一种面向企业全域管理数据的安全存储优化方法及系统与流程

本发明涉及企业数据安全存储，尤其涉及一种面向企业全域管理数据的安全存储优化方法及系统。

背景技术：

1、随着企业数字化转型的深入，企业全域管理数据涵盖办公文档、财务报表、合同协议、研发图纸、客户信息、运维日志、视频监控等多种类型，广泛分布于文件服务器、数据库、云存储、终端设备及业务系统之中；这些数据不仅规模庞大、类型多样，而且安全等级差异显著，亟需一套能够实现全域感知、统一治理、动态优化的安全存储体系。

2、现有面向企业全域管理数据的安全存储优化系统在使用过程中存在以下缺点：

3、1、现有技术缺乏全域数据统一感知与治理能力，海量非结构化数据（文档、图片、音视频等）散落于各业务系统与终端，传统手段无法自动识别其内容与敏感等级，数据资产目录难以建立；同时，跨部门、跨系统的存储架构相互独立，权限体系割裂，缺乏统一的分类分级标准与访问控制策略；

4、2、现有技术多为分散、孤立部署，加密、权限、备份等策略在不同系统中独立执行，策略冲突频发，管理成本高昂；权限管控粗放，过度授权与回收滞后问题突出；强制加密易阻塞协同流程；存储架构缺乏动态优化能力：固定阈值的策略无法适配数据重要程度的差异；冗余及低价值数据大量占用存储空间；在应对海量小文件或高并发时存在性能瓶颈，难以在安全、效率与成本间实现有效平衡；

5、综合上述情况，本技术提出了一种面向企业全域管理数据的安全存储优化方法及系统。

技术实现思路

1、基于背景技术存在的技术问题，本发明提出了一种面向企业全域管理数据的安全存储优化方法及系统。

2、本发明提出的一种面向企业全域管理数据的安全存储优化方法，包括以下步骤：

3、s1：全域数据智能感知与资产测绘：对企业全域管理数据存储节点进行自动化扫描与发现，识别结构化数据、非结构化数据及半结构化数据，提取数据元信息，构建全域数据资产目录与数据分布热力图；

4、s2：多维度数据分类分级与敏感标签标注：基于数据内容、数据类型、数据来源及业务属性构建多维度分类分级模型，自动标注数据敏感等级标签，形成统一的数据分级体系；

5、s3：统一安全策略引擎构建与策略编排：基于数据分级结果构建统一安全策略引擎，对不同安全等级的数据自动匹配差异化的加密策略、访问控制策略、备份策略及留存策略，形成策略编排与冲突消解机制；

6、s4：存储架构动态优化与智能分层：根据数据访问频率、数据价值及安全等级，对存储架构进行动态优化与智能分层，将高频访问数据分配至高性能存储层、低频访问数据分配至低成本存储层，并执行数据去重与压缩优化；

7、s5：动态权限管控与零信任访问控制：基于用户身份、设备状态、访问行为及数据敏感等级构建动态权限评估模型，实时计算访问信任度并动态调整访问权限，实现最小权限原则下的精细化访问控制；

8、s6：全生命周期安全审计与闭环优化：对数据从生成、存储、访问、迁移到销毁的全生命周期进行安全审计，基于审计结果持续优化分类分级模型、安全策略及存储架构，形成闭环自优化机制。

9、优选的，所述s1中，全域数据智能感知包括：通过网络扫描、代理采集、api对接方式，自动发现企业全域数据存储节点，提取文件类型、文件大小、创建时间、修改时间、访问频率、所属部门及业务系统元信息，构建全域数据资产目录，其中表示第个数据资产；同时统计各存储节点的数据分布密度，生成数据分布热力图。

10、优选的，所述s2的具体逻辑步骤如下：

11、s201：数据内容敏感度解析：对s1发现的数据资产进行内容解析与识别，对文档类数据提取正文文本，对图片类数据通过ocr识别图中文字，对音视频类数据提取语音转文字结果，对结构化数据提取字段注释与样例值；然后基于预设敏感词库与正则表达式匹配规则，检测各类敏感数据特征，计算内容敏感度评分，其计算公式如下：

12、；

13、其中表示第个数据资产的内容敏感度评分，表示匹配到的敏感特征数量，表示数据资产中总特征数量，为第个敏感特征的预设权重，对于无文本内容的数据资产，默认取0；

14、s202：数据类型敏感度评估：基于文件后缀名、mime类型及数据格式特征，识别数据资产所属的数据类型，预置数据类型风险映射表，根据数据类型的固有敏感性赋值，数据类型敏感度评分的赋值规则如下：

