CN109800589A - 一种信息安全管控方法、系统、装置及可读存储介质 - Google Patents

Abstract

本申请公开了一种信息安全管控方法，区别于为每位员工设置固定权限的现有技术，本申请基于能够反映用户行为状态的行为数据来实时的进行评估，并根据评估结果动态地调整对应用户应持有的安全管控等级，使得每个用户拥有并非一成不变的权限，能够更及时地发觉用户当前行为与当前安全管控等级的不匹配现象，进而做出灵活的调整，使得内部入侵难度更高、信息更加安全。本申请还同时公开了一种信息安全管控系统、装置及计算机可读存储介质，具有上述有益效果。

Description

一种信息安全管控方法、系统、装置及可读存储介质

技术领域

本申请涉及信息安全技术领域，特别涉及一种信息安全管控方法、系统、装置及计算机可读存储介质。

背景技术

随着企业信息安全机制的建立建全，单纯的通过外部手段侵入目标系统的难度也随之增高，即使侵入成功，也很容易被各种审计手段发现，进而被追溯。

反之，企业内部员工盗窃自身企业敏感信息的案例占比则逐渐凸显，相比于外部入侵，内部入侵往往发生在本就拥有合法权限的员工身上。但由于企业往往采用“一刀切”的方式划分哪些用户拥有敏感信息的访问权限或外发权限，哪些用户没有拥有敏感信息的访问权限或外发权限，使得在判断一个内部员工是否访问敏感信息或外发敏感信息时，只会核验其是否拥有该权限，且该权限一旦被赋予某位员工，往往就长期固定下来，即默认拥有该权限的员工为敏感信息执行的相关操作都是安全的。

但由于人的不稳定性，不排除因为各种自身因素和外界影响因素对其心理、行为造成的影响，使得员工通过自身拥有或借用自他人的访问权限盗窃敏感信息，对企业造成危害。

因此，如何克服现有技术中采用固定权限授权访问信息的方式带来的灵活性差、安全性低的问题，是本领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种信息安全管控方法，区别于为每位员工设置固定权限的现有技术，本申请基于能够反映用户行为状态的行为数据来实时的进行评估，并根据评估结果动态地调整对应用户应持有的安全管控等级，使得每个用户拥有并非一成不变的权限，能够更及时地发觉用户当前行为与当前安全管控等级的不匹配现象，进而做出灵活的调整，使得内部入侵难度更高、信息更加安全。

本申请的另一目的在于提供了一种信息安全管控系统、装置及计算机可读存储介质。

为实现上述目的，本申请提供一种信息安全管控方法，该方法包括：

获取用户的行为数据；

根据所述行为数据评估所述用户当前的行为状态，得到目标状态；

将所述用户当前的安全管控等级调整至与所述目标状态对应的目标安全管控等级，并执行与所述目标安全管控等级对应的管控策略。

可选的，当所述行为数据具体为对敏感数据执行的各式操作时，根据所述行为数据评估所述用户当前的行为状态，包括：

根据所述用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估所述用户当前的行为状态；其中，对所述敏感数据执行的各式操作包括：查看、篡改、下载、外发、拷贝中的至少一项。

可选的，根据所述用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估所述用户当前的行为状态，包括：

当所述总次数大于所述预设操作次数范围的上限时，判定所述用户当前处于高风险状态；

当所述总次数处于所述预设操作次数范围的下限与上限之间时，判定所述用户当前处于中风险状态；

当所述总次数小于所述预设操作次数范围的下限时，判定所述用户当前处于低风险状态。

可选的，当所述行为数据具体为登陆文件系统的位置信息时，根据所述行为数据评估所述用户当前的行为状态，包括：

根据所述用户每次登陆文件系统的位置信息确定常用登陆位置；所述常用登陆位置为用户登陆文件系统时登陆次数超过预设登陆次数的位置；

根据不同于常用登陆位置的新登陆位置的数量与预设位置变更数之间的大小关系，评估所述用户当前的行为状态；其中，所述新登陆位置是指与所述常用登陆位置的距离大于预设距离的登陆位置。

可选的，当所述行为数据具体为浏览招聘网站的时长和用户上传的本地附件数时，根据所述行为数据评估所述用户当前的行为状态，包括：

判断所述用户浏览招聘网站的时长是否大于预设浏览时长，若是则判定所述用户当前处于低风险状态；

若所述用户浏览招聘网站的时长不大于预设浏览时长，则进一步判断所述用户是否在浏览招聘网站时上传了超过第二预设数量的本地附件，若是则判定所述用户当前处于高风险状态，否则判定所述用户当前处于中风险状态。

