CN117852015A - 信息安全防护方法及防护系统 - Google Patents

Abstract

本申请提供一种信息安全防护方法及系统。该方法通过第一移动终端设备向第一业务交互节点发送第一数据请求，再确定第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定第一设备信息所对应的目标设备权限等级，并且，在目标数据安全等级高于目标设备权限等级所对应的目标数据安全等级范围时，第一业务交互节点向第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息，然后，将第一用户身份信息以及第一数据请求发送至系统服务层，以使得系统服务层根据预设身份认证模型对第一用户身份信息进行身份验证，若验证成功，则第一数据文件发送至第一移动终端设备，从而实现了对于数据文件的安全访问。

Description

信息安全防护方法及防护系统

技术领域

本申请涉及数据处理技术，尤其涉及一种信息安全防护方法及防护系统。

背景技术

随着信息技术的发展，企业产生的数据也越来越多，并且，随着企业规模与人事架构的发展，不同员工对于企业数据的访问范围管理也成为了企业信息安全防护的重要部分。

在现有技术中，在其中一种实现方式中，通常是通过验证访问移动终端的设备权限，来对所匹配的企业数据进行访问，而在高权限用户使用低权限设备对高权限数据进行访问的场景下，上述仅依赖于设备权限的验证方式，将会导致所访问的数据范围无法与高权限用户相匹配的问题。此外，在另一种实现方式中，通常是通过验证用户权限，来对所匹配的企业数据进行访问，而在高权限用户使用低权限设备对低权限数据进行访问的场景下，上述仅依赖于验证用户权限的方式，将会导致用户需要额外的身份认证操作，影响用户体验。

发明内容

本申请提供一种信息安全防护方法及防护系统，用以解决现有技术中通过单一权限验证方式所导致的数据访问范围不匹配以及验证过程繁琐的技术问题。

第一方面，本申请提供一种信息安全防护方法，应用于信息安全防护系统，所述信息安全防护系统包括移动终端设备集群以及服务节点集群，其中，所述服务节点集群所对应的集群架构包括系统服务层以及业务交互层，其中，所述系统服务层与所述业务交互层中的各个业务交互节点通信连接；所述移动终端设备集群中的各个移动终端设备与所述业务交互层中的至少一个业务交互节点通信连接；所述方法，包括：

所述移动终端设备集群中的第一移动终端设备向所述业务交互层中的第一业务交互节点发送第一数据请求，所述第一数据请求为在所述第一移动终端设备的第一数据目录文件中所触发的数据请求，所述第一数据请求包括所述第一移动终端设备的第一设备信息以及第一数据链接信息；

所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级；

若所述目标数据安全等级高于所述目标设备权限等级所对应的目标数据安全等级范围，则所述第一业务交互节点向所述第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层；

所述系统服务层根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备。

可选的，所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，包括：

所述第一业务交互节点根据所述第一数据链接信息中的第一链接特征字段确定所述第一数据文件的第一存储区域，并根据所述第一数据链接信息中的第二链接特征字段确定所述第一数据文件的第一文件格式；

若所述第一存储区域对应保密存储区域，则所述目标数据安全等级为第一数据安全等级；

若所述第一存储区域对应非保密存储区域，且所述第一文件格式为可编辑文件格式，则所述目标数据安全等级为第二数据安全等级，所述第一数据安全等级高于所述第二数据安全等级；

若所述述第一存储区域对应非保密存储区域，且所述第一文件格式为非可编辑文件格式，则所述目标数据安全等级为第三数据安全等级，所述第二数据安全等级高于所述第三数据安全等级。

可选的，所述根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级，包括：

所述第一业务交互节点根据所述第一设备信息中的第一设备特征字段确定第一登录账户，并根据所述第一设备信息中的第二设备特征字段确定所述第一移动终端设备所连接的第一网络类型；

若所述第一登录账户所对应的账户等级高于预设账户等级，则所述目标设备权限等级为第一设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为内部局域网络，则所述目标设备权限等级为第二设备权限等级，所述第一设备权限等级高于所述第二设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为虚拟专用网络，则所述目标设备权限等级为第三设备权限等级，所述第二设备权限等级高于所述第三设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为外部开放网络，则所述目标设备权限等级为第四设备权限等级，所述第三设备权限等级高于所述第四设备权限等级。

可选的，若所述目标数据安全等级为所述第一数据安全等级，则所述目标数据安全等级高于所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级以及所述第二设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第二数据安全等级，则所述目标数据安全等级高于所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级、所述第二设备权限等级以及所述第三设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第三数据安全等级，则所述目标数据安全等级低于所述第一设备权限等级、所述第二设备权限等级、所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围。

可选的，所述系统服务层包括系统管理层以及安全防护层，所述系统管理层中的系统管理节点与所述安全防护层中的各个安全防护节点通信连接，所述安全防护层中的安全防护节点与所述业务交互层中的各个业务交互节点通信连接；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层，包括：

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述安全防护层中的第一安全防护节点，并通过所述第一安全防护节点将所述第一用户身份信息发送至所述系统管理节点；

