“RPA+移動存儲介質”解決政府數據安全跨網交換的方法與實踐

魯戰利 孫賢雯 蔡 亮 王佳穎

1(江西省信息中心 南昌 330036) 2(浪潮軟件股份有限公司 濟南 250014) 3(國家信息中心 北京 100045)

當前,我國的數字政府建設已取得階段性成果,各地區各級政府的信息化建設成果百花齊放.隨著政府業務的擴展以及管理向精細化方向的發展,各委辦局信息系統間進行了大量的業務對接,由于部分委辦局專業系統網絡(如稅務專網、公安專網等)對數據安全的要求較高,不能與政務外網或者互聯網直接聯通,網絡間物理隔離.跨網間的系統對接、數據采集工作使得工作人員重復、低價值地進行跨系統復制、對比等機械事務工作,不僅耗費了大量的時間,還存在人為失誤操作的風險.

為將工作人員從繁瑣的事務中解放出來,同時避免人員采集造成的數據安全問題,應用“RPA+移動存儲介質”融合解決方案對政府數據進行跨網交換,自動化高效地進行政府數據的采集、加密、寫入、讀取、解密、錄入,該解決方案節約了大量的工作時間,提高了數據采集的精確性,并確保了跨網絡數據的安全交換.本文探索了RPA技術與移動存儲技術在自動化錄入實現過程中的安全保障措施,保障數據在跨網交換過程中的安全.

1 發展現狀

為了防范跨網數據泄密事件的發生,通常使用加密移動存儲設備、光盤擺渡系統、單向網閘等技術解決數據的安全跨網傳輸.加密移動存儲設備的優勢是輕便,使用部門不需要投入大量成本建設跨網傳輸系統,并且方便工作人員使用;主要安全隱患為容易攜帶和傳播病毒,不具備日志審計功能,無法實現過程追溯.光盤擺渡系統利用光盤實現數據傳輸,雖然做到了完全的物理隔離,但缺少日志審計功能,且數據的傳輸速度較慢,無法滿足網間數據實時同步的業務需求.單向網閘利用傳輸設備具有單向傳輸的特點,以單根光纖作為傳輸介質,實現網間數據傳輸,卻無法實現完全意義上的物理隔離,鏈路易被利用,存在較大不確定的安全隱患.

移動存儲加密主要通過軟件模擬加密與硬件介質加密實現:軟件加密是將加密軟件程序內置到存儲介質中,將加解密程序存放在設備端;硬件介質加密是指通過存儲介質的控制芯片進行加解密,實現實時加解密運輸[1].為提高生產專網安全性,曹井萬[2]探討了應用數據加密與單向網閘技術實現企業生產網與辦公網之間的單向隔離、數據加密傳輸.王進[3]在跨部門、跨組織、跨國之間的信息安全流轉研究中,提出高等級網絡向低等級網絡的信息流轉可通過防火墻+光盤擺渡+單向網關實現,低等級網絡向高等級網絡的信息流轉可通過防火墻+單向網閘+單向網關實現.周建寧等人[4]提出基于單向網閘和光盤擺渡機構建公安跨網絡數據交換系統,確保數據安全.對一些保密單位間的跨網數據交換,光盤擺渡可以使擺渡數據在內外網間進行單向自動遷移,整個擺渡過程可以實現網絡間的完全物理隔離[5].

綜上所述,不同的跨網傳輸技術功能與滿足的需求并不一致,很難同時兼顧傳輸便利、數據加密、安全審計、專人專用等需求,多采用組合的技術實現跨網間的數據安全交換.

本文設計的“RPA+移動存儲介質”融合解決方案具有優秀的跨網數據交換協作能力與數據安全機制.通過專用數據交換介質進行數據交換,實現數據實時交換,不留存數據.移動存儲介質可綁定設備、內部IP等,實現專人專用,數據交換過程全程加密處理,管理員可查看移動存儲介質的詳細操作日志,日志加密存儲、移動存儲介質所有數據均為API專業接口讀寫,自主研發文件存儲系統,采用硬件加密芯片,支持Windows、Linux、銀河麒麟等操作系統.該解決方案保障多種政務應用場景數據交換的安全性,既能輔助完成政務效能考核,又能實現業務辦理,助力一網通辦、全程網辦、跨省通辦、一件事一次辦、秒批秒辦等創新應用實現.

