The Return Review Program Enhances

The Return Review Program Enhances The Identification Of Fraud; However, System Security Needs Improvement


WASHINGTON – The new Return Review Program (RRP) being tested by the Internal Revenue Service (IRS) is enhancing the identification of tax return fraud, but system security needs improvement.

That is the conclusion of a new report publicly released today by the Treasury Inspector General for Tax Administration (TIGTA).

Tax fraud is a major challenge for the IRS. The IRS chartered the initiation of the RRP in 2009 to replace the Electronic Fraud Detection System (EFDS). Development of the RRP entered a strategic pause in January 2014 to allow the IRS time to evaluate the performance and design of the parallel processing database and to revisit strategic business fraud detection goals. The objective of the audit was to determine if the RRP effectively meets requirements and identifies fraudulent tax returns.

TIGTA found that during an IRS pilot, the RRP models flagged potential identity theft fraud not detected by the EFDS models. During a 32 day test, the RRP Identity Theft Model identified 51,946 returns as potential identity theft cases. The IRS confirmed that 41,311 of those returns involved identity theft. Of the confirmed identity theft cases, the IRS determined that 10,348 cases (25 percent) totaling $43 million in refunds were not detected by the EFDS or the Dependent Database.

In addition, IRS tests showed that eight million returns a day can be loaded to the RRP database as required. For example, over a one-week period the RRP consistently loaded between seven million and nine million returns a day.

However, the IRS classified the RRP as a Level 3 system (an information resource instead of a major system). Because the RRP was classified as a Level 3 Federal Information Security Management Act system, RRP-specific security issues may not be effectively addressed. In addition, identified security vulnerabilities were not remediated. For example, the October 2014 network scans identified two RRP servers that were still vulnerable to the Heartbleed bug six months after the vulnerability was announced.

“The RRP test results show potential improvements in the IRS approach to prevent, detect, and resolve pre-refund tax fraud,” said J. Russell George, Treasury Inspector General for Tax Administration. “While these potential improvements are encouraging, the IRS must also ensure the system is properly classified and meets security requirements.”

TIGTA recommended that the Chief Technology Officer ensure that: 1) IRS personnel completing the Federal Information Security Management Act system classifications are familiar with the Act’s requirements; 2) the validation of system classification and reclassification is discussed, reviewed, and documented during the biweekly cybersecurity management meeting; and 3) all critical and high-risk RRP vulnerabilities are resolved.

The IRS agreed with TIGTA’s three recommendations. It plans to brief personnel on the Federal Information Security Management Act requirements for each level of classification; enhance its current process for the validation of system classification and reclassification as discussed, reviewed, and documented during the biweekly management meeting; and focus on resolving the critical vulnerabilities in production and then the lower environments.

ผลลัพธ์ (ไทย) 2:

การกลับมารีวิวโปรแกรมช่วยประจำตัวของการทุจริต; อย่างไรก็ตามความต้องการระบบรักษาความปลอดภัยปรับปรุงวอชิงตัน - ใหม่กลับโปรแกรมรีวิว (RRP) ได้รับการทดสอบโดยสรรพากรบริการ (IRS) คือการเสริมสร้างการระบุของการทุจริตการคืนภาษี แต่ระบบรักษาความปลอดภัยจำเป็นต้องปรับปรุง. นั่นคือข้อสรุปของรายงานฉบับใหม่ของประเทศชาติ ได้รับการปล่อยตัวในวันนี้โดยกระทรวงการคลังตรวจการทั่วไปสำหรับการจัดเก็บภาษี (TIGTA). การฉ้อโกงภาษีเป็นความท้าทายที่สำคัญสำหรับกรมสรรพากร กรมสรรพากรเหมาเริ่มต้นของ RRP ในปี 2009 เพื่อแทนที่ระบบตรวจจับการฉ้อโกงทางอิเล็กทรอนิกส์ (EFDS) การพัฒนา RRP เข้าหยุดเชิงกลยุทธ์ในมกราคม 2014 เพื่อให้เวลากรมสรรพากรในการประเมินผลการปฏิบัติงานและการออกแบบฐานข้อมูลและการประมวลผลแบบขนานที่จะทบทวนเป้าหมายการตรวจสอบการทุจริตทางธุรกิจเชิงกลยุทธ์ วัตถุประสงค์ของการตรวจสอบคือการตรวจสอบว่า RRP ได้อย่างมีประสิทธิภาพตรงตามความต้องการและระบุการคืนภาษีหลอกลวง. TIGTA พบว่าในช่วงนักบินกรมสรรพากรรุ่น RRP ตั้งค่าสถานะการทุจริตการโจรกรรมที่อาจเกิดขึ้นไม่ได้ตรวจพบโดยรุ่น EFDS ในระหว่างการทดสอบวันที่ 32 ที่ขโมยข้อมูลประจำตัว RRP รุ่น 51946 ระบุผลตอบแทนเป็นกรณีการโจรกรรมที่อาจเกิดขึ้น กรมสรรพากรยืนยันว่า 41,311 ของผลตอบแทนผู้ที่เกี่ยวข้องกับการโจรกรรม ของผู้ป่วยยืนยันการโจรกรรมกรมสรรพากรกำหนดว่า 10,348 ราย (ร้อยละ 25) เป็นจำนวนเงินรวม $ 43,000,000 ในการคืนเงินไม่ได้ถูกตรวจพบโดย EFDS หรือฐานข้อมูลขึ้นอยู่กับ. นอกจากนี้ยังมีการทดสอบกรมสรรพากรพบว่าแปดล้านผลตอบแทนต่อวันสามารถโหลดไป ฐานข้อมูล RRP ตามที่ต้องการ ยกตัวอย่างเช่นในช่วงระยะเวลาหนึ่งสัปดาห์ RRP โหลดอย่างต่อเนื่องระหว่างเจ็ดล้านเก้าล้านคืนวัน. แต่กรมสรรพากรจัด RRP เป็นระดับที่ 3 ระบบ (แหล่งข้อมูลแทนที่จะเป็นระบบหลัก) เพราะ RRP ถูกจัดเป็นระดับที่ 3 การบริหารจัดการความปลอดภัยของข้อมูลของรัฐบาลกลางระบบพระราชบัญญัติปัญหาด้านความปลอดภัย RRP เฉพาะอาจจะไม่ได้รับการแก้ไขอย่างมีประสิทธิภาพ นอกจากนี้ยังมีการระบุช่องโหว่ความปลอดภัยที่ไม่ได้ remediated ยกตัวอย่างเช่นตุลาคม 2014 สแกนเครือข่ายระบุสองเซิร์ฟเวอร์ RRP ที่ยังคงความเสี่ยงที่จะผิดพลาด Heartbleed หกเดือนหลังจากที่ช่องโหว่ที่มีการประกาศ. "การ RRP ผลการทดสอบแสดงให้เห็นการปรับปรุงที่อาจเกิดขึ้นในแนวทางที่กรมสรรพากรเพื่อป้องกันตรวจหาและแก้ไขก่อนการคืนเงิน โกงภาษี "เจรัสเซลจอร์จธนารักษ์จเรบริหารภาษีกล่าวว่า ". ในขณะที่การปรับปรุงที่อาจเกิดขึ้นเหล่านี้เป็นกำลังใจกรมสรรพากรยังต้องให้แน่ใจว่าระบบจะต้องจัดและตรงตามความต้องการความปลอดภัย" TIGTA แนะนำว่าประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีให้มั่นใจว่า 1) บุคลากรกรมสรรพากรเสร็จสิ้นการจำแนกประเภทการจัดการความปลอดภัยข้อมูลของรัฐบาลกลางระบบพระราชบัญญัติมีความคุ้นเคยกับ ข้อกำหนดของพระราชบัญญัติ 2) การตรวจสอบระบบการจัดหมวดหมู่และการโอนที่มีการกล่าวถึงการตรวจสอบและบันทึกไว้ในระหว่างการประชุมการจัดการทางโลกไซเบอร์รายปักษ์; และ 3) ทั้งหมดที่สำคัญและมีความเสี่ยงสูงช่องโหว่ RRP ได้รับการแก้ไข. กรมสรรพากรเห็นด้วยกับคำแนะนำของสาม TIGTA มันวางแผนที่จะสรุปบุคลากรกับความต้องการของการบริหารจัดการความปลอดภัยของข้อมูลของรัฐบาลกลางพระราชบัญญัติสำหรับแต่ละระดับของการจำแนก; เสริมสร้างกระบวนการในปัจจุบันสำหรับการตรวจสอบการจัดหมวดหมู่ระบบและจัดประเภทรายการใหม่ตามที่กล่าวทบทวนและจัดทำเอกสารในระหว่างการประชุมการจัดการรายปักษ์; และมุ่งเน้นการแก้ไขช่องโหว่ที่สำคัญในการผลิตแล้วสภาพแวดล้อมที่ต่ำกว่า

ผลลัพธ์ (ไทย) 3:

โปรแกรมกลับมาทบทวนเพิ่มการฉ้อโกง แต่ระบบรักษาความปลอดภัยต้องปรับปรุง


วอชิงตัน–ใหม่กลับไปทบทวนโปรแกรม ( RRP ) ถูกทดสอบจากสรรพากรบริการ ( IRS ) คือการเพิ่มการคืนภาษีฉ้อโกง แต่ระบบรักษาความปลอดภัยต้องปรับปรุง

นั่นคือข้อสรุปของรายงานฉบับใหม่อย่างเป็นทางการเปิดตัวในวันนี้โดยคลังทั่วไปตรวจสอบการบริหารภาษี ( tigta ) .