对应的，所述系统服务层根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备，包括：

所述系统管理节点根据所述预设身份认证模型对所述第一用户身份信息进行身份验证，若验证通过，则所述系统管理节点向所述第一安全防护节点发送第一数据获取指示；

所述第一安全防护节点响应于所述第一数据获取指示，并根据所述第一数据连接信息获取所述第一数据文件；

所述第一安全防护节点将所述第一数据文件发送至所述第一业务交互节点，以使所述第一业务交互节点将所述第一数据文件发送至所述第一移动终端设备。

可选的，所述信息安全防护系统还包括固定终端设备集群，所述固定终端设备集群中的各个固定终端设备与所述安全防护层中的至少一个安全防护节点通信连接；所述方法，还包括：

所述移动终端设备集群中的第二移动终端设备向所述业务交互层中的第二业务交互节点发送第二数据请求，所述第二数据请求为在所述第二移动终端设备的第二数据目录文件中所触发的数据请求，所述第二数据请求包括所述第二移动终端设备的第二设备信息以及第二数据链接信息，所述第二数据链接信息用于访问所述固定终端设备集群中第一固定终端设备中的第二数据文件；

所述第二业务交互节点根据所述第二设备信息中的第一设备特征字段确定第二登录账户，并根据所述第二设备信息中的第二设备特征字段确定所述第二移动终端设备所连接的第二网络类型；

所述第二业务交互节点将所述第二登录账户、所述第二网络类型以及所述第二数据链接信息发送至所述第一固定终端设备所连接的第二安全防护节点；

所述第二安全防护节点根据所述第二数据链接信息获取所述第一固定终端设备的第一固定终端信息，所述第一固定终端信息包括所述第一固定终端设备上的第三登录账户；

若所述第二登录账户与所述第三登录账户为相同账户，且所述第二网络类型为内部局域网络或虚拟专用网络，则第二安全防护节点根据所述第二数据链接信息获取第二数据文件，并将所述第二数据文件发送至所述第二业务交互节点；

所述第二业务交互节点将所述第二数据文件发送至所述第二移动终端设备，并直接在所述第二移动终端设备上打开所述第二数据文件；

若在所述第二移动终端设备上关闭所述第二数据文件，则所述第二移动终端设备删除内存中的所述第二数据文件。

可选的，在所述移动终端设备集群中的第二移动终端设备向所述业务交互层中的第二业务交互节点发送第二数据请求之前，还包括：

所述第一固定终端设备根据内存中的文件存储信息以及文件层级信息生成所述第二数据目录文件，所述第二数据目录文件的文件层级与所述文件层级信息相匹配，在所述第二数据目录文件的第一文件层级下的第二虚拟文件用于链接至所述第一固定终端设备内存中的所述第一文件层级下的所述第二数据文件；

所述第一固定终端设备将所述第二数据目录文件发送至所述第二安全防护节点；

所述第二安全防护节点通过所述第二业务交互节点将所述第二数据目录文件发送至所述第二移动终端设备。

第二方面，本申请提供一种信息安全防护系统，包括：移动终端设备集群以及服务节点集群，其中，所述服务节点集群所对应的集群架构包括系统服务层以及业务交互层，其中，所述系统服务层与所述业务交互层中的各个业务交互节点通信连接；所述移动终端设备集群中的各个移动终端设备与所述业务交互层中的至少一个业务交互节点通信连接；

所述移动终端设备集群中的第一移动终端设备向所述业务交互层中的第一业务交互节点发送第一数据请求，所述第一数据请求为在所述第一移动终端设备的数据目录文件中所触发的数据请求，所述第一数据请求包括所述第一移动终端设备的第一设备信息以及第一数据链接信息；

所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级；

若所述目标数据安全等级高于所述目标设备权限等级所对应的目标数据安全等级范围，则所述第一业务交互节点向所述第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层；

所述系统服务层根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备。

可选的，所述第一业务交互节点根据所述第一数据链接信息中的第一链接特征字段确定所述第一数据文件的第一存储区域，并根据所述第一数据链接信息中的第二链接特征字段确定所述第一数据文件的第一文件格式；

若所述第一存储区域对应保密存储区域，则所述目标数据安全等级为第一数据安全等级；

若所述第一存储区域对应非保密存储区域，且所述第一文件格式为可编辑文件格式，则所述目标数据安全等级为第二数据安全等级，所述第一数据安全等级高于所述第二数据安全等级；

若所述述第一存储区域对应非保密存储区域，且所述第一文件格式为非可编辑文件格式，则所述目标数据安全等级为第三数据安全等级，所述第二数据安全等级高于所述第三数据安全等级。

可选的，所述第一业务交互节点根据所述第一设备信息中的第一设备特征字段确定第一登录账户，并根据所述第一设备信息中的第二设备特征字段确定所述第一移动终端设备所连接的第一网络类型；

若所述第一登录账户所对应的账户等级高于预设账户等级，则所述目标设备权限等级为第一设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为内部局域网络，则所述目标设备权限等级为第二设备权限等级，所述第一设备权限等级高于所述第二设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为虚拟专用网络，则所述目标设备权限等级为第三设备权限等级，所述第二设备权限等级高于所述第三设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为外部开放网络，则所述目标设备权限等级为第四设备权限等级，所述第三设备权限等级高于所述第四设备权限等级。

