验证通过时，连接至企业服务器。通过管理平台进行匹配验证的过程用户并不知情，验证的过程为透明的，对用户行为以及管理软件行为并无影响，可以实现对访问请求的透明验证。

其中，数据库中存储有该企业中的信息，包括企业数据的相关信息以及员工信息。对企业数据以及员工操作的所有监控管理记录以及设置信息均存储于数据库中，通过企业内部对数据库的共享，可以实现对企业数据进行管控的方式的整合，将不同的数据管控手段联系起来，共同实现对企业数据的全方位监控管理。

步骤s200、当匹配验证成功后，接收用户的操作；

对访问请求进行匹配验证的过程中有未通过的验证的情况在此不做限定，一般为了提高企业数据的安全程度，可以设定有未通过项时进行访问；为了减少误检率，也可以设定有未通过项时重新进行验证，当再次未通过时禁止访问等。

当匹配验证通过后，用户可以通过管理软件发起各种类型的操作请求，这些操作比如数据下载、数据上传、数据共享、屏幕截图等等，在此对用户的操作请求具体不做限定，用户对管理软件的各种操作请求首先经过管理平台，管理平台接收用户的操作请求，以便于对用户的操作进行全面的管理监控。

步骤s300、根据访问权限通过查询数据库对操作进行验证，判断操作是否为允许操作；

在接收到用户对管理软件的操作后，首先对操作的合法性进行验证。这里的验证过程主要通过访问权限来进行判断，当属于访问权限所禁止的操作时，禁止用户的操作，例如，企业文件A只对用户B可读，其它人无权访问，当用户A请求访问企业文件A时，禁止该访问操作。访问权限一般可以包括用户访问权限、数据访问权限以及用户设备访问权限等。

用户的访问权限指预先设定的用户可以对企业数据进行的操作，可以根据用户身份来进行设定，比如可以对企业中不同的部门、不同的工作性质来设定不同的访问权限，例如，除了财务部的所有员工外该企业的员工对企业的财务报表禁止访问，或者可以设置为员工甲对某些设定的企业数据只有可读权限，而无法执行可读操作外的其它操作等。

数据访问权限指针对不同的数据设定的，与其他因素无关的，设定与数据端的访问权限，比如可以根据数据的类型以及内容等方面来进行设定，例如，预先设定的文件A由于为企业内部核心资料，可以设置为只对员工甲和员工乙可读可写，而其他用户禁止访问；或者word文档B是针对该企业专门设置的工作流程，为防止其他企业窃取，可以设置为对所有员工均只有可读权限。

由于用户设置的默认访问设备可以为多个设备，因此可以针对不同的设备设置不同的访问权限。比如，员工丙可访问企业数据的设备为Thinkpad以及华为荣耀V9，其中，Thinkpad设定的权限为对文件C与文件D可读可写，华为荣耀V9设定的权限为对文件C与文件D只可读，对用户设备设置不同的访问权限可以减少不受信任的用户设备对企业数据泄露的情况出现。

另外，由于文件、用户等均可以设置访问权限，当不同的访问权限针对同一数据的权限不同时，可以根据最低的权限对该数据进行处理，也可以根据较高的权限对该数据进行处理，可以根据需要自行确定，在此不做限定。比如文件A设置的访问权限为只对员工甲与员工乙可读，请求访问的员工丙对企业数据的访问权限为对所有文件均可读可写，当设置的权限规则为根据最低的权限对该数据进行处理时，拒绝员工丙的访问请求。

访问权限除了可设置是否可读以及是否可写外，还可以设置是否可编辑、是否可打印、是否可截屏、是否可转发等，在此仅以可读可写为例进行介绍，其它权限的设置均可参照上述介绍。

对企业数据设置的访问权限除企业数据安全管理员可以在后台进行修改外，无论普通员工对该数据进行怎样的设置，该数据可以一直保持当时设定的访问权限。例如，当文件A对企业内部员工均只可读，其他人不可见，当员工甲将文件A下载至自己的电脑时，文件A的权限也会一同下发至该员工电脑中，当检测到员工甲对文件A执行修改操作时，通过控制电脑磁盘设备禁止该操作。另外，当检测到员工甲通过微信将文件A传输至非企业员工丁时，通过控制电脑磁盘禁止该传输操作。对存储至用户设备的企业数据权限的管控可以通过该用户设备的磁盘来进行控制，在此对控制方法不做限定。

