CN115913726A - 一种企业网络数据安全管理方法及系统 - Google Patents

Abstract

本发明涉及企业网络数据安全技术领域，特别涉及一种企业网络数据安全管理方法及系统，其中方法包括：获取企业内员工的动态数据；基于所述动态数据，构建信息安全库；基于所述信息安全库，确定针对外网访问是否构建安全中转站；当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据。本发明的企业网络数据安全管理方法，通过基于员工的动态数据构建的信息安全库，触发构建安全中转站，以此隔离外网访问内网数据的直接威胁，提高了内网数据的安全性。

Description

一种企业网络数据安全管理方法及系统

技术领域

本发明涉及企业网络数据安全技术领域，特别涉及一种企业网络数据安全管理方法及系统。

背景技术

随着计算机信息技术的发展，大部分企业已经实现了办公自动化，正逐渐向生产自动化发展；在发展过程中，企业的信息安全尤为重要。现有企业的网络构建通常为企业内部架设局域网，通过权限的方式许可外网访问；但是当员工因特殊原因(例如：出差等)无法在企业内进行企业内数据的访问，需要从外网访问内网数据时，这就给危险以可乘之机，如何保证外网访问内网数据时的企业的信息安全是亟需解决的技术问题。

发明内容

本发明目的之一在于提供了一种企业网络数据安全管理方法，通过基于员工的动态数据构建的信息安全库，触发构建安全中转站，以此隔离外网访问内网数据的直接威胁，提高了内网数据的安全性。

本发明实施例提供的一种企业网络数据安全管理方法，包括：

获取企业内员工的动态数据；

基于所述动态数据，构建信息安全库；

基于所述信息安全库，确定针对外网访问是否构建安全中转站；

当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据。

优选的，所述基于所述动态数据，构建信息安全库，包括：

解析所述动态数据，确定员工的动向分类是否为触发类型；

当为触发类型时，确定对应的安全位置和/或安全访问设备信息；

将所述员工作为所述信息安全库中触发人员；

将所述安全位置和/或安全访问设备信息，作为触发判定条件。

优选的，所述基于所述信息安全库，确定针对外网访问是否构建安全中转站，包括：

解析所述外网访问，确定访问人员的识别信息；

将所述识别信息与所述信息安全库中的所述触发人员进行匹配；

当所述信息安全库中触发人员都与所述识别信息对应的人员都不匹配时，拒绝所述外网访问；

当所述信息安全库中存在与所述识别信息对应的人员匹配的所述触发人员时，提取所述触发人员对应的触发判定条件；

再次解析所述外网访问，获取访问人员的访问位置和/或访问设备信息；

当所述访问位置与所述安全位置不匹配和/或所述访问设备信息与所述安全设备信息不匹配时，构建安全中转站。

优选的，当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据，包括：

基于所述外网访问，确定所述外网访问访问的内网数据的位置信息；

基于所述位置信息，将所述外网访问访问的内网数据镜像至所述安全中转站中的存储模块上；

接收所述外网访问对应的访问人员对所述存储模块上的内网数据的数据操作；

其中，所述数据操作包括：更改、删除、添加其中一种或多种结合。

优选的，企业网络数据安全管理方法，还包括：

在所述外网访问结束时，确定所述存储模块上镜像的内网数据的被操作情况；

基于所述被操作情况，构建风险评估向量；

获取预设的风险评估库；

基于所述风险评估向量和所述风险评估库，确定所述安全中转站的风险值；

基于所述风险值，确定所述安全中转站的处理模式；

其中，所述基于所述被操作情况，构建风险评估向量，包括：

获取存储模块中各个内网数据的预设的重要值和所述内网数据在内网内的位置的预设的权重系数；

基于预设的量化模板对各个内网数据的被操作的数据操作进行量化，获取量化系数；

基于所述重要值、权重系数和所述量化系数，确定各个内网数据的威胁值；

基于所述威胁值从大到小的顺序提取预设数量的所述存储模块中的内网数据；

将提取的内网数据，按照提取的顺序将对应的所述重要值、权重系数和所述量化系数排列，生成所述风险评估向量。

优选的，所述基于所述风险值，确定所述安全中转站的处理模式，包括：

当所述风险值低于预设的第一阈值时，在所述外网访问结束时，删除所述安全中转站；

当所述风险值大于等于所述第一阈值且小于所述第二阈值时，在所述外网访问结束后，提交至安全管理员，经由安全管理员确认后删除；

当所述风险值大于等于预设的第二阈值时，在所述外网访问结束后，提交至安全管理员，经由安全管理员确认后，在所述外网访问对应的访问人员下次采用内网访问时，输出预设的操作确认信息；当接收到所述操作确认信息时，将所述安全中转站删除。