15、；

16、其中取值越高表示该数据类型固有敏感性越强；

17、s203：数据来源敏感度评估：基于数据资产所属的业务系统、所属部门及采集方式，评估数据来源的敏感程度，关键业务系统或核心部门产生的数据通常具有更高敏感性，其来源敏感度评分的计算公式如下：

18、；

19、其中取值越高表示该数据类型固有敏感性越强；

20、s203：数据来源敏感度评估：基于数据资产所属的业务系统、所属部门及采集方式，评估数据来源的敏感程度，关键业务系统或核心部门产生的数据通常具有更高敏感性，其来源敏感度评分的计算公式如下：

21、；

22、其中表示数据是否涉及个人隐私，表示是否涉及商业秘密，表示是否受行业监管合规要求约束，取各维度最大值，当存在任一合规敏感属性时业务敏感度自动置为1，确保合规数据优先得到保护；

23、s205：综合敏感等级评分与标签标注：将、、、四个维度的敏感度评分进行加权融合，计算数据资产的综合敏感等级评分，其计算公式如下：

24、；

25、其中、、、为对应维度的权重系数，满足+++=1+++=1，权重系数默认配置为内容敏感度权重0.35、数据类型权重0.25、来源权重0.20、业务属性权重0.20，同时可根据不同行业的合规要求进行定制化调整；

26、s206：数据分级标签映射与统一分级体系构建：根据计算得到的综合敏感等级评分，按照预设的分级映射规则，将数据自动归属至对应的敏感等级，其分级判定规则如下：

27、；

28、其中表示第个数据资产的敏感等级标签；完成标注后将各数据资产的敏感等级标签同步至s1构建的全域数据资产目录中，形成包含敏感等级维度信息的统一数据分级体系，为后续s3统一策略引擎的差异化策略匹配提供分级依据；同时将分类分级过程中产生的特征匹配记录、评分明细及分级结果全量写入审计日志，确保分类分级过程可追溯、可审计。

29、优选的，所述s3的具体逻辑步骤如下：

30、s301：策略库构建与策略模板定义：基于企业安全合规要求及数据分级体系，预构建统一安全策略库，每条策略定义为四元组，其中表示策略触发条件，表示策略执行动作，表示策略优先级，表示策略类型标签，形成覆盖全域数据安全管控需求的策略模板库；

31、s302：数据-策略匹配度计算：当数据资产进入策略引擎时，提取其敏感等级、所属部门、存储位置等属性特征，构建数据特征向量，将其与策略库中各条策略的触发条件进行匹配计算，其匹配度计算公式如下：

32、；

33、其中表示第个数据资产与第条策略的归一化匹配度，表示数据特征向量与策略触发条件的匹配相似度，为策略优先级权重；通过归一化处理，确保所有策略匹配度之和为1；

34、s303：策略冲突检测与类型归属判定：当同一数据资产匹配到多条类型相同的策略且>0时，判定存在策略冲突，触发冲突消解流程；其策略冲突判定标识的计算公式如下：

35、；

36、当=1时，即同一类型存在两条及以上匹配策略且执行动作互斥时，触发冲突消解；

37、s304：策略冲突消解与最优策略筛选：基于策略优先级与匹配度的加权融合，计算冲突策略的综合优选评分，选取评分最高的策略作为最终执行策略，其冲突消解优选评分计算公式如下：

38、；

39、其中为第条策略的冲突消解优选评分，为数据-策略匹配度，为策略优先级，为策略库中最高优先级值，为平衡系数；选取满足=max的策略作为最终执行策略；同时将冲突检测记录、冲突消解过程及最终策略选择结果全量写入审计日志；

40、s305：差异化安全策略组合生成与策略编排：根据数据资产的敏感等级及匹配的各类型策略，自动生成完整的安全策略组合，其策略组合生成规则如下：

41、；

42、其中表示各类型中匹配度最高的策略执行动作；同时按敏感等级进行差异化编排：绝密级数据强制执行加密存储、严格访问控制、每日全量备份、永久留存；机密级数据推荐加密存储、部门级访问控制、每周全量备份、长期留存；内部级数据按需加密、全员可访问、每月增量备份、中期留存；公开级数据不加密、全员可访问、不备份、短期留存；各等级策略动作组合如下表：

