CN112231659A - 一种多密级体系下的分级保护访问控制方法及装置 - Google Patents

Abstract

本申请公开了一种多密级体系下的分级保护访问控制方法及装置，用以解决现有的同一***中，对不同密级等级下的数据进行访问时，访问过程复杂、不易操作的问题问题。方法包括：服务器接收来自用户的访问请求，并基于预设的用户密级体系，确定所述用户的密级等级；服务器根据所述访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定所述待访问业务数据的密级等级；服务器基于所述用户的密级等级对应的预设的映射关系，确定所述用户在所述预设的业务数据密级体系下的可访问范围；服务器基于所述可访问范围，判断是否允许所述用户访问所述待访问业务数据。

Description

一种多密级体系下的分级保护访问控制方法及装置

技术领域

本申请涉及涉密信息***技术领域，尤其涉及一种多密级体系下的分级保护访问控制方法及装置。

背景技术

随着信息技术的快速发展，涉密信息***被广泛应用于网络自动化办公、信息管理和通信等领域，涉密信息***中存储了大量的涉密信息和数据。其中，涉密信息和数据的存在导致了内部泄密和非法访问等诸多安全问题。

分级保护访问控制要求是涉密信息***必须遵守的国家信息安全等级保护的基本要求。分级保护访问控制要求，即要求先对涉密信息***中存储的涉密信息和数据先进行密级划分，再对其进行访问。

但是，现在不同的***、甚至同一个***内的数据所使用的密级等级可能不同，从而使得访问不同密级等级的数据的过程较为复杂，不方便进行操作。

发明内容

本申请实施例提供一种多密级体系下的分级保护访问控制方法及装置，用以解决现有的同一***中，对不同密级等级下的数据进行访问时，访问过程复杂、不易操作的问题。

本申请实施例提供的一种多密级体系下的分级保护访问控制方法，所述方法包括：

服务器接收来自用户的访问请求，并基于预设的用户密级体系，确定用户的密级等级；

服务器根据访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定待访问业务数据的密级等级；

服务器基于用户的密级等级对应的预设的映射关系，确定用户在预设的业务数据密级体系下的可访问范围；

服务器基于可访问范围，判断是否允许用户访问待访问业务数据。

在一个示例中，服务器基于预设的用户密级体系，确定用户的密级等级，具体包括：服务器基于用户的标识，在预设的用户密级体系中，确定用户的密级等级，以及与用户的密级等级对应的密级标识和密级名称；其中，用户的访问权限与用户的密级等级成正相关关系。

在一个示例中，服务器根据访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定待访问业务数据的密级等级，具体包括：服务器根据访问请求中的待访问业务数据的标识，确定与待访问业务数据对应的预设的业务数据密级体系，并在预设的业务数据密级体系中，确定待访问业务数据的密级等级；其中，待访问业务数据的保密程度与待访问业务数据的密级等级成正相关关系。

在一个示例中，服务器基于用户的密级等级对应的预设的映射关系，确定用户在预设的业务数据密级体系下的可访问范围，具体包括：服务器基于预设的映射关系，从预设的业务数据密级体系中，确定与用户的密级等级对应的业务数据的密级等级，并将小于或者等于业务数据的密级等级的所有业务数据，确定为用户的可访问范围。

在一个示例中，服务器基于可访问范围，判断是否允许用户访问待访问业务数据，具体包括：若待访问业务数据在可访问范围内，则服务器响应用户的访问请求；若待访问业务数据不在可访问范围内，则服务器拒绝用户的访问请求。

在一个示例中，预设的业务数据密级体系是按照业务数据的种类划分得到的；其中，每一个业务数据密级体系中的业务数据的密级等级划分相同。

在一个示例中，所述方法还包括：服务器监测到拒绝用户的访问请求的频率高于预设阈值时，向管理员发送用户非法访问的信息。

在一个示例中，所述方法还包括：确定预设的业务数据密级体系中密级等级最高的业务数据，以及与密级等级最高的业务数据存在映射关系的用户；确定在密级等级最高的业务数据上新增映射关系时，获取超过预设数量的存在映射关系的用户的同意。

在一个示例中，所述方法还包括：服务器基于预设的等级调整规则，以及预设的时间间隔，自动判断是否对业务数据密级体系中的业务数据的密级等级进行调整。

本申请实施例提供的一种多密级体系下的分级保护访问控制装置，所述装置包括：

接收模块，用于接收来自用户的访问请求，并基于预设的用户密级体系，确定所述用户的密级等级；

第一确定模块，用于根据所述访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定所述待访问业务数据的密级等级；

