[发明专利]数据保护方法及设备

说明书

技术领域

本发明实施例涉及信息安全技术，尤其涉及一种数据保护方法及设备。

背景技术

在业务运营支撑系统（Business Support System，简称：BSS）中，各业务子系统根据业务需求，需要保存一些个人敏感数据（Privacy Data，简称：PD），例如，交易账号、支付卡主账号（Primary Account Number，简称：PAN）、卡校验码（Card Verification Value，简称：CVV）、地址信息等。

在现有的BSS业务解决方案中，通常在营业厅或呼叫中心（Call Center）的操作员通过客户关系管理（Customer Relationship Management，简称：CRM）提供的界面录入客户资料，需要采集的客户资料包括：用户基本信息（个人自然信息）、账户资料信息（含付费方式、支付卡PAN、账单联系人方式等）、账单介质信息、Offer信息和合同信息等。根据用户录入的客户资料生成和归档开户信息，完成用户创建操作。

下面以用户录入的支付卡PAN为例，说明在典型的后付费用户开户流程中，PD在各业务子系统中的获取和保存过程。

客户到相关受理渠道（如营业厅或网络平台）申请开户，填写受理的支付卡PAN（用于自动付费和自动充值），CRM对支付卡信息的有效性和合法性进行校验，校验通过后生成开户的相关数据和开户订单；CRM本地创建后付费用户和账户数据，并发送给融合计费系统（Convergent Billing System，简称：CBS），CBS本地保存后付费用户和账户数据；在完成缴费和网元服务开通等操作后，CRM数据库中保存后付费用户和账户数据，其中，账户数据包括支付卡PAN。在客户进行账户信息查询时，CRM将在界面上显示客户开户时注册的支付卡PAN（以掩码的形式），最多可显示PAN的前六位和后四位。

在上述BSS业务解决方案中，PD的安全指数低，导致PD泄密事件频繁发生。

发明内容

本发明实施例提供一种数据保护方法及设备，以实现BSS中PD的安全管理。

第一方面，本发明实施例提供一种数据保护方法，包括：

接收业务子系统发送的网络服务请求报文，所述网络服务请求报文中包含至少一个子服务请求，每一子服务请求中携带一虚拟敏感数据VPD；

对于每一子服务请求，根据该子服务请求中携带的VPD查找对应的敏感数据PD，并以找到的PD替换该子服务请求中携带的VPD；

将替换后的网络服务请求报文发送至目标系统。

结合第一方面，在第一方面的第一种可能的实现方式中，所述将替换后的网络服务请求报文发送至目标系统之后，所述方法还包括：

接收所述目标系统反馈的与所述替换后的网络服务请求报文对应的响应报文，其中所述响应报文中包含至少一个子服务响应，每一子服务响应中携带一PD；

对于每一子服务响应，根据该子服务响应中携带的PD查找对应的VPD，并以找到的VPD替换该子服务响应中携带的PD；

将替换后的响应报文发送至所述业务子系统。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述网络服务请求报文和响应报文采用可扩展标记语言架构XML Schema定义。

结合第一方面、第一方面的第一种至第二种可能的实现方式中的任意一种，在第一方面的第三种可能的实现方式中，在接收业务子系统发送的网络服务请求报文之前，所述方法还包括：

接收所述业务子系统发送的PD密文；

根据预先存储的工作密匙，解密所述PD密文获得PD明文；

对所述PD明文采用预置的算法生成VPD，记录所述PD与所述VPD之间的对应关系，并将所述VPD发送给所述业务子系统。

第二方面，本发明实施例提供一种数据保护设备，包括：

接收模块，用于接收业务子系统发送的网络服务请求报文，所述网络服务请求报文中包含至少一个子服务请求，每一子服务请求中携带一虚拟敏感数据VPD；

处理模块，用于对于每一子服务请求，根据该子服务请求中携带的VPD查找对应的敏感数据PD，并以找到的PD替换该子服务请求中携带的VPD；

发送模块，用于将所述处理模块生成的所述替换后的网络服务请求报文发送至目标系统。