一面向数据安全等级的策略驱动型密码学算子编排方法与装置

本发明涉及信息安全与密码学，尤其涉及一种面向数据安全等级的策略驱动型密码学算子编排方法与装置。

背景技术：

1、现有技术中，密码学工具的实现通常依赖于通用加密库或独立应用软件，例如openssl、gnupg 以及 bouncy castle 等。这类技术方案一般通过封装多种密码算法（如对称加密算法aes、非对称加密算法rsa以及哈希算法sha系列）来实现数据加密、解密及完整性校验功能。在具体实现过程中，用户通常需要根据应用需求手动选择算法类型、密钥长度及工作模式，并通过函数调用或命令行参数完成加密操作，无法依据待加密自身风险特征自动匹配适配的加密方案，存在加密策略静态固化、密码流程无法灵活组合编排的核心缺陷。

技术实现思路

1、本发明提供一种面向数据安全等级的策略驱动型密码学算子编排方法与装置，用以解决现有技术中加密方案存在加密策略静态固化、密码流程无法灵活组合编排的缺。

2、一面向数据安全等级的策略驱动型密码学算子编排方法，包括：

3、步骤一：通过数据接入接口获取待加密数据,并对所述待加密数据进行标准化处理，从而得到标准化待加密数据；所述待加密数据包括：结构化数据和和非结构化数据；所述标准化待加密数据至少包括：数据类型标识、数据来源标签、业务应用场景标签、初步敏感属性标记;

4、步骤二：对所述标准化待加密数据进行语义特征与结构特征分析，以确定所述待加密数据的安全等级及风险评分向量；所述安全等级包括：低风险、中风险和高风险三个安全等级；所述风险评分向量用于量化数据泄露可能性、敏感信息密度以及外部攻击风险；

5、步骤三：根据所述安全等级及风险评分向量, 自动生成匹配的密码保护策略; 所述密码保护策略为根据不同密码算子的组合方式、执行顺序动态生成的密码执行图；该密码执行图以有向无环图形式表示密码算子之间的数据流与执行依赖关系;所述密码算子为将轻量级加密算法、aes、rsa、sha、sm4密码算法统一抽象形成的标准化功能单元；每个功能单元配置有输入接口、输出接口及运行约束条件；

6、步骤四：根据生成的密码保护策略完成密钥的分发、存储，并按照预设规则定时更新与销毁所述密钥。

7、进一步地，如上所述的面向数据安全等级的策略驱动型密码学算子编排方法，所述步骤二包括：

8、步骤21：提取所述标准化待加密数据的特征，得到语义特征、结构特征、上下文特征中的至少一种;

9、步骤22：对所述语义特征、结构特征和或上下文特征进行风险评估，得到待加密数据的安全等级及风险评分向量；

10、所述安全等级根据分析语义特征、结构特征、上下文特征与预设安全规则库的匹配结果确定；

11、所述风险评分向量用于表征待加密数据不同风险维度上的风险程度，所述风险维度包括：数据泄露可能性、敏感信息密度、外部攻击风险。

12、进一步地，如上所述的面向数据安全等级的策略驱动型密码学算子编排方法，所述步骤三包括：

13、步骤31：根据数据安全等级、风险评分向量及业务应用场景,从预先构建的策略规则库中，匹配出初始密码保护策略；所述预先构建的策略规则库包括：不同的安全等级分别映射有对应不同的密码保护策略;

14、步骤32：定时采集当前密码保护策略对应的执行结果；

15、步骤33：将所述执行结果与预设阈值进行比较，在所述执行结果未达标或者连续偏离基线时，在所述策略规则库允许范围内，生成若干等级最低保护要求的候选密码保护策略；

16、步骤34：利用学习型决策模型，从所述候选密码保护策略中，筛选出目标密码保护策略，作为所述优化后的密码保护策略。

17、进一步地，如上所述的面向数据安全等级的策略驱动型密码学算子编排方法，所述步骤32中所述执行结果包括以下至少一项：

18、1：同一安全等级下，所述初始密码保护策略执行频繁执行失败、运行性能不达标或安全、合规告警增多;

