基于属性基加密的员工隐私数据保护方法及系统与流程

本发明涉及信息安全，具体涉及基于属性基加密的员工隐私数据保护方法及系统。

背景技术：

1、属性基加密（attribute-based encryption，abe）是现有技术中实现企业隐私数据细粒度访问控制的主流加密方案，其核心原理是绑定访问控制策略与用户属性，仅用户属性匹配预设策略才可解密密文，该方案无需为各用户单独分配专属密钥，可适配企业多用户、多级权限划分的管理场景。企业需防护的数据分为员工个人敏感隐私数据与业务涉密数据，前者包含薪酬、健康档案、家庭隐私信息，后者涵盖项目文档、客户信息、核心技术资料。当前行业普遍利用abe加密存储两类涉密数据，结合员工岗位、所属部门、职级等属性维度，针对性配置差异化访问控制策略，以此实现不同人员对企业内部隐私与涉密数据的分级管控，满足企业日常数据安全访问管理的基础需求。

2、现有属性基加密方案针对企业员工升职、转岗、离职等人事变动场景处理机制存在缺陷。现有方案的访问策略更新方式较为单一，未区分不同岗位对应的信息泄露风险，对核心涉密岗位、普通行政岗位人员离职采用统一处理逻辑：全量重加密全部数据会大幅提升服务器运算开销，仅更新用户密钥则会留存失效密钥，存在数据泄露隐患。同时，现有方案未对密钥管理开销、重加密算力消耗进行量化约束，策略更新过程易占用大量系统算力造成业务卡顿，还可能出现密钥存储容量超出系统内存上限的情况。此外，策略更新多依靠人工配置，人工操作失误概率较高，无法实现安全风险与系统资源开销的动态平衡。

3、也就是说，现有技术的基于属性基加密的员工隐私数据保护效果较差。

技术实现思路

1、本发明的目的在于提供基于属性基加密的员工隐私数据保护方法及系统，用于解决现有技术中基于属性基加密的员工隐私数据保护效果较差的技术问题。

2、第一方面，本发明一个实施例提供一种基于属性基加密的员工隐私数据保护方法，所述方法包括：

3、响应于员工的状态变动事件，并获取员工的初始可访问数据范围、变动类型以及多维访问特征；其中，状态变动事件由触发权限动态调整的人事异动指令所产生；初始可访问数据范围用于表征员工被授权访问的隐私数据集合；变动类型用于表征员工在组织架构中的流转方向；多维访问特征包括员工的隐私数据语义特征、身份特征以及历史行为特征，语义特征用于表征隐私数据在业务场景下的敏感等级与内容属性的数值化结果；身份特征用于表征员工的角色定位与数据访问资质；历史行为特征用于表征员工的过往操作习惯与异常访问倾向；

4、对初始可访问数据范围、变动类型以及多维访问特征进行分析，得到员工的敏感性等级；其中，敏感性等级用于表征员工在状态变动事件下发生隐私数据泄露的潜在危险程度及对应的安全防护需求级别；

5、基于敏感性等级和双重约束条件匹配对应的目标更新策略，以根据目标更新策略执行相应的权限变更操作；其中，双重约束条件用于表征系统资源基准值与实际资源占用量之间的算力与性能边界。

