机密数据由研发网经审批后导出到共享安全区的方法

本发明涉及数据传输领域，具体涉及一种机密数据由研发网经审批后导出到共享安全区的方法。

目前在进行数据交互时，常采用即时通讯软件、邮件、第三方平台或移动设备等方式进行数据传输或数据分享。非机密数据的传输比较随意，而当涉及机密数据的传输时，通常需要经过内部审批，只有审批通过后才可将机密数据从研发网导出至外界的共享安全区，以供导出方获取数据。

在准备将机密数据从研发网导出至外网的共享安全区时，申请人需要在审批系统中进行数据导出申请，并将机密数据存放至审批系统中，只有在审批通过后申请人才能将机密数据导出至外界的共享区域。然而当需要进行较多的数据导出分享时，申请人很容易将机密数据发送至与接收人不对应的位置或将数据分享给错误的目标对象，导致机密数据遭泄露。并且由于需要人为将审批后的机密数据发送至导出方，效率低下。

因此，本发明要解决当需进行较多的机密数据导出分享时，申请人容易将机密数据传输或分享到错误的目标，且效率低的技术问题，从而提供一种机密数据由研发网经审批后导出到共享安全区的方法，包括如下步骤：

获取数据导出申请信息、待导出数据对应的数据包并在对其进行审批通过之后，根据所述数据导出申请信息生成标志文件，并为所述数据包添加第一标识，及为所述标志文件添加第二标识；

如果所述第一标识与第二标识相同，则解析所述标志文件得到导出路径信息；其中，所述标志文件包括所述数据导出申请信息中携带的导出路径信息；

根据所述导出路径信息，将所述数据包从审批系统导出至目标位置。

优选地，所述为所述数据包添加第一标识，及为所述标志文件添加第二标识，包括：

提取对数据导出申请信息、待导出数据对应的数据包进行审批的审批信息；其中，所述审批信息包括审批方信息、审批时间及审批批注信息；

为所述数据包添加所述审批信息，并为所述标志文件添加所述审批信息。

优选地，在判断出数据包的第一标识和标志文件的第二标识相同之后，还包括：标记所述标志文件和数据包；

将标记后的标志文件和数据包拷贝至研发网的备份服务器。

优选地，在获取到数据导出申请信息、待导出数据对应的数据包并对其进行审批通过之后，还包括：

利用第一加密密钥对待导出数据对应的数据包进行加密，并将第一加密密钥发送至申请终端；

将加密后的数据包存放至审批系统的指定目录；其中，所述指定目录设定有特定访问权限；

所述根据所述导出路径信息，将所述数据包从审批系统导出至目标位置，包括：根据所述导出路径信息，将加密后的数据包从审批系统导出至目标位置。

优选地，所述利用第一加密密钥对待导出数据对应的数据包进行加密，并将第一加密密钥发送至申请终端，包括：生成随机密钥，并利用所述随机密钥加密所述待导出数据对应的数据包；

将所述随机密钥发送至申请终端，以通过申请终端将所述随机密钥发送至所述目标位置对应的终端。

优选地，所述利用所述随机密钥加密所述待导出数据对应的数据包，包括：获取所述目标位置对应的终端的硬件信息；

将所述硬件信息与所述随机密钥按照预设规则生成第二加密密钥，利用所述第二加密密钥加密所述待导出数据对应的数据包。

优选地，所述利用第一加密密钥对待导出数据对应的数据包进行加密，并将第一加密密钥发送至申请终端，包括：生成密钥对；其中，所述密钥对包括第一公钥和第一私钥；

获取导出方的第二公钥，利用所述第一私钥和所述第二公钥加密所述待导出数据对应的数据包；

将所述第一公钥发送至申请终端，以通过申请终端将所述第一公钥发送至所述目标位置对应的终端；或

生成密钥对；其中，所述密钥对包括第一公钥和第一私钥；

获取导出方的第二私钥，利用所述第一公钥和所述第二私钥加密所述待导出数据对应的数据包；

将所述第一私钥发送至申请终端，以通过申请终端将所述第一私钥发送至所述目标位置对应的终端。

本发明还提供了一种机密数据由研发网经审批后导出到共享安全区的装置，包括：

生成及添加模块，用于获取数据导出申请信息、待导出数据对应的数据包并在对其进行审批通过之后，根据所述数据导出申请信息生成标志文件，并为所述数据包添加第一标识，及为所述标志文件添加第二标识；

