电子政务的安全风险范文

导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇电子政务的安全风险范例，将为您的写作提供有力的支持和灵感！

篇1

中图分类号：TP393.08 文献标志码：A 文章编号：1006-8228（2016）11-38-03

Analysis of information security risk assessment in E-government

Liu Feifei

（Department of Information， Business College of Shanxi University， Taiyuan， Shanxi 030031， China）

Abstract： In view of the security risk assessment in E-government system， the current situation of E-government system and the related concepts of information security risk assessment are introduced； The characteristics of risk assessment methods are analyzed， including OCTAVE method， SSE-CMM method and adaptive method being commonly used in E-government system； And the problems that need to be solved are discussed in order to provide reference for the security risk assessment of E-government.

Key words： E-government； security risk assessment； OCTAVE； adaptive method

0 引言

随着计算机与网络技术的飞速发展，我国各行各业信息化程度提高，电子政务也不例外。电子政务系统能够及时、动态地对信息进行更新，有利于政府信息的公开与共享；同时，建立一个良好的业务服务平台和信息互动平台，可以确保信息和服务的实效性，提高政府服务的效率和质量。电子政务系统涉及政府敏感或秘密信息，系统的稳定性与安全性成为政府工作的必要保障。电子政务系统安全是一项系统工程，传统的信息安全技术及设备不能带来真正的安全，因此，对系统进行各阶段的信息安全风险评估和管理是十分必要的。

1 电子政务系统现状

1.1 网络基本结构

电子政务是一个面向政府职能部门、企业以及民众的复杂的多层次的服务系统，其结构如图1所示[1]。内网是政府内部日常办公网络，实现内部信息的交流与处理，如文件传送、邮件收发等；专网主要用于实现政府内辖的职能部门之间的信息的互通，用以协作完成相关的项目申请、审批等主管业务；外网也指公众信息网是面向社会民众提供信息和服务的综合性网站，可以帮助公众了解最新的政策动态，提供网络服务等；信息库，为三网服务提供数据和所需的资源。

1.2 系统安全风险

电子政务系统网络结构复杂，业务繁多，数据机密性高，同时具有很大的开放性，所以势必面临各型各色的安全风险。主要体现在以下几个方面。

⑴ 物理安全风险

由环境（如水灾、火灾、湿度等）或系统自身物理特性（如设备线路老化、电磁泄漏干扰等）引起的系统不可用的风险。物理安全是系统安全的前提和保障，应做好相关的隔离与保护工作。

⑵ 网络安全风险

网络结构规划或安全部署不合理会带来来自内部和外部的安全缺陷；路由器、三层交换机、网关等网络设备自身配置及安全存在漏洞，会影响系统的安全性；另外，网络中使用的互连、路由协议的不健全，也会给网络带来安全威胁。

⑶ 管理安全风险

管理是防范网络内部攻击的主要手段，是电子政务网络安全的不可或缺的一部分。目前，管理和监管机制还不健全，不规范，缺乏可操作性，都会引起不可避免的安全风险。

2 信息安全风险评估概述

依据国际或国内的标准，使用相关的方法技术，标识系统中的核心资产及业务，识别存在的安全威胁及脆弱性，估算安全事件发生的可能性及带来的损失，同时，制定安全防护加固策略，这就是信息安全风险评估。其中风险分析计算是关键，计算原理如图2所示[2]。

常见的风险分析的方法有定量分析和定性分析。定量分析利用财务评估等手段来测算核心资产的实际价值，使用可量化的数值来估算系统的损失及风险等级，评估结果直观有效，但是资产价值的核算和风险计算复杂；常用的定量分析有决策树、聚类分析等[3]。定性分析通常依据评估者的知识经验，采用文字或假定的数值范围来评定风险等级，主观性强，结论不够严密；典型的分析方法有：德尔菲法、历史比较法等。通常会在定性分析的基础上，结合使用定量分析来实施风险的分析评估，如层次分析、概率分析等。

3 电子政务系统风险评估方法

目前，电子政务系统风险评估的方法主要有：OCTAVE方法、SSE-CMM方法及基于免疫的自适应法。

3.1 OCTAVE评估方法

OCTAVE（Operationally Critical Asset and Vulnerability Evaluation）可操作的关键资产、威胁评估法，它遵循自主的原则，从被评估组织中选调业务及信息技术人员组建团队，以定性分析为主，提供一个可操作的、规范的技术框架[4]。它围绕关键资产进行评估，评估人员要充分认识关键资产、资产所受威胁及系统存在脆弱性之间的关系。OCTAVE方法实施过程如图3所示。首先，组建评估团队，标识关键资产及存在威胁；其次，标识与关键资产相关的子系统及组件存在的脆弱性；最后，进行风险分析计算，确定风险等级，制定防护策略计划。

OCTAVE法从组织内部调配人员参与评估，会使得评估的内容更加全面，更具有可操作性，不同的组织根据自身的需求，可以通过多种不同的形式来实践执行。但是它依赖人为因素，只能粗略评估系统可能遭受的风险。

