CN109388949A - 一种数据安全集中管控方法和系统 - Google Patents

Abstract

本发明实施例提供了一种数据安全集中管控方法和系统，涉及数据安全技术领域，该方法应用于数据安全集中管控系统，该数据安全集中管控系统接入有至少一个安全管控系统，该方法包括：从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；对所述数据安全状态进行分析评估，生成分析评估结果；依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。本发明实施例不仅支持攻击和恶意行为发生时和发生后的防护，还可以在攻击和恶意行为发生前进行预测和告警。

Description

一种数据安全集中管控方法和系统

技术领域

本发明涉及数据安全技术领域，特别是涉及一种数据安全集中管控方法、一种数据安全集中管控系统、一种电子设备以及一种可读存储介质。

背景技术

在信息技术时代向数据技术时代转变的大背景下，数据根据自身独有的价值，拥有“内部泄漏、外部窃取”的内在驱动力，处于容易泄漏和滥用的高风险状态，数据安全防护面临严峻挑战。

“被动防御”是当前安全防护的主流方式，其核心之一是需要得到漏洞或威胁信息进行定义。具体而言，当前数据安全防护主要依托基础安全防护系统实现。基础安全防护系统面向网络域，从基础设施层面进行防护，并且以风险为导向，在攻击和恶意行为发生时才进行防护，属于被动防护。以具有代表性的防火墙为例，防火墙设置在不同网络或不同网络安全域之间，是信息的唯一出入口。防火墙通过监测、限制、更改通过的数据流，控制内部设备、服务器与外部网络的访问，对外屏蔽网络内部的信息、结构和运行状况，选择性接受外部访问，在网络或网络安全域边界架起一道屏障，防止内部特定数据流出和外部破坏性侵入。

随着数据安全威胁日益变化，基础安全防护系统已经难以满足新形势下的数据安全防护需求。具体的，不同的基础安全防护系统具有各自特定的安全防护目标，属于专项防护，形成防护孤岛。与此同时，影响数据安全的威胁因素不断增加，以及攻击行为呈现分布化、规模化、复杂化等趋势，仅靠基础安全防护系统提供的单一专项防护，已经无法满足安全需求。

发明内容

鉴于上述问题，本发明实施例提供一种应用于数据安全集中管控方法，以解决现有基础安全防护系统所存在的缺陷问题。

相应的，本发明实施例还提供了一种数据安全集中管控系统、一种设备以及一种可读存储介质，用以保证上述方法的实现及应用。

为了解决上述问题，本发明实施例公开了一种数据安全集中管控方法，应用于数据安全集中管控系统，所述数据安全集中管控系统接入有至少一个安全管控系统，该方法包括：

从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

对所述数据安全状态进行分析评估，生成分析评估结果；

依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

可选地，对目标数据进行感知，得到所述目标数据的数据安全状态，包括：针对所述目标数据进行数据采集，生成对应的属性组，所述属性组包括属性数据；对所述属性组中的属性数据进行指标化，生成对应的指标集，所述指标集包括所述目标数据对应的特定指标；依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态。

可选地，所述针对所述目标数据进行数据采集，生成对应的属性组，包括：针对所述目标数据采集特定的日志信息；对采集到日志信息进行属性化，形成所述属性组。

可选地，所述对目标数据进行感知，得到所述目标数据的数据安全状态，还包括：对所述目标数据进行数据标识，得到所述目标数据的标记信息。其中，所述针对所述目标数据进行数据采集，还包括：采集所述目标数据的标记信息。所述对采集到的日志信息进行属性化，形成所述属性组，包括：依据所述数据安全防护需求，提取所述目标数据的标记信息，并提取特定的日志信息的属性数据；围绕所述目标数据，对提取的标记信息和属性数据进行对象化存储，形成所述属性组。所述对所述属性组中的属性数据进行指标化，生成对应的指标集，包括依据所述数据安全防护需求，对所述属性组中的属性数据进行筛选、加工，生成对应的指标；围绕所述目标数据，对生成的指标进行对象化存储，形成所述指标集。

可选地，所述对所述目标数据进行数据标识，得到所述目标数据的标记信息，包括：对目标数据进行数据标记，生成目标数据的标记信息；或，对所述目标数据进行数据识别，识别出所述目标数据的标记信息。所述依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态，包括：基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，形成对应的监测可视化报表；基于所述监测可视化报表，确定所述目标数据的数据安全状态。

可选地，所述对目标数据进行感知之前，还包括：预先在所述数据安全集中管控系统中设置规则集，所述规则集包含与所述目标数据相关的特定规则。其中，所述基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，包括：采用所述标记信息、所述特定指标以及所述规则集中的特定规则，对所述述目标数据进行跟踪监测。

可选地，所述对所述数据安全状态进行分析评估，生成分析评估结果，包括：依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；和/或，依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。

可选地，所述依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，包括：

依据所述分析结果、所述特定指数以及所述特定规则，对所述数据安全状态进行解读，形成可视化报告；

依据所述可视化报告进行数据安全态势研判，生成所述评估结果。

可选地，所述从数据资产中选取特定的数据作为目标数据之前，还包括：预先在所述数据安全集中管控系统中设置策略集和配置信息，所述配置信息包括以下至少一项：任务信息，接入信息和用户配置信息；依据所述配置信息，执行所述从数据资产中选取特定的数据作为目标数据的步骤。其中，所述依据所述分析评估结果匹配特定策略，包括：采用所述分析结果与预设的策略集中的策略进行匹配，确定匹配的特定策略；或，采用所述评估结果与预设的策略集中的策略进行匹配，确定匹配的特定策略。

可选地，还包括：在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果；依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。

本发明实施例公开了一种数据安全集中管控系统，包括：

感知模块，用于从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

分析评估模块，用于对所述数据安全状态进行分析评估，生成分析评估结果；

管控模块，用于依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

可选地，所述分析评估模块包括：分析子模块和/或评估子模块；所述分析子模块，用于依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；所述评估子模块，用于依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。所述管控模块，还用于在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果，并将所述安全管控结果反馈给所述感知模块。所述感知模块，还用于依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。

本发明实施例还公开了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本发明实施例中的数据安全集中管控方法的步骤。

本发明实施例包括以下优点：

首先，本发明实施例可以以数据为导向，贯穿数据产生、存储、传输、使用、销毁等全数据生命周期对目标数据进行感知，并且可以依据感知到的目标数据的数据安全状态进行分析研判，即分析、评估目标数据的数据安全状态，不仅支持攻击和恶意行为发生时和发生后的防护，还可以在攻击和恶意行为发生前进行预测和告警，属于主动防护。

其次，本发明实施例可依据特定策略触发接入的一个或多个安全管控系统进行安全管控，即提供统一的联动机制，使得接入到数据安全集中管控系统的安全管控系统可以联动应对目标威胁，实现有效协同防护。

再次，本发明实施例可以量化数据安全状态，并可通过关联分析、评估研判，形成可视化报表或报告，从而可以帮助用户洞悉数据安全状态和掌控数据安全全局情况，即数据安全态势研判能力强。

