CN114205118A - 基于数据安全法范畴的数据访问控制分析方法 - Google Patents

基于数据安全法范畴的数据访问控制分析方法 Download PDF

Info

Publication number
CN114205118A
CN114205118A CN202111366813.9A CN202111366813A CN114205118A CN 114205118 A CN114205118 A CN 114205118A CN 202111366813 A CN202111366813 A CN 202111366813A CN 114205118 A CN114205118 A CN 114205118A
Authority
CN
China
Prior art keywords
data
user
access
sensitive data
access control
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111366813.9A
Other languages
English (en)
Other versions
CN114205118B (zh
Inventor
张佳发
邹洪
冯国聪
陈锋
周磊
农彩勤
胡健
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Southern Power Grid Digital Platform Technology Guangdong Co ltd
Southern Power Grid Digital Grid Research Institute Co Ltd
Original Assignee
Southern Power Grid Digital Grid Research Institute Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Southern Power Grid Digital Grid Research Institute Co Ltd filed Critical Southern Power Grid Digital Grid Research Institute Co Ltd
Priority to CN202111366813.9A priority Critical patent/CN114205118B/zh
Publication of CN114205118A publication Critical patent/CN114205118A/zh
Application granted granted Critical
Publication of CN114205118B publication Critical patent/CN114205118B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Medical Informatics (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明属于数据安全技术领域，且公开了基于数据安全法范畴的数据访问控制分析方法，包括以下步骤：管理层对访问者身份进行认证，确定其访问权限，访问控制层确定对用户的访问控制策略，对其访问授权，并同时记录其访问轨迹做好审计。本发明通过关键字识别数据类型以及迅速判别是否为敏感数据，对输出的数据敏感程度较高采用相应的数据处理手段，另外本发明还制定了一种敏感数据访问处理规则，当出现同一账号在单位时间内连续对关联性较低的敏感数据进行访问，将会采取相应的风险规避性措施对用户进行限制，用户在被限制后可通过主动申请进行身份洗白，这样的措施可以有效防止敏感信息泄漏，相对提高了敏感数据的访问门槛。

