電子政務信息安全體系研究

牛朋飛

喜科（上海）軟件系統有限公司，成都 郵編 200000

電子政務信息安全體系研究

牛朋飛

喜科（上海）軟件系統有限公司，成都 郵編 200000

近年來，電子政務所處的網絡環境日益復雜，來自黑客、病毒的攻擊行為也日益頻繁，給國家的信息安全帶來嚴重的威脅。本文分析電子政務網絡面臨的安全威脅和要求，從基礎設施、技術保障、管理體系等三個方面構建信息安全保障體系。

電子政務，信息安全，安全威脅，保障體系

電子政務信息平臺是我國“十五”規劃建設的重要內容，各級人民政府都建立了專業化的政務管理信息化系統，電子政務發展具有了一定的規模，提高了政府辦公的工作效率。電子政務平臺中的信息涉及到國家秘密，這些信息的安全與否直接關系到國家的主權、社會的穩定和廣大人民的利益以及國家的安全。因此，在推進政務信息化進程的過程中，首要的任務是保障電子政務信息的安全。目前，我國還沒有一套完整的電子政務信息框架，地方政府只是根據自身職能的需要實施了一些信息安全的保護措施，但是在實際的信息管理、監督能力方面都有待于進一步提高。

1 電子政務安全面臨的主要威脅

從電子政務系統所處的網絡環境來分析，Internet外網可看作是外部環境，電子政務系統及所屬的政府機關可看作是內部環境，無論從內部還是外部，電子政務系統所面臨的安全威脅都存在。外部威脅：一是無組織的黑客攻擊，二是有組織的網絡攻擊。據不完全統計，電子政務系統來自網絡的攻擊占整個安全攻擊的70%以上，黑客利用高超的計算機技術和通信技術侵入到計算機網絡信息系統中。外部攻擊有兩種目的：一是以刺探、破壞信息為目的，另一是獲取信息內的秘密文件，進而以篡改文件為目的，即獲取情報為目的。前者主要表現為各種計算機病毒，后者則是秘密地竊取情報，和前者相比，更不容易被發現，所造成的危害也就更深遠一些。

內部的威脅主要表現為操作人員的違規操作和惡意報復。其中違規操作是造成內部威脅得逞的主要原因。如內部人員擅自通過實名計算機直接進入因特網，造成計算機內存儲的秘密文件被竊；又如不經病毒過濾擅自從互聯網上下載多媒體影音數據，造成計算機的感染。另外，內部人員的惡意報復在電子政務系統中也時有發生，如果工作人員有不滿情緒，它們可能會利用工作之便惡意破壞數據庫軟件，造成數據丟失和系統故障，對系統造成重大損失。

2 電子政務信息安全的要求

《中華人民共和國計算機信息系統安全保護條例》把信息安全界定為“保障計算機及其相關的和配套的設備、設施(網絡)的安全，運行環境的安全，保障信息安全，保障計算機功能的正常發揮，以維護計算機信息系統的安全”。從這個規定可以看出，在電子政務環境下，信息安全主要包括系統實體安全、人員安全、應用軟件安全、運行安全和數據安全。

電子政務系統中的實體是指系統運行所需要的計算機設備、網絡設備設施等，實體安全就是保證這些設施不受自然因素和人為因素破壞和影響，保證設備的正常運行，通常分為人員安全、運行安全和數據安全三部分。人員安全是指使用電子政務系統的政府工作人員、系統管理員的安全技能、安全意識和法律意識等；電子政務系統中開發了大量的應用軟件，要確保操作系統不存在安全漏洞和缺陷，能夠抵制外來的破壞；運行安全是指電子政務系統在運行過程中的安全，包括系統不受病毒和網絡黑客的攻擊等；數據安全是指電子政務系統中的數據和信息不被非法訪問、更改和破壞，包括數據加密解密、數據備份與恢復、審計跟蹤、訪問控制、網絡安全和數據庫安全等。

3 電子政務信息安全保障體系

圖1 電子政務信息安全體系框架

從電子政務系統安全的總需求來看，其中的網絡安全、信息內容安全等可以通過開放系統互連安全體系提供的安全服務、安全機制及其管理獲得，但所獲得的這些安全性只解決了與通信和互連有關的安全問題，而涉及與信息系統構成組件，運行環境安全有關的其他問題(如物理安全、系統安全等)等，還需要從技術措施和管理措施兩個方面來考慮解決方案。一個完整的電子政務信息安全體系包括基礎設施體系、技術保障體系和管理體系三部分組成，如圖1所示:

3.1 基礎設施體系

電子政務系統的基礎設施包括政務內網、政務外網、電子政務信息專用網三部分。政務內網用于運行內部辦公系統、基礎數據和業務數據存儲管理，通過路由器接入電子政務信息專網；電子政務信息專網，實現國家、省、市、縣四級政府部門的信息共享與交換；政務外網通過防火墻接入國際互聯網，為社會提供電子政務信息服務。

電子政務系統的內網是整個政務信息化的基礎，負擔了大部分的政務信息和政務信息系統。電子政務內網與外部網絡通過網絡物理隔離，存在的安全威脅主要來自內部區域的不安全因素，內網安全集中表現在應用系統的安全和數據信息的安全上。

安全域是由一系列相互信任，具有相同的信息安全需求的終端或系統等組成的邏輯網絡區域，為達到安全目的，安全域基于信息安全標準，從系統信息安全的角度劃分，可將電子政務網絡劃分為多個安全域。即使用交換機或者網絡結構劃分為不同的子網或VLAN，并對不同的子網或VLAN進行安全策略設置，防止不同安全域之間的非授權互訪。電子政務網絡安全域劃分后，同一安全域的終端或系統相互信任，并具有相同信息安全訪問控制策略和邊界控制策略。

3.2 技術保障體系

信息安全體系的建設是一個復雜的系統工程，需要從多角度、多層次進行分析和控制，根據電子政務網絡的不同層次，采取有針對性的技術措施，主要包括物理層安全、網絡層安全、系統層安全和應用層安全等。

物理層安全是指電子政務系統運行的物理環境的安全。通過對電力供應設備以及信息系統組成的抗電磁干擾和電磁泄露性能的選擇性措施；通過物理機械強度標準的控制使信息系統的建筑物、機房條件及硬件設備條件滿足信息系統的機械防護安全。

網絡層安全就是確保該層的交換機，路由器、防火墻等設備的安全性。通常采取的技術措施包括：網絡訪問控制、遠程接入控制、內容安全等相關控制措施。網絡訪問控制是在網絡層實現訪問控制措施，以限制主體對客體資源的訪問，適當的訪問控制能夠阻止未經許可的用戶有意或無意地獲取敏感信息。遠程接入建議選擇較為安全的VPN接入方式，如果采用撥號接入，則建議在撥號后結合采用VPN進行遠程連接，然后通過對安全策略的統一管理和設置，確保所提供的安全功能得到有效地實施。內容安全包括對惡意代碼及垃圾郵件等通過正常協議傳輸的惡意信息的過濾、攔截，可采用統一威脅管理、入侵防護系統、防火墻等安全措施措施。

系統層安全是指電子政務平臺下操作系統的安全。它通過對信息系統與安全相關組件的操作系統的安全性選擇措施或自主控制，使信息系統安全組件的軟件工作平臺達到相應的安全等級。一方面阻止任何形式的非授權行為對信息系統安全組件的入侵或接管系統管理權；另一方面避免操作平臺自身的脆弱性和漏洞引發的風險。

應用層安全主要是指電子政務平臺的安全和運行在此平臺上的各應用系統的安全。它主要采取身份認證、訪問控制等安全措施，保證應用系統自身的安全性，以及與其他系統進行數據交互時所傳輸數據的安全性；采取審計措施在安全事件發生前發現入侵企圖或在安全事件發生后進行審計追蹤。

3.3 管理體系

電子政務信息安全管理體系的關鍵在于建立一個有效的安全管理組織機構和管理制度。管理機構以單位主管信息工作的負責人為首，有行使國家安全、公共安全、機要和保密職能的部門負責人和信息系統主要負責人參與組成。主要負責是規劃并協調各方面力量實施信息系統的安全方案，制定、修改安全策略，處理安全事故等。

安全管理制度包括安全責任制度、系統運行維護管理制度、計算機處理控制管理制度、文檔資料管理制度、管理和操作人員管理制度、機房安全管理制度、定期安檢與安監管理制度、網絡通信安全管理制度、病毒防治管理制度、信息保護制度等。

4 結語

無論采用什么樣的網絡結構和應用體系，對于電子政務來說，安全總是第一位的。因此，信息安全是電子政務的頭等大事，加強對電子政務信息安全體系的研究，對于推動我國電子政務建設具有重大的現實意義。

[1]楊泉.我國電子政務信息安全對策分析[J].企業技術開發. 2014年36期.

[2]劉傳蔚.電子政務系統信息安全策略研究[J].計算機光盤軟件與應用.2014年第23期.

[3]楊萌.電子政務信息系統的安全性分析[J]．課程教育研究. 2014年06期