可选的，若所述目标数据安全等级为所述第一数据安全等级，则所述目标数据安全等级高于所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级以及所述第二设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第二数据安全等级，则所述目标数据安全等级高于所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级、所述第二设备权限等级以及所述第三设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第三数据安全等级，则所述目标数据安全等级低于所述第一设备权限等级、所述第二设备权限等级、所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围。

可选的，所述系统服务层包括系统管理层以及安全防护层，所述系统管理层中的系统管理节点与所述安全防护层中的各个安全防护节点通信连接，所述安全防护层中的安全防护节点与所述业务交互层中的各个业务交互节点通信连接；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述安全防护层中的第一安全防护节点，并通过所述第一安全防护节点将所述第一用户身份信息发送至所述系统管理节点；

所述系统管理节点根据所述预设身份认证模型对所述第一用户身份信息进行身份验证，若验证通过，则所述系统管理节点向所述第一安全防护节点发送第一数据获取指示；

所述第一安全防护节点响应于所述第一数据获取指示，并根据所述第一数据连接信息获取所述第一数据文件；

所述第一安全防护节点将所述第一数据文件发送至所述第一业务交互节点，以使所述第一业务交互节点将所述第一数据文件发送至所述第一移动终端设备。

可选的，所述信息安全防护系统还包括固定终端设备集群，所述固定终端设备集群中的各个固定终端设备与所述安全防护层中的至少一个安全防护节点通信连接；

所述移动终端设备集群中的第二移动终端设备向所述业务交互层中的第二业务交互节点发送第二数据请求，所述第二数据请求为在所述第二移动终端设备的第二数据目录文件中所触发的数据请求，所述第二数据请求包括所述第二移动终端设备的第二设备信息以及第二数据链接信息，所述第二数据链接信息用于访问所述固定终端设备集群中第一固定终端设备中的第二数据文件；

所述第二业务交互节点根据所述第二设备信息中的第一设备特征字段确定第二登录账户，并根据所述第二设备信息中的第二设备特征字段确定所述第二移动终端设备所连接的第二网络类型；

所述第二业务交互节点将所述第二登录账户、所述第二网络类型以及所述第二数据链接信息发送至所述第一固定终端设备所连接的第二安全防护节点；

所述第二安全防护节点根据所述第二数据链接信息获取所述第一固定终端设备的第一固定终端信息，所述第一固定终端信息包括所述第一固定终端设备上的第三登录账户；

若所述第二登录账户与所述第三登录账户为相同账户，且所述第二网络类型为内部局域网络或虚拟专用网络，则第二安全防护节点根据所述第二数据链接信息获取第二数据文件，并将所述第二数据文件发送至所述第二业务交互节点；

所述第二业务交互节点将所述第二数据文件发送至所述第二移动终端设备，并直接在所述第二移动终端设备上打开所述第二数据文件；

若在所述第二移动终端设备上关闭所述第二数据文件，则所述第二移动终端设备删除内存中的所述第二数据文件。

可选的，所述第一固定终端设备根据内存中的文件存储信息以及文件层级信息生成所述第二数据目录文件，所述第二数据目录文件的文件层级与所述文件层级信息相匹配，在所述第二数据目录文件的第一文件层级下的第二虚拟文件用于链接至所述第一固定终端设备内存中的所述第一文件层级下的所述第二数据文件；

所述第一固定终端设备将所述第二数据目录文件发送至所述第二安全防护节点；

所述第二安全防护节点通过所述第二业务交互节点将所述第二数据目录文件发送至所述第二移动终端设备。

第三方面，本申请提供一种电子设备，包括：

处理器；以及，

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行第一方面中所述的任一种可能的方法。

第四方面，本申请提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现第一方面中所述的任一种可能的方法。

本申请提供的信息安全防护方法及系统，通过移动终端设备集群中的第一移动终端设备向业务交互层中的第一业务交互节点发送第一数据请求，以使第一业务交互节点根据预设数据安全分类模型确定第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定第一设备信息所对应的目标设备权限等级，并且，在目标数据安全等级高于目标设备权限等级所对应的目标数据安全等级范围时，第一业务交互节点向第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息，然后，第一业务交互节点将第一用户身份信息以及第一数据请求发送至系统服务层，以使得系统服务层根据预设身份认证模型对第一用户身份信息进行身份验证，若验证成功，则系统服务层根据第一数据连接信息获取对应的第一数据文件，并通过第一业务交互节点发送至第一移动终端设备，从而实现了对于数据文件的安全访问。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1是本申请根据一示例实施例示出的信息安全防护方法的流程示意图;

图2是本申请根据另一示例实施例示出的信息安全防护方法的流程示意图；

图3是本申请根据一示例实施例示出的信息安全防护系统的结构示意图；

图4是本申请根据一示例实施例示出的电子设备的结构示意图。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

图1是本申请根据一示例实施例示出的信息安全防护方法的流程示意图。如图1所示，本实施例提供的方法，包括：

S101、移动终端设备集群中的第一移动终端设备向业务交互层中的第一业务交互节点发送第一数据请求。

本实施例提供的方法可以是应用于信息安全防护系统。该信息安全防护系统包括移动终端设备集群以及服务节点集群，其中，服务节点集群所对应的集群架构包括系统服务层以及业务交互层，其中，系统服务层与业务交互层中的各个业务交互节点通信连接；移动终端设备集群中的各个移动终端设备与业务交互层中的至少一个业务交互节点通信连接。