Description

基于数据安全法范畴的数据访问控制分析方法
技术领域
本发明属于数据安全技术领域，具体为基于数据安全法范畴的数据访问控制分析方法。
背景技术
当前，世界各国信息化快速发展，信息技术的应用促进了全球资源的优化配置和发展模式的创新，互联网对政治、经济、社会和文化的影响更加深刻，信息化渗透到国民生活的各个领域，网络和信息系统已经成为关键基础设施乃至整个经济社会的神经中枢，围绕信息获取、利用和控制的国际竞争日趋激烈，保障数据安全成为各国重要议题。近年来，全球频现重大安全事件，网络攻击从最初的自发式、分散式的攻击转向专业化的有组织行为，呈现出攻击工具专业化、目的商业化、行为组织化的特点。因此数据安全已从数据本身的存储与处理安全为重转向为数据本身的安全与数据防互的安全并重。
现有的数据安全管理方式，对恶意访问的类型识别速度较慢以及采取的相应措施较少，仅在用户的数据访问控制这一模块就存在有一定有待改进的安全隐患，本发明提出一种关于有效防止敏感数据泄漏的访问控制手段，通过较高准确率的判断和提高敏感数据的访问门槛以实现敏感数据的防泄漏目的。
发明内容
本发明的目的在于提供基于数据安全法范畴的数据访问控制分析方法，以解决上述背景技术中提出的问题。
为了实现上述目的，本发明提供如下技术方案：基于数据安全法范畴的数据访问控制分析方法，包括以下步骤：
第一步：管理层对访问者身份进行认证，确定其访问权限，访问控制层确定对用户的访问控制策略，对其访问授权，并同时记录其访问轨迹做好审计；
第二步：通过加解密判定后，向管理层获取数据加解密权限，访问并加载数据加解密组件对数据进行处理，从而获取数据分析条件；
第三步：对数据进行整合归类，提取数据中的关键字或者关键段，分析其敏感程度是否在合理范围之内；
第四步：如果数据的敏感程度较高，访问者无相应权限获取，则依照访问者身份分别对数据进行敏感数据剔除，敏感数据变形，敏感数据漂白和敏感数据遮蔽处理；
第五步：检验脱敏后的数据在输出后是否与用户意图获取的信息保持一定的一致性或者关联性，检验出关联性和一致性较高则输出，检验出关联性较低则对事件审计和向管理层报备。
优选的，所述访问控制策略包括有行数访问控制、访问控制频次、角色访问控制、属性访问控制、列级访问控制和危险操作控制，行数访问控制是指通过访问流量的协议解析，包含数据请求、返回数据解析、跨语句、跨多包的绑定变量名及绑定变量值的解析，限制应用和用户对基于敏感表格访问的返回行控制技术提供对大量返回行或更新行事件做出告警，如行数访问超过1000行即产生告警，同时标注风险等级，以及完善的审计事件；访问频次控制是指通过访问流量的协议解析，包含数据请求、返回数据解析、跨语句、跨多包的绑定变量名及绑定变量值的解析，控制应用和用户对访问敏感数据的频次进行限制，提供对大量返回行或更新行事件做出告警，如针对某个库/表/列等敏感数据访问超过100次即产生告警，同时标注风险等级，以及完善的审计事件；角色访问控制是指提供基于角色的访问控制技术措施，通过定义不同的角色，不同的角色可纳入不同的用户身份、可访问的目标、操作类型(如查询、更新、删除、插入等)等信息，实现基于角色的访问控制，基于角色的访问控制(RBAC)是有效性的实现大数据平台访问控制的一种方法。对大数据平台的各种操作权限不是直接授予具体的用户，而是通过在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限；属性访问控制是指基于属性的访问控制主要是通过用户、资源(目标)、操作和环境来实现的，用户在携带自身的属性值包括主题属性，资源属性，环境属性，然后向资源发送请求，授权引擎根据主题所携带的属性进行判断，给出拒绝或者同意，继而根据判断结果访问资源，通过定义用户的属性(如信任标签)、资源属性(业务数据或公共数据)、工作区域属性(终端或应用)、权限属性(增删查改)等一系列定义，满足基于属性的访问控制需求；列级访问控制是指列级访问控制是为了应对不同应用或用户访问数据资源时需要精细化到列级别的细粒度控制而衍生的控制措施。如应用A只可以访问第一列和第三列，账号a只可以访问第二列和第四列等，支持数据集合定义，如前三列为数据集合A，后三列为数据集合B，数据集合的定义可以简化授权管理的工作；危险操作控制是指对危险性操作如drop、truncate、delete、赋权等操作提前进行安全控制，禁用此类高危操作，无授权应用和用户无法执行，当运维管理人员必须进行某些危险性操作或者需要访问敏感数据时，可提交临时授权工单，由安全管理员进行逐级审批后方可进行操作，所述访问控制策略在用户访问的全过程中均可发生实时变化和多种策略并用的方式。
优选的，所述审计的事件包括有数据库名/实例、主机名、用户、登录时间、退出时间、应用程序、主机名、IP地址、物理地址、操作系统用户、响应行为、记录访问敏感数据和审计回溯，所述审计回溯指当前用户访问敏感数据时将根据该用户的身份回溯其历史访问的敏感数据，发现其历史访问的敏感数据和当前访问的敏感数据之间的关联性，审计还包括有对登录事件的判断，登录事件可以快速分析合法及违规登录的应用及用户行为，对访问事件的判断，访问事件主要用于登录后的访问记录，如用户登录后，对哪些组件、库进行了查询、修改操作等进行详细记录，包括其访问事件、源IP、账号、服务端IP、操作类型、操作指令等。
