電子政務(wù)安全風(fēng)險(xiǎn)分析及對(duì)策

李東

摘 要 隨著計(jì)算機(jī)技術(shù)和通信技術(shù)的飛速發(fā)展，信息化的浪潮席卷全球，無論是企事業(yè)單位還是政府機(jī)構(gòu)越來越多的傳統(tǒng)事務(wù)向網(wǎng)絡(luò)化轉(zhuǎn)變。信息技術(shù)的發(fā)展，互聯(lián)網(wǎng)的普及，同時(shí)也帶來了一系列的安全問題，電子政務(wù)涉及對(duì)國(guó)家秘密信息和高敏感度核心政務(wù)的保護(hù)，安全問題成為電子政務(wù)平臺(tái)建設(shè)系統(tǒng)建設(shè)重點(diǎn)考慮的環(huán)節(jié)。

關(guān)鍵詞 電子政務(wù) 安全 對(duì)策

一、政府信息化現(xiàn)狀

以信息化帶動(dòng)工業(yè)化，加快國(guó)民經(jīng)濟(jì)結(jié)構(gòu)的戰(zhàn)略性調(diào)整，實(shí)現(xiàn)社會(huì)生產(chǎn)力的跨越式發(fā)展，是電子政務(wù)建設(shè)的首要任務(wù)。以推進(jìn)政府信息公開為目標(biāo)的電子政務(wù)建設(shè)成為今后一個(gè)時(shí)期我國(guó)信息化工作的重點(diǎn)。

我國(guó)信息化建設(shè)取得了很大成績(jī)，信息產(chǎn)業(yè)發(fā)展成為重要的支柱產(chǎn)業(yè)。從我國(guó)現(xiàn)代化建設(shè)的全局來看，建設(shè)電子政務(wù)系統(tǒng)，構(gòu)筑政府網(wǎng)絡(luò)平臺(tái)，形成連接中央到地方的政府業(yè)務(wù)信息系統(tǒng)，實(shí)現(xiàn)政府網(wǎng)上信息交換、信息發(fā)布和信息 服務(wù)是我國(guó)信息化建設(shè)重點(diǎn)發(fā)展目標(biāo)。我國(guó)電于政務(wù)建設(shè)指導(dǎo)意見提出當(dāng)前要以“兩網(wǎng)一站四庫(kù)十二系統(tǒng)”為目標(biāo)的電子政務(wù)建設(shè)要求，目的是加強(qiáng)政府監(jiān)管、提高政府效率、推進(jìn)政府高效服務(wù)?！皟删W(wǎng)一站四庫(kù)十二系統(tǒng)”的內(nèi)容是：“兩網(wǎng)”指政務(wù)內(nèi)網(wǎng)和政務(wù)外網(wǎng)兩個(gè)基礎(chǔ)平臺(tái)；“一站”指政府門戶網(wǎng)站；“四庫(kù)”指人口信息數(shù)據(jù)庫(kù)、法人單位信息數(shù)據(jù)庫(kù)、自然資源和空間地理信息數(shù)據(jù)庫(kù)以及宏觀經(jīng)濟(jì)信息數(shù)據(jù)庫(kù)；“十二系統(tǒng)”大體可分為3個(gè)層次：辦公業(yè)務(wù)資源系統(tǒng)和宏觀經(jīng)濟(jì)管理系統(tǒng)，將在決策、穩(wěn)定經(jīng)濟(jì)環(huán)境方面起主要 作用；金稅、金關(guān)、金財(cái)、金融監(jiān)管（銀行、證監(jiān)和保 監(jiān)）和金審共5個(gè)系統(tǒng)主要服務(wù)于政府收支的監(jiān)管；金盾、金保（社會(huì)保障）、金農(nóng)、金水（水利）和金質(zhì)（市場(chǎng)監(jiān)管）共5個(gè)系統(tǒng)則重點(diǎn)保障社會(huì)穩(wěn)定的國(guó)民經(jīng)濟(jì)發(fā)展的持續(xù)。