3.2 SSE-CMM评估方法

SSE-CMM（Systems Security Engineering Capability Maturity Model）系统工程能力成熟度模型，在安全工程中，针对不同的安全目标，定义了相应的模块化过程，并能够对组织执行特定过程的能力做出量化的评定，从而帮助寻找实现最终目标的最优途径。它将信息系统的安全过程分为3个模块化过程，通过11个过程域PA（Process Area）和5个能力成熟度级别来描述：风险评估过程，分析安全系统中存在的威胁；工程实施过程，利用相关措施解决/处理威胁可能带来的问题；信任度评估过程，评估执行者解决问题的能力。为了实现风险评估过程目标，SSE-CMM法定义了威胁评估、脆弱性评估、事件影响评估及系统风险评估等四个子过程。

SSE-CMM法指出了系统安全评估过程中的关键过程及必需的基本实施，同时能够量化评定每个过程的可行性，削弱了评估中的主观性；但是其没有规定过程的执行流程和步骤，可操作性差。

3.3 自适应评估方法

自适应评估法的关键在于系统的安全“免疫”子系统（也就是系统中的实时安全监控系统），它要求“免疫”系统能够区分无害的自体和有害的非自体，并能够根据需要及时地清理系统中的非自体；同时可以根据“免疫”系统受到的破坏实时动态地进行风险评估，实施防护。它要在“免疫”系统中定义“免疫”细胞，当出现黑客攻击、病毒等外来威胁时，“免疫”系统就会根据受侵害的程度发生动态变化，做出具体的响应，如禁止服务、关闭端口、关机等。另外，如果系统中的任意一台主机被攻击，都会迅速通知其他主机，使整个系统的安全得到最大的保障。

自适应风险评估法可以快速地识别系统中现有的风险，实施实时防护，并动态调整防护系统，更好地提高系统的安全性，是未来的发展趋势。但是它的实施难度较大，系统成本较高。

电子政务系统风险评估是一项复杂的大工程，一般采用可操作性较强的OCTAVE方法，但是OCTAVE方法是定性分析的，主观性较强，评估结果较为粗略。所以，在实际的评估过程中经常将层次分析、模糊数学、熵理论、D-S证据理论及BP神经网络等应用到OCTAVE方法中，来降低对于人为主观性的依赖，优化评估的结果[5]。

4 结束语

伴随各种移动电子政务业务的出现，使得电子政务系统的安全形势更加严峻，针对电子政务系统开展信息安全风险评估，我们可以发现，系统在建设、实施和运行过程中存在的威胁、脆弱性及风险，而部署防护及加固安全策略，可以为电子政务提供安全可靠的网络环境。

目前，电子政务系统信息安全风险评估还需要在以下方面加强研究：适应电子政务行业需求的风险评估方法及模型的研究；适用于风险评估不同阶段的自动化评估工具的开发；动态风险评估方法的设计与应用。

参考文献（References）：

[1] 李煜川.电子政务系统信息安全风险评估研究―以数字档案

馆为例[D].苏州大学硕士学位论文，2011.

[2] 唐作其，陈选文，戴海涛，郭峰.多属性群决策理论信息安全风

险评估方法研究[J].计算机工程与应用，2011.47（15）：104-107

[3] 李增鹏，马春光，李迎涛.基于层次分析信息系统风险评

估[J].理论研究，2014.3：80-86

[4] 赵磊.电子政务网络风险评估与安全控制[D].上海交通大学

篇2

0引言

随着电子政务不断推进，社会各阶层对电子政务的依赖程度越来越高，信息安全的重要性日益突出，在电子政务的信息安全管理问题中，基于现实特点的电子政务信息安全体系设计和风险评估[1]模型是突出的热点和难点问题。本文试图就这两个问题给出分析和建议。

1电子政务信息安全的总体要求

随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：

1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。

1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。

1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。

1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。

2电子政务信息安全体系模型设计

完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略

在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：

2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。

2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。

2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。

2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。

安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。

3电子政务信息安全管理体系中的风险评估

电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。

3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。

3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。

电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。

在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。

4结语

电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。

参考文献：

篇3

1 电子政务网络安全概述

1.1 电子政务网络安全发展现状

随着因特网的迅猛发展，我国信息网络技术进入了日益月异的发展阶段，并得以广泛应用。但因特网具有高度的开放性以及自由性，为应用创造极大便利的同时也对其安全性提出了更为严格的要求。现如今，电子政务网络安全问题日益突出，甚至在一定程度上阻碍了我国电子政务建设事业的健康发展，通过何种方式来提升电子政务网络的安全性己然成为亟待解决的问题。