附图说明

图1是本发明一个示例中的一种数据安全集中管控方法的示意图；

图2是本发明的一种数据安全集中管控方法实施例的步骤流程图；

图3是本发明的一种数据安全集中管控系统实施例的结构框图；

图4是本发明一个可选示例的一种数据安全集中管控系统的结构框图；

图5是本发明一个可选示例中的一种安全管控子系统的结构框图；

图6是本发明一个可选示例中的一种能力支撑子系统的结构框图；

图7是本发明一个示例中的一种数据安全集中管控系统的架构图；

图8是本发明一个示例中的一种数据安全集中管控方法的步骤流程图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

目前，应用环境多样化、开发迭代周期缩短以及安全测试压缩，导致应用漏洞数量急剧增加，安全边界边界持续扩大，增加数据安全防护难度。具体的，应用开发与安全防护的出发点不同，应用开发侧重功能实现，考虑的安全问题有限或不考虑安全问题，因此应用本身的防护越来越脆弱，应用漏洞越来越多，且在被动防护模式下，发现漏洞难。此外，信息系统架构日益复杂，安全边界持续扩大，风险控制点越来越多，如针对边界有防火墙，针对病毒有杀毒软件，且安全防护需要投入资源，覆盖所有风险控制点几乎不可能，因此现有大多数基础安全防护系统只防主要目标威胁，甚至对非主要目标威胁不采取任何措施。但是，在利益驱动下，攻击者会主动寻找可以利用应用漏洞进行攻击，且在单点上投入的资源远超安全团队。因此，利用基础安全防护系统早于攻击者发现应用漏洞的可能性微乎其微。基础防护系统在被动防护模式下，如果不能有效发现漏洞，则无法对漏洞的攻击进行防护。

不同的基础防护系统具有各自特定的安全防护目标，只能对自身的安全防护目标涉及的数据生命周期中产生、存储、传输、使用、销毁等一个或几个环节进行局部防护；且现有不同的基础安全防护系统难以关联，不具备统一的协同防护机制和支撑系统，即实现协同防护难度大，导致防护效果有限；以及基础安全防护系统只对防护数据提供简单统计，无法以数据为导向进行关联、量化数据安全状态，因此数据安全态势研判能力弱。

本发明实施例的核心构思之一在于，提供一种数据安全集中管控方法和系统，以数据为导向，面数据产生、存储、传输、使用、销毁等全数据生命周期过程，对数据安全进行集中管控，以克服现有基础安全防护系统所存在的缺陷。

例如，如图1所示，本发明实施例中的数据安全集中管控方法，可以围绕数据，面向数据产生、存储、传输、使用、销毁等全数据生命周期过程，对目标数据进行感知、分析、评估、管控，即能够贯穿数据产生、存储、传输、使用、销毁等全数据生命周期，提供全局防护，从而克服现有基础安全防护系统只提供局部防护所存在的缺陷；并且在没有针对特定风险控制点投入的情况下，从感知目标数据的数据安全状态角度，也能够发现数据行为异常，克服了现有基础安全防护系统在被动防护方面所存在的缺陷。

参照图2，示出了本发明的一种数据安全集中管控方法实施例的步骤流程图，该方法可以应用于数据安全集中管控系统中，该数据安全集中管控系统可以接入有至少一个安全管控系统，具体可以包括如下步骤：

步骤201，从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取。

在实际应用中，可以利用本发明实施例中的数据安全集中管控方法构建一个数据安全集中管控系统。该数据安全集中管控系统可以利用数据安全服务总线，通过接口支持不同厂商的安全管控系统的统一接入，如可接入现有的一个或多个基础安全防护系统，作为接入的安全管控系统，本发明实施例对此不作限制。例如，数据安全集中管控系统可以作为数据安全集中管控开放平台，使得各种不同的安全管控系统可以通过数据安全集中管控系统提供的接口统一接入到数据安全集中管控系统，为不同的安全管控系统实现协同防护奠定基础。

需要说明的是，本发明实施例中的安全管控系统可以包括诸如基础安全防护系统等基础安全层面的系统，也可以包括从业务层面实现对安全进行控制的系统，如根据数据分类分级信息进行权限控制的系统，本发明实施例对此不做具体限制。

具体的，数据安全集中管控系统可以面向业务域，从业务和行为视角开展，依据数据安全防护需求，从数据资产中选取特定的数据作为目标数据，并以数据为导向，对目标数据进行感知，从而得到目标数据的数据安全状态。其中，数据资产可以用于表征特定的数据对象，具体可以包括诸如企业、政府、个人等拥有的数据，如金融机构中的数据；目标数据可以用于表征依据数据防护需求确定的需要进行防护的数据对象，如金融机构中的客户数据。数据安全防护需求可以针对特定场景进行设置，本发明实施例对此不作限制。

一个可选示例，针对金融机构中的银行，可依据数据安全防护需求将银行中的客户数据确定为目标数据；并且可以围绕客户数据，贯穿数据产生、存储、传输、使用、销毁等全数据生命周期，通过标签、日志和/或自定义的方式，对客户数据进行感知，得到该客户数据的数据安全状态。

在本发明的一个可选实施例中，对目标数据进行感知，得到所述目标数据的数据安全状态，可以包括如下子步骤：

子步骤2011，对所述目标数据进行数据标识，得到所述目标数据的标记信息。

本发明实施例中，可以通过标签、日志和/或自定义的方式对目标数据进行数据标记，确定该目标数据的标记信息；和/或，可以通过标签、日志和/或自定义的方式对目标数据进行数据识别，识别出该目标数据的标记信息。其中，标记信息可以包括以下至少一项：数据标签、数据日志和通过自定义的方式定义的标记信息

在一种可选实施方式中，可以采用数据标签、数据日志和/或自定义的方式定义的标记信息对目标数据进行数据标记，从而生成目标数据的标记信息。当然，也可以采用数据标签、数据日志和/或自定义的方式定义的标记信息对目标数据进行数据识别，以识别出目标数据的身份，进而可以基于目标数据的身份进行数据采集，执行子步骤2012，以确定该目标数据的数据安全状态。

其中，数据标记可用于生成目标数据的标记信息，如可以通过标签方式对目标数据进行数据标记，生成该目标数据的数据标签；又如可以通过自定义的方式对目标数据进行数据标记，生成该目标数据的标记信息，等等。

数据识别可用于识别出目标数据的标记信息，如可对该目标数据的数据标签进行识别，以基于识别到的数据标签进行数据采集；又如可以对该数据标记进行数据识别，以识别出该数据标记，等等。

子步骤2012，针对所述目标数据进行数据采集，生成对应的属性组，所述属性组包括属性数据；

本发明实施例中，可以采集目标数据的标记信息，如可以采集目标数据的数据标签、数据标记等；并且可以采集特定的日志信息，以依据数据安全防护需求对采集到的标记信息和特定的日志信息进行属性化，生成对应的属性组。其中，特定的日志信息可以包括与目标数据相关的操作信息，如目标数据的下载次数、下载地址、下载用户等等，本发明实施例对此不作限制。

