[发明专利]数据访问控制方法、装置、设备及存储介质

说明书

本申请提供一种数据访问控制方法、装置、设备及存储介质。该方法涉及数据安全技术领域，包括：接收数据访问控制请求，根据预设的基于属性的策略配置信息，确定访问用户是否有权限对目标业务数据进行第一数据操作，并返回访问控制响应，访问控制响应用于指示或拒绝访问用户的第一数据操作。本实施例的策略配置信息包括与以下至少一项的属性信息相关的执行策略：用户、业务数据、访问环境、业务上下文，执行策略包括允许和/或拒绝的数据操作。上述方案从多个维度对数据访问请求进行分析判断，提高了数据访问的安全性，降低数据泄露的风险。

技术领域

本申请涉及数据安全技术领域，尤其涉及一种数据访问控制方法、装置、设备及存储介质。

背景技术

传统的数据安全手段，包括数据加密及边界访问控制。其中边界访问控制仅强调限制未获授权的用户获取数据，但并不关注有合法授权的用户如何使用数据，有数据泄露的潜在风险。在实际应用中，企业内部需要广泛使用的业务过程数据，例如客户数据、实时的生产经营数据、企业财务数据等，这类数据广泛流转于各类业务场景中，如何应对传统数据加密及边界访问控制手段的缺陷给企业带来的安全威胁，实现数据细粒度的访问控制，是目前亟待解决的问题。

发明内容

本申请实施例提供一种数据访问控制方法、装置、设备及存储介质，提高了数据访问的安全性，降低数据泄露的风险。

本申请实施例的第一方面提供一种数据访问控制方法，包括：

接收数据访问控制请求，所述数据访问控制请求用于访问用户请求对目标业务数据进行第一数据操作；

根据预设的基于属性的策略配置信息，确定所述访问用户是否有权限对所述目标业务数据进行第一数据操作；所述策略配置信息包括与以下至少一项的属性信息相关的执行策略：用户、业务数据、访问环境、业务上下文；

返回数据访问控制响应，所述数据访问控制响应用于指示允许或拒绝所述第一数据操作。

在本申请第一方面的一个可选实施例中，所述根据预设的基于属性的策略配置信息，确定所述访问用户是否有权限对所述目标业务数据进行第一数据操作，包括：

获取所述数据访问请求中所述访问用户、所述目标业务数据、当前访问环境、当前业务上下文的属性信息的至少一项，以及目标业务的策略配置信息；

根据所述访问用户、所述目标业务数据、所述当前访问环境、所述当前业务上下文的属性信息的至少一项，以及所述目标业务的策略配置信息，确定所述访问用户是否有权限对所述目标业务数据进行所述第一数据操作。

在本申请第一方面的一个可选实施例中，获取所述目标业务的策略配置信息，包括：

通过调用数据访问控制工具包获取所述目标业务的策略配置信息；不同的目标业务的策略配置信息对应不同的数据访问控制工具包。

在本申请第一方面的一个可选实施例中，所述目标业务数据存储于数据表，若确定所述访问用户有权限对所述目标业务数据进行第一数据操作，所述返回数据访问控制响应，包括：

对所述数据表进行数据过滤，生成过滤后的数据表；

返回所述数据访问控制响应，所述数据访问控制响应包括所述过滤后的数据表；所述过滤后的数据表仅展示所述目标业务数据。

在本申请第一方面的一个可选实施例中，所述对所述数据表进行数据过滤，生成过滤后的数据表，包括：

对所述数据表采用逐行数据属性分析方法进行数据过滤，和/或，对所述数据表采用逐列数据属性分析方法进行数据过滤，和/或，对所述数据表采用逐单元格数据属性分析方法进行数据过滤，生成所述过滤后的数据表。

在本申请第一方面的一个可选实施例中，若调用数据访问控制工具包失败，所述方法还包括：