電子政務(wù)使政府社會(huì)服務(wù)職能得到最大程度的發(fā)揮，但也使政府敏感信息暴露在無孔不入的網(wǎng)絡(luò)威脅面前。要趨利避害，電子政務(wù)安全防護(hù)體系的構(gòu)建至關(guān)重要。電子政務(wù)安全防護(hù)體系包括安全管理體系、安全技術(shù)體系、安全組織體系和安全基礎(chǔ)設(shè)施，涉及從管理到組織，從網(wǎng)絡(luò)到數(shù)據(jù)，從法規(guī)標(biāo)準(zhǔn)到基礎(chǔ)設(shè)施等各個(gè)方面。

二、政府網(wǎng)絡(luò)安全所面臨的挑戰(zhàn)

在電子政務(wù)建設(shè)中，安全問題的產(chǎn)生固然有許多因素，但歸納起來，不外乎表現(xiàn)為7種形式：網(wǎng)絡(luò)黑客入侵和犯罪、網(wǎng)絡(luò)病毒泛濫和蔓延、信息間諜的潛入和竊密、網(wǎng)絡(luò)黑客的攻擊和破壞、內(nèi)部人員的違規(guī)和違法操作、網(wǎng)絡(luò)系統(tǒng)的脆弱、信息產(chǎn)品的失控。當(dāng)前絕大多數(shù)的政務(wù)工程中，均是按照分別建設(shè)內(nèi)網(wǎng)、外網(wǎng)和公共網(wǎng)設(shè)計(jì)的，但政務(wù)內(nèi)網(wǎng)、政務(wù)外網(wǎng)、公共服務(wù)網(wǎng)的網(wǎng)絡(luò)環(huán)境，都是采用TCP/IP體系結(jié)構(gòu)而建立的，該協(xié)議以開放和自由為基礎(chǔ)，從協(xié)議規(guī)劃、服務(wù)模式、網(wǎng)絡(luò)管理等方面均存在安全性設(shè)計(jì)缺陷，因此，電子政務(wù)信息系統(tǒng)存在著先天的安全隱患。另外，操作系統(tǒng)存在著來自Internet的黑客攻擊和內(nèi)部用戶隨意利用辦公終端與Internet連接，再加上惡意病毒的無規(guī)律性的連續(xù)侵襲，同樣是目前電子政務(wù)安全的主要隱患。信息安全已成為制約電子政務(wù)平臺(tái)建設(shè)的首要因素。

三、建議及解決方案

由以上的分析我們看出，網(wǎng)絡(luò)安全從技術(shù)角度可包括安全的操作系統(tǒng)、應(yīng)用系統(tǒng)、防病毒、防火墻、入侵防御、網(wǎng)絡(luò)監(jiān)控、信息審計(jì)、通信加密等多個(gè)安全組件。而政務(wù)安全系統(tǒng)也應(yīng)遵循以下設(shè)計(jì)原則：（1）標(biāo)準(zhǔn)化原則。政務(wù)系統(tǒng)安全防護(hù)體系設(shè)計(jì)時(shí)必須依據(jù)國(guó)家法規(guī)及標(biāo)準(zhǔn)進(jìn)行設(shè)計(jì)。（2）動(dòng)態(tài)防護(hù)、風(fēng)險(xiǎn)管理原則。信息安全形勢(shì)隨著技術(shù)發(fā)展、環(huán)境的變化而變化，對(duì)信息安全風(fēng)險(xiǎn)要進(jìn)行持續(xù)跟蹤，實(shí)現(xiàn)風(fēng)險(xiǎn)管理。（3）分級(jí)分域、強(qiáng)化邊界的原則。對(duì)政務(wù)信息系統(tǒng)進(jìn)行等級(jí)劃分，構(gòu)建安全域，通過加強(qiáng)安 全域邊界的防護(hù)實(shí)現(xiàn)最大范圍的防護(hù)。（4）全面防護(hù)、突出重點(diǎn)原則。政務(wù)信息安全防護(hù)要注意管理、技術(shù)和運(yùn)行中各個(gè)環(huán)節(jié)的內(nèi)容，確保防護(hù)工作中沒有短板效應(yīng)。同時(shí)要抓住風(fēng)險(xiǎn)產(chǎn)生的關(guān)鍵因素，消除安全隱患。（5）易操作性原則。安全措施需要人來完成，如果措施過于復(fù)雜，對(duì)人的要求過高，將導(dǎo)致易用性降低，本身就降低了安全性，因此要充分考慮安全與易用之間的平衡進(jìn)行論證與設(shè)計(jì)。但任何一個(gè)單獨(dú)的組件是無法確保信息網(wǎng)絡(luò)的安全性，網(wǎng)絡(luò)的安全是一項(xiàng)動(dòng)態(tài)的、整體的系統(tǒng)工程。所以這就要 求一個(gè)優(yōu)秀的解決方案，必須是全方位的、立體的。而一個(gè)安全的政務(wù)網(wǎng)絡(luò)安全方案的設(shè)計(jì)目標(biāo)，就是幫助政務(wù)信息網(wǎng)絡(luò)真正實(shí)現(xiàn)按入可控、角色可控、狀態(tài)可控、運(yùn)行可控、應(yīng)用可控和交互可控。對(duì)于政府而言，構(gòu)建一個(gè)安全網(wǎng)絡(luò)環(huán)境的重要性不言而喻，可以從網(wǎng)絡(luò)安全、系統(tǒng)安全、訪問安全、應(yīng)用安全、內(nèi)容安全、管理安全幾個(gè)方面綜合考慮。