优选的，关键字类型分为金融货币类、证件类、数字类、姓名和地址，其中的类型还被分为众多小类，例如中文姓名、英文姓名、姓名拼音、韩文姓名、电话号码、邮箱、邮编、金额、日期、企业营业执照、组织机构代码证、银行卡号、军官证、港澳通行证、往来台湾通行证、护照、税务登记证、身份证、组织机构名称、地址、IP地址、社会统一信用代码、开户许可证、医疗机构登记号、医师资格证书、医师职业证书、证券代码、证券名称、基金名称、基金代码、车牌号码、JSON等，数据脱敏将会将依据用户想要检索的关键字类型与数据进行类别比对，对数据中的敏感数据进行脱敏，同时需要对数据中包含于其他的类别的敏感数据进行脱敏处理。
优选的，敏感数据剔除针对该数据中与用户检索关键字关联性不大的敏感数据进行剔除，敏感数据剔除后需检验整体数据与用户以图获取的数据之间的关联性，关联性较低则对此事件进行审计和向管理层报备。
优选的，检测出当前用户访问的关键词中含有敏感数据与其历史访问的敏感数据关联性较低，则报备管理层进行审计，若在单位时间段内频繁访问与其历史敏感数据关联性较低的其他敏感数据，则向管理层报备进行审计并且启用敏感数据访问处理规则。
优选的，敏感数据访问处理规则包括有限制用户单位时间段访问频次、限制用户访问内容限制、对用户访问权限限时锁定和对用户访问权限持续锁定。
优选的，用户在一个单位时间段内敏感数据进行连续访问，则限制用户在单位时间段访问频次；
用户在两个连续单位时间段内对敏感数据进行连续访问则对用户访问内容进行限制和限制用户在单位时间段访问频次，两种敏感数据关联性不大说明数据之间为不同的类型，高频次或者连续对类型不同的敏感数据进行访问，系统会判定其检索内容目的及动机存在恶意，具有一定的危险操作嫌疑；
用户在三个连续或不连续单位时间段内对关联性不大的敏感数据进行连续访问，则对用户访问权限限时锁定，在一定时间段之后会自动解锁，大约在60min左右，具体时间长度可进行设定；
用户在四个连续或不连续单位时间段内对关联性不大的敏感数据进行连续访问，则对该用户访问权限进行持续锁定，处于被锁定期间的用户将无法获取任何数据的访问权限，连续多个时间段对关联性不大的敏感数据进行连续访问，该用户会将会被自动判断为危险访问，会直接对其采取锁定，直至被解除锁定才可以继续访问。
优选的，所述单位时间段取30-60min之间，可在30-60min之间任选一个时间段作为一个单位时间段长度，例如选取45min作为一个单位时间段，那么所谓连续两个单位时间段为连续90min时间段里包含的两个单位时间段，以此类推，通过以时间段作为判定的次要条件之一，可以提高其准确度，在单位时间段内出现的高频此敏感信息访问情况，运维安全人员也会受到相应的告警，安全人员可以随时终端访问并对用户的账号进行控制，从而提高处理效率。
优选的，用户访问权限被持续锁定后可由管理层重新赋予访问权限，经过管理层确认后用户并无安全威胁之后，运维安全人员可手动再次为用户添加权限，用户可主动申请解除锁定状态，提交证明及相关陈述，通过后可恢复访问权限。
本发明的有益效果如下：
本发明通过关键字类别提取，对用户访问数据进行比对，通过关键字识别数据类型以及迅速判别是否为敏感数据，对输出的数据敏感程度较高采用相应的数据处理手段，避免敏感数据出现泄漏，另外本发明还制定了一种敏感数据访问处理规则，当出现同一账号在单位时间内连续对关联性较低的敏感数据进行访问，将会采取相应的风险规避性措施对用户进行限制，用户在被限制后可通过主动申请进行身份洗白，这样的措施可以有效防止敏感信息泄漏，相对提高了敏感数据的访问门槛。
附图说明
图1为本发明数据安全处理流程及框架示意图；
图2为本发明数据关键字的分类示意图；
图3为本发明敏感数据访问处理规则示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1至图3所示，本发明实施例中，基于数据安全法范畴的数据访问控制分析方法，包括以下步骤：
第一步：管理层对访问者身份进行认证，确定其访问权限，访问控制层确定对用户的访问控制策略，对其访问授权，并同时记录其访问轨迹做好审计；
第二步：通过加解密判定后，向管理层获取数据加解密权限，访问并加载数据加解密组件对数据进行处理，从而获取数据分析条件；
第三步：对数据进行整合归类，提取数据中的关键字或者关键段，分析其敏感程度是否在合理范围之内；
第四步：如果数据的敏感程度较高，访问者无相应权限获取，则依照访问者身份分别对数据进行敏感数据剔除，敏感数据变形，敏感数据漂白和敏感数据遮蔽处理；
第五步：检验脱敏后的数据在输出后是否与用户意图获取的信息保持一定的一致性或者关联性，检验出关联性和一致性较高则输出，检验出关联性较低则对事件审计和向管理层报备。
其中，访问控制策略包括有行数访问控制、访问控制频次、角色访问控制、属性访问控制、列级访问控制和危险操作控制，行数访问控制是指通过访问流量的协议解析，包含数据请求、返回数据解析、跨语句、跨多包的绑定变量名及绑定变量值的解析，限制应用和用户对基于敏感表格访问的返回行控制技术提供对大量返回行或更新行事件做出告警，如行数访问超过1000行即产生告警，同时标注风险等级，以及完善的审计事件；访问频次控制是指通过访问流量的协议解析，包含数据请求、返回数据解析、跨语句、跨多包的绑定变量名及绑定变量值的解析，控制应用和用户对访问敏感数据的频次进行限制，提供对大量返回行或更新行事件做出告警，如针对某个库/表/列等敏感数据访问超过100次即产生告警，同时标注风险等级，以及完善的审计事件；角色访问控制是指提供基于角色的访问控制技术措施，通过定义不同的角色，不同的角色可纳入不同的用户身份、可访问的目标、操作类型(如查询、更新、删除、插入等)等信息，实现基于角色的访问控制，基于角色的访问控制(RBAC)是有效性的实现大数据平台访问控制的一种方法。