本发明还提供一种企业网络数据安全管理系统，包括：

动态数据获取模块，用于获取企业内员工的动态数据；

第一构建模块，用于基于所述动态数据，构建信息安全库；

第二构建模块，用于基于所述信息安全库，确定针对外网访问是否构建安全中转站；

间接访问模块，用于当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据。

优选的，所述第一构建模块基于所述动态数据，构建信息安全库，执行如下操作：

解析所述动态数据，确定员工的动向分类是否为触发类型；

当为触发类型时，确定对应的安全位置和/或安全访问设备信息；

将所述员工作为所述信息安全库中触发人员；

将所述安全位置和/或安全访问设备信息，作为触发判定条件。

优选的，所述第二构建模块基于所述信息安全库，确定针对外网访问是否构建安全中转站，执行如下操作：

解析所述外网访问，确定访问人员的识别信息；

将所述识别信息与所述信息安全库中的所述触发人员进行匹配；

当所述信息安全库中触发人员都与所述识别信息对应的人员都不匹配时，拒绝所述外网访问；

当所述信息安全库中存在与所述识别信息对应的人员匹配的所述触发人员时，提取所述触发人员对应的触发判定条件；

再次解析所述外网访问，获取访问人员的访问位置和/或访问设备信息；

当所述访问位置与所述安全位置不匹配和/或所述访问设备信息与所述安全设备信息不匹配时，构建安全中转站。

优选的，间接访问模块执行如下操作：

基于所述外网访问，确定所述外网访问访问的内网数据的位置信息；

基于所述位置信息，将所述外网访问访问的内网数据镜像至所述安全中转站中的存储模块上；

接收所述外网访问对应的访问人员对所述存储模块上的内网数据的数据操作；

其中，所述数据操作包括：更改、删除、添加其中一种或多种结合。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明实施例中一种企业网络数据安全管理方法的示意图；

图2为本发明实施例中一种企业网络数据安全管理系统的示意图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明实施例提供了一种企业网络数据安全管理方法，如图1所示，包括：

步骤S1：获取企业内员工的动态数据；

步骤S2：基于动态数据，构建信息安全库；

步骤S3：基于信息安全库，确定针对外网访问是否构建安全中转站；

步骤S4：当构建安全中转站时，外网访问基于安全中转站，访问内网数据。

上述技术方案的工作原理及有益效果为：

当发生外网访问时，根据事先依据员工的动态数据分析构建的信息安全库，判断外网访问是否为公司员工发起以及是否安全，当环境不安全时，例如外网存在硬件或软件上的缺陷或漏洞(会给网络攻击者可乘之机)时，构建安全中转站；外网访问的数据通过安全中转站实现输出，隔离了不安全的外网访问，进而实现隔离外网访问内网数据的直接威胁，提高了内网数据的安全性。其中，动态数据可以通过出勤打卡、出差申请、请假申请等方式确定；当当天存在出勤打卡数据时，确定动态数据为在企业内；当当天存在请假申请数据时，则动态数据为请假；当当天存在出差申请数据时，则动态数据为出差。

在一个实施例中，基于动态数据，构建信息安全库，包括：

解析动态数据，确定员工的动向分类是否为触发类型；

当为触发类型时，确定对应的安全位置和/或安全访问设备信息；

将员工作为信息安全库中触发人员；

将安全位置和/或安全访问设备信息，作为触发判定条件。

上述技术方案的工作原理及有益效果为：

通过分析员工的动态数据是否为触发类型，进而实现信息安全库中触发人员的确定，以及根据触发人员确定安全位置和/或安全访问设备信息；并将其作为触发判定条件；其中，当触发类型设置为包括：出差时，将出差时的安全位置设置为出差申请的目的地；当触发类型设置为包括：请假时，则对应的安全位置为企业的员工信息中关联的家庭住址(即登记的实际家庭地址)或户口所在位置；此外，安全访问设备信息根据企业的员工信息中关联的设备信息确定；设备信息包括：机器编号等。

