摘要：大數據時代，各個國家及政府普遍重視科學數據開放并積極推動數據共享，廣泛開放共享的數據對全過程數據安全保障提出了新的挑戰。在借鑒國際科學數據共享最新政策與我國實際狀況的基礎上，提出了科學數據中心資源和用戶訪問控制體系。通過在開放系統平臺應用數據分級、用戶分類以及系統訪問權限控制策略，解決了數據中心資源安全共享缺乏系統性方案的問題。研究成果已經應用于國家對地觀測科學數據中心的實際業務工作中，取得了良好的效果。研究成果可為我國各個科學數據中心的數據安全、管理與共享服務提供借鑒，并對我國科學數據共享政策的制定具有一定啟示意義。

　　關鍵詞：大數據平臺;資源共享;用戶分類;資源分級;授權訪問控制

　　1引言

　　近年來，隨著科學研究進入數據驅動的第四范式，科學數據資源成為國家重要的戰略性支撐資源。為了促進科學數據資源共享，提高科學研究的支持保障水平，國內外越來越重視科學數據的管理，興建了一大批科學數據中心。例如美國國家空間科學數據中心(NationalSpaceScienceDataCenter，NSSDC)、英國數字保存中心(DigitalCurationCentre，DCC)、英國數據檔案(UKDataArchive)中心以及澳大利亞國家數據服務(AustralianNationalDataService，ANDS)中心等[1]。

　　2019年，我國科技部和財政部發文，成立了國家高能物理科學數據中心、國家基因組科學數據中心、國家天文科學數據中心等20個國家級科學數據中心，我國海量科學數據管理與共享工作也進入了新的發展階段。科學數據中心的興起帶來的不僅僅是各學科新的發展機遇，往往也伴隨著大量科學數據資源的開放共享中較大的安全風險問題。例如，網絡病毒和黑客肆意侵犯用戶隱私，數據資源易泄露、丟失，數據安全管理機制不完善，訪問權限管理不嚴密等[23]。

　　因而，各國政府普遍非常重視科學數據安全工作，并相繼開展相關法律法規的制定工作。2016年，歐盟通過了《通用數據保護條例》，討論了數據使用者、數據管理者及數據本體間的關系，提出要對敏感數據進行分類[4]。2018年，我國國務院辦公廳印發《科學數據管理辦法》，著重強調了要保障科學數據安全，要求科學數據必須采用分級分類管理，從而更好地支撐國家科技創新、經濟社會發展和國家安全。保障科學數據安全共享需要構建包括系統層面、數據層面和服務層面的科學數據安全框架[5]。

　　對數據、用戶進行分類分級、建立系統訪問權限控制體系是搭建科學數據安全框架的重要內容，也是實現科學數據有序管理與共享的一個可行的方法。分類分級是實現數據安全的基石，是科學數據中心有序管理各項資源的基礎，分類分級管理極大程度地平衡了數據安全與數據開放之間的關系[6]。

　　分類分級是將數據資源劃分為學科范疇明確、訪問等級清晰的數據產品，并把使用數據的用戶依據自身的特征劃分為數據需求清晰一致的群體，進而實現不同分類分級的數據和用戶之間的關聯匹配，確保合適的數據資源被合適的用戶獲取和使用。系統訪問權限控制是數據信息安全防范和保護重要的核心策略之一，有效保證了系統資源不被非法使用[7]。系統訪問授權控制機制授予合法用戶訪問特定資源的權限，并拒絕非權限用戶訪問。系統訪問權限控制體系的建立降低了系統維護成本，保障了系統運行安全。明確而完整的服務訪問授權體系對于提高數據中心的服務質量和增強用戶的使用體驗具有重要作用。

　　當前，我國各個科學數據中心缺乏明確而完善的數據和用戶分類分級體系以及面向數據管理和共享服務系統的訪問權限控制策略來保障科學數據中心安全、高效地開展科學數據共享工作。本文借鑒國際科學數據共享最新政策，并與我國實際狀況相結合，提出了一套完善的面向科學數據中心的數據、用戶分類分級體系和業務系統訪問權限控制策略，并以國家對地觀測科學數據中心(NationalEarthObservationDataCenter，NODA)為例，應用本文提出的分類分級體系與業務系統的訪問權限控制策略，最終形成一個科學數據業務有序管理與安全共享服務平臺。

