一种敏感信息的管理控制方法和装置技术领域
本发明涉及电信业务支撑领域和信息安全领域，尤其涉及一种敏感信息的
管理控制方法和装置。
背景技术
电信行业的业务支撑系统中，涉及大量的客户敏感信息，为了保障敏感信
息在传播过程和数据存储上的安全，现有技术方案中将敏感信息伪装和加密后，
通过在数据库表中增加字段的方式存储伪装后数据和加密后数据，因此需要相
应的改造后台数据存储程序，以便将伪装和加密后的客户敏感信息存入数据库；
还需改造服务、接口、中间件等服务层程序，以便增加数据伪装和加密处理；
同时需要逐个改造前台程序，以便读取服务层返回的伪装和加密数据节点数据。
现有技术方案存在的问题是：每当增加一个客户敏感信息类型即需要增加
一个字段，都需要对从交互层到服务层再到数据层的、所有涉及该信息类型或
字段的系统模块进行代码改造，开发工作量巨大；并且现有的加密方式虽然具
备密钥管理功能，然而密钥一旦泄露，加密的信息立即就能被破解，进而导致
信息泄露。
发明内容
为解决现有存在的技术问题，本发明实施例期望提供一种敏感信息的管理
控制方法和装置，在不增加过多的开发工作量的同时，能灵活、安全的管理控
制敏感信息的传播和存储。
本发明实施例的技术方案是这样实现的：
本发明实施例提供了一种敏感信息的管理控制方法，该方法包括：
按照预设识别策略，从接收到的信息中识别出敏感信息；
按照预设加密策略，对所述敏感信息进行加密；
以加密后的敏感信息替代原始敏感信息，存入预设存储空间；
当需输出所述敏感信息时，将从所述存储空间中获取的所述加密后的敏感
信息进行解密；
输出解密后的敏感信息。
上述方案中，所述按照预设识别策略从接收到的信息中识别出敏感信息包
括：
对所述接收到的信息进行分词处理，得到信息分词；
采用文本匹配和/或规则匹配和/或结构化匹配方法，对所述信息分词进行匹
配筛选，得到敏感信息。
上述方案中，所述预设加密策略包括：
预设特征化加密策略和/或对称加密策略。
上述方案中，所述特征化加密策略包括特征字符集合、密文前缀和密文后
缀；
所述按照预设加密策略对所述敏感信息进行加密包括：
获取所述敏感信息的占位索引；
根据所述特征字符集合和所述占位索引，生成敏感信息对应的特征字符序
列；
由所述密文前缀、所述特征字符序列、所述敏感信息和所述密文后缀组成
特征化加密后的敏感信息。
上述方案中，将从数据库中获取的所述加密后的敏感信息进行解密包括：
从调取到的所述存储空间的信息中，识别出经过加密的信息，具体为：根
据所述预设特征化加密策略中的特征，对所述调取到的数据库存储的信息进行
特征匹配；当找到匹配所述特征的信息时，确认所述信息为经过加密的信息；
根据与所述预设加密策略相对应的解密策略，对所述经过加密的信息进行
解密，得到未加密的敏感信息。
上述方案中，输出所述解密后的敏感信息包括：
按照预设伪装策略，对所述敏感信息进行伪装；
输出伪装后的敏感信息。
本发明实施例还提供一种敏感信息的管理控制装置，该装置包括：识别模
块、加密模块、存储模块、解密模块以及输出模块；其中，
识别模块，用于按照预设识别策略，从接收到的信息中识别出敏感信息；
加密模块，用于按照预设加密策略，对所述敏感信息进行加密；
存储模块，用于以加密后的敏感信息替代原始敏感信息，存入预设存储空
间；
解密模块，用于当需输出敏感信息时，将从所述存储空间中获取的所述加
密后的敏感信息进行解密；
输出模块，用于输出所述解密后的敏感信息。
上述方案中，所述识别模块包括：
分词单元，用于按照预设分词规则，对所述接收到的信息进行分词处理，
得到信息分词；
匹配单元，用于采用文本匹配和/或规则匹配和/或结构化匹配方法，对所述
信息分词进行匹配筛选，得到敏感信息分词。
上述方案中，所述预设加密策略为预设特征化加密策略，所述特征化加密
策略包括特征字符集合、密文前缀和密文后缀，所述加密模块包括：
占位索引获取单元，用于获取所述敏感信息的占位索引；
特征字符序列生成单元，用于根据所述特征字符集合和所述占位索引，生
成敏感信息对应的特征字符序列；
密文生成单元，用于由所述密文前缀、所述特征字符序列、所述敏感信息
和所述密文后缀组成特征化加密后的敏感信息。
上述方案中，所述预设加密策略为预设特征化加密策略，所述解密模块包
括：
