CN106462716A - 候选敏感数据项的可分解保护 - Google Patents

Abstract

通过自动背景扫描数据以检测多个候选敏感数据项来减少数据丢失的风险。对于至少一些没有被认为要具体分类为敏感的候选敏感数据项，一种可分解加密被应用于数据项来至少临时保护该数据项。当用户请求对该数据项的访问时，***确定数据项已被可分解加密且该用户被授权来定义该数据项的敏感度。作为响应，该用户被允许指导***关于数据项是否要被具体加密(诸如如果用户要将该数据项确认为敏感)，或者该数据项的可分解加密是否要被分解(诸如如果用户要将该数据项确认为不敏感)。

Description

候选敏感数据项的可分解保护

背景

在信息时代，信息的适当控制是关键需要。此类控制的一个方面是防止数据丢失或向非预期方公开。此类丢失和公开通常被称为“数据泄漏”。例如，随机陌生人不应能够获得对信用***、密码和其它不属于他们的信息的敏感片段的访问。此外，各组织通常具有他们非常偏好拒绝竞争者的协助的策略信息。

数据丢失防护(或者DLP)技术是为了防止数据无意泄漏的目的而被开发。在一个示例DLP技术中，通常在用户创建数据项时用户帮助标识数据项(诸如文件或电子邮件)是敏感的。另一常规DLP技术涉及背景扫描先前已被创建的数据项。例如，机器可通过应用正则表达式或更复杂的模式匹配技术来读数据项。一旦数据项被视为敏感，就可以采取一系列的动作，诸如通过加密保护数据项。

本文要求保护的主题不限于解决任何缺点或仅在诸如上述环境这样的环境中操作的各实施例。相反，提供该背景仅用于例示其中可实施所述一些实施例的一个示例性技术领域。

简要概述

至少一些本文描述的实施例与通过自动背景扫描数据集以检测候选敏感数据项来减少数据损失的风险相关。对于至少一部分被认为没有具体分类为敏感的候选敏感数据项，一种可分解加密被应用于数据项来至少临时保护该数据项。

本文描述的至少一些实施例涉及这样的数据项的使用。当用户请求对该数据项的访问，***确定数据项已被可分解加密且该用户被授权来定义该数据项的敏感度。例如，也许被授权对数据项的访问的任何用户可被认为也被授权来定义该数据项的敏感度。作为响应，该用户被允许指导***关于数据项是否要被具体加密(例如，如果用户要将该数据项确认为敏感)，或者该数据项的可分解加密是否要被分解(例如，如果用户要将该数据项确认为不敏感)。

提供本概述以便以简化的形式介绍将在以下的详细描述中进一步描述的一些概念。本概述并非旨在标识出要求保护的主题的关键特征或必要特征，亦非旨在用作辅助确定要求保护的主题的范围。

附图简述

为了描述可获得本发明的上述和其它优点和特征的方式，将通过参考附图中示出的本发明的具体实施例来呈现以上简要描述的本发明的更具体描述。可以理解，这些附图只描绘了本发明的各典型实施例，并且因此不被认为是对其范围的限制，将通过使用附图并利用附加特征和细节来描述和解释本发明，在附图中：

图1示出了其中可采用本文描述的原理的示例计算***；

图2示出了数据项的生存周期图，其中数据项首先被创建，随后针对敏感度被扫描，以及随后被授权用户访问。

图3示出了用于根据本文所述的原理分类数据项的方法的流程图，在其中数据项可接收敏感分类、非敏感分类，和未知敏感度分类；

图4示出了其中数据集被扫描并以其他方式服从方法图3来由此被指派敏感度类别中的一者的示例环境。

图5示出了使用数据项的方法的流程图，扫描操作先前已确定该数据项不能被具体地分类为敏感并由此被应用了可分解加密；以及

图6示出了允许用户指示如何对待该数据项的方法的流程图。

详细描述

本文描述的至少一些实施例涉及通过自动背景扫描数据集以检测候选敏感数据项来减少数据损失的风险。对于被认为没有被具体分类为敏感的那些候选敏感数据项的至少一些，向该数据项应用一可分解加密来至少临时保护该数据项。

