聯(lián)軟科技應邀出席第七屆稅務信息化大會，聯(lián)軟科技營銷中心副總裁魏繼超參與此會并代表我司發(fā)表主題演講-“稅務敏感數(shù)據(jù)泄露風險管控平臺”。

文章原出處：http://www.ctax.org.cn/news/rdzt/yxlwbj2013/bjsl/201401/t20140127_760035.html

此次會議圓滿成功，與會的嘉賓、領導以及來自全國各地的稅務代表和IT企業(yè)代表都融入在其樂融融的氛圍內，大家互動交流，成果斐然！

以下為演講具體內容：

大家上午好！

今天我為大家做的技術報告的主題是《稅務敏感數(shù)據(jù)泄露風險管控平臺》，簡稱防泄露平臺。我們的目標就是保護稅務的敏感數(shù)據(jù)。

有四個部分的內容：

第一部分是我們的平臺介紹。

第二部分是我們的幾個核心功能。

第三部分是平臺價值。

第四部分對我們公司做個簡單的介紹。

首先我們?yōu)槭裁匆ㄔO這個平臺，主要有四點。

早在今年年初的時候，我們國家的主席習總跟美國的總統(tǒng)奧巴馬會晤的時候就已經(jīng)提到了網(wǎng)絡及信息的安全。今年三中全會以后，成立了國家安全委員會，為了確保網(wǎng)絡和信息安全。其中重點提到了稅務。所以我們趕上了這么一個好時機。今年我們是花了很大的精力，在江蘇地稅定制開發(fā)了一套防泄露平臺。

第二個要素，是在國稅總局2012年的年底的時候，面向全國的稅務系統(tǒng)發(fā)布了一個文件，就是稅務工作秘密的管理暫行規(guī)定，這個文件主要從管理方面提出了一些要求。對我們來講，我們明確了我們要保護什么，明確了我們的防護邊界。所以我們把這種管理精神變成了技術手段，通過技術手段來落實這樣的管理指導精神。其他的就是征管法，以及我們對稅務業(yè)務數(shù)據(jù)的保護，保護稅務業(yè)務系統(tǒng)歸根結底是保護稅務業(yè)務數(shù)據(jù)的安全，因此我們這個平臺，我們保護的對象就是業(yè)務系統(tǒng)，而不是相應的文件。目標是很明確的。

我們都知道的一個問題，如果我們的設備丟失了，我們該怎么辦，人員怎么去做培訓，我們也知道。同時對于這種外設和通訊工具的管控都是非常成熟的技術，這些都是我們可以做到的，目前全國的國地稅系統(tǒng)在這方面都可以做得非常好，但是我們提出幾個問題，首先我們的系統(tǒng)中，哪些信息都存在什么地方，它們都是什么，哪些人需要訪問，需要使用這些信息，他們的使用是否合規(guī)，是否規(guī)范。我們有沒有足夠快的手段來防護這些信息，同時配套以相應的審計手段，其實很難。

在這樣的環(huán)境下，在這樣一些問題下，我們就推出了防泄露的平臺，我們的平臺目標是什么？我們主要是以業(yè)務系統(tǒng)為我們的管控對象，這個就直接與世面上國內外的數(shù)據(jù)安全平臺、防泄露平臺拉開了距離，他們還在做文件、還在做網(wǎng)絡數(shù)據(jù)的一種檢測，我們把目標面向到我們的征管系統(tǒng)。

三類數(shù)據(jù)，靜態(tài)數(shù)據(jù)、動態(tài)數(shù)據(jù)和使用中的數(shù)據(jù)，對它們進行發(fā)現(xiàn)、識別、分類、分級、監(jiān)控和保護，形成一個完整的周期。我們的原則就是不對業(yè)務和數(shù)據(jù)庫做任何的開發(fā)和改造，零改造。

我們建設的思路，五個步驟，是根據(jù)我們的建設目標來確定的。

第一，是我們的敏感數(shù)據(jù)的發(fā)現(xiàn)與遷移。這里我們提議提到敏感兩個字，因為稅務數(shù)據(jù)種類很多、文件也特別多，哪些數(shù)據(jù)是我們需要保護的，所以我們定義了一個敏感，這個敏感怎么來的呢？我們是根據(jù)國家稅務總局的文件的精神，文件已經(jīng)定義到了，分兩類，一大類屬于業(yè)務數(shù)據(jù)，另外一大類屬于工作行政數(shù)據(jù)。

目前為止我們平臺的管控平臺已經(jīng)形成了知識庫的是我們的業(yè)務數(shù)據(jù)。對于業(yè)務數(shù)據(jù)，我們采用關鍵字的技術，然后對它進行發(fā)現(xiàn)和遷移。

