本发明涉及信息检索的技术领域，尤其是指一种信息系统数据安全防护方法及系统。

　　随着网络空间的蓬勃兴起和信息技术的广泛应用，在极大促进经济与社会发展的同时，给我们带来复杂多变的持续性安全风险和挑战。近年来，数据窃取、信息泄露事件层出不穷。根据Gemalto近期发布的全球公共数据泄露严重程度指数显示，2018年以来的945次事件导致45亿条信息泄露，造成经济损失数十亿美元。究其原因，“2018年IBM X-Force威胁情报指数”调查报告显示，2017年数据泄露的事件中有三分之二为组织内部人员非故意失窃或内部威胁导致网络攻击造成。

　　数据资源的互联互通、共享开放，使得基于边界、针对外部入侵的传统防御体系防不胜防，因为这些防御体系无法防护内部窃取、滥用、疏忽等形成的数据泄露。另外，以数据加解密为手段的安全防护无法应对呈爆发式增长的海量数据处理。同时，单纯数据防泄露（DLP）也做不到数据安全，因为到底需要保护哪些数据，怎么做到全面防护，技术与策略、制度、机构如何配合，这些问题还没有解决。

　　为了克服上述问题，中国发明专利（CN105516141A）公开了一种基于业务系统的安全管控平台，所述安全管控平台包括身份认证模块、访问控制模块、安全审计模块、通信完整性模块、通信保密性模块和数据安全模块。上述虽然可以使业务信息系统的安全性增强，但是仍旧存在数据泄露、篡改等事件，严重影响了数据的私密性以及可靠性。

　　为此，本发明所要解决的技术问题在于克服现有存在数据泄露、篡改的问题，从而提供一种有效防止数据泄露、数据篡改，实现数据安全、可控的信息系统数据安全防护方法及系统。

　　为解决上述技术问题，本发明的一种信息系统数据安全防护方法，包括如下步骤：从待检测系统处获取待检测信息；对获取的待检测信息进行分类，并对敏感数据进行标记；在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断；在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容的身份权限是否实时匹配，若匹配，则允许请求，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，若不匹配，则拒绝请求。

　　在本发明的一个实施例中，所述数据在使用前，对分类后的数据进行存储，且存储时对数据进行监控。

　　在本发明的一个实施例中，所述数据在存储时，对数据进行加密，包括且不限于透明加解密、动态加解密、细粒度加密控制、密文索引、加密算法与密钥技术。

　　在本发明的一个实施例中，所述数据传输完成后，对数据进行销毁，且对销毁数据进行敏感数据检查。

　　在本发明的一个实施例中，所述数据在使用、分享和传输环节，对数据防泄露、数据追踪溯源及各项敏感数据检查获得的数据进行分析，归纳出异常现象，对异常行为进行监控。

　　在本发明的一个实施例中，所述对各类敏感数据进行标记时，包括对结构化数据的水印标记和对非结构化数据的水印标记。

　　在本发明的一个实施例中，还包括对已标记的敏感数据进行可信追踪、分布流转监控和泄露溯源，敏感标记识别手段可嵌入多种网络设备。

　　在本发明的一个实施例中，所述对获取的待检测信息进行分类时，按照数据的多维特征及其相互间客观存在的逻辑关联进行分类。

　　本发明还公开了一种信息系统数据安全防护系统，包括数据获取单元、数据分类分级策略单元以及数据防泄漏单元，其中所述数据获取单元用于与待检测系统连接并从所述待检测系统处获取待检测信息；所述数据分类分级策略单元用于对获取的待检测信息进行分类，并对各类敏感数据进行标记；所述数据防泄漏单元，包括在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断；在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容的身份权限是否实时匹配，若匹配，则允许请求，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，若不匹配，则拒绝请求。

　　本发明所述的信息系统数据安全防护方法及系统，在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断；在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容的身份权限是否实时匹配，从而实现对信息系统各使用人员访问数据的细粒度权限控制，由于从采集、汇总、使用、分享、传输等各节点上的落地防护措施中，实现对数据全生命周期中各类敏感数据的全面管控、防泄露，从而形成一个闭环数据安全防护体系，有效防止数据泄露、数据篡改等事件发生，实现数据的安全可控。