43、；

44、s306：策略执行效果评估与策略库动态更新：记录策略执行过程中的合规覆盖情况、策略命中准确率及误报率指标，对策略库的整体有效性进行周期性量化评估，定义策略综合效能评分，其计算公式如下：

45、；

46、其中为策略综合效能评分，表示策略合规覆盖率，表示策略误匹配率，表示策略命中率，、、为权重系数；当连续三个评估周期低于预设阈值时，自动触发策略库优化流程，由策略管理员介入调整策略条件、优先级及动作参数，实现策略库的动态优化迭代，最终输出适配各数据等级的差异化安全策略组合，下发至数据存储层、网络层及应用层执行，完成企业全域管理数据统一安全策略的精准编排与自动化管控。

47、优选的，所述s4的具体逻辑步骤如下：

48、s401：数据资产综合热度值计算：针对s1构建的全域数据资产目录中的每一个数据资产，提取其访问频率、最近访问时间、数据大小及敏感等级，计算综合热度值，其计算公式如下：

49、；

50、其中表示第个数据资产的综合热度值，表示单位时间内的访问频率归一化值，表示最近访问时间衰减因子，其计算公式为，为当前时刻距上次访问的时间间隔，为衰减系数，默认取0.01；为数据敏感等级评分，其中绝密级取1.0、机密级取0.7、内部级取0.4、公开级取0.1，、、为权重系数；

51、s402：智能存储分层决策：根据数据综合热度值及预设的分层阈值，将数据自动分配至对应的存储层，其分层判定规则如下：

52、；

53、其中表示第个数据资产的存储层归属，为热温分层阈值，为温冷分层阈值；热存储层用于高频访问的热数据，采用高性能ssd存储介质；温存储层用于低频访问的温数据，采用普通hdd存储介质；冷存储层用于极少访问的冷数据，采用蓝光存储、磁带库或云归档；同时，对绝密级和机密级数据强制存储于本地受控存储环境，禁止存放至公有云冷存储层；

54、s403：存储空间去重与压缩优化：对各存储层中的数据资产执行数据去重与压缩优化，释放冗余存储空间；首先通过字节级或文件级指纹比对识别并删除重复数据副本，仅保留唯一实例并建立引用映射；然后依据数据类型自适应选择压缩算法，其存储空间优化率计算公式如下：

55、；

56、其中表示存储空间优化率，为优化前存储空间总占用，为优化后存储空间实际占用；同时设定优化率目标阈，当时触发深度压缩或归档清理策略，确保存储资源利用效率持续达标；

57、s404：存储分层动态迁移与周期性重评估：设定评估周期，在每个评估周期内，系统对热存储层、温存储层和冷存储层中的各数据资产综合热度值进行周期性重评估，当数据热度值跨越预设分层阈值边界且持续时间超过时，自动生成数据迁移任务，在各存储层之间执行透明迁移，其迁移触发判定逻辑如下：

58、；

59、其中为第个数据资产在当前评估周期的综合热度值；同时通过s6全生命周期审计模块持续监测数据访问模式的变化，动态调整和阈值参数，实现存储架构的自适应优化；

60、s405：安全存储策略与分层联动执行：将s3生成的差异化安全策略与智能分层结果进行联动，依据各存储层的安全等级要求执行差异化的安全加固措施：热存储层数据采用在线加密与实时权限校验，保障高频访问下的数据安全与低延迟响应；温存储层数据采用标准加密存储与定期权限审计，满足合规要求与成本平衡；冷存储层数据采用批量加密与归档权限管控，仅支持批量解密与恢复访问；同时联动数据敏感等级确保绝密级数据无论存储于热层、温层或冷层，均强制执行最高等级加密与访问控制策略，不因存储层级下沉而降低安全标准；最终输出包含存储层归属、存储位置、安全策略组合及优化率指标在内的完整存储优化方案，并推送至存储执行层完成策略落地与效果验证。

61、优选的，所述s5的具体逻辑步骤如下：

62、s501：构建动态权限评估多维特征向量：当用户发起数据访问请求时，系统实时采集用户身份认证强度、设备安全状态、用户行为特征及目标数据敏感等级四个维度的信息，构成本次访问请求的特征向量，其中表示用户身份认证强度评分，表示设备安全状态评分，表示用户行为风险评分，表示目标数据敏感等级评分；