对大数据平台的各种操作权限不是直接授予具体的用户，而是通过在用户集合与权限集合之间建立一个角色集合。每一种角色对应一组相应的权限。一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限；属性访问控制是指基于属性的访问控制主要是通过用户、资源(目标)、操作和环境来实现的，用户在携带自身的属性值包括主题属性，资源属性，环境属性，然后向资源发送请求，授权引擎根据主题所携带的属性进行判断，给出拒绝或者同意，继而根据判断结果访问资源，通过定义用户的属性(如信任标签)、资源属性(业务数据或公共数据)、工作区域属性(终端或应用)、权限属性(增删查改)等一系列定义，满足基于属性的访问控制需求；列级访问控制是指列级访问控制是为了应对不同应用或用户访问数据资源时需要精细化到列级别的细粒度控制而衍生的控制措施。如应用A只可以访问第一列和第三列，账号a只可以访问第二列和第四列等，支持数据集合定义，如前三列为数据集合A，后三列为数据集合B，数据集合的定义可以简化授权管理的工作；危险操作控制是指对危险性操作如drop、truncate、delete、赋权等操作提前进行安全控制，禁用此类高危操作，无授权应用和用户无法执行，当运维管理人员必须进行某些危险性操作或者需要访问敏感数据时，可提交临时授权工单，由安全管理员进行逐级审批后方可进行操作，访问控制策略在用户访问的全过程中均可发生实时变化和多种策略并用的方式。
其中，审计的事件包括有数据库名/实例、主机名、用户、登录时间、退出时间、应用程序、主机名、IP地址、物理地址、操作系统用户、响应行为、记录访问敏感数据和审计回溯，审计回溯指当前用户访问敏感数据时将根据该用户的身份回溯其历史访问的敏感数据，发现其历史访问的敏感数据和当前访问的敏感数据之间的关联性，审计还包括有对登录事件的判断，登录事件可以快速分析合法及违规登录的应用及用户行为，对访问事件的判断，访问事件主要用于登录后的访问记录，如用户登录后，对哪些组件、库进行了查询、修改操作等进行详细记录，包括其访问事件、源IP、账号、服务端IP、操作类型、操作指令等。
其中，关键字类型分为金融货币类、证件类、数字类、姓名和地址，其中的类型还被分为众多小类，例如中文姓名、英文姓名、姓名拼音、韩文姓名、电话号码、邮箱、邮编、金额、日期、企业营业执照、组织机构代码证、银行卡号、军官证、港澳通行证、往来台湾通行证、护照、税务登记证、身份证、组织机构名称、地址、IP地址、社会统一信用代码、开户许可证、医疗机构登记号、医师资格证书、医师职业证书、证券代码、证券名称、基金名称、基金代码、车牌号码、JSON等，数据脱敏将会将依据用户想要检索的关键字类型与数据进行类别比对，对数据中的敏感数据进行脱敏，同时需要对数据中包含于其他的类别的敏感数据进行脱敏处理。
其中，敏感数据剔除针对该数据中与用户检索关键字关联性不大的敏感数据进行剔除，敏感数据剔除后需检验整体数据与用户以图获取的数据之间的关联性，关联性较低则对此事件进行审计和向管理层报备。
其中，检测出当前用户访问的关键词中含有敏感数据与其历史访问的敏感数据关联性较低，则报备管理层进行审计，若在单位时间段内频繁访问与其历史敏感数据关联性较低的其他敏感数据，则向管理层报备进行审计并且启用敏感数据访问处理规则。
其中，敏感数据访问处理规则包括有限制用户单位时间段访问频次、限制用户访问内容限制、对用户访问权限限时锁定和对用户访问权限持续锁定。
其中，用户在一个单位时间段内敏感数据进行连续访问，则限制用户在单位时间段访问频次；
用户在两个连续单位时间段内对敏感数据进行连续访问则对用户访问内容进行限制和限制用户在单位时间段访问频次，两种敏感数据关联性不大说明数据之间为不同的类型，高频次或者连续对类型不同的敏感数据进行访问，系统会判定其检索内容目的及动机存在恶意，具有一定的危险操作嫌疑；
用户在三个连续或不连续单位时间段内对关联性不大的敏感数据进行连续访问，则对用户访问权限限时锁定，在一定时间段之后会自动解锁，大约在60min左右，具体时间长度可进行设定；
用户在四个连续或不连续单位时间段内对关联性不大的敏感数据进行连续访问，则对该用户访问权限进行持续锁定，处于被锁定期间的用户将无法获取任何数据的访问权限，连续多个时间段对关联性不大的敏感数据进行连续访问，该用户会将会被自动判断为危险访问，会直接对其采取锁定，直至被解除锁定才可以继续访问。
其中，单位时间段取30-60min之间，可在30-60min之间任选一个时间段作为一个单位时间段长度，例如选取45min作为一个单位时间段，那么所谓连续两个单位时间段为连续90min时间段里包含的两个单位时间段，以此类推，通过以时间段作为判定的次要条件之一，可以提高其准确度，在单位时间段内出现的高频此敏感信息访问情况，运维安全人员也会受到相应的告警，安全人员可以随时终端访问并对用户的账号进行控制，从而提高处理效率。
其中，用户访问权限被持续锁定后可由管理层重新赋予访问权限，经过管理层确认后用户并无安全威胁之后，运维安全人员可手动再次为用户添加权限，用户可主动申请解除锁定状态，提交证明及相关陈述，通过后可恢复访问权限。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。
尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (10)