1.2 做好电子政务网络安全风险防范工作的意义

对于整个信息网络而言，电子政务是其中一个比较特殊的应用领域，涉及海量的需要严格保护的信息，相较一般电子商务，其表现出下述特点：首先，信息内容保密等级高；其次，在一定程度上影响甚至决定了行政监督力度；最后，通过网络能够为公众提供高质量的公共服务。电子政务网络一旦遇到安全风险，有可能导致重要信息丢失甚至暴露，带来难以估量的损失，也正因如此，电子政务网络也是信息间谍的首要攻击目标之一。由此可见，政府部门重视和做好电子政务网络安全风险防范工作，对于本部门的高效运行具有相当积极的现实意义。

2 电子政务网络安全风险分析

2.1 物理层风险分析

对于电子政务网络而言，物理层安全是其整体安全的基础。物理层风险主要包括：地震、洪水以及火灾等导致网络瘫痪甚至毁灭；电源故障导致断电、操作系统异常；设备失窃、损毁导致数据丢失甚至泄露；报警系统存在漏洞等。

2.2 数据链路层风险分析

入侵者可能会以传输线路为突破口，在上面设置窃听设备以达成窃取数据的目的，然后再借助相应技术解读数据，还可能会对数据进行一定的篡改。此类风险因素会给电子政务网络安全埋下严重隐患。

2.3 网络层安全风险分析

对电子政务网络所囊括的各个节点而言，其他网络节点均属于外部节点，属于不可信任范畴，均可能导致安全威胁。风险可能源自内部。攻击者借助snifrer之类的嗅探程序来寻找安全漏洞，然后在此基础上对内网发起攻击。风险也可能源自外部，入侵者可能以公开服务器为跳板向内网发起攻击。

2.4 系统层安全风险分析

系统层安全一般是指网络操作系统、计算机数据库、配套应用系统等方面的安全。现阶段的操作系统，其开发商一定会设置相应的BackDoor（后门），另外，系统本身也必然存在若干安全漏洞。无论是“后门”，还是安全漏洞，均会埋下极大的安全隐患。就具体应用而言，系统安全性在很大程度上取决于安全配置，若安全配置不到位，将会为入侵者提供极大便利。

2.5 应用层安全风险分析

随着网络技术的迅速发展，电脑远程控制呈现出简单化的发展趋势，受此影响，病毒、黑客程序有机结合之后往往带来更为严重的危害，而病毒的入侵通常会导致用户重要数据的泄露。病毒能够经由多种途径（如网上下载、邮件发送以及人为投放等）入侵内部网络系统，所以，其危害是相当严重的。在整个网络系统中，即便只有1台主机“中毒”，也会在很短时间里使其他主机受到感染，进而埋下数据泄露等一系列不安全因素。

2.6 管理层安全风险分析

在网络安全中，管理属于核心部位。安全管理体系不完善，未能明确界定权责，极可能导致管理安全风险。当网络受到内部或外部的相关安全威胁时，难以及时且合理地应对，同时也难以对入侵行为进行追踪，换而言之，网络可控性以及可审查性不理想。因而，重视和做好管理层的工作便成了当务之急。

3 电子政务网络安全风险的防范

3.1 物理层风险的防范

使用那些可提供验证授权等功能的产品，对内外网用户进行高效管理，从而避免入侵者在没有授权的情形下对网络内的重要或敏感数据进行窃取和篡改，又或者对服务提供点发动攻击，防止入侵者通过伪用户身份取得授权而导致严重的网络危害。可借助系列路由器、防火墙产品、计算机网络管理平台之间的有机配合，以实现对用户信息（用户名、登录密码、权限）的科学管理，并在此基础上优化服务策略。

3.2 数据链路层风险的防范

对于政府网络应用而言，其不仅涉及大量的内部应用（OA系统、文件共享以及邮件接收等），同时还涉及大量的外部应用（和合作伙伴之间的沟通等）。为实现对远程用户的有效控制，保证内网资源的安全性，可公共网络中开辟出专用网络，从而使得相关数据可以经由安全系数较高的“加密通道”传播。由国家相关要求可知，政府网络可依托既有平台构建属于自己的内部网络，但一定要采用认证以及加密技术，从而确保数据传输拥有足够的安全性。对于单独的VPN网关而言，其核心功能是以IPSec数据包为对象，执行加（解）密以及身份认证处理，若采用该部署方式，防火墙难以对VPN数据予以有效的访问控制，继而带来诸多负面问题。所以，在防火墙安全网关上集成VPN便成了现阶段安全产品的主流发展趋势之一，可以能提供一个集灵活性、高效性以及完整性等诸多优点于一身的安全方案。

3.3 网络层安全风险的防范

在所有网络出口处设置防火墙能够实现对网络的有效隔离，将其划分为若干安全域，从而进行相应的访问控制。以防火墙为工具进行多网口结构设计，如此一来，能够为合法用户提供相关服务，与此同时，将非法用户的访问拒之门外。当防火墙配置了入侵检测这―功能时，便能够以自动检测的方式查找网络数据流中可能的、隐藏的入侵方式，并提醒管理员及时优化控制规则，最终为整个网络提供实时而有效的网络保护。