解析模块，用于如果所述第一标识与第二标识相同，则解析所述标志文件得到导出路径信息；其中，所述标志文件包括所述数据导出申请信息中携带的导出路径信息；

导出模块，用于根据所述导出路径信息，将所述数据包从审批系统导出至目标位置。

本发明还提供了一种计算机设备，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行上述的机密数据由研发网经审批后导出到共享安全区的方法。

本发明还提供了一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使计算机执行上述的机密数据由研发网经审批后导出到共享安全区的方法。

本发明技术方案，具有如下优点：

本发明提供的机密数据由研发网经审批后导出到共享安全区的方法，数据导出申请经审批通过后，根据数据导出申请信息生成标志文件，并为数据包添加第一标识、标志文件添加第二标识。当检测到数据包携带的第一标识和标志文件携带的第二标识相同时，对标志文件进行解析得到导出路径信息，根据导出路径信息将所述数据包从审批系统中导出至目标位置。利用第一标识和第二标识进行匹配，能够准确将待导出数据对应的数据包导出至正确的导出方，防止将数据包导出给错误的导出方带来的数据泄露，同时提高效率。

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例1机密数据由研发网经审批后导出到共享安全区的方法的流程图；

图2为本发明实施例1机密数据由研发网经审批后导出到共享安全区的方法的场景图；

图3为本发明实施例1中为数据包添加第一标识、标志文件添加第二标识的流程图；

图4为本发明实施例1中数据导出申请审批通过后的流程图；

图5为本发明实施例2机密数据由研发网经审批后导出到共享安全区的装置的结构框图；

图6为本发明实施例2中加密处理的结构框图；

图7为本发明实施例3计算机设备的原理框图。

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，下面所描述的本发明不同实施方式中所涉及的技术特征只要彼此之间未构成冲突就可以相互结合。

在进行数据交互时，所涉及的数据不仅包括非机密数据，还包括需要保密的机密数据。非机密数据的交互通常比较随意，而机密数据的交互则需要在审批通过后，才可将机密数据从研发网导出到安全共享区。然而当需要将较多的机密数据导出分享，且数据涉及多方接收方(即导出方)，申请人在将审批通过后的机密数据发送至接收方时，可能存在将数据传输错误的情况，即未将数据传输给对应的导出方，从而导致机密数据的泄露。并且由于需要申请人对审批通过后的机密数据进行传输，效率过低。

实施例1

本实施例提供了一种机密数据由研发网经审批后导出到共享安全区的方法，图1是说明根据本发明某些实施例，将待导出数据对应的数据包正确导出至目标位置的流程图。虽然下文描述的过程包括以特定的顺序出现的多个操作，但是应该清楚地了解到，这些过程也可以包括更多或者更少的操作，这些操作可以顺序执行或者并行执行(例如使用并行处理器或者多线程环境)。

本实施例提供了一种机密数据由研发网经审批后导出到共享安全区的方法，用于将研发网中审批通过后的机密数据导出至共享安全区，以便对应的导出方能够接收到所述机密数据。如图1所示，包括如下步骤：

S101、获取数据导出申请信息、待导出数据对应的数据包并在对其进行审批通过之后，根据所述数据导出申请信息生成标志文件，并为所述数据包添加第一标识，及为所述标志文件添加第二标识。

在上述实施步骤中，在需要将机密数据从研发网导出至外界，以供导出方(即数据接收方)能够接收到所述机密数据时，申请人(即数据发送方)在审批系统中进行申请，并在审批系统中填写相应的数据导出申请信息、存放待导出数据(机密数据)对应的数据包。审批系统在接收到申请人的数据导出申请后，获取申请人所提供的数据导出申请信息及待导出数据对应的数据包，并且可通知审批方对数据导出申请进行审批，也可以自行对数据导出申请进行审批。其中，数据导出申请信息中可包括申请人信息、数据导出目的、待导导出数据的导出路径(即出方对应的地址信息)以及导出方信息等。需要说明的是，研发网为内网，共享安全区为外网，内网内的数据通常为机密数据需要保密，将数据从内网导出至外网后，导出方可在外网接收到所述数据。

