一种数据安全检查方法和系统及设备与流程

1.本发明涉及数据安全技术领域，尤其涉及一种数据安全检查方法和系统及设备。


背景技术：

2.数据已经成为数字经济的核心生产要素，是经济转型和发展的新引擎。同时，数据被破坏、伪造、滥用，敏感数据被窃取、疏忽、泄露，可能对国家、社会、组织或个人造成严重影响，数据安全已经成为新时代网络安全的核心。但现阶段市面上已有的等保工具箱缺乏进行数据安全合规检测的技术工具，目前针对数据安全合规性的检测工作基本上依赖人工完成，检查不全面、不规范、不智能、精确度低，无法应对大数据、云计算的数据安全场景，且耗时耗力，浪费大量人力资源。在此背景下，数据安全合规检测的工具、方法和系统成为加强并规范化网络安全管理的迫切需求。


技术实现要素：

3.发明要解决的技术问题针对现有技术中数据安全检测评估存在的技术问题，本发明提供了一种数据安全检查方法和系统及设备。可便捷且全面评估数据的合规性和风险，提高数据安全检查和评估效率，以便把控数据的安全性、风险性态势，大幅提升数据安全防护能力，实现数据安全的靶向管控。
4.技术方案为解决上述问题，本发明提供的技术方案为：一种数据安全检查方法，包括：配置检测对象的数据流程，为数据流程配置检测项；获取数据流程的第一信息，或者获取第一信息和第二信息；依据检测项，对第一信息，或者对第一信息和第二信息，进行合规性评估和风险评估，判断出数据流程的合规性等级和风险等级；其中，所述检测对象包括一条以上的数据流程，所述数据流程包括一个以上的数据流程节点，检测项依据法律法规条款确定；所述第一信息为相应数据流程节点处，人工输入的与数据流程相关的信息，所述第二信息为相应数据流程节点处，技术检测获得与数据流程相关的信息，所述合规性评估根据合规性规则判断出数据流程的合规性等级，所述风险评估根据风险规则判断出数据流程的风险等级，合规性规则和风险规则均由为数据流程配置的检测项确定。
5.进一步的，数据流程基于业务流程梳理而成的，业务流程与信息系统为多对多的关系。
6.进一步的，数据流程节点处包括数据来源、数据去向、数据大小、数据读取的时间、频率和地点。
7.进一步的，所述技术检测的工具包括探针，所述探针用于获取若干数据流程节点的第二信息。
8.进一步的，还包括：对检测对象的数据流程、为数据流程配置的检测项、数据流程
的合规性等级和风险等级进行展示。
9.进一步的，还包括根据数据流程的合规性等级和风险等级，确定检测对象的数据流程的处置计划。
10.一种数据安全检查系统，包括：数据流程配置单元，用以配置检测对象的数据流程；检测项配置单元，用以为检测流程配置检测项；信息获取单元，用于获取数据流程的第一信息，或者获取第一信息和第二信息；合规性评估单元，用以依据检测项，对第一信息，或者对第一信息和第二信息，进行合规性评估，根据合规性规则判断出数据流程的合规性等级；风险评估单元，用以依据检测项，对第一信息，或者对第一信息和第二信息，进行风险评估，根据风险规则判断出数据流程的风险等级；其中，信息获取单元在数据流程节点处，通过人工输入以获取第一信息，通过技术检测以获取第二信息。
11.进一步的，还包括展示单元，用于对检测对象的数据流程、为数据流程配置的检测项、数据流程的合规性等级和风险等级进行展示。
12.进一步的，还包括处置计划生成单元，用于根据数据流程的合规性等级和风险等级，确定检测对象的数据流程的处置计划。
13.此外，本发明提供了一种数据安全检查设备，所述设备包括：一个或多个处理器；存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如以上所述的方法。
14.有益效果采用本发明提供的技术方案，与现有技术相比，具有如下有益效果：各行业单位、企业、个人可在本发明实施例提出的合规性和风险检测专业技术支撑下，实现针对数据安全的常规自查与实时监测，确保可持续的信息系统数据安全合规性，并建立个人、单位和客户的信息安全基线，精确定位评估个人、单位和客户等各方的信息泄露风险，在此基础上，全面把控数据生命周期各环节的敏感性、风险性态势，大幅提升数据安全防护能力。
附图说明
15.图1为本发明的一种数据安全检查设备结构示意图。
16.图2为本发明一实施例提供的一种数据安全检查方法流程图。
17.图3为本发明一实施例提供的一种数据安全检查系统结构示意框图。