第二确定模块，用于基于所述用户的密级等级对应的预设的映射关系，确定所述用户在所述预设的业务数据密级体系下的可访问范围；

判断模块，用于基于所述可访问范围，判断是否允许所述用户访问所述待访问业务数据。

本申请实施例提供一种多密级体系下的分级保护访问控制方法及装置，至少包括以下有益效果：服务器通过将***中不同的业务数据按照种类划分为不同的密级体系，将不同种类的业务数据密级体系中的业务数据按照预设的密级划分要求，划分成相同的密级等级，并为每个不同的密级体系确定对应的映射关系。服务器基于确定的业务数据密级体系、密级等级和映射关系，一方面，方便对不同类型的业务数据分别进行密级管理以及访问控制。另一方面，可以将原本***中不同密级等级下的数据进行访问的复杂过程变得简便，容易操作。服务器还通过将不同密级等级的用户设置在同一用户密级体系下，不同密级等级的业务数据设置在同一业务数据密级体系下，并设置用户密级等级与业务数据密级等级的映射关系，形成一套通用的密级配置方法，以便功能相同的***都可以使用，不用重新设置多套密级的映射关系，能够增强实用性，扩大适用范围，也提高推广应用价值。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的一种多密级体系下的分级保护访问控制方法流程图；

图2为本申请实施例提供的一种多密级体系下的分级保护访问控制装置结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面通过附图对本申请实施例提出的技术方案进行详细的说明。

图1为本申请实施例提供的一种多密级体系下的分级保护访问控制方法流程图，具体包括以下步骤：

S101：服务器接收来自用户的访问请求，并基于预设的用户密级体系，确定用户的密级等级。

在本申请实施例中，服务器在接收到来自用户的访问请求后，在预先设置的用户密级体系中，确定出该用户的密级等级，以便服务器可以基于确定出的用户的密级等级进行访问。

其中，用户密级体系中的不同密级等级，是服务器根据涉密信息***中的用户数据密级划分要求，对不同种类的用户数据进行划分得到的。涉密信息***为根据当前数据安全管理需求而开发的一套高性能、高可靠、高安全和低成本的涉密电子信息安全保护产品。

例如，在一个用户密级体系中，服务器可以根据职位高低的密级划分要求划分相应的用户密级等级。职位越高，对应的用户密级等级越高，职位越低，对应的用户密级等级越低。

在一个实施例中，服务器根据接收到的用户访问请求中的用户标识，在预先设置的用户密级体系中，确定与上述用户标识对应的用户的密级等级，以及与上述用户密级等级对应的密级标识和密级名称。

用户标识用于表示在预先设置的用户密级体系中唯一确定用户所对应的密级等级位置的标识信息。服务器根据唯一的用户标识可以在预先设置的用户密级体系中更加方便、快捷的确定出该用户所对应的用户密级等级。

密级标识用于表示在预先设置的用户密级体系中唯一确定用户密级等级的标识信息。密级名称用于表示用户密级等级的名称标识信息。

其中，用户标识可以由数字构成，具体可以根据需求设置，密级等级的标识和密级等级的名称可以根据需要设置，本申请对此不做任何限定。

在一种可能的实现方式中，用户的密级名称可以直接反映用户的访问权限的高低。例如，用户的密级等级所对应的密级名称可以为一般、核心、重要等，若用户的密级名称为“重要”，则表示该用户的能够访问的权限非常高。

用户的访问权限与该用户的密级等级成正相关关系。也就是说，用户的密级等级越高，对应的访问权限越高，能够访问的业务数据的范围越大。用户的密级等级越低，对应的访问权限越低，能够访问的业务数据的范围越小。这样可以更好的通过用户的密级等级，确定出用户的访问权限和能够访问的业务数据的访问范围。

S102：服务器根据访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定待访问业务数据的密级等级。

在本申请实施例中，服务器根据用户访问请求中待访问的业务数据的唯一标识信息，在预先设置的业务数据密级体系中，确定该待访问的业务数据的密级等级。以便服务器可以根据确定出的待访问业务数据的密级等级，判断该待访问业务数据能否被用户访问。

业务数据的标识用于表示在预先设置的业务数据密级体系中唯一确定用户所要访问的业务数据密级等级位置的标识信息。服务器可以根据唯一的业务数据的表示，更加方便的确定出待访问业务数据的密级等级。其中，业务数据的标识可以由数字构成，具体的可以根据用户的需求设置，本申请对此不做任何限定。

具体的，服务器基于接收到的用户访问请求中待访问业务数据的标识信息，先确定出该待访问业务数据所对应的预先设置的业务数据的密级体系。服务器在确定出该待访问业务数据所属的业务数据密级体系之后，在该业务数据密级体系中，确定出该待访问业务数据的密级等级。