在本步骤中，移动终端设备集群中的第一移动终端设备向业务交互层中的第一业务交互节点发送第一数据请求，第一数据请求为在第一移动终端设备的第一数据目录文件中所触发的数据请求，第一数据请求包括第一移动终端设备的第一设备信息以及第一数据链接信息。

S102、第一业务交互节点根据预设数据安全分类模型确定第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定第一设备信息所对应的目标设备权限等级。

具体的，可以是第一业务交互节点根据第一数据链接信息中的第一链接特征字段确定第一数据文件的第一存储区域，并根据第一数据链接信息中的第二链接特征字段确定第一数据文件的第一文件格式。

若第一存储区域对应保密存储区域，则目标数据安全等级为第一数据安全等级。

若第一存储区域对应非保密存储区域，且第一文件格式为可编辑文件格式，则目标数据安全等级为第二数据安全等级，第一数据安全等级高于第二数据安全等级。

若述第一存储区域对应非保密存储区域，且第一文件格式为非可编辑文件格式，则目标数据安全等级为第三数据安全等级，第二数据安全等级高于第三数据安全等级。

然后，第一业务交互节点根据第一设备信息中的第一设备特征字段确定第一登录账户，并根据第一设备信息中的第二设备特征字段确定第一移动终端设备所连接的第一网络类型。

若第一登录账户所对应的账户等级高于预设账户等级，则目标设备权限等级为第一设备权限等级。

若第一登录账户所对应的账户等级不高于预设账户等级，且第一网络类型为内部局域网络，则目标设备权限等级为第二设备权限等级，第一设备权限等级高于第二设备权限等级。

若第一登录账户所对应的账户等级不高于预设账户等级，且第一网络类型为虚拟专用网络，则目标设备权限等级为第三设备权限等级，第二设备权限等级高于第三设备权限等级。

若第一登录账户所对应的账户等级不高于预设账户等级，且第一网络类型为外部开放网络，则目标设备权限等级为第四设备权限等级，第三设备权限等级高于第四设备权限等级。

S103、第一业务交互节点向第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息。

在本步骤中，若目标数据安全等级高于目标设备权限等级所对应的目标数据安全等级范围，则第一业务交互节点向第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息。

具体的，若目标数据安全等级为第一数据安全等级，则目标数据安全等级高于第三设备权限等级以及第四设备权限等级所对应的数据安全等级范围，低于第一设备权限等级以及第二设备权限等级所对应的数据安全等级范围。

若目标数据安全等级为第二数据安全等级，则目标数据安全等级高于第四设备权限等级所对应的数据安全等级范围，低于第一设备权限等级、第二设备权限等级以及第三设备权限等级所对应的数据安全等级范围。

若目标数据安全等级为第三数据安全等级，则目标数据安全等级低于第一设备权限等级、第二设备权限等级、第三设备权限等级以及第四设备权限等级所对应的数据安全等级范围。

S104、第一业务交互节点将第一用户身份信息以及第一数据请求发送至系统服务层。

在本步骤中，可以是第一业务交互节点将第一用户身份信息以及第一数据请求发送至系统服务层。

S105、若系统服务层根据预设身份认证模型对第一用户身份信息进行身份验证，若验证成功，则系统服务层根据第一数据连接信息获取对应的第一数据文件，并通过第一业务交互节点发送至第一移动终端设备。

在本步骤中，系统服务层根据预设身份认证模型对第一用户身份信息进行身份验证，若验证成功，则系统服务层根据第一数据连接信息获取对应的第一数据文件，并通过第一业务交互节点发送至第一移动终端设备。

具体的，系统服务层可以包括系统管理层以及安全防护层，系统管理层中的系统管理节点与安全防护层中的各个安全防护节点通信连接，安全防护层中的安全防护节点与业务交互层中的各个业务交互节点通信连接。

对应的，上述第一业务交互节点将第一用户身份信息以及第一数据请求发送至系统服务层，可以是包括第一业务交互节点将第一用户身份信息以及第一数据请求发送至安全防护层中的第一安全防护节点，并通过第一安全防护节点将第一用户身份信息发送至系统管理节点。

对应的，系统服务层根据预设身份认证模型对第一用户身份信息进行身份验证，若验证成功，则系统服务层根据第一数据连接信息获取对应的第一数据文件，并通过第一业务交互节点发送至第一移动终端设备，可以是包括：

系统管理节点根据预设身份认证模型对第一用户身份信息进行身份验证，若验证通过，则系统管理节点向第一安全防护节点发送第一数据获取指示。

第一安全防护节点响应于第一数据获取指示，并根据第一数据连接信息获取第一数据文件。

第一安全防护节点将第一数据文件发送至第一业务交互节点，以使第一业务交互节点将第一数据文件发送至第一移动终端设备。

在本实施例中，通过移动终端设备集群中的第一移动终端设备向业务交互层中的第一业务交互节点发送第一数据请求，以使第一业务交互节点根据预设数据安全分类模型确定第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定第一设备信息所对应的目标设备权限等级，并且，在目标数据安全等级高于目标设备权限等级所对应的目标数据安全等级范围时，第一业务交互节点向第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息，然后，第一业务交互节点将第一用户身份信息以及第一数据请求发送至系统服务层，以使得系统服务层根据预设身份认证模型对第一用户身份信息进行身份验证，若验证成功，则系统服务层根据第一数据连接信息获取对应的第一数据文件，并通过第一业务交互节点发送至第一移动终端设备，从而实现了对于数据文件的安全访问，以及对于高权限数据文件的信息防护。