举例来说，如图2所示，申请人1011现需将数据包1013从研发网101内导出至共享安全区102的服务器1021内，以便导出方1022能够及时接收到数据包1013。设备终端1012内设置有审批系统，申请人1011与设备终端1012进行交互，向审批系统提交数据导出申请，并填写数据导出申请信息及将数据包1013存放至审批系统中。其中，服务器1021可以为FTP服务器。

在数据导出申请审批通过后，审批系统根据数据导出申请信息生成标志文件，并且为数据包添加第一标识、标志文件添加第二标识。需要说明的是，第一标识和第二标识为相同的标识。不同数据包之间的第一标识不同，不同标志文件之间的第二标识不同。

S102、如果所述第一标识与第二标识相同，则解析所述标志文件得到导出路径信息；其中，所述标志文件包括所述数据导出申请信息中携带的导出路径信息。

在上述实施步骤中，审批系统实时对标志文件进行监测，当检测到有新的标志文件生成后，对新的标志文件进行解析得到对应的第二标识，并核查是否具有与第二标识相同的第一标识的数据包，如果检测到数据包中具有与第二标识相同的第一标识，则进一步对新的标志文件进行解析得到对应的导出路径信息。需要说明的是，数据导出申请信息包含有待导出数据对应的导出路径信息，审批系统可根据导出路径信息将对应的待导出数据导出至正确的位置。

举例来说，审批系统中包括数据包a、数据包b和数据包c，当检测到有新的标志文件c生成，对标志文件c进行解析得到第二标识c。核查数据包a、数据包b和数据包c中的第一标识，发现数据包c中的第一标识c与第二标识c相同，则进一步地对标志文件c进行解析得到对应的导出路径信息。

S103、根据所述导出路径信息，将所述数据包从审批系统导出至目标位置。

在上述实施步骤中，数据导出申请信息中携带的导出路径信息为待导出数据对应的导出方的接收地址，根据导出路径信息可将所述待导出数据对应的数据包传递至正确的位置，以防待导出数据传输地址错误导致机密数据的泄露。需要说明的是，所述目标位置即为待导出数据导出方对应的接收地址。

举例来说，审批系统中包括数据包a、数据包b和数据包c，数据包c包括第一标识c、标志文件c包括第二标识c，第一标识c和第二标识c相同，则进一步地解析标志文件c得到导出路径信息，根据导出路径信息将数据包c导出至目标位置。如图2服务器1021中的数据存放位置c，导出方1022可以与服务器1021进行交互，从服务器1021下载数据包c。

在上述实施例中，数据导出申请经审批通过后，根据数据导出申请信息生成标志文件，并为数据包添加第一标识、标志文件添加第二标识。当检测到数据包携带的第一标识和标志文件携带的第二标识相同时，对标志文件进行解析得到导出路径信息，根据导出路径信息将所述数据包从审批系统中导出至目标位置。利用第一标识和第二标识进行匹配，能够准确将待导出数据对应的数据包导出至正确的导出方，防止将数据包导出给错误的导出方带来的数据泄露，同时提高效率。

在一个或多个实施例中，为所述数据包添加第一标识、为所述标志文件添加第二标识，如图2所示，可包括如下步骤：

S201、提取对数据导出申请信息、待导出数据对应的数据包进行审批的审批信息。

在上述实施步骤中，审批系统可以包括一级审批，也可以包括多级审批，例如二级审批或三级审批等。在审批通过后，审批系统可获取审批过程中的信息，例如审批方信息、审批时间及审批批注信息等。审批方信息可以为审批方的名称或审批方代号等；审批批注信息为审批方对数据导出申请进行标注的相关信息。