การฉ้อโกงภาษีเป็นหลัก ความท้าทายสำหรับ IRS สรรพากรประกาศเริ่มต้นของ RRP ในปี 2009 เพื่อแทนที่ระบบการตรวจจับการฉ้อโกงทางอิเล็กทรอนิกส์ ( efds )การพัฒนาของ RRP เข้าหยุดเชิงกลยุทธ์ในมกราคม 2014 เพื่อให้ IRS เวลาเพื่อประเมินผลการปฏิบัติงาน และออกแบบฐานข้อมูลการประมวลผลแบบขนานและทบทวนยุทธศาสตร์การฉ้อโกงทางธุรกิจการตรวจสอบเป้าหมาย วัตถุประสงค์ของการตรวจสอบก็เพื่อตรวจสอบว่ามีประสิทธิภาพตรงตามความต้องการ และระบุ RRP คืนภาษีหลอกลวง

tigta พบว่าในระหว่างการ IRS นักบินRRP รุ่นสถานะศักยภาพการโจรกรรมฉ้อโกงไม่ตรวจพบโดย efds รุ่น ในระหว่างการทดสอบ 32 วัน , RRP การโจรกรรมแบบระบุ 51946 กลับมาเป็นศักยภาพการโจรกรรมกรณี กรมสรรพากรยืนยันว่า 41311 นั้นจะเกี่ยวข้องกับการโจรกรรม ยืนยันกรณีของการขโมยข้อมูลเฉพาะตัว , IRS กำหนดที่ 10348 ราย ( ร้อยละ 25 ) รวมเป็นเงินทั้งสิ้น $ 43 ล้านบาทในการคืนเงินไม่ได้ถูกตรวจพบโดย efds หรือฐานข้อมูลขึ้นอยู่กับ

นอกจากนี้ การทดสอบของ IRS พบว่าแปดล้านคืนวันจะถูกโหลดไปยังฐานข้อมูล RRP ตามที่ต้องการ ตัวอย่างเช่น กว่าหนึ่งสัปดาห์ RRP อย่างต่อเนื่องโหลดระหว่างเจ็ดล้าน และ 9 ล้านคืนวัน

อย่างไรก็ตามสรรพากรจัด RRP เป็นระบบระดับ 3 ( แหล่งข้อมูลแทนที่จะเป็นระบบหลัก ) เพราะ RRP ถูกจัดเป็นระดับ 3 ของการรักษาความปลอดภัยข้อมูลระบบการจัดการแสดง , ปัญหาด้านความปลอดภัยที่อาจจะไม่ใช่เฉพาะ RRP มีประสิทธิภาพ addressed . นอกจากนี้ ระบุช่องโหว่การรักษาความปลอดภัยไม่ได้ remediated . ตัวอย่างเช่นเครือข่ายสแกนระบุ 2 ตุลาคม 2014 RRP เซิร์ฟเวอร์ที่ยังคงมีความเสี่ยงต่อ heartbleed แมลงหกเดือนหลังจากระบบประกาศ

" ผลการทดสอบ RRP แสดงการปรับปรุงศักยภาพ IRS วิธีการป้องกัน ตรวจหา และแก้ไขก่อนคืนภาษีฉ้อโกง กล่าวว่า " เจ. รัสเซลล์จอร์ช สารวัตรการเงินทั่วไปเพื่อการบริหารภาษี" ในขณะที่การปรับปรุงศักยภาพเหล่านี้จะส่งเสริมให้ , IRS ยังต้องให้แน่ใจว่าระบบที่ถูกจัดอย่างถูกต้อง และตรงตามความต้องการการรักษาความปลอดภัย "

tigta แนะนำหัวหน้าเทคโนโลยีเจ้าหน้าที่มั่นใจว่า 1 ) การรักษาความปลอดภัยข้อมูลแห่งชาติ IRS บุคลากรการจัดการทำระบบหมวดหมู่คุ้นเคยกับความต้องการของกฎหมาย ;2 ) การตรวจสอบความถูกต้องของการจำแนกระบบและ reclassification กล่าวถึง ตรวจทาน และเอกสารระหว่างการประชุมรายปักษ์ไซเบอร์ การจัดการ และ 3 ) การแก้ไขช่องโหว่ที่มีความเสี่ยงสูง RRP .

ตกลงกับ IRS tigta สามแนะนำแผนบุคลากรบทสรุปในการจัดการความปลอดภัยของข้อมูลความต้องการของรัฐบาลกลางพระราชบัญญัติระดับการจำแนกแต่ละ ; เพิ่มประสิทธิภาพกระบวนการปัจจุบันของการตรวจสอบของระบบการจำแนก reclassification และตามที่กล่าวไว้ ตรวจสอบ และจัดทำเอกสารในการจัดการประชุมรายปักษ์ และมุ่งเน้นการแก้ไขช่องโหว่ที่สำคัญในการผลิต และสภาพแวดล้อมที่ลดลง