可选的，该信息安全管控方法还包括：

当所述用户调整后的目标安全管控等级与调整前的安全管控等级之间的等级差大于预设等级差时，执行预设的异常调整策略。

为实现上述目的，本申请还提供了一种信息安全管控系统，该系统包括：

行为数据获取单元，用于获取用户的行为数据；

行为状态实时评估单元，用于根据所述行为数据评估所述用户当前的行为状态，得到目标状态；

安全管控等级动态调整单元，用于将所述用户当前的安全管控等级调整至与所述目标状态对应的目标安全管控等级，并执行与所述目标安全管控等级对应的管控策略。

可选的，所述行为状态实时评估单元包括：

敏感数据操作数评估子单元，用于根据所述用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估所述用户当前的行为状态；其中，对所述敏感数据执行的各式操作包括：查看、篡改、下载、外发、拷贝中的至少一项。

可选的，所述敏感数据操作数评估子单元包括：

高风险状态判定模块，用于当所述总次数大于所述预设操作次数范围的上限时，判定所述用户当前处于高风险状态；

中风险状态判定模块，用于当所述总次数处于所述预设操作次数范围的下限与上限之间时，判定所述用户当前处于中风险状态；

低风险状态判定模块，用于当所述总次数小于所述预设操作次数范围的下限时，判定所述用户当前处于低风险状态。

可选的，所述行为状态实时评估单元包括：

常用登陆位置确定子单元，用于根据所述用户每次登陆文件系统的位置信息确定常用登陆位置；所述常用登陆位置为用户登陆文件系统时登陆次数超过预设登陆次数的位置；

登陆位置变更数评估子单元，用于根据不同于常用登陆位置的新登陆位置的数量与预设位置变更数之间的大小关系，评估所述用户当前的行为状态；其中，所述新登陆位置是指与所述常用登陆位置的距离大于预设距离的登陆位置。

可选的，所述行为状态实时评估单元包括：

招聘网站浏览时长判定子单元，用于判断所述用户浏览招聘网站的时长是否大于预设浏览时长，若是则判定所述用户当前处于低风险状态；

本地附件上传数判定子单元，用于当所述用户浏览招聘网站的时长不大于预设浏览时长时，进一步判断所述用户是否在浏览招聘网站时上传了超过第二预设数量的本地附件，若是则判定所述用户当前处于高风险状态，否则判定所述用户当前处于中风险状态。

可选的，该信息安全管控系统还包括：

等级跳跃调整处理单元，用于当所述用户调整后的目标安全管控等级与调整前的安全管控等级之间的等级差大于预设等级差时，执行预设的异常调整策略。

为实现上述目的，本申请还提供了一种信息安全管控装置，该装置包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述内容所描述的信息安全管控方法。

为实现上述目的，本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述内容所描述的信息安全管控方法。

本申请提供了一种信息安全管控方法：首先持续地搜集每个用户的行为数据，接下来依据搜集到的每个用户的行为数据动态地评估每个用户当前应处的行为状态，以使得每个用户当前的安全管控等级可以根据其当前所处的行为状态进行调整，而非一成不变。

显然，区别于为每位员工设置固定权限的现有技术，本申请基于能够反映用户行为状态的行为数据来实时的进行评估，并根据评估结果动态地调整对应用户应持有的安全管控等级，使得每个用户拥有并非一成不变的权限，能够更及时地发觉用户当前行为与当前安全管控等级的不匹配现象，进而做出灵活的调整，使得内部入侵难度更高、信息更加安全。本申请同时还提供了一种信息安全管控系统、装置及计算机可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例提供的一种信息安全管控方法的流程图；

图2为本申请实施例提供的一种根据敏感数据操作次数实现信息安全管控的方法的流程图；

图3为图2所示的方法中一种行为状态的具体评估方法的示意图；

图4为本申请实施例提供的一种根据登陆位置的变更数实现信息安全管控的方法的流程图；

图5为图4所示的方法中一种行为状态的具体评估方法的示意图；

图6为本申请实施例提供的一种同时根据招聘网站浏览时长和上传的本地附件数实现信息安全管控的方法的流程图；

图7为本申请实施例提供的一种信息安全管控系统的结构框图；

图8为本申请实施例提供的另一种信息安全管控系统的结构示意图；

图9为本申请实施例提供的一种信息安全管控装置的结构示意图。

具体实施方式

本申请的核心是提供一种信息安全管控方法，区别于为每位员工设置固定权限的现有技术，本申请基于能够反映用户行为状态的行为数据来实时的进行评估，并根据评估结果动态地调整对应用户应持有的安全管控等级，使得每个用户拥有并非一成不变的权限，能够更及时地发觉用户当前行为与当前安全管控等级的不匹配现象，进而做出灵活的调整，使得内部入侵难度更高、信息更加安全。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