2 相關原理與技術

2.1 RPA技術

機器人流程自動化(robotic process automation, RPA)系統是一種應用程序,它通過模仿用戶在電腦上的手動操作方式實現最終用戶手動操作流程自動化.通過事先設計好使用規則,部署模擬人工流程腳本,RPA機器人就可以在各種不相關軟件系統間完成活動和事務的自主執行,能夠有效地處理重復性、基于規則的任務,如提取數據、填寫表格、移動文件等[6].RPA技術具有成本低、安全可靠、非侵入式、無區域限制、跨平臺、零干擾、靈活定制等特點.

2.2 移動存儲技術

移動存儲技術涉及移動存儲設備與移動存儲加密.移動存儲設備是可以連接計算機、手機等設備,并能存儲資料和轉移文件且能夠隨身攜帶的信息媒介,如移動硬盤、U盤、數據存儲卡等.移動存儲加密的一種主流實現方式主要通過軟件模擬加密與硬件介質加密實現[1].

圖1 跨網數據交換流程

2.3 加密算法

加密算法主要涉及AES對稱加密算法與RSA非對稱加密算法.AES對稱加密算法是最快速、最簡單的一種加密方式,加密與解密使用同樣的密鑰[9].RSA非對稱加密算法指的是加、解密使用不同的密鑰,一把為公鑰,另一把為私鑰,公鑰加密的內容只能由私鑰進行解密,反之由私鑰加密的內容只能由公鑰進行解密.

RPA機器人對目標系統登錄密碼的安全保障中應用了AES對稱加密算法.自動化能力平臺與RPA機器人的安全交互過程應用了RSA非對稱加密算法.

3 政府數據跨網交換方案設計

本文應用RPA技術與移動存儲技術實現政府數據跨網交換的自動化,打通政府部門業務場景,串聯起各部門的業務系統和業務流程,解決政府工作中大量人工二次錄入問題,保障數據傳輸的安全.

3.1 流程設計

跨網數據交換是指在不同網絡環境下實現從業務系統A獲取相關信息并自動錄入到業務系統B,實際應用業務場景中抓取數據的業務系統和錄入的業務系統是跨網絡的,可以通過基于“RPA+移動存儲介質”的跨網數據交換方式實現跨網絡的業務數據傳輸.

RPA機器人通過模擬手動操作業務方式把數據從業務系統A自動錄入業務系統B.

在A網絡下,通過運行在數字雇員上的RPA機器人程序自動抓取業務信息數據,對數據進行加密存儲,然后通過機器人觸發關閉A網絡與數據魔盒間的連接,打開B網絡與數據魔盒間的連接,將抓取數據傳輸到B網絡,通過運行在B網絡的數字雇員RPA機器人自動實現業務信息的讀取、解密、錄入.

信息錄入成功后,B網絡上的RPA機器人將錄入成功的消息回傳,同樣,通過RPA機器人觸發關閉B網絡與數據魔盒間的連接,打開A網絡與數據魔盒間的連接,A網絡上的RPA機器人將錄入成功消息回傳至平臺.

3.2 系統設計

本文方案需要進行3方面的能力設計:1)RPA自動化能力;2)支持RPA自動化能力運行的平臺;3)移動存儲介質.解決方案包括3方面的設計:1)RPA機器人;2)自動化能力平臺;3)數據魔盒.設計架構如圖2所示.

圖2 “RPA+移動存儲介質”融合解決方案系統架構

1) RPA機器人.

依托RPA機器人,輔助進行跨網業務數據的采集與錄入,對業務開展過程中涉及具體業務信息、辦理流程、業務辦理系統及運行網絡、數據流轉情況、事項字段對應關系和執行頻率等業務梳理優化分析,按照RPA機器人應用能力設計開發規范設計RPA流程方案,定制化開發和部署RPA流程,通過RPA機器人將業務辦理信息自動分發交換至各業務部門自建業務系統,保證各自建業務系統共享辦理,并將辦理狀態及辦理結果進行反饋.

RPA機器人負責對跨網交換數據的采集與推送,解決場景中包含2類機器人:第1類機器人負責在A網絡的業務數據采集、數據加密、數據傳輸;第2類機器人負責B網絡的業務數據讀取、數據解密、數據錄入.

2) 自動化能力平臺.