　　为了使本发明的内容更容易被清楚的理解，下面根据本发明的具体实施例并结合附图，对本发明作进一步详细的说明，其中

　　说明书附图标记说明：11-数据获取单元，12-数据分类分级策略单元，13-数据防泄漏单元。

　　如图1所示，本实施例提供一种信息系统数据安全防护方法，包括如下步骤：步骤S1：从待检测系统处获取待检测信息；步骤S2：对获取的待检测信息进行分类，并对敏感数据进行标记；步骤S3：在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断；在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容的身份权限是否实时匹配，若匹配，则允许请求，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，若不匹配，则拒绝请求。

　　本实施例所述信息系统数据安全防护方法，所述步骤S1中，从待检测系统处获取待检测信息，从而有利于收集数据；所述步骤S2中，对获取的待检测信息进行分类，并对敏感数据进行标记，有利于提高系统整体安全防护能力，保证电力监控系统、个人敏感数据等重要数据的安全；所述步骤S3中，在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断；在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容的身份权限是否实时匹配，若匹配，则允许请求，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，进一步确定数据访问的权限，若不匹配，则拒绝请求，从而实现对信息系统各使用人员访问数据的细粒度权限控制，由于从采集、汇总、使用、分享、传输等各节点上的落地防护措施中，实现对数据全生命周期中各类敏感数据的全面管控、防泄露，从而形成一个闭环数据安全防护体系，有效防止数据泄露、数据篡改等事件发生，实现数据的安全可控。

　　所述数据在采集完成后，需要对获取的待检测信息进行分类。具体地，按照数据的多维特征及其相互间客观存在的逻辑关联进行分类。而在对数据做分类时，需根据数据的分类原则对跨专业数据共享、数据跨境等采取不同的防范措施，来提高系统整体安全防护能力，保证电力监控系统、个人敏感数据等重要数据的安全。另外，在对获取的待检测信息进行分类时，需要对各类敏感数据进行标记。具体地，所述对各类敏感数据进行标记时，包括对结构化数据的水印标记和对非结构化数据的水印标记，以便追踪和溯源。所述数据防泄漏单元还包括对已标记的敏感数据进行可信追踪、分布流转监控和泄露溯源，敏感标记识别手段可嵌入多种网络设备，包括各DLP设备和各类检查工具。

　　所述数据在使用前，还需要对分类后的数据进行存储，且存储时对数据进行监控，从而有利于确保各类敏感信息存储合规性。具体地，在数据存储环节，对数据库、应用服务器、大数据存储、云存储等设备中存储的内容进行监控。所述分类后的数据存储在网络数据泄露防护网关上（简称网络DLP），所述网络DLP主要用于旁路（或串接）安装在网络出口处，通过监听电子邮件（SMTP协议、IMAP协议）、WEB（HTTP协议）、文件传输（FTP协议）和网络共享传输（SMB协议），监控网络数据，识别敏感数据形成风险事件并上传至统一数据管理平台，并对数据泄露操作实施阻断，从而有利于保障数据存储安全。

　　另外，敏感数据在网络中传输，面临中间人攻击、数据窃听、身份伪造等安全威胁。为了保证数据在网络上的传输安全，大数据中心与一、二级统推系统、扩建系统之间，区域内外部不同安全域之间要保证安全通信。采用专线传输数据，外部网络部分核心应用可以采用VPN访问，WEB访问支持https协议。