实施例一

请参见图1，图1为本申请实施例提供的一种信息安全管控方法的流程图，其包括以下步骤：

S101：获取用户的行为数据；

本步骤旨在获取企业内部员工在企业内部网络中执行的各种可以表征用户遵循自己意志所执行的一些行为数据，例如对本地设备安全项进行的修改操作、对敏感数据执行的各式操作、登陆文件系统的位置信息、浏览招聘网站的时长、上传的本地附件数等等。由于上述给出的几种类型以及其他拥有相同含义的数据都是用户遵循自己意志所采取的行动的直接反馈，因此本申请将使用行为数据作为上述提及和未提及的同类或相似数据的统称，每种具体的行为数据可以作为综合行为数据的一个维度或一个方面存在。

其中，对本地设备安全项进行的修改操作可以包括用户在自己所属的联网设备上进行的一系列本地文件/应用程序操作，以及在访问公网时进行的一系列操作，例如出于某种意愿，用户主动阻止了杀毒软件的病毒库更新、甚至删除了或屏蔽了杀毒软件、修改了操作系统版本、操作系统补丁、软件列表信息，以及修改了诸如U盘、蓝牙等外设的开启情况等操作，来防止本地设备对将要进行的操作进行阻止或记录等；对敏感数据执行的各式操作包括对存储在企业数据库中的敏感数据所能够执行的查看、篡改(具体包括增加、删除以及替换三种方式)、下载、外发以及拷贝中的至少一项；登陆文件系统的位置信息可以表现用户在哪个位置登陆了企业的文件系统，可用于参考常用登陆位置对是否存在风险进行判定等。

每个维度的行为数据根据其来源的不同，可以从不同的现有功能组件中获取，例如可以从安装在用户操作的PC机中的管理软件中获取该用户对本地文件或本地应用执行的操作、从网络流量采集器中收集用户对公网进行访问的操作、从数据库日志中获取对敏感数据的操作等等，不同类型的行为数据可以在不同实际应用环境下从不同的功能组件中获取，此处并不做具体限定。

需要说明的是，本步骤对行为数据的采集是一个持续的、不断进行的过程，实际操作过程中，可以每当有行为数据产生时就进行采集，也可以每隔一段时间对这段时间间隔内产生的所有行为数据进行收集，时间间隔设置的越小，实时性越高、行为状态评估越及时、防内部入侵能力越强。

S102：根据行为数据评估用户当前的行为状态；

在S101的基础上，本步骤旨在搜集到的行为数据来实时评估用户当前的行为状态。需要说明的是，用来评估用户行为状态的行为数据可以是在每个预设时间周期内(例如一周、一天、一个小时)搜集到的全部行为数据(即仅基于每个预设时间周期内搜集到的行为数据进行行为状态的评估，不参考其它周期)，也可以是包括所有或部分历史时间周期内的行为数据。当采用根据每个预设时间周期内累积的行为数据来实时评估用户当前的行为状态时，能够更好地排除历史行为数据对评估行为状态造成的干扰，但不排除有些行为状态确实需要结合历史行为数据来进行准确的判别，具体选择哪种可根据实际应用灵活选择，此处并不做具体限定。

对应于S101给出的各个维度的行为数据，本步骤在评估用户当前的行为状态时，可以为每个维度的行为数据分别单独设置一个行为状态评估规则，也可以同时结合多个维度的行为数据设置综合的行为状态评估规则。具体的，可以根据实际应用场景灵活设置评估规则，以尽可能地符合隐藏在行为数据背后的用户个人行为状态为目的即可。

S103：将用户当前的安全管控等级调整至与当前的行为状态对应的目标安全管控等级，并执行与目标安全管控等级对应的管控策略。

在S102的基础上，本步骤旨在将用户当前的安全管控等级调整至与当前的行为状态对应的目标安全管控等级，以通过执行与目标安全管控等级对应的预设管控策略来对该用户后续进行的行为进行管控。

具体的，若经由S102判别出的实际行为状态与用户当前的安全管控等级不匹配，则需要将用户当前的安全管控等级调整至与当前的行为状态对应的安全管控等级；若经由S102判别出的实际行为状态匹配与用户当前的安全管控等级，则只需要保持当前的安全管控等级即可，不需要改动。