加密信息识别单元，用于从调取到的所述存储空间的信息中，识别出经过
加密的信息，具体为：根据所述预设特征化加密策略中的特征，对所述调取到
的数据库存储的信息进行特征匹配；当找到匹配所述特征的信息时，确认所述
信息为经过加密的信息；
解密单元，用于根据与所述预设加密策略相对应的解密策略，对所述经过
加密的信息进行解密，得到未加密的敏感信息。
本发明实施例所提供的敏感信息管理控制方法和装置，通过预先设置的识
别策略，能从接收到的信息中自动识别出敏感信息，进而针对敏感信息进行加
密，并以加密后的敏感信息替代原始敏感信息存储于存储空间，当需要调取敏
感信息时再将加密后的敏感信息进行解密后输出，因而不需要修改存储空间中
的数据存储模型，即不需要在数据库表中增加字段，从而节省了大量的开发工
作，提高敏感信息的安全管控效率。同时，当使用特征化的加密策略对敏感信
息加密，以及对敏感信息进行伪装后输出时，能进一步提高敏感信息的安全性。
附图说明
图1为本发明实施例提供的敏感信息管理控制方法的实现流程示意图；
图2为本发明提供的一种敏感信息的管理控制方法实施例中敏感信息类型
与敏感信息词库、规则库、结构化语言库的对应关系示意图；
图3为本发明实施例提供的敏感信息管理控制装置的组成结构示意图；
图4为本发明提供的一种敏感信息管理控制装置实施例中功能模块和单元
的组成结构示意图。
具体实施方式
为了更清楚地说明本发明实施例和技术方案，下面将结合附图及实施例对
本发明的技术方案进行更详细的说明，显然，所描述的实施例是本发明的一部
分实施例，而不是全部实施例。基本发明的实施例，本领域普通技术人员在不
付出创造性劳动性的前提下所获得的所有其他实施例，都属于本发明保护的范
围。
本发明实施例提供的敏感信息管理控制装置，可集成于电信行业的业务支
撑系统中，也可独立于业务支撑系统之外，故本发明实施例提供的敏感信息管
理控制方法可应用于业务支撑系统中的敏感信息管理控制装置，也可应用于独
立于业务支撑系统外的敏感信息管理控制装置。
图1为本发明实施例提供的敏感信息管理控制方法的实现流程示意图，如
图1所示，该方法包括：
步骤101，按照预设识别策略，从接收到的信息中识别出敏感信息；
具体的，敏感信息管理控制装置中预先设置识别策略，接收从前台程序发
送的信息，并从接收到的信息中自动识别出敏感信息。
进一步的，本步骤的管理控制方法中，按照预设识别策略从接收到的信息
中识别出敏感信息包括：
对所述接收到的信息进行分词处理，得到信息分词；
采用文本匹配和/或规则匹配和/或结构化匹配方法，对所述信息分词进行匹
配筛选，得到敏感信息。
具体的，敏感信息管理控制装置根据文件对象模型(DOM)节点、可扩展
标记语言(xml)节点对接收到的信息进行分词，取完整的DOM节点或xml
节点数据作为一个分词，并屏蔽xml的ROOT节点、DOM中的html、head等
特殊节点，以提高分词速度。按照上述方法，将接收到的全部信息进行分词处
理，得到信息分词。
然后，获取预设的识别策略，并按照预设的识别策略筛选出敏感信息。其
中预设的识别策略包括：采用文本匹配和/或规则匹配和/或结构化匹配方法，对
所述信息分词进行匹配。符合匹配条件的信息分词，即被视为敏感信息。
具体的，文本匹配方法包括：建立并维护敏感信息词库，将得到的信息分
词与敏感信息词库中的词进行匹配，当找到匹配词时，确定该信息分词为敏感
信息。
规则匹配方法包括：建立并维护规则库，规则库中的匹配规则根据各类敏
感信息的特点设置，使用规则库中的匹配规则对得到的信息分词进行识别，当
找到满足匹配规则的信息分词时，确定该信息分词为敏感信息分词；在一个实
施例中，规则库如表1所示。
表1
敏感类型
规则
值
客户姓名
信息的第一个字母以姓氏开头
百家姓字典
客户地址
信息中包含表示地址的特殊字符
市、区、县、小区
手机号码
11位，以特殊数字开头
134～139、147、150～152
结构化匹配方法包括：根据系统设计规范，总结各类敏感信息的上下文规
则，进行结构化匹配。在一个实施例中，结构化匹配规范如表2所示，通过结
构化标识，识别出敏感信息分词。例如：一个分词的开始标识为“<custname>”，
截止标识为“</custname>”，可判断出该分词中间部分为客户姓名信息，属于
