CN115168888B - 一种业务自适应的数据治理方法、装置及设备 - Google Patents

Abstract

本申请提供一种业务自适应的数据治理方法、装置及设备，该方法包括：获取数据资产在流转过程中对应的数据特征；获取数据资产对应的已配置的安全特征；基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险；如果是，获取所述数据资产对应的数据画像，基于所述数据画像确定所述数据资产的安全状态，所述安全状态为安全或不安全；若所述安全状态为不安全，对所述数据资产进行数据保护。通过本申请技术方案，能够对不安全的数据资产进行数据保护，避免敏感数据资产的泄漏风险，保证数据资产的安全性。

Description

一种业务自适应的数据治理方法、装置及设备

技术领域

本申请涉及网络安全技术领域，尤其涉及一种业务自适应的数据治理方法、装置及设备。

背景技术

数据资产是指由个人或企业拥有或者控制的、能够带来经济利益的、以物理或电子的方式记录的数据资源。数据资产是拥有数据权属（如勘探权、使用权、所有权等）、有价值、可计量、可读取的网络空间中的数据集。

随着云计算、大数据等技术的迅速发展，在业务系统内流转的数据资产的数据量大量增长，即大量数据资产在业务系统内流转。随着大量数据资产的流转，会导致敏感数据资产的泄漏风险，无法保证数据资产的安全性。

发明内容

本申请提供一种业务自适应的数据治理方法，所述方法包括：

获取数据资产在流转过程中对应的数据特征；

获取所述数据资产对应的已配置的安全特征；

基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险；

如果是，则获取所述数据资产对应的数据画像，基于所述数据画像确定所述数据资产的安全状态；其中，所述安全状态为安全或者不安全；

若所述安全状态为不安全，则对所述数据资产进行数据保护。

本申请提供一种业务自适应的数据治理装置，所述装置包括：

获取模块，用于获取数据资产在流转过程中对应的数据特征；

所述获取模块，还用于获取所述数据资产对应的已配置的安全特征；

确定模块，用于基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险；如果是，则获取所述数据资产对应的数据画像，基于所述数据画像确定所述数据资产的安全状态；其中，所述安全状态为安全或者不安全；

处理模块，用于若所述安全状态为不安全，对所述数据资产进行数据保护。

本申请提供一种电子设备，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；所述处理器用于执行机器可执行指令，以实现本申请上述公开的业务自适应的数据治理方法。

由以上技术方案可见，本申请实施例中，针对流转过程中的数据资产，可以基于数据资产对应的数据特征和安全特征确定该数据资产是否存在安全风险，若是，则基于数据资产对应的数据画像确定数据资产的安全状态，若安全状态为不安全，则对数据资产进行数据保护，从而能够对不安全的数据资产进行数据保护，避免敏感数据资产的泄漏风险，保证数据资产的安全性。将业务系统中流转的数据资产，从数据产生、存储、流转、使用、销毁等角度进行全生命周期的管理和治理，保证数据资产的安全性，避免数据资产的损失。

附图说明

为了更加清楚地说明本申请实施例或者现有技术中的技术方案，下面将对本申请实施例或者现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据本申请实施例的这些附图获得其他的附图。

图1是本申请一种实施方式中的业务自适应的数据治理方法的流程示意图；

图2是本申请一种实施方式中的业务自适应的数据治理装置的结构示意图；

图3是本申请一种实施方式中的电子设备的硬件结构图。

具体实施方式

在本申请实施例使用的术语仅仅是出于描述特定实施例的目的，而非限制本申请。本申请和权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。还应当理解，本文中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，此外，所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本申请实施例中提出一种业务自适应的数据治理方法，参见图1所示，为该业务自适应的数据治理方法的流程示意图，该方法可以包括以下步骤：

步骤101、获取数据资产在流转过程中对应的数据特征。

步骤102、获取该数据资产对应的已配置的安全特征。

步骤103、基于该数据特征和该安全特征确定该数据资产是否存在安全风险；如果是，则执行步骤104；如果否，则不对该数据资产进行数据保护。

示例性的，安全特征可以包括但不限于数据重要程度、数据流通范围、数据安全权限。基于该数据特征确定该数据资产对应的操作事件信息，基于该数据特征确定该数据资产对应的流转节点信息，基于该数据特征确定该数据资产对应的操作角色信息。在此基础上，若该操作事件信息与该数据重要程度不匹配、该流转节点信息与该数据流通范围不匹配、该操作角色信息与该数据安全权限不匹配中的至少一个成立，则确定该数据资产存在安全风险。否则，若该操作事件信息与该数据重要程度匹配、该流转节点信息与该数据流通范围匹配、该操作角色信息与该数据安全权限匹配，则确定该数据资产不存在安全风险。

示例性的，操作事件信息可以包括操作事件类型，若该操作事件类型为该数据重要程度允许的操作事件类型，则可以确定该操作事件信息与该数据重要程度匹配，否则，若该操作事件类型为该数据重要程度不允许的操作事件类型，则可以确定该操作事件信息与该数据重要程度不匹配。

示例性的，流转节点信息可以包括流转目的节点、流转源节点和流转中间节点，若流转目的节点、流转源节点和流转中间节点均为该数据流通范围允许的数据流通节点，则确定该流转节点信息与该数据流通范围匹配，否则，若流转目的节点、流转源节点和流转中间节点中的至少一个为该数据流通范围不允许的数据流通节点，则确定该流转节点信息与该数据流通范围不匹配。

示例性的，操作角色信息可以包括操作者的目标角色，若目标角色为该数据安全权限允许的具有操作权限的角色，则可以确定该操作角色信息与该数据安全权限匹配，否则，若目标角色为该数据安全权限不允许的具有操作权限的角色，则可以确定该操作角色信息与该数据安全权限不匹配。

步骤104、获取该数据资产对应的数据画像，并基于该数据画像确定该数据资产的安全状态；其中，该安全状态可以为安全或者不安全。

示例性的，数据画像可以包括多个分类维度的画像实际特征。比如说，多个分类维度的画像实际特征可以包括但不限于以下至少两种：数据资产对应的操作事件信息；数据资产对应的流转节点信息；数据资产对应的操作角色信息；数据资产对应的实际使用频率；数据资产对应的实际使用范围；数据资产对应的实际流转路径；数据资产对应的实际身份权限状态。

示例性的，针对每个分类维度，可以基于该分类维度的画像实际特征与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数；基于多个分类维度对应的匹配分数确定该数据资产的安全状态分数；基于该安全状态分数确定该数据资产的安全状态。比如说，若安全状态分数大于预设阈值，则确定安全状态为安全，若安全状态分数不大于预设阈值，则确定安全状态为不安全。

步骤105、若该安全状态为不安全，则对该数据资产进行数据保护。或者，若该安全状态为安全，则可以不对该数据资产进行数据保护。

在一种可能的实施方式中，针对存储过程中的数据资产，可以根据该数据资产对应的存储特征确定该数据资产对应的加密方式；基于该加密方式对该数据资产进行加密，并存储加密后的数据资产。该存储特征可以包括但不限于数据量大小和/或数据敏感程度；该加密方式可以包括但不限于以下至少一种：安全密码卡、CPU（Central ProcessingUnit，中央处理器）加密引擎、软件加密库。

在一种可能的实施方式中，针对流转过程中的数据资产，在该数据资产从一个安全域流转到另一个安全域时，可以为该数据资产嵌入数字水印，该数字水印可以包括数据资产在流转过程中对应的数据特征。或者，在该数据资产从一个安全域流转到另一个安全域时，还可以采用目标加密算法对该数据资产进行加密，并流转加密后的数据资产。或者，在该数据资产从一个安全域流转到另一个安全域时，可以为该数据资产嵌入数字水印，该数字水印可以包括数据资产在流转过程中对应的数据特征，并采用目标加密算法对该数据资产进行加密，这样，可以流转加密后的数据资产，且数据资产被嵌入数字水印。

