電子政務內(nèi)網(wǎng)安全保衛(wèi)戰(zhàn)

電子政務的應用越來越普及，其安全問題也引起越來越多的關(guān)注。當前我國電子政務信息安全存在的主要問題有：政務網(wǎng)絡(luò)和安全保障的建設(shè)沒有統(tǒng)一規(guī)劃和標準，沒有強有力的統(tǒng)一領(lǐng)導和主管部門；管理制度和技術(shù)標準不完善；信息安全保障的技術(shù)手段和防范措施趕不上形勢的發(fā)展和需求；思想觀念跟不上新形勢的發(fā)展，涉密人員的保密意識尚需進一步提高；基礎(chǔ)設(shè)施和核心技術(shù)方面受制于國外；涉密信息系統(tǒng)的技術(shù)標準可實施性尚待提高等。我國大多數(shù)重要信息系統(tǒng)尚未徹底消除來自傳統(tǒng)的如計算機網(wǎng)絡(luò)所使用的操作系統(tǒng)、數(shù)據(jù)庫、芯片等威脅，關(guān)鍵技術(shù)受制于國外，網(wǎng)絡(luò)上存在很多安全隱患，泛濫的網(wǎng)絡(luò)間諜、遠程計算機控制、拒絕服務、木馬和惡意代碼及人為因素等，都嚴重威脅到我國涉密信息的安全。從某種意義上講，信息安全關(guān)系到國家安全，我們應該從國家安全戰(zhàn)略的高度來對待信息安全。

安全問題區(qū)別對待

目前，政府、企事業(yè)和個人對網(wǎng)絡(luò)的依賴程度越來越高，大到國家秘密，小到個人隱私，對網(wǎng)絡(luò)安全的要求也會越來越高，不同層次對信息安全的要求也不一樣。大多數(shù)的政務部門一般都將信息安全和網(wǎng)絡(luò)安全等同來理解，事實上，網(wǎng)絡(luò)安全和信息安全，在內(nèi)容、技術(shù)和安全保障上都應該分開描述，分別提出要求。

以前，政務部門都是以縱向到底（中央、省、市縣）的網(wǎng)絡(luò)來開展本部門的業(yè)務，如金字工程等。在這種情況下，信息安全包括全國性的專用網(wǎng)絡(luò)、數(shù)據(jù)和應用系統(tǒng)、身份認證等，這是一個系統(tǒng)。而如果是一個公共的政務網(wǎng)絡(luò)來承載各政務部門的業(yè)務，按我們國家現(xiàn)在的分工負責制，政務網(wǎng)絡(luò)（廣域網(wǎng)絡(luò)）的安全一般由信息化的主管部門負責或由政務網(wǎng)絡(luò)的建設(shè)運維單位負責，包括網(wǎng)絡(luò)信任體系等基礎(chǔ)安全設(shè)施，而信息安全大多指本單位局域網(wǎng)絡(luò)和應用系統(tǒng)的安全，由各單位自行負責。

目前政務部門傳輸涉密信息的網(wǎng)絡(luò)與互聯(lián)網(wǎng)及與互聯(lián)網(wǎng)有連接的其他網(wǎng)絡(luò)按要求都是物理隔離，中央級政務部門有一個內(nèi)部局域網(wǎng)絡(luò)處理涉密信息，而接入到一般的政務單位，可能是幾臺終端，而且不同部門的涉密網(wǎng)絡(luò)均是相互不連通的。不同的涉密信息系統(tǒng)接入同一單位時，通過不同的專線接入到不同的終端上，其信息系統(tǒng)和網(wǎng)絡(luò)都是不共享、相互獨立的，如國辦的二郵網(wǎng)系統(tǒng)、組織部門的組織工作系統(tǒng)等，這些信息系統(tǒng)均按機密定級，連接到31個省區(qū)市和新疆生產(chǎn)建設(shè)兵團及在京相關(guān)中央政務部門的業(yè)務對口廳室或辦公室，這樣的系統(tǒng)還有很多。

一般傳輸涉密信息系統(tǒng)的底層網(wǎng)絡(luò)傳輸通道采用電信運營商的電路或光纖，兩端采用端到端的加密設(shè)備，少數(shù)涉密系統(tǒng)的應用示范采用了身份認證。機密級和秘密級在網(wǎng)絡(luò)傳輸上的要求基本上是一樣的，但由于各信息系統(tǒng)之間在網(wǎng)絡(luò)上不連通，無法實現(xiàn)網(wǎng)絡(luò)信息資源和交換與共享，網(wǎng)絡(luò)信任體系也無法共享，大多數(shù)的應用系統(tǒng)也沒有采用分級保護。除了傳輸上加裝普通密碼設(shè)備外，在信息系統(tǒng)側(cè)還需要安裝防火墻、IDS、防病毒軟件、安全審計等常規(guī)安全設(shè)備。

當前我國電子政務內(nèi)網(wǎng)建設(shè)存在的主要問題有：

（1） 國家在信息安全方面沒有明確的主管部門，缺乏總體的信息安全戰(zhàn)略研究和統(tǒng)一的規(guī)劃，各自為戰(zhàn)，難以形成國家合力；

（2） 技術(shù)措施陳舊、以被動響應為主，無法對信息流的全過程實施有效的監(jiān)控，IT設(shè)備的核心技術(shù)均來自國外，受制于人，大多數(shù)的問題存在于涉密終端，沒有有效的技術(shù)措施和手段來控制信息不外泄；