具体实施方式
18.为进一步了解本发明的内容，结合附图及实施例对本发明作详细描述。
19.下面结合附图和实施例对本技术作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与发明相关的部分。本发明中所述的第一、第二等词语，是为了描述本发明的技术方案方便而设置，并没有特定的限定作用，均为泛指，对本发明的技术方案不构成限定作用。需要说明的是，在不冲突的情况下，本技术中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本技术。
20.实施例1
本实施例提供了一种数据安全检查方法，如图2所示，包括：配置检测对象的数据流程，为数据流程配置检测项；获取数据流程的第一信息，或者获取第一信息和第二信息；依据检测项，对第一信息，或者对第一信息和第二信息，进行合规性评估和风险评估，判断出数据流程的合规性等级和风险等级；其中，所述检测对象包括一条以上的数据流程，所述数据流程包括一个以上的数据流程节点，检测项依据法律法规条款确定；所述第一信息为相应数据流程节点处，人工输入的与数据流程相关的信息；所述第二信息为相应数据流程节点处，技术检测获得与数据流程相关的信息；所述合规性评估根据合规性规则判断出数据流程的合规性等级；所述风险评估根据风险规则判断出数据流程的风险等级；合规性规则和风险规则均由为数据流程配置的检测项确定。
21.检测对象的数量是多种多样的，为检测对象配置数据流程，分别一一对这些数据流程进行安全检查，分别进行合规性和风险评估。
22.检测项根据法律法规条款来确定，以便在需要使用的时候，实现自动化便捷操作，直接为数据流程配置即可，即为数据流程的一个以上的数据流程节点匹配相对应的若干检测项。
23.所述第一信息为相应数据流程节点处，人工输入的与数据流程相关的信息，这里的人工输入是指，检测对象的管理、使用、业务、安保和维护等人员；通过问询的方式，人工输入与数据流程相关的信息，以获取第一信息。
24.所述第二信息为相应数据流程节点处，技术检测获得与数据流程相关的信息；技术检测通过探针等自动化工具直接从数据流程节点处获得。
25.所述合规性评估根据合规性规则判断出数据流程的合规性等级，所述风险评估根据风险规则判断出数据流程的风险等级，合规性规则和风险规则均由为数据流程配置的检测项确定。检测项根据法律法规条款确定而成，而数据的合规性和风险，均由法律法规条款决定，本实施例通过将数据的合规性和风险直接与检测项关联；根据检测项内容，合规性规则和风险规则，分别将合规性程度，风险程度划分为若干等级，如a、b、c、d等这种等级，或者如1、2、3、4、5等这种等级。利用由法律法规条款梳理成的检测项的便利性，可方便快捷自动的对数据的合规性和风险进行评估，省去了对照法律法规条款评估数据合规性和风险的时间和流程手续。
26.为数据流程的节点配置的检测项通过两种手段获取第一信息和第二信息，分别为人工输入，以及技术检测，其中人工输入，通过将法律法规条款设计成问询式，在相应的数据流程节点处，由人工输入，以获得和数据流程相关的第一信息，比如以问询的方式要求使用人员回答和该数据流程相关的问题，以获得该问题的答案，作为相应数据流程节点处的第一信息使用，以便用于进行数据流程的合规性和风险评估；技术检测，通过在相应数据流程节点处，布设自动化的检测工具如探针等，以自动获取和数据流程相关的第二信息。
27.数据流程基于业务流程梳理而成的，业务流程与信息系统为多对多的关系。信息系统可能归属一个单位管理，或若干单位共同管理，可能为跨地域运行的，也可能是仅在同一地域范围内运行，均适用本实施例的方案。一个信息系统包括若干若干业务流程，一个业务流程包括若干数据流程。一个信息系统包含多个业务流程，与此同时，一个业务流程有可能是跨越多个信息系统而存在的。如一个单位的财务软件系统和生产管理系统，这两个信息系统之间，采购数据业务将会跨越这两个信息系统而存在。