自動化能力平臺可實現RPA機器人的實時監控、隨時調度、任務編排;能實時掌控自動執行和半自動執行機器人的運行狀態;支持遠程一鍵啟動RPA機器人;能夠根據業務需求,自由編排機器人完成業務流程.對于政府來講,可以對全部機器人資源進行統籌管理,當需要在多臺機器上運行無人值守模式的流程機器人時,可以對這些軟件機器人進行集中控制,如統一分發流程,統一設定啟動條件等,做到機器人資源的彈性化應用.

數字雇員小助手是自動化能力平臺的一種運行形式,可一鍵快速啟動RPA機器人,快速執行業務流程.工作人員可以像申請云資源一樣獲取在自動化能力平臺發布的機器人流程,輔助工作人員執行數據處理、系統錄入、數據采集、數據報送等基礎工作,將工作人員從低效重復的工作中解放出來,從而提升政務工作效能.

3) 數據魔盒.

數據魔盒為數據的安全跨網交換提供介質支撐,輔助RPA機器人實現數據的安全傳輸.數據魔盒采用授權管理、訪問控制數據加解密系統,實現了數據的全盤數據加密保護和安全區數據開啟的口令控制.數據魔盒采用國產化硬件加密芯片,無普通U盤分區,所有數據均為API專用接口讀寫,安全防病毒、防木馬.

3.3 安全設計

應用RPA機器人實現業務流程的自動化,首要解決的問題是數據傳輸、存儲的安全性問題.該業務流程涉及的安全技術點包括:

1) RPA機器人對目標系統登錄密碼的安全保障.

在機器人運行過程中,不長期記錄存儲任何流程中進行傳輸的數據,并對使用者賬號的密碼進行加密處理.

采用AES對稱加解密算法,此類算法對明文的加密和解密需要使用同一個密鑰.具體加密流程如圖3所示:

圖3 加密流程

加密流程各部分的作用和意義如下.

密碼P:所需要加密的數據,是目標系統的登錄密碼.

密鑰K:用來加密明文的密碼,在對稱加密算法中,加密與解密的密鑰是相同的.密鑰是接收方與發送方協商確定,密鑰不能在網絡上直接傳輸.

AES加密函數:設AES加密函數為F,則C=F(K,P),其中P為明文密碼,K為密鑰,C為密文.把明文P和密鑰K作為加密函數的參數輸入,則加密函數E會輸出密文C.

密文C:經過加密函數處理后的數據.

AES解密函數:設AES解密函數為G,則P=G(K,C),其中C為密文,K為密鑰,P為明文密碼.也就是說,把密文C和密鑰K作為解密函數的參數輸入,則解密函數會輸出明文P.

2) 自動化能力平臺與RPA機器人的安全交互過程.

RPA機器人運行在自動化能力平臺中,采用基于RSA的加密算法加密,確保RPA機器人被獲取后無法運行.RSA的加密算法特點是非對稱加解密,加解密用的不是同一個密鑰,是2個密鑰,公鑰和私鑰任意一方加密只能由另一方解密,自己是無法解密的.

自動化能力平臺使用私鑰對約定的數據內容進行加密,通過公鑰加密生成密文,RPA機器人使用分配的公鑰對密文解密,圖4虛線部分為明文的數據格式,圖5是自動化能力平臺和RPA機器人加解密工作原理.

圖4 明文與密文的轉化

圖5 自動化能力平臺和RPA機器人加解密工作原理

3) RPA機器人與數據魔盒的安全交互過程.

具體交互流程如圖6所示.

圖6 RPA機器人與數據魔盒的安全交互過程

RPA機器人A:

① RPA機器人A調取數據魔盒SDK進行權限驗證;

② RPA機器人A將獲取的數據使用RSA加密算法對數據加密,形成數據文件,調用數據魔盒SDK寫入接口,將數據寫入數據魔盒.

RPA機器人B:

① RPA機器人B與數據魔盒連接后,調取數據魔盒SDK進行權限驗證;

② 驗證后,RPA機器人B調取數據魔盒SDK讀取數據文件內容,并對文件使用RSA加密算法對數據解密;

③ 解密成功后,RPA機器人B執行錄入操作,錄入結束后,將數據魔盒中的文件刪除,保證獲取數據文件不留存.

4) 傳輸加密.

傳輸加密應用數據魔盒,采用硬件加密芯片,內置AES256/SM4加密算法,無普通U盤分區,所有數據均為API專用接口讀寫,能夠確保在網絡環境下存儲、傳輸和處理信息的保密性、完整性和可用性.