可以设置在管控策略中的操作包括：不计数且不提示(即不做任何操作)、不提示但计数、提示且计数、触发警告(触发警告可以为对用户所执行敏感数据访问操作的提醒和/或向后台管理人员反应有用户对敏感数据进行了访问操作的提醒)、拒绝访问等等，在为不同安全管控等级设置相应的管控操作时，可以通过为不同安全管控等级通过设置不同数量的管控操作的方式来体现不同的管控严格程度，即管控操作的数量与管控严格程度成正比，例如为管控较为宽松的第一安全管控等级仅设置“不提示但计数的”操作，也就是说当用户所处的安全管控等级为第一安全管控等级时，仅会对用户对敏感数据执行的相应操作进行后台计数，而为管控稍微严格的第二安全管控等级同时设置“不提示但计数”和“触发警告”两种操作，以在计数的基础上，通过警告告诫用户所访问的是敏感数据，以给予该用户警示。同时为管控更为严格的第三安全管控等级设置“提示且计数”、“触发警告”、“拒绝用户对敏感等级超过预设等级的敏感信息的访问操作”等操作，得以体现管控策略越来越严格。总的来说，随着安全管控严格程度的提升，成相应变化的各安全管控等级的管控策略也可以在不冲突的基础上逐渐增加，也就是说较高的安全管控等级对应的管控操作将包含较低安全管控等级对应的管控操作。具体设置方式可根据实际情况灵活选择，此处不进行具体限定。

应当理解的是，能够根据用户所处的不同行为状态调整当前的安全管控等级，说明至少存在两个不同的安全管控等级，也就是说预先划分出了至少两个不同的安全管控等级，以用于分别对应不同的行为状态，当仅存在两个不同的安全管控等级时，根据安全管控的严格程度，通常将两者称为低安全管控等级(对应较宽松的安全管控策略)和高安全管控等级(对应较严格的安全管控策略)，那么由于此种情况下对等级数量划分方式的限制，并不存在介于低安全管控等级和高安全管控等级的中间等级，因此安全管控等级的调整只会从低到高，或者从高到底。

简单的两极式划分方式，无法适用于对区别程度提出更高要求的实际应用场景下，因此往往需要根据实际情况的需求划分出更多不同等级的安全管控等级，例如三级式、五级式，甚至七级、十级式，对应的，划分出的多个安全管控等级可以依次被命名为第一安全管控等级、第二安全管控等级、……、第十安全管控等级，其中，根据实际情况的不同，第一安全管控等级可以作为对应于最宽松安全管控策略的安全管控等级存在，此时的第十安全管控等级就对应于最严格安全管控策略；第一安全管控等级也可以反之作为对应于最严格安全管控策略的安全管控等级存在，那么此时第十安全管控等级就对应于最宽松安全管控策略。

在拥有三级及三级以上不同安全管控等级的情况下，还存在一种特殊的、需要重点关注的安全管控等级调整情况，即用户调整后的安全管控等级与调整前的安全管控等级不连续的情况，以三级式划分方式下得到的第一安全管控等级、第二安全管控等级、第三安全管控等级为例，不连续情况将表现为直接从第一安全管控等级调整至第三安全管控等级，或者直接从第三安全管控等级调整至第一安全管控等级，也就是说略过了介于第一安全管控等级与第三安全管控等级之间的第二安全管控等级。由于不同安全管控等级都是按照逐级变化的原则依次设置的，相比于通常出现的连续的、小幅度的安全管控等级的调整，此时出现的不连续的、大幅度的、跳跃性的调整也就意味着该用户的行为在较短时间内出现了较大的波动，因此为了尽可能的保证数据安全，可以预先针对此种异常情况制定相应的异常调整策略，该异常调整策略可以包括重新验证出现此类情况的用户的身份信息、(例如文件系统的登陆信息、安全问题以及诸如绑定邮箱和/或短信的验证码等等)、发送异常提醒通知(可以向文件系统的管理人员以弹窗、邮件、短信、提示音等形式发送该警示通知)、将此异常事件记录在专门的异常事件日志中等等操作，以防止因用户身份信息被盗导致等原因导致无法防止此种异常现象下敏感数据的流失。

上面给出了非连续性调整现象在三级式划分方式下的具体表现，当采用更高级数的划分方式时，非连续性调整现象将还包括等级差为2、3、……、 N-1(N为总级数)的情况，以十级式划分方式划分出来的十个安全管控等级为例，就可以出现等级差差别为2至9的八种不连续调整现象(从2到9表示对此类异常情况监测的严格程度)，其中，当不连续调整现象的触发机制被设置为等级差为2时，意味着调整前后出现等级差大于和等于2的调整都会触发相应的异常处理操作，包括从第一安全管控等级调整至第三、第四、……、第十安全管控等级的情况，因此此种机制对出现非连续性调整现象的监测最为严格；当不连续调整现象的触发机制被设置为等级差为5时，意味着调整前后等级差大于和等于5的调整都会触发相应的异常处理操作，包括从第一安全管控等级调整至第六、第七、……、第十安全管控等级的情况，相较于等级差为2时的情况，条件宽松了许多。等级差为其他数值的情况，同理可得，此处不再赘述。

