CN112417492A - 基于数据分类分级的服务提供方法 - Google Patents

Abstract

本发明公开了一种基于数据分类分级的服务提供方法，步骤一：数据分类分级标准制定；包含以下内容，业务细分、数据归类、数据分类特征描述、级别判定。步骤二：数据脱敏策略制定。步骤三：数据分类分级规则匹配；包含以下内容，元数据血缘分析打标、数据模式匹配打标、人工判定。步骤四：开发数据服务；包含以下内容，基本信息配置、取数逻辑开发、服务测试、数据服务审核、数据服务应用。本发明要解决的技术问题是在大数仓环境下，进行高效的数据分类分级，并在分类分级的基础上提供一种安全的数据接口的方法。通过分类分级与数据服务相结合，为实现安全数据服务提供了一种方法支撑，并在实际应用中取得了较好的效果。

Description

基于数据分类分级的服务提供方法

技术领域

本发明属于数据分类服务技术领域，具体涉及一种基于互联网大数据的数据分类分级的服务提供方法。

背景技术

随着云计算、大数据、人工智能的盛行，企业累积了大量的数据，这就要求对数据本身的敏感程度进行安全级别划分。数据有了安全等级的划分，才能更好管理对数据访问控制，以此来保护好数据安全。在实际生产过程中不同终端和第三方开发者都需要大量的接入企业核心业务能力,可能发生数据被篡改、泄露、甚至非法贩卖等事件，对企业数据安全、社会形象乃至经济利益造成影响。

与本方案相近的方案中，公开号为CN106682527A一种基于数据分类分级的数据安全管控方法及系统，提供了一种数据分类分级的管控方法，其在侧重于对文档类数据利用数据挖掘方式进行分类分级处理，没有对关系型数据库进行描述。公开号为CN 108062484A一种基于数据敏感特征和数据库元数据的分类分级，重点介绍了采用数据的内容模式匹配的方式来进行数据分类分级，匹配方式过于单一、效率不高。公开号为CN 110020553 A一种保护敏感数据的方法及系统，重点介绍了应用于政务系统的数据分类分级的应用，将采样数据按照规则进行匹配确定分类分级，在通用规则的基础上，着重强调了如何实现数据的分类分级。公开号为CN 110765337 A一种基于互联网大数据的服务提供方法，重点提供了互联网大数据的处理方法，仅讲述了一种网络数据处理的步骤。

发明内容

本发明要解决的技术问题是在大数仓环境下，进行高效的数据分类分级，并在分类分级的基础上提供一种安全的数据接口的方法。

本发明解决其技术问题所采用的方案是：提供一种基于数据分类分级的服务提供方法，该方法包括以下四个步骤。

步骤一：数据分类分级标准制定；包含以下内容，业务细分、数据归类、数据分类特征描述、级别判定。

其中，中业务细分，主要是解决业务分类的问题，按照生产领域（产品或服务）和市场领域（顾客或用户）分别按照若干特定的变量划分；确定数据的管理主体，确定管理主体的管理范围。其中数据归类，在步骤一业务细分的基础上，找到数据与业务二级子类之间对应关系，经过归纳总结后，确定数据一级子类。其中数据分类特征描述：对在步骤二分析的数据项的基础上，对数据分类通过关键字、正则表达式等方式实现对字段名称、字段存储数据进行定义。其中判定级别，在数据分类基础上，进行数据定级。

步骤二：数据脱敏策略制定。

步骤三：数据分类分级规则匹配；包含以下内容，元数据血缘分析打标、数据模式匹配打标、人工判定。

其中数据分类分级包括识别敏感数据，从海量的数据中挑选出敏感数据，完成对敏感数据的识别，建立系统的总体数据视图，并采取分类分级的安全防护策略保护数据安全。传统的数据识别方法是关键字、字典和正则表达式匹配等方式，通常结合模式匹配算法展开。本方案拟采用通过数据库表、字段关键字匹配、抽样数据正则匹配和元数据的血缘关系老进行。通过元数据采集，识别出新增的数据项，利用新增的数据的血缘关系，匹配已经定义的分类分级，对未匹配上的数据，再进行关键字、字典和正则表达式匹配的方式来进行识别。根据识别出来的数据分类设定的级别，来制定数据脱敏方案。