　　为了防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击、来自于内部高权限用户的数据窃取、及绕开合法应用系统直接访问数据库，解决数据库敏感数据泄漏问题，所述数据在存储时对数据进行加密，包括且不限于透明加解密、动态加解密、细粒度加密控制、密文索引、加密算法与密钥技术、灵活的权限控制以及分权管理。其中所述透明加密意味着加密不需要太多的额外管理，主要体现在两个方面：首先，应用程序透明，用户或者开发商不需要对应用程序做任何改造；其次是加解密透明，对于具备密文访问权限的用户自动进行加解密，对于缺乏密文访问权限的用户拒绝访问；所述动态加解密对存储在数据库中的数据进行实时灵活的自动化动态加密解密，不需要人为干涉，完全实现对数据的安全存储、安全使用，防止信息涉密。这样既节省用户时间，也达到了保护文件的目的。只要用户有对加密数据的操作，那么加密数据就会被自动加密或是解密，用户感觉不到加解密过程的存在；所述细粒度加密控制中，数据库加密级别可灵活配置为整库加密、表加密、行加密、列加密、基于特定条件加密等多种方式。用户可以根据实际需求灵活选择加密方式，系统在数据的安全性与数据库性能之间找到最佳平衡点，在保证敏感数据安全的同时，最大程度的保证了数据库的性能；所述密文索引中，数据加密后明文索引将失去作用，导致即使只查询一条数据也需要将所有数据进行一次解密，这无疑增加了查询的时间。系统采用密文索引，使查询操作可以不必对所有数据进行解密即可以查询到相应数据，大大提高密文查询速度；所述加密算法与密钥技术中，可灵活选择3DES、AES、SM4等算法。系统采用多级密钥技术。每一个字段拥有不同的、独立的、唯一的列密钥，对字段进行加密解密控制。所有的列密钥是由主密钥生成，控制列密钥的加密解密。主密钥存放在硬件中，保证不会被窃取和破坏，列密钥存放在被加密的数据库当中。通过双重密钥技术保证加密数据不会被破解，增加安全性。

　　在对分类后的数据使用时，对使用终端出现的和传输的各类敏感数据进行监控，包括对敏感数据进入邮件收发及各种外接设备如U盘、光盘、打印机、照相机、截屏等等渠道的监测和阻断。另外，安全防护的目标是保障数据在授权范围内被访问、处理，防止数据遭窃取、泄漏、损毁。为实现这一目标，具体地，对于数据库准入：数据库账户管理是数据库安全的最大风险之一，数据库账户密码的广泛传播会带来极高的安全风险。数据库必须使用复杂密码以及定期变更密码策略，全面加强数据库准入安全。对于首次或者长时间未进入数据库的相关身份特征进行风险告警，第一时间发现可能的数据库入侵行为。对于敏感数据也可以自动感知和覆盖：利用各类敏感信息规则，通过自动扫描发现的方式（通过扫描数据字段，获取字段内容采样匹配敏感信息规则获取敏感信息）高效、方便、全面地获取敏感信息。

　　所述数据在分享时，还需对敏感数据进行脱敏处理。对敏感数据进行脱敏处理时：在进行电网数据展示时，应用系统需要对敏感数据进行模糊化处理，特别是对姓名、手机号码、身份证件号码等用户个人敏感信息，当需要查询原始敏感信息时，需要应用进行二次鉴权。业务系统或后台管理系统在展示数据时需要具备数据脱敏功能，或嵌入专门的数据脱敏技术工具。在准生产区进行系统的开发、测试、培训或数据挖掘算法验证时，需要对生产数据进行批量脱敏，导入准生产区环境。通过脱敏技术实现对数值和文本类型的数据脱敏，支持多种脱敏方式，包括不可逆加密、区间随机、掩码替换等。脱敏技术需要能自动扫描发现敏感信息，实现高效、方便、准确的信息脱敏。

　　另外，在数据分享环节，建立完整的数据鉴权规则有利于形成信息安全防御，而所述鉴权规则属于数据鉴权机制架构上。具体地，数据鉴权机制架构设置在各应用服务器之间的数据安全网关上，控制各应用间的相互访问。发出请求的用户身份及设备信息可以带过所在应用服务器进入数据安全网关上的数据鉴权机制，配合预先嵌入的数据分类标识库、数据自动分级规则库、系统身份权限库和鉴权规则库，以用户权限及所在设备、应用和服务权限实时匹配所请求数据内容的安全级别类别，按鉴权规则做出对用户请求的响应判定并指导网关执行所判定的响应，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，实现对信息系统各使用人员、设备、应用访问在数据内容粒度上的精确权限控制。鉴权规则中的响应判定包括：完全开放、部分开放、脱敏开放、解密开放、加密、不开放（拒绝）等，响应执行机制指向相应的关联处置机制。