作为本发明的一个可选示例，内网A系统或部署在A系统中的感知模块A1可以对目标数据X进行标记，生成标记信息为M。该标记信息M可以随着目标数据X流转，或者当目标数据X流转到自身数据生命周期的某个环节可以被其他感知模块得到，可以用于识别目标数据X的身份或获取目标数据X的数据安全状态。标记信息M可以包括表明目标数据X的身份的信息M1，可选的，还可以包括记录目标数据X的数据安全状态的信息M2。需要说明的是，生成标记信息M的实现方式可以为标签、日志或其他方式定义的信息中的任意一种、全部三种或3种间任意组合，本发明实施例对此不作限制。

当目标数据X流转到外网，外网B系统或者部署在B系统中的感知模块B1，可通过标记信息M中的信息M1对目标数据X进行数据识别，识别出目标数据X的身份；并在识别目标数据X的身份后，可以采集目标数据X的相关信息N，量化目标数据X的数据安全状态，以基于目标数据X的数据安全状态进行监测、分析、评估或管控。

需求说明的是，采集到的相关信息N可以包括采集到的标记信息M3和特定的日志信息P。其中，采集到的标记信息M3可以为记录目标数据X的数据安全状态的信息M2。该记录目标数据X的数据安全状态的信息M2可以包括数据流转信息、使用者等，也可以有日志等形态，具体可以用于描述目标数据X的数据安全状态。特定的日志信息P可以用于表述目标数据X的数据安全状态。其中，特定的日志信息P和记录目标数据X的数据安全状态的信息M2的区别在于，记录目标数据X的数据安全状态的信息M2是由本系统(即数据安全集中管控系统)提供的，而特定的日志信息P是由接入进来的安全管控系统提供的。

在本发明的一个可选实施例中，上述子步骤2012具体可以包括：针对所述目标数据采集特定的日志信息；对采集到的日志信息进行属性化，形成所述属性组。具体的，数据集中管控系统可以针对目标数据，从诸如服务器、终端、基础安全防护系统等防护设施中采集特定的日志信息。该日志信息可以包括防护设施自动生成的日志信息，具体可以包括基础安全防护系统的系统日志、防护设备的设备日志等，如杀毒软件生成的日志信息、防火墙记录的拦截结果、拦截信息等，本发明实施例对此不作限制。

可选的，数据集中管控系统针对所述目标数据进行数据采集，还可以采集目标数据的标记信息。对采集到的日志信息进行属性化，形成所述属性组可以包括：依据所述数据安全防护需求，提取所述目标数据的标记信息，并提取所述日志信息的属性数据；围绕所述目标数据，对提取的标记信息和属性数据进行对象化存储，形成所述属性组。其中，属性组可以包含一个或多个属性数据。属性数据可以用于表征量化后的属性，如可以包括量化后的用户数据、下载次数等。对象化存储是指按照某种规则，将多条数据归类存储，如在多条数据都属于同一类时，将属于同一类的这些数据的属性，全部存放这一类数据的属性组进行存储。

在一种实施方式中，可以根据数据安全防护需求，提取目标数据的属性数据，如提取目标数据的标记信息和提取该目标数据对应的诸如参与者、行为、状态、环境等属性数据；并可围绕目标数据进行对象化存储，形成属性组，如形成属性组“目标数据(参与者，行为，状态，环境)”。其中，属性组的具体形式、范围和内容，可以依据数据安全防护需求和预先定义的规则集中的特定规则进行确定，本发明实施例对此不作具体限制。

需要说明的是，本发明实施例中的规则集可以包括一个或多个规则。该规则可以描述业务定义和约束，并且可反映业务的逻辑，具体可以用于指导、分析、评估业务行为。本发明实施例可以将与目标数据相关的规则称为特定规则，以依据特定规则对目标数据进行数据处理。其中，与目标数据相关的特定规则可以有一个或多个，如可以包括：跟踪规则、指标化规则、指数化规则、分析规则、评估规则等，本发明实施例对此不作限制。跟踪规则可以用于对目标数据进行跟踪；指标化规则可以用于基于属性生成指标；指数化规则可以用于基于指标生成指数；分析规则可以用于分析数据安全状态；评估规则可用于评估数据安全状态。

子步骤2013，对所述属性组中的属性数据进行指标化，生成对应的指标集，所述指标集包括所述目标数据对应的特定指标。

在具体实现中，可以根据数据安全防护需求，对属性组中的属性数据进行筛选、加工，并且可围绕目标数据进行对象化存储，形成指标集，如“目标数据(参与者，行为，状态，环境)”指标集。其中，指标集的具体形式、范围和内容，可以依据数据安全防护需求和规则集中的特定规则进行设置，本发明实施例对此不作具体限制。

在本发明的一个可选实施例中，上述子步骤2013具体可包括：依据所述数据安全防护需求，对所述属性组中的属性数据进行筛选和加工，生成对应的指标；围绕所述目标数据，对生成的指标进行对象化存储，形成所述指标集。其中，指标集可以包括一个或多个指标。指标可作为判断数据是否存在安全风险的依据，可以包括工作时间内的下载率、非工作时间的下载率、下载次数阈值等等。本发明实施例可以将目标数据对应的指标称为特定指标，以依据该特定指标对目标数据进行数据处理。

子步骤2014，依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态。

在具体实现中，数据安全集中管控系统可以根据目标数据的标记信息和指标集中的特定指标，对目标数据进行跟踪、监测，得到对应的跟踪监测信息。该跟踪监测信息可以反映目标数据的数据安全状态，本发明实施例可以基于得到的跟踪监控信息确定出目标数据的数据安全状态，进而可量化目标数据的安全状态，为分析、评估目标数据可能存在的数据风险提供依据。

在本发明的一个可选实施例中，上述子步骤2014可以包括：基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，形成对应的监测可视化报表；基于所述监测可视化报表，确定所述目标数据的数据安全状态。具体的，可以根据目标数据的标记信息和指标集中的特定指标，围绕目标数据，贯穿数据产生、存储、传输、使用、销毁等全数据生命周期对目标数据进行跟踪、监测，形成对应的监测可视报表，该监测可视报表可以反映数据安全状态；进而可以基于监测可视化报表，确定目标数据的数据安全状态，从而可以帮助用户洞悉数据安全状态，方便用户掌控数据安全全局情况。

在本发明实施例中，可选地，在对目标数据进行感知之前，还可以包括：预先在所述数据安全集中管控系统中设置规则集，所述规则集包含与所述目标数据相关的特定规则。其中，所述基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，具体可包括：采用所述标记信息、所述特定指标以及所述规则集中的特定规则，对所述述目标数据进行跟踪监测。例如，可以根据数据标记、指标集中的特定指标以及规则集中的特定规则，对目标数据进行跟踪、监测，形成监测可视化报表。该监测可视化报表可以用于表示目标数据的数据流转、数据状态、数据行为和数据安全事件统计等等，本发明实施例对此不作限制。