具体的，通过PC端的员工A与通过手机端的员工B下载企业文件1的示意图如图3所示，下载的企业文件1的权限列表会与企业文件1共同下载至员工A的PC端与员工B的手机端，通过管理软件内的企业内部数据安全管理平台对该操作进行响应，将企业文件1通过存储企业文件的企业应用服务器进行下载下传，与企业文件1共同进行上述操作的还包括企业文件1的权限，文件下载后分别在PC端与手机端分别监控员工A与员工B对企业文件1的操作。

步骤s400、当操作属于允许操作时，根据操作策略对操作进行处理；

操作平台将接收到的操作请求根据操作策略进行处理，操作策略与操作请求对应，用户对管理软件几乎所有类型的操作请求都有对应的操作策略进行处理，这样可以实现对用户的所有操作进行管理监控的目的，全面防止企业员工泄露企业数据。管理平台对几乎用户的所有操作进行管理监控的操作也是透明的操作过程，对员工的正常使用并无影响，却可以暗中掌握用户在管理软件中对数据的各种操作以及将数据存储至用户设备后对数据的各种操作在内的几乎所有操作，可以实现在整个数据流转过程中实现全面监控管理的目的。

其中，操作策略可以包括：针对于访问权限、数据加密、以及数据追踪管控等方面的操作策略，在此对具体的操作策略不做限定，除了上述操作策略外可以还包括其它策略，可以根据用户所有可能操作来制定所有可能的策略来对用户操作进行管理监控。

具体的，根据操作策略对操作进行处理可以包括：判断操作的类型；当操作属于数据上传类操作时，对上传的数据进行加密处理；其中，数据上传类操作包括数据上传至服务器端以及管理软件内数据的分享操作；当用户操作属于存储类操作时，对存储的数据进行追踪管控；其中，存储类操作包括数据下载、数据另存、截屏以及管理软件外的数据分享操作。

根据预先设定的访问权限对用户的操作进行验证，当操作属于允许操作时，判断操作的类型，操作的类型可以包括存储类操作，即将位于位置A的企业数据存储至位于位置B，位置A与位置B可以分别属于相同或不同的软件，也可以属于相同或者不同的设备等，具体的存储类操作可以包括数据下载、另存、截屏、管理软件外的分享等，其它存储类操作均可参照下面的介绍。当为存储类操作时，需要对企业数据进行追踪管控，管理平台对管理软件外的追踪管控可以通过磁盘来进行。具体的对数据进行追踪管控可以包括：记录对数据的传输信息；其中，传输信息包括进行传输操作的用户信息、接收数据的用户信息以及传输的数据信息；对数据以及数据编辑后生成的第二数据保持数据的访问权限；其中，编辑操作包括修改、另存以及复制；对第二数据进行追踪管控；对第二数据进行追踪管控；对数据以及第二数据进行加密或者删除处理等。这里的“第二数据”只用作区分，与编辑前的“数据”进行区分。

由于目前很多聊天工具等软件设有数据传输功能，当企业数据也可以通过这些方式进行传输，但传输的过程以及传输后需要进行追踪监控。具体的，管理软件外的数据分享方法可以包括：接收并存储用户选择的需要分享的数据的信息以及被分享用户的信息；根据被分享用户的权限以及数据的权限对数据进行相应的操作；对数据进行追踪管控。例如，当用户通过微信将文件A传送给其他人时，通过对用户磁盘进行监控，可以对整个文件传送过程进行监控，获取文件接收方的用户名、IP地址以及传送方式(通过微信进行传输)等。