（一）網(wǎng)絡(luò)安全問題 網(wǎng)絡(luò)安全問題由以下3個(gè)系統(tǒng)共同解決：

1、防火墻系統(tǒng)：如同大門一樣阻斷來自外部的威脅。防火墻是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的惟一出入口，防止外部的非法入侵，能根據(jù)政務(wù)網(wǎng)絡(luò)的安全政策控制（允許、拒絕、監(jiān)測(cè)）。

2、VPN系統(tǒng)：如同隱蔽通道一樣防止外人進(jìn)入，起到了防止外部攻擊、加密傳輸數(shù)據(jù)等作用，構(gòu)成一個(gè)相對(duì)穩(wěn)固獨(dú)立的安全系統(tǒng)。

3、入侵防御系統(tǒng)：IPS位于防火墻和網(wǎng)絡(luò)的設(shè)備之間。如果檢測(cè)到攻擊，IPS會(huì)在這種攻擊擴(kuò)散到網(wǎng)絡(luò)的其他地方之前阻止這個(gè)惡意的通信。

（二）系統(tǒng)安全問題

系統(tǒng)安全問題由以下兩個(gè)系統(tǒng)共同解決：

1、入侵監(jiān)測(cè)系統(tǒng)：如同警衛(wèi)一樣發(fā)現(xiàn)阻擋危險(xiǎn)情況，為網(wǎng)絡(luò)安全提供實(shí)時(shí)的入侵檢測(cè)及采取相應(yīng)的防護(hù)手段，如記錄證據(jù)用于跟蹤、恢復(fù)、斷開網(wǎng)絡(luò)連接等。

2、漏洞掃描系統(tǒng)：定期檢查內(nèi)部網(wǎng)絡(luò)和系統(tǒng)的安全隱患，并進(jìn)行修補(bǔ)。

（三）訪問安全問題訪問安全問題由身份認(rèn)證系統(tǒng)解決。它對(duì)網(wǎng)絡(luò)用戶的身份進(jìn)行認(rèn)證，保證內(nèi)部任何訪問的合法性。

（四）應(yīng)用安全問題

應(yīng)用安全問題由以下3個(gè)方面共同解決：

1、主機(jī)監(jiān)控與審計(jì)系統(tǒng)：相當(dāng)于計(jì)算機(jī)管理員，可以控制不同用戶對(duì)主機(jī)的使用權(quán)限。加強(qiáng)主機(jī)本身的安全，對(duì)主機(jī)進(jìn)行安全監(jiān)督。