敏感信息的一类，因而确定该分词中间部门为敏感信息分词。
表2
敏感类型
结构化标识(开始)
结构化标识(截止)
客户姓名
<custname>
</custname>
客户地址
<addr>
</addr>
手机号码
<phone_no>
</phone_no>
在实际应用中，上述三种匹配方法可分别单独使用，也可组合使用；在组
合使用时，可按照一定的顺序，依次使用上述匹配方法对所述信息分词进行匹
配，也可采用分布式方法同时使用上述匹配方法对所述信息分词进行匹配。在
一个实施例中，采用分布式方法同时使用上述三种匹配方法对所述信息分词进
行匹配，其中敏感信息类型对应的敏感信息词库、规则库、结构化语言库如图
2所示。
步骤102，按照预设加密策略，对所述敏感信息进行加密。
具体的，敏感信息管理控制装置获取预设的加密策略，对识别出的敏感信
息进行加密。
进一步的，上述预设加密策略包括：预设特征化加密策略和/或对称加密策
略。
具体的，需加密的信息可预设特征化的加密策略和/或对称加密策略；所述
特征化的加密策略是指在需加密的信息的前、后或中间插入特征字符或特征字
符串；所述对称加密策略是指采用对称加密算法(DES)对需加密的信息使用
预设的密钥进行加密。为了更近一步保证敏感信息的安全，可先使用对称加密
算法(DES)对敏感信息进行密钥加密，再对密钥加密后的密文使用特征化加
密策略进行二次加密。
更进一步的，敏感信息管理控制装置中预先配置的特征化加密策略可包括：
特征字符集合、密文前缀和密文后缀；
具体的，在实施例1中，密文前缀为“”，密文后缀为“#”。特征字符集
合是由一组有顺序的特征字符组成，且规定特征字符序列中占位索引和字符集
合的顺序对应。例如表3所示，特征字符集合第0个特征字符为“”，因此占
位索引中的“0”与“”对应；特征字符集合第1个特征字符为“#”，因此占
位索引中的“1”与“#”对应；以此类推。可根据不同的保密需要，设置不同
字符数量的特征字符集合，保密需要越高，设置的字符数量越多。在实施例1
中，如表3所示，特征字符数量不大于10。
表3
顺序
0
1
2
3
4
5
6
7
8
9
字符
#
$
％
&
*
A
B
C
D
因此，上述按照预设加密策略对所述敏感信息进行加密包括：
步骤A，获取所述敏感信息的占位索引；
具体的，敏感信息管理控制装置识别出敏感信息后，随机为该敏感信息分
配一个占位索引。例如：识别出敏感信息XXXXXXXX后，获取该敏感信息的
占位索引为0479。
步骤B，根据所述特征字符集合和所述占位索引，生成敏感信息对应的特
征字符序列；
具体的，在实施例1中规定：特征字符序列为8位，由4位占位索引和4
位特征字符组成。结合上述的特征字符集合，即表3所示，当占位索引为0479
时，对应的特征字符为&BD，因此敏感信息XXXXXXXX的特征字符序列为：
0479&BD。
步骤C，由所述密文前缀、所述特征字符序列、所述敏感信息和所述密文
后缀组成特征化加密后的敏感信息。
具体的，定义密文的组成规则，结合所述密文前缀、所述特征字符序列、
所述敏感信息和所述密文后缀组成所述加密后的敏感信息。在实施例1中规定：
密文＝密文前缀+特征字符序列+敏感信息+密文后缀。因此，敏感信息
XXXXXXXX经过特征化加密后的密文为：0479&BDXXXXXXXX#。如前
所述，特征化加密还可结合对称加密策略，在一个实施例中，对于上述敏感信
息XXXXXXXX可先进行对称加密，如使用密钥s，得到密文YYYYYYYY，
再对YYYYYYYY进行特征化加密，得到最终密文：
0479&BDYYYYYYYY#。
使用上述加密策略，即便获取到对称加密策略的密钥，不通过本敏感信息
管理控制装置，也无法解密，极大的保证了数据安全性。
步骤103，以加密后的敏感信息替代原始敏感信息，存入预设存储空间。
具体的，将经过加密处理后的敏感信息替代原始敏感信息，与其他非敏感
信息一同存入预设的存储空间。在一个实施例中，预设的存储空间是指后台数
据库。
使用这种方法存储敏感信息，无需在数据库表中增加字段，同时提高了敏
感信息在存储过程中的安全性。
步骤104，当需输出敏感信息时，将从所述存储空间中获取的所述加密后
的敏感信息进行解密。