63、s502：访问信任度融合计算：将四维特征向量输入动态权限评估模型，加权融合计算访问信任度，其计算公式如下：

64、；

65、其中表示用户对数据的本次访问信任度，、、、为权重系数，注意越大数据越敏感，(1−)越小，即访问敏感数据需要更高的信任度；同时引入贝叶斯动态更新机制，每次访问后根据实际行为结果对用户行为风险评分进行在线修正，其修正公式如下：

66、；

67、其中为本次访问的实际风险评估结果，为模型预测的访问风险概率，为学习率，使模型具备持续学习用户行为模式的能力；

68、s503：动态权限授予与最小权限访问控制：将计算得到的与预设的多级信任阈值进行比较，执行差异化权限授予：

69、当≥时，授予完整访问权限；

70、时，授予只读访问权限，禁止写入、下载和导出；

71、时，授予受限只读权限；

72、当时，直接拒绝访问，触发多因素认证升级流程；

73、其权限决策规则如下：

74、；

75、s504：持续行为监测与实时权限动态调整：在用户访问过程中，系统持续监测用户行为特征，当检测到行为风险评分发生异常变化或累计风险评分低于预设下限时，自动触发权限降级或会话中断，其动态调整逻辑如下：

76、；

77、权限调整后的结果实时生效，确保最小权限原则的动态落实；

78、s505：权限变更审计与闭环反馈：将每一次权限授予、权限调整、权限回收操作的详细信息全量记录至审计日志，其记录格式如下：

79、，，；

80、其中表示操作类型；同时将权限管控结果周期性反馈至s6全生命周期审计模块，用于持续优化权限评估模型的权重系数 -及各等级信任阈值、、，使动态权限管控模型具备基于历史访问效果的自适应调优能力，最终实现权限管控的持续进化与精细化闭环管理。

81、优选的，所述s6的具体逻辑步骤如下：

82、s601：全生命周期审计日志采集与结构化存储：对数据从生成、存储、访问、迁移到销毁的全生命周期各环节进行审计日志采集，每次操作记录结构化审计条目，其格式如下：

83、；

84、其中为操作时间戳，为操作用户标识，为数据资产唯一标识，为操作类型，为操作结果，和分别为操作前后该数据资产的敏感等级评分；所有审计条目按时间顺序追加写入审计日志库，确保日志数据的完整性与不可篡改性；

85、s602：基于审计反馈的分类分级模型自优化：定期提取审计日志库中的访问记录与权限决策记录，统计各敏感等级下用户访问行为分布，识别分类分级模型的偏差与误判，采用梯度下降方式对s2中的分类分级模型权重系数进行迭代更新，其参数更新公式如下：

86、；

87、其中表示s2中分类分级模型的权重系数向，为审计日志中的反馈样本集，为基于分类误差构建的损失函数，为学习率；通过持续迭代更新，使分类分级模型逐步逼近真实数据分布，同时将模型迭代后的参数版本与更新记录一并写入审计日志，实现可回滚、可追溯的模型演进管理；

88、s603：基于审计反馈的安全策略参数自优化：审计日志库中记录的策略匹配次数、策略冲突次数、策略误判次数及人工修正记录，为策略引擎提供量化评估依据，基于累计审计反馈数据对各等级安全策略的匹配参数与优先级权重进行动态修正，其策略效能评分及策略参数更新公式如下：

89、；

90、；

91、其中为策略综合效能评分，为合规覆盖率，为误匹配率，为策略命中率，、、为权重系数，和分别表示策略更新前后的优先级权重，为目标效能阈值，为修正步长，为该策略的平均匹配度；当策略效能评分持续低于目标值时自动触发策略参数修正，动态调整策略执行条件与优先级；

92、s604：基于审计反馈的存储分层阈值自优化：审计日志库中记录的数据访问频率变化趋势、存储迁移记录及访问延迟数据，为存储分层阈值的动态调整提供量化依据，基于实际访问模式统计结果对各存储分层阈值进行周期性修正，其阈值修正公式如下：

93、；

94、；

95、其中、为修正后的热温分层阈值和温冷分层阈值，为实际热→温迁移比例，为目标热→温迁移比例，为实际温→冷迁移比例，为目标温→冷迁移比例，为修正步长；当审计数据显示实际迁移比例偏离目标值时，自动修正分层阈值，使存储架构的实际运行状态逐步逼近预设优化目标；