2、服務(wù)器群組防護(hù)系統(tǒng)：服務(wù)器群組保護(hù)系統(tǒng)為服務(wù)器群組提供全方位訪問控制何入侵檢測(cè)，嚴(yán)密監(jiān)視服務(wù)器的訪問及運(yùn)行情況，保障內(nèi)部數(shù)據(jù)資源的安全。3）防病毒系統(tǒng)：對(duì)網(wǎng)絡(luò)進(jìn)行全方位病毒保護(hù)。

（五）內(nèi)容安全問題

內(nèi)容安全問題由信息審計(jì)系統(tǒng)解決。它如同攝像機(jī)一樣記錄人員的各種行為。網(wǎng)絡(luò)中的通信數(shù)據(jù)，按照設(shè)定規(guī)則對(duì)數(shù)據(jù)進(jìn)行還原、實(shí)時(shí)掃描、實(shí)時(shí)阻斷等，最大限度地提供對(duì)企業(yè)敏感信息的保護(hù)。

（六）管理安全問題

管理安全問題由可視化網(wǎng)絡(luò)運(yùn)行監(jiān)管系統(tǒng)解決。它對(duì)整個(gè)網(wǎng)絡(luò)和單個(gè)主機(jī)的運(yùn)行狀況進(jìn)行監(jiān)測(cè)分析，實(shí)現(xiàn)全方位的網(wǎng)絡(luò)流量統(tǒng)計(jì)、蠕蟲后門監(jiān)測(cè)定位、報(bào)警、自動(dòng)生成 拓?fù)涞裙δ堋?/p>

四、結(jié)論

一個(gè)全方位的計(jì)算機(jī)網(wǎng)絡(luò)安全體系結(jié)構(gòu)應(yīng)以安全策略為核心，采用各種安全機(jī)制如物理安全、訪問控制安全、系統(tǒng)安全、用戶安全、信息加密、安全傳輸和管理安全等。應(yīng)充分利用各種先進(jìn)的主機(jī)安全技術(shù)、身份認(rèn)證技術(shù)、訪問控制技術(shù)、密碼技術(shù)、防火墻技術(shù)、安全審計(jì)技術(shù)、安全管理技術(shù)、系統(tǒng)漏洞檢測(cè)技術(shù)、黑客跟蹤技術(shù)，在攻擊者和受保護(hù)的資源問建立多道嚴(yán)密的安全防線，增加審核信息的數(shù)量，增大惡意攻擊的難度，使系統(tǒng)安全系數(shù)得到最大提高。

需要注意的，目前我國(guó)無論是關(guān)鍵技術(shù)、經(jīng)營(yíng)管理還是生產(chǎn)規(guī)模、服務(wù)觀念，都不具備力量在短時(shí)間內(nèi)使國(guó)產(chǎn)信息產(chǎn)品占領(lǐng)國(guó)內(nèi)的信息安全產(chǎn)品主要市場(chǎng)。國(guó)家要集中人力、物力，制訂相關(guān)政策，大力發(fā)展自主知識(shí)產(chǎn)權(quán)的計(jì)算機(jī)芯片、操作系統(tǒng)等信息安全技術(shù)產(chǎn)品，以確保關(guān)鍵政府部門的信息系統(tǒng)的網(wǎng)絡(luò)安全。在安全技術(shù)方面，應(yīng)該加強(qiáng)核心技術(shù)的自主研發(fā)，并盡快使之產(chǎn)品化和產(chǎn)業(yè)化，尤其是操作系統(tǒng)技術(shù)和計(jì)算機(jī)芯片技術(shù)?，F(xiàn)階段中國(guó)各級(jí)政府部門目前所選用的高端軟硬件平臺(tái)，基本上都是國(guó)外公司的產(chǎn)品，這也對(duì)政務(wù)安全帶來了許多隱患。因此，在構(gòu)建電子政務(wù)系統(tǒng)的時(shí)候，在可能的情況下，我們應(yīng)盡量選用自主創(chuàng)新的，掌握核心技術(shù)的國(guó)產(chǎn)技術(shù)和產(chǎn)品。

（作者單位：襄陽(yáng)職業(yè)技術(shù)學(xué)院）