电子政务安全风险分析及对策

李东

摘 要 随着计算机技术和通信技术的飞速发展，信息化的浪潮席卷全球，无论是企事业单位还是政府机构越来越多的传统事务向网络化转变。信息技术的发展，互联网的普及，同时也带来了一系列的安全问题，电子政务涉及对国家秘密信息和高敏感度核心政务的保护，安全问题成为电子政务平台建设系统建设重点考虑的环节。

关键词 电子政务 安全 对策

一、政府信息化现状

以信息化带动工业化，加快国民经济结构的战略性调整，实现社会生产力的跨越式发展，是电子政务建设的首要任务。以推进政府信息公开为目标的电子政务建设成为今后一个时期我国信息化工作的重点。

我国信息化建设取得了很大成绩，信息产业发展成为重要的支柱产业。从我国现代化建设的全局来看，建设电子政务系统，构筑政府网络平台，形成连接中央到地方的政府业务信息系统，实现政府网上信息交换、信息发布和信息 服务是我国信息化建设重点发展目标。我国电于政务建设指导意见提出当前要以“两网一站四库十二系统”为目标的电子政务建设要求，目的是加强政府监管、提高政府效率、推进政府高效服务。“两网一站四库十二系统”的内容是：“两网”指政务内网和政务外网两个基础平台；“一站”指政府门户网站；“四库”指人口信息数据库、法人单位信息数据库、自然资源和空间地理信息数据库以及宏观经济信息数据库；“十二系统”大体可分为3个层次：办公业务资源系统和宏观经济管理系统，将在决策、稳定经济环境方面起主要 作用；金税、金关、金财、金融监管（银行、证监和保 监）和金审共5个系统主要服务于政府收支的监管；金盾、金保（社会保障）、金农、金水（水利）和金质（市场监管）共5个系统则重点保障社会稳定的国民经济发展的持续。

电子政务使政府社会服务职能得到最大程度的发挥，但也使政府敏感信息暴露在无孔不入的网络威胁面前。要趋利避害，电子政务安全防护体系的构建至关重要。电子政务安全防护体系包括安全管理体系、安全技术体系、安全组织体系和安全基础设施，涉及从管理到组织，从网络到数据，从法规标准到基础设施等各个方面。

二、政府网络安全所面临的挑战

在电子政务建设中，安全问题的产生固然有许多因素，但归纳起来，不外乎表现为7种形式：网络黑客入侵和犯罪、网络病毒泛滥和蔓延、信息间谍的潜入和窃密、网络黑客的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱、信息产品的失控。当前绝大多数的政务工程中，均是按照分别建设内网、外网和公共网设计的，但政务内网、政务外网、公共服务网的网络环境，都是采用TCP/IP体系结构而建立的，该协议以开放和自由为基础，从协议规划、服务模式、网络管理等方面均存在安全性设计缺陷，因此，电子政务信息系统存在着先天的安全隐患。另外，操作系统存在着来自Internet的黑客攻击和内部用户随意利用办公终端与Internet连接，再加上恶意病毒的无规律性的连续侵袭，同样是目前电子政务安全的主要隐患。信息安全已成为制约电子政务平台建设的首要因素。

三、建议及解决方案

由以上的分析我们看出，网络安全从技术角度可包括安全的操作系统、应用系统、防病毒、防火墙、入侵防御、网络监控、信息审计、通信加密等多个安全组件。而政务安全系统也应遵循以下设计原则：（1）标准化原则。政务系统安全防护体系设计时必须依据国家法规及标准进行设计。（2）动态防护、风险管理原则。信息安全形势随着技术发展、环境的变化而变化，对信息安全风险要进行持续跟踪，实现风险管理。（3）分级分域、强化边界的原则。对政务信息系统进行等级划分，构建安全域，通过加强安 全域边界的防护实现最大范围的防护。（4）全面防护、突出重点原则。政务信息安全防护要注意管理、技术和运行中各个环节的内容，确保防护工作中没有短板效应。同时要抓住风险产生的关键因素，消除安全隐患。（5）易操作性原则。安全措施需要人来完成，如果措施过于复杂，对人的要求过高，将导致易用性降低，本身就降低了安全性，因此要充分考虑安全与易用之间的平衡进行论证与设计。但任何一个单独的组件是无法确保信息网络的安全性，网络的安全是一项动态的、整体的系统工程。所以这就要 求一个优秀的解决方案，必须是全方位的、立体的。而一个安全的政务网络安全方案的设计目标，就是帮助政务信息网络真正实现按入可控、角色可控、状态可控、运行可控、应用可控和交互可控。对于政府而言，构建一个安全网络环境的重要性不言而喻，可以从网络安全、系统安全、访问安全、应用安全、内容安全、管理安全几个方面综合考虑。