此外，由于仅在目标数据安全等级高于目标设备权限等级所对应的目标数据安全等级范围时触发用户身份信息请求，既能保证对于低权限数据文件的高效访问，简化了权限验证流程，又能保证对于高权限数据的安全访问，确保了数据的安全性。

进一步的，通过业务交互层对系统服务层与移动终端设备集群之间设置隔离，在当部分业务发生异常时，能够通过暂停对应的业务交互节点来避免移动终端设备所产生的异常数据对于系统服务层的直接影响，进而提高了系统的整体稳定性。

图2是本申请根据另一示例实施例示出的信息安全防护方法的流程示意图。如图2所示，本实施例提供的信息安全防护方法，包括：

S201、移动终端设备集群中的第二移动终端设备向业务交互层中的第二业务交互节点发送第二数据请求。

本实施例提供的方法应用于信息安全防护系统。该信息安全防护系统包括移动终端设备集群以及服务节点集群，其中，服务节点集群所对应的集群架构包括系统服务层以及业务交互层，其中，系统服务层与业务交互层中的各个业务交互节点通信连接；移动终端设备集群中的各个移动终端设备与业务交互层中的至少一个业务交互节点通信连接。此外，信息安全防护系统还包括固定终端设备集群，固定终端设备集群中的各个固定终端设备与安全防护层中的至少一个安全防护节点通信连接。

在本步骤中，移动终端设备集群中的第二移动终端设备向业务交互层中的第二业务交互节点发送第二数据请求，第二数据请求为在第二移动终端设备的第二数据目录文件中所触发的数据请求，第二数据请求包括第二移动终端设备的第二设备信息以及第二数据链接信息，第二数据链接信息用于访问固定终端设备集群中第一固定终端设备中的第二数据文件。值得理解的，上述第二数据请求可以是在第二移动终端设备对第一固定终端设备进行远程控制时，所发起的数据传输请求。

S202、第二业务交互节点根据第二设备信息中的第一设备特征字段确定第二登录账户，并根据第二设备信息中的第二设备特征字段确定第二移动终端设备所连接的第二网络类型。

S203、第二业务交互节点将第二登录账户、第二网络类型以及第二数据链接信息发送至第一固定终端设备所连接的第二安全防护节点。

S204、第二安全防护节点根据第二数据链接信息获取第一固定终端设备的第一固定终端信息。

在本步骤中，第二安全防护节点根据第二数据链接信息获取第一固定终端设备的第一固定终端信息，第一固定终端信息包括第一固定终端设备上的第三登录账户。值得说明的，上述的第二移动终端设备可以是企业员工的移动笔记本电脑，而上述的第一固定终端设备可以是设置在企业内的台式电脑。

S205、若第二登录账户与第三登录账户为相同账户，且第二网络类型为内部局域网络或虚拟专用网络，则第二安全防护节点根据第二数据链接信息获取第二数据文件，并将第二数据文件发送至第二业务交互节点。

S206、第二业务交互节点将第二数据文件发送至第二移动终端设备，并直接在第二移动终端设备上打开第二数据文件。

S207、若在第二移动终端设备上关闭第二数据文件，则第二移动终端设备删除内存中的第二数据文件。

此外，在移动终端设备集群中的第二移动终端设备向业务交互层中的第二业务交互节点发送第二数据请求之前，还可以包括：

第一固定终端设备根据内存中的文件存储信息以及文件层级信息生成第二数据目录文件，第二数据目录文件的文件层级与文件层级信息相匹配，在第二数据目录文件的第一文件层级下的第二虚拟文件用于链接至第一固定终端设备内存中的第一文件层级下的第二数据文件；第一固定终端设备将第二数据目录文件发送至第二安全防护节点；第二安全防护节点通过第二业务交互节点将第二数据目录文件发送至第二移动终端设备。

通过上述实施例可以获知，仅验证第二登录账户与第三登录账户为相同账户以及确定第二网络类型为内部局域网络或虚拟专用网络时，第二业务交互节点将第二数据文件发送至第二移动终端设备，避免了不同用户之间发生的数据泄露。此外，在第二移动终端设备接收到第二数据文件后，将直接在第二移动终端设备上打开第二数据文件，并且，在第二移动终端设备上关闭第二数据文件时，第二移动终端设备删除内存中的第二数据文件，进一步保证了数据的安全性。

具体的，在员工出差或在家办公时，经常需要通过笔记本电脑来对台式电脑进行远程控制，以获取相关的数据。若员工使用的其他人的笔记本电脑或者公司的公用笔记本电脑需要对自己的台式机进行访问，则仅在登录账户信息认证相同的情况下成功访问，并且，在访问关闭之后，及时地从内存中对其进行删除，有效地保证了数据的安全性。