在一个实施例中，基于信息安全库，确定针对外网访问是否构建安全中转站，包括：

解析外网访问，确定访问人员的识别信息；

将识别信息与信息安全库中的触发人员进行匹配；

当信息安全库中触发人员都与识别信息对应的人员都不匹配时，拒绝外网访问；

当信息安全库中存在与识别信息对应的人员匹配的触发人员时，提取触发人员对应的触发判定条件；

再次解析外网访问，获取访问人员的访问位置和/或访问设备信息；

当访问位置与安全位置不匹配和/或访问设备信息与安全设备信息不匹配时，构建安全中转站。

上述技术方案的工作原理及有益效果为：

通过解析外网访问，确定访问人员的识别信息；基于识别信息，确定是否为触发人员进行访问；当不是触发人员访问时，拒绝外网访问请求；在确定为触发人员时，再次基于安全位置和范围设备信息进行访问风险确定，当访问位置与安全位置不匹配和/或访问设备信息与安全设备信息不匹配时，确定存在风险，采用构建安全中转站的方式隔离风险；当都匹配时，确定不存在风险，可以直接进行内网数据访问。

为了实现风险状态下外网访问内网数据；在一个实施例中，当构建安全中转站时，外网访问基于安全中转站，访问内网数据，包括：

基于外网访问，确定外网访问访问的内网数据的位置信息；

基于位置信息，将外网访问访问的内网数据镜像至安全中转站中的存储模块上；

接收外网访问对应的访问人员对存储模块上的内网数据的数据操作；

其中，数据操作包括：更改、删除、添加其中一种或多种结合。

上述技术方案的工作原理及有益效果为：

通过将内网数据镜像至安全中转站，外网访问直接访问的是安全中转站内的数据，隔离了风险，提高了内网数据的安全性。

在一个实施例中，企业网络数据安全管理方法，如图2所示，还包括：

步骤S5：在外网访问结束时，确定存储模块上镜像的内网数据的被操作情况；

步骤S6：基于被操作情况，构建风险评估向量；

步骤S7：获取预设的风险评估库；

步骤S8：基于风险评估向量和风险评估库，确定安全中转站的风险值；

步骤S9：基于风险值，确定安全中转站的处理模式；

其中，基于被操作情况，构建风险评估向量，包括：

获取存储模块中各个内网数据的预设的重要值和内网数据在内网内的位置的预设的权重系数；重要值和权重系数都为系统管理员事先配置；重要值根据内网数据的重要性进行配置，数据越重要其重要值越高；权重系数配置给各个内网存储区域内，内网数据在内网内的位置为镜像对象在内网内的内网存储区域；

基于预设的量化模板对各个内网数据的被操作的数据操作进行量化，获取量化系数；例如：未进行操作只进行了数据查看，量化后的量化系数为0；进行添加，量化后的量化系数为0.5；进行删除，量化后的量化系数为1；进行修改，量化后系数为2；

基于重要值、权重系数和量化系数，确定各个内网数据的威胁值；将重要值、权重系数和量化系数三者乘积作为威胁值的数值；

基于威胁值从大到小的顺序提取预设数量(例如：3个)的存储模块中的内网数据；

将提取的内网数据，按照提取的顺序将对应的重要值、权重系数和量化系数排列，生成风险评估向量。

其中，基于风险值，确定安全中转站的处理模式，包括：

当风险值低于预设的第一阈值(例如：0至10中任一数值)时，在外网访问结束时，删除安全中转站；

当风险值大于等于第一阈值且小于第二阈值(例如：80至90中任一数值)时，在外网访问结束后，提交至安全管理员，经由安全管理员确认后删除；

当风险值大于等于预设的第二阈值时，在外网访问结束后，提交至安全管理员，经由安全管理员确认后，在外网访问对应的访问人员下次采用内网访问时，输出预设的操作确认信息；当接收到操作确认信息时，将安全中转站删除。

上述技术方案的工作原理及有益效果为：

在外网访问结束后，进行风险评估，确定安全中转站的风险值；进而实现在结束后安全中转站中数据的处理方式；当风险较低时，直接删除安全中转站，将安全中转站中的操作镜像至内网中；当风险中等时(风险值大于等于第一阈值且小于第二阈值)，通过安全管理员的确认，才能同步至内网；当风险较高时，不仅需要安全管理员确认，还需经过外网访问用户在内网访问时进行确认，通过评估确认的方式，保证外网访问时对数据的操作的安全有效性。安全中转站在删除前需要确认时，只有通过确认的方式才能同步到内网，否则只删除安全中转站。其中，基于风险评估向量和风险评估库，确定安全中转站的风险值；可以采用计算风险评估向量与风险评估库中各个标准向量的相似度，当相似度大于预设的相似度阈值时，提取对应的标准向量对应关联的风险值；相似度的计算可以采用余弦相似度计算法；风险评估库是专业人员根据大量数据分析构建的。