步骤202，对所述数据安全状态进行分析评估，生成分析评估结果。

在具体实现中，可以根据指标集中的特定指标、规则集中的特定规则，对目标数据的数据安全状态进行分析、评估，以判断出目标数据是否存在安全威胁，并生成对应的分析评估结果。该分析评估结果可以用于确定目标数据是否存在安全威胁，进而可在攻击和恶意行为发生前进行预测和告警。

在本发明实施例中，可选地，上述步骤202可以包括：依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；和/或，依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。例如，可以按照指数化规则，采用多个指标进行深度加工，生成特定指数。

在本发明的一个可选实施方式中，数据安全集中管控系统可以根据指标集中的特定指标和规则集中的特定规则，从多个因素的关联性视角展开分析，生成对应的分析结果，并可将该分析结果作为分析评估结果，然后执行步骤203。具体的，可根据指标集中的特定指标和规则集中的特定规则，从多个因素的关联性视角展开，对目标数据的数据安全状态进行分析，形成对应的分析可视化报表，以采用该分析可视化报表透视目标数据的数据安全状态；并且可以生成对应的分析结果，以基于分析结果确定出目标数据可能存在的威胁。

在本发明的另一个可选实施方式中，数据安全集中管控系统可以根据目标数据对应的特定指数和规则集中的特定规则对目标数据的数据安全状态进行评估，生成对应的评估结果，并且可以将该评估结果作为分析评估结果，执行步骤203。具体的，可以根据目标数据对应的特定指数和规则集中的特定规则对目标数据的数据安全状态进行解读、研判，生成对应的评估结果，以采用该评估结果确定出目标数据实际上存在的事实威胁。其中，特定指数可以是深度加工的指数。指数可以是根据特定规则，由多个指标加工生成的，用于反映数据安全状态的综合变动相对数。

优选地，数据安全集中管控系统可以先对目标数据的安全状态进行关联分析，生成分析结果，然后在该分析结果的基础上，结合特定指数对该目标数据的数据安全状态进行评估，生成对应的评估结果，随即可将该评估结果作为分析评估结果，执行步骤203。

在本发明的一个可选实施例，依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，可以包括：依据所述分析结果、所述特定指数以及所述特定规则，对所述数据安全状态进行解读，形成可视化报告；依据所述可视化报告进行数据安全态势研判，生成所述评估结果。在具体实现中，可以根据分析结果、特定指数和规则集中的特定规则，解读指数在不同区间范围内对应的数据安全状态，从而形成可视化报告，该可视化报告可用于指导数据安全态势研判。在形成可视化报告后，可以依据该可视化报告进行数据安全态势研判，以判断目标数据可能存在的威胁是否属于事实威胁，并生成对应的评估结果。

步骤203，依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

本发明实施例在生成分析评估结果后，基于预设的策略集中的特定策略，针对目标数据进行管控和控制，如采用一种或多种安全管控系统进行安全管控，以协同防护应对目标威胁。该目标威胁可以表示目标数据所对应的威胁，可以包括可能存在的威胁、真实存在的事实威胁等。

在本发明的一个可选实施例中，从数据资产中选取特定的数据作为目标数据之前，该方法还包括：预先在所述数据安全集中管控系统中设置策略集和配置信息，所述配置信息包括以下至少一项：任务信息，接入信息和用户配置信息；依据所述配置信息，执行所述从数据资产中选取特定的数据作为目标数据的步骤。其中，策略集可以包括一个或多个策略。该策略可以包括面向分析、评估结果或特定场景，可采用的针对特定问题的应对方案。本发明实施中，可以将与目标数据相关的策略称为特定策略，该特定策略可以用于应对目标数据所存在的风险。

具体的，可以预先在数据安全管控系统中设置配置信息，进而可以依据设置的配置信息开始任务，即执行步骤201。

其中，任务信息可以包括基础配置信息和智能配置信息。基础配置信息可以包括在数据安全集中管控系统设置的诸如目标数据、防护范围、防护时限、防护起停状态和特定数据安全防护需求的定制功能对应的特定配置信息等等。智能配置信息可以用于选择机器学习模式，可以包括禁用模式、自动模式和人工模式等等。禁用模式，可以不允许使用机器学习功能。自动模式，开启机器学习功能，即可以智能的优化指标集、规则集、策略集，并且可自动应用优化后的指标集、规则集、策略集。人工模式，可对智能的优化指标集、规则集、策略集，需要人工进行审核、管控、调整和优化，确认后才可应用优化后的新的指标集、规则集、策略集。

接入信息可以用于接入管理，如可用于对接入的安全管控系统进行统一维护和管理，可以包括服务级别、接口参数、接入方式和其他数据安全服务总线相关配置的信息，本发明实施例对此不作限制。

用户配置信息可以用于对用户进行管理，如可以创建、删除、修改、查询数据安全集中管控系统的用户，也可以对用户进行分组和、设置用户权限和/或针对用户设置对应的审计策略等等。

可选地，上述步骤203可以包括：采用所述分析结果与预设的策略集中的策略进行匹配，确定匹配的特定策略；或，采用所述评估结果与预设的策略集中的策略进行匹配，确定匹配的特定策略。

在具体实现中，若将生成的分析结果作为本发明实施例中的分析处理结果，则可以将生成的分析结果与策略集中的策略进行匹配，以确定与该分析结果匹配的特定策略。若将生成的评估结果作为本发明实施例中的分析处理结果，则可以将该评估结果与策略集中的策略进行匹配，确定与该评估匹配的特定策略。

例如，在生成了分析结果而没有生成评估结果的情况下，数据安全集中管控系统可以将分析结果作为分析评估结果，以采用该分析结果与策略集中的策略进行匹配，确定与该分析结果匹配的特定策略。

又如，在生成了分析结果和评估结果的情况下，数据安全集中管控系统可以将评估结果作为分析评估结果，以采用该评估结果与策略集中的策略进行匹配，确定与该评估结果匹配的特定策略。

当然，在仅生成评估结果而没有生成分析结果的情况下，数据安全集中管控系统也可以将评估结果作为分析评估结果，以采用评估结果与策略集中的策略进行匹配，本发明实施例对此不作限制。

在确定特定策略后，可以由该特定策略触发，采用接入的一个或多个安全管控系统进行安全防控，即可对接入的安全管控系统实现联动，协同防护应对目标威胁，实现了有效协同防护。

在本发明的一个可选实施例中，所述方法还可以包括：在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果；依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。在具体实现中，可在安全管控系统实现安全管控后，根据实施安全管控后的数据安全状态，生成目标数据对应的安全管控结果；并且可以将该安全管控结果作为输入，重新对目标数据的数据安全状态进行感知，以更新已知数据安全状态，进而可以主动地对目标数据进行防护。