显然，区别于为每位员工设置固定权限的现有技术，本申请基于能够反映用户行为状态的行为数据来实时进行评估，并根据评估结果动态地调整对应用户应持有的安全管控等级，使得每个用户拥有并非一成不变的权限，能够更及时地发觉用户当前行为与当前安全管控等级的不匹配现象，进而做出灵活的调整，使得内部入侵难度更高、信息更加安全。

实施例二

请参见图2，图2为本申请实施例提供的一种根据敏感数据操作次数实现信息安全管控的方法的流程图，在实施例一的基础上，本实施例旨在根据用户在预设时间段内对敏感数据的操作次数这一维度的行为数据来给出一种具体的信息安全管控方法，包括以下步骤：

S201：获取用户在预设时间段内对敏感数据执行的各式操作；

由于出现敏感数据泄露操作的时段往往在非工作时段，因为工作时段往往因为周围同事的存在不便执行，因此，该预设时间段可以优选为该用户所在企业或所在部门的下班以及下班后时间。

S202：根据用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估用户当前的行为状态；

本实施例旨在通过比较在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的数值大小关系来评估用户当前的行为状态。

基于本实施例判定当前行为状态的方式，图3给出了一种具体判别方式：

当总次数大于预设操作次数范围的上限时，判定用户当前处于高风险状态；

当总次数处于预设操作次数范围的下限与上限之间时，判定所述用户当前处于中风险状态；

当总次数小于预设操作次数范围的下限时，判定用户当前处于低风险状态。具体的，该预设操作次数范围可以根据实际情况、敏感数据的文件类型、所处时段灵活设置，此处不做具体限定。

S203：将用户当前的安全管控等级调整至与目标状态对应的目标安全管控等级，并执行与目标安全管控等级对应的管控策略。

本实施例中描述的低风险状态、中风险状态、高风险状态可以简单的与采用三级式划分方式得到的低安全管控等级(等效于对应最宽松安全管控策略的第一安全管控等级)、中安全管控等级以及高安全管控等级(对应于最严格安全管控策略的第三安全管控等级)相对应，此种情况下，非连续性调整现象将具体表现为直接从低安全管控等级调整至高安全管控等级，或直接从高安全管控等级调整至低安全管控等级的情况。

当然，每种风险状态也可以在其它判别条件的参与下(诸如登陆位置的变化、招聘网站的浏览时长、附件上传数等等)对应更多的安全管控等级，而不仅仅对应于一个安全管控等级，换句话说就是对某一种风险状态对应的安全管控等级再次细分。当然，也可以在划分风险状态时就将其划分的更细，原理与上述部分一致，此处不再详细说明。

其中，用户被评估处于低风险状态则表示该用户当前的一些行为有很小的可能性去泄露企业内部数据，与低风险状态相对应的低安全管控等级也表示无需对该用户的行为太过关注。相反，用户被评估处于高风险状态则表示该用户当前的一些行为有很高的可能性去泄露企业内部数据，因此，与高风险状态对应的高安全管控等级将使用最严格的方式来限制用户执行任何可能泄露企业内部数据的操作。每个用户最初都将处于默认的行为状态。

实施例三

请参见图4，图4为本申请实施例提供的一种根据登陆位置变更数实现信息安全管控的方法的流程图，在实施例一的基础上，本实施例根据用户登陆至文件系统的位置信息这一维度的行为数据来给出一种信息安全管控方法，包括如下步骤：

S301：根据用户每次登陆文件系统的位置信息确定常用登陆位置；

其中，常用登陆位置为用户登陆文件系统时登陆次数超过预设登陆次数的位置。

S302：根据不同于常用登陆位置的新登陆位置的数量与预设位置变更数之间的大小关系，评估用户当前的行为状态；

本实施例旨在根据用户是否频繁变更登陆位置来评估用户当前的行为状态，相比于稳定的登陆位置，频繁变更登陆位置将更容易被判定为高风险状态。具体的，该登陆位置可以通过用户所使用的登陆渠道的IP地址确定，新登陆位置是指与常用登陆位置的距离大于预设距离的登陆位置。

基于本实施例判定当前行为状态的方式，图5给出了一种具体判别方式：

当新登陆位置的数量大于预设登陆位置变更数时，判定用户当前处于高风险状态；

当新登陆位置的数量不大于预设登陆位置变更数时，判定用户当前处于低风险状态。

进一步的，由于有些用户会频繁出差，因此确实会导致其频繁的在不同位置远程登陆企业的文件系统，针对此种特殊情况，还可以根据最近的几个历史时间周期内的登陆位置变更数的均值来调整该用户的预设登陆变更数，以使得判断当前用户行为状态的方式更符合该用户的工作性质，减少误判。换句话说，可以根据用户的历史同期的行为数据对判别阈值进行个性化调整，以减少误判对用户正常工作带来的影响。