1.基于数据安全法范畴的数据访问控制分析方法，其特征在于：包括以下步骤：
第一步：管理层对访问者身份进行认证，确定其访问权限，访问控制层确定对用户的访问控制策略，对其访问授权，并同时记录其访问轨迹做好审计；
第二步：通过加解密判定后，向管理层获取数据加解密权限，访问并加载数据加解密组件对数据进行处理，从而获取数据分析条件；
第三步：对数据进行整合归类，提取数据中的关键字或者关键段，分析其敏感程度是否在合理范围之内；
第四步：如果数据的敏感程度较高，访问者无相应权限获取，则依照访问者身份分别对数据进行敏感数据剔除，敏感数据变形，敏感数据漂白和敏感数据遮蔽处理；
第五步：检验脱敏后的数据在输出后是否与用户意图获取的信息保持一定的一致性或者关联性，检验出关联性和一致性较高则输出，检验出关联性较低则对事件审计和向管理层报备。
2.根据权利要求1所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：所述访问控制策略包括有行数访问控制、访问控制频次、角色访问控制、属性访问控制、列级访问控制和危险操作控制，所述访问控制策略在用户访问的全过程中均可发生实时变化和多种策略并用的方式。
3.根据权利要求1所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：所述审计的事件包括有数据库名/实例、主机名、用户、登录时间、退出时间、应用程序、主机名、IP地址、物理地址、操作系统用户、响应行为、记录访问敏感数据和审计回溯，所述审计回溯指当前用户访问敏感数据时将根据该用户的身份回溯其历史访问的敏感数据，发现其历史访问的敏感数据和当前访问的敏感数据之间的关联性。
4.根据权利要求1所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：关键字类型分为金融货币类、证件类、数字类、姓名和地址，数据脱敏将会将依据用户想要检索的关键字类型与数据进行类别比对，对数据中的敏感数据进行脱敏，同时需要对数据中包含于其他的类别的敏感数据进行脱敏处理。
5.根据权利要求1所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：敏感数据剔除针对该数据中与用户检索关键字关联性不大的敏感数据进行剔除，敏感数据剔除后需检验整体数据与用户以图获取的数据之间的关联性，关联性较低则对此事件进行审计和向管理层报备。
6.根据权利要求3所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：检测出当前用户访问的关键词中含有敏感数据与其历史访问的敏感数据关联性较低，则报备管理层进行审计，若在单位时间段内频繁访问与其历史敏感数据关联性较低的其他敏感数据，则向管理层报备进行审计并且启用敏感数据访问处理规则。
7.根据权利要求6所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：所述敏感数据访问处理规则包括有限制用户单位时间段访问频次、限制用户访问内容限制、对用户访问权限限时锁定和对用户访问权限持续锁定。
8.根据权利要求7所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：用户在一个单位时间段内敏感数据进行连续访问，则限制用户在单位时间段访问频次；
用户在两个连续单位时间段内对敏感数据进行连续访问则对用户访问内容进行限制和限制用户在单位时间段访问频次；
用户在三个连续或不连续单位时间段内对关联性不大的敏感数据进行连续访问，则对用户访问权限限时锁定；
用户在四个连续或不连续单位时间段内对关联性不大的敏感数据进行连续访问，则对该用户访问权限进行持续锁定。
9.根据权利要求8所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：所述单位时间段取30-60min之间。
10.根据权利要求8所述的基于数据安全法范畴的数据访问控制分析方法，其特征在于：用户访问权限被持续锁定后可由管理层重新赋予访问权限。
CN202111366813.9A 2021-11-17 2021-11-17 基于数据安全法范畴的数据访问控制分析方法 Active CN114205118B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111366813.9A CN114205118B (zh) 2021-11-17 2021-11-17 基于数据安全法范畴的数据访问控制分析方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111366813.9A CN114205118B (zh) 2021-11-17 2021-11-17 基于数据安全法范畴的数据访问控制分析方法