為了確保數據魔盒在數據傳輸中的網絡隔離,采用具有物理上單向傳輸特性的傳輸硬件,發送和接收只能以單工方式工作;同時設計物理斷開機制,確保在不同網絡間不能直接或間接相連接.

5) 專人專用與安全防護.

數據魔盒可綁定設備、內網IP等,實現專人專用,若設備、內網IP不對應便無法操作介質.數據魔盒通過隱藏區域存儲數據,杜絕隱藏區數據被隨意訪問,該分區無法被系統資源瀏覽器查看和讀取,系統磁盤管理或者其他第三方硬盤分析工具均無法識別修改分區的數據文件.

6) 安全審計與日志加密存儲.

通過對自動化能力平臺及其數據魔盒記錄與活動的獨立評審和考察,以測試系統控制的充分程度,確保對于既定安全策略和運行規程的符合性.

使用防火墻技術,對網絡流量進行過濾和審查,防止惡意攻擊和非法入侵,建立起安全屏障.

管理員可查看數據交換介質的詳細操作日志,日志加密存儲.

7) 平臺登錄與驗證碼安全機制.

平臺具有登錄模塊及驗證碼機制,未授權用戶不能繞過登錄進行訪問.

8) 代碼混淆.

RPA機器人具備代碼混淆機制,增加反編譯分析難度.

4 某市政府數據跨網交換案例

4.1 案例設計

本文根據國家系列政策文件精神,落實國務院關于深化“放管服”改革,基于某市“互聯網+政務服務”建設成果,建設智能機器人輔助應用,針對行政審批統一平臺與各委辦局業務跨系統、跨網絡受理審批多次錄入的問題,依托數據采集機器人、二次錄入機器人、自動化能力平臺支撐能力、數據魔盒傳輸能力,構建政務服務受理多系統聯辦機器人,實現政務服務人機協同全周期辦理.從而助力一窗業務模式和自助服務模式改革,打造該市政務服務大廳新形象、新體驗、新服務.

首先,對行政審批統一平臺、住房公積金綜合管理信息系統的業務辦理模塊進行功能分析,包括表單信息獲取、OCR材料識別、表單信息錄入、業務環節流轉等.其次,對要進行二次錄入事項的事項名稱、基本信息、業務信息等字段進行梳理,明確二次錄入操作數據抓取系統和數據錄入系統的業務流程關系和事項的字段對應關系.再次,針對不同系統不同事項定制化開發二次錄入機器人,以定時或實時的方式運行機器人,實現跨系統、跨網絡間的審批流程自動串接和數據同步.

4.2 應用效果

由于過去住房公積金審批需要調用的數據多、流程復雜、周期長,影響了全辦事體驗.隨著一網通辦、秒批秒辦和信息化智能化的逐步推進,公積金審批效率得到進一步提升,但各種互聯網+政務服務平臺與公積金業務系統之間無法實現互聯互通,只能通過人工充當數據的搬運工,導致大量時間浪費在手工操作環節,不僅處理效率低,而且準確性也無法保證.隨著業務量的增大,一線窗口工作人員常常面臨著負擔重、費力、耗時、重復勞動等諸多問題.例如一手房提取先要輸入身份證號碼,然后進入公積金系統界面以后,要輸入購房合同號、面積、總價、房屋坐落等十幾個字段.

RPA機器人與數據魔盒的應用有效解決了上述難題,行政審批統一平臺上的數據經過機器人采集,被加密存儲為統一的本地數據文件,由數據魔盒安全傳輸到公積金專網電腦上,數據錄入機器人通過模擬手動操作業務方式把數據讀取解密,并自動錄入公積金系統.由此實現了不同系統間數據及時同步和共享,解決了繁重的二次錄入問題,實現了公積金業務系統操作流程自動化,減輕了窗口工作人員的工作負擔,提高了審批服務的質量與效率.將RPA與移動存儲設備技術充分應用到審批過程中,使得公積金業務辦理時間由5min6s縮短到約1min30s,效率顯著提高.

5 結 語

本文為解決政府數據安全跨網交換的問題,提出一種基于“RPA+移動存儲介質”的融合解決方案,在流程、方案、安全層面對解決方案展開詳細論述,形成了完整的跨網數據交換模式,提高了政府數據在不同網絡間傳輸的安全性;同時應用RPA技術替代人工,為政府業務的高效辦理提供了一種解決路徑.