本发明还提供一种企业网络数据安全管理系统，包括：

动态数据获取模块1，用于获取企业内员工的动态数据；

第一构建模块2，用于基于动态数据，构建信息安全库；

第二构建模块3，用于基于信息安全库，确定针对外网访问是否构建安全中转站；

间接访问模块4，用于当构建安全中转站时，外网访问基于安全中转站，访问内网数据。

在一个实施例中，第一构建模块2基于动态数据，构建信息安全库，执行如下操作：

解析动态数据，确定员工的动向分类是否为触发类型；

当为触发类型时，确定对应的安全位置和/或安全访问设备信息；

将员工作为信息安全库中触发人员；

将安全位置和/或安全访问设备信息，作为触发判定条件。

在一个实施例中，第二构建模块3基于信息安全库，确定针对外网访问是否构建安全中转站，执行如下操作：

解析外网访问，确定访问人员的识别信息；

将识别信息与信息安全库中的触发人员进行匹配；

当信息安全库中触发人员都与识别信息对应的人员都不匹配时，拒绝外网访问；

当信息安全库中存在与识别信息对应的人员匹配的触发人员时，提取触发人员对应的触发判定条件；

再次解析外网访问，获取访问人员的访问位置和/或访问设备信息；

当访问位置与安全位置不匹配和/或访问设备信息与安全设备信息不匹配时，构建安全中转站。

在一个实施例中，间接访问模块4执行如下操作：

基于外网访问，确定外网访问访问的内网数据的位置信息；

基于位置信息，将外网访问访问的内网数据镜像至安全中转站中的存储模块上；

接收外网访问对应的访问人员对存储模块上的内网数据的数据操作；

其中，数据操作包括：更改、删除、添加其中一种或多种结合。

在一个实施例中，企业网络数据安全管理系统还包括：处理模块；

处理模块执行如下操作：

在外网访问结束时，确定存储模块上镜像的内网数据的被操作情况；

基于被操作情况，构建风险评估向量；

获取预设的风险评估库；

基于风险评估向量和风险评估库，确定安全中转站的风险值；

基于风险值，确定安全中转站的处理模式；

其中，基于被操作情况，构建风险评估向量，包括：

获取存储模块中各个内网数据的预设的重要值和内网数据在内网内的位置的预设的权重系数；

基于预设的量化模板对各个内网数据的被操作的数据操作进行量化，获取量化系数；

基于重要值、权重系数和量化系数，确定各个内网数据的威胁值；

基于威胁值从大到小的顺序提取预设数量的存储模块中的内网数据；

将提取的内网数据，按照提取的顺序将对应的重要值、权重系数和量化系数排列，生成风险评估向量。

在一个实施例中，处理模块基于风险值，确定安全中转站的处理模式，执行如下操作：

当风险值低于预设的第一阈值时，在外网访问结束时，删除安全中转站；

当风险值大于等于第一阈值且小于第二阈值时，在外网访问结束后，提交至安全管理员，经由安全管理员确认后删除；

当风险值大于等于预设的第二阈值时，在外网访问结束后，提交至安全管理员，经由安全管理员确认后，在外网访问对应的访问人员下次采用内网访问时，输出预设的操作确认信息；当接收到操作确认信息时，将安全中转站删除。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种企业网络数据安全管理方法，其特征在于，包括：

获取企业内员工的动态数据；

基于所述动态数据，构建信息安全库；

基于所述信息安全库，确定针对外网访问是否构建安全中转站；

当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据。

2.如权利要求1所述的企业网络数据安全管理方法，其特征在于，所述基于所述动态数据，构建信息安全库，包括：

解析所述动态数据，确定员工的动向分类是否为触发类型；

当为触发类型时，确定对应的安全位置和/或安全访问设备信息；

将所述员工作为所述信息安全库中触发人员；

将所述安全位置和/或安全访问设备信息，作为触发判定条件。

3.如权利要求2所述的企业网络数据安全管理方法，其特征在于，所述基于所述信息安全库，确定针对外网访问是否构建安全中转站，包括：

解析所述外网访问，确定访问人员的识别信息；

将所述识别信息与所述信息安全库中的所述触发人员进行匹配；

当所述信息安全库中触发人员都与所述识别信息对应的人员都不匹配时，拒绝所述外网访问；

当所述信息安全库中存在与所述识别信息对应的人员匹配的所述触发人员时，提取所述触发人员对应的触发判定条件；

再次解析所述外网访问，获取访问人员的访问位置和/或访问设备信息；

当所述访问位置与所述安全位置不匹配和/或所述访问设备信息与所述安全设备信息不匹配时，构建安全中转站。

4.如权利要求1所述的企业网络数据安全管理方法，其特征在于，当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据，包括：