19、2：当前密码保护策略对应的安全等级低于风险评分向量对应的目标安全等级；

20、3：初始密码保护策略无法满足当前业务应用场景的安全需求；

21、4：当前密码保护策略无法适配待加密数据类型。

22、5、根据权利要求4所述的面向数据安全等级的策略驱动型密码学算子编排方法，其特征在于，所述步骤34包括：

23、利用学习型决策模型预测各候选密码保护策略的执行效果，对所有执行效果一一分别进行验证，当多个候选密码保护策略均通过验证时，根据验证阶段的实际执行结果，对各候选密码保护策略的安全性、执行性能及合规性进行综合评价，并依据综合得分选取得分最高的候选密码保护策略作为目标密码保护策略。

24、进一步地，如上所述的面向数据安全等级的策略驱动型密码学算子编排方法，所述步骤四包括：

25、步骤41：根据生成的密码保护策略生成密钥；

26、步骤42：将生成的密钥通过安全通道或密钥封装机制分发给授权用户以供用户使用,并存储于加密数据库安全存储环境中;

27、步骤43：在所述密钥使用过程中，实时监控系统运行环境，在系统运行环境满足预设更新触发条件下，生成加密强度更强的密钥;在满足预设销毁触发条件的情况下，销毁所述密钥；

28、所述预设触发条件包括：密钥有效期到、密码保护策略调整、安全等级提升、检测到异常访问；

29、所述预设销毁触发条件包括：密钥失效、超过生命周期、完成数据迁移、业务结束。

30、进一步地，如上所述的面向数据安全等级的策略驱动型密码学算子编排方法，所述根据生成的密码保护策略生成密钥包括：

31、采用随机数生成机制，并结合时间戳、设备标识生成唯一密钥。

32、一种面向数据安全等级的策略驱动型密码学算子编排装置，包括：

33、获取单元，用于获取待加密数据；所述待加密数据包括：结构化数据和和非结构化数据；

34、数据解析模块，用于对所述待加密数据进行语义特征与结构特征分析，以确定所述待加密数据的安全等级及风险评分向量；

35、策略生成模块，用于根据所述安全等级及风险评分向量, 自动生成匹配的密码保护策略; 所述密码保护策略为根据不同密码算子的组合方式、执行顺序动态生成的密码执行图；该密码执行图以有向无环图形式表示密码算子之间的数据流与执行依赖关系;所述密码算子为将轻量级加密算法、aes、rsa、sha、sm4密码算法统一抽象形成的标准化功能单元；每个功能单元配置有输入接口、输出接口及运行约束条件；

36、密钥管理模块，用于根据生成的密码保护策略完成密钥的分发、存储，并按照预设规则定时更新与销毁所述密钥。

37、本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述面向数据安全等级的策略驱动型密码学算子编排方法。

38、本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述面向数据安全等级的策略驱动型密码学算子编排方法。

39、本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述面向数据安全等级的策略驱动型密码学算子编排方法。

40、本发明提供的面向数据安全等级的策略驱动型密码学算子编排方法与装置，一方面，通过对待加密数据进行标准化处理，并对标准化待加密数据进行语义特征与结构特征分析，以确定待加密数据的安全等级及风险评分向量，使系统能够根据数据自身风险特征而非人工经验自动匹配合适的加密方案，解决了传统方案中算法选择依赖人工经验、加密策略静态固化的问题；一方面，通过将多种密码算法统一抽象为标准化功能单元，并以有向无环图形式动态生成密码执行图，使加密、解密、签名等操作能够按需模块化组合，解决了现有技术中算法模块耦合性强、密码流程无法灵活组合编排、扩展新算法困难的问题；再一方面，通过将轻量级加密算法、aes、rsa、sha、sm4等异构密码算法统一抽象，解决了不同算法之间缺乏统一接口规范、系统集成复杂度较高的技术问题。又一方面，通过密钥的分发、安全存储、定时更新与销毁，形成从密钥产生到销毁的闭环管理，降低了长期密钥暴露风险，弥补了现有技术中密钥管理依赖简单存储方式、缺乏完善生命周期管理机制的缺陷。