　　2數據共享安全控制方法研究進展

　　在數據密集型研究范式背景下，國內外科學數據中心十分重視海量數據開放共享過程中面臨的安全問題，展開了相關研究，提出了一系列保障科學數據安全共享的方法和政策，并進行了實踐。美國國家海洋與大氣管理局(NationalOceanicandAtmosphericAdministration，NOAA)鼓勵以進一步分析或重用的形式提供數據。

　　例如，數據必須以機器可讀的格式編碼，最好使用現有的開放格式標準;必須充分記錄數據，最好使用開放元數據標準;根據NOAA信息質量指南，數據應進行質量控制，并在元數據中引用質量控制過程和結果的描述。世界數據系統(WorldDataSystem，WDS)通過在工作流中使用持久標識符實現準確的數據訪問與引用，從而完成對平臺數據的保護與控制。國際地球觀測組織(GrouponEarthObservations，GEO)提出了地球觀測數據的免費且不限制重復使用、不超過復制和分發成本的情況下提供、最短時間提供3項共享原則，該原則已經被國際社會和各國政府廣泛接受。

　　中國國家海洋科學數據中心(NationalMarineDataCenter，NMDC)將用戶劃分為普通用戶、個人認證用戶和單位認證用戶3種類型，并規定了各類別用戶可瀏覽、檢索和收藏下載指定海洋數據和產品的范圍以及單日數據訂單下載規模。中國國家微生物科學數據中心(NationalMicrobiologyDataCenter，NMDC)制定了數據庫訪問協議，將數據訪問權限分為完全公開和協議公開兩種類型，并規定了不同類型用戶對數據訪問與使用的許可條件。國家基礎學科公共科學數據中心面向科學數據資源的組織管理與資源發現，發展了基于元數據的數據檢索、基于語義網的查詢、關聯擴展以及基于用戶行為分析的相關度修正4項新增的科學數據資源建設與服務規范。

　　當下，國際通用的數據授權許可協議是知識共享協議(CreativeCommonsLicense，又稱CC協議)。它是一種創作授權方式，允許作者選擇不同的授權條款和參考不同國家著作權法制定相應的版權協議。該協議的適用范圍非常廣泛，兼容性較強，適用于多種形式的數據資料，是開放數據應用非常理想的許可協議。截至2016年，全球已有50多個國家基于CC協議發布基于各國國情的不同版本，應用CC國際通用版本許可協議的國家包括美國、英國、澳大利亞、加拿大等國家[8]。

　　由此可見，國內外的科學數據中心僅僅對科學數據安全共享框架中的數據分類分級、訪問權限控制、數據政策制定的某一方面，或者某一個具體的技術點進行了研究，其保障數據安全的策略和技術都是獨立的，缺少將三者統一為一個整體的系統性解決方案。科學數據共享是一個涉及數據生產、傳輸、存儲、管理、共享和應用的全生命周期流程，單方面或者單個技術點的數據安全保障措施難以實現科學數據安全開放共享。因而，各個科學數據中心迫切需要科學數據安全共享的系統性操作方案，并將其實際應用在日常工作中。

　　3科學數據資源分級體系

　　3.1資源分級

　　資源分級是采用明確的、規范的方法，區分資源的敏感性和重要程度差異，從而確定資源的級別[9]。合理的資源分級能夠保證在符合法律法規和監管要求的前提下，對最關鍵和最有價值的資源采取最高級別的防護，同時減少不必要的投入[10]。數據的分級規則是客觀并可以被校驗的，即通過數據自身的屬性和分級規則就可以判定其等級，已經分級的數據也是可以復核和檢查的。科學數據資源是科學數據共享服務系統的內容和結果。我國科學數據共享需要考量的因素有：數據資源的知識產權、數據資源的分發、數據資源的演繹、數據資源的溯源、數據資源可否開放共享給國外用戶等。

　　數據資源的知識產權主要是指數據資源的作者對知識產權的申明和要求情況，即數據資源是否可以共享、共享的人員范圍、數據資源可否供商業使用、使用數據是否需要引用和申明作者的貢獻等。數據資源的分發主要是指數據資源能否由數據所有者以外的人提供給其他人，以及數據資源再分發等。數據資源的演繹主要是指是否允許用戶對數據資源進行更改，以及更改以后的再發布權限要求等。數據資源的溯源主要指是否需要記錄數據資源被誰在何種目的下使用等。數據資源可否開放共享給國外用戶主要體現科學數據中心的國際化應用水平。