其中，待访问业务数据的保密程度与该待访问业务数据的密级等级成正相关关系。也就是说，该待访问业务数据的保密程度越高，该待访问业务数据在业务数据密级体系中对应的密级等级越高。该待访问业务数据的保密程度越低，该待访问业务数据在业务数据密级体系中对应的密级等级越低。

在一个实施例中，服务器对不同种类的业务数据进行划分，得到不同的业务数据密级体系。也就是说，每个业务数据密级体系中的业务数据的种类都是相同的。其中，业务数据密级体系的划分种类可以根据需要设置，本申请对此不做任何限定。

通过将所有的业务数据划分成不同种类的业务数据密级体系，可以便于服务器对所有业务数据的管理，也可以使用户访问不同种类的数据更加方便。

例如，服务器可以将***中所有的文档类型的业务数据划分为一个业务数据密级体系，将***中所有清单类型的业务数据划分为另一个业务数据密级体系。

在一个实施例中，服务器根据涉密信息***中业务数据密级划分要求，将每一个业务数据密级体系下的业务数据的密级等级划分成相同的密级等级。这样可以统一设置用户的密级等级对应的各个业务数据密级体系中的业务数据密级等级，方便操作与管理，节省了确定用户与不同密级体系中的业务数据的对应关系的时间。

例如，文档类型的业务数据密级体系中的密级等级的划分与清单类型的业务数据密级体系中的密级等级划分相同。

S103：服务器基于用户的密级等级对应的预设的映射关系，确定用户在预设的业务数据密级体系下的可访问范围。

在本申请实施例中，服务器根据预先设置的业务数据的密级等级与用户的密级等级的映射关系，确定出该用户在预先设置的业务数据密级体系下的可访问范围，以便提前过滤用户不能访问的业务数据，提高整个***的安全性。

其中，上述映射关系中的与该用户密级等级所对应的业务数据的密级等级，表示用户密级等级允许访问的业务数据的最高密级等级。也就是说，在预设的业务数据的密级体系中，该用户只能访问低于该业务数据密级等级的业务数据。

在一个实施例中，服务器基于该映射关系，确定出与用户密级等级所对应的业务数据的密级等级，并将小于或者等于该业务数据密级等级的所有业务数据确定为用户的可访问范围。也就是说，用户只能访问小于或者等于该用户密级等级映射到业务数据密级等级的数据，不能访问高于该业务数据密级等级的业务数据。服务器通过确定用户对业务数据的访问范围，可以避免用户访问不在其权限范围之内的业务数据，造成业务数据的泄露，不能保障用户访问业务数据的安全性。

S104：服务器基于可访问范围，判断是否允许用户访问待访问业务数据。

在本申请实施例中，服务器基于S103确定的待访问业务数据的可访问范围，判断是否允许用户访问相应的待访问业务数据，以提高用户访问业务数据的安全性，避免用户访问其不能访问的业务数据，造成业务数据的泄露。

在一个实施例中，若服务器判断出待访问业务数据在可访问范围内，表示用户具有访问权限，则服务器响应用户的访问请求，允许该用户对该待访问业务数据进行访问。若服务器判断出待访问业务数据不在可访问范围内，表示用户没有访问权限，则服务器拒绝用户的访问请求。

在本申请实施例中，服务器通过将***中不同的业务数据按照种类划分为不同的密级体系，将不同种类的业务数据密级体系中的业务数据按照预设的密级划分要求，划分成相同的密级等级，并为每个不同的密级体系确定对应的映射关系。

服务器基于确定的业务数据密级体系、密级等级和映射关系，一方面，方便对不同类型的业务数据分别进行密级管理以及访问控制。另一方面，可以将原本***中不同密级等级下的数据进行访问的复杂过程变得简便，容易操作。

服务器还通过将不同密级等级的用户设置在同一用户密级体系下，不同密级等级的业务数据设置在同一业务数据密级体系下，并设置用户密级等级与业务数据密级等级的映射关系，形成一套通用的密级配置方法，以便功能相同的***都可以使用，不用重新设置多套密级的映射关系，能够增强实用性，扩大适用范围，也提高推广应用价值。

在一个实施例中，服务器监测到拒绝用户的访问请求的频率高于预先设置的预设阈值时，向管理员发送该用户多次非法访问的信息，提示管理员进行安全管理。这样能够提高整个***的安全性，对用户非法访问的行为进行管控，防止造成数据的泄露。其中，预设阈值的取值可以根据需要设置，本申请对此不做任何限定。

在一个实施例中，业务数据密级体系中密级等级最高的业务数据通常保密程度较高，重要性较高，拥有访问权限的用户的数量也较少。于是，服务器在给业务数据密级体系中密级等级最高的业务数据新增用户的映射关系时，需要经过***中超过预设数量的与该业务数据密级等级对应的用户同意，才可以新增映射关系。这样可以提高***的安全性，限制用户对机密业务数据的访问权限，可以防止业务数据的泄露。其中，预设数量可以根据需要设置，本申请对此不做任何限定。