步骤四：开发数据服务；包含以下内容，基本信息配置、取数逻辑开发、服务测试、数据服务审核、数据服务应用。

其中开发数据服务目标是搭建统一的数据服务总线，实现统一管理对内对外的API服务。数据服务提供快速将异构数据库的数据表和视图生成数据API。包括以下三步进行开展。

步骤一：数据服务接口基本信息配置，主要完成服务名称、服务目录、请求路径、安全配置等信息的配置。

步骤二：数据服务的取数逻辑，数据库连接、数据表/视图、出入参、排序、分页等关键信息的配置，也可以通过高级模式，以统一SQL方式实现。

步骤三：数据服务审核，测试通过的数据服务，需要通过服务审核员的审核通过后，才能给第三方进行授权，使用本数据服务。

本发明的有益效果：本发明要解决的技术问题是在大数仓环境下，进行高效的数据分类分级，并在分类分级的基础上提供一种安全的数据接口的方法。

本发明针对大数据仓库下基于数据分类分级的数据服务提供方法，提供一种数据分类分级、数据服务提供的方法。通过分类分级与数据服务相结合，为实现安全数据服务提供了一种方法支撑，并在实际应用中取得了较好的效果。

本发明主要是针对大数据数仓库内种类繁多的数据，在元数据的基础上，进行数据分类分级，按照业务进行分类；根据数据的性质、影响范围进行数据分级；再依据数据的内容制定数据的脱敏规则。

本发明进行数据服务应用的时候，通过统一SQL实现对在多源异构的存储设备下的数据查询，隔离了不同SQL标准的差异，并结合设定的数据分类分级准则，对统一SQL进行敏感数据监测，对敏感数据直接在后端进行脱敏操作，从而实现数据服务的安全访问，并通过访问鉴权、访问频率控制、异常访问监控等，对异常访问进行实时告警，进而提供稳定可靠的数据服务，满足实际应用的需要。

附图说明

图1是数据分类分级标准制定框图。

图2是数据分类分级识别步骤流程图。

图3是数据定级规则表。

具体实施方式

一种基于数据分类分级的服务提供方法，是在大数仓环境下，进行高效的数据分类分级并在分类分级的基础上提供的基于互联网大数据的服务提供方法。通过分类分级与数据服务相结合，为实现安全数据服务提供了一种方法支撑，并在实际应用中取得了较好的效果。下面将结合具体实施例对本发明进行进一步详细说明。

本发明中在提供基于数据分类分级服务建设时采用的关键技术路线主要包括以下内容。

步骤一：数据分类分级标准制定。

步骤二：数据脱敏策略制定。

步骤三：数据分类分级规则匹配。

步骤四：开发数据服务。

步骤一具体包含以下内容，业务细分、数据归类、数据分类特征描述、级别判定。

步骤三具体包含以下内容，元数据血缘分析打标、数据模式匹配打标、人工判定。

步骤四具体包含以下内容，基本信息配置、取数逻辑开发、服务测试、数据服务审核、数据服务应用。

基于上述数据分类分级的服务提供，主要是针对大数据数仓库内种类繁多的数据，在元数据的基础上，进行数据分类分级，按照业务进行分类；根据数据的性质、影响范围进行数据分级；再依据数据的内容制定数据的脱敏规则。数据服务应用的时候，通过统一SQL实现对在多源异构的存储设备下的数据查询，隔离了不同SQL标准的差异，并结合设定的数据分类分级准则，对统一SQL进行敏感数据监测，对敏感数据直接在后端进行脱敏操作，从而实现数据服务的安全访问，并通过访问鉴权、访问频率控制、异常访问监控等，对异常访问进行实时告警，进而提供稳定可靠的数据服务，满足实际应用的需要。

1 关键技术路线。

1.1 制定数据分类分级标准。

数据分类分级按照四个步骤进行开展。

步骤一：业务细分，主要是解决业务分类的问题，按照生产领域（产品或服务）和市场领域（顾客或用户）分别按照若干特定的变量划分；确定数据的管理主体，确定管理主体的管理范围。

步骤二：数据归类，在步骤一业务细分的基础上，找到数据与业务二级子类之间对应关系，经过归纳总结后，确定数据一级子类。

步骤三：数据分类特征描述：对在步骤二分析的数据项的基础上，对数据分类通过关键字、正则表达式等方式实现对字段名称、字段存储数据进行定义。

步骤四：判定级别，在数据分类基础上，进行数据定级。

1.2 数据分类分级规则匹配。

数据分类分级的目的是识别敏感数据，从海量的数据中挑选出敏感数据，完成对敏感数据的识别，建立系统的总体数据视图，并采取分类分级的安全防护策略保护数据安全。传统的数据识别方法是关键字、字典和正则表达式匹配等方式，通常结合模式匹配算法展开。本方案拟采用通过数据库表、字段关键字匹配、抽样数据正则匹配和元数据的血缘关系老进行。通过元数据采集，识别出新增的数据项，利用新增的数据的血缘关系，匹配已经定义的分类分级，对未匹配上的数据，再进行关键字、字典和正则表达式匹配的方式来进行识别。根据识别出来的数据分类设定的级别，来制定数据脱敏方案。

