聯軟科技應邀出席第七屆稅務信息化大會，聯軟科技營銷中心副總裁魏繼超參與此會并代表我司發表主題演講-“稅務敏感數據泄露風險管控平臺”。

文章原出處：http://www.ctax.org.cn/news/rdzt/yxlwbj2013/bjsl/201401/t20140127_760035.html

此次會議圓滿成功，與會的嘉賓、領導以及來自全國各地的稅務代表和IT企業代表都融入在其樂融融的氛圍內，大家互動交流，成果斐然！

以下為演講具體內容：

大家上午好！

今天我為大家做的技術報告的主題是《稅務敏感數據泄露風險管控平臺》，簡稱防泄露平臺。我們的目標就是保護稅務的敏感數據。

有四個部分的內容：

第一部分是我們的平臺介紹。

第二部分是我們的幾個核心功能。

第三部分是平臺價值。

第四部分對我們公司做個簡單的介紹。

首先我們為什么要建設這個平臺，主要有四點。

早在今年年初的時候，我們國家的主席習總跟美國的總統奧巴馬會晤的時候就已經提到了網絡及信息的安全。今年三中全會以后，成立了國家安全委員會，為了確保網絡和信息安全。其中重點提到了稅務。所以我們趕上了這么一個好時機。今年我們是花了很大的精力，在江蘇地稅定制開發了一套防泄露平臺。

第二個要素，是在國稅總局2012年的年底的時候，面向全國的稅務系統發布了一個文件，就是稅務工作秘密的管理暫行規定，這個文件主要從管理方面提出了一些要求。對我們來講，我們明確了我們要保護什么，明確了我們的防護邊界。所以我們把這種管理精神變成了技術手段，通過技術手段來落實這樣的管理指導精神。其他的就是征管法，以及我們對稅務業務數據的保護，保護稅務業務系統歸根結底是保護稅務業務數據的安全，因此我們這個平臺，我們保護的對象就是業務系統，而不是相應的文件。目標是很明確的。

我們都知道的一個問題，如果我們的設備丟失了，我們該怎么辦，人員怎么去做培訓，我們也知道。同時對于這種外設和通訊工具的管控都是非常成熟的技術，這些都是我們可以做到的，目前全國的國地稅系統在這方面都可以做得非常好，但是我們提出幾個問題，首先我們的系統中，哪些信息都存在什么地方，它們都是什么，哪些人需要訪問，需要使用這些信息，他們的使用是否合規，是否規范。我們有沒有足夠快的手段來防護這些信息，同時配套以相應的審計手段，其實很難。

在這樣的環境下，在這樣一些問題下，我們就推出了防泄露的平臺，我們的平臺目標是什么？我們主要是以業務系統為我們的管控對象，這個就直接與世面上國內外的數據安全平臺、防泄露平臺拉開了距離，他們還在做文件、還在做網絡數據的一種檢測，我們把目標面向到我們的征管系統。

三類數據，靜態數據、動態數據和使用中的數據，對它們進行發現、識別、分類、分級、監控和保護，形成一個完整的周期。我們的原則就是不對業務和數據庫做任何的開發和改造，零改造。

我們建設的思路，五個步驟，是根據我們的建設目標來確定的。

第一，是我們的敏感數據的發現與遷移。這里我們提議提到敏感兩個字，因為稅務數據種類很多、文件也特別多，哪些數據是我們需要保護的，所以我們定義了一個敏感，這個敏感怎么來的呢？我們是根據國家稅務總局的文件的精神，文件已經定義到了，分兩類，一大類屬于業務數據，另外一大類屬于工作行政數據。

目前為止我們平臺的管控平臺已經形成了知識庫的是我們的業務數據。對于業務數據，我們采用關鍵字的技術，然后對它進行發現和遷移。

第二，遷移之后怎么辦，我們剛才說了信息在什么地方，它們都是什么，然后什么人需要去使用它。實際上很難做統計和科學管理，那么我們這個平臺有一個創新的地方，就是我們對數據自動可以做分類、分級，同時對數據的分布和數據的流轉，不管是對內的流轉，還是第三方對外的流轉，我們可以形成完整的審計，同時我們在配合數據可視化的技術，形成數據的管理視圖，通過視圖我們可以簡單直觀的了解到，我們整個系統的運行情況，我們數據的分布情況。簡單來說我可以看到全省、哪一個市的敏感文件是最多的，具體有多少份，甚至我可以一步定位到某一臺設備上它的文件是最多的，我們所說的都是敏感文件。