图3是本申请根据一示例实施例示出的信息安全防护系统的结构示意图。如图3所示，本实施例提供的信息安全防护系统300，包括：移动终端设备集群310以及服务节点集群320，其中，所述服务节点集群320所对应的集群架构包括系统服务层321以及业务交互层322，其中，所述系统服务层321与所述业务交互层322中的各个业务交互节点通信连接；所述移动终端设备集群310中的各个移动终端设备与所述业务交互层322中的至少一个业务交互节点通信连接；

所述移动终端设备集群310中的第一移动终端设备向所述业务交互层322中的第一业务交互节点发送第一数据请求，所述第一数据请求为在所述第一移动终端设备的数据目录文件中所触发的数据请求，所述第一数据请求包括所述第一移动终端设备的第一设备信息以及第一数据链接信息；

所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级；

若所述目标数据安全等级高于所述目标设备权限等级所对应的目标数据安全等级范围，则所述第一业务交互节点向所述第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层321；

所述系统服务层321根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层321根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备。

可选的，所述第一业务交互节点根据所述第一数据链接信息中的第一链接特征字段确定所述第一数据文件的第一存储区域，并根据所述第一数据链接信息中的第二链接特征字段确定所述第一数据文件的第一文件格式；

若所述第一存储区域对应保密存储区域，则所述目标数据安全等级为第一数据安全等级；

若所述第一存储区域对应非保密存储区域，且所述第一文件格式为可编辑文件格式，则所述目标数据安全等级为第二数据安全等级，所述第一数据安全等级高于所述第二数据安全等级；

若所述述第一存储区域对应非保密存储区域，且所述第一文件格式为非可编辑文件格式，则所述目标数据安全等级为第三数据安全等级，所述第二数据安全等级高于所述第三数据安全等级。

可选的，所述第一业务交互节点根据所述第一设备信息中的第一设备特征字段确定第一登录账户，并根据所述第一设备信息中的第二设备特征字段确定所述第一移动终端设备所连接的第一网络类型；

若所述第一登录账户所对应的账户等级高于预设账户等级，则所述目标设备权限等级为第一设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为内部局域网络，则所述目标设备权限等级为第二设备权限等级，所述第一设备权限等级高于所述第二设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为虚拟专用网络，则所述目标设备权限等级为第三设备权限等级，所述第二设备权限等级高于所述第三设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为外部开放网络，则所述目标设备权限等级为第四设备权限等级，所述第三设备权限等级高于所述第四设备权限等级。

可选的，若所述目标数据安全等级为所述第一数据安全等级，则所述目标数据安全等级高于所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级以及所述第二设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第二数据安全等级，则所述目标数据安全等级高于所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级、所述第二设备权限等级以及所述第三设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第三数据安全等级，则所述目标数据安全等级低于所述第一设备权限等级、所述第二设备权限等级、所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围。

可选的，所述系统服务层321包括系统管理层3211以及安全防护层3212，所述系统管理层3211中的系统管理节点与所述安全防护层3212中的各个安全防护节点通信连接，所述安全防护层3212中的安全防护节点与所述业务交互层322中的各个业务交互节点通信连接；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述安全防护层3212中的第一安全防护节点，并通过所述第一安全防护节点将所述第一用户身份信息发送至所述系统管理节点；

所述系统管理节点根据所述预设身份认证模型对所述第一用户身份信息进行身份验证，若验证通过，则所述系统管理节点向所述第一安全防护节点发送第一数据获取指示；

所述第一安全防护节点响应于所述第一数据获取指示，并根据所述第一数据连接信息获取所述第一数据文件；

所述第一安全防护节点将所述第一数据文件发送至所述第一业务交互节点，以使所述第一业务交互节点将所述第一数据文件发送至所述第一移动终端设备。

可选的，所述信息安全防护系统还包括固定终端设备集群330，所述固定终端设备集群330中的各个固定终端设备与所述安全防护层3212中的至少一个安全防护节点通信连接；

所述移动终端设备集群310中的第二移动终端设备向所述业务交互层322中的第二业务交互节点发送第二数据请求，所述第二数据请求为在所述第二移动终端设备的第二数据目录文件中所触发的数据请求，所述第二数据请求包括所述第二移动终端设备的第二设备信息以及第二数据链接信息，所述第二数据链接信息用于访问所述固定终端设备集群330中第一固定终端设备中的第二数据文件；

所述第二业务交互节点根据所述第二设备信息中的第一设备特征字段确定第二登录账户，并根据所述第二设备信息中的第二设备特征字段确定所述第二移动终端设备所连接的第二网络类型；

所述第二业务交互节点将所述第二登录账户、所述第二网络类型以及所述第二数据链接信息发送至所述第一固定终端设备所连接的第二安全防护节点；

所述第二安全防护节点根据所述第二数据链接信息获取所述第一固定终端设备的第一固定终端信息，所述第一固定终端信息包括所述第一固定终端设备上的第三登录账户；

若所述第二登录账户与所述第三登录账户为相同账户，且所述第二网络类型为内部局域网络或虚拟专用网络，则第二安全防护节点根据所述第二数据链接信息获取第二数据文件，并将所述第二数据文件发送至所述第二业务交互节点；