当用户将企业数据存储至用户设备后，可以通过自身的设备对该数据进行编辑操作，此时对企业数据的编辑无需网络的限制，编辑操作比如修改数据等操作，由于编辑后的数据可能也会存储有企业需要管控的内容，需要对该编辑后的数据也进行监控管理，以防止信息被窃取。对编辑后的数据可以保持原有数据的管理级别，即编辑后的数据与原有数据拥有相同的权限设置、管理方法等。

当员工离职时，由于某些员工自己的设备上可能还保留有企业数据，为防止企业数据的泄露，可以通过磁盘对用户设备进行监控可以获知用户设备上是否还保存有企业数据，如果有，可以远程将数据进行删除，如图4所示，对员工A存储至PC端的企业数据进行监控，PC端向管理平台上传监控反馈信息，当员工A离职后，企业信息安全管理员下达对员工A的PC端中所有企业数据进行删除的指令，管理平台通过控制PC端的磁盘将检测到的所有的企业数据进行一键删除；当员工的设备丢失时，可以将企业数据进行一键加密，这样即使别人可以窃取到数据的文件，但是数据已加密也无法进行内容识别。

操作的类型可以还包括上传类操作，上传类操作指用户将数据通过管理软件上传至企业数据库中作为企业数据进行管控，或者用户在管理软件内将数据分享至其他用户。当进行上传类操作时，需将上传至管理软件的数据进行加密处理，保证在企业服务器或者第三方服务器中存储的企业数据均已加密，防止存储企业数据的服务器被非法入侵后窃取企业数据。当企业数据存储至用户设备时，存储的过程中需要进行解密处理，存储至用户设备的企业数据均为解密后的数据。

具体的，对上传的数据进行加密处理可以包括：结合管理软件的功能，对上传的数据进行加密处理。

数据的加密与解密可以根据管理软件的功能来进行设置，根据管理软件的功能设计数据加密解密算法，将数据上传时进行加密后的数据不影响原有管理软件的功能，即如果管理软件可以提供检索、搜索等操作，加密后，管理软件同样可以对数据进行检索以及搜索等操作。当对上传的数据通过预设算法进行加密后，生成密文以及秘钥；可以将密文以及秘钥分别存储。将密文与秘钥分别存储可以大大降低密文被破解的可能性，大大增加企业数据的安全性。其中，加密算法可以为将已知算法进行改进后生成的特殊加密算法，生成的特殊算法保密性更强。具体的企业员工分别通过PC端以及手机端对企业数据进行上传/下载的过程如图5所示，进入企业数据库的数据都需进行加密处理，从企业数据库中存储至用户设备的数据都需进行解密处理，企业信息安全管理员配置的企业数据加密秘钥的存储位置不做限定。

管理软件内的数据分享过程可以如图6所示，员工A通过PC端打开管理软件，设置需要分享的信息，包括文件(以企业文件1为例)、被分享人(以员工B为例)、文件访问权限等信息，将信息发送至管理软件中安全分享客户端，经过管理平台后将文件上传至安全分享服务器，员工B通过手机接收企业文件1时，企业文件1从安全分享服务器下载至手机中的管理软件中，随之下放至手机的还有企业文件1的权限。

当企业数据存储至用户设备后需要对用户设备进行监控管理。除了对用户设备中对企业数据编辑处理等一系列过程的监控管理外，还需要对所有存储过企业文件的用户设备进行主动筛查，判断用户设备中是否包括未被检测到的企业数据，主动筛查过程可以定期进行。通过验证用户设备中所有数据的相关参数是否与企业数据相同，其中，对存储于用户设备的数据中识别其是否属于出企业数据的方法主要可以包括三种，一是从管理软件中存储至用户设备的数据自动识别为企业数据；二是通过主动定期对员工设备上的数据进行扫描提取指纹信息，判断是否为企业数据；三是员工主动标记的数据也被识别为企业数据。

文件的基因信息指文件的特征信息，可以包括文件的名称、类型、大小、内容、标记等信息，文件的基因信息可以体现该文件的各方面的特征，可以用于将该文件与其他文件区分开的信息即可，可以包括文件的指纹信息或者其它特征信息，在此不做限定。