本文描述的至少一些实施例涉及这样的数据项的使用。当用户请求对该数据项的访问，***确定数据项已被可分解加密且该用户被授权来定义该数据项的敏感度。例如，也许被授权访问数据项的任何用户可被认为也被授权定义该数据项的敏感度。作为响应，该用户被允许指示***关于数据项是否要被具体加密(例如，如果用户要将该数据项确认为敏感)，或者是否该数据项的可分解加密要被分解(例如，如果用户要将该数据项确认为不敏感)。

尽管用结构特征和/或方法动作专用的语言描述了本主题，但可以理解，所附权利要求书中定义的主题不必限于上述特征或动作或上述动作的次序。相反，上述特征和动作是作为实现权利要求的示例形式而公开的。

计算***现在越来越多地采取多种多样的形式。例如，计算***可以是手持式设备、电器、膝上型计算机、台式计算机、大型机、分布式计算***或甚至常规上不被认为是计算***的设备。在本说明书以及权利要求书中，术语计算***摂被广义地定义为包括任何设备或***(或其组合)，该设备或***包含至少一个物理且有形的处理器以及其上能具有可由处理器执行的计算机可执行指令的物理且有形的存储器。计算***可以分布在网络环境中，并可包括多个组分计算***。

如图1所例示，在其最基本的配置中，计算***100通常包括至少一个处理单元102和存储器104。存储器104可以是物理***存储器，该物理***存储器可以是易失性的、非易失性的、或两者的某种组合。术语“存储器”也可在此用来指示诸如物理存储介质这样的非易失性大容量存储器。如果计算***是分布式的，则处理、存储器和/或存储能力也可以是分布式的。

如本文中所使用的，术语“可执行模块”或“可执行组件”可以指可以在计算***上执行的软件对象、例程或方法。此处所描述的不同组件、模块、引擎以及服务可以实现为在计算***上执行的对象或进程(例如，作为分开的线程)。

在随后的描述中，参考由一个或多个计算***执行的动作描述了各实施例。如果这样的动作是以软件实现的，则执行动作的相关联计算***的一个或多个处理器响应于已经执行了计算机可执行指令来引导计算***的操作。例如，这样的计算机可执行指令可以在形成计算机程序产品的一个或多个计算机可读介质上实现。这样的操作的示例涉及对数据的操纵。计算机可执行指令(以及***纵的数据)可以存储在计算***100的存储器104中。计算***100还可包含允许计算***100例如通过网络110与其他消息处理器通信的通信信道108。

在此描述的各实施例可包括或利用专用或通用计算机***，该专用或通用计算机***包括诸如例如一个或多个处理器和***存储器等计算机硬件，如以下更详细讨论的。***存储器可被包括在整体存储器104内。***存储器还可被称为“主存储器”，并且包括可被至少一个处理单元102在存储器总线上被寻址的存储器位置，在这种情况下地址位置被声明在存储器总线自身上。***存储器传统上是易失性的，但本文中描述的原理还应用于其中***存储器部分或者甚至全部是非易失性的情况。

本发明范围内的各实施例也包括用于实现或存储计算机可执行指令和/或数据结构的实体及其它计算机可读介质。这样的计算机可读介质可以是可由通用或专用计算机***访问的任何可用介质。存储计算机可执行指令和/或数据结构的计算机可读介质是计算机存储介质。承载计算机可执行指令和/或数据结构的计算机可读介质是传输介质。由此，作为示例而非限制，本发明的各实施例可包括至少两种显著不同的计算机可读介质：计算机存储介质和传输介质。

存储计算机可执行指令和/或数据结构的计算机存储介质是物理硬件存储介质。物理硬件存储介质包括计算机硬件，诸如RAM、ROM、EEPROM、固态驱动器(“SSD”)、闪存、相变存储器(“PCM”)、光盘存储、磁盘存储或其它磁存储设备、或可用于存储计算机可执行指令或数据结构形式的程序代码的任何其它硬件存储介质，其可由通用或专用计算机***访问来实现本发明公开的功能。