3.4 系统层安全风险的防范

为实现对操作系统安全的有效保护，建议从下述两点着手：首先，使用具有自主知识产权且向政府提供源代码的那一类产品；其次，以系统为对象，通过漏洞扫描工具进行定期扫描，以便及时发现相关问题。

3.5 应用层安全风险的防范

建议安装高性能的专业防火墙，要求具备下述功能：（1）外部攻击防范；（2）内网安全；（3）流量监控；（4）邮件过滤；（5）网页过滤；（6）应用层过滤等。引入和应用以ASPF为代表的应用状态检测技术，在验证连接状态是否正常的同时，也可实现对异常命令的有效检测。

3.6 管理层安全风险的防范

对于网络安全而言，管理层安全是其核心所在。通过安全管理的有效实施可为各项安全技术的顺利实施提供有力保障，建议从两方面入手：首先，立足本地区以及本部门的实际情况，制定和实施针对性的安全管理规范，充分利用网络，发挥其在信息化建设工作中的重要作用，推动政府部门信息化建设工作的顺利、高效开展；其次，以可能发生的电子政务网络突发事件为对象，制定配套的应急预案，构建健全的应急机制，从而尽可能地消除突发网络事件所带来的负面影响，最终为电子政务网络的高效运行奠定坚实基础。

4 电子政务网络安全体系建设案例

4.1 某市电子政务现状分析

某市现辖三市（县级市）、五县、五区和一百多个基层政务单位。在政府信息化建设的大背景下，该市的市政府行政管理体制正积极向精简化、统一化以及高效化的方向不断发展。现阶段，各级政务单位均结合自身的具体情况构建起了不同形式的、规模大小不一的办公网络，然而在互联方面考虑不足，相互之间形成了所谓的“信息孤岛”，因而构建具有高度统一性质的电子政务外网平台，以保障网络资源的充分共享已然成为当务之急。值得一提的是，各级政务单位在构建自身网络的过程中没有进行统一规划，因而无论是在安全防护上，还是在安全管理上，均存在较明显的欠缺，所以，如何保障电子政务网络安全成了亟需解决的问题。下面将针对其整体解决方案予以进一步探讨。

4.2 整体解决方案

为实现对该市电子政务外网平台的全面、有效保护，应遵循“全网部署、一体安全、简单为本”的原则，为其构建一个一体化的全面安全防护体系，从而最大程度地满足用户的实际需求。

4.2.1 全网部署

在电子政务外网平台体系中，各级政务部门于广域网出口处设置了天清汉马USG一体化安全网关如图1所示，并将集中管理系统设置在了该市的市政府信息中心，能以整个网络体系为对象进行统一化管理。在统一化管理模式下，管理员通过面前的计算机便能够及时了解各级政务部位的网络状态，尤其是各类风险以及威胁，若察觉到局部突发性质的不安全事件，可马上对整个网络的安全策略进行相应调整，然后统一下发，消除网络威胁，减轻不利影响，从而构建一个具有在线监测和高效防护功能的一体化安全风险管理体系。

4.2.2 一体安全

对于天清汉马USG一体化安全网关而言，其优点表现在两大方面，一个是高性能的硬件架构，另一个是一体化的软件设计，集若干项高效的安全技术（防火墙、VPN以及入侵防御等）于一体，还推出了QoS、负载均衡以及日志审计等实用功能，可为网络边界提供及时而强大的安全防护。这便是“一体安全”的重要体现。除此之外，借助集中管理技术能够对系统中的多台计算机同时下发安全管理策略，如此一来，大幅简化了安全策略的具体实施过程。

4.2.3 简单为本

篇4

2 电子政务发展现状以及概念 

2.1 电子政务信息安全保密管理阶段 

目前，可以将我国电子政务中的信息安全保密管理分成三个阶段：（1）实现全自动化办公，应用的工具主要是Office软件以及台式计算机，把原来的手写形式变成了电子输入，使办公操作能够更加快捷和方便；（2）把Internet当做主要客户端，不同用户、不同行业以及不同终端等都可以贯通交互，使信息交换以及资源共用范围可以更加广泛，显著提升了以前的工作效率；（3）以外部网络以及内部网络共同建立的电子政务信息为中心。 

2.2 电子政务具体概念和相应的保密要求 

所谓电子政务就是指国家政府机构通过现代信息技术以及通信功能进行政务信息交流的手段，利用网络技术使管理工作以及服务在这一领域更加深化，从而产生的一种信息交流方式，就是为了优化重组政府内部具体工作流程以及组织结构，使其不再受到时间以及部门和空间的分隔限制，让政府能够有效地和更加诚信地进行行政管理，使管理环节更加精简，为社会提供更加优质、透明、规范、全面的管理以及服务。我国《保密法》是在2010 年重新修订并且正式实施的，其中就进行了规定，以保证国家秘密安全为工作前提，合理应用相应的电子网络信息。和发达国家相比，我国信息产业发展以及信息技术水平还比较落后，虽然有些安全软件可以对电子政务起到一定的防御作用，同时，也必须考虑安全软件所具有的性能是否与电子政务的国情相符。 