（3） 涉密人員保密意識不強，管理制度執(zhí)行檢查不嚴，對移動存儲介質(zhì)不能全部做到強審計下載文件，網(wǎng)絡(luò)信任體系尚未建立；

（4） 網(wǎng)絡(luò)分開，意味著終端要分開，除投資增加外，相應的安全保障也要分別做；很多單位有的工作人員一個人有3臺以上的終端，分別對應不同的應用系統(tǒng)，網(wǎng)絡(luò)、線路和設(shè)備的使用效率低下，信息安全無法保障，管理分而治之，信息安全不可控，存在諸多隱患。

電子政務內(nèi)網(wǎng)建設(shè)的五點建議

電子政務內(nèi)網(wǎng)的信息安全關(guān)系到國家安全，能否針對當前我國涉密信息系統(tǒng)存在的問題，科學有效地制定國家的信息安全和保密方案，直接關(guān)系到能否真正保證信息的安全。因此，首先要有一個強有力的主管部門，根據(jù)業(yè)務的需要在全國建立一個統(tǒng)一的涉密內(nèi)網(wǎng)，統(tǒng)一規(guī)劃IP地址，分級負責，統(tǒng)一為各相關(guān)單位配備普通密碼設(shè)備，建立統(tǒng)一的身份認證、授權(quán)管理和責任認定的機制，建立終端的按需要配置相關(guān)功能的標準規(guī)范和移動存貯介質(zhì)強審計系統(tǒng)，在統(tǒng)一的電子政務基礎(chǔ)網(wǎng)絡(luò)平臺上構(gòu)建涉密內(nèi)網(wǎng)。根據(jù)我國實際情況，現(xiàn)提出以下針對電子政務內(nèi)網(wǎng)建設(shè)的具體建議：

一、 建設(shè)統(tǒng)一的單位涉密局域網(wǎng)。內(nèi)網(wǎng)按國家保密局有關(guān)涉密計算機信息系統(tǒng)建設(shè)的要求進行建設(shè)，對不同涉密信息系統(tǒng)的不同密級進行分級保護，做好訪問控制。在單位局域網(wǎng)的出口安裝一臺普通密碼設(shè)備，不同業(yè)務進入一個單位時共用一臺普密設(shè)備，以減少投資并對普密設(shè)備進行統(tǒng)一管理，而不是像現(xiàn)在這樣一個系統(tǒng)配一臺普密設(shè)備，系統(tǒng)之間的網(wǎng)絡(luò)物理隔離。

二、 加強終端計算機的管理。在涉密網(wǎng)內(nèi)，終端問題是最多的，因此要加強終端計算機的管理，對終端的行為進行審計，通過技術(shù)手段防止內(nèi)網(wǎng)外聯(lián)，加強移動存貯介質(zhì)的管理，對終端按功能和要求進行配置，在現(xiàn)階段對終端上沒有用的功能進行刪減，如刪減無線網(wǎng)絡(luò)連接、內(nèi)置調(diào)制解調(diào)器、軟件下載等功能，以減少網(wǎng)絡(luò)和系統(tǒng)的脆弱性，而不是像現(xiàn)在這樣用操作系統(tǒng)中提供的禁止方法來限制。

三、 加強網(wǎng)絡(luò)信任體系的建設(shè)。通過統(tǒng)一的身份認證，做好信息系統(tǒng)的授權(quán)管理和責任認定，對每個應用系統(tǒng)進行訪問控制和責任認定。

四、 實現(xiàn)信息資源的共享。黨委、人大、政府、政協(xié)、法院、檢察院之間需要資源共享時，統(tǒng)一建設(shè)數(shù)據(jù)共享與交換平臺，通過網(wǎng)絡(luò)信任體系和訪問控制手段來實現(xiàn)政務資源信息的共享?；谥醒氤怯蚓W(wǎng)和全國的電子政務內(nèi)網(wǎng)，傳輸涉密信息。其傳輸平臺應該只有一個，便于進行管理和信息資源的共享與交換。

五、全國統(tǒng)一涉密內(nèi)網(wǎng)的規(guī)劃建設(shè)。在國家政務內(nèi)網(wǎng)中的數(shù)據(jù)是加密傳輸?shù)模瑧y(tǒng)一規(guī)劃和管理，明確傳輸機密級（含）以下的涉密信息系統(tǒng)。

信息安全是一個在攻與防過程中不斷完善提升的過程，無論從觀念上，還是從技術(shù)上，都需要我們不斷地研究。信息安全從現(xiàn)在的被動響應向主動防御的轉(zhuǎn)變，還有很多工作要做。電子政務各部門從國家戰(zhàn)略安全要求出發(fā)，結(jié)合國家各方面的力量，就一定能夠把我國的信息安全工作做好。

作者簡介：

邵國安，國家信息中心公共技術(shù)部綜合處處長、高級工程師，全國公共安全基礎(chǔ)標準化技術(shù)委員會委員。長期從事通信、計算機網(wǎng)絡(luò)和安全的建設(shè)、運維和管理工作。