28.检测对象为包括安装于终端上和数据全生命周期流程相关的各类办公、生产、加工等流程软件，语音，视频，直播等媒体软件，邮箱，数据库等信息系统。每个检测对象均包括若干业务流程，这些业务流程均与数据相关，某一行业中的信息系统是多样的，信息系统内部及其之间的数据及其数据流程也是多样且复杂的，这些数据的全生命周期流程中涉及到多个数据流程节点，在时间上涉及数据的产生，采集，删除，复制，加密，流转等时间顺序对应的数据流程节点，在空间上涉及数据的存储位置，流转的接口等不同，数据经过、停留的不同位置空间。将法规条款梳理成和数据流程节点相对应，人工根据与检测对象的数据流程相关的法规条款输入的信息，即可通过将与检测对象的数据流程相关的法规条款梳理成问答卷，问答题目，问答项等需要人工输入信息的问询形式，部署于若干相应的数据流程节点处，需要相应检测目标的信息系统操作人员，管理人员，使用人员等群体进行回答，输入信息，该过程作为检测项通过人工输入获得的第一信息，即第一信息由人工输入获取到；第二信息由法规条款梳理成的检测项，通过技术检测如探针等自动化工具，自动在数据流程节点处获取到。单纯结合通过人工输入获取的各数据流程节点处的第一信息，或者结合人工输入及技术检测方式获取的各数据流程节点处的第一信息和第二信息，可精准且全面的获取数据流程的检测信息，将这些信息，用于进行合规性评估和风险评估，依据合规性规则和风险规则，判断出数据流程的合规性等级和风险等级。第一信息是检测项通过人工输入的手段获取到的数据流程各节点处的第一信息；第二信息是检测项通过技术检测的手段获取到的数据流程各节点处的第二信息，通过综合这两种信息，进行下一步的合规性评估和风险评估。
29.检测对象的数据流程，数据安全法律法规条款，检测项，合规性规则和风险规则，全部进行规范化，标准化和工具化，在测试，检查，检测，校准等需要的场合下，通过提前预置选择，或自定义，或以数据流程及其各节点，数据安全法律法规条款，合规性规则，风险规则，检测结果应对计划均相对应为依据，以便快速对检测对象展开自动化的数据安全检查。
30.将与检测对象的数据流程相关的法律法规条款梳理成的检测项，实现对法律法规条款的标准化，工具化，以便实现自动化。在合规性评估和风险评估中，对检测对象的数据流程进行判断，根据与检测项关联的合规性规则和风险规则，得到数据流程内容属性指标的合规性等级和风险等级，针对数据流程内容属性指标合规性等级或风险等级不符合要求的情况，给出检测结果应对计划，即数据流程的处置计划，以使检测对象的数据流程归属的单位相关部门和负责人，可根据检测结果应对计划，对数据流程进行下一步的处置，包括但不限于整改，监察等计划。通过该方法，个人或单位可直接对各检测对象的各检测流程，通过检测项进行合规性评估和风险评估，并得到对应数据流程的合规性等级和风险等级，形成相应的检测结果应对计划，进行展示，以便个人、企业等相关单位，直观的看到数据流程检测情况，针对合规性和风险不符合要求的数据流程内容，进行下一步的处置，自动化实现对数据流程的安全检测，并提供相应的应对计划。
31.检测对象是指个人、企业等单位使用的应用软件，流程软件等信息系统。随着信息技术的发展，特别是数字经济时代，每个单位的信息系统都很多且复杂的，形成一条条的数据流程，便于实现对数据流程的自动化安全检测。展示的内容包括数据流程的合规性等级和风险等级，检测结果应对计划，及它们和数据流程节点一一对应的展现，展示的方式，可以报告文本的形式输出，也可以通过电子显示屏幕进行在线展示。
32.通过在检测对象的数据流程节点上部署相应的问题，可以实现与检测对象的数据流程相关人员之间的自动化交互，更加全面且精准对数据安全进行检测，结合技术检测项的自动化实现数据安全检查手段，实现双因子安全检测的效果，从而实现数据安全检查的全面性和精准性。
33.所述人工根据与检测对象的数据流程相关的法规条款输入的信息，包括以问答，填空，选择形式输入的信息，问答，填空和选择形式根据与检测对象的数据流程相关的法律法规条款，与数据流程节点相对应设计而来。
34.比如删除，复制，发送，接收，采集，存储，加密等数据流程节点，是否符合相应数据流程相关的数据安全法规条款要求，可设计出问答，填空，选择形式，在相应数据流程节点处，相关人员如使用者，管理者进行输入信息，该信息作为第一信息，也就是检测项通过人工输入手段获得的检测信息，用于合规性评估和风险评估，以免疏漏，和单纯自动化的技术检测获取第二信息的方式相比，通过人工输入手段可做到数据安全检查的全面性，防止疏漏，且兼顾了信息系统自身运作，以及与信息系统交互的相关人员在各数据流程节点处的相应操作的合规性和风险，均可实现数据安全性检查。