在一种可能的实施方式中，针对流转过程中的数据资产，在该数据资产从高级别安全域流转到低级别安全域时，还可以根据该数据资产对应的业务特征确定该数据资产对应的目标脱敏方式，并基于目标脱敏方式对该数据资产进行脱敏，并流转脱敏后的数据资产。其中，该业务特征可以包括但不限于以下至少一种：业务场景、安全状态、身份权限、负载状态；目标脱敏方式可以包括但不限于静态脱敏方式和/或动态脱敏方式；静态脱敏方式可以包括但不限于以下至少一种：差分隐私方式、K匿名（k-anonymity）方式、FPE（FormatPreserving Encrypt，保留格式加密）方式；动态脱敏方式可以包括但不限于：SQL（Structured Query Language，结构化查询语言）语句改写方式和/或结果集改写方式。

由以上技术方案可见，本申请实施例中，针对流转过程中的数据资产，可以基于数据资产对应的数据特征和安全特征确定该数据资产是否存在安全风险，若是，则基于数据资产对应的数据画像确定数据资产的安全状态，若安全状态为不安全，则对数据资产进行数据保护，从而能够对不安全的数据资产进行数据保护，避免敏感数据资产的泄漏风险，保证数据资产的安全性。将业务系统中流转的数据资产，从数据产生、存储、流转、使用、销毁等角度进行全生命周期的管理和治理，保证数据资产的安全性，避免数据资产的损失。

以下结合具体应用场景，对本申请实施例的上述技术方案进行说明。

随着云计算、大数据等技术的迅速发展，在业务系统内流转的数据资产的数据量大量增长，而随着大量数据资产的流转，会导致敏感数据资产的泄漏风险，无法保证数据资产的安全性，针对数据资产的数据治理更加困难。

针对上述问题，本申请实施例中提出一种业务自适应的数据脱敏与数据治理方法，能够从数据脱敏和数据治理等角度出发，将业务系统中流转的数据资产，从数据产生、存储、流转、使用、销毁等角度进行全生命周期的数据脱敏与数据治理，保证数据资产的安全性，避免数据资产的损失。本实施例中，从业务自适应的角度，同时考虑实时安全状态，对数据脱敏策略和数据治理策略进行动态调整，同时对数据脱敏策略和数据治理策略进行态势感知和优化。

数据脱敏是指：通过脱敏规则对敏感隐私数据进行变形，实现敏感隐私数据的可靠保护。针对敏感隐私数据（如用户敏感数据或者商业敏感数据等）来说，在不违反系统规则的前提下，可以对敏感隐私数据进行变形，如身份证号、手机号、卡号等敏感隐私数据均可以进行数据脱敏，属于数据安全技术之一。

数据治理是指：针对数据资产的管理行为，是对数据资产行使权力和控制的活动集合，通过制定和实施数据资产的管理策略，实现数据资产的数据治理。

业务自适应是指：根据业务的网络部署、数据流特点、实时资源占用、实时安全情况等因素，自动调整业务策略的动态平衡方式。

本申请实施例中提出一种数据脱敏与数据治理系统，数据脱敏与数据治理系统可以包括数据管理平台（也可以称为数据安全治理与数据脱敏平台）和数据管理客户端（也可以称为数据管理程序，简称agent）。其中，数据管理平台可以是独立设备，与业务系统部署在同一网段，或者，数据管理平台也可以通过软件形式部署在业务系统的已有设备（如物理服务器），对此不做限制，后续以数据管理平台是独立设备为例。数据管理客户端可以通过软件形式部署在业务系统的已有设备，关于数据管理客户端的部署位置，参见后续实施例。

在上述应用场景下，本申请实施例的技术方案，可以涉及以下过程：

1、基于数据资产在流转过程中对应的数据特征确定该数据资产是否存在安全风险。示例性的，针对流转过程中的数据资产，可以获取该数据资产在流转过程中对应的数据特征，并获取该数据资产对应的已配置的安全特征。在此基础上，可以基于该数据特征和该安全特征确定该数据资产是否存在安全风险。

比如说，可以在业务系统的链路节点处（如数据网关、安全网关等）部署数据管理客户端（也可以称为数据安全状态收集客户端，即数据安全状态收集程序，简称agent），由数据管理客户端监测流转过程中的数据资产，并采集该数据资产对应的数据特征，该数据特征可以包括但不限于以下至少一种：数据类型、数据大小、产生者标识、中间节点标识、目的地标识、操作者标识、操作事件类型、操作结果、操作时间、流量信息、通信协议等。当然，上述只是几个示例，对此数据特征不做限制。数据管理客户端在得到数据资产对应的数据特征之后，就可以将该数据资产对应的数据特征发送给数据管理平台。

数据管理平台在接收到数据资产对应的数据特征之后，可以对数据资产对应的所有数据特征进行整理（即编目和分级），比如说，基于所有数据资产对应的所有数据特征，从这些数据特征中找到同一数据资产对应的所有数据特征。针对同一数据资产对应的所有数据特征，可以是同一数据管理客户端针对该数据资产发送的不同时间段的多组数据特征，也可以是不同数据管理客户端针对该数据资产发送的多组数据特征，也就是说，可以对每个数据资产对应的所有数据特征进行整合，该数据资产对应的所有数据特征包括同一数据管理客户端发送的不同时间段的多组数据特征，不同数据管理客户端发送的多组数据特征。

比如说，针对流转过程中的数据资产（数据管理平台已经获知该数据资产对应的数据特征），数据管理平台还可以获取该数据资产对应的安全特征。例如，业务系统可以配置数据资产对应的安全特征（可以由用户配置各数据资产对应的安全特征，对此配置方式不做限制），针对流转过程中的数据资产，数据管理平台可以向业务系统发送针对该数据资产的请求消息，业务系统在接收到该请求消息之后，就可以将该数据资产对应的安全特征发送给数据管理平台。

数据资产对应的安全特征可以包括但不限于以下至少一种：数据资产对应的数据重要程度、数据资产对应的数据流通范围、数据资产对应的数据安全权限。当然，上述只是安全特征的几个示例，本实施例中对此不做限制。

其中，数据重要程度用于表示数据资产的重要程度，可以为A级、AA级、AAA级等，当然，上述只是数据重要程度的几个示例，还可以是AAAA级、AAAAA级等，对此不做限制，如数据资产对应的数据重要程度可以为AAA级。

为了确定数据资产对应的数据重要程度，可以配置数据资产对应的保密性、完整性和可用性。例如，数据资产对应的保密性可以分为1-5级，若数据资产对应的保密性要求越高则数字越大，即可以得到数据资产对应的保密性数值。数据资产对应的完整性可以分为1-5级，若数据资产对应的完整性要求越高则数字越大，即可以得到数据资产对应的完整性数值。数据资产对应的可用性可以分为1-5级，若数据资产对应的可用性要求越高则数字越大，即可以得到数据资产对应的可用性数值。基于数据资产对应的保密性数值、完整性数值和可用性数值（如定义身份证信息的保密性数值为5级、完整性数值为4级、可用性数值为5级），就可以计算出重要程度数值，如对保密性数值、完整性数值和可用性数值进行加权运算，得到重要程度数值。基于重要程度数值就可以确定该数据资产对应的数据重要程度，如重要程度数值处于第一区间，确定数据重要程度为A级，重要程度数值处于第二区间，确定数据重要程度为AA级，重要程度数值处于第三区间，确定数据重要程度为AAA级。第一区间、第二区间和第三区间为互相不重合的区间，可以根据经验配置，对此不做限制。

其中，数据流通范围用于表示数据资产允许的数据流通节点，即数据资产只能够在这些数据流通节点内流通，而不能在这些数据流通节点之外的其它节点流通，如数据资产对应的数据流通范围可以为节点L1、节点L2、…。

数据流通范围用于定义数据资产在哪些节点可以流通，数据流通范围还可以定义每个节点对该数据资产具有产生、存储、使用、销毁中的哪些操作权限，定义每个节点在安全状态达到什么程度时才能对该数据资产具有操作权限。

其中，数据安全权限用于表示数据资产允许的具有操作权限的角色，即数据资产只能够被这种角色的操作者进行操作，而不是被其它角色的操作者进行操作，如数据资产对应的数据安全权限可以为角色K1、角色K2、…。

数据安全权限用于定义哪些角色具有对数据资产的操作权限，数据安全权限还可以定义每个角色对该数据资产具有产生、存储、使用、销毁中的哪个操作权限，定义每个角色在通过什么身份鉴别方式后具备数据资产的操作权限。

