一种支持多标准扩展的模块化数据安全评估方法及系统与流程

本发明涉及数据安全，尤其是涉及一种支持多标准扩展的模块化数据安全评估方法及系统。

背景技术：

1、在当今数字化时代，数据已成为企业最重要的资产之一，其价值日益凸显。然而，随着数据量的爆发式增长和数据应用场景的不断丰富，数据安全威胁也呈现出多元化、复杂化的趋势。数据泄露、数据篡改、非法访问等安全事件频发，不仅会给企业带来经济损失，还会严重损害企业声誉和客户信任。在此背景下，建立科学、系统、全面的数据安全评估方法成为企业保障数据安全的核心任务。数据安全评估不仅是识别潜在风险的重要手段，也是满足法律法规合规要求的必要措施，更是持续优化数据安全管理体系的基础。

2、考虑当前数据安全合规体系呈现多标准并行、地域差异化、行业专属化的特征，传统数据安全评估方案存在标准适配单一、体系固化、无法迭代扩展、重复评估成本高的痛点，难以兼顾多维度合规要求与业务动态变化。为此，现有技术研究实现多标准数据安全评估，目前主流的技术方案分为：烟囱式独立系统、单体式大而全系统、配置型系统，其中，烟囱式独立系统是采用一个标准对应一套系统的方式，比如为满足“数安风险评估”开发一套独立系统；为满足“个保合规审计”又采购或开发另一套完全独立的系统；为“iso27001认证”可能再使用另一套工具或excel，然而这些系统彼此孤立、数据不通、重复项目无法复用、用户体验割裂，导致企业采购、开发和维护成本高昂，且评估数据无法互通，形成新的数据孤岛；

3、单体式大而全系统是在一个系统内部内置所有可能的评估标准，这种系统通常非常庞大、笨重、难以维护，每当有一个新的标准或法规出台，就需要对整个系统进行代码级的修改、测试和发布，扩展性极差，响应速度慢，且容易因频繁改动引入系统稳定性风险；

4、配置型系统则是提供一些配置选项，但通常仅限于评估项文字的微调，无法对整个评估模型的核心逻辑（如评估项结构、量化计算规则、报告模板）进行深度定制和扩展，无法真正适配差异巨大的不同评估标准。

5、综上可知，现有技术难以同时有效适配不同评估标准，无法快速响应多样化的需求，不利于高效且稳定地进行数据安全评估。

技术实现思路

1、本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种支持多标准扩展的模块化数据安全评估方法及系统，能够实现数据安全评估的标准化、智能化与灵活可扩展化，并且满足不同标准对数据保密性和安全性的独立要求。

2、本发明的目的可以通过以下技术方案来实现：一种支持多标准扩展的模块化数据安全评估方法，包括以下步骤：

3、s1、定义核心引擎，用于提供数据安全评估的通用基础服务流程；

4、s2、定义评估专区接入接口规范，并设计评估专区模块，用于对应封装不同标准的评估资源；

5、s3、将评估专区模块注册至核心引擎，建立专区列表；

6、s4、获取用户选择的评估类型以及待评估数据，从专区列表中匹配并加载对应评估专区模块；

7、s5、由核心引擎调用已加载的评估专区模块，结合通用基础服务流程对待评估数据进行安全风险评估，获得相应的安全评估结果。

8、进一步地，所述s1中通用基础服务流程包括用户身份认证与权限管理、评估任务创建与分发、数据持久化存储与读取、评估项量化计算、评估报告生成。

9、进一步地，所述s2的过程包括：

10、s21、定义评估专区接入接口规范，规定评估专区模块需提供的元数据信息以及必须实现的函数功能，以作为核心引擎与评估专区模块之间的通信协议；

11、s22、基于评估专区接入接口规范，独立设计适配于不同标准的评估专区模块，各评估专区模块内封装有对应于所属标准的评估项库、量化规则库和报告模板库。

12、进一步地，所述s21中元数据信息包括评估专区编码、名称、版本号、内容描述；

13、函数功能包括获取评估项列表、获取风险计算公式、获取报告模板。

14、进一步地，所述s22中评估项库包含有多个评估项及对应的评估要求；

15、量化规则库包含量化风险计算公式和判断规则描述；

16、报告模板库包含报告样式和内容结构。

17、进一步地，所述s4的过程包括：

18、用户提交评估请求，所述评估请求中包含令牌和选择的评估类型，针对令牌进行有效性校验、并校验用户是否拥有创建评估任务的权限，校验通过后根据评估类型从专区列表查找与评估类型对应的评估专区模块。