（一）网络安全问题 网络安全问题由以下3个系统共同解决：

1、防火墙系统：如同大门一样阻断来自外部的威胁。防火墙是不同网络或网络安全域之间信息的惟一出入口，防止外部的非法入侵，能根据政务网络的安全政策控制（允许、拒绝、监测）。

2、VPN系统：如同隐蔽通道一样防止外人进入，起到了防止外部攻击、加密传输数据等作用，构成一个相对稳固独立的安全系统。

3、入侵防御系统：IPS位于防火墙和网络的设备之间。如果检测到攻击，IPS会在这种攻击扩散到网络的其他地方之前阻止这个恶意的通信。

（二）系统安全问题

系统安全问题由以下两个系统共同解决：

1、入侵监测系统：如同警卫一样发现阻挡危险情况，为网络安全提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪、恢复、断开网络连接等。

2、漏洞扫描系统：定期检查内部网络和系统的安全隐患，并进行修补。

（三）访问安全问题访问安全问题由身份认证系统解决。它对网络用户的身份进行认证，保证内部任何访问的合法性。

（四）应用安全问题

应用安全问题由以下3个方面共同解决：

1、主机监控与审计系统：相当于计算机管理员，可以控制不同用户对主机的使用权限。加强主机本身的安全，对主机进行安全监督。

2、服务器群组防护系统：服务器群组保护系统为服务器群组提供全方位访问控制何入侵检测，严密监视服务器的访问及运行情况，保障内部数据资源的安全。3）防病毒系统：对网络进行全方位病毒保护。

（五）内容安全问题

内容安全问题由信息审计系统解决。它如同摄像机一样记录人员的各种行为。网络中的通信数据，按照设定规则对数据进行还原、实时扫描、实时阻断等，最大限度地提供对企业敏感信息的保护。

（六）管理安全问题

管理安全问题由可视化网络运行监管系统解决。它对整个网络和单个主机的运行状况进行监测分析，实现全方位的网络流量统计、蠕虫后门监测定位、报警、自动生成 拓扑等功能。

四、结论

一个全方位的计算机网络安全体系结构应以安全策略为核心，采用各种安全机制如物理安全、访问控制安全、系统安全、用户安全、信息加密、安全传输和管理安全等。应充分利用各种先进的主机安全技术、身份认证技术、访问控制技术、密码技术、防火墙技术、安全审计技术、安全管理技术、系统漏洞检测技术、黑客跟踪技术，在攻击者和受保护的资源问建立多道严密的安全防线，增加审核信息的数量，增大恶意攻击的难度，使系统安全系数得到最大提高。

需要注意的，目前我国无论是关键技术、经营管理还是生产规模、服务观念，都不具备力量在短时间内使国产信息产品占领国内的信息安全产品主要市场。国家要集中人力、物力，制订相关政策，大力发展自主知识产权的计算机芯片、操作系统等信息安全技术产品，以确保关键政府部门的信息系统的网络安全。在安全技术方面，应该加强核心技术的自主研发，并尽快使之产品化和产业化，尤其是操作系统技术和计算机芯片技术。现阶段中国各级政府部门目前所选用的高端软硬件平台，基本上都是国外公司的产品，这也对政务安全带来了许多隐患。因此，在构建电子政务系统的时候，在可能的情况下，我们应尽量选用自主创新的，掌握核心技术的国产技术和产品。

（作者单位：襄阳职业技术学院）