35.数据流程节点处包括数据来源、数据去向、数据大小、数据读取的时间、频率和地点；通过这些信息用于评估数据流程的合规性和风险。数据流程以数据的全生命周期流程梳理而成，以数据的生命周期流程为主线，关注和数据相关的各方面，包括数据的全生命周期流程部分内容，如数据的采集，生成，存储，流转，来源，去向和使用等相关内容，以数据为中心进行全生命周期流程的整理，梳理成数据流程，不漏掉数据相关的任何一个流程环节和内容，以便对数据实现全方位和全面性的梳理，通过本实施例的数据安全检查方法，对梳理成的每一个数据流程进行全面性的数据安全检查，形成数据流程的合规性等级和风险等级，以便对数据流程进行下一步的处置计划，如调整，执行，修改，整顿，审计等操作，完成处置计划后，重复本实施例的数据安全检查方法再次进行安全性检测，直至数据流程的合规性等级和风险等级符合要求为止，从而确保数据流程安全，实现数据安全。
36.技术检测的工具包括探针，所述探针用于获取若干数据流程节点的第二信息。技术检测手段所用工具为探针，所述探针与检测对象的数据流程相关的法律法规条款相对应，分布于相应数据流程节点处。和数据安全相关的法律法规条款是多样的，同一检测对象的不同数据流程，或者同一数据流程，在不同行业不同地区，相应的法规条款均有所差异，将检测对象的数据流程相关的法规条款梳理而成的检测项，针对某一个人所用终端上的检测对象的数据流程，或，某一地区某一行业的某一单位内的检测对象的数据流程，便于直接在该数据流程的各个数据流程节点上配置一个以上的检测项。法律法规条款对数据流程内容和属性均有相应的要求与规定，贯穿于数据的全生命周期流程中，一项数据流程包含有多个数据流程节点，体现在时间上和空间上，时间上，如从数据产生至销毁的各个流程节点；空间上，如从数据采集，数据流转，流通，存储和走向等各个流程节点，为确保对数据安全的全方位和全面性的安全检测，将法规条款梳理而成的技术检测项及问询检测项和数据流程节点，合规性规则和风险规则均关联起来，可直接判断相应数据流程及其节点的合规性等级和风险等级，便于提供对应的检测结果应对计划。
37.数据流程与信息系统之间为多对多的关系，检测对象是指企业等单位中的应用软件，流程软件等信息系统。随着信息技术的发展，特别是数字经济时代，每个单位或个人使
用的信息系统都很多且复杂的，每个系统都包括一条以上的数据流程，因信息系统之间，会存在数据的流转和交互等交叉互动，一条数据流程会涉及多个信息系统的交互，因此数据流程和信息系统是多对多的关系。因此实际操作中，可选取重要数据，需要优先保护的数据，以及数据泄露风险较大的情况，梳理数据流程，形成数据流程列表，实现数据流程标准化，规范化，方便数据安全检查的自动化进行。当一条数据流程涉及单位内外的多个信息系统时，该数据流程是相对复杂的，通过该方法可快速实现对数据流程的自动化安全检测，对数据资产管理，数据合规与风险管理，靶向数据管控，可进行全面准确的安全检测定位。
38.对检测对象的数据流程、为数据流程配置的检测项、数据流程的合规性等级和风险等级进行展示。将与检测对象的数据流程相关的法律法规条款、数据流程的合规性等级、风险等级、检测结果应对计划，与数据流程节点相对应进行展示。可直观展示，供数据安全检查相关的各方人员查看。
39.根据数据流程的合规性等级和风险等级，确定检测对象的数据流程的处置计划。可快速针对数据流程需要的应对计划，展开下一步的处置计划，以完善数据流程的合规性，降低数据流程的风险。
40.实施例2与上述任一种数据安全检查方法相对应地，本实施例提供了一种数据安全检查系统，如图3所示，包括：数据流程配置单元，用以配置检测对象的数据流程；检测项配置单元，用以为检测对象的检测流程配置检测项；信息获取单元，用于获取数据流程的第一信息，或者获取第一信息和第二信息；合规性评估单元，用以依据检测项，对第一信息，或者对第一信息和第二信息，进行合规性评估，根据合规性规则判断出数据流程的合规性等级；风险评估单元，用以依据检测项，对第一信息，或者对第一信息和第二信息，进行风险评估，根据风险规则判断出数据流程的风险等级；其中，信息获取单元在数据流程节点处，通过人工输入以获取第一信息，通过技术检测以获取第二信息。
41.展示单元，用于对检测对象的数据流程、为数据流程配置的检测项、数据流程的合规性等级和风险等级进行展示。处置计划生成单元，用于根据数据流程的合规性等级和风险等级，确定检测对象的数据流程的处置计划。