本发明实施例可以以数据为导向，贯穿数据产生、存储、传输、使用、销毁等全数据生命周期对目标数据进行感知，并且可以依据感知到的目标数据的数据安全状态进行分析评估，即分析、评估目标数据本身的数据安全状态，不仅支持攻击和恶意行为发生时和发生后的防护，还可以在攻击和恶意行为发生前进行预测和告警，属于主动防护；以及可依据特定策略触发接入的一个或多个安全管控系统进行安全管控，即提供统一的联动机制，使得接入到数据安全集中管控系统的安全管控系统可以联动应对目标威胁，实现有效协同防护。

参照图3，示出了本发明的一种数据安全集中管控系统实施例的结构框图，该数据安全集中管控系统接入有至少一个安全管控系统，具体可以包括如下模块：

感知模块310，用于从业务数据中提取目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

分析评估模块320，用于对所述数据安全状态进行分析评估，生成分析评估结果；

管控模块330，用于依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

在具体实现中，数据安全集中管控系统可以包括一个或多个子系统，本发明实施例对此不作限制。

需要说明的是，分析评估模块320可以分为分析模块和评估模块；其中，分析模块可以用于根据指标集中的特定指标和规则集中的特定规则，从多个因素的关联性视角展开关联分析，生成对应的分析结果，透视目标数据的数据安全状态；评估模块可以用于根据分析结果、特定指数和规则集中的特定规则，解读指数在不同区间范围内对应的数据安全状态，形成可视化报告，以依据可视化报告指导数据安全态势研判，生成对应的评估结果。在具体实现中，数据安全管控系统可以包含分析模块而不包含评估模块，并且可以将该分析模块作为本发明实施例中的分析评估模块320；或者，数据安全管控系统可以包含评估模块而不包含分析模块，并且可以将评估模块作为本发明实施例中的分析评估模块320。当然，分析模块和评估模块也可以集成在同一个模块中，形成本发明实施例中的分析评估模块320，即分析模块和评估模块可以作为分析评估模块320中的子模块，本发明实施例对此也不作限制。

在本发明的一个可选实施例中，所述分析评估模块320，可包括如下子模块：

分析子模块，用于依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；和/或，

评估子模块，用于依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。

在本发明的一个可选实施例中，所述评估子模块具体可以用于依据所述分析结果、所述特定指数以及所述特定规则，对所述数据安全状态进行解读，形成可视化报告；并依据所述可视化报告进行数据安全态势研判，生成所述评估结果。

在本发明的一个可选实施例中，所述感知模块320，可以包括如下子模块：

数据标识子模块，用于对所述目标数据进行数据标识，得到所述目标数据的标记信息；

数据采集子模块，用于针对所述目标数据进行数据采集，生成对应的属性组，所述属性组包括属性数据；

指标化子模块，用于对所述属性组中的属性数据进行指标化，生成对应的指标集，所述指标集包括所述目标数据对应的特定指标；

跟踪监测子模块，用于依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态。

在本发明实施例中，数据标识子模块具体可以用于对目标数据进行数据标记，生成目标数据的标记信息。可选地，数据标识子模块也可以对目标数据进行数据识别，识别出所述目标数据的标记信息。其中，标记信息可以包括数据标签、数据日志、通过自定义的方式定义的标记信息等其中任意一种或几种，本发明实施例对此不作限制。

在本发明的一个可选实施例中，所述数据采集子模块，具体可以包括如下单元：

采集单元，用于针对所述目标数据采集特定的日志信息；

属性化单元，用于对采集到的日志信息进行属性化，形成所述属性组。

在本发明的一个可选实施例中，采集单元还用于采集所述目标数据的标记信息。所述属性化单元具体可以用于依据所述数据安全防护需求，提取所述目标数据的标记信息，并提取所述特定的日志信息的属性数据；并围绕所述目标数据，对提取的标记信息和属性数据进行对象化存储，形成所述属性组。

在本发明的一个可选实施例中，所述指标化子模块具体可以用于依据所述数据安全防护需求，对所述属性组中的属性数据进行筛选、加工，生成对应的指标；并围绕所述目标数据，对生成的指标进行对象化存储，形成所述指标集。

在本发明的一个可选实施例中，所述跟踪监测子模块具体可以用于基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，形成对应的监测可视化报表；并基于所述监测可视化报表，确定所述目标数据的数据安全状态。

在本发明的一个可选实施例中，该数据安全集中管控系统还可以包括：管理模块，用于预先在所述数据安全集中管控系统中设置规则集，所述规则集包含与所述目标数据相关的特定规则。其中，跟踪监测子模块具体用于采用所述标记信息、所述特定指标以及所述规则集中的特定规则，对所述述目标数据进行跟踪监测。

在本发明的一个可选实施例中，所述管控模块330具体可以用于采用所述分析结果与预设的策略集中的策略进行匹配，确定匹配的特定策略。

在本发明的另一个可选实施例中，所述管控模块330具体用于采用所述评估结果与预设的策略集中的策略进行匹配，确定匹配的特定策略。

在本发明的一个可选实施例中，所述管理模块还用于预先在所述数据安全集中管控系统中设置策略集。

在本发明的一个可选实施例中，管理模块还用于预先在所述数据安全集中管控系统中设置策略集。所述数据安全集中管控系统还可以包括：配置模块。配置模块可用于设置配置信息，并依据所述配置信息，触发所述感知模块执行从数据资产中选取特定的数据作为目标数据的步骤。其中，所述配置信息包括以下至少一项：任务信息，接入信息和用户配置信息。

在本发明的一个可选实施例中，所述管控模块330，还用于在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果，并将所述安全管控结果反馈给所述感知模块310；

所述感知模块310，还用于依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。

一个可选示例中，如图4所示，数据安全集中管控系统300可以包括安全管控子系统301和能力支撑子系统402。其中，安全管控子系统301，可以用于实现数据安全集中管控过程的感知、分析、评估和管控；能力支撑子系统302，可以为数据安全集中管控系统300的功能实现，提供能力支撑。

参照图5，示出了本发明一个可选示例中的一种安全管控子系统的结构框图。该安全管控子系统301可以包括感知模块310、分析模块321、评估模块322和管控模块330。

感知模块310可以用于提供数据标识和数据感知功能。具体的，数据标识功能，可以通过标签、日志和自定义的方式对目标数据进行数据标记和数据识别。数据感知功能，可以包括数据采集、属性化、指标化和跟踪监测等功能。数据采集功能，可采集目标数据的标记信息和特定的日志信息。属性化功能，可根据数据安全防护需求，提取目标数据的标记信息和特定的日志信息的属性，并围绕目标数据进行对象化存储，形成属性组，如“目标数据(参与者，行为，状态，环境)”属性组。其中，属性组的具体形式、范围和内容，可由数据安全防护需求和规则集中的特定规则确定。指标化功能，可根据数据安全防护需求，对属性组中的属性进行筛选、加工，并围绕目标数据进行对象化存储，形成指标集，如“目标数据(参与者，行为，状态，环境)”指标集。其中，指标集的具体形式、范围和内容，可由数据安全防护需求和规则集中的特定规则确定。跟踪监测功能，可根据数据标记、指标集中的特定指标和规则集中的特定规则，对目标数据进行跟踪、监测，形成监测可视化报表，反映数据安全状态。