数据的指纹信息指数据的特征信息，可以包括数据的名称、类型、大小、内容、标记等信息，数据的指纹信息可以体现该数据的各方面的特征，可以用于将该数据与其他数据区分开。

对员工设备上的数据进行扫描提取指纹信息，判断是否为企业数据具体可以包括：控制管理软件提取数据的指纹信息；将数据与预先存储的管控数据进行对应类型的指纹信息比对，得到比对结果；判断比对结果是否达到对应类型的预设匹配结果；如果是，对数据进行监控管理。管理平台发送提取用户设备中数据指纹信息的指令至管理软件，管理软件接收到提取指令后对所属设备中的数据进行指纹提取，其中，指纹信息可以包括基本指纹信息、特殊指纹信息以及内容指纹信息中至少一种，在此对管理软件提取的指纹信息类型不做限定，可以自由选择搭配，比如可以设定只提取基本指纹信息，可以设定只提取内容指纹信息，可以设定提取基本指纹信息以及特殊指纹信息，也可以设定提取基本指纹信息、特殊指纹信息以及内容指纹信息，提取的指纹信息类型越丰富，误检率也会相应降低。

其中，基本指纹信息指文件的基本特征值，比如文件的名称、文件的类型(word或者PDF等)、文件的作者、文件的大小等特征，在此对提取的基本指纹信息的类型不做限定。文件基本信息的提取可以通过调取文件属性等方式，在此不做限定。

特殊指纹信息指文件中不同于基本信息之外的可以用于与其他文件区分的特殊标记，比如水印、标识等。其中，水印指向文件中添加某些数字信息以达到文件鉴别、版权保护等功能。嵌入的水印信息隐藏于宿主文件中，不影响原始文件的可观性和完整性。比如可以设置企业的管控文件都具有相同的该企业所特有的水印，当提取文件指纹信息时发现该水印，即可确定该文件为该企业的管控文件，从而起到识别功能，在此以水印为例进行介绍，其它文件的特殊标记均可参照本实施例的介绍。

除了提取文件的基本信息以及特殊信息外，还可以提取文件中的部分内容作为区别特征。其中，内容指纹信息提取方法可以包括：根据文件的类型从文件中提取预定大小的内容；将提取的文件内容通过预设的内容提取算法提取内容指纹信息。提取的文件内容要适量，太多存储时占用内存过多，太少时不足以区分文件，比如一个企业文件有180K，可以提取5K的内容。由于某些文件内容可能比较类似，为了更好地进行区分识别，对文件内容进行提取时尽量分散提取，例如，一个企业文件有180K，可以提取0-1K、50-51K、100-101K以及150-151K内容，尽量散列分布提取文件内容作为指纹比对基础内容。

提取到指纹信息后，存储企业数据指纹信息的服务器端接收提取的指纹信息，将该指纹信息与预先存储的企业数据中对应类型的指纹信息进行比对，其中，对应类型指由于在提取数据的指纹信息时不限定提取的指纹信息的类型，可以仅提取基本指纹信息，可以仅提取内容指纹信息，可以同时提取基本指纹信息以及特殊指纹信息，也可以同时提取基本指纹信息、特殊指纹信息以及内容指纹信息等提取方式，需要根据提取的指纹信息的类型，将需要进行判别的数据中同一类型的指纹信息进行比对，比如，当提取的文件的指纹信息为内容指纹信息时，将文件的内容指纹信息与企业文件的内容指纹信息进行比对；当提取的文件的指纹信息为基本指纹信息、特殊指纹信息以及内容指纹信息时，将文件的基本指纹信息、特殊指纹信息以及内容指纹信息分别与企业文件的基本指纹信息、特殊指纹信息以及内容指纹信息分别进行对应比对，进行比对后可以得到比对结果，根据比对结果判断进行判别的数据是否属于企业数据。

其中，数据的身份验证方法可以包括：控制管理软件提取数据的基因信息；将数据与预先存储的管控数据进行对应类型的基因信息比对，得到比对结果；判断比对结果是否达到对应类型的预设匹配结果；如果是，对数据进行监控管理；其中，基因信息包括文件的特征码、名称信息、类型信息、大小信息、内容信息、属性信息、标记信息中至少一种。