　　綜合考慮這幾個方面，同時盡量與國際通用的CC協議相對應，本文將科學數據資源劃分為6個不同級別，即無限制訪問、無差別訪問、公益性訪問、商業性訪問、受邀訪問、業主訪問。不同級別的資源建立了相應的等級描述標識，并用不同的分級代碼表示。

　　3.1.1無限制訪問(R0)無限制訪問資源是完全開放、無任何訪問權限限制的資源，對應于CC協議中的CCBYSA類型資源。此資源安全防護等級最低，任何用戶(甚至無須注冊)都可以查詢、使用、下載和傳播該資源，并可用于商業目的。還可以對該級別資源進行二次修改，修改后的資源需要以相同的授權方式予以共享，共享時需注明數據的所有者。

　　3.1.2無差別訪問(R1)無差別訪問資源是對外開放性比較強的資源，對應于CC協議中標注為CCBYNCSA的授權許可的資源。國外注冊用戶具有訪問此級別資源的權限，可以查詢、使用、下載或傳播該資源。此資源不可用于商業目的，但可以進行二次修改，修改后的資源需以相同的授權方式予以共享，共享時需注明數據所有者。

　　3.1.3公益性訪問(R2)公益性訪問資源對應于CC協議中標注為CCBYNCSA的授權許可的資源。該資源主要由國內實名制注冊用戶使用，用戶可以查詢、使用、下載或傳播該資源，不可用于商業目的，但可以進行修改。修改后的資源需以相同的授權方式予以共享，共享時需注明數據所有者。

　　3.1.4商業性訪問(R3)商業性訪問資源是具有商業性質的資源類別，對應于CC協議中標注為CCBYSA的授權許可的資源。該資源主要面向國內注冊用戶開放共享，用戶可以查詢、使用、下載或傳播該資源，并用于商業目的。用戶可以對該資源進行修改，修改后的資源需以相同的授權級別予以共享，共享時需注明數據所有者。

　　3.1.5受邀訪問(R4)此類資源對應于CC協議中標注為CCBYNCND的授權許可。原則上僅限受邀請和授權的用戶查詢、使用、下載或傳播該資源，不可將其用于商業目的，不可對其進行修改。國內注冊用戶如需獲取該級別資源，必須提出附加授權申請，審核通過后方可訪問。

　　3.1.6業主訪問(R5)此類資源是本分級體系中受限最多的資源。一般情況下，僅限資源的所有人或授權管理人查詢、使用、下載或傳播該資源。該資源可用于商業目的，也可以修改，共享時需注明數據所有者。國內注冊用戶如需獲取此類資源，必須提出附加授權申請，審核通過后方可訪問。

　　4用戶分類體系

　　作為數據中心的業務開展主體和服務受眾，用戶在科學數據生命周期各個階段中起著重要作用。然而，面對龐大的國內外用戶群體，若數據中心對用戶缺少有效而統一的分類和控制，對用戶訪問權限不加限制，勢必影響用戶數據使用體驗和數據安全。根據不同的用戶屬性或特征對用戶進行分類，可以解決此類問題。用戶的多維細分可以更好地管理用戶，實現有效的用戶行為控制、合理的服務資源配置和數據安全策略的成功實施[11]。對此，本文建立了一種適應我國科學數據中心特色的用戶分類體系，并成功應用于科學數據中心的實際運行與服務過程中。

　　4.1用戶分類

　　對用戶分類前，首先應當建立分類準則[12]。科學數據中心用戶的分類就是按照一定的標準與原則，將用戶歸劃為不同的幾類角色，從而賦予各類角色不同的訪問權限[13]。所謂角色，就是用戶在系統內可執行的操作集合，用戶通過角色間接地訪問平臺資源[14]。

　　用戶角色與訪問權限相關聯，不同的訪問權限本質是不同類別的用戶具備訪問和操作平臺中不同等級授權的數據資源與服務的能力[15]。數據中心的用戶可分為內部管理人員和外部使用者。內部管理人員的主要職責是對各種與數據相關的業務進行管理與操作。外部使用者是訪問數據中心的數據共享服務系統、獲取系統數據資源的人員。因而，可將數據中心中的各種用戶分為管理員用戶與前臺用戶兩大類。