分析模块321，可以根据指标集中的特定指标和规则集中的特定规则，从多个因素的关联性视角展开关联分析，形成分析可视化报表，并且可以将该分析可视化报告作为分析结果，以透视数据安全状态。

评估模块322，根据分析结果、特定指数和规则集中的特定规则，解读指数在不同区间范围内对应的数据安全状态，形成可视化报告，指导数据安全态势研判。

管控模块330，可以用于提供安全管控和反馈联动功能。安全管控功能，可以基于策略集中的特定策略，针对特定目标进行管理和控制。反馈联动功能可以包括反馈和联动，用于提供统一的反馈联动机制。反馈，可将实施安全管控后的数据安全状态反馈给感知模块310，作为感知模块310的输入，使得感知模块310进行重新被感知，以更新已知数据安全状态。联动，可面向特定场景，由策略集中的特定策略触发，同时采用多种安全管控系统，协同防护应对目标威胁。

参照图6，示出了本发明一个可选示例中的一种能力支撑子系统的结构框图。该能力支撑子系统302，可以包括管理模块340、能力模块350、配置模块360。

管理模块340，可用于对指标集、规则集、策略集进行管理和维护，包括指标管理、规则管理、策略管理。其中，指标管理，可根据数据安全防护需求，对指标集中的指标，进行新增、删除、修改和查询。规则管理，可根据数据安全防护需求，对规则集中的规则，进行新增、删除、修改和查询。策略管理，可根据数据安全防护需求，对策略集中的策略，进行新增、删除、修改和查询。

能力模块350，可为数据安全集中管控系统提供智能、展现、审计和服务等各方面的能力支撑，具体可以包括智能引擎、展现引擎、审计引擎和服务引擎等等，本发明实施例对此不作限制。

其中，智能引擎，可基于预定义、自定义和智能学习的优化规则，采用自然语言处理、机器学习、数据挖掘等智能技术，进一步优化指标集、规则集、策略集，从而可以提升感知、分析、评估和管控的精度和效率。自然语言处理，可利用独有优化算法，精准提取目标数据的属性，保证感知的精确度。机器学习，可以遵循特定规范准则，智能优化指标集、规则集、策略集，提升数据安全集中管控的精度和效率。数据挖掘，可采用聚类和分类等算法，保证海量数据处理过程高效稳定。

展现引擎，可针对感知、分析、评估、管控过程，形成可视化报表或可视化报告，具体可以涵盖数据安全事件与状态的分布展现、数量展现、占比展现，实现多视角、多纬度信息展现，并且可以提供分类分级、趋势展现和治理建议，帮助用户洞悉数据安全状态和掌控数据安全全局情况。

审计引擎，可对数据安全集中管控全过程进行审计，导出、展现审计报告。

服务引擎，可以包括一个数据安全服务总线，支持异构环境中的服务、消息，以及基于事件的交互，具有适当的服务级别和可管理性；并且可通过接口支持不同厂商的安全管控系统的统一接入，为不同的安全管控系统实现协同防护奠定基础。

配置模块360，可用于提供任务管理、接入管理和用户管理等功能。

其中，任务管理，可以包括基础配置和智能配置。基础配置，可用于设置数据安全集中管控的目标数据、防护范围、防护时限、防护起停状态和特定数据安全防护需求的定制功能对应的配置信息。智能配置，可用于选择机器学习模式，包括禁用模式、自动模式和人工模式。禁用模式，可禁用机器学习功能，即不允许使用机器学习。自动模式，可开启机器学习功能，即可以智能优化指标集、规则集、策略集，并可自动应用优化后的指标集、规则集、策略集。人工模式，开启机器学习功能，即可对指标集、规则集、策略集等进行智能优化，且人工也可对指标集、规则集、策略集进行审核、管控、调整、优化，在人工确认后才可应用优化后的指标集、规则集、策略集。

接入管理，可通过服务引擎接入的安全管控系统进行统一维护和管理，具体可包括服务级别、接口参数、接入方式和其他数据安全服务总线相关配置，等等。

用户管理，可以提供数据安全集中管控系统的用户创建、删除、修改、查询，并且可支持用户的分组设置、权限设置和审计设置等等。其中，分组设置，可以用于自定义创建、删除、修改、查询用户分组，对用户分组设置描述信息，并且可支持将用户移入或迁出特定用户分组。权限设置，可对不同的用户或用户分组，赋予不同的系统使用权限。审计设置，可对不同的用户或用户分组，设置不同的审计策略。

数据安全集中管控系统还可以包括一个或多个数据库，用于记录实现数据安全集中管控功能的数据信息。其中，数据库的数量可以根据数据安全防护需求，包括数据库，本发明实施例对此不作限制。

首先，本发明实施例中的数据安全集中管控系统可以围绕数据对象，贯穿数据产生、存储、传输、使用、销毁等全数据生命周期，提供全局防护。

其次，本发明实施例中的数据安全集中管控系统，可以对目标数据的数据安全状态进行分析、评估，即拥有分析、评估体系，不仅支持攻击和恶意行为发生时和发生后的防护，还可以在攻击和恶意行为发生前，进行预测和告警，属于主动防护。在主动防护模式下，数据安全集中管控系统即使不能发现漏洞，也可以从目标数据的业务和行为视角，分析出目标数据安全状态，提供防护。

再次，本发明实施例中的数据安全集中管控系统包括服务引擎和接入管控，可以提供一种数据安全集中管控开放平台，通过企业服务总线支持异构环境中的服务、消息，以及基于事件的交互，并通过接口支持不同厂商的安全管控系统的统一接入，为不同的安全管控系统实现协同防护奠定基础。显然，本发明实施例中的数据安全集中管控系统，具有统一的反馈联动机制，可以实现有效协同防护。

本发明实施例中的数据安全集中管控系统支持以数据为导向，可以量化数据安全状态，并通过关联分析、评估研判，可形成可视化报表或报告，从而可以帮助用户洞悉数据安全状态和掌控数据安全全局情况，即数据安全态势研判能力强。

为使本领域技术人员更好地理解本发明实施例，下文结合示例对本发明实施例中的数据安全集中管控方法进行说明。

参照图7，示出了本发明一个示例中的一种数据安全集中管控系统的架构图。

在本示例中，数据安全集中管控系统300可面向数据产生、存储、传输、使用、销毁等全数据生命周期过程，对金融机构的数据安全进行集中管控，如图8所示，具体可以包括如下步骤：

步骤801，在管理模块中，对规则集、策略集进行预定义。

步骤802，在配置模块中，设置智能配置信息、接入信息。例如，在配置模块中，将智能配置信息设置为禁用模式，将接入信息配置为邮件网关，将审计策略设置为选择默认审计，等等。