传输介质可包括可用于携带计算机可执行指令或数据结构形式的程序代码并可由通用或专用计算机***访问的网络和/或数据链路。“网络”被定义为使得电子数据能够在计算机***和/或模块和/或其它电子设备之间传输的一个或多个数据链路。当信息通过网络或另一个通信连接(硬连线、无线、或者硬连线或无线的组合)传输或提供给计算机***时，该计算机***将该连接视为传输介质。上述的组合应当也被包括在计算机可读介质的范围内。

此外，在到达各种计算机***组件之后，计算机可执行指令或数据结构形式的程序代码可从传输介质自动传输到计算机存储介质(或反之亦然)。例如，通过网络或数据链路接收到的计算机可执行指令或数据结构可以在网络接口模块(例如，“NIC”)内的RAM中被缓冲，然后最终被传输至计算机***RAM和/或计算机***处的较不易失性的计算机存储介质。因而，应当理解，计算机存储介质可被包括在还利用(或甚至主要利用)传输介质的计算机***组件中。

计算机可执行指令例如包括，当在一个或多个处理器处执行时使通用计算机***、专用计算机***、或专用处理设备执行某一功能或某组功能的指令和数据。计算机可执行指令可以是例如二进制代码、诸如汇编语言之类的中间格式指令、或甚至源代码。

本领域的技术人员将理解，本文中描述的原理可以在具有许多类型的计算机***配置的网络计算环境中实践，这些计算机***配置包括个人计算机、台式计算机、膝上型计算机、消息处理器、手持式设备、多处理器***、基于微处理器的或可编程消费电子设备、网络PC、小型计算机、大型计算机、移动电话、PDA、平板、寻呼机、路由器、交换机、数字扫描仪等等。本发明也可在其中通过网络链接(或者通过硬连线数据链路、无线数据链路，或者通过硬连线和无线数据链路的组合)的本地和远程计算机***两者都执行任务的分布式***环境中实施。如此，在分布式***环境中，计算机***可包括多个组成部分计算机***。在分布式***环境中，程序模块可以位于本地和远程存储器存储设备二者中。

本领域技术人员还将理解本发明可在云计算环境中实践。云计算环境可以是分布式的，但这不是必须的。在分布时，云计算环境可以国际性地分布在一个组织内，和/或具有跨多个组织拥有的组件。在本说明书和下面的权利要求书中，“云计算”被定义为用于允许对可配置计算资源(例如，网络、服务器、存储、应用和服务)的共享池的按需网络访问的模型。“云计算”的定义不限于可从这样的模型(在被合适地部署时)中获得的任何其它多个优点。

图2示出了数据项的生存周期图200。最初，数据项被创建(事件201)。稍后，数据项被扫描(事件202)以尝试标识数据项的敏感度。在该数据项被扫描之后，该数据项被授权用户访问(事件203)。该用户也可能在数据项被扫描(事件202)之前已访问该数据项，并且一个或多个其他用户可能在数据项被扫描之后已访问了数据项，但是出于本文中描述的原理的目的，被授权来定义数据项的敏感度的用户在扫描操作(事件202)之后首先访问数据(事件203)是重要的。在事件201和202之间，以及事件202和203之间可能是几分钟、几小时、几天、几个月、几年，或者甚至几十年。在其中可访问数据项的任何用户被授权定义数据项的敏感度的情况下，事件203可以是授权用户已访问数据项的第一次。

在创建时期(事件201)，也许用户不指定数据项的敏感度状态(例如，敏感的或不敏感的)，或者也许生成数据项的应用甚至不提供机制来指定敏感度。随着时间推移，大量这样的未指定数据项可在给定数据存储中建立起来。

图3示出了用于分类数据项的方法300的流程图。例如，方法300可被执行以由此构成针对先前创建的大量数据项的事件202。无论各种数据项何时被创建以及如何被创建，以及甚至数据项在不同时间创建和被不同应用创建的情况下，本文描述的原理都适用。图4示出了其中数据集被扫描并以其它方式服从图3的方法300的示例环境400。因此，将频繁地参考图4的环境400来描述方法300。

方法300包括自动地背景扫描数据集(动作301)来检测候选敏感数据项(动作302)。例如，在示例环境400中，数据扫描仪411扫描数据集410来生成候选敏感数据项420的列表。候选敏感数据项420是将被进一步评估以确定数据项的敏感度是否可被评估的那些数据项。