进一步的，步骤104包括：
步骤a，从调取到的所述存储空间的信息中，识别出经过加密的信息，具
体为：
根据所述预设特征化加密策略中的特征，对所述调取到的数据库存储的信
息进行特征匹配；当找到匹配所述特征的信息时，确认所述信息为经过加密的
信息。
例如在实施例1中，敏感信息管理控制装置读取到一段信息为
0479&BDXXXXXXXX#；因为该信息是以“”开头，因此判断该信息可
能是经加密的信息；进而获取“”后的8位“0479&BD”，使用表3验证该
8位序列是否是特征字符序列，具体为：获取“”后的4位“0479”，通过表
3计算与之对应的特征字符应为“&BD”；获取“0479”后的4位“&BD”，
判断是否与“0479”的特征字符“&BD”相同；如果相同，表示：“0479&BD”
是特征字符序列，因此0479&BDXXXXXXXX#是经过特征化加密的信息；
如果不相同，表示“”后的8位不是特征字符序列，因此该段信息不是经过
特征化加密的信息。
步骤b，根据与所述预设加密策略相对应的解密策略，对所述经过加密的
信息进行解密，得到未加密的敏感信息。
具体的，当预设加密策略为特征化加密策略时，与之对应的解密策略为：
去除加进敏感信息中的特征字符或特征字符串；当预设加密策略为对称加密策
略时，与之对应的解密策略为：使用密钥对加密信息进行解密。
在实施例1中，如上所述，识别出0479&BDXXXXXXXX#是经过特征
化加密的信息，因在密文前缀、特征字符序列之后，和密文后缀之间的信息为
敏感信息，故而“0479&BD”之后、直至“#”之前的信息“XXXXXXXX”
为敏感信息。即：除去密文前缀、特征字符序列和密文后缀后，得到未加密的
敏感信息“XXXXXXXX”。在另一个实施例中，按照上述方法得到
“0479&BDYYYYYYYY#”中的“YYYYYYYY”是敏感信息，但
“YYYYYYYY”本身是经过对称加密的密文，且密钥为s，则进一步对
“YYYYYYYY”使用密钥s进行解密，得到最终未加密的敏感信息
“XXXXXXXX”。
步骤105，输出所述解密后的敏感信息。
具体的，步骤105可包括：
步骤I，按照预设伪装策略，对所述敏感信息进行伪装。
具体的，可根据敏感信息的类型设置伪装策略，按照预设伪装策略，对所
述敏感信息进行伪装。例如，客户姓名为敏感信息，伪装策略可以设置为：客
户姓名只能显示最后一个字，而其他部分全部显示为“*”号，即客户姓名模糊
化。在一个实施例中，伪装策略如表4所示。
表4
敏感类型
伪装策略
客户姓名
只显示最后一个汉字，其余全部显示为“*”
客户地址
只显示前30％的字符，其余全部显示为“*”
手机号码
只显示前3位和后4位数字，其余全部显示为“*”
经过步骤104，得到未加密(解密后)的敏感信息后，再根据表4所示伪
装策略，对敏感信息进行伪装。例如：将客户姓名为“张三”的敏感信息，伪
装为“*三”。
步骤II，输出伪装后的敏感信息。
具体的，将伪装后的敏感信息输出显示。
上述实施例提供的敏感信息管理控制方法，通过预先设置的识别策略，能
从接收到的信息中自动识别出敏感信息，进而针对敏感信息进行加密，并以加
密后的敏感信息替代原始敏感信息存储于存储空间，当需要调取敏感信息时再
将加密后的敏感信息进行解密后输出，因而不需要修改存储空间中的数据存储
模型，即不需要在数据库表中增加字段，从而节省了大量的开发工作，提高敏
感信息的安全管控效率。同时，使用特征化的加密策略对敏感信息加密，以及
对敏感信息进行伪装后输出，能进一步提高敏感信息的安全性。
图3是本发明实施例提供的敏感信息管理控制装置的组成结构示意图，如
图3所示，该管理控制装置包括：识别模块31、加密模块32、存储模块33、
解密模块34以及输出模块35；其中，
识别模块31，用于按照预设识别策略，从接收到的信息中识别出敏感信息；
加密模块32，用于按照预设加密策略，对所述敏感信息进行加密；
存储模块33，用于以加密后的敏感信息替代原始敏感信息，存入存储空间；
解密模块34，用于当需输出敏感信息时，将从所述存储空间中获取的所述
加密后的敏感信息进行解密；
输出模块35，用于输出所述解密后的敏感信息。
进一步的，图4为本发明提供的一种敏感信息的管理控制装置实施例中功