综上所述，针对流转过程中的每个数据资产（以一个数据资产为例），数据管理平台可以获知该数据资产对应的数据特征和该数据资产对应的安全特征，继而基于该数据特征和该安全特征确定该数据资产是否存在安全风险。

比如说，基于该数据资产对应的数据特征确定该数据资产对应的操作事件信息、该数据资产对应的流转节点信息、该数据资产对应的操作角色信息。

其中，操作事件信息可以包括操作事件类型，除了操作事件类型，操作事件信息还可以包括操作结果、通信协议等，对此不做限制。由于数据特征可以包括操作事件类型、操作结果、通信协议等，因此，可以直接从该数据特征中解析出操作事件类型、操作结果、通信协议等操作事件信息，操作事件信息可以是多组数据特征中的操作事件类型、操作结果、通信协议。

其中，流转节点信息可以包括流转目的节点、流转源节点和流转中间节点，对此不做限制。由于数据特征包括产生者标识、中间节点标识、目的地标识，因此，可以从该数据特征中解析出产生者标识、中间节点标识、目的地标识，产生者标识对应的节点为流转目的节点或者流转源节点，中间节点标识对应的节点为流转中间节点，目的地标识对应的节点为流转目的节点或者流转源节点，因此，可以得到流转目的节点、流转源节点和流转中间节点。流转目的节点、流转源节点和流转中间节点可以是基于多组数据特征确定的流转节点。

其中，操作角色信息可以包括操作者的目标角色，除了目标角色，操作角色信息还可以包括操作事件类型，对此不做限制。由于数据特征可以包括操作事件类型，因此，直接从该数据特征中解析出操作事件类型。由于数据特征可以包括操作者标识，因此，从该数据特征中解析出操作者标识，而操作者标识就对应一个操作者，且可以获知该操作者的目标角色，如可以预先配置操作者标识与目标角色的映射关系，通过该操作者标识查询该映射关系，就可以获知该操作者的目标角色。综上所述，可以得到操作者的目标角色和操作事件类型，操作者的目标角色和操作事件类型可以是基于多组数据特征确定的。

比如说，假设数据资产对应的安全特征包括数据重要程度，那么，若该操作事件信息与该数据重要程度不匹配，则确定该数据资产存在安全风险，若该操作事件信息与该数据重要程度匹配，则确定该数据资产不存在安全风险。

或者，假设数据资产对应的安全特征包括数据流通范围，那么，若该流转节点信息与该数据流通范围不匹配，则确定该数据资产存在安全风险，若该流转节点信息与该数据流通范围匹配，则确定该数据资产不存在安全风险。

或者，假设数据资产对应的安全特征包括数据安全权限，那么，若该操作角色信息与该数据安全权限不匹配，则确定该数据资产存在安全风险，若该操作角色信息与该数据安全权限匹配，则确定该数据资产不存在安全风险。

或者，假设数据资产对应的安全特征包括数据重要程度、数据流通范围和数据安全权限，那么，若该操作事件信息与该数据重要程度不匹配、该流转节点信息与该数据流通范围不匹配、该操作角色信息与该数据安全权限不匹配中的至少一个成立，则确定该数据资产存在安全风险。若该操作事件信息与该数据重要程度匹配、且该流转节点信息与该数据流通范围匹配、且该操作角色信息与该数据安全权限匹配，则确定该数据资产不存在安全风险。

当然，上述只是几个示例，本实施例中对此不做限制。

为了确定操作事件信息与数据重要程度是否匹配，可以采用如下方式：

针对每种数据重要程度，可以预先定义该数据重要程度允许的操作事件类型，如A级的数据重要程度允许的操作事件类型为操作事件类型M1、操作事件类型M2、操作事件类型M3和操作事件类型M4，AA级的数据重要程度允许的操作事件类型为操作事件类型M1和操作事件类型M2，AAA级的数据重要程度允许的操作事件类型为操作事件类型M1，上述只是示例，对此不做限制。

显然，在确定数据资产对应的数据重要程度之后，就可以确定该数据重要程度允许的操作事件类型。又由于操作事件信息可以包括操作事件类型，因此，若该操作事件类型为该数据重要程度允许的操作事件类型，则确定该操作事件信息与该数据重要程度匹配，若该操作事件类型为该数据重要程度不允许的操作事件类型，则可以确定该操作事件信息与该数据重要程度不匹配。

针对每种数据重要程度，可以预先定义该数据重要程度允许的协议类型（即业务类型）和操作事件类型，如A级的数据重要程度允许协议N1下的操作事件类型M1、协议N1下的操作事件类型M2、协议N2下的操作事件类型M3、协议N2下的操作事件类型M4，AA级的数据重要程度允许协议N1下的操作事件类型M1、协议N2下的操作事件类型M3，AAA级的数据重要程度允许协议N1下的操作事件类型M1，上述只是几个示例，对此不做限制。

显然，在确定数据资产对应的数据重要程度之后，就可以确定该数据重要程度允许的协议类型和操作事件类型。又由于操作事件信息可以包括通信协议和操作事件类型，因此，若该通信协议和该操作事件类型为该数据重要程度允许的协议类型和操作事件类型，则可以确定该操作事件信息与该数据重要程度匹配，若该通信协议和该操作事件类型为该数据重要程度不允许的协议类型和操作事件类型，则可以确定该操作事件信息与该数据重要程度不匹配。

比如说，若数据资产对应的数据重要程度为AAA级，那么，若操作事件信息包括通信协议N1和操作事件类型M1，则该通信协议和该操作事件类型为AAA级允许的协议类型和操作事件类型。若操作事件信息包括通信协议N1和操作事件类型M2，或操作事件信息包括通信协议N2和操作事件类型M1，则该通信协议和该操作事件类型为AAA级不允许的协议类型和操作事件类型。

当然，上述只是确定操作事件信息与数据重要程度是否匹配的示例，对此不做限制，只要能够确定操作事件信息与数据重要程度是否匹配即可。

为了确定流转节点信息与数据流通范围是否匹配，可以采用如下方式：

针对数据资产对应的数据流通范围，该数据流通范围用于表示数据资产允许的数据流通节点，如节点L1、节点L2、…等。针对数据资产对应的流转节点信息，该流转节点信息可以包括流转目的节点、流转源节点和流转中间节点。

若流转目的节点、流转源节点和流转中间节点均为该数据流通范围允许的数据流通节点，则可以确定该流转节点信息与该数据流通范围匹配。若流转目的节点、流转源节点和流转中间节点中的至少一个为该数据流通范围不允许的数据流通节点，即流转目的节点、流转源节点和流转中间节点中的至少一个不位于该数据流通范围内，则确定该流转节点信息与该数据流通范围不匹配。

当然，上述只是确定流转节点信息与数据流通范围是否匹配的示例，对此不做限制，只要能够确定流转节点信息与数据流通范围是否匹配即可。

为了确定操作角色信息与数据安全权限是否匹配，可以采用如下方式：

针对数据资产对应的数据安全权限，该数据安全权限用于表示数据资产允许的具有操作权限的角色，如角色K1、角色K2、…等。针对数据资产对应的操作角色信息，该操作角色信息可以包括操作者的目标角色。

若操作者的目标角色为该数据安全权限允许的具有操作权限的角色，则可以确定该操作角色信息与该数据安全权限匹配。若操作者的目标角色为该数据安全权限不允许的具有操作权限的角色，即操作者的目标角色不位于该数据安全权限内，则可以确定该操作角色信息与该数据安全权限不匹配。

针对数据资产对应的数据安全权限，该数据安全权限用于表示每个角色对该数据资产具有哪种操作权限（如产生、存储、使用、销毁等），如角色K1对该数据资产具有操作事件类型M1的操作权限、角色K1对该数据资产具有操作事件类型M2的操作权限、角色K2对该数据资产具有操作事件类型M2的操作权限、…。针对数据资产对应的操作角色信息，该操作角色信息可以包括操作者的目标角色，除了目标角色，操作角色信息还可以包括操作事件类型。

