銅陵市“金保工程”信息系統安全體系架構

胡成峰

（銅陵市人力資源和社會保障局，安徽銅陵 244000）

銅陵市“金保工程”信息系統安全體系架構

胡成峰

（銅陵市人力資源和社會保障局，安徽銅陵 244000）

“金保工程”是關系民生、影響社會穩定的一項系統信息工程，其安全規劃建設極為重要。文章從保護信息網絡安全、保護應用服務安全和保護系統安全三個方面對信息網絡的硬件、軟件及其系統中的數據如何進行保護，避免不受偶然的或者惡意的原因而遭到破壞，保障系統連續、可靠、正常的運行，進行了分析，描述了銅陵市“金保工程”信息系統安全的建設規劃與體系架構。

信息；系統；安全；規劃

一、項目背景及現狀

“金保工程”是關系民生，影響社會穩定的一項系統信息工程，其安全規劃建設極為重要。作為“銅陵市電子政務整體規劃”中的重要子系統，銅陵信息化建設重點工程，銅陵市人力資源和社會保障信息系統需要在原有的系統上，建立一個高起點的計算機管理信息系統，為銅陵市信息一體化建設、“數字銅陵”的建設打好堅實基礎。

所謂高起點的計算機管理信息系統就是業務功能完善、標準規范統一、性能安全可靠、管理模式先進、體系結構開放可擴展；全面實現人力資源和社會保障核心業務處理和信息交換的系統化、規范化、自動化；能為政府部門提供強有力的宏觀決策服務；能面向全社會，為公眾提供方便、快捷、安全的社會保障服務。

這樣的系統就是以網絡為依托，統一的信息平臺縱向互連到一縣三區，并將網絡延伸到街道、社居委、定點醫院、定點零售藥店，將網絡與政府、銀行、財政、稅務、工商、公安、民政等部門橫向互聯，實現網絡化辦公和信息資源共享；在規范和優化業務流程的基礎上，統一資源、統一標準，整合所有的人力資源和社會保障業務，實現業務管理現代化，業務流程規范化，業務辦公自動化；將“以人為本，記錄一生，管理一生，服務一生”，實現全市的信息共享，以最少的投入實現最大化的效益，在運行中具體體現“服務統一，相對獨立”的機制，實現對勞動者進行全程化、動態化的實時跟蹤和管理，體現以人為本的管理思路，對一個勞動者從出生到死亡、從就業到養老等整個生命歷程進行全程化、一體化的管理。

為此，銅陵市“金保工程”結合銅陵市電子政務建設的需要，按照國家金保工程建設的總體規劃，分為多個階段進行。目前一期工程已投入使用，二期工程即將開始全面建設。

從系統總體結構上看，銅陵市“金保工程”業務信息系統覆蓋銅陵人社局到縣區級機構（共4個）、街道機構（共14個）和社區（共86個）以及政府相關部門（共4個）、銀行（4個），參保企業（5000多戶），參保人員（50多萬人）；通過廣域網互聯，利用銅陵電子政務外網線路進行互聯。

通過“金保工程”的建設，一方面統一了相關信息資源，使“信息孤島”不再獨立；二方面實現了信息共享，便利了參保人員，提升了效率；三方面實現了資源開放，利于政務公開與監督。至2009年末，銅陵市有73.89萬人次的職工參加養老、失業、工傷、醫療和生育保險。其中，養老保險參保人數14.94萬人，失業保險參保人數14.33萬人，工傷保險參保人數11.8萬人，基本醫療保險參保人數24.31萬人，生育保險參保人數8.51萬人。2009年末被征地農民養老保障參保人數達4.74萬人。①

二、需要解決的問題

銅陵市“金保工程”信息系統建設主要包含網絡基礎設施建設、應用系統建設和安全保障體系建設三大方面。其中，信息安全保障體系就是建立在網絡平臺設施的基礎上為應用系統提供安全運行的保障體系。對于銅陵市“金保工程”信息安全系統的建設來說，須以全局的目光看待整個項目的需求建設情況，根據網絡平臺體系架構，應用系統架構和業務流程而綜合得出安全系統的最終要求。

銅陵市“金保工程”信息系統安全建設需求如下：

1.根據系統的整體規劃提出有針對性的安全解決方案；

2.充分考慮未來業務發展的需求，提出有計劃的安全體系建設步驟；

3.根據信息系統的產品需求，綜合考慮國內外主流安全產品，提出有針對性的安全產品解決方案和產品管理部署方案。

三、解決方案

銅陵市“金保工程”信息系統的安全體系建設應當從整體安全的角度出發，縱向貫穿安全管理、安全技術、服務支持三大體系，形成銅陵市“金保工程”信息系統安全保障體系。如下圖所示：

該體系架構通過安全管理平臺將安全技術和管理相融合，并與網絡管理平臺相互聯動，通過統一管理界面對網絡安全系統的風險進行可視化管理，同時依托安全服務業務確保該體系的持續改進。

1.安全管理體系設計

安全管理體系設計包括安全組織體系的建設和安全策略體系的建設。安全組織作為安全工作的管理和實施體系，主要負責網絡安全策略、制度、規劃的制訂和實施，確定網絡中各種安全管理崗位和相應職責，并負責選用合適的人員來完成安全管理工作，監督各種網絡安全工作的開展，協調各部門在安全實施中的分工和合作，保證安全目標的實現。信息安全策略體系為信息安全提供管理指導和支持。銅陵人社局制定一套清晰的指導方針，并通過組織內信息安全策略的發布和保持來實現對信息安全的支持與承諾。信息安全策略指的是為了保護網絡信息資源，消除或降低風險而制訂的各種綱領、制度、規范和操作流程。網絡安全策略是一個層次化的概念，上到指導方針，下到實施細則的一系列指導性文檔體系。②