　　4.2管理員用戶(UA)

　　在科學數據中心系統中，管理員用戶是具備科學數據中心管理權限的后臺用戶，其大類編碼為UA。根據管理權限的優先級別和職責范圍，又可進一步劃分為5個不同小類的后臺管理員用戶角色。

　　頂級管理員(UA1)：是整個科學數據中心系統中權限最高的用戶角色類別，可對所有的業務環節進行全面管理。

　　頂級管理員負責后臺管理系統的整體構建，可對其他后臺用戶進行授權和管理;擁有分配其他種類用戶的權限，并負責審核用戶身份和處理低權限用戶的訪問升級請求。

　　欄目管理員(UA2)：科學數據中心日常業務是分塊運行的，欄目管理員負責數據中心各欄目的后臺管理工作，可對欄目操作員用戶進行授權，執行流程審核和統計等操作。

　　欄目操作員(UA3)：是維護數據中心各欄目基本內容與功能的主要用戶角色。根據欄目管理員提供的授權范圍，對負責的欄目進行相關操作的執行。

　　團隊管理員(UA4)：是科學數據中心下屬的分中心或者合作團隊的管理員用戶。職責是授權生成團隊操作員用戶，并且負責審核團隊操作員提交的團隊內部數據資源。

　　團隊操作員(UA5)：是為科學數據中心合作團隊專門授權的用戶角色，負責合作團隊的數據上傳與更新，以及處理前臺用戶提交的數據需求訂單。

　　4.3前臺用戶(UB)

　　前臺用戶是科學數據中心的實際使用者，享有系統提供的各項服務。前臺用戶的大類編碼為UB，依據用戶提供的身份標識信息，將前臺用戶分為3個小類的用戶角色。這3類前臺用戶的區別主要體現在對不同等級的資源訪問和操作能力的差異上。

　　5用戶訪問權限控制體系

　　訪問控制本身是主體對客體訪問權限的把控，只要主體通過授權獲得對客體的全部或部分訪問權限，就可以獲得客體信息[16]。一般情況下，所有的系統平臺都會設計自有的訪問控制體系，作為控制系統權限的手段。訪問控制的基本任務是，識別和確認訪問系統的用戶并決定該用戶可以對某一系統資源進行何種類型的訪問。訪問控制的目標是防止對信息系統資源的非授權訪問及防止非授權使用信息系統資源。

　　從本質上看，訪問控制體系的主要作用是確保系統的數據資源不會被非法訪問，保障系統的安全性。數據中心的訪問控制體系(accessingcontrolpolicy，ACP)包含用戶分類體系、資源分級體系和服務訪問授權體系3個部分。以國家對地觀測科學數據中心為例，這3個部分密切相關、聯動服務，構成一套完整的數據資源控制策略框架。在這3個部分的協同配合下，數據中心管理系統根據預先定義的訪問控制策略授予用戶不同類別的訪問權限，從而對不同等級的數據資源的使用過程進行有效控制，完成整個系統的服務過程。

　　6數據中心服務訪問授權體系

　　數據中心的服務是指數據中心提供給用戶的各種服務功能的總稱，包括數據資源、數據業務軟件系統操作功能等。數據中心服務的訪問授權通過與用戶角色權限相關聯的證書授權(certificateauthority，CA)訪問授權來實現。數據中心的數據業務系統可分為后臺管理系統、數據匯交系統和前臺服務系統3個子系統，每個子系統都可提供多項服務，每項服務又可細分為若干種子服務。

　　6.1數據中心管理業務

　　后臺管理系統是科學數據中心系統的一個子集，承擔著數據中心的管理和運維任務。一般提供權限管理、信息發布管理、訂單審核、平臺動態4種后臺管理服務。后臺管理系統中最主要的是權限管理服務。權限管理可分為角色管理和用戶管理兩個子服務。角色管理服務包括3個操作權限：用戶角色的新增、修改、刪除。