若目标角色和该操作事件类型为该数据安全权限允许的角色和操作事件类型，即目标角色对该数据资产具有该操作事件类型的操作权限，则确定该操作角色信息与该数据安全权限匹配。若目标角色和该操作事件类型为该数据安全权限不允许的角色和操作事件类型，即目标角色对该数据资产不具有该操作事件类型的操作权限，则确定该操作角色信息与该数据安全权限不匹配。

比如说，若目标角色为角色K6，操作事件类型为操作事件类型M1，由于该数据安全权限允许的具有操作权限的角色未包括角色K6，因此，角色K6不具有操作事件类型M1的操作权限，即操作角色信息与数据安全权限不匹配。

又例如，若目标角色为角色K1，操作事件类型为操作事件类型M3，那么，基于该数据安全权限可知，角色K1对该数据资产不具有操作事件类型M3的操作权限，也就是说，可以确定操作角色信息与数据安全权限不匹配。

又例如，若目标角色为角色K1，操作事件类型为操作事件类型M1，那么，基于该数据安全权限可知，角色K1对该数据资产具有操作事件类型M1的操作权限，也就是说，可以确定操作角色信息与数据安全权限匹配。

当然，上述只是确定操作角色信息与数据安全权限是否匹配的示例，对此不做限制，只要能够确定操作角色信息与数据安全权限是否匹配即可。

2、针对存在安全风险的数据资产，数据管理平台可以基于该数据资产对应的数据画像确定该数据资产的安全状态，该安全状态为安全或者不安全。当然，针对不存在安全风险的数据资产，也可以基于该数据资产对应的数据画像确定该数据资产的安全状态，对此不做限制，后续以存在安全风险的数据资产为例。

比如说，针对存在安全风险的每个数据资产（以一个数据资产为例），可以获取该数据资产对应的数据画像，并基于该数据画像确定该数据资产的安全状态，也就是说，对数据资产建立动态数据画像，通过动态数据画像，对数据资产可能面临的风险进行智能分析识别和预警，实时描述数据资产的安全状态。

示例性的，数据资产对应的数据画像可以包括多个分类维度的画像实际特征，多个分类维度的画像实际特征可以包括以下画像实际特征的至少一种：

数据重要程度的分类维度，该分类维度的画像实际特征可以包括数据资产对应的操作事件信息，该操作事件信息可以包括操作事件类型，除了操作事件类型，操作事件信息还可以包括操作结果、通信协议等，对此不做限制。

数据流通范围的分类维度，该分类维度的画像实际特征可以包括数据资产对应的流转节点信息，该流转节点信息可以包括流转目的节点、流转源节点和流转中间节点，这些流转节点是数据资产流转过程中经过节点，对此不做限制。

数据安全权限的分类维度，该分类维度的画像实际特征可以包括数据资产对应的操作角色信息，该操作角色信息可以包括操作者的目标角色，除了目标角色，操作角色信息还可以包括操作事件类型，对此不做限制。

数据使用的分类维度，该分类维度的画像实际特征可以包括数据资产对应的实际使用频率和数据资产对应的实际使用范围。针对实际使用频率，表示一定时间范围内，该数据资产被请求的次数，即该数据资产的流转次数。针对实际使用范围，表示该数据资产被请求执行哪些操作，产生哪些操作结果。

数据流转的分类维度，该分类维度的画像实际特征可以包括数据资产对应的实际流转路径。针对实际流转路径，表示该数据资产在业务系统各节点中的流转路径，可以包括该数据资产对应的流量数据和协议数据对应的流转路径。

身份权限的分类维度，该分类维度的画像实际特征可以包括数据资产对应的实际身份权限状态。针对实际身份权限状态，可以包括但不限于以下至少一种：该数据资产在业务系统各节点中的系统层的安全状态和负载状态、内核层的安全状态和负载状态、应用层的安全状态和负载状态。针对实际身份权限状态，还可以包括请求该数据资产的角色的身份状态和权限状态等。

在一种可能的实施方式中，在得到该数据资产对应的数据画像之后，就可以基于该数据资产对应的数据画像确定该数据资产的安全状态，比如说，针对每个分类维度，可以基于该分类维度的画像实际特征与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数；基于多个分类维度对应的匹配分数确定该数据资产的安全状态分数；基于该安全状态分数确定该数据资产的安全状态。比如说，若安全状态分数大于预设阈值，则可以确定安全状态为安全，若安全状态分数不大于预设阈值，则可以确定安全状态为不安全。

假设多个分类维度同时包括数据重要程度的分类维度、数据流通范围的分类维度、数据安全权限的分类维度、数据使用的分类维度、数据流转的分类维度、身份权限的分类维度，那么，可以采用如下方式确定数据资产的安全状态。

针对数据重要程度的分类维度，可以基于该操作事件信息与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a1。该分类维度的已配置画像特征可以为数据资产对应的数据重要程度，若该操作事件信息与该数据重要程度不匹配，则确定匹配分数a1为第一取值，第一取值可以是比较小的数值，如0-50之间的任意数值，如0、10、20等，对此不做限制。若该操作事件信息与该数据重要程度匹配，则确定匹配分数a1为第二取值，第二取值可以是比较大的数值，如50-100之间的任意数值，如100、90、80等，对此不做限制。

针对数据流通范围的分类维度，可以基于该流转节点信息与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a2。该分类维度的已配置画像特征可以为数据资产对应的数据流通范围，若该流转节点信息与该数据流通范围不匹配，则确定匹配分数a2为第三取值，第三取值可以是比较小的数值，如0-50之间的任意数值，如10、20、30等，对此不做限制。若该流转节点信息与该数据流通范围匹配，则确定匹配分数a2为第四取值，第四取值可以是比较大的数值，如50-100之间的任意数值，如100、95、85等，对此不做限制。

针对数据安全权限的分类维度，可以基于该操作角色信息与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a3。该分类维度的已配置画像特征可以为数据资产对应的数据安全权限，若该操作角色信息与该数据安全权限不匹配，则确定匹配分数a3为第五取值，第五取值可以是比较小的数值，如0-50之间的任意数值，如0、5、10等，对此不做限制。若该操作角色信息与该数据安全权限匹配，则确定匹配分数a3为第六取值，第六取值可以是比较大的数值，如50-100之间的任意数值，如100、95、85等，对此不做限制。

针对数据使用的分类维度，可以基于该实际使用频率与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a4，并基于该实际使用范围与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a5。

比如说，该分类维度的已配置画像特征可以包括使用频率阈值，使用频率阈值只是已配置画像特征的示例，对此不做限制。若该实际使用频率大于该使用频率阈值，则表示数据资产被异常访问，即该实际使用频率与该使用频率阈值不匹配，确定匹配分数a4为比较小的数值，如0-50之间的任意数值。若该实际使用频率不大于该使用频率阈值，则表示该实际使用频率与该使用频率阈值匹配，确定匹配分数a4为比较大的数值，如50-100之间的任意数值。

比如说，该分类维度的已配置画像特征可以包括数据资产允许被执行的操作类型，若该实际使用范围不属于数据资产允许被执行的操作类型，则表示数据资产被异常访问，即该实际使用范围与该允许被执行的操作类型不匹配，确定匹配分数a5为比较小的数值，如0-50之间的任意数值。若该实际使用范围属于数据资产允许被执行的操作类型，则表示该实际使用范围与该允许被执行的操作类型匹配，确定匹配分数a5为比较大的数值，如50-100之间的任意数值。

针对数据流转的分类维度，可以基于该分类维度对应的实际流转路径与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a6。

比如说，该分类维度的已配置画像特征可以包括数据资产允许被流转的路径，若该实际流转路径不属于数据资产允许被流转的路径，则表示数据资产被异常访问，即该实际流转路径与该允许被流转的路径不匹配，确定匹配分数a6为比较小的数值，如0-50之间的任意数值。若该实际流转路径属于数据资产允许被流转的路径，则表示该实际流转路径与该允许被流转的路径匹配，确定匹配分数a6为比较大的数值，如50-100之间的任意数值。