对员工设备上的数据进行扫描提取基因信息，判断是否为企业数据具体可以包括：控制管理软件提取数据的基因信息；将数据与预先存储的管控数据进行对应类型的基因信息比对，得到比对结果；判断比对结果是否达到对应类型的预设匹配结果；如果是，对数据进行监控管理。管理平台发送提取用户设备中数据基因信息的指令至管理软件，管理软件接收到提取指令后对所属设备中的数据进行基因提取。提取到基因信息后，存储企业数据基因信息的服务器端接收提取的基因信息，将该基因信息与预先存储的企业数据中对应类型的基因信息进行比对，进行比对后可以得到比对结果，根据比对结果判断进行判别的数据是否属于企业数据。

基于上述实施例，本发明所提供的文件数据管理方法当用户通过管理软件向企业数据发起访问请求时，管理平台接收访问请求并根据访问策略通过查询数据库对访问请求进行匹配验证，通过对访问请求的验证可以实现对企业数据的第一重防护；对企业数据以及企业员工的所有相关信息都存储于数据库中，实现数据共享，无论用户做出什么操作，均可以通过数据库来进行查询。当匹配验证成功后，接收用户通过管理软件对数据的操作，通过查询数据库，根据预先设定的访问权限对用户的操作进行验证，判断用户操作是否属于访问权限允许范围内的操作，通过对用户操作的验证可以实现对企业数据的第二重防护当操作属于允许操作时，根据操作策略对操作进行处理，针对用户对企业数据各种类型的操作均有其对应的管理操作策略来对用户的行为进行监控，根据操作策略对操作请求进行处理，对用户对数据的操作进行管理监控即可实现对企业数据的第三重防护。这样，通过访问前的访问请求验证过程、验证通过后的操作权限验证过程、以及对用户各种操作的追踪监控，可以实对企业数据全方位无死角的管控。因此，该方法能够全面实现对数据的管控，防止数据泄密。

对用户行为的监控管理可以直接通过上述介绍对用户行为进行监控，一旦发现某些异常行为立即进行处理，为了实现对数据库中信息的全面监控，对用户行为以及数据流向信息进行分析管理，基于上述实施例，也可以对数据库中用户的信息进行分析；判断用户是否出现异常操作。

由于某些用户行为可能检测到一次并不算异常，当重复检测到若干次后才能判定为用户行为异常，此时需要对数据库中的数据进行定期全面监控。其中，对数据库中用户的信息进行分析的分析方法不做限定，可以通过企业预先设定的静态策略，比如当检测到员工将数据进行非法复制时，该行为判定为异常行为；或者也可以通过人工智能大数据分析来对数据库中数据进行分析，判断用户是否出现异常操作。对异常操作的判定可以根据企业来自行确定，在此不做限定。当某用户的行为判定为异常操作时，处理方法不做限定，可以立即禁止该用户对企业数据的所有操作，也可以将该用户设备中存储的所有数据进行删除等，一旦从数据库中检测出异常行为时需尽快进行处理，以免企业利益遭受损失。

下面对本发明提供的数据管理装置进行介绍，参照图7所示为数据管理装置的结构框图，本发明提供的数据管理装置可以包括：

匹配验证单元100，用于接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对访问请求进行匹配验证；

操作接收单元200，用于当匹配验证成功后，接收用户的操作；

权限验证单元300，用于根据访问权限通过查询数据库对操作进行验证，判断操作是否为允许操作；

操作处理单元400，用于当操作属于允许操作时，根据操作策略对操作进行处理。

本发明提供的数据管理装置可以全面实现对数据的管控，防止数据泄密。对数据管理装置的介绍可参照上述数据管理方法的介绍，在此不再赘述。

下面对本发明提供的数据管理设备进行介绍，参照图8所示为数据管理设备的结构框图，本发明提供的数据管理设备可以包括：

存储器500，用于存储程序；

处理器600，用于执行程序时实现数据管理方法的步骤。

数据管理设备可参照上述数据管理装置的介绍，在此不再赘述。

本发明还提供一种可读存储介质，可读存储介质上存储有程序，计算机程序被处理器执行时实现任一项数据管理方法的步骤。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本发明所提供的数据管理方法、装置、设备及可读存储介质进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (11)

