400-808-9266
云盒子GIS安全云——地理信息数据全链路安全管控解决方案
本文适用对象：地图院、测绘规划院、基础地理信息中心等地理信息行业单位
一、项目背景与建设必要性
（一）法规体系对地理信息数据形成刚性约束
基础地理信息数据是国家重要的战略性信息资源，其采集、加工、保管、分发各环节均受专门法规约束。《中华人民共和国测绘法》确立了测绘成果的保密管理与安全管理制度；
- 《地图管理条例》（国务院令第664号）第十三条明确，利用涉及国家秘密的测绘成果编制地图的，应当使用经国务院测绘地理信息行政主管部门或者省级测绘地理信息行政主管部门进行保密技术处理的测绘成果；
- 《测绘地理信息管理工作国家秘密范围的规定》（自然资源发〔2020〕95号）按绝密、机密、秘密三级，将军事设施、国家安全警卫目标、重要地理信息数据及其保密处理技术算法参数等纳入国家秘密范围；
- 《中华人民共和国保守国家秘密法》《中华人民共和国数据安全法》则明确涉密信息不得在互联网及其他公共信息网络中存储、处理。
对地图院、测绘规划院、基础地理信息中心等单位而言，数据生产与成果保管的双重职责，决定了保密要求必须落到每一次打开、编辑、导出的操作上。
（二）安全事件的失守环节高度集中于终端
国家安全机关近年通报的涉密地图与非法测绘案件呈现出相似路径：
- 涉密测绘成果被擅自拷贝至连接互联网的计算机长期存储；
- 外业人员未履行审批报备即使用无人机采集敏感区域高清影像，并在个人联网计算机上处理；
- 境外机构以合作名义掌控数据流向，导致原始测绘数据失控外传；
- 规划设计单位人员违规存储并非法拷贝涉密成果。
这些案件的共同点不在于"是否加密"，而在于数据一经落地终端，就脱离了单位的管控视野——另存、截屏、打印、复制带走均无拦截，事后也难以还原操作轨迹。
（三）现有管理手段存在结构性局限
以NAS、文件服务器为代表的集中存储解决了"数据放在哪里"，但文件一旦下载即恢复为普通明文，权限体系只能约束"能否访问"，无法约束"拿走之后如何使用"；面对图幅数量庞大、单文件偏小的GIS数据，目录遍历与元数据开销被放大，多作业组并发读取时性能明显衰减。
加密软件解决了"文件是否加密"，但GIS软件须将数据解密落地后才能打开，编辑期间明文暴露在终端临时目录，DWG、SHP、影像金字塔等大文件反复解密带来性能损耗，密钥分发与回收也依赖人工；对截屏、打印、外发等行为缺乏细粒度控制。
两类手段都无法回答"数据此刻在谁手中、以何种形态存在、留下了什么痕迹"这一核心问题。
二、总体建设方案
（一）设计思路与建设目标
方案以"数据不落地、终端零缓存、操作可追溯"为主线，把安全边界从文件级加密前移到使用过程管控：
数据实体始终驻留在生产单位的云盒子安全云内，作业人员在终端上操作的是受控的虚拟视图，GIS软件照常打开、编辑、标注、拼接，但地图文件不写入本地磁盘
建设目标为：
- 涉密地理信息数据全程不出内网、不进终端本地盘；
- 多作业组协同效率不低于本地编辑；
- 成果交付与二次分发全程可授权、可追溯；
- 存储成本与容灾能力满足长期归档要求。
（二）总体架构
方案自下而上分为四层：
1、存储底座层负责空间数据的持久化与容灾；
2、云盒子安全云平台层提供权限、版本、日志、回收等治理能力；
3、终端虚拟驱动层实现零缓存挂载与按需加载；
4、交付与展示层覆盖政务网跨网交换、离线加密包与GIS端口服务。
部署范围贯通生产单位内网、跨网交换节点与GIS应用单位，形成端到端的管控链条。
三、全流程安全管控设计
（一）采集汇聚
外业采集的影像、点云、轨迹数据通过安全终端接入，上传过程加密传输并支持断点续传，落地即加密存储、自动归集至对应项目与图幅空间，避免"先拷入个人电脑再择时上传"的中间环节。
（二）加工与拼接
经管理员授权后，多个作业组可同时调用云端同一份数据，在GIS软件中协同完成影像镶嵌、图幅接边、矢量化与切片生产。虚拟驱动器按需只加载当前视窗与图层范围内的数据块，无需下载完整大文件；多份小图可在线关联为一个工程，被关联图幅更新后，大图成果内同步更新，省去反复下载与本地拼接。
（三）归档与借阅
成果按项目、图幅、密级分级归档，借阅须走审批流程，授权随任务绑定、到期自动回收；借阅期内仅可在线调用，不可导出与另存。
（四）编辑与标注
编辑、标注过程受同一套策略约束：另存、截屏、打印、复制粘贴被拦截，剪贴板单向受控；标注与审核痕迹随版本留存，形成可复核的过程记录。
（五）交付与分发
涉密成果经政务网跨网交换平台单向传输至应用单位；非涉密成果以离线加密包交付委托单位，加密包与接收终端、有效期绑定，超期或非授权终端无法打开；委托单位向GIS应用单位二次分发时，沿用同一套授权与审计机制。
（六）展示与应用
GIS端口服务平台配合安全网关，在GIS业务系统零改造的前提下，对应用页面提供防截屏、单向剪贴板、防打印能力，并对爬虫批量导出行为实施无感下载拦截，在不改变用户工作习惯的情况下实现业务数据不落地。
四、关键技术特性
（一）海量小文件高速传输
针对GIS数据文件数量多、单文件小、目录层级深的特点优化传输通道与元数据处理，整体吞吐高于传统文件服务器，支持断线续传，适应外业弱网回传与跨网交换场景。
（二）混合存储底座
对遥感影像、DEM、倾斜摄影、激光点云等准静态空间数据采用纠删码存储，在保障多节点故障容灾能力的前提下提升存储利用率、降低长期存储成本；对在线动态瓦片、空间数据库等高频读写业务采用副本模式，兼顾性能与可靠性。
（三）全生命周期治理
提供细粒度权限（按人、按项目、按图幅、按操作类型授予）、历史版本留存与回溯、全量操作日志（记录操作人、时间、对象与动作）、二级回收站防误删与恶意删除，满足保密检查与项目验收对审计证据的要求。
五、预期成效
方案将分散的采集、加工、归档、交付、应用环节纳入统一管控，实现地理信息数据全链路安全闭环：
- 数据不落地、终端零缓存，防另存、防截屏、防打印、防复制；协同效率与本地编辑基本持平，图幅关联与版本管理减少重复劳动；
- 管理侧形成完整审计证据链，可支撑保密检查、成果汇交与项目验收。
方案适配基础测绘、国土空间规划、不动产测绘、应急测绘、实景三维建设等业务场景，具备在地理信息行业单位规模化推广的条件。