第三，就是根據我們現在第一步和第二步所做的基礎工作，我們要定義有效的防護策略。通過有效的防護策略，我們要實施和執行這個防護策略，最終形成整個項目的精華所在就是我們的監控報告與審計，因為我們會最終輸出一份風險報告。

那么平臺的獨到之處，我剛才說了由于國內外的數據安全平臺我們有一個比較大的距離，就是根據稅務系統的特點，我們不僅做到國外產品防被動泄密，我們更做到國內產品來防主動泄密，所以我們是雙防。

第四，我們的對象從傳統的文件保護演變為業務系統的保護。

第五，我們不僅僅是在做功能，我們更進一步去做了管理，什么樣的行為是合規的，我們存在哪些風險，我們通過報告的手段一目了然。

那么第二部分就是我們的重點部分，是我們平臺的核心功能。

核心功能，也是依據我前面的五個思路，就是我們的五個步驟，因為我們整個平臺的開發也是依照五個步驟來進行的。

第一點，就是我們的敏感數據的發現與遷移。

這邊有幾個數據的一個共享。這個數據稍微有點老了，事實上我截止到來會場之前，我們在無錫地稅1650臺設備終端上，我們管控了22.5萬份文件。平均一個設備上的文件被管控的數量大概是在159份。那么同時我們的發現效率，一分鐘可以做到227兆，這里面因為要對所有的我們所定義的內容進行檢索，最重要的是我們已經在大征管、大集中這個系統里面我們已經首先通過工作秘密管理暫行規定這個文件的要求，我們選了五個業務，作為我們的一期的管控的要點，就是個人所得稅，房產、涉稅舉報、納稅人的隱私和個人秘密，以及第三方共享數據。我們形成了1300個關鍵字的支持度，同時我們的模板也有十幾個。這里面1300個關鍵字，肯定不是由我們來進行篩選的。首先肯定是我們跟業務人員進行反復的溝通，最終定義下來這個寶貴的一個數據。

第二點，就是我們剛才已經提到了數據的可視化管理。那么在這里面這個圖片是跳動的，其實可以從左邊看到有我們的三分視圖，分布、分類與分級。

分布，就是告訴你數據在什么地方。 分類，就是我們按照五個業務的類型來告訴你哪個業務的數據是最多的，然后它的使用情況是怎樣樣的。 分級的話，我們根據同樣是數據，那么有些數據是比較敏感中是更敏感的。比如說是一些大數據。我們過程中發現比賽的數據，幾百兆、上G的到處都是。這就是大數據，相應來講就是高度敏感的數據。

同樣我們對數據的流轉，內部的流轉和外部的流轉。對外，就是我們對第三方共享。對內，因為我們有各分局、區級、以及科室之間的流轉，所以這些流轉我們都會進行統計，因為這里很有可能就有一些違規的行為。

通過前面的這樣的一些基礎，三分視圖，加上我們的數據流轉視圖，我們就形成了我們的違規行為分析和風險的視圖。這兩類視圖是建立在我們前面三分視圖和流轉視圖的基礎之上。

在這些所有視圖的基礎之上，我們最終形成平臺最重要的也是最直觀的展示的就是地圖視圖，通過地圖視圖，其實這也是我們日常運維中領導最關心的一些數據。因為通過地圖視圖，我們這個地圖視圖是可以下轉的，也就是說我可以點到江陰市，就是江陰市的所有分局都會出來，我可以一目了然地看到我的總共的二十幾個單位這些分局，哪個分局目前情況最嚴重，如果發生了嚴重的違規事件，直接就跟地震一樣，我這邊的紅色圖標就會跳動起來，也會發出實時地告警，所以這就是我們構建的一個預警平臺，所以這個地圖視圖我們是花了相當大的精力，后臺進行了大量的數據運算。通過地圖視圖，在右上角可以輸出我們的風險報告，風險報告有一個專門的演示講這個問題。