步骤803，在配置模块中，设置数据安全集中管控系统的目标数据、防护范围、防护时限和特定数据安全防护需求的定制功能对应的配置信息，并开启任务。例如，可以将数据安全集中管控系统的目标数据设置为金融机构的客户数据、防护范围为办公环境、防护时限为永久，并开启任务。

步骤804，感知模块对目标数据进行数据标记和数据识别。具体的，数据安全集中管控系统中的感知模块，可以通过标签、日志和自定义的方式对目标数据进行数据标记，如为目标数据增加对应的属性，数据标签、数据标记等；并且可以对目标数据进行数据识别，以识别出目标数据的身份、数据安全状态等，本发明实施例对此不作限制。

步骤805，感知模块对目标数据的标记信息和特定的日志信息进行采集。例如，在通过自定义的方式对目标数据进行标记时，感知模块可以采集目标数据的数据标记和与该目标数据相关的特定的日志信息，如下载次数、下载地址等。又如，在通过标签方式对目标数据进行标记时，感知模块可以采集目标数据的数据标签和与该目标数据相关的特定的日志信息。

步骤806，感知模块根据数据安全防护需求，提取目标数据的标记信息和特定的日志信息的属性，并围绕目标数据进行对象化存储，形成属性组。例如，感知模块可根据数据安全防护需求，提取数据标记或数据标签，和提取特定的日志信息的属性，并对提取的属性进行量化，以及围绕着目标数据进行对象化存储，形成对应的属性组。

步骤807，感知模块根据数据安全防护需求，对属性组中的属性进行筛选、加工，并围绕目标数据进行对象化存储，形成指标集。

步骤808，感知模块根据目标数据的标记信息、指标集中的特定指标和规则集中的特定规则，对目标数据进行跟踪、监测，形成可视化报表。

例如，感知模块可以根据数据标记与指标集中的特定指标，对目标数据进行跟踪、监测，形成监测可视化报表；又如，感知模块可以根据数据标签、指标集中的特定指标，对目标数据进行跟踪、监测，形成监测可视化报表。其中，监测可视化报表可包括目标数据的数据流转、数据状态、数据行为和数据安全事件统计等等。

步骤809，分析模块根据指标集中的特定指标和规则集中的特定规则，从多个因素的关联性视角展开关联分析，生成分析结果。在本示例中，分析模块可以将该分析结果，发送到评估模块。

此外，分析模块还可以基于目标数据的关联分析，形成分析可视化报表，从而可以帮助用户洞悉数据安全状态和掌控数据安全全局情况。具体的，分析结果生成之前，可以对分析过程进行可视化，形成分析可视化报表，该可视化报表可用于透视目标数据的数据安全状态。例如，分析可视化报表可以显示金融机构网内所有用户使用某数据的流量的正态分布。当用户流量处于5％的小概率范围时，可以初步认为数据流量异常，即分析得到的分析结果为“可能存在威胁”，需进一步研判，以判断是否属于事实威胁。分析模块可将该分析结果“可能存在威胁”发送到评估模块。可选地，数据安全管控系统还可以采用可视化报表对分析结果进行描述，有利于直观的理解分析结果。

步骤810，评估模块根据分析结果、特定指数和规则集中的特定规则进行评估，生成评估结果，并该评估结果发送给到管控模块。例如，评估模块可根据分析结果，结合数据分类分级执行指数、数据生命周期安全指数、重要数据操作合规指数、数据安全事件发生指数等和规则集中的特定规则，认为属于数据泄漏事实威胁，即生成评估结果“属于数据泄漏事实威胁”；并且可将评估结果“属于数据泄漏事实威胁”，发送到管控模块。

步骤811，管控模块在收到的评估结果后，基于策略集中的特定策略，针对目标数据，采用接入的一个或多个安全管控系统进行管理和控制，以协同应对目标威胁。例如，管控模块在收到的评估结果后，可依据该评估结果匹配策略集中的特定策略，并可针对使用目标数据的特定用户，在邮件网关上对特定用户进行阻断。

步骤812，管控模块将实施安全管控后的数据安全状态，发送给感知模块，触发感知模块重新对目标数据的数据安全状态进行感知，以更新已知数据安全状态，形成数据安全集中管控闭环。例如，管控模块可以将邮件网关阻断后的目标数据安全状态，发送给感知模块，以触发感知模块重新对目标数据安全状态进行感知，形成数据安全集中管控闭环。

步骤813，能力模块根据审计策略，对数据安全集中管控全过程，进行审计，形成审计报告。具体的，能力模块中的审计引擎，可根据审计策略，对数据安全集中管控全过程，进行审计，形成审计报告。

需要说明的是，在数据安全管控过程完成，若在步骤802中，将智能配置信息设置为选禁用模式，则数据安全管控系统中的指标集、规则集、策略集可不发生变化。若在步骤802中，将智能配置信息设置为自动模式，则数据安全管控系统可以自动应用智能优化的指标集、规则集、策略集。若在步骤802中，将智能配置信息设置为人工模式，则用户需在数据安全管控系统的智能配置中对智能优化的指标集、规则集、策略集，进行人工审核、管控、调整和优化；并且在用户确认后，数据安全管控系统才可应用优化后的指标集、规则集、策略集。

综上，本示例中的数据安全集中管控系统可面向业务域，从业务和行为视角开展，以数据为导向，对数据安全进行集中管控，属于全局防护、主动防护和协同防护。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时可以实现以下步骤：

从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

对所述数据安全状态进行分析评估，生成分析评估结果；

依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

可选地，对目标数据进行感知，得到所述目标数据的数据安全状态，包括：针对所述目标数据进行数据采集，生成对应的属性组，所述属性组包括属性数据；对所述属性组中的属性数据进行指标化，生成对应的指标集，所述指标集包括所述目标数据对应的特定指标；依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态。

可选地，所述针对所述目标数据进行数据采集，生成对应的属性组，包括：针对所述目标数据采集特定的日志信息；对采集到日志信息进行属性化，形成所述属性组。

可选地，所述对目标数据进行感知，得到所述目标数据的数据安全状态，还包括：对所述目标数据进行数据标识，得到所述目标数据的标记信息。其中，所述针对所述目标数据进行数据采集，还包括：采集所述目标数据的标记信息。所述对采集到的日志信息进行属性化，形成所述属性组，包括：依据所述数据安全防护需求，提取所述目标数据的标记信息，并提取特定的日志信息的属性数据；围绕所述目标数据，对提取的标记信息和属性数据进行对象化存储，形成所述属性组。所述对所述属性组中的属性数据进行指标化，生成对应的指标集，包括依据所述数据安全防护需求，对所述属性组中的属性数据进行筛选处理，生成对应的指标；围绕所述目标数据，对生成的指标进行对象化存储，形成所述指标集。

可选地，所述对所述目标数据进行数据标识，得到所述目标数据的标记信息，包括：对目标数据进行数据标记，生成目标数据的标记信息；或，对所述目标数据进行数据识别，识别出所述目标数据的标记信息。所述依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态，包括：基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，形成对应的监测可视化报表；基于所述监测可视化报表，确定所述目标数据的数据安全状态。