1.一种数据管理方法，其特征在于，包括：

管理平台接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对所述访问请求进行匹配验证；

当匹配验证成功后，接收所述用户的操作；

根据访问权限通过查询所述数据库对所述操作进行验证，判断所述操作是否为允许操作；

当所述操作属于允许操作时，根据操作策略对所述操作进行处理。

2.如权利要求1所述的数据管理方法，其特征在于，所述根据操作策略对所述操作进行处理包括：

判断所述操作的类型；

当所述操作属于数据上传类操作时，对上传的数据进行加密处理；其中，所述数据上传类操作包括数据上传至服务器端以及所述管理软件内数据的分享操作；

当所述用户操作属于存储类操作时，对存储的数据进行追踪管控；其中，所述存储类操作包括数据下载、数据另存、截屏以及所述管理软件外的数据分享操作。

3.如权利要求2所述的数据管理方法，其特征在于，所述对上传的数据进行加密处理包括：

结合所述管理软件的功能，对所述上传的数据进行加密处理。

4.如权利要求2所述的数据管理方法，其特征在于，所述管理软件外的数据分享方法包括：

接收并存储用户选择的需要分享的数据的信息以及被分享用户的信息；

根据所述被分享用户的权限以及所述数据的权限对所述数据进行相应的操作；

对所述数据进行追踪管控。

5.如权利要求4所述的数据管理方法，其特征在于，所述数据的追踪管控方法包括：

记录对所述数据的传输信息；其中，所述传输信息包括进行传输操作的用户信息、接收所述数据的用户信息以及传输的数据信息；

对所述数据以及所述数据编辑后生成的第二数据保持所述数据的访问权限；其中，所述编辑操作包括修改、另存以及复制；

对所述第二数据进行追踪管控；

对所述数据以及所述第二数据进行加密或者删除处理。

6.如权利要求1所述的数据管理方法，其特征在于，还包括：

对所述数据库中用户的信息进行分析；

判断所述用户是否出现异常操作。

7.如权利要求1至6任一项所述的数据管理方法，其特征在于，所述数据的身份验证方法包括：

控制所述管理软件提取所述数据的指纹信息；

将所述数据与预先存储的管控数据进行对应类型的指纹信息比对，得到比对结果；

判断所述比对结果是否达到对应类型的预设匹配结果；

如果是，对所述数据进行监控管理；

其中，所述指纹信息包括基本指纹信息、特殊指纹信息以及内容指纹信息中至少一种。

8.如权利要求1至6任一项所述的数据管理方法，其特征在于，所述数据的身份验证方法包括：

控制所述管理软件提取所述数据的基因信息；

将所述数据与预先存储的管控数据进行对应类型的基因信息比对，得到比对结果；

判断所述比对结果是否达到对应类型的预设匹配结果；

如果是，对所述数据进行监控管理；

其中，所述基因信息包括文件的特征码、名称信息、类型信息、大小信息、内容信息、属性信息、标记信息中至少一种。

9.一种数据管理装置，其特征在于，包括：

匹配验证单元，用于接收到用户对管理软件发起的访问请求时，根据访问策略通过查询数据库对所述访问请求进行匹配验证；

操作接收单元，用于当匹配验证成功后，接收所述用户的操作；

权限验证单元，用于根据访问权限通过查询所述数据库对所述操作进行验证，判断所述操作是否为允许操作；

操作处理单元，用于当所述操作属于允许操作时，根据操作策略对所述操作进行处理。

10.一种数据管理设备，其特征在于，包括：

存储器，用于存储程序；

处理器，用于执行所述程序时实现如权利要求1至8任一项所述数据管理方法的步骤。

11.一种可读存储介质，其特征在于，所述可读存储介质上存储有程序，所述程序被处理器执行时实现如权利要求1至8任一项所述数据管理方法的步骤。