42.个人，企业等单位通过该系统可对单位内外的信息系统等各类检测对象的数据流程进行安全检测，实现数据安全检查的自动化，且该系统中的检测项采用了和数据流程节点对应的法律法规所形成的检测项，可对任一数据流程节点的合规性和风险，进行评估，并给出相应的处置计划，方便单位通过处置计划生成单元提供的处置计划，对照展示单元对数据流程及其节点存在的合规性和风险等方面的问题进行整改，执行，调整，修改等操作。
43.所述检测项配置单元，还包括用以在数据流程节点处，通过技术检测所用的工具以获取第二信息，以及通过人工输入手段以获取第一信息，可深度评估和检测数据流程和人员交互时的安全性，从而全方位的检测数据流程的合规性和风险，便于对数据安全实现靶向管控，合规性和风险管理等。数据流程配置单元、检测项配置单元、检测信息获取单元、合规性评估单元、风险评估单元、处置计划生成单元和展示单元，均与检测对象的数据流程相关的法律法规条款为基础相对应。
44.实施例3本实施例提供了一种数据安全检查设备，所述设备包括：一个或多个处理器；存储
器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如以上所述的方法。
45.图1为本发明一实施例提供的一种数据安全检查设备的结构示意图。
46.如图1所示，作为另一方面，本技术还提供了一种数据安全检查设备，包括一个或多个中央处理单元（cpu）501，其可以根据存储在只读存储器（rom）502中的程序或者从存储部分508加载到随机访问存储器（ram）503中的程序而执行各种适当的动作和处理。在ram503中，还存储有设备操作所需的各种程序和数据。cpu501、rom502以及ram503通过总线504彼此相连。输入/输出（i/o）接口505也连接至总线504。
47.以下部件连接至i/o接口505：包括键盘、鼠标等的输入部分506；包括诸如阴极射线管（crt）、液晶显示器（lcd）等以及扬声器等的输出部分507；包括硬盘等的存储部分508；以及包括诸如lan卡、调制解调器等的网络接口卡的通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510也根据需要连接至i/o接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算机程序根据需要被安装入存储部分508。
48.特别地，根据本技术公开的实施例，上述任一实施例描述的方法可以被实现为计算机软件程序。例如，本技术公开的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执行上述任一实施例描述的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分509从网络上被下载和安装，和/或从可拆卸介质511被安装。
49.附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这根据所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以通过执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以通过专用硬件与计算机指令的组合来实现。
50.描述于本技术实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，各所述单元可以是设置在计算机或移动智能设备中的软件程序，也可以是单独配置的硬件装置。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。
51.以上描述仅为本技术的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本技术中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离本技术构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本技术中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。