候选敏感数据项420可包括在数据集410中的全部数据项。例如，数据扫描仪411可执行简单指示在数据集410中的全部数据项将是候选敏感数据项420的寻常操作。然而，数据扫描仪411也可能通过将策略准则和每个数据项的一个或多个特征作比较来确定对应的数据项是否将是候选敏感数据项而变得更复杂。在那种情况下，候选敏感数据项420可包括少于在数据集410中的全部数据项的数据项。

数据集410可无限制地包括任意数量的数据项。本文描述的原理可被应用于任何数据集内的任意数量的数据项。只出于讨论目的，数据集410被示为包括从A到J十个数据项。候选敏感数据项420被示为包括从A到I九个数据项。在这种情况下，数据项J(抽象地表示为圆形)未被扫描仪411选择为服从后续分类的候选敏感数据项。例如，也许数据项J先前已经被分类以使扫描仪411满意。或者，也许数据项J不是扫描仪411能够扫描的文件类型。或者，也许数据项J不是在扫描中感兴趣的文件类型。

接着，针对每个候选敏感数据项执行框310的内容。例如，候选数据项被各自分类(决策框311)。注意没有要求全部的候选敏感数据项在开始分类(判定框311)之前被标识(动作302)。实际上，数据项可在其被标识为候选敏感数据项(动作302)之后被立即分类(决策框311)。例如，在图4中，分类器421分类候选敏感数据项420的每一个。

可选地，对于多个候选敏感数据项中的至少一些中的每一个候选敏感数据项，该方法将该候选数据项分类为敏感的(判定框311中的“是”)。对于被分类为敏感的候选敏感数据项中的至少一些中的每一个候选敏感数据项，该方法将不可分解加密(动作312)应用于对应数据项。在本说明书和权利要求书中，不可分解加密是一种不可分解加密的加密。“可分解加密”是一种可被撤销的加密，所提供的授权由被授权访问加密的授权用户给出。作为示例，不可分解加密可能意味着即使加密项被解密，加密容器将不会授予从加密容器提取信息的许可。在这种情况下，可分解加密意味着一旦已加密项被解密，信息将被授权以在用户具有访问加密的许可的条件下被提取。例如，在图4中，分类器421应用策略431来向数据项A和B分配敏感状态。敏感数据项在图4中用八边形元素被各自抽象地表示。

可选地，对于多个候选敏感数据项中的至少一些中的每一个候选敏感数据项，该数据项被分类为不敏感的(判定框303中的“否”)。因此，不加密被应用(动作313)到该数据项。例如，在图4中，分类器421应用策略433来为数据项F、G、H和I分配非敏感状态。非敏感数据项在图4中用正方形元素被抽象地表示。

剩余数据项不被分类为敏感的或不敏感的。它们位于分类器不能以高置信度确定该数据项是否敏感的灰色区域。对于不被具体分类为敏感的或非敏感的至少一些候选敏感数据项的每一个候选敏感数据项，方法300将该数据项表征为未知敏感度(判定框311中的“未知”)。方法300随后将可分解加密应用(动作314)到对应数据项来至少临时保护该数据项。例如，在图4中，分类器421应用策略432来为数据项C、D和E分配未知敏感状态。未知敏感数据项在图4中用六边形元素被抽象地表示。

在一实施例中，分类器总是将候选敏感数据项分类为未知敏感度。例如，该数据项中没有数据项可被分类为敏感的(判定框311中的“是”)或非敏感的(判定框311中的“否”)。在这种情况下，授权用户可稍后在每一个数据项被访问时为其分配敏感度。

因此，扫描的最终结果是一组被分类为敏感的数据项(零或更多)、一组被分类为非敏感的数据项(零或更多)、以及一组被分类为具有未知敏感度的数据项(一些到全部)。再次参考图2，此分类发生在数据项扫描时间(事件202)。