19、进一步地，所述s5的过程包括：

20、s51、核心引擎接收用户提交的待评估数据，并验证待评估数据的合法性，验证通过后生成评估任务编号，并将评估任务分发到执行节点；

21、s52、执行节点调用已加载的评估专区模块来获得相应评估资源，首先将待评估数据与评估项进行映射，按照评估专区模块定义的评估要求、判断规则和量化风险计算公式，依次计算每个评估项的得分，结合评估项的权重来获得评估计算结果并存储，将评估计算结果填充至报告模板中，生成评估报告并存储。

22、一种支持多标准扩展的模块化数据安全评估系统，包括表现层、核心引擎层、评估专区层、数据存储层，所述表现层、评估专区层分别与核心引擎层相连接，所述核心引擎层、评估专区层分别与数据存储层相连接，所述表现层用于提供用户操作界面，以接收用户输入数据信息；

23、所述核心引擎层用于执行通用基础服务流程，包括：

24、用户与权限管理服务，负责用户登录、认证和权限控制；

25、工作流引擎服务，负责驱动“评估准备->信息调研->风险识别->综合分析->评估总结”的通用流程；

26、数据持久化服务，提供统一的数据存取api（application programminginterface，应用程序编程接口），并负责数据的隔离与路由；

27、量化计算服务，提供一个标准的计算环境，执行从评估专区层获取的量化规则；

28、报告生成服务，基于模板和数据，生成标准化格式的报告；

29、所述评估专区层用于提供不同标准对应的评估资源，包括评估项、量化规则和报告模板；

30、所述数据存储层用于存储通用共享数据以及专区独立数据。

31、进一步地，所述评估专区层包括多个符合标准接口规范的评估专区模块，多个评估专区模块之间相互独立。

32、进一步地，所述数据存储层设置有核心共享数据库和多个独立数据库，所述核心共享数据库与核心引擎层交互连接，用于存储评估专区层共享数据，包括用户表、组织架构表、操作日志表；

33、所述多个独立数据库分别对应与评估专区层各评估专区模块交互连接，用于存储评估专区模块对应的评估过程数据和评估结果数据。

34、与现有技术相比，本发明具有以下优点：

35、本发明一方面定义用于提供通用基础服务流程的核心引擎，另一方面定义评估专区接入接口规范，并设计用于封装标准评估资源的评估专区模块，通过将评估专区模块注册至核心引擎来建立专区列表；后续能够直接根据用户选择的评估类型以从专区列表中匹配并加载对应评估专区模块，再结合通用基础服务流程对用户提交的待评估数据进行安全风险评估，即可获得相应的安全评估结果。由此通过核心引擎与评估专区模块的松耦合模块化架构，能够将评估流程的通用基础功能与特定评估标准的业务逻辑进行物理和逻辑上的彻底分离，使得核心引擎保持高度稳定，而业务功能的变化则被限制在独立的评估专区模块内，极大地提升了系统的可维护性、可扩展性和稳定性，新标准的接入也不会影响核心引擎的运行，既能快速响应多样化的评估需求，又能保证核心通用功能的稳定和高效。

36、本发明定义专区接入接口规范，该规范定义了核心引擎与任何评估专区模块之间通信的“协议”，它明确规定了一个合规的专区模块必须提供哪些元数据信息（包括专区唯一编码、名称、版本号、描述），以及必须实现哪些核心函数功能（例如：获取评估项列表，获取该评估专区特有的风险计算公式，获取报告模板），通过定义严格的接口契约，使得任何第三方开发的、符合该规范的评估专区模块都能被核心引擎识别、加载和调用，实现了评估功能的“即插即用”，能够支持不同评估标准的组合和扩展，极大地降低了功能扩展的复杂度和成本。

37、本发明直接将设计的评估专区模块注册至核心引擎中，后续核心引擎能够根据用户选择的评估类型来动态加载对应的评估专区模块，当新增评估标准时，只需开发设计相应的评估专区模块，无需修改核心引擎代码，大大缩短了新标准评估业务的上线周期，此外，核心引擎的通用能力能够被所有评估专区模块复用，避免了重复开发，具有高复用性的优点，本发明将通用能力与业务规则分离，核心引擎和评估专区模块独立开发、测试和部署，提高了可维护性。

38、本发明在模块化数据安全评估系统的数据存储层采用“核心共享库+专区分库”的数据存储模式，利用核心共享数据库存储评估专区层共享数据，包括用户表、组织架构表、操作日志表，利用多个独立数据库分别存储评估专区模块对应的评估过程数据和评估结果数据，既保证了用户信息等基础数据的统一管理和复用，避免了数据冗余，又确保了不同评估业务数据的严格隔离，满足了不同合规标准对数据保密性和安全性的独立要求，同时也简化了数据库的维护和备份策略。