可选地，所述对目标数据进行感知之前，还包括：预先在所述数据安全集中管控系统中设置规则集，所述规则集包含与所述目标数据相关的特定规则。其中，所述基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，包括：采用所述标记信息、所述特定指标以及所述规则集中的特定规则，对所述述目标数据进行跟踪监测。

可选地，所述对所述数据安全状态进行分析评估，生成分析评估结果，包括：依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；和/或，依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。

可选地，所述依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，包括：

依据所述分析结果、所述特定指数以及所述特定规则，对所述数据安全状态进行解读，形成可视化报告；

依据所述可视化报告进行数据安全态势研判，生成所述评估结果。

可选地，所述从数据资产中选取特定的数据作为目标数据之前，还包括：预先在所述数据安全集中管控系统中设置策略集和设置配置信息，所述配置信息包括以下至少一项：任务信息，接入信息和用户配置信息；并依据所述配置信息，执行所述从数据资产中选取特定的数据作为目标数据的步骤。其中，所述依据所述分析评估结果匹配特定策略，包括：采用所述分析结果与预设的策略集中的策略进行匹配，确定匹配的特定策略；或，采用所述评估结果与预设的策略集中的策略进行匹配，确定匹配的特定策略。

可选地，所述处理器执行所述程序时还可以实现以下步骤：在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果；依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。

一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时可以实现本发明实施例中的数据安全集中管控方法的步骤。

对于电子设备、计算机可读存储介质实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、系统、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的系统。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令系统的制造品，该指令系统实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种数据安全集中管控方法、系统、设备及存储介质，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (14)

1.一种数据安全集中管控方法，其特征在于，应用于数据安全集中管控系统，所述数据安全集中管控系统接入有至少一个安全管控系统，所述方法包括：

从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

对所述数据安全状态进行分析评估，生成分析评估结果；

依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

2.根据权利要求1所述的方法，其特征在于，对目标数据进行感知，得到所述目标数据的数据安全状态，包括：

针对所述目标数据进行数据采集，生成对应的属性组，所述属性组包括属性数据；

对所述属性组中的属性数据进行指标化，生成对应的指标集，所述指标集包括所述目标数据对应的特定指标；

依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态。

3.根据权利要求2所述的方法，其特征在于，所述针对所述目标数据进行数据采集，生成对应的属性组，包括：

针对所述目标数据采集特定的日志信息；

对采集到日志信息进行属性化，形成所述属性组。

4.根据权利要求3所述的方法，其特征在于，所述对目标数据进行感知，得到所述目标数据的数据安全状态，还包括：对所述目标数据进行数据标识，得到所述目标数据的标记信息；

其中，所述针对所述目标数据进行数据采集，还包括：采集所述目标数据的标记信息；

所述对采集到的日志信息进行属性化，形成所述属性组，包括：依据所述数据安全防护需求，提取所述目标数据的标记信息，并提取所述日志信息的属性数据；围绕所述目标数据，对提取的标记信息和属性数据进行对象化存储，形成所述属性组；

所述对所述属性组中的属性数据进行指标化，生成对应的指标集，包括依据所述数据安全防护需求，对所述属性组中的属性数据进行筛选和加工，生成对应的指标；围绕所述目标数据，对生成的指标进行对象化存储，形成所述指标集。

5.根据权利要求4所述的方法，其特征在于，

所述对所述目标数据进行数据标识，得到所述目标数据的标记信息，包括：对目标数据进行数据标记，生成目标数据的标记信息；或，对所述目标数据进行数据识别，识别出所述目标数据的标记信息；

所述依据所述指标集中的特定指标对所述目标数据跟踪监测，确定所述目标数据的数据安全状态，包括：基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，形成对应的监测可视化报表；基于所述监测可视化报表，确定所述目标数据的数据安全状态。

6.根据权利要求5所述的方法，其特征在于，所述对目标数据进行感知之前，还包括：

预先在所述数据安全集中管控系统中设置规则集，所述规则集包含与所述目标数据相关的特定规则；

其中，所述基于所述标记信息和所述特定指标，对所述目标数据进行跟踪监测，包括：采用所述标记信息、所述特定指标以及所述规则集中的特定规则，对所述目标数据进行跟踪监测。

7.根据权利要求6所述的方法，其特征在于，所述对所述数据安全状态进行分析评估，生成分析评估结果，包括：

依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；和/或，

依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。

8.根据权利要求7所述的方法，其特征在于，所述依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，包括：

依据所述分析结果、所述特定指数以及所述特定规则，对所述数据安全状态进行解读，形成可视化报告；

依据所述可视化报告进行数据安全态势研判，生成所述评估结果。

9.根据权利要求7所述的方法，其特征在于，

所述从数据资产中选取特定的数据作为目标数据之前，所述方法还包括：

预先在所述数据安全集中管控系统中设置策略集和设置配置信息，所述配置信息包括以下至少一项：任务信息，接入信息和用户配置信息；

依据所述配置信息，执行所述从数据资产中选取特定的数据作为目标数据的步骤；

其中，所述依据所述分析评估结果匹配特定策略，包括：采用所述分析结果与预设的策略集中的策略进行匹配，确定匹配的特定策略；或，采用所述评估结果与预设的策略集中的策略进行匹配，确定匹配的特定策略。

10.根据权利要求1至4任一所述的方法，其特征在于，所述方法还包括：

在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果；

依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。

11.一种数据安全集中管控系统，其特征在于，所述数据安全集中管控系统接入有至少一个安全管控系统，包括：

感知模块，用于从数据资产中选取特定的数据作为目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

分析评估模块，用于对所述数据安全状态进行分析评估，生成分析评估结果；

管控模块，用于依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

12.根据权利要求11所述的系统，其特征在于，所述分析评估模块包括：分析子模块和/或评估子模块；

所述分析子模块，用于依据所述特定指标和所述特定规则，对所述数据安全状态进行关联分析，生成对应的分析结果；

所述评估子模块，用于依据所述目标数据对应的特定指数和所述特定规则，对所述数据安全状态进行评估，生成对应的评估结果，所述特定指数为依据一个或多个指标生成的。

所述管控模块，还用于在所述安全管控系统实施所述安全管控后，确定对应的安全管控结果，并将所述安全管控结果反馈给所述感知模块；

所述感知模块，还用于依据所述安全管控结果重新对所述目标数据进行感知，以对所述目标数据的数据安全状态进行更新。

13.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现以下步骤：

从业务数据中提取目标数据并进行感知，得到所述目标数据的数据安全状态，其中，所述目标数据依据数据安全防护需求选取；

对所述数据安全状态进行分析评估，生成分析评估结果；

依据所述分析评估结果匹配特定策略，并依据所述特定策略触发接入的至少一个安全管控系统对所述目标数据进行安全管控。

14.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1至10任一项所述方法的步骤。