3 电子政务信息具体安全保密风险和相应的防范措施 

3.1 网络技术安全所具有的脆弱性 

篇5

一、现状

电子政务建设作为国民经济信息化的重要组成部分，在现阶段对于带动国民经济和社会信息化，提高国民信息化意识，进一步扩大信息化需求，推动信息技术在全社会各个领域的普及应用，都具有十分重要的现实意义。随着对电子政务投资的增加以及应用的深入。信息系统的规划、建设和运行的难度和风险因素剧增。通常，信息化项目都存在高风险，成功率平均只有30％左右，电子政务更不例外，而且相对一般信息化(如企业信息化)项目，电子政务项目更复杂，不确定性更大，经验更少。如果对潜在的困难和风险估计不足，或不能有效化解这些风险，将可能造成损失。因此应充分估计风险和困难，并通过加强全过程的管理来化解电子政务风险，提高项目的成功率。

二、电子政务风险简析

风险是指预期结果偏离期望值的可能性。风险一般可分为外部风险和内部风险。外部风险主要是指与项目本身没有直接关系，但又会影响到项目实施效果的客观因素即环境因素造成的风险；内部风险是指与项目本身直接相关的人或事对项目产生的影响所造成的风险。

(一)外部风险

外部风险作用于项目全过程，充分认识和正确处理外部风险是电子政务项目成功的重要前提。

首先，政策和法律风险是电子政务外部风险的基础性风险。在政策方面，政府可能颁布与为项目提供支持依据的条文产生冲突的法规、文件，或者为项目提供支持依据的条文失效；在法律方面，项目实施单位与政府部门在签订合同时未仔细审核合同条文、明确责权，或在一些涉及技术部分的条文方面存在信息不对称的情况，致使合作双方在许可权、专利等方面发生合同失效、诉讼等情况。

其次，转变和调整的风险，即部门发展战略的改变也会给电子政务带来风险。如果遇到大的人动或者大的政策变化，一个部门的整体战略会因此而受到影响，从而可能会要求电子政务系统的建设发生变化。

再次，领导特别是高层领导主要关注系统的表现，为确保系统表现稳定准确，一些隐蔽工程就可能放在上线后实施。由于需求变化的不可控性，会使项目不能在预期的时间内完成。我们把这样的风险称为进度风险。

最后，自然灾害、电信故障等不可抗力所引起的风险也是电子政务不可忽视的风险。

(二)内部风险

内部风险是可控风险，对电子政务项目能否成功具有决定性作用。按风险的来源分析，内部风险主要包括三个维度：协调性风险，技术性风险，实施与运行风险。

第一，协调性风险。协调性风险是合作主体即电子政务实施单位和政府部门之间的矛盾所造成的。对目标的期望和认识不一致，责任与信息不对称，文化意识差异和沟通矛盾等问题都是这种风险存在的原因。由于国内电子政务建设实践时间不长，加上缺少深入研究和经验不足。难以真正把握其本质和发展规律。一些人简单地认为只有加大信息化投资就可以实现跨越式发展，只有建设业务系统就是信息化，只要实现了网络化、数字化就可以开展电子政务。这种对信息化和电子政务的片面认识，会导致忽视行政改革、盲目建设等问题。系统设计时未充分考虑政府部门间的相互影响，在实施过程中受到其它强力部门以不符合某方面规划等理由而提出系统更改要求；需要多部门配合的系统可能会涉及到某个或某几个部门的既得利益，在建设和推广过程中，项目可能会受到阻挠。实施单位与政府部门之间缺乏有效沟通而造成的理解偏差所引起的风险，实质上是文化意识差异或不同沟通方式矛盾的外在表现。

第二，技术性风险。技术性风险是由对实施方案、软件开发工具和技术的选择及对软件和硬件设备的采购等涉及技术层面的问题所引起的风险。规划是电子政务建设的基础和主要工作，但由于对电子政务认识的局限性以及目前的行政体制和投融资体制等原因，很多项目在没有总体规划的情况下，临时策划并建设，出现了项目目标模糊、贪大求全、急于求成、脱离需求等问题。即使制定了规划，也可能是多个项目的简单罗列，不能切实针对电子政务的阶段要求，结合区域经济社会发展需要，紧密配合行政业务改革，有系统、有层次、有选择地规划电子政务项目。不能统筹各类信息化资源，致使已建成项目的相关性、集成度存在不足，效率低下。另外，系统设计时，对一些问题没有预见，使得设计错误影响项目的实施。开发软件环境没有准备好或与实际环境不同，导致产品无法装载到运行环境，或因为运行环境和产品开发环境的差异，尤其是开发机器与服务器硬件配置存在差异，从而造成部署困难。