　　所述在数据分享时，还需要保证数据完整性及可追溯性，可采用电子签名及时间戳等相关技术来实现。目前公认的可靠电子签名是基于PKI和消息摘要技术实现的，通过数字签名和验证服务能够保障数据本身的完整性，实现相关业务操作的抗抵赖。

　　所述数据在使用、分享和传输环节，对数据防泄露、数据追踪溯源及各项敏感数据检查获得的数据进行分析，归纳出异常现象，对异常行为进行监控，从而有利于及时发现安全隐患。所述数据传输完成后，对数据进行销毁，且对销毁数据进行敏感数据检查，实现彻底销毁无隐患。

　　如图2所示，本实施例提供一种信息系统数据安全防护系统，包括数据获取单元11、数据分类分级策略单元12以及数据防泄漏单元13，其中所述数据获取单元11用于与待检测系统连接并从所述待检测系统处获取待检测信息；所述数据分类分级策略单元12用于对获取的待检测信息进行分类，并对各类敏感数据进行标记；所述数据防泄漏单元13，包括在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断，以及在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容的身份权限是否实时匹配，若匹配，则允许请求，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，若不匹配，则拒绝请求。

　　本实施例所述信息系统数据安全防护系统，包括数据获取单元11、数据分类分级策略单元12以及数据防泄漏单元13，其中所述数据获取单元11用于与待检测系统连接并从所述待检测系统处获取待检测信息，从而有利于收集数据；所述数据分类分级策略单元12用于对获取的待检测信息进行分类，并对各类敏感数据进行标记，有利于提高系统整体安全防护能力，保证电力监控系统、个人敏感数据等重要数据的安全；所述数据防泄漏单元13，包括在对分类后的数据使用时，对使用终端出现的以及传输的各类敏感数据进行监控、阻断，以及在数据分享和传输时，对使用者发出或提交的各项请求按鉴权规则判断使用者部门级别与所请求的数据内容分类、分级之间的身份权限是否实时匹配，若匹配，则允许请求，并对允许通过后响应返回的数据同样按鉴权规则进行匹配辨别，若不匹配，则拒绝请求，从而实现对信息系统各使用人员访问数据的细粒度权限控制，由于从采集、汇总、使用、分享、传输等各节点上的落地防护措施中，实现对数据全生命周期中各类敏感数据的全面管控、防泄露，从而形成一个闭环数据安全防护体系，有效防止数据泄露、数据篡改等事件发生，实现数据的安全可控。

　　显然，上述实施例仅仅是为清楚地说明所作的举例，并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

　　本技术针对关键基础设施数字孪生系统模块化架构协同性不足的问题，提出硬件级协同防护方案。通过多源异构数据采集、物理隔离传输、并行建模引擎与安全防护模块深度联动，构建从物理感知到虚拟防护的全链条安全体系...

　　针对工业生产中数据回流不确定性导致优化决策不可靠的问题，提出基于置信度评分的闭环迭代优化方法。通过实时采集数据质量指标（缺失率、噪声、时效性）与历史决策准确率，动态生成决策置信度评分，结合预设...

　　针对变电站纵向加密装置易因固定不牢导致掉落的安全隐患，提出通过多点支撑结构实现稳固固定的解决方案。装置采用固定块与支撑块协同设计，结合电动推杆驱动支撑柱插入卡槽，并利用负压弹簧与卡紧板形成双重...

　　1.数字信号处理 2.传感器技术及应用 3.机电一体化产品开发 4.机械工程测试技术 5.逆向工程技术研究

　　1.振动信号时频分析理论与测试系统设计 2.汽车检测系统设计 3.汽车电子控制系统设计