淺談電子稅務系統的信息安全

引言：伴隨著我國電子信息技術的飛速發展，稅務系統也在不斷大規模普及信息化建設，因此針對稅務的信息安全就非常重要。本文針對威脅電子稅務系統信息安全的各種因素，提出了一系列適當的措施和解決的辦法。

我國的稅務信息化從建設到普及已經逐漸地得到了人們的認可和應用。稅務信息化在帶給人們方便快捷的同時，它的安全問題也令人關注。隨著計算機和網絡的發展普及，重要信息變得非常容易被獲取，網絡攻擊也變得越來越便利。電子稅務系統作為一個典型的廣域網系統，開放共享的特點使其面臨著各種各樣的威脅和攻擊。因此建立一個電子稅務信息安全管理體系，采取綜合防范的措施，確保系統安全、可靠、暢通地運行是非常有必要的。

一、信息安全的概念

信息安全是指確保以電磁信號為主要形式的、在計算機網絡化（開放互連）系統中進行自動通信、處理和利用的信息內容，在各個物理位置、邏輯區域、存儲和傳輸介質中，處于動態和靜態過程中的機密性、完整性、可用性、可審查性和抗抵賴性，與人、網絡、環境有關的技術安全、結構安全和管理安全的總和。人指的是信息系統的主題，包括各類用戶、支持人員，以及技術管理和行政管理人員。網絡則指以計算機、網絡互連設備、傳輸介質、信息內容及其操作系統、通信協議和應用程序所構成的物理的與邏輯的完整體系。環境則是系統穩定和可靠運行所需要的保障體系，包括建筑物、機房、動力保障與備份，以及應急與恢復體系。

二、電子稅務系統面臨的信息安全威脅

（一）物理安全隱患

各種突發災害、運行環境或硬件本身及相關元器件的缺陷會對電子稅務系統信息安全構成威脅。隨著技術的進步，各種免費工具及代碼的出現，網絡設備的漏洞很容易被發現和利用，現在針對防火墻、交換機和路由器等網絡連接設備的攻擊越來越多。通信線路也會受到竊聽、撥號進入，還有冒名頂替等的威脅，電磁輻射泄露也會導致信息失密。

（二）網絡平臺面臨的安全威脅

電子稅務系統通過網絡平臺連接外網后，一方面面臨來自外網節點的越權訪問、惡意攻擊和病毒入侵，另一方面面臨來自稅務系統同級、上級和下級節點的越權訪問、惡意攻擊和病毒入侵。

（三）應用系統數據面臨的威脅

數據庫弱口令及默認用戶名易被破解：操作系統的安全級別低，缺乏對關鍵業務主機操作系統用戶權限的嚴格控制；數據庫管理方式和管理流程編制不得當，不能實時監控數據庫系統的運行情況；黑客利用已知漏洞攻擊系統等。

（四）人為因素及管理的缺陷

來自電子稅務系統內部用戶的安全威脅同樣是不容忽視的一部分。稅務部門內部員工對本單位網絡結構以及系統軟件的應用比較熟悉，自己攻擊或泄露重要信息，都會對系統的安全造成很大的威脅。此外，缺少信息安全管理的技術規范，缺少定期的安全測試與檢查，更缺少安全監控，也是對系統安全的很大威脅。

三、電子稅務系統信息安全的防護措施

（一）物理安全措施

作為電子稅務系統的硬件基礎，物理安全是信息安全的第一道防線。物理安全包括環境、設備及線路的安全，主要是指防盜、防火、防靜電、防雷擊以及防電磁泄漏。要根據接入網絡設備的數量、功耗和負載等及時地對設備進行擴容擴充，并做好冗余備份工作。加強設備管理和維護工作，建立報警系統，以確保所有設備處于最佳運行狀態。

（二）網絡安全措施

網絡層面安全防御的重點主要是阻斷外部用戶的惡意攻擊和非法訪問。可以探討有關下述方面的安全策略來抵御不斷發展的安全威脅。

1.合理布局網絡結構。網絡結構布局的合理與否，也會影響網絡的安全性。對稅務系統業務網、辦公網、與外單位互聯的接口網絡之間必須按各自的應用范圍、技術指標、安全保密程度等進行合理分布，統一整合外聯網絡，可以在內外網的邊界建立隔離區（DMZ），以免局部安全性較低的網絡系統造成的威脅，傳播到整個網絡系統。

2.訪問控制。網絡需要防范非法用戶的非法訪問和合法用戶的非授權訪問。非法用戶的非法訪問也就是黑客或間諜的攻擊行為。訪問控制是網絡安全防范和保護的主要策略和重要手段。訪問控制策略主要包括入網訪問控制、網絡的權限控制、目錄級安全控制、屬性安全控制、網絡服務器安全控制、網絡監測和鎖定控制、網絡端口和節點的安全控制以及防火墻控制。

3.病毒防護。配備從服務器到單機的整套防病毒軟件，和一些防惡意程序軟件并做到及時升級，防止病毒入侵主機并擴散到全網，實現全網的病毒安全防護，以確保整個電子稅務系統的業務數據不受到病毒的破壞，日常工作不受病毒的侵擾。

4.主動防御。防火墻可以對所有的訪問進行嚴格控制（允許、禁止、報警），但防火墻不可能完全防止有些新的攻擊或那些不經過防火墻的其他攻擊。所以，為確保網絡更加安全，必須配備入侵檢測系統，對透過防火墻的攻擊進行檢測，并做相應的反應（記錄、報警、阻斷）。

（三）數據安全

數據安全包括數據傳輸安全、數據存儲安全以及數據的備份和恢復三個方面。數據傳輸安全是指在傳輸過程中保護數據信息的機密性和完整性，以防被他人截獲、修改，具體可通過數據加密技術、數字簽名及VPN等技術來實現。數據存儲安全是指要保證存儲在服務器或終端上的數據的安全，對于要求保密的重要數據，如納稅人的交易密碼，需加密后再存儲。數據備份和恢復可以確保存系統遭到攻擊或因自然因素導致數據不可用時，利用備份的數據進行恢復。對重要數據信息可以采取上級稅務機關代為備份和本級稅務機關異地備份的雙重備份方式，最大限度的保證數據信息的可恢復性。通過制訂可靠的數據備份與恢復策略，保證稅務業務系統提供服務的及時性、連續性。

（四）電子稅務系統的信息安全管理

對于電子稅務系統建立一套集中管理的機制和設備，即安全管理中心。它用來給各網絡安全設備分發密鑰，監控網絡安全設備的運行狀態，負責收集網絡安全設備的審計信息等。

建立健全信息安全管理和防范制度，不斷完善系統的操作規程，嚴格規范工作人員的操作行為和水平。

四、結束語

電子稅務系統的信息安全是一項長期、系統的工程，不僅僅是通過技術手段來建立信息安全的多層防護策略，還要通過建立健全信息安全管理機制、提高工作人員的安全意識，才能確保電子稅務系統的安全、穩定、高效運行。

參考文獻

[1]方美琪.電子商務概論[M].北京：清華大學出版社，2000.

[2]譚榮華，徐夫田，謝波峰.我國稅務信息化建設的七大重點[J].涉外稅務，2002，10：26-30.

[3]楊茂云.信息與網絡安全使用教程[M].電子工業出版社，2007.

（作者單位：河南省沈丘縣洪山鎮計生辦）