能模块和单元的组成结构示意图，其中，直线箭头表示数据的流向。如图4所
示，该实施例提供的敏感信息管理控制装置30中，识别模块31包括：
分词单元311，用于按照预设分词规则，对所述接收到的信息进行分词处
理，得到信息分词；
匹配单元312，用于采用文本匹配和/或规则匹配和/或结构化匹配方法，对
所述信息分词进行匹配筛选，得到敏感信息分词。
进一步的，所述预设加密策略为预设特征化加密策略，所述特征化加密策
略包括特征字符集合、密文前缀和密文后缀，如图4所示，所述加密模块32
包括：
占位索引获取单元321，用于获取所述敏感信息的占位索引；
特征字符序列生成单元322，用于根据所述特征字符集合和所述占位索引，
生成敏感信息对应的特征字符序列；
密文生成单元323，用于由所述密文前缀、所述特征字符序列、所述敏感
信息和所述密文后缀组成特征化加密后的敏感信息。
进一步的，所述预设加密策略为预设特征化加密策略，如图4所示，所述
解密模块34包括：
加密信息识别单元341，用于从调取到的所述存储空间的信息中，识别出
经过加密的信息，具体为：根据所述预设特征化加密策略中的特征，对所述调
取到的数据库存储的信息进行特征匹配；当找到匹配所述特征的信息时，确认
所述信息为经过加密的信息；
解密单元342，用于根据与所述预设加密策略相对应的解密策略，对所述
经过加密的信息进行解密，得到未加密的敏感信息。
进一步的，如图4所示，所述输出模块35包括：
伪装单元351，用于按照预设伪装策略，对所述敏感信息进行伪装；
输出伪装单元352，用于输出伪装后的敏感信息。
上述各个模块及各个单元在实际应用中，可由电信行业业务支撑系统中的
中央处理器(CPU)、微处理器(MPU)、数字信号处理器(DSP)、或现场可编
程门阵列(FPGA)实现，也可由独立于电信行业业务支撑系统外的专门用于敏
感信息管理控制的装置中的中央处理器(CPU)、微处理器(MPU)、数字信号
处理器(DSP)、或现场可编程门阵列(FPGA)实现。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计
算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和
硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算
机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储
器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品
的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方
框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结
合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或
其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可
编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个
流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备
以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的
指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流
程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使
得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处
理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个
流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范
围。