第二，遷移之后怎么辦，我們剛才說了信息在什么地方，它們都是什么，然后什么人需要去使用它。實際上很難做統(tǒng)計和科學管理，那么我們這個平臺有一個創(chuàng)新的地方，就是我們對數(shù)據(jù)自動可以做分類、分級，同時對數(shù)據(jù)的分布和數(shù)據(jù)的流轉，不管是對內的流轉，還是第三方對外的流轉，我們可以形成完整的審計，同時我們在配合數(shù)據(jù)可視化的技術，形成數(shù)據(jù)的管理視圖，通過視圖我們可以簡單直觀的了解到，我們整個系統(tǒng)的運行情況，我們數(shù)據(jù)的分布情況。簡單來說我可以看到全省、哪一個市的敏感文件是最多的，具體有多少份，甚至我可以一步定位到某一臺設備上它的文件是最多的，我們所說的都是敏感文件。

第三，就是根據(jù)我們現(xiàn)在第一步和第二步所做的基礎工作，我們要定義有效的防護策略。通過有效的防護策略，我們要實施和執(zhí)行這個防護策略，最終形成整個項目的精華所在就是我們的監(jiān)控報告與審計，因為我們會最終輸出一份風險報告。

那么平臺的獨到之處，我剛才說了由于國內外的數(shù)據(jù)安全平臺我們有一個比較大的距離，就是根據(jù)稅務系統(tǒng)的特點，我們不僅做到國外產品防被動泄密，我們更做到國內產品來防主動泄密，所以我們是雙防。

第四，我們的對象從傳統(tǒng)的文件保護演變?yōu)闃I(yè)務系統(tǒng)的保護。

第五，我們不僅僅是在做功能，我們更進一步去做了管理，什么樣的行為是合規(guī)的，我們存在哪些風險，我們通過報告的手段一目了然。

那么第二部分就是我們的重點部分，是我們平臺的核心功能。

核心功能，也是依據(jù)我前面的五個思路，就是我們的五個步驟，因為我們整個平臺的開發(fā)也是依照五個步驟來進行的。

第一點，就是我們的敏感數(shù)據(jù)的發(fā)現(xiàn)與遷移。

這邊有幾個數(shù)據(jù)的一個共享。這個數(shù)據(jù)稍微有點老了，事實上我截止到來會場之前，我們在無錫地稅1650臺設備終端上，我們管控了22.5萬份文件。平均一個設備上的文件被管控的數(shù)量大概是在159份。那么同時我們的發(fā)現(xiàn)效率，一分鐘可以做到227兆，這里面因為要對所有的我們所定義的內容進行檢索，最重要的是我們已經(jīng)在大征管、大集中這個系統(tǒng)里面我們已經(jīng)首先通過工作秘密管理暫行規(guī)定這個文件的要求，我們選了五個業(yè)務，作為我們的一期的管控的要點，就是個人所得稅，房產、涉稅舉報、納稅人的隱私和個人秘密，以及第三方共享數(shù)據(jù)。我們形成了1300個關鍵字的支持度，同時我們的模板也有十幾個。這里面1300個關鍵字，肯定不是由我們來進行篩選的。首先肯定是我們跟業(yè)務人員進行反復的溝通，最終定義下來這個寶貴的一個數(shù)據(jù)。

第二點，就是我們剛才已經(jīng)提到了數(shù)據(jù)的可視化管理。那么在這里面這個圖片是跳動的，其實可以從左邊看到有我們的三分視圖，分布、分類與分級。

分布，就是告訴你數(shù)據(jù)在什么地方。 分類，就是我們按照五個業(yè)務的類型來告訴你哪個業(yè)務的數(shù)據(jù)是最多的，然后它的使用情況是怎樣樣的。 分級的話，我們根據(jù)同樣是數(shù)據(jù)，那么有些數(shù)據(jù)是比較敏感中是更敏感的。比如說是一些大數(shù)據(jù)。我們過程中發(fā)現(xiàn)比賽的數(shù)據(jù)，幾百兆、上G的到處都是。這就是大數(shù)據(jù)，相應來講就是高度敏感的數(shù)據(jù)。

同樣我們對數(shù)據(jù)的流轉，內部的流轉和外部的流轉。對外，就是我們對第三方共享。對內，因為我們有各分局、區(qū)級、以及科室之間的流轉，所以這些流轉我們都會進行統(tǒng)計，因為這里很有可能就有一些違規(guī)的行為。

通過前面的這樣的一些基礎，三分視圖，加上我們的數(shù)據(jù)流轉視圖，我們就形成了我們的違規(guī)行為分析和風險的視圖。這兩類視圖是建立在我們前面三分視圖和流轉視圖的基礎之上。

在這些所有視圖的基礎之上，我們最終形成平臺最重要的也是最直觀的展示的就是地圖視圖，通過地圖視圖，其實這也是我們日常運維中領導最關心的一些數(shù)據(jù)。因為通過地圖視圖，我們這個地圖視圖是可以下轉的，也就是說我可以點到江陰市，就是江陰市的所有分局都會出來，我可以一目了然地看到我的總共的二十幾個單位這些分局，哪個分局目前情況最嚴重，如果發(fā)生了嚴重的違規(guī)事件，直接就跟地震一樣，我這邊的紅色圖標就會跳動起來，也會發(fā)出實時地告警，所以這就是我們構建的一個預警平臺，所以這個地圖視圖我們是花了相當大的精力，后臺進行了大量的數(shù)據(jù)運算。通過地圖視圖，在右上角可以輸出我們的風險報告，風險報告有一個專門的演示講這個問題。