针对身份权限的分类维度，可以基于该分类维度对应的实际身份权限状态与该分类维度的已配置画像特征，确定该分类维度对应的匹配分数a7。

比如说，该分类维度的已配置画像特征可以包括数据资产允许的身份权限状态（表示这种身份权限状态下能够访问该数据资产），若该实际身份权限状态不属于数据资产允许的身份权限状态，则表示数据资产被异常访问，即该实际身份权限状态与数据资产允许的身份权限状态不匹配，确定匹配分数a7为比较小的数值，如0-50之间的任意数值。若该实际身份权限状态属于数据资产允许的身份权限状态，则表示该实际身份权限状态与数据资产允许的身份权限状态匹配，确定匹配分数a7为比较大的数值，如50-100之间的任意数值。

综上所述，可以得到数据重要程度的分类维度对应的匹配分数a1、数据流通范围的分类维度对应的匹配分数a2、数据安全权限的分类维度对应的匹配分数a3、数据使用的分类维度对应的匹配分数a4和匹配分数a5、数据流转的分类维度对应的匹配分数a6、身份权限的分类维度对应的匹配分数a7，然后，可以基于匹配分数a1、匹配分数a2、匹配分数a3、匹配分数a4、匹配分数a5、匹配分数a6和匹配分数a7确定该数据资产的安全状态分数，比如说，可以对匹配分数a1、匹配分数a2、匹配分数a3、匹配分数a4、匹配分数a5、匹配分数a6和匹配分数a7进行加权运算，得到该数据资产的安全状态分数。

例如，可以基于如下公式确定该数据资产的安全状态分数：

b=a1*w1+ a2*w2+ a3*w3+ a4*w4+ a5*w5+ a6*w6+ a7*w7。

在上述公式中，b表示安全状态分数，w1表示数据重要程度的分类维度对应的权重，w2表示数据流通范围的分类维度对应的权重，w3表示数据安全权限的分类维度对应的权重，w4和w5表示数据使用的分类维度对应的权重，w6表示数据流转的分类维度对应的权重，w7表示身份权限的分类维度对应的权重。

w1、w2、w3、w4、w5、w6和w7均可以根据经验配置，对此不做限制，在一种可能的实施方式中，w1、w2、w3、w4、w5、w6与w7之和可以为1。

在得到数据资产的安全状态分数之后，就可以基于该安全状态分数确定该数据资产的安全状态。比如说，若安全状态分数大于预设阈值（可以根据经验配置，如0-100之间的数值，如80、90等，对此不做限制），则可以确定安全状态为安全，若安全状态分数不大于预设阈值，则可以确定安全状态为不安全。

综上所述，通过动态数据画像，可以将数据资产的实际状态（如操作事件信息、流转节点信息、操作角色信息、实际使用频率、实际使用范围、实际流转路径、实际身份权限状态）与数据资产的已配置画像特征（可以根据经验配置，类似于预设规则白名单）进行对比，若某一项不一致或超出阈值范围，则说明该数据资产面临某一类型的风险，对该风险进行分析识别和预警。

3、针对安全状态为不安全的数据资产，数据管理平台还可以对该数据资产进行数据保护。当然，针对安全状态为安全的数据资产，数据管理平台也可以对该数据资产进行数据保护，对此不做限制，后续以不安全的数据资产为例。

示例性的，针对安全状态为不安全的数据资产，数据管理平台可以控制不流转这个数据资产，或控制不在某些节点之间流转这个数据资产，对此不做限制，只要能够对该数据资产进行数据保护，避免数据资产被非法获取即可。

在一种可能的实施方式中，数据管理平台还可以将该数据资产对应的数据画像输入给已训练的机器学习模型，由机器学习模型输出该数据资产对应的保护方式，数据管理平台基于这个保护方式对该数据资产进行数据保护。

示例性的，数据管理平台可以获取数据资产对应的数据画像和数据状态，使用机器学习技术进行态势感知分析，并联动威胁检测和分析、应急响应、风险自修复等步骤，优化数据管理策略，对数据全生命周期进行管理。

通过使用机器学习技术，对数据资产、业务系统、用户角色进行风险态势感知分析，训练模型规则可以是内部模拟或真实的风险事件，也可以是互联网中实时已披露的网络安全漏洞和风险，最终联动威胁深度检测和分析、设置威胁应急响应自动处置策略，下发安全补丁给业务系统中各agent进行修复和处置，降低业务系统中各数据全生命周期各阶段面临的安全风险。

4、针对存储过程中的数据资产（即需要在业务系统的数据库中存储的数据资产），可以对该数据资产进行加密存储。示例性的，针对存储过程中的数据资产，可以根据该数据资产对应的存储特征确定该数据资产对应的加密方式，并基于该加密方式对该数据资产进行加密，并存储加密后的数据资产。

比如说，可以在业务系统的数据库的前一级节点部署数据管理客户端（也可以称为数据存储客户端，即数据存储程序，简称agent），在前一级节点将数据资产存储到数据库之前，可以由数据管理客户端根据该数据资产对应的存储特征确定该数据资产对应的加密方式，并基于该加密方式对该数据资产进行加密。这样，数据库的前一级节点可以将加密后的数据资产存储到数据库。

示例性的，该存储特征可以包括该数据资产对应的数据量大小和/或数据敏感程度，该加密方式可以包括安全密码卡、CPU加密引擎、软件加密库。

例如，若该数据资产对应的数据量大小表示该数据资产的数据量较大，如数据量大小大于预设阈值，则该数据资产对应的加密方式为安全密码卡或CPU加密引擎。若该数据资产对应的数据量大小表示该数据资产的数据量较小，如数据量大小不大于预设阈值，则该数据资产对应的加密方式为软件加密库。

若该数据资产对应的数据敏感程度表示该数据资产的敏感程度较高，如数据敏感程度为最高级别，则该数据资产对应的加密方式为安全密码卡。若该数据资产对应的数据敏感程度表示该数据资产的敏感程度适中，如数据敏感程度为中间级别（除最高级别和最低级别），则该数据资产对应的加密方式为CPU加密引擎。若该数据资产对应的数据敏感程度表示该数据资产的敏感程度较低，如数据敏感程度为最低级别，则该数据资产对应的加密方式为软件加密库。

若该数据资产对应的数据量大小表示该数据资产的数据量较大，且该数据资产对应的数据敏感程度表示该数据资产的敏感程度较高，则该数据资产对应的加密方式为安全密码卡。若该数据资产对应的数据量大小表示该数据资产的数据量较大，且该数据资产对应的数据敏感程度表示该数据资产的敏感程度适中，则该数据资产对应的加密方式为CPU加密引擎。若该数据资产对应的数据量大小表示该数据资产的数据量较小，且该数据资产对应的数据敏感程度表示该数据资产的敏感程度较低，则该数据资产对应的加密方式为软件加密库。

当然，上述只是确定加密方式的几个示例，对此确定方式不做限制。

示例性的，在基于该加密方式对该数据资产进行加密时，整个加密过程可以在TEE可信执行环境下执行，确保执行中间结果数据不被非法人员获知，加密所使用的密钥数据可以由KMS云密钥管理系统集群管理和可信分发。

5、针对流转过程中的数据资产（即需要在业务系统的不同节点之间传输的数据资产），可以对该数据资产进行安全传输。示例性的，在该数据资产从一个安全域流转到另一个安全域时，可以为该数据资产嵌入数字水印，并流转嵌入数字水印的数据资产。或者，在该数据资产从一个安全域流转到另一个安全域时，可以采用目标加密算法对该数据资产进行加密，并流转加密后的数据资产。或者，在该数据资产从一个安全域流转到另一个安全域时，可以为该数据资产嵌入数字水印，并采用目标加密算法对该数据资产进行加密，这样，可以流转加密后的数据资产，且该加密后的数据资产被嵌入数字水印。

示例性的，可以将业务系统中的所有节点划分到不同安全域，每个安全域内可以包括一个或者多个节点，不同安全域的安全级别可以不同。比如说，以1-5级的安全域为例，那么，可以将业务系统中的所有节点划分到安全域1、安全域2、安全域3、安全域4和安全域5，安全域1的安全级别为1级，表示安全域1的安全级别最低，安全域2的安全级别为2级，安全域3的安全级别为3级，安全域4的安全级别为4级，安全域5的安全级别为5级，表示安全域5的安全级别最高，显然，在数值越大时，表示安全域的安全级别越高。