由于政府采购需要一定的时间周期，当系统需要上线时必需的设备、软件不能按时到货，采购的产品不能满足系统升级或兼容其他政务平台的要求，或在选择开发工具时没有考虑技术的发展趋势与其它开发工具的协作性，从而导致信息孤岛的出现。项目建设中，涉及到对旧有异构数据和系统的整合时，由于在实施前没有做充分调查，不了解相关技术细节、采用比较成熟和稳定的整合方案，并制定接口规范，使得整合后系统不能正常使用或运行不稳定。

第三，实施与运行风险。人员组合不恰当与变动造成团队涣散，项目审批与监理存在问题，实施与运营没有很好交接，双方的信息沟通不畅等问题，都会影响电子政务的建设与应用。在资金使用方面，由于缺乏对部门资金的有效监督，使得浪费严重，建设成本不断攀升，并出现了不断攀比建设规模的现象；另外，如果没有合理的成本分析，或没有考虑到优化开发或创新管理以减少成本，会使项目缺少后续资金；项目在建设和运行阶段资金被挪用，造成进一步建设和运行困难。电子政务项目的效益主要体现在内部办公效率、对外服务能力等社会效益方面，并且缺少有效的测评指标及办法，因而难以量化考评。由于上述原因，电子政务项目在应用效益、资金使用与控制方面产生了潜在的风险。在建设和实施电子政务的时候，可能会需要再造旧有的政务运作模式，组织架构业绩考评体系。如果不对政务流程进行优化、简化，可能造成已建成的电子政务平台得不到很好应用，甚至完全不能使用。项目组成人员流动比较频繁，交接不顺利或管理不到位，使项目的进度和质量受到影响。开发团队内部或多个开发团队之间沟通与协调不够，导致程序员对系统设计的理解上出现偏差。实施方与政府部门交接时，开发人员与维护人员没有全而细致的工作沟通，造成一定时期内的维护困难。当电子政务平台进入使用阶段后，不少项目存在稳定性、安全性、可靠性等方面的不足，随着部分业务广泛且深度地利用信息系统，系统的任何不稳定、不安全、不可靠运行，都可能造成损失。对信息资源没有有效开发，对政务信息没有

按照信息标准的要求或不及时，都会造成不良影响。在电子政务建设中。由于资金规模膨胀对部门有利，且缺少项目评价办法，造成项目评价越来越模糊，责任无从分清，更无法追究。结果，电子政务项目规模越来越大，而效益问题却越来越模糊。这种“大投入、软约束、轻责任”，权利和责任不对称的情况将进一步增加电子政务建设的风险。

三、应对措施

(一)主管部门应加强宣传，使政府部门工作人员树立“用电子、重政务”的观念，对电子政务的本质有准确把握，明白在电子政务中，电子是工具，政务是目的。在选择电子政务方案时，要以“重政务”的态度，采用效果评估的方式，对到底要通过电子政务压缩多少流程，提高多少服务以及如何调整下属各部门的职能等方面进行摸底，认真分析。

(二)将电子政务曲建设和实施制度化、流程化。建立项目沟通机制，做好电子政务项目的前期咨询工作，对项目做专业的前期评估，认真分析功能需求及经费需求。电子政务主要是政府的事情，要充分发挥政府在电子政务项目建设过程中的积极作用。

(三)制定严密的操作程序，确定项目审核标准，加强监理。规范采购行为，对实施企业的选择实行透明化操作，鼓励竞争，提高财政资金的使用效率。

篇6

国的政府信息化起步于20世纪80年代，期间经历了办公自动化建、政府上网、以及新近兴起的电子政务（Electronic Government）建设。如今电子政务系统的基本类型已逐渐固定，大致可分为四种：政府内部办公自动化系统（Office Automation，OA）、政府与政府之间的政务协作系统（Government To Government，G2G）、政府与企业间服务系统（Government To Business，G2B）以及政府与公民之间的服务系统（Government To Citizen，G2C）。电子政务系统的电子文件管理核心及数据管理，对各种信息进行收集、整理、储存、检索和输出。伴随计算机技术的迅猛发展以及计算机在文件管理中的广泛应用，电子政务也取得飞速发展，并将逐步成为机关起草、签署、公文的平台。当下经济和信息全球化，电子政务的水平已经成为衡量国家竞争力和综合国力的显著标志之一。在电子政务系统中的电子文件管理涉及的风险包括网络风险、管理风险、信息风险、设备风险。

一、电子政务系统中电子文件风险的特点

一是具有潜伏期。电子政务系统中电子文件风险的后果不是立即显现出来的，有些甚至不能被识别，但是一段时间之后，一旦后果显现出来，就可能对社会甚至国家造成极其严重的不良后果。二是具有连锁效应性。电子政务系统中电子文件风险的后果首先表现为“基本风险”，也就是文件本身的质量缺损，如不完整、不可读等。文件的不完整通常会直接导致文件的不可读，即无法正常输出，或者输出结果出错，那么该文件的存在已经没有任何实际意义了。三是具有继承性。每份电子文件都会经过制作、接收、传输、保存等几个相互关联的阶段，而且每一个阶段都存在被损坏、泄露等风险。电子文件在前期阶段受到的风险会在后续阶段累积并体现出来。四是具有无法弥补性。电子文件在制作阶段遭受的一些风险还可以弥补。