1.3 数据服务开发。

数据服务目标是搭建统一的数据服务总线，实现统一管理对内对外的API服务。数据服务提供了快速将异构数据库的数据表、视图生成数据API。主要分三步进行开展。

步骤一：数据服务接口基本信息配置，主要完成服务名称、服务目录、请求路径、安全配置等信息的配置。

步骤二：数据服务的取数逻辑，数据库连接、数据表/视图、出入参、排序、分页等关键信息的配置，也可以通过高级模式，以统一SQL方式实现。

步骤三：数据服务审核，测试通过的数据服务，需要通过服务审核员的审核通过后，才能给第三方进行授权，使用本数据服务。

2 基于数据分类分级的服务提供。

2.1 分类分级标准制定。

数据分类分级要做好两个前提工作： a) 全面梳理本机构业务条线；b) 收集、整理全部数据资产。重要的是厘清业务：数据因业务而产生，供业务需要使用，数据资产包含物理或电子形式记录的数据表、数据项、数据文件等，可以从元数据中获取。在前提条件准备完备后，可以从以下四个步骤进行数据分类分级，如图1所示。

步骤一：业务细分，根据具体的业务管理主题对应的管理范围，对业务进行一级子类细分；在一级子类细分的基础上，在按照业务管理主题对应的管理范围进行业务二级子类的划分。

步骤二：数据归类，在步骤一的基础上，通过二级子类的管理范围对应的管理对象，找到二级子类下的全部数据。按照数据细分方法对各个“单类业务数据总和”分别细分，得到数据一级子类。

步骤三：分类特征描述，对步骤二种找到的全部数据项，按照字段名称、字段注释、字段数据描述，通过关键字、正则表达式等方式，实现对分类数据进行特征描述。

步骤四：级别判定，通过确定的该类数据安全属性（完整性、保密性、可用性）遭到破坏后的影响对象、影响范围、影响程度，对数据进行定级如下：影响对象为“行业”的，且影响范围是“多个行业”的，影响程度为严重。其他根据影响对象、影响范围、影响程度的组合确定数据级别，以政务行业为例，可按照表1（图3）来定级。

2.2 数据脱敏策略制定。

数据脱敏，是对某些敏感信息通过脱敏规则进行数据的变形，实现敏感隐私数据的可靠保护，数据分类和分级是敏感信息数据保护的第一步。数据脱敏不仅要执行数据漂白，抹去数据中的敏感内容，同时也需要保持原有的数据特征、业务规则和数据关联性，保证开发、测试、培训以及大数据类业务不会受到脱敏的影响，达成脱敏前后的数据一致性和有效性，保持原有数据特征、保持数据之间的一致性、保持业务规则的关联性、多次脱敏之间的数据一致性。

本方案中涉及的数据脱敏，主要是在数据类分级的基础上，对在特定数据源下的数据表、数据字段，根据其数据特征的描述，配置数据脱敏规则。进行脱敏类型、参数的选择，脱敏选用将敏感数据进行无效化、随机化、模糊化等策略开展，技术手段如：数据替换、掩码、数据加密、数据偏移取整等技术方法进行展开。通过前端配置脱敏规则参数，后端脱敏规则引擎根据依据脱敏配置，生成基于groovy脱敏函数，提供给数据产品在特定的应用场景下进行使用，在本方案中主要讲述在数据服务中的应用。

2.3 数据分类分级规则匹配。

数据仓库里的敏感数据识别，分为动态识别与静态识别，静态识别主要依托于数据特征的模式匹配，通过关键字、正则表达式、抽样数据等方式结合进行；动态识别，依据数据在传递、加工的过程中，其分类、分级信息保持不变，将元数据每次采集的增量内容，视为所有待进行敏感数据打标的增量数据，结合元数据字段的全链分析，确定字段的分类分级。本案中的匹配模式结合了动态识别和静态识别两种方法。如图2所示。

步骤一：元数据血缘分析，通过元数据采集，识别出新增的元数据；通过新增元数据的血缘分析，找出新增元数据与已经进行分类分级元数据之间的关系；根据数据的加工关系，可以直接从已经识别的元数据关系中，按照数据加工规则，推导出血缘关系中新增的元数据的分类分级情况。