Publications (2)

Publication Number Publication Date
CN114205118A true CN114205118A (zh) 2022-03-18
CN114205118B CN114205118B (zh) 2023-10-27

Family

ID=80648023

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111366813.9A Active CN114205118B (zh) 2021-11-17 2021-11-17 基于数据安全法范畴的数据访问控制分析方法

Country Status (1)

Country Link
CN (1) CN114205118B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117336083A (zh) * 2023-10-27 2024-01-02 河北赛克普泰计算机咨询服务有限公司 一种网络安全等级保护中的通信方法及系统
CN118013502A (zh) * 2024-03-13 2024-05-10 北京华档致远科技有限公司 基于数据要素的数据资产安全保护方法及系统

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1953454A (zh) * 2006-10-27 2007-04-25 北京启明星辰信息技术有限公司 基于角色管理的安全审计方法及系统
CN1977227A (zh) * 2003-01-13 2007-06-06 甲骨文国际公司 属性相关的访问控制策略
CN108418676A (zh) * 2018-01-26 2018-08-17 山东超越数控电子股份有限公司 一种基于权限的数据脱敏方法
CN110020553A (zh) * 2019-04-12 2019-07-16 山东浪潮云信息技术有限公司 一种保护敏感数据的方法及系统
CN110795761A (zh) * 2019-10-29 2020-02-14 国网山东省电力公司信息通信公司 一种面向泛在电力物联网敏感数据的动态脱敏方法
CN112364377A (zh) * 2020-11-11 2021-02-12 国网山东省电力公司电力科学研究院 一种适应于电力行业的数据分类分级安全防护系统
CN113378225A (zh) * 2021-06-24 2021-09-10 平安普惠企业管理有限公司 线上敏感数据获取方法、装置、电子设备及存储介质

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1977227A (zh) * 2003-01-13 2007-06-06 甲骨文国际公司 属性相关的访问控制策略
CN1953454A (zh) * 2006-10-27 2007-04-25 北京启明星辰信息技术有限公司 基于角色管理的安全审计方法及系统
CN108418676A (zh) * 2018-01-26 2018-08-17 山东超越数控电子股份有限公司 一种基于权限的数据脱敏方法
CN110020553A (zh) * 2019-04-12 2019-07-16 山东浪潮云信息技术有限公司 一种保护敏感数据的方法及系统
CN110795761A (zh) * 2019-10-29 2020-02-14 国网山东省电力公司信息通信公司 一种面向泛在电力物联网敏感数据的动态脱敏方法
CN112364377A (zh) * 2020-11-11 2021-02-12 国网山东省电力公司电力科学研究院 一种适应于电力行业的数据分类分级安全防护系统
CN113378225A (zh) * 2021-06-24 2021-09-10 平安普惠企业管理有限公司 线上敏感数据获取方法、装置、电子设备及存储介质