二、影响电子文件信息安全的因素

（1）技术漏洞。技术漏洞主要表现在以下几个方面：一是软件问题：在电子政务系统中，电子文件的管理软件决定了电子文件的写入、读取、复制、保存、删除等操作，可以说，管理软件对于电子政务系统中电子文件的管理至关重要。管理软件需要满足以下几个方面：首先要有较高的信息处理能力，满足政府工作的高效要求；在此基础上，还要保证安全性，电子政务是为政府工作服务的，其内容涉及公众、社会、经济、文化、军事的方方面面，如果管理软件存在漏洞，相关内容泄露或被不法分子窃取，后果甚至威胁到国家安全。事实上，很多管理软件确实存在诸多漏洞。二是通信网络的问题：一般情况下，通信线路由专线、电话线、微波、无线系统或光缆构成。造成通信网络故障的原因包括自然灾害、人为破坏、偶然事件等。通信网的抗毁性是指当通信网络受到物理破坏、电子战和NBC(核、生物、化学)威胁时，仍然能完成特定功能的能力。无线通信易遭截获。并且网络规模越大，通信线路越长，存在的风险也就越大。（2）人为因素。人为因素包括以下三种：一是有意的破坏。一般能够有意破坏的都是内部对情况比较了解的人员，此类破坏影响较大，后果较严重。二是管理水平落后。网络技术发展一日千里，传统业务改造、新业务开展等都对电子政务系统的风险防范提出了更高的要求。目前，我们用于电子政务系统的操作系统和管理软件均是国外产品，许多关键技术还没有被国人掌握。一旦出现特殊情况，为了各自国家的利益，黑客攻击可能上升为国家间的一种战争行为，后果不堪设想。（3）硬件因素。和计算机软件一样，计算机硬件同样存在漏洞，并且给网络信息安全带来巨大隐患，由于计算机硬件漏洞很容易被人们忽视，故其造成的安全隐患往往比软件造成的安全隐患攻击性更强、更加难以监测和消除。硬件设计的复杂性远远超过软件设计，其本身由于生产工艺和设计水平的原因就会存在缺陷和不足，如果再被不法分子在芯片中注入恶意逻辑，其安全隐患就更大。另外，计算机防火墙等安全手段是基于一定的硬件设备的，如果硬件设备本身就存在安全隐患，防火墙就无从谈起。（4）法律漏洞。到目前为止，虽然已经先后出台了一些法律法规，但是我国关于电子政务的立法还处于探索阶段。已经出台的法律法规主要是四类：计算机法，主要涉及计算机系统安全和保密；互联网法。主要针对国际互联网的接入、设施、经营；信息法，主要关于政府信息化；政务公开法，主要规定政府有关业务流程和政策制定、执行和结果公开。总的来说，现有法律法规的法律效力层次低，处于“无纲领性立法、无确定性立法规制、无有效的立法评价及监督机制”的三无状态。

三、电子文件的风险防范

电子政务系统中的文件管理风险防范既包括电子政务系统作为信息系统的风险防范，还包括电子文件管理本身的风险防范。其中，信息系统的风险防范是电子文件管理风险防范的根本，是电子政务系统安全保障的基础。一是技术安全措施。密码技术，是实现所有安全服务的重要基础。为了使得系统中的两方进行的通信活动被保密，就需要保护一个文件使得一个限制的用户集可以阅读它，而其余用户团体不可以阅读。解密密匙存放在可信的密匙服务器中。任何用户有权从服务器申请密匙，但要在认证了申请用户并且检查了访问控制陈述后，才为允许具有密匙的用户提供密匙。设定登录限制、使用文件权限等，在一定范围内保护服务器文件和数据。要预防病毒，安装防毒软件。二是制度措施。培养一支掌握现代化信息技术、能熟练运用计算机及现代化通信设备的人才队伍。制定严格的规章制度，对于接触或可能接触电子文件尤其是机密级电子文件的人员严格要求。三是法律措施。近年，英国、加拿大、韩国等相继开展了有关文件管理和档案管理的立法工作，其共同特点是将电子文件管理纳入整体框架。应由多部门联合制定电子文件管理法，在法律中明确规档案管理各相关部门的职责，对电子文件的软硬件设施进行统一，依法管理。并且档案管理部门制定完善的电子文件管理制度，依制度办事，使整个电子文件全过程做到制度化、规范化、标准化。四是文档一体化措施。文档一体化的目的是按照文件生成和运行规律，统一组织文件各阶段的管理工作。采用通用的管理软件，使用畅通的网络通道。在电子文件真个生命周期中能够提前进行的一律提前到生命周期的最前端。如果是一般性的电子文件，应将其转换成各种平台都能使用的文本文件格式，消除技术演变带来的影响。如果是特殊格式的电子文件，应在储存该文件的同时存有相应的浏览软件。五是电子文件和纸质文件并存措施。要建立一个“通道”，实现纸质文件和电子文件的“双套制”保存。由于电子文件存在对软、硬件具有依赖性、其通用性尚无定论、载体的保管寿命还没有经过实践检验等缺点，电子文件和纸质文件并存十分必要。尤其是需要永久保存的文件，必须保存一套完整的纸质文件。