步骤二：对步骤一中没有打标的数据，在利用关键字匹配、正则匹配等方式来进行打标，通过对该元数据的匹配率的情况，选取高匹配率的类型作为该元数据的分类分级。

步骤三：通过人工方式对未识别出的数据进行设置，主要将新数据补充到现有的分类分级体系中，并设置数据的特征识别方式。

根据数据的分类分级，可以进行细粒度的数据访问权限划分。

2.4 开发数据服务

数据服务旨在为企业搭建统一的数据服务总线，帮助企业统一管理对内对外的 API服务。数据服务为您提供快速将数据表生成数据API的能力，同时支持将现有的 API快速注册到数据服务平台以统一管理和发布。数据服务以数据访问权限为基础，将数据的分类分级应用到数据访问中。数据服务的开发步骤如下.

步骤一：数据服务基本信息配置，主要包括服务目录、服务名称、请求路径、请求方式、描述、审核人、安全认证、是否公开、是否启用访问日志等。通过服务基本信息配置，构建出服务目录。

步骤二：数据服务数据获取逻辑开发，取数逻辑主要完成数据连接、数据库、表/视图、出参、入参、分页配置、排序等，也可以通过手动编写统一SQL的方式，实现取数逻辑。此处，在取数的时候，根据前面识别出的分类分级标准，对敏感数据选择脱敏规则，在数据服务被调用的时候，直接在后台对数据进行脱敏处理。

步骤三：数据服务测试，通过输入测试值，进行API的连通性、正确性、性能等进行测试，确保开发的数据服务能够正确的返回数据、满足设定的性能指标要求。

步骤四：数据服务审核、授权，审核人找到要审核的对象，确认配置服务的基本信息、满足敏感数据访问规则，填写审核意见，完成审核。数据开发者角色，进入数据服务管理，选择服务对象，设置截止时间、访问服务的APP，完成授权后，再进行二次测试。

步骤五：数据服务应用、监控，服务申请方进入数据服务页面，可查看已经授权的数据服务，根据数据服务提供的访问方式，进行数据访问。对每个API的访问请求进行身份认证，用户需要在请求中包含签名信息。数据服务使用Access Key作为身份认证的凭证。用户在不同请求时间采用不同的随机数值（建议用毫秒时间+随机数），在请求调用API是，提供请求数频率限制功能。

Claims (8)

1.一种基于数据分类分级的服务提供方法，其特征在于，包括以下步骤：

步骤一：数据分类分级标准制定；包含以下内容，业务细分、数据归类、数据分类特征描述、级别判定；

步骤二：数据脱敏策略制定；

步骤三：数据分类分级规则匹配；包含以下内容，元数据血缘分析打标、数据模式匹配打标、人工判定；

步骤四：开发数据服务；包含以下内容，基本信息配置、取数逻辑开发、服务测试、数据服务审核、数据服务应用。

2.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，步骤一中业务细分，主要是解决业务分类的问题，按照生产领域和市场领域分别按照若干特定的变量划分；确定数据的管理主体，确定管理主体的管理范围。

3.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，步骤一中数据归类，在步骤一业务细分的基础上，找到数据与业务二级子类之间对应关系，经过归纳总结后，确定数据一级子类。

4.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，步骤一中数据分类特征描述：对在步骤二分析的数据项的基础上，对数据分类通过关键字、正则表达式等方式实现对字段名称、字段存储数据进行定义。

5.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，步骤一中判定级别，在数据分类基础上，进行数据定级。

6.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，步骤三中数据分类分级包括识别敏感数据，从海量的数据中挑选出敏感数据，完成对敏感数据的识别，建立系统的总体数据视图，并采取分类分级的安全防护策略保护数据安全，传统的数据识别方法是关键字、字典和正则表达式匹配等方式，通常结合模式匹配算法展开。

7.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，步骤四中开发数据服务目标是搭建统一的数据服务总线，实现统一管理对内对外的API服务，数据服务提供快速将异构数据库的数据表和视图生成数据API。

8.根据权利要求1所述的一种基于数据分类分级的服务提供方法，其特征在于，数据服务包括以下三步进行开展：

步骤一：数据服务接口基本信息配置，主要完成服务名称、服务目录、请求路径、安全配置等信息的配置；

步骤二：数据服务的取数逻辑，数据库连接、数据表/视图、出入参、排序、分页等关键信息的配置，也可以通过高级模式，以统一SQL方式实现；

步骤三：数据服务审核，测试通过的数据服务，需要通过服务审核员的审核通过后，才能给第三方进行授权，使用本数据服务。

Images