示例性的，当数据资产在同一级别的安全域内的不同节点之间流转时，数据资产不易发生安全风险，当数据资产在高安全级别的安全域内的不同节点之间流转时，数据资产不易发生安全风险，当数据资产在低安全级别的安全域内的不同节点之间流转时，数据资产容易发生安全风险。当数据资产从高安全级别的安全域流转到低安全级别的安全域时，数据资产容易发生安全风险。因此，在数据资产从一个安全域流转到另一个安全域时，如从高安全级别的安全域流转到低安全级别的安全域时，就可以对数据资产进行加密和/或嵌入数字水印，从而减轻数据资产的安全风险，避免或减轻数据资产在跨安全域的安全风险。

比如说，可以在业务系统的处于安全域边缘的节点部署数据管理客户端（也可以称为数据加密客户端，即数据加密程序，简称agent），在数据资产从一个安全域流转到另一个安全域时，当数据资产到达安全域边缘的节点后，由数据管理客户端对数据资产进行加密和/或嵌入数字水印，并流转处理后的数据资产。

比如说，在数据资产从一个安全域流转到另一个安全域时，可以为该数据资产嵌入数字水印，如在应用层嵌入数字水印，该数字水印包括数据资产在流转过程中对应的数据特征，如数据类型、数据大小、产生者标识、中间节点标识、目的地标识、操作者标识、操作事件类型、操作结果、操作时间、流量信息、通信协议等，对此数据特征不做限制，并流转嵌入数字水印的数据资产。

在数据资产跨多个安全域流转时，则数字水印将会叠加，比如说，在从安全域5流转到安全域4时，会添加安全域5对应的数字水印，在从安全域4流转到安全域3时，会添加安全域4对应的数字水印，以此类推。

显然，通过在数据资产中嵌入数字水印，可以便于审计和追溯，也就是说，在审计过程中，可以追溯到该数据资产的完整流转路径和请求信息。

比如说，在数据资产从一个安全域流转到另一个安全域时，可以采用目标加密算法对该数据资产进行加密，并流转加密后的数据资产，如采用SM1（对称加密）、SM2（非对称加密）、SM3（消息摘要）、SM4（分组数据算法）、或者TLS等加密算法，对数据资产进行加密，从而根据业务场景将通信链路在传输层加固为安全通信链路，保证数据资产跨安全域流通时的保密性和完整性。

在数据资产跨多个安全域流转时，可以只进行一次加密，比如说，在从安全域5流转到安全域4时，会采用目标加密算法对该数据资产进行加密，在从安全域4流转到安全域3时，不再对该数据资产进行加密。

6、针对流转过程中的数据资产（即需要在业务系统的不同节点之间传输的数据资产），可以对该数据资产进行脱敏传输。示例性的，针对流转过程中的数据资产，在该数据资产从高级别安全域流转到低级别安全域时，可以根据该数据资产对应的业务特征确定该数据资产对应的目标脱敏方式，并基于目标脱敏方式对该数据资产进行脱敏，并流转脱敏后的数据资产。

示例性的，可以将业务系统中的所有节点划分到不同安全域，以1-5级的安全域为例，可以将业务系统中的所有节点划分到安全域1、安全域2、安全域3、安全域4和安全域5，安全域1的安全级别最低，安全域5的安全级别最高。

示例性的，当数据资产从高安全级别的安全域流转到低安全级别的安全域时，数据资产容易发生安全风险，因此，在数据资产从高级别安全域流转到低级别安全域时，根据数据资产对应的业务特征确定该数据资产对应的目标脱敏方式，并基于目标脱敏方式对数据资产进行脱敏，并流转脱敏后的数据资产，从而减轻数据资产的安全风险，避免或减轻数据资产在跨安全域的安全风险。

比如说，可以在业务系统的处于安全域边缘的节点部署数据管理客户端（也可以称为数据脱敏客户端，即数据脱敏程序，简称agent），在数据资产从高级别安全域流转到低级别安全域时，当数据资产到达安全域边缘的节点后，由数据管理客户端对数据资产进行脱敏，并流转脱敏后的数据资产。

示例性的，业务特征可以包括但不限于：业务场景、安全状态、身份权限、负载状态等。目标脱敏方式可以包括但不限于静态脱敏方式和/或动态脱敏方式。静态脱敏方式可以包括以下至少一种差分隐私方式、K匿名方式、FPE方式。动态脱敏方式可以包括但不限于：SQL语句改写方式和/或结果集改写方式。

比如说，可以根据业务场景确定采用静态脱敏方式还是动态脱敏方式。若业务场景表示针对数据资产的操作请求是静态操作请求，如业务场景表示将数据资产离线批量导入机器学习模型，则针对数据资产的操作请求是静态操作请求，因此，可以确定针对数据资产采用静态脱敏方式。若业务场景表示针对数据资产的操作请求是动态操作请求，如业务场景表示在业务系统之间动态流转数据资产，或WEB平台实时请求数据资产，则针对数据资产的操作请求是动态操作请求，因此，可以确定针对数据资产采用动态脱敏方式。

在针对数据资产采用静态脱敏方式时，还可以基于安全状态、身份权限、负载状态等，确定目标脱敏方式是差分隐私方式，还是K匿名方式，还是FPE方式。比如说，若负载状态表示负载较轻，如负载数据（如CPU、内存、磁盘、进程列表、流量信息等）小于第一负载阈值，则确定目标脱敏方式是差分隐私方式。若负载状态表示负载较重，如负载数据大于第二负载阈值，则确定目标脱敏方式是FPE方式。若负载数据位于第一负载阈值与第二负载阈值之间，则确定目标脱敏方式是K匿名方式。当然，上述只是基于负载状态确定静态脱敏方式的示例，对此不做限制，只要基于负载状态能够确定静态脱敏方式即可。

比如说，若安全状态（如系统层、内核层、应用层的安全状态）表示安全性较差，如安全性能数据小于第一安全阈值，则确定目标脱敏方式是差分隐私方式。若安全状态表示安全性较好，如安全性能数据大于第二安全阈值，则确定目标脱敏方式是FPE方式。若安全状态表示安全性适中，如安全性能数据位于第一安全阈值与第二安全阈值之间，则确定目标脱敏方式是K匿名方式。当然，上述只是基于安全状态确定静态脱敏方式的示例，对此不做限制。

比如说，若身份权限表示身份等级低，如身份等级小于第一等级阈值，则确定目标脱敏方式是差分隐私方式。若身份权限表示身份等级高，如身份等级大于第二等级阈值，则确定目标脱敏方式是FPE方式。若身份权限表示身份等级适中，如身份等级位于第一等级阈值与第二等级阈值之间，则确定目标脱敏方式是K匿名方式。当然，上述只是基于身份权限确定静态脱敏方式的示例，对此不做限制，只要基于身份权限能够确定静态脱敏方式即可。

当然，上述只是确定静态脱敏方式的几个示例，对此确定方式不做限制。

在针对数据资产采用动态脱敏方式时，还可以基于安全状态、身份权限、负载状态等，确定目标脱敏方式是SQL语句改写方式和/或结果集改写方式。

比如说，若负载状态表示负载较轻，如负载数据小于负载阈值，则确定目标脱敏方式是SQL语句改写方式和结果集改写方式，即同时采用SQL语句改写方式和结果集改写方式进行脱敏。若负载状态表示负载较重，如负载数据不小于负载阈值，则确定目标脱敏方式是SQL语句改写方式或者结果集改写方式。当然，上述只是基于负载状态确定动态脱敏方式的示例，对此不做限制。

比如说，若安全状态表示安全性较差，如安全性能数据小于安全阈值，则确定目标脱敏方式是SQL语句改写方式和结果集改写方式。若安全状态表示安全性较好，如安全性能数据不小于安全阈值，则确定目标脱敏方式是SQL语句改写方式或者结果集改写方式。当然，上述只是示例，对此不做限制。

比如说，若身份权限表示身份等级低，如身份等级小于等级阈值，则确定目标脱敏方式是SQL语句改写方式和结果集改写方式。若身份权限表示身份等级高，如身份等级大于等级阈值，则确定目标脱敏方式是SQL语句改写方式或者结果集改写方式。当然，上述只是示例，对此不做限制。