所述第二业务交互节点将所述第二数据文件发送至所述第二移动终端设备，并直接在所述第二移动终端设备上打开所述第二数据文件；

若在所述第二移动终端设备上关闭所述第二数据文件，则所述第二移动终端设备删除内存中的所述第二数据文件。

可选的，所述第一固定终端设备根据内存中的文件存储信息以及文件层级信息生成所述第二数据目录文件，所述第二数据目录文件的文件层级与所述文件层级信息相匹配，在所述第二数据目录文件的第一文件层级下的第二虚拟文件用于链接至所述第一固定终端设备内存中的所述第一文件层级下的所述第二数据文件；

所述第一固定终端设备将所述第二数据目录文件发送至所述第二安全防护节点；

所述第二安全防护节点通过所述第二业务交互节点将所述第二数据目录文件发送至所述第二移动终端设备。

图4是本申请根据一示例实施例示出的电子设备的结构示意图。如图4所示，本实施例提供的一种电子设备400包括：处理器401以及存储器402；其中：

存储器402，用于存储计算机程序，该存储器还可以是flash（闪存）。

处理器401，用于执行存储器存储的执行指令，以实现上述方法中的各个步骤。具体可以参见前面方法实施例中的相关描述。

可选地，存储器402既可以是独立的，也可以跟处理器401集成在一起。

当所述存储器402是独立于处理器401之外的器件时，所述电子设备400还可以包括：

总线403，用于连接所述存储器402和处理器401。

本实施例还提供一种可读存储介质，可读存储介质中存储有计算机程序，当电子设备的至少一个处理器执行该计算机程序时，电子设备执行上述的各种实施方式提供的方法。

本实施例还提供一种程序产品，该程序产品包括计算机程序，该计算机程序存储在可读存储介质中。电子设备的至少一个处理器可以从可读存储介质读取该计算机程序，至少一个处理器执行该计算机程序使得电子设备实施上述的各种实施方式提供的方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本申请的其它实施方案。本申请旨在涵盖本申请的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本申请的一般性原理并包括本申请未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本申请的真正范围和精神由权利要求书指出。

应当理解的是，本申请并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本申请的范围仅由所附的权利要求书来限制。

Claims (10)

1.一种信息安全防护方法，其特征在于，应用于信息安全防护系统，所述信息安全防护系统包括移动终端设备集群以及服务节点集群，其中，所述服务节点集群所对应的集群架构包括系统服务层以及业务交互层，其中，所述系统服务层与所述业务交互层中的各个业务交互节点通信连接；所述移动终端设备集群中的各个移动终端设备与所述业务交互层中的至少一个业务交互节点通信连接；所述方法，包括：

所述移动终端设备集群中的第一移动终端设备向所述业务交互层中的第一业务交互节点发送第一数据请求，所述第一数据请求为在所述第一移动终端设备的第一数据目录文件中所触发的数据请求，所述第一数据请求包括所述第一移动终端设备的第一设备信息以及第一数据链接信息；

所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级；

若所述目标数据安全等级高于所述目标设备权限等级所对应的目标数据安全等级范围，则所述第一业务交互节点向所述第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层；

所述系统服务层根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备。

2.根据权利要求1所述的信息安全防护方法，其特征在于，所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，包括：

所述第一业务交互节点根据所述第一数据链接信息中的第一链接特征字段确定所述第一数据文件的第一存储区域，并根据所述第一数据链接信息中的第二链接特征字段确定所述第一数据文件的第一文件格式；

若所述第一存储区域对应保密存储区域，则所述目标数据安全等级为第一数据安全等级；

若所述第一存储区域对应非保密存储区域，且所述第一文件格式为可编辑文件格式，则所述目标数据安全等级为第二数据安全等级，所述第一数据安全等级高于所述第二数据安全等级；

若所述述第一存储区域对应非保密存储区域，且所述第一文件格式为非可编辑文件格式，则所述目标数据安全等级为第三数据安全等级，所述第二数据安全等级高于所述第三数据安全等级。

3.根据权利要求2所述的信息安全防护方法，其特征在于，所述根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级，包括：

所述第一业务交互节点根据所述第一设备信息中的第一设备特征字段确定第一登录账户，并根据所述第一设备信息中的第二设备特征字段确定所述第一移动终端设备所连接的第一网络类型；

若所述第一登录账户所对应的账户等级高于预设账户等级，则所述目标设备权限等级为第一设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为内部局域网络，则所述目标设备权限等级为第二设备权限等级，所述第一设备权限等级高于所述第二设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为虚拟专用网络，则所述目标设备权限等级为第三设备权限等级，所述第二设备权限等级高于所述第三设备权限等级；

若所述第一登录账户所对应的账户等级不高于所述预设账户等级，且所述第一网络类型为外部开放网络，则所述目标设备权限等级为第四设备权限等级，所述第三设备权限等级高于所述第四设备权限等级。

4.根据权利要求3所述的信息安全防护方法，其特征在于，若所述目标数据安全等级为所述第一数据安全等级，则所述目标数据安全等级高于所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级以及所述第二设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第二数据安全等级，则所述目标数据安全等级高于所述第四设备权限等级所对应的数据安全等级范围，低于所述第一设备权限等级、所述第二设备权限等级以及所述第三设备权限等级所对应的数据安全等级范围；

若所述目标数据安全等级为所述第三数据安全等级，则所述目标数据安全等级低于所述第一设备权限等级、所述第二设备权限等级、所述第三设备权限等级以及所述第四设备权限等级所对应的数据安全等级范围。