在一个实施例中，服务器可以根据预先设置的等级调整规则和预设的时间间隔，来自动判断是否对业务数据密级体系中的业务数据的密级等级进行调整。也就是说，服务器可以随时自动的对业务数据的密级等级进行调整。这样可以提高整个***的灵活性，对业务数据的密级等级进行适应性调整，加强***的时效性。其中，等级调整规则和预设的时间间隔可以根据需要设置，本申请对此不做任何限定。

以上为本申请实施例提供的一种多密级体系下的分级保护访问控制方法，基于同样的发明思路，本申请实施例还提供了相应的一种多密级体系下的分级保护访问控制装置，如图2所示。

图2为本申请实施例提供的一种多密级体系下的分级保护访问控制装置结构示意图，具体包括：

接收模块201，用于接收来自用户的访问请求，并基于预设的用户密级体系，确定所述用户的密级等级；

第一确定模块202，用于根据所述访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定所述待访问业务数据的密级等级；

第二确定模块203，用于基于所述用户的密级等级对应的预设的映射关系，确定所述用户在所述预设的业务数据密级体系下的可访问范围；

判断模块203，用于基于所述可访问范围，判断是否允许所述用户访问所述待访问业务数据。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种多密级体系下的分级保护访问控制方法，其特征在于，包括：

服务器接收来自用户的访问请求，并基于预设的用户密级体系，确定所述用户的密级等级；

根据所述访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定所述待访问业务数据的密级等级；

基于所述用户的密级等级对应的预设的映射关系，确定所述用户在所述预设的业务数据密级体系下的可访问范围；

基于所述可访问范围，判断是否允许所述用户访问所述待访问业务数据。

2.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，基于预设的用户密级体系，确定所述用户的密级等级，具体包括：

服务器基于所述用户的标识，在所述预设的用户密级体系中，确定所述用户的密级等级，以及与所述用户的密级等级对应的密级标识和密级名称；

其中，所述用户的访问权限与所述用户的密级等级成正相关关系。

3.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，根据所述访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定所述待访问业务数据的密级等级，具体包括：

服务器根据所述访问请求中的待访问业务数据的标识，确定与所述待访问业务数据对应的预设的业务数据密级体系，并在所述预设的业务数据密级体系中，确定所述待访问业务数据的密级等级；

其中，所述待访问业务数据的保密程度与所述待访问业务数据的密级等级成正相关关系。

4.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，基于所述用户的密级等级对应的预设的映射关系，确定所述用户在所述预设的业务数据密级体系下的可访问范围，具体包括：

服务器基于预设的映射关系，从所述预设的业务数据密级体系中，确定与所述用户的密级等级对应的业务数据的密级等级，并将小于或者等于所述业务数据的密级等级的所有业务数据，确定为所述用户的可访问范围。

5.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，基于所述可访问范围，判断是否允许所述用户访问所述待访问业务数据，具体包括：

若所述待访问业务数据在所述可访问范围内，则服务器响应所述用户的访问请求；

若所述待访问业务数据不在所述可访问范围内，则服务器拒绝所述用户的访问请求。

6.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，所述预设的业务数据密级体系是按照业务数据的种类划分得到的；其中，每一个所述业务数据密级体系中的业务数据的密级等级划分相同。

7.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，所述方法还包括：

服务器监测到拒绝所述用户的访问请求的频率高于预设阈值时，向管理员发送用户非法访问的信息。

8.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，所述方法还包括：

确定预设的业务数据密级体系中密级等级最高的业务数据，以及与所述密级等级最高的业务数据存在映射关系的用户；

确定在所述密级等级最高的业务数据上新增映射关系时，获取超过预设数量的所述存在映射关系的用户的同意。

9.根据权利要求1所述的一种多密级体系下的分级保护访问控制方法，其特征在于，所述方法还包括：

服务器基于预设的等级调整规则，以及预设的时间间隔，自动判断是否对所述业务数据密级体系中的业务数据的密级等级进行调整。

10.一种多密级体系下的分级保护访问控制装置，其特征在于，包括：

接收模块，用于接收来自用户的访问请求，并基于预设的用户密级体系，确定所述用户的密级等级；

第一确定模块，用于根据所述访问请求中的待访问业务数据的标识，以及预设的业务数据密级体系，确定所述待访问业务数据的密级等级；

第二确定模块，用于基于所述用户的密级等级对应的预设的映射关系，确定所述用户在所述预设的业务数据密级体系下的可访问范围；

判断模块，用于基于所述可访问范围，判断是否允许所述用户访问所述待访问业务数据。

Images