当然，若临时修改工作行程，可通过正常的渠道向企业内的权限管理部门发送权限修改请求，以修正突发情况下无法准确判别用户行为状态的问题。

S303：将用户当前的安全管控等级调整至与目标状态对应的目标安全管控等级，并执行与目标安全管控等级对应的管控策略。

实施例四

请参见图6，图6为本申请实施例提供的一种同时根据招聘网站浏览时长和上传的本地附件数实现信息安全管控的方法的流程图，在实施例一的基础上，本实施例旨在提供一种同时根据用户浏览招聘网站的时长以及上传的本地附件数两个维度的行为数据来给出一种综合的信息安全管控方法，包括如下步骤：

S401：获取用户浏览招聘网站的时长和上传的本地附件数；

S402：判断用户浏览招聘网站的时长是否大于预设浏览时长；

通常情况下，稳定的在职人员不会长时间的浏览招聘网站，因为没有这个需求。因此本步骤旨在通过比较实际浏览招聘网站的时长与预设浏览时长间的大小关系来初步判定该用户是否存在离职意向，以根据是否存在离职意向来调整其安全管控等级，这是为了防止用户通常在离职前可能做出的泄密情况出现。

S403：判定用户当前处于低风险状态；

本步骤建立在S402的判断结果为实际浏览时长并未超过预设浏览时长的基础上，因此判定该用户处于低风险状态。

S404：判断用户是否在浏览招聘网站时上传了超过第二预设数量的本地附件；

本步骤建立在S402的判断结果为实际浏览时长超过了预设浏览时长的基础上，说明该用户存在初步的离职意向，为了提高准确性，本步骤还判断用户是否在浏览招聘网站时上传了超过第二预设数量的本地附件，因为离职意向非常坚定的用户还会同时向招聘网站上传其个人简历以及相应资质证明附件(如个人照片、身份证、毕业证书等)，本步骤即根据上传的本地附件数量(如个人简历数或相应资质证明附件)来判别该用户的离职意向是否坚定。

S405：判定用户当前处于高风险状态；

本步骤建立在S404的判断结果为上传了超过第二预设数量的本地附件的基础上，结合这两方面可大体确定该用户拥有坚定的离职意向，因此判定用户当前处于高风险状态，将该用户对应的安全管控等级设置为高安全管控等级，以通过高安全管控等级对应的严格的管控策略来防止该用户做出泄密行为。

S406：判定用户当前处于中风险状态。

本步骤建立在S404的判断结果为未上传超过第二预设数量的本地附件的基础上，区别于S405，说明该用户离职意向一般，因此为了防止误判，将判定用户当前处于高于低风险状态但低于高风险状态的中风险状态。

当然，影响用户浏览招聘网站时长的因素还有工作性质，例如企业内主要负责人员招聘的人事，相比于其他工作性质的用户，其浏览招聘网站的时长就会明显较长，因此，可以在确定该用户的工作性质后，专为其设置一个较高的预设浏览时长，以符合其工作性质，防止误判。

相对应的，针对人事而言，若其相比于历史同期浏览招聘网站的时长有着明显下降，也能够很大程度上反映其有离职或更换工作岗位的倾向，此时判别行为状态的方式应做出相应的调整。

除上述给出的基于对敏感数据的操作次数、登陆文件系统的位置信息、浏览招聘网站的时长外，还可以包括诸如是否大量加密一些敏感数据、卸载 PC机内的管理软件、试图删除一些日志文件等等可以反映其行为状态的数据，且除了上述仅凭单一维度行为数据就判别出行为状态的实施例外，还可以将相关或有因果关系的多维度行为数据进行综合，以组合或创建得到新的实施例，此处并不做具体限定。

根据本实施例给出的多维度综合判定思想，一个实际的例子可以为：一个浏览招聘网站时长超过预设浏览时长的疑似离职人员，若其在业务系统下载文件超过50个、外发或U盘拷贝文件数超过20个文件，则将其行为状态判定为高风险状态。

因为情况复杂，无法一一列举进行阐述。本领域技术人员应能意识到根据本申请提供的基本方法原理结合实际情况可以存在很多的例子，在不付出足够的创造性劳动下，应均在本申请的保护范围内。