2.安全技術體系設計

安全技術體系包括監控體系和支撐性基礎設施兩個方面的內容。

安全監控平臺包括網絡管理平臺和安全管理平臺，其中網絡管理平臺的管理對象主要包括網絡交換機、路由器以及服務器等；安全管理平臺的管理對象主要是網絡安全系統，如防火墻、入侵檢測、終端安全管理、病毒防護系統、漏洞掃描系統等，其中網絡安全審計作為安全管理平臺的一個功能。安全管理平臺可以收集來自于網絡管理平臺的設備狀態等信息，然后通過統一的管理界面進行展示。

支撐性基礎設施采取的技術安全措施主要有：訪問控制、內容過濾、身份鑒別、授權管理、審計追蹤、數據加密、入侵分析、安全加固、容災備份等內容。

在銅陵市“金保工程”信息系統中，我們采用了如下技術：

防病毒系統：在所有工作站和服務器上分別部署防病毒軟件，實施“層層設防、集中控制、以防為主、防殺結合”的策略，建立完善的網絡病毒防治體系。

可信終端系統：在每一臺終端上安裝可信終端系統的代理程序，從而實現：操作人員身份的標識和鑒別；訪問控制；信息保密；可信應用；補丁升級；審計。

數據庫審計系統：評估網絡配置的合理性、安全策略的有效性，追溯分析安全攻擊軌跡，并能為實時防御提供手段。通過對用戶網絡行為的審計，確認行為的合法性，確保管理的安全，審計用戶訪問數據庫系統的操作行為，并進行審計記錄，以便事后追查取證。

主頁防篡改系統：信息系統的網頁代表著銅陵人社局的形象，無論如何不能夠出現網頁被篡改的事故，網頁篡改是最高級別的安全事故，針對這個安全問題，采用網頁防篡改事件觸發技術，具備觸發式篡改檢驗引擎，針對網站文件的增刪改操作，一觸即發，校驗修改的合法性，瞬間清除被非法篡改的網頁，實時恢復正確網頁。事件觸發技術一個最突出的特點就是確保任何時候網站文件的合法性。同時提供網站監控與恢復、發布與同步、報警、日志、備份、服務器聯動、用戶認證、篡改分析和審計等功能。

網絡行為監控系統：通過該系統實時抓取網絡中的數據進行分析審計匹配、統計，通過特定的協議算法，能夠對網絡上的信息進行快速分析或在主機上對用戶進行審計分析，通過集中控制臺來管理、檢測，從而實現入侵檢測、信息還原等網絡審計監控功能。③

防火墻系統：在省廳和市局專網出口和互聯網出口處分別部署防火墻系統，在市局及縣級局出口處部署防火墻，并執行嚴格的訪問控制策略，實現內部網絡和各廣域網的邏輯隔離，杜絕未授權訪問進入內網。

入侵防御系統：在系統關鍵邊界位置部署入侵防御系統，對入侵活動和攻擊性網絡流量進行攔截，在發現網絡安全事件的時候，進行有針對性的動作，并將這些對安全事件反應的動作發送到交換機或防火墻上，由交換機或防火墻來實現精確端口的關閉和斷開，避免其造成任何損失，而不是簡單地在惡意流量傳送時或傳送后才發出警報，真正做到主動防護。

VPN系統：為了滿足移動人員辦公的需要，防止通過廣域網傳輸數據被非授權截取、修改，采用VPN技術構建虛擬專用網絡，實現在廣域網傳輸數據的加密，保障傳輸數據的安全性。

安全管理平臺（SOC）：通過集中安全管理中心總體配置、調控整個網絡多層面、分布式的安全系統，實現對各種網絡安全資源的集中監控、網絡安全保護策略集中部署，簡化對安全部件的管理，確保網絡安全策略的統一。

數據容災備份系統：部署了同城異地數據容災備份中心，把所有“雞蛋”放在相距一定距離的兩個“籃子”里。數據同步復制系統包括主備兩個數據中心，其中生產數據中心在勞動保障大廈，備份數據中心建立在電信IDC機房。同城異地數據備份項目是提高業務系統的整體安全性和可用性，在正常情況下，系統數據都在主數據中心運行，重要的業務數據通過光纖鏈路實時地傳輸到備份數據中心。一旦主數據中心的存儲設備或其它相關的連接設備發生故障，并導致業務應用無法正常訪問主數據中心的數據時，業務主機可以通過光纖鏈路直接訪問備份數據中心的數據，從而保證了關鍵業務的連續運行，保證了數據的安全性。

3.服務支持體系規劃

安全體系建設的根本目標是為了保障、支持信息應用業務系統的持續可靠運行。而對于以生產及業務為主的組織來講，往往因為安全技術能力欠缺、安全信息缺乏及關注程度不夠等問題，無法把握信息安全的發展。通過引進第三方專業安全廠商服務支持體系，有效提高相關人員的專業技術能力，在保證業務發展的同時，充分利用現有安全技術體系，不斷提升信息安全保障水平，確保銅陵市“金保工程”業務系統的高效、可靠、穩定運行。

注：

①2009年銅陵市國民經濟和社會發展統計公報，摘自：www.tjj.tl. gov.cn

②楊智慧：《中華人民共和國計算機信息系統安全法規匯編》，群眾出版社，1998

③趙澤茂、朱芳：《信息安全技術》，西安電子科技大學出版社，2009

TP311.1

：A

：1672-0547（2010）05-0076-02

2010-08-23

胡成峰（1973-），男，安徽含山人，銅陵市人力資源和社會保障局信息數據中心副主任，經濟師。