　　用戶管理服務操作權限包括：后臺及匯交系統用戶新增、修改、刪除以及前臺用戶新增、修改、停用。后臺管理系統的使用主體主要是各類管理員用戶，不同類型的管理員用戶在后臺管理系統中的服務訪問授權也有所差別。頂級管理員(UA1)享有后臺管理系統中的各項權限，欄目管理員(UA2)和欄目操作員(UA3)只能對自己負責的欄目板塊進行管理，而團隊管理員(UA4)只可管理與本團隊工作相關的服務。

　　6.2數據匯聚業務

　　數據匯交系統是數據中心的資源共享系統，負責平臺數據資源與服務的交流與更新，主要是提供科研項目成果匯聚業務。數據匯交系統是依據不同的機構、人員和項目的身份提供服務的。每種服務都是對各自身份類別所屬的數據集進行操作，操作權限包括上傳、修改、刪除、審核。

　　7科學數據中心訪問控制體系應用

　　國家對地觀測科學數據中心是我國首批20個國家級科學數據中心之一，是依托于中國科學院遙感與數字地球研究所建設的國家科技資源共享服務平臺。歷經多年建設，該平臺具有了可持續、跨機構、一站式的數據共享服務能力，可提供多維度、多時相、多尺度的對地觀測數據與其他相關資料資源。本文提出的數據分級、用戶分類以及數據中心服務訪問權限控制策略已經在國家對地觀測科學數據中心的業務系統中開展了實際應用。

　　例如，使用系統管理員賬號登錄NODA內部管理系統后，可對數據中心的角色進行管理。主要是新增系統角色和分配角色權限。新增的系統角色是根據實際使用的需要，配置其角色名稱、英文標識和角色權限描述，并在權限分配模塊中賦予新角色在后臺管理系統、前臺服務系統、匯交系統中相應的訪問權限。

　　8結束語

　　隨著科學數據共享事業日益蓬勃發展，對科學數據中心有效和安全管理科學數據資源提出了更高的要求。本文面向科學數據中心數據業務管理需求，制定了完善的資源和用戶訪問控制策略，并實際應用于科學數據中心運營中。本文提出的數據資源分級體系和用戶分類體系對數據資源等級和用戶訪問級別權限做出了明確規定，具有可操作、層次清晰明確等特點;本文提出的用戶分類體系不僅融合了國際數據共享政策的最新成果，同時考慮了我國的實際情況，不僅保證了數據的安全性，并且最大限度地保障了科學數據的共享;訪問授權策略靈活多樣，有效串聯了用戶分類體系、資源分級體系和服務訪問授權體系，順應科學數據共享服務多樣性、個性化的趨勢。

　　這套體系不僅可以應用于國家對地觀測科學數據中心，還可以推廣到其他科學數據中心，具有綜合性、穩定性、可持續性、可擴展性等優點。在未來的研究中，本文的訪問控制體系將結合未來實際發展需求與趨勢進行進一步的擴充和升級。例如針對不同角色用戶偏好與訪問控制關聯性的相關關系進行深入研究，對訪問控制體系做進一步改進，爭取使本文提出的科學數據中心資源和用戶訪問控制體系成為國際認可和推廣的體系標準。

　　參考文獻：

　　[1]楊行,屈寶強,赫運濤,等.世界主要國家科學數據資源共享和管理的對比分析和啟示[J].中國科技資源導刊,2016,48(6):1825.YANGX,QUBQ,HEYT,etal.Contrastanalysisanditsrevelationfromscientificdataresourcesharingandmanagementonmaincountries[J].ChinaScience&TechnologyResourcesReview,2016,48(6):1825.

　　[2]張芬.大數據時代數據的分類分級管理及安全防護[J].計算機產品與流通,2019(1):129.ZHANGF.Classifiedmanagementandsecurityprotectionofdataintheeraofbigdata[J].JournalofComputerProductsandCirculation,2019(1):129.

　　[3]秦宇.大數據時代網絡安全管理面臨的問題及管理措施探析[J].網絡安全技術與應用,2021(8):168169.QINY.Problemsandmanagementmeasuresofnetworksecuritymanagementintheeraofbigdata[J].NetworkSecurityTechnology&Application,2021(8):168169.

　　[4]杜宇驍,龔城,伏安娜,等.哈佛大學Datatags數據分級系統研究及啟示[J].圖書館雜志,2019,38(8):1726.

　　作者：曹喬卓然1，陳祖剛2，李國慶2，李靜2