96、s605：综合闭环优化效果评估与持续迭代：综合s2分类分级模型准确率、s3策略匹配精确率、s4存储优化率及s5权限管控拦截率，构建系统整体闭环效能评分，其计算公式如下：

97、；

98、其中为分类分级模型准确率，为策略匹配精确率，为存储空间优化率，为异常访问拦截率，、、、为权重系数；当时判定系统整体运行良好；当低于目标值时，依据各分项指标与目标值的偏差定位薄弱环节，触发针对性优化流程，形成“审计采集→偏差分析→参数修正→效果验证”的持续自优化闭环，确保系统整体效能持续逼近最优状态。

99、本发明还提出了一种面向企业全域管理数据的安全存储优化系统，包括全域数据感知模块、分类分级标注模块、统一策略引擎模块、智能存储分层模块、动态权限管控模块以及全生命周期审计模块；

100、所述全域数据感知模块用于对企业全域数据存储节点进行自动化扫描发现，提取数据元信息，构建全域数据资产目录与数据分布热力图；

101、所述分类分级标注模块用于基于数据内容、类型、来源及业务属性构建多维度分类分级模型，自动标注数据敏感等级标签；

102、所述统一策略引擎模块用于基于数据分级结果构建统一安全策略引擎，自动匹配差异化的加密策略、访问控制策略、备份策略及留存策略；其内置策略冲突消解单元，当多条策略匹配同一数据资产且执行动作存在冲突时，基于策略优先级进行排序，选取优先级最高的策略执行，并记录冲突信息至审计日志；

103、所述智能存储分层模块用于根据数据访问频率、数据价值及安全等级进行存储架构的动态优化与智能分层，并执行数据去重与压缩优化；

104、所述动态权限管控模块用于基于用户身份、设备状态、访问行为及数据敏感等级构建动态权限评估模型，实时计算访问信任度并动态调整访问权限；

105、所述全生命周期审计模块用于对数据从生成到销毁的全生命周期进行安全审计，并基于审计结果持续优化各模块模型参数，形成闭环自优化机制；所述全生命周期审计模块与其余所有模块建立数据反馈通道，定期采集各模块运行参数与策略执行效果，通过梯度下降方式迭代更新分类分级模型权重、策略匹配参数及热度计算系数，实现系统持续自优化。

106、与现有的技术相比，本发明的有益效果是：

107、1、通过全域数据自动化扫描发现与多维特征解析，实现对散落于各业务系统与终端的海量非结构化数据的统一感知与纳管，解决数据资产目录难以建立的问题；同时融合数据内容、类型、来源及业务属性构建多维度分类分级模型，自动标注敏感等级标签，形成统一的数据分级体系，打破跨部门、跨系统存储架构独立与权限体系割裂的状态，有效消除数据治理盲区，使企业清晰掌握全域数据资产分布与敏感等级，为合规举证与差异化安全管控奠定基础；

108、2、通过统一安全策略引擎对加密、权限、备份及留存策略进行集中管控，基于分级结果自动匹配差异化策略组合并内置冲突消解机制，消除传统方案策略分散部署、独立执行所导致的冲突频发与成本高昂问题；通过动态权限评估模型实时计算访问信任度并动态调整权限，实现最小权限下的精细化控制，有效解决过度授权、回收滞后及强制加密阻塞协同的痛点；通过智能分层存储依据访问频率、时效衰减及敏感等级自动分配数据至热、温、冷存储层，结合去重与压缩释放冗余空间，适配数据差异并缓解海量小文件及高并发性能瓶颈；同时通过全生命周期审计持续反馈运行数据，驱动分类分级模型、策略参数及分层阈值的自优化，最终在企业全域管理数据的安全保障、协同效率与存储成本之间实现动态平衡；

109、本发明通过全域数据自动化扫描与多维度分类分级，建立统一数据资产目录与分级体系，打破跨部门权限割裂；通过统一策略引擎集中管控加密、权限、备份等策略，基于分级结果自动匹配并消解冲突，消除策略碎片化；通过动态权限模型实时计算信任度并调整权限，实现最小权限控制；通过智能分层存储按访问频率与敏感等级分配数据至热、温、冷层，结合去重压缩节省空间；通过全生命周期审计反馈运行数据，驱动模型与策略自优化，最终在数据安全、协同效率与存储成本间实现动态平衡，有效提升了企业数据安全治理的全面性、安全策略执行的一致性和存储资源利用的高效性。