虽然我国信息建设起步较晚，但目前发展势头很猛。加快电子政务建设步伐，有利于用信息技术改造传统的政府治理，改善政府公关服务，提高服务质量，实现资源共享，大大降低行政成本。只有抓好电子政务，才能适应时代的步伐，紧跟世界发展形势，推进国民经济。电子政务系统中存在大量机密级文件，如果其安全不能得到保障，就会威胁社会乃至整个国家的利益，甚至国家安全。电子政务系统的电子文件安全是制约电子政务建设与发展的核心问题。只有正确认识电子政务系统中电子文件风险的形成，从多方面对风险进行防范，才能保障信息安全，提供行政的便利。

参考文献

[1]赵雪．电子政务环境中文档管理现状简析[J]．科技档案．2005（3）：36～37

篇7

中图分类号：TP399-C2

当前，计算机网络技术迅猛发展，社会网络信息化进程基本得到普及。在世界各国逐渐实现电子政务系统的大背景下，我国政府机构各部门实现电子化、网络化和信息化后，有利于政府提高行政管理效率和办公效率，改善公共服务。然而，电子政务系统中的一部分信息涉及到国家安全和机密，另外系统本身对开展工作都有很重要的作用，在电子政务为政府工作带来高效和便利同时，信息化系统中所潜在安全风险也越来越高。

当前我国电子政务系统在整体管理机制、技术防范体系、全面集中安全管理策略平台定制等方面，都有很多不足之处，迫切需要进行系统风险评估来发现弱点弥补不足。

1 电子政务系统概述

一般而言，电子政务系统包括三个组成部分：第一政府部门内部办公职能的电子化和网络化：第二政府职能部门之间通过计算机网络实现有权限的实时互通的信息共享；第三政府部门通过网络与公众和企业间开展双向的信息交流与决策。目前各级政府部门所广泛使用的办公自动化系统，属于第一类电子政务的范畴。政府部门通过自己的互联网站政务信息，以及进行网上招标、网上招聘、接受网上投诉等，则属于第三类电子政务的范畴。一个完整的电子政务系统，应当是上述这三类系统的有机结合。

2 电子政务系统技术的安全风险

2.1 计算机系统硬软件物理局限性

计算机系统硬软件本身具有脆弱性的特点，在各种自然灾害、人为破坏下容易受到损害。比如计算机系统遭遇过高或过多的温湿度、磁场、碰撞、污染，或者硬件设备故障，或者被突然断电、电压不稳，或者遭遇火灾、地震、洪水的破坏，这些危害会不同程度地损害计算机操作系统的硬软件设备，严重时会使丢失或破坏计算机系统数据，甚至摧毁整个计算机系统硬软件设备。

2.2 网络本身存在难以弥补的缺陷问题

电子政务系统在网络运行过程中会存在以下几个方面的安全风险：一是黑客对电子政务系统进行伪装后，骗取用户账号、密码；二是电子政务系统用户提交业务信息后被黑客非法监听，修改；三是电子政务系统用户在成功提交业务后出现抵赖行为，有时没有凭证；四是黑客对电子政务系统进行非法访问；五是电子政务系统运行离不开网络，使得网络方面是一个重要风险点，主要存在于网络层、系统层、应用层等。

3 电子政务系统管理的安全风险

据有关对电子政务系统网络入侵、攻击事件的调查数据显示：欧美政府电子政务系统被入侵的安全风险指数达21%，其中政府内部不满职工入侵安全风险指数是89%、竞争对手入侵安全风险指数是72%、黑客入侵安全风险指数是48%。事实表明，电子政务系统的信息安全不只是单纯的技术安全问题，还应该从工作管理制度、职工管理上建立有效的安全防范机制。如果没有有效的安全保护机制做保障，再完善的技术和设备也很难保证电子政务系统正常运行。

3.1 用户安全意识薄弱

网络用户的安全意识属于非技术层面的、是隐性的，它比表面的技术难题更难克服。主要表现在人们对信息安全保密的认识不足，潜意识里对安全的理解和关注不足，单位领导层对安全基础设施的利用和资金投入不足等。

3.2 管理制度不完善

在电子政务系统管理过程中经常出现的不当情况有：机房重地没设没卡无人看守，非工作人员能随意进出；工作人员在机房开机状态下离开岗位，有关重要的敏感信息被临时存放在本地的磁盘上，且未设置保护状态。这些行为会导致机房或电子政务系统