S202、为所述数据包添加所述审批信息，并为所述标志文件添加所述审批信息。

在上述实施步骤中，将审批信息附加在数据包和标志文件中，同时也可以将所述审批信息包含在数据包的第一标识和标志文件的第二标识中。

在一些实施例中，识别出数据包的第一标识和标志文件的第二标识相同之后，还可以对标志文件和数据包进行标记，并且将标记后的标志文件和数据包拷贝至研发网的备份服务器。标记后的标志文件和数据包可便于后期的查验，可用于违规导出数据的追责，同时存储在研发网的备份服务器中可防止丢失和泄露。

在一个或多个实施例中，如图3所示，在获取到数据导出申请信息、待导出数据对应的数据包并对其进行审批通过之后，还包括如下步骤：

S301、利用第一加密密钥对待导出数据对应的数据包进行加密，并将第一加密密钥发送至申请终端。

在上述实施步骤中，对待导出数据对应的数据包进行加密，得到加密后的数据包，以保证数据包的安全，使数据包即使遭到泄露也不会泄露机密数据。将第一加密密钥发送至申请终端，申请人可以通过多种方式将第一加密密钥告知导出方。需要说明的是，申请终端位于研发网内部，可防止第一加密密钥的泄露。

S302、将加密后的数据包存放至审批系统的指定目录。

在上述实施步骤中，指定目录设定有特定访问权限，且由于审批系统位于研发网内，对存储有加密后的数据包的指定目录进行权限设定，可进一步加强对数据包的保护。需要说明的是，在后续将数据包根据导出路径信息从审批系统导出至目标位置中，所述数据包为加密后的数据包。

在一个或多个实施例中，第一加密密钥可以为随机密钥。即审批系统随机生成随机密钥，利用随机密钥加密待导出数据对应的数据包，并将随机密钥发送至申请终端，可利用申请终端将随机密钥发送至目标位置对应的终端。例如可以为服务器。如发现加密密钥遭到泄露，管理员可以及时将导出的数据删除，防止数据泄密。

在一个或多个实施例中，还可以利用随机密钥结合目标位置对应的终端的硬件信息来加密数据包。即获取到随机密钥和目标位置对应的终端的硬件信息后，按照预设规则组合随机密钥和硬件信息形成第二加密密钥，利用第二加密密钥来加密所述待导出数据对应的数据包。其中，硬件信息可以为显卡信息、CPU信息和物理地址信息等。导出方在接收到加密后的数据包和对应随机密钥后，利用随机密钥和硬件信息按照预设规则组合形成第二加密密钥，利用第二加密密钥对加密后的数据包进行解密。由于需要使用随机密钥和硬件信息才能形成第二加密密钥，硬件信息、随机密钥和/或预设规则错误均会导致不能得到第二加密密钥，因此可大大增加对数据包的安全保护。需要说明的是，预设规则可以第二加密密钥的前半部分为随机密钥、后半部分为硬件信息，也可以为前半部分为硬件信息、后半部分为随机密钥，当然，预设规则也可以为其他组合形式。

举例来说，如图2所示，获取服务器1021中的CPU信息，将CPU信息结合随机密钥形成第二加密密钥，利用第二加密密钥对待导出数据对应的数据包进行加密。

在一个或多个实施例中，还可获取导出方的私钥或公钥，并在审批系统中生成密钥对，即可利用导出方的私钥和审批系统的公钥对数据包进行加密，而审批系统的私钥发送给申请终端，以便申请终端将所述私钥发送至目标位置对应的终端，使导出方可利用审批系统的私钥和导出方的公钥对加密后的数据包进行解密。或者还可利用导出方的公钥和审批系统的私钥对数据包进行加密，而审批系统的公钥发送给申请终端，以便申请终端将所述公钥发送给目标位置对应的终端，使导出方可利用审批系统的公钥和当导出方的私钥对加密后的数据包进行解密。利用双方的密钥同时对数据包进行加密，可进一步增强数据包的安全。

举例来说，导出方的密钥对包括第二公钥和第二私钥，审批系统生成密钥对，包括第一公钥和第一私钥。获取到导出方的第二公钥，审批系统利用第二公钥和第一私钥对所述待导出数据对应的数据包进行加密，并将加密后的数据包发送给目标位置对应的终端。同时审批系统将第一公钥发送至申请终端，申请终端通过预设的方式将第一公钥发送至目标位置对应的终端，以便导出方利用第一公钥和第二私钥对加密后的数据包进行解密。