实施例五

下面请参见图7，图7为本申请实施例提供的一种信息安全管控系统的结构框图，该系统可以包括：

行为数据获取单元100，用于获取用户的行为数据；

行为状态实时评估单元200，用于根据行为数据评估用户当前的行为状态，得到目标状态；

安全管控等级动态调整单元300，用于将用户当前的安全管控等级调整至与目标状态对应的目标安全管控等级，并执行与目标安全管控等级对应的管控策略。

其中，该行为状态实时评估单元200可以包括：

敏感数据操作数评估子单元，用于根据用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估用户当前的行为状态；其中，对敏感数据执行的各式操作包括：查看、篡改、下载、外发、拷贝中的至少一项。

其中，该敏感数据操作数评估子单元可以包括：

高风险状态判定模块，用于当总次数大于预设操作次数范围的上限时，判定用户当前处于高风险状态；

中风险状态判定模块，用于当总次数处于预设操作次数范围的下限与上限之间时，判定用户当前处于中风险状态；

低风险状态判定模块，用于当总次数小于预设操作次数范围的下限时，判定用户当前处于低风险状态。

其中，该行为状态实时评估单元200可以包括：

登陆位置确定子单元，用于根据用户每次登陆至文件系统的位置信息确定每次的登陆位置；

登陆位置变更数评估子单元，用于根据不同于常用登陆位置的新登陆位置的数量与预设位置变更数之间的大小关系，评估用户当前的行为状态；其中，新登陆位置是指与常用登陆位置的距离大于预设距离的登陆位置。

其中，该行为状态实时评估单元200可以包括：

招聘网站浏览时长判定子单元，用于判断用户浏览招聘网站的时长是否大于预设浏览时长，若是则判定用户当前处于低风险状态；

本地附件上传数判定子单元，用于当用户浏览招聘网站的时长不大于预设浏览时长时，进一步判断用户是否在浏览招聘网站时上传了超过第一预设数量的本地附件，若是则判定用户当前处于高风险状态，否则判定用户当前处于中风险状态。

进一步的，该信息安全管控系统还可以包括：

等级跳跃调整处理单元，用于当用户调整后的目标安全管控等级与调整前的安全管控等级之间的等级差大于预设等级差时，执行预设的异常调整策略。

本实施例作为一个对应于上述方法实施例的系统实施例存在，具有方法实施例的全部有益效果，此处不再一一赘述。

为了更加明确的理解本申请所提供的信息安全管控系统的工作流程，可参见图8：行为数据采集组件负责从多个来源采集得到多维度的行为数据，并将采集到的行为数据传输给用户行为分析引擎，以使该引擎根据接收到的各维度因为数据综合评估用户当前应处的实际行为状态，之后再根据预先划分好的各安全管控等级确定与实际行为状态对应的目标安全管控等级(对应关系已预先设置好)，最终结合为目标安全管控等级设置的管控策略对用户的新行为进行管控即可。通过该系统可以通过对表征用户不同时间下所处的行为状态的行为数据进行分析，动态地调整该用户的安全管控等级，以使该安全管控等级匹配于用户当前的行为状态，以更好地防止内部数据从内部泄露。

图9是根据一示例性实施例示出的一种信息安全管控装置400的框图。如图9所示，信息安全管控装置400可以包括处理器401和存储器402，还可以进一步包括多媒体组件403、信息输入/信息输出(I/O)接口404以及通信组件405 中的一者或多者。

其中，处理器401用于控制信息安全管控装置400的整体操作，以完成上述的密文数据的访问方法中的全部或部分步骤；存储器402用于存储各种类型的数据以支持在信息安全管控装置400的操作，这些数据例如可以包括用于在信息安全管控装置400上操作的任何应用程序或方法的指令，以及应用程序相关的数据。该存储器402可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，例如静态随机存取存储器(Static RandomAccess Memory， SRAM)、电可擦除可编程只读存储器(Electrically ErasableProgrammable Read-Only Memory，EEPROM)、可擦除可编程只读存储器(ErasableProgrammable Read-Only Memory，EPROM)、可编程只读存储器(Programmable Read-OnlyMemory，PROM)、只读存储器(Read-Only Memory，ROM)、磁存储器、快闪存储器、磁盘或光盘中的一者或多者。

多媒体组件403可以包括屏幕和音频组件。其中屏幕包括显示屏和触摸显示屏，音频组件可以包括用于输出音频信号的麦克风，该音频信号可以为报警提示音，该音频信号还可以被进一步存储在存储器402或通过通信组件405 发送。I/O接口404为处理器401与其它功能模块间的数据传输接口，其它功能模块可以为行为数据采集模型、手动指令输入模块、调试模块等等。通信组件405用于信息安全管控装置400与其它设备之间进行有线或无线通信。无线通信，例如Wi-Fi，蓝牙，近场通信(Near Field Communication，简称NFC)，2G、3G或4G，或它们中的一种或几种的组合，因此相应的该通信组件405可以包括：Wi-Fi模块，蓝牙模块，NFC模块。