当然，上述只是确定静态脱敏方式的几个示例，对此确定方式不做限制。

由以上技术方案可见，本申请实施例中，针对流转过程中的数据资产，可以基于数据资产对应的数据特征和安全特征确定该数据资产是否存在安全风险，若是，则基于数据资产对应的数据画像确定数据资产的安全状态，若安全状态为不安全，则对数据资产进行数据保护，从而能够对不安全的数据资产进行数据保护，避免敏感数据资产的泄漏风险，保证数据资产的安全性。将业务系统中流转的数据资产，从数据产生、存储、流转、使用、销毁等角度进行全生命周期的管理和治理，保证数据资产的安全性，避免数据资产的损失。

可以对数据资产进行编目和分类分级，并建立动态数据画像，进行异常事件预警，联动后续数据处理策略。动态识别业务系统各节点实时安全状态、具备的角色和操作权限，并结合被请求数据资产分级和已知风险，动态制定脱敏策略（如差分隐私，K匿名，FPE、SQL改写、结果集改写等）和脱敏部署方式（如链路层代理、应用层代理等）。从数据生命周期各个维度，实时展示和检测业务系统全部类型数据流实时状态，使用机器学习技术进行数据态势感知分析，并联动威胁检测和分析、应急响应，优化数据检测策略。能够对脱敏效果进行自动化或人工审计，产生告警信息并记录审计日志。将各类型数据打标后，根据编目、类别、级别，限制数据的可流通范围、权限、脱敏策略、监管策略等。动态识别数据请求方和数据提供方的安全状态，并结合数据分类分级、操作权限、运行环境、业务数据流转特点等因素，动态调整数据脱敏策略。对业务系统中敏感业务操作日志进行审计和预警，最终对数据各阶段治理的实施情况进行大屏展示、态势感知、策略优化、自动化运维等。

基于与上述方法同样的申请构思，本申请实施例中提出一种业务自适应的数据治理装置，参见图2所示，为所述装置的结构示意图，所述装置可以包括：

获取模块201，用于获取数据资产在流转过程中对应的数据特征；

所述获取模块201，还用于获取所述数据资产对应的已配置的安全特征；

确定模块202，用于基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险；如果是，则获取所述数据资产对应的数据画像，基于所述数据画像确定所述数据资产的安全状态；其中，所述安全状态为安全或者不安全；

处理模块203，用于若安全状态为不安全，对所述数据资产进行数据保护。

示例性的，所述安全特征包括数据重要程度、数据流通范围、数据安全权限；所述确定模块202基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险时具体用于：基于所述数据特征确定所述数据资产对应的操作事件信息；基于所述数据特征确定所述数据资产对应的流转节点信息；基于所述数据特征确定所述数据资产对应的操作角色信息；若所述操作事件信息与所述数据重要程度不匹配、所述流转节点信息与所述数据流通范围不匹配、所述操作角色信息与所述数据安全权限不匹配中的至少一个成立，则确定所述数据资产存在安全风险；否则，确定所述数据资产不存在安全风险。

示例性的，所述确定模块202还用于：所述操作事件信息包括操作事件类型，若所述操作事件类型为所述数据重要程度允许的操作事件类型，则确定所述操作事件信息与所述数据重要程度匹配，否则，确定所述操作事件信息与所述数据重要程度不匹配；所述流转节点信息包括流转目的节点、流转源节点和流转中间节点，若所述流转目的节点、所述流转源节点和所述流转中间节点为所述数据流通范围允许的数据流通节点，则确定所述流转节点信息与所述数据流通范围匹配，否则，确定所述流转节点信息与所述数据流通范围不匹配；所述操作角色信息包括操作者的目标角色，若所述目标角色为所述数据安全权限允许的具有操作权限的角色，则确定所述操作角色信息与所述数据安全权限匹配，否则，确定所述操作角色信息与所述数据安全权限不匹配。

示例性的，数据画像包括多个分类维度的画像实际特征，所述确定模块202基于数据画像确定数据资产的安全状态时具体用于：针对每个分类维度，基于所述分类维度的画像实际特征与所述分类维度的已配置画像特征，确定所述分类维度对应的匹配分数；基于所述多个分类维度对应的匹配分数确定所述数据资产的安全状态分数；基于所述安全状态分数确定所述数据资产的安全状态。

示例性的，所述多个分类维度的画像实际特征还包括以下至少两种：数据资产对应的操作事件信息；数据资产对应的流转节点信息；数据资产对应的操作角色信息；数据资产对应的实际使用频率；数据资产对应的实际使用范围；数据资产对应的实际流转路径；数据资产对应的实际身份权限状态。

示例性的，针对存储过程中的数据资产，所述处理模块203，还用于根据数据资产对应的存储特征确定加密方式；基于所述加密方式对数据资产进行加密，存储加密后的数据资产；所述存储特征包括数据量大小和/或数据敏感程度；所述加密方式包括以下至少一种：安全密码卡、CPU加密引擎、软件加密库。

示例性的，针对流转过程中的数据资产，所述处理模块203，还用于在所述数据资产从一个安全域流转到另一个安全域时，为所述数据资产嵌入数字水印，所述数字水印包括数据资产在流转过程中对应的数据特征；和/或，采用目标加密算法对所述数据资产进行加密，并流转加密后的数据资产。

示例性的，针对流转过程中的数据资产，所述处理模块203，还用于在数据资产从高级别安全域流转到低级别安全域时，根据数据资产对应的业务特征确定所述数据资产对应的目标脱敏方式；基于目标脱敏方式对所述数据资产进行脱敏，流转脱敏后的数据资产；所述业务特征包括以下至少一种：业务场景、安全状态、身份权限、负载状态；目标脱敏方式包括静态脱敏方式和/或动态脱敏方式；所述静态脱敏方式包括以下至少一种：差分隐私方式、K匿名方式、FPE方式；所述动态脱敏方式包括：SQL语句改写方式和/或结果集改写方式。

基于与上述方法同样的申请构思，本申请实施例中提出一种电子设备（如上述数据管理平台），参见图3所示，电子设备包括处理器31和机器可读存储介质32，机器可读存储介质32存储有能够被处理器31执行的机器可执行指令；处理器31用于执行机器可执行指令，以实现本申请上述示例的业务自适应的数据治理方法。

基于与上述方法同样的申请构思，本申请实施例还提供一种机器可读存储介质，所述机器可读存储介质上存储有若干计算机指令，所述计算机指令被处理器执行时，能够实现本申请上述示例公开的业务自适应的数据治理方法。

其中，上述机器可读存储介质可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM（Radom Access Memory，随机存取存储器）、易失存储器、非易失性存储器、闪存、存储驱动器（如硬盘驱动器）、固态硬盘、任何类型的存储盘（如光盘、dvd等），或者类似的存储介质，或者它们的组合。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (11)

1.一种业务自适应的数据治理方法，其特征在于，所述方法包括：

获取数据资产在流转过程中对应的数据特征；所述数据特征包括：数据类型、数据大小、产生者标识、中间节点标识、目的地标识、操作者标识、操作事件类型、操作结果、操作时间、流量信息、通信协议；

获取所述数据资产对应的已配置的安全特征；所述安全特征包括数据重要程度、数据流通范围、数据安全权限；其中，所述数据重要程度用于表示数据资产的重要程度，所述数据流通范围用于表示数据资产允许的数据流通节点，所述数据安全权限用于表示数据资产允许的具有操作权限的角色；其中，预先为每个数据资产配置安全特征；

基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险；

如果是，则获取所述数据资产对应的数据画像，基于所述数据画像确定所述数据资产的安全状态；其中，所述安全状态为安全或者不安全；

若所述安全状态为不安全，则对所述数据资产进行数据保护；

其中，针对流转过程中的数据资产，在所述数据资产从一个安全域流转到另一个安全域时，为所述数据资产嵌入数字水印，所述数字水印包括数据资产在流转过程中对应的数据特征。

2.根据权利要求1所述的方法，其特征在于，所述基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险，包括：