5.根据权利要求1-4中任意一项所述的信息安全防护方法，其特征在于，所述系统服务层包括系统管理层以及安全防护层，所述系统管理层中的系统管理节点与所述安全防护层中的各个安全防护节点通信连接，所述安全防护层中的安全防护节点与所述业务交互层中的各个业务交互节点通信连接；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层，包括：

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述安全防护层中的第一安全防护节点，并通过所述第一安全防护节点将所述第一用户身份信息发送至所述系统管理节点；

对应的，所述系统服务层根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备，包括：

所述系统管理节点根据所述预设身份认证模型对所述第一用户身份信息进行身份验证，若验证通过，则所述系统管理节点向所述第一安全防护节点发送第一数据获取指示；

所述第一安全防护节点响应于所述第一数据获取指示，并根据所述第一数据连接信息获取所述第一数据文件；

所述第一安全防护节点将所述第一数据文件发送至所述第一业务交互节点，以使所述第一业务交互节点将所述第一数据文件发送至所述第一移动终端设备。

6.根据权利要求5所述的信息安全防护方法，其特征在于，所述信息安全防护系统还包括固定终端设备集群，所述固定终端设备集群中的各个固定终端设备与所述安全防护层中的至少一个安全防护节点通信连接；所述方法，还包括：

所述移动终端设备集群中的第二移动终端设备向所述业务交互层中的第二业务交互节点发送第二数据请求，所述第二数据请求为在所述第二移动终端设备的第二数据目录文件中所触发的数据请求，所述第二数据请求包括所述第二移动终端设备的第二设备信息以及第二数据链接信息，所述第二数据链接信息用于访问所述固定终端设备集群中第一固定终端设备中的第二数据文件；

所述第二业务交互节点根据所述第二设备信息中的第一设备特征字段确定第二登录账户，并根据所述第二设备信息中的第二设备特征字段确定所述第二移动终端设备所连接的第二网络类型；

所述第二业务交互节点将所述第二登录账户、所述第二网络类型以及所述第二数据链接信息发送至所述第一固定终端设备所连接的第二安全防护节点；

所述第二安全防护节点根据所述第二数据链接信息获取所述第一固定终端设备的第一固定终端信息，所述第一固定终端信息包括所述第一固定终端设备上的第三登录账户；

若所述第二登录账户与所述第三登录账户为相同账户，且所述第二网络类型为内部局域网络或虚拟专用网络，则第二安全防护节点根据所述第二数据链接信息获取第二数据文件，并将所述第二数据文件发送至所述第二业务交互节点；

所述第二业务交互节点将所述第二数据文件发送至所述第二移动终端设备，并直接在所述第二移动终端设备上打开所述第二数据文件；

若在所述第二移动终端设备上关闭所述第二数据文件，则所述第二移动终端设备删除内存中的所述第二数据文件。

7.根据权利要求6所述的信息安全防护方法，其特征在于，在所述移动终端设备集群中的第二移动终端设备向所述业务交互层中的第二业务交互节点发送第二数据请求之前，还包括：

所述第一固定终端设备根据内存中的文件存储信息以及文件层级信息生成所述第二数据目录文件，所述第二数据目录文件的文件层级与所述文件层级信息相匹配，在所述第二数据目录文件的第一文件层级下的第二虚拟文件用于链接至所述第一固定终端设备内存中的所述第一文件层级下的所述第二数据文件；

所述第一固定终端设备将所述第二数据目录文件发送至所述第二安全防护节点；

所述第二安全防护节点通过所述第二业务交互节点将所述第二数据目录文件发送至所述第二移动终端设备。

8.一种信息安全防护系统，其特征在于，包括：移动终端设备集群以及服务节点集群，其中，所述服务节点集群所对应的集群架构包括系统服务层以及业务交互层，其中，所述系统服务层与所述业务交互层中的各个业务交互节点通信连接；所述移动终端设备集群中的各个移动终端设备与所述业务交互层中的至少一个业务交互节点通信连接；

所述移动终端设备集群中的第一移动终端设备向所述业务交互层中的第一业务交互节点发送第一数据请求，所述第一数据请求为在所述第一移动终端设备的数据目录文件中所触发的数据请求，所述第一数据请求包括所述第一移动终端设备的第一设备信息以及第一数据链接信息；

所述第一业务交互节点根据预设数据安全分类模型确定所述第一数据链接信息所对应的目标数据安全等级，并根据预设设备权限分类模型确定所述第一设备信息所对应的目标设备权限等级；

若所述目标数据安全等级高于所述目标设备权限等级所对应的目标数据安全等级范围，则所述第一业务交互节点向所述第一移动终端设备发送用户身份信息请求，以获取第一用户身份信息；

所述第一业务交互节点将所述第一用户身份信息以及所述第一数据请求发送至所述系统服务层；

所述系统服务层根据预设身份认证模型对所述第一用户身份信息进行身份验证，若验证成功，则所述系统服务层根据所述第一数据连接信息获取对应的第一数据文件，并通过所述第一业务交互节点发送至所述第一移动终端设备。

9.一种电子设备，其特征在于，包括：

处理器；以及，

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1至7任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如权利要求1至7任一项所述的方法。