又如，获取导出方的第二私钥，审批系统利用第二私钥和第一公钥对所述待导出数据对应的数据包进行加密，并将加密后的数据包发送给目标位置对应的终端。同时审批系统将第一私钥发送至申请终端，申请终端通过预设的方式将第一私钥发送至目标位置对应的终端，以便导出方利用第一私钥和第二公钥对加密后的数据包进行解密。

实施例2

本实施例提供了一种机密数据由研发网经审批后导出到共享安全区的装置，用于将研发网中审批通过后的机密数据导出至共享安全区，以便对应的导出方能够接收到所述机密数据。如图5所示，包括：

生成及添加模块201，用于获取数据导出申请信息、待导出数据对应的数据包并在对其进行审批通过之后，根据所述数据导出申请信息生成标志文件，并为所述数据包添加第一标识，及为所述标志文件添加第二标识；详细内容请参见实施例1中步骤S101的相关描述，此处不再赘述。

解析模块202，用于如果所述第一标识与第二标识相同，则解析所述标志文件得到导出路径信息；其中，所述标志文件包括所述数据导出申请信息中携带的导出路径信息；详细内容请参见实施例1中步骤S102的相关描述，此处不再赘述。

导出模块203，用于根据所述导出路径信息，将所述数据包从审批系统导出至目标位置。详细内容请参见实施例1中步骤S103的相关描述，此处不再赘述。

本实施例的技术效果可参考实施例1中的相关描述，在此不再赘述。

在一个或多个实施例中，如图6所示，还包括：

生成及加密模块301，用于生成随机密钥，并利用所述随机密钥加密所述待导出数据对应的数据包；详细内容请参见实施例1中的相关描述，此处不再赘述。

发送模块302，用于将所述随机密钥发送至申请终端，以通过申请终端将所述随机密钥发送至所述目标位置对应的终端。详细内容请参见实施例1中的相关描述，此处不再赘述。

实施例3

本实施例提供了一种计算机设备，如图7所示，该计算机设备包括处理器401和存储器402，其中处理器401和存储器402可以通过总线或者其他方式连接，图5中以通过总线连接为例。

处理器401可以为中央处理器(Central Processing Unit，CPU)。处理器401还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、图形处理器(Graphics Processing Unit，GPU)、嵌入式神经网络处理器(Neural-network ProcessingUnit，NPU)或者其他专用的深度学习协处理器、专用集成电路(Application SpecificIntegrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器402作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明实施例中的机密数据由研发网经审批后导出到共享安全区的方法对应的程序指令/模块(如图5所示的生成及添加模块201、解析模块202和导出模块203)。处理器401通过运行存储在存储器402中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例1中的机密数据由研发网经审批后导出到共享安全区的方法。

存储器402可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储处理器401所创建的数据等。此外，存储器402可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器402可选包括相对于处理器401远程设置的存储器，这些远程存储器可以通过网络连接至处理器401。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

所述一个或者多个模块存储在所述存储器402中，当被所述处理器401执行时，执行如图1所示实施例中的机密数据由研发网经审批后导出到共享安全区的方法。

在本实施例中，存储器402存储有机密数据由研发网经审批后导出到共享安全区的方法的程序指令或模块，处理器401执行存储在存储器402内的程序指令或模块时，数据导出申请经审批通过后，根据数据导出申请信息生成标志文件，并为数据包添加第一标识、标志文件添加第二标识。当检测到数据包携带的第一标识和标志文件携带的第二标识相同时，对标志文件进行解析得到导出路径信息，根据导出路径信息将所述数据包从审批系统中导出至目标位置。利用第一标识和第二标识进行匹配，能够准确将待导出数据对应的数据包导出至正确的导出方，防止将数据包导出给错误的导出方带来的数据泄露，同时提高效率。

本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可执行指令，该计算机可执行指令可执行上述任意方法实施例中的机密数据由研发网经审批后导出到共享安全区的方法。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid-State Drive，SSD)等；所述存储介质还可以包括上述种类的存储器的组合。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。