基于所述外网访问，确定所述外网访问访问的内网数据的位置信息；

基于所述位置信息，将所述外网访问访问的内网数据镜像至所述安全中转站中的存储模块上；

接收所述外网访问对应的访问人员对所述存储模块上的内网数据的数据操作；

其中，所述数据操作包括：更改、删除、添加其中一种或多种结合。

5.如权利要求4所述的企业网络数据安全管理方法，其特征在于，还包括：

在所述外网访问结束时，确定所述存储模块上镜像的内网数据的被操作情况；

基于所述被操作情况，构建风险评估向量；

获取预设的风险评估库；

基于所述风险评估向量和所述风险评估库，确定所述安全中转站的风险值；

基于所述风险值，确定所述安全中转站的处理模式；

其中，所述基于所述被操作情况，构建风险评估向量，包括：

获取存储模块中各个内网数据的预设的重要值和所述内网数据在内网内的位置的预设的权重系数；

基于预设的量化模板对各个内网数据的被操作的数据操作进行量化，获取量化系数；

基于所述重要值、权重系数和所述量化系数，确定各个内网数据的威胁值；

基于所述威胁值从大到小的顺序提取预设数量的所述存储模块中的内网数据；

将提取的内网数据，按照提取的顺序将对应的所述重要值、权重系数和所述量化系数排列，生成所述风险评估向量。

6.如权利要求5所述的企业网络数据安全管理方法，其特征在于，所述基于所述风险值，确定所述安全中转站的处理模式，包括：

当所述风险值低于预设的第一阈值时，在所述外网访问结束时，删除所述安全中转站；

当所述风险值大于等于所述第一阈值且小于预设的第二阈值时，在所述外网访问结束后，提交至安全管理员，经由安全管理员确认后删除；

当所述风险值大于等于所述第二阈值时，在所述外网访问结束后，提交至安全管理员，经由安全管理员确认后，在所述外网访问对应的访问人员下次采用内网访问时，输出预设的操作确认信息；当接收到所述操作确认信息时，将所述安全中转站删除。

7.一种企业网络数据安全管理系统，其特征在于，包括：

动态数据获取模块，用于获取企业内员工的动态数据；

第一构建模块，用于基于所述动态数据，构建信息安全库；

第二构建模块，用于基于所述信息安全库，确定针对外网访问是否构建安全中转站；

间接访问模块，用于当构建所述安全中转站时，所述外网访问基于所述安全中转站，访问内网数据。

8.如权利要求7所述的企业网络数据安全管理系统，其特征在于，所述第一构建模块基于所述动态数据，构建信息安全库，执行如下操作：

解析所述动态数据，确定员工的动向分类是否为触发类型；

当为触发类型时，确定对应的安全位置和/或安全访问设备信息；

将所述员工作为所述信息安全库中触发人员；

将所述安全位置和/或安全访问设备信息，作为触发判定条件。

9.如权利要求8所述的企业网络数据安全管理系统，其特征在于，所述第二构建模块基于所述信息安全库，确定针对外网访问是否构建安全中转站，执行如下操作：

解析所述外网访问，确定访问人员的识别信息；

将所述识别信息与所述信息安全库中的所述触发人员进行匹配；

当所述信息安全库中触发人员都与所述识别信息对应的人员都不匹配时，拒绝所述外网访问；

当所述信息安全库中存在与所述识别信息对应的人员匹配的所述触发人员时，提取所述触发人员对应的触发判定条件；

再次解析所述外网访问，获取访问人员的访问位置和/或访问设备信息；

当所述访问位置与所述安全位置不匹配和/或所述访问设备信息与所述安全设备信息不匹配时，构建安全中转站。

10.如权利要求7所述的企业网络数据安全管理系统，其特征在于，间接访问模块执行如下操作：

基于所述外网访问，确定所述外网访问访问的内网数据的位置信息；

基于所述位置信息，将所述外网访问访问的内网数据镜像至所述安全中转站中的存储模块上；

接收所述外网访问对应的访问人员对所述存储模块上的内网数据的数据操作；

其中，所述数据操作包括：更改、删除、添加其中一种或多种结合。

Images