在一示例性实施例中，信息安全管控装置400可以被一个或多个应用专用集成电路(Application Specific Integrated Circuit，简称ASIC)、数字信号处理器(DigitalSignal Processor，简称DSP)、数字信号处理设备(Digital Signal Processing Device，简称DSPD)、可编程逻辑器件(Programmable Logic Device，简称PLD)、现场可编程门阵列(Field Programmable Gate Array，简称FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述实施例中给出的信息安全管控中的各步骤。

在另一示例性实施例中，还提供了一种存储有程序指令的计算机可读存储介质，该程序指令将在被处理器执行时实现与该程序指令对应的操作。例如，该计算机可读存储介质可以为上述包括程序指令的存储器402，上述程序指令具体为可由信息安全管控装置400的处理器401在执行时完成上述实施例给出的信息安全管控方法。

本文中应用了具体个例对本公开的原理及实施方式进行了阐述，且各个实施例间为递进关系，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，可参见对应的方法部分说明。以上实施例的说明只是用于帮助理解本公开的方法及其核心思想。对于本技术领域的普通技术人员来说，在不脱离本公开原理的前提下，还可以对本公开进行若干改进和修饰，这些改进和修饰也落入本公开权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其它变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其它要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种信息安全管控方法，其特征在于，包括：

获取用户的行为数据；

根据所述行为数据评估所述用户当前的行为状态，得到目标状态；

将所述用户当前的安全管控等级调整至与所述目标状态对应的目标安全管控等级，并执行与所述目标安全管控等级对应的管控策略。

2.根据权利要求1所述的信息安全管控方法，其特征在于，当所述行为数据具体为对敏感数据执行的各式操作时，根据所述行为数据评估所述用户当前的行为状态，包括：

根据所述用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估所述用户当前的行为状态；其中，对所述敏感数据执行的各式操作包括：查看、篡改、下载、外发、拷贝中的至少一项。

3.根据权利要求1所述的信息安全管控方法，其特征在于，根据所述用户在预设时间段内对敏感数据执行的各式操作的总次数与预设操作次数范围间的大小关系，评估所述用户当前的行为状态，包括：

当所述总次数大于所述预设操作次数范围的上限时，判定所述用户当前处于高风险状态；

当所述总次数处于所述预设操作次数范围的下限与上限之间时，判定所述用户当前处于中风险状态；

当所述总次数小于所述预设操作次数范围的下限时，判定所述用户当前处于低风险状态。

4.根据权利要求1所述的信息安全管控方法，其特征在于，当所述行为数据具体为登陆文件系统的位置信息时，根据所述行为数据评估所述用户当前的行为状态，包括：

根据所述用户每次登陆文件系统的位置信息确定常用登陆位置；所述常用登陆位置为用户登陆文件系统时登陆次数超过预设登陆次数的位置；

根据不同于常用登陆位置的新登陆位置的数量与预设位置变更数之间的大小关系，评估所述用户当前的行为状态；其中，所述新登陆位置是指与所述常用登陆位置的距离大于预设距离的登陆位置。

5.根据权利要求1所述的信息安全管控方法，其特征在于，当所述行为数据具体为浏览招聘网站的时长和用户上传的本地附件数时，根据所述行为数据评估所述用户当前的行为状态，包括：

判断所述用户浏览招聘网站的时长是否大于预设浏览时长，若是则判定所述用户当前处于低风险状态；

若所述用户浏览招聘网站的时长不大于预设浏览时长，则进一步判断所述用户是否在浏览招聘网站时上传了超过第二预设数量的本地附件，若是则判定所述用户当前处于高风险状态，否则判定所述用户当前处于中风险状态。

6.根据权利要求1至5任一项所述的信息安全管控方法，其特征在于，还包括：

当所述用户调整后的目标安全管控等级与调整前的安全管控等级之间的等级差大于预设等级差时，执行预设的异常调整策略。

7.一种信息安全管控系统，其特征在于，包括：

行为数据获取单元，用于获取用户的行为数据；

行为状态实时评估单元，用于根据所述行为数据评估所述用户当前的行为状态，得到目标状态；

安全管控等级动态调整单元，用于将所述用户当前的安全管控等级调整至与所述目标状态对应的目标安全管控等级，并执行与所述目标安全管控等级对应的管控策略。

8.根据权利要求7所述的信息安全管控系统，其特征在于，还包括：

等级跳跃调整处理单元，用于当所述用户调整后的目标安全管控等级与调整前的安全管控等级之间的等级差大于预设等级差时，执行预设的异常调整策略。

9.一种信息安全管控装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至6任一项所述的信息安全管控方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述的信息安全管控方法。