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117336083A (zh) * 2023-10-27 2024-01-02 河北赛克普泰计算机咨询服务有限公司 一种网络安全等级保护中的通信方法及系统
CN117336083B (zh) * 2023-10-27 2024-05-14 河北赛克普泰计算机咨询服务有限公司 一种网络安全等级保护中的通信方法及系统
CN118013502A (zh) * 2024-03-13 2024-05-10 北京华档致远科技有限公司 基于数据要素的数据资产安全保护方法及系统
CN118013502B (zh) * 2024-03-13 2024-07-12 北京华档致远科技有限公司 基于数据要素的数据资产安全保护方法及系统

Also Published As

Publication number Publication date
CN114205118B (zh) 2023-10-27

Similar Documents

Publication Publication Date Title
US8607353B2 (en) System and method for performing threat assessments using situational awareness
CN115733681A (zh) 一种防止数据丢失的数据安全管理平台
CN114205118B (zh) 基于数据安全法范畴的数据访问控制分析方法
Vieira et al. Towards a security benchmark for database management systems
CN114157457A (zh) 一种网络数据信息安全用的权限申请及监控方法
Yamin et al. Implementation of insider threat detection system using honeypot based sensors and threat analytics
Sun et al. A data-driven evaluation for insider threats
Nostro et al. A methodology and supporting techniques for the quantitative assessment of insider threats
Yerjanov et al. Legal issues related to combating cybercrime: Experience of the Republic of Kazakhstan
Singh et al. Trust factor-based analysis of user behavior using sequential pattern mining for detecting intrusive transactions in databases
CN117494154A (zh) 一种基于零信任的电力大数据安全管理方法及系统
CN117333026A (zh) 一种基于能源大数据的风险辨识方法
Srivastava et al. Verity: Blockchains to detect insider attacks in DBMS
CN108600178A (zh) 一种征信数据的安全保障方法及系统、征信平台
Kamra et al. Responding to anomalous database requests
Sriramoju et al. Predicting The Misusability Of Data From Malicious Insiders
Soma et al. Computer Crime: Substantive Statutes & (and) Technical & (and) Legal Search Considerations
CN118211269B (zh) 数据微粒度划分与访问控制方法和系统
CN118427843B (zh) 一种数据安全能力侦测方法及系统
US12028376B2 (en) Systems and methods for creation, management, and storage of honeyrecords
Dempsey et al. Technologies that can protect privacy as information is shared to combat terrorism
CN116662548A (zh) 数据库维护方法、装置、电子设备及可读存储介质
Mariuța et al. Monitoring And Controling The Access To Classified Economic Data
Heatley et al. Data mining computer audit logs to detect computer misuse
Phyo et al. A Framework For Monitoring Insider Misuse Of It Applications.

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP03 Change of name, title or address
CP03 Change of name, title or address

Address after: Room 406, No.1, Yichuang street, Zhongxin Guangzhou Knowledge City, Huangpu District, Guangzhou, Guangdong 510000

Patentee after: Southern Power Grid Digital Grid Research Institute Co.,Ltd.

Country or region after: China

Address before: Room 406, No.1, Yichuang street, Zhongxin Guangzhou Knowledge City, Huangpu District, Guangzhou, Guangdong 510000

Patentee before: Southern Power Grid Digital Grid Research Institute Co.,Ltd.

Country or region before: China

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20240904

Address after: 518101, 3rd Floor, Building 40, Baotian Industrial Zone, Chentian Community, Xixiang Street, Bao'an District, Shenzhen City, Guangdong Province

Patentee after: China Southern Power Grid Digital Platform Technology (Guangdong) Co.,Ltd.

Country or region after: China

Address before: Room 406, No.1, Yichuang street, Zhongxin Guangzhou Knowledge City, Huangpu District, Guangzhou, Guangdong 510000

Patentee before: Southern Power Grid Digital Grid Research Institute Co.,Ltd.

Country or region before: China