回想一下，在数据项扫描时间之后的某一时刻，授权用户(被授权为数据项分配敏感度)可随后访问该数据项(图2中的事件203)。当先前被分配了未知敏感度状态的数据项被这样的授权用户访问时，该数据项的未知敏感度状态可被以某种或另一种方法分解。在一实施例中，被授权访问数据项的任何用户也被授权来定义该数据项的敏感度。在另一实施例中，被授权定义数据项的敏感度的用户也需被授权来访问数据项。毕竟，在几乎所有情况下，通过允许用户以至少某种形式访问数据项来获取关于如何分类数据项的正确的情报是有益的。

图5示出了使用数据项的方法500的流程图，扫描操作先前已确定该数据项不能被具体地分类为敏感的并由此应用了可分解加密。该方法500从检测到访问数据项的用户请求时开始(动作501)。每次在数据项针对敏感度被扫描且被指派为未知敏感度状态的时间之后，被指派未知敏感状态的数据项第一次被授权用户访问时，方法500可被启动。

在用户访问未知敏感度的数据项之后，接着确定用户被授权定义该数据项的敏感度(动作503)。例如，在一些实施例中，只有创建数据项的用户被授权定义数据项的敏感度。在较不严格的实施例中，有授权写入数据项的用户可被授权定义数据项的敏感度。在甚至更不严格的实施例中，对数据项有任何访问特权的任何用户可被授权定义数据项的敏感度。

方法500也确定了数据项应用了可分解加密(动作502)。动作502与动作501和503并行地被示出以强调在动作502和动作501之间，或动作502和动作503之间没有逻辑或时间依赖。用户随后被允许(判定框510)指示数据项是否将被具体加密(动作511)以不再可分解，或数据项的可分解加密是否将被分解(动作512)从而得到被分类为不敏感的未受保护的数据项。用户的指示随后被记录(动作504)。因此，用户稍后可能要继续考虑他或她关于数据项的敏感度是否做出了不适当的决定。

图6示出了用于允许用户指示如何对待数据项的方法600的流程图，且表示了图5的判定框510可如何实现的示例。方法600可包括教导用户(动作601)。例如，用户可被通知已经针对敏感度评估了数据项但是敏感度不能被确定，用户被授权定义项的敏感度，以及进一步的用户的指示可被记录。用户可进一步被提示定义敏感度的指示。用户的指示被接收(动作603)，并且指示被用于分支图5的判定框510。

一旦数据项的敏感度被用户定义(作为判定框503的结果)，或者被***定义(在判定框311的“是”或“否”中)，敏感度定义可与数据项一起持久保存。由此，在未来的背景扫描中，扫描仪可忽略该数据项，因为其敏感度已经被定义了。例如，在图4中，数据项可能是在数据集410内被扫描仪411忽略的那些数据项之一。抽象地说，数据项变成圆形的，这代表着扫描仪在未来扫描中不会将该数据项视为候选敏感数据项，就如同其对数据项J的做法一样。也就是说，在分类器421所遵循的敏感策略中的改变可导致数据项被重新评估，尽管该数据项已经具有被指派的敏感状态。由此，敏感度指定可随时间过时，以及由此被重新评估。毕竟，数据项的敏感度可随时间改变。

本文所述的原理提供与现有技术不同的优点，因为不再存在避免顾客的烦恼和增强安全之间的平衡。例如，在传统背景扫描中，扫描导致数据项被标记为敏感或不敏感。没有中间状态。因此，传统背景扫描引入了接近判定阈值的数据项的假肯定和假否定的不同的可能性。

例如，当不是真正敏感的数据项被判定为敏感时，假肯定发生。这导致了用户的烦恼，因为应用了额外的标准、处理资源，并且当用户访问非敏感资源时动作被限制。作为示例，用户可能用很多数字打一封邮件，这些数字对于扫描操作来说看起来是***数字，但事实上它们只是用户作为爱好组装的汽车引擎的部件编号。假肯定可能限制接收者将电子邮件转发给任何人，或者发送者可能被限制在包括抄送行中的任何人。

当数据项为敏感，但扫描没有识别出敏感度时，假否定发生。这导致了安全违背的可能，因为数据项的访问没有被适当地限制。

如果判定阈值低，则背景扫描积极地指派敏感状态，并且存在很多假肯定，虽然有增加安全的益处。如果判定阈值高，则背景扫描是宽容的，且可能倾向于允许敏感数据被遗漏，但是具有更少用户被拒绝操作非敏感数据的可能性的例子。