6、在一个实施例中，对初始可访问数据范围、变动类型以及多维访问特征进行分析，得到员工的敏感性等级的步骤，包括：

7、根据初始可访问数据范围，计算权限覆盖度；其中，权限覆盖度用于表征员工基于权限所关联的涉密数据的规模；

8、根据多维访问特征，计算访问风险值；其中，访问风险值用于表征员工对涉密数据的历史接触深度与操作熟练程度；

9、根据变动类型，确定变动类型权重；其中，变动类型权重用于表征员工因权限范围变动所导致的原有权限延续性风险程度；

10、将权限覆盖度、访问风险值与变动类型权重按照预设的加权系数进行融合，得到敏感性量化值；

11、基于累计状态变动事件的样本量，将敏感性量化值映射为多个敏感等级。

12、在一个实施例中，根据初始可访问数据范围，计算权限覆盖度的步骤，包括：

13、基于初始可访问数据范围，统计员工在对应的权限下可访问的涉密数据总量；

14、获取所有涉密数据总量，基于员工在对应的权限下可访问的涉密数据总量与所有涉密数据总量的比值，得到权限覆盖度。

15、在一个实施例中，根据多维访问特征，计算访问风险值的步骤，包括：

16、从多维访问特征中提取历史行为特征，获取员工在预设历史周期内的涉密数据访问记录；

17、根据涉密数据访问记录，识别员工访问过的最高密级数据，并匹配最高密级数据对应的密级权重；

18、统计员工在预设历史周期内，对最高密级数据的累计访问次数；

19、获取所有在职员工在预设历史周期内，对最高密级数据的单次最高访问次数，作为归一化基准值；

20、基于密级权重、累计访问次数以及归一化基准值，计算得到访问风险值。

21、在一个实施例中，根据变动类型，确定变动类型权重的步骤，包括：

22、识别员工的变动类型，变动类型至少包括权限解除类变动、权限扩张类变动以及权限调整类变动；

23、针对权限解除类变动，配置最高的变动类型权重；

24、针对权限扩张类变动，配置最低的变动类型权重；

25、针对权限调整类变动，获取员工在变动前后的可访问密级变化信息，并基于可访问密级变化信息，确定对应的变动类型权重。

26、在一个实施例中，将权限覆盖度、访问风险值与变动类型权重按照预设的加权系数进行融合，得到敏感性量化值的步骤，包括：

27、分别为权限覆盖度、访问风险值与变动类型权重分配对应的预设的加权系数；其中，权限覆盖度与访问风险值对应的加权系数之和大于变动类型权重对应的加权系数；

28、将权限覆盖度、访问风险值以及变动类型权重，与各自对应的加权系数进行融合，得到敏感性量化值。

29、在一个实施例中，基于累计状态变动事件的样本量，将敏感性量化值映射为多个敏感等级的步骤，包括：

30、在累计状态变动事件的样本量大于或者等于预设样本量的情况下，基于敏感性量化值进行聚类，得到多个敏感等级；其中，敏感等级包括低敏感等级、中敏感等级以及高敏感等级；

31、在累计状态变动事件的样本量小于预设样本量的情况下，采用预设静态阈值进行等级划分，得到多个敏感等级。

32、在一个实施例中，双重约束条件包括密钥管理负担约束和重加密开销约束，基于敏感性等级和双重约束条件匹配对应的目标更新策略的步骤，包括：

33、获取密钥管理负担约束和重加密开销约束；其中，密钥管理负担约束关联于系统密钥存储余量，重加密开销约束关联于业务低峰期的可用算力资源；

34、针对高敏感等级，优先选用全量数据重加密策略，在重加密开销约束超出预设约束的情况下，从局部数据重加密策略和访问凭证更新策略中，确定出目标更新策略；

35、针对中敏感等级，优先选用局部数据重加密策略，在重加密开销约束超出预设约束的情况下，将访问凭证更新策略确定为目标更新策略；

36、针对低敏感等级，将访问凭证更新策略确定为目标更新策略。

37、第二方面，本发明另一个实施例提供了一种基于属性基加密的员工隐私数据保护系统，所述系统包括：

38、响应模块，用于响应于员工的状态变动事件；

39、获取模块，用于获取员工的初始可访问数据范围、变动类型以及多维访问特征；其中，状态变动事件由触发权限动态调整的人事异动指令所产生；初始可访问数据范围用于表征员工被授权访问的隐私数据集合；变动类型用于表征员工在组织架构中的流转方向；多维访问特征包括员工的隐私数据语义特征、身份特征以及历史行为特征，语义特征用于表征隐私数据在业务场景下的敏感等级与内容属性的数值化结果；身份特征用于表征员工的角色定位与数据访问资质；历史行为特征用于表征员工的过往操作习惯与异常访问倾向；

40、分析模块，用于对初始可访问数据范围、变动类型以及多维访问特征进行分析，得到员工的敏感性等级；其中，敏感性等级用于表征员工在状态变动事件下发生隐私数据泄露的潜在危险程度及对应的安全防护需求级别；

41、权限变更模块，用于基于敏感性等级和双重约束条件匹配对应的目标更新策略，以根据目标更新策略执行相应的权限变更操作；其中，双重约束条件用于表征系统资源基准值与实际资源占用量之间的算力与性能边界。

42、在一个实施例中，分析模块，包括：

43、计算模块，用于根据初始可访问数据范围，计算权限覆盖度；其中，权限覆盖度用于表征员工基于权限所关联的涉密数据的规模；根据多维访问特征，计算访问风险值；其中，访问风险值用于表征员工对涉密数据的历史接触深度与操作熟练程度；

44、确定模块，用于根据变动类型，确定变动类型权重；其中，变动类型权重用于表征员工因权限范围变动所导致的原有权限延续性风险程度；

45、融合模块，用于将权限覆盖度、访问风险值与变动类型权重按照预设的加权系数进行融合，得到敏感性量化值；

46、映射模块，用于基于累计状态变动事件的样本量，将敏感性量化值映射为多个敏感等级。

47、第三方面，本发明又一个实施例还提供一种电子设备，包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现上述第一方面所述方法的步骤。

48、第四方面，本发明再一个实施例还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面所述方法的步骤。

49、本发明具有如下有益效果：

50、本发明实施例以员工的状态变动事件为触发点，全面采集数据访问范围、人员变动类型及多维度访问特征，从数据敏感度、员工身份、历史操作行为等角度完成风险研判，风险评估维度完整、判定依据客观，可准确划分泄露风险等级。同时结合系统算力、内存存储两大资源约束匹配权限更新策略，不再采用传统的固定阈值处理模式。既针对不同风险等级落实差异化安全防护措施，筑牢数据安全防线，又严格把控系统资源负载，避免重加密、密钥更新等操作引发系统卡顿、内存溢出等问题。在兼顾数据安全防护与系统稳定运行的同时，可适配不同规模企业的隐私数据保护需求，进而提升了基于属性基加密的员工隐私数据保护效果。