基于所述数据特征确定所述数据资产对应的操作事件信息；

基于所述数据特征确定所述数据资产对应的流转节点信息；

基于所述数据特征确定所述数据资产对应的操作角色信息；

若所述操作事件信息与所述数据重要程度不匹配、所述流转节点信息与所述数据流通范围不匹配、所述操作角色信息与所述数据安全权限不匹配中的至少一个成立，则确定所述数据资产存在安全风险；

否则，确定所述数据资产不存在安全风险。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

所述操作事件信息包括操作事件类型，若所述操作事件类型为所述数据重要程度允许的操作事件类型，则确定所述操作事件信息与所述数据重要程度匹配，否则，确定所述操作事件信息与所述数据重要程度不匹配；

所述流转节点信息包括流转目的节点、流转源节点和流转中间节点，若所述流转目的节点、所述流转源节点和所述流转中间节点为所述数据流通范围允许的数据流通节点，则确定所述流转节点信息与所述数据流通范围匹配，否则，确定所述流转节点信息与所述数据流通范围不匹配；

所述操作角色信息包括操作者的目标角色，若所述目标角色为所述数据安全权限允许的具有操作权限的角色，则确定所述操作角色信息与所述数据安全权限匹配，否则，确定所述操作角色信息与所述数据安全权限不匹配。

4.根据权利要求1-3任一项所述的方法，其特征在于，

所述数据画像包括多个分类维度的画像实际特征；

所述基于所述数据画像确定所述数据资产的安全状态，包括：

针对每个分类维度，基于所述分类维度的画像实际特征与所述分类维度的已配置画像特征，确定所述分类维度对应的匹配分数；

基于所述多个分类维度对应的匹配分数确定所述数据资产的安全状态分数；

基于所述安全状态分数确定所述数据资产的安全状态。

5.根据权利要求4所述的方法，其特征在于，所述多个分类维度的画像实际特征还包括以下至少两种：所述数据资产对应的操作事件信息；所述数据资产对应的流转节点信息；所述数据资产对应的操作角色信息；所述数据资产对应的实际使用频率；所述数据资产对应的实际使用范围；所述数据资产对应的实际流转路径；所述数据资产对应的实际身份权限状态。

6.根据权利要求1所述的方法，其特征在于，

针对存储过程中的数据资产，所述方法还包括：

根据所述数据资产对应的存储特征确定所述数据资产对应的加密方式；

基于所述加密方式对所述数据资产进行加密，并存储加密后的数据资产；

其中，所述存储特征包括数据量大小和/或数据敏感程度；所述加密方式包括以下至少一种：安全密码卡、CPU加密引擎、软件加密库。

7.根据权利要求1所述的方法，其特征在于，

针对流转过程中的数据资产，所述方法还包括：

在所述数据资产从一个安全域流转到另一个安全域时，采用目标加密算法对所述数据资产进行加密，并流转加密后的数据资产。

8.根据权利要求1所述的方法，其特征在于，

针对流转过程中的数据资产，所述方法还包括：

在所述数据资产从高级别安全域流转到低级别安全域时，根据所述数据资产对应的业务特征确定所述数据资产对应的目标脱敏方式；

基于所述目标脱敏方式对所述数据资产进行脱敏，流转脱敏后的数据资产；

其中，所述业务特征包括以下至少一种：业务场景、安全状态、身份权限、负载状态；所述目标脱敏方式包括静态脱敏方式和/或动态脱敏方式；所述静态脱敏方式包括以下至少一种：差分隐私方式、K匿名方式、FPE方式；所述动态脱敏方式包括：SQL语句改写方式和/或结果集改写方式。

9.一种业务自适应的数据治理装置，其特征在于，所述装置包括：

获取模块，用于获取数据资产在流转过程中对应的数据特征；所述数据特征包括：数据类型、数据大小、产生者标识、中间节点标识、目的地标识、操作者标识、操作事件类型、操作结果、操作时间、流量信息、通信协议；

所述获取模块，还用于获取所述数据资产对应的已配置的安全特征；所述安全特征包括数据重要程度、数据流通范围、数据安全权限；其中，所述数据重要程度用于表示数据资产的重要程度，所述数据流通范围用于表示数据资产允许的数据流通节点，所述数据安全权限用于表示数据资产允许的具有操作权限的角色；其中，预先为每个数据资产配置安全特征；

确定模块，用于基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险；如果是，则获取所述数据资产对应的数据画像，基于所述数据画像确定所述数据资产的安全状态；其中，所述安全状态为安全或者不安全；

处理模块，用于若所述安全状态为不安全，对所述数据资产进行数据保护；

其中，针对流转过程中的数据资产，所述处理模块，还用于在所述数据资产从一个安全域流转到另一个安全域时，为所述数据资产嵌入数字水印，所述数字水印包括数据资产在流转过程中对应的数据特征。

10.根据权利要求9所述的装置，其特征在于，

其中，所述确定模块基于所述数据特征和所述安全特征确定所述数据资产是否存在安全风险时具体用于：基于所述数据特征确定所述数据资产对应的操作事件信息；基于所述数据特征确定所述数据资产对应的流转节点信息；基于所述数据特征确定所述数据资产对应的操作角色信息；若所述操作事件信息与所述数据重要程度不匹配、所述流转节点信息与所述数据流通范围不匹配、所述操作角色信息与所述数据安全权限不匹配中的至少一个成立，则确定所述数据资产存在安全风险；否则，确定所述数据资产不存在安全风险；

其中，所述确定模块还用于：所述操作事件信息包括操作事件类型，若所述操作事件类型为所述数据重要程度允许的操作事件类型，则确定所述操作事件信息与所述数据重要程度匹配，否则，确定所述操作事件信息与所述数据重要程度不匹配；所述流转节点信息包括流转目的节点、流转源节点和流转中间节点，若所述流转目的节点、所述流转源节点和所述流转中间节点为所述数据流通范围允许的数据流通节点，则确定所述流转节点信息与所述数据流通范围匹配，否则，确定所述流转节点信息与所述数据流通范围不匹配；所述操作角色信息包括操作者的目标角色，若所述目标角色为所述数据安全权限允许的具有操作权限的角色，则确定所述操作角色信息与所述数据安全权限匹配，否则，确定所述操作角色信息与所述数据安全权限不匹配；

其中，所述数据画像包括多个分类维度的画像实际特征，所述确定模块基于所述数据画像确定数据资产的安全状态时具体用于：针对每个分类维度，基于所述分类维度的画像实际特征与所述分类维度的已配置画像特征，确定所述分类维度对应的匹配分数；基于所述多个分类维度对应的匹配分数确定所述数据资产的安全状态分数；基于所述安全状态分数确定所述数据资产的安全状态；

其中，所述多个分类维度的画像实际特征还包括以下至少两种：数据资产对应的操作事件信息；数据资产对应的流转节点信息；数据资产对应的操作角色信息；数据资产对应的实际使用频率；数据资产对应的实际使用范围；数据资产对应的实际流转路径；数据资产对应的实际身份权限状态；

其中，针对存储过程中的数据资产，所述处理模块，还用于根据所述数据资产对应的存储特征确定加密方式；基于所述加密方式对所述数据资产进行加密，存储加密后的数据资产；所述存储特征包括数据量大小和/或数据敏感程度；所述加密方式包括以下至少一种：安全密码卡、CPU加密引擎、软件加密库；

其中，针对流转过程中的数据资产，所述处理模块，还用于采用目标加密算法对所述数据资产进行加密，并流转加密后的数据资产；

其中，针对流转过程中的数据资产，所述处理模块，还用于在所述数据资产从高级别安全域流转到低级别安全域时，根据所述数据资产对应的业务特征确定所述数据资产对应的目标脱敏方式；基于目标脱敏方式对所述数据资产进行脱敏，流转脱敏后的数据资产；所述业务特征包括以下至少一种：业务场景、安全状态、身份权限、负载状态；目标脱敏方式包括静态脱敏方式和/或动态脱敏方式；所述静态脱敏方式包括以下至少一种：差分隐私方式、K匿名方式、FPE方式；所述动态脱敏方式包括：SQL语句改写方式和/或结果集改写方式。

11.一种电子设备，其特征在于，包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；所述处理器用于执行机器可执行指令，以实现权利要求1-8任一所述的方法步骤。

Images