根据本文描述的原理，在指派敏感状态的判定阈值和指派非敏感状态的判定阈值之间存在空间。它们是两个不同的判定阈值。在判定阈值之间的中间区域是扫描操作不能简单具体地确定数据项是否敏感的灰色区域。本文描述的原理通过在下一次授权用户访问数据项时请求授权用户的帮助来区别地对待这些不确定的数据项。同时，在扫描操作发生(事件202)时和用户访问数据项(动作203)时之间，数据项以防万一以加密状态存在并由此被保护。然而，该加密是可用授权用户的授权撤销的可分解加密。

本发明可具体化为其它具体形式而不背离其精神或本质特征。所描述的实施例在所有方面都应被认为仅是说明性而非限制性的。从而，本发明的范围由所附权利要求书而非前述描述指示。落入权利要求书的等效方案的含义和范围内的所有改变应被权利要求书的范围所涵盖。

Claims (10)

1.一种用于分类多个数据项的计算机实现的方法，所述计算机实现的方法由执行用于所述计算机实现的方法的计算机可执行指令的一个或多个处理器执行，所述计算机实现的方法包括：

自动背景扫描数据集以检测多个候选敏感数据项；

对于所述多个候选敏感数据项中的至少一些中的每一个候选敏感数据项，确定所述候选敏感数据项将不被具体分类为敏感；以及

对于将不被具体分类为敏感的所述候选敏感数据项中至少一些中的每一个候选敏感数据项，向所述对应的数据项应用可分解加密来至少临时保护所述数据项。

2.根据权利要求1所述的方法，其特征在于，进一步包括：

对于所述多个候选敏感数据项中的至少一些中的每一个候选敏感数据项，将所述候选数据项分类为敏感的。

3.根据权利要求2所述的方法，其特征在于，进一步包括：

对于被分类为敏感的所述候选敏感数据项中的至少一些中的每一个候选敏感数据项，向所述对应数据项应用不可分解加密。

4.根据权利要求2所述的方法，其特征在于，进一步包括：

对于所述多个候选敏感数据项中的至少一些中的每一个候选敏感数据项，将所述数据项分类为非敏感的。

5.如权利要求1所述的方法，其特征在于，所述方法默认确定所述候选数据项中没有候选数据项将被具体确定为敏感的。

6.如权利要求1所述的方法，其特征在于，所述数据集当中的全部所述数据项被默认表征为候选敏感数据项，使得自动背景扫描的行为包括将全部数据项标识为候选敏感数据项。

7.根据权利要求1所述的方法，其特征在于，在所述数据集当中的少于全部所述数据项的数据项被表征为候选敏感数据项，其中所述背景扫描使用每一个数据项的一个或多个准则来确定对应的数据项是否将成为候选敏感数据项。

8.根据权利要求1所述的方法，其特征在于，进一步包括：

检测用户访问经可分解加密数据项的要求，所述经可分解加密数据项在应用可分解加密的动作中已经被可分解加密；

检测所述用户被授权来定义所述数据项的敏感度；以及

响应于所授权的用户请求，允许所述用户指示所述经可分解加密数据项是否要被具体加密，或者所述数据项的所述可分解加密是否要被分解而变为被分类为非敏感的未受保护的数据项。

9.一种计算***，包括：

一个或多个处理器；

对于一个或多个处理器而言是可访问的一个或多个计算机可读介质，存储计算机可执行指令的所述计算机可读介质，所述计算机可执行指令被结构化以使得当由所述一个或多个所述处理器执行时，导致所述计算***执行包括以下的计算机实现的方法：

自动背景扫描数据集以检测多个候选敏感数据项；

对于所述多个候选敏感数据项中的至少一些中的每一个候选敏感数据项，确定所述候选敏感数据项不能被具体分类为敏感的；以及

对于不能被具体分类为敏感的所述候选敏感数据项中的至少一些中的每一个候选敏感数据项，向所述对应的数据项应用可分解加密来至少临时保护所述数据项。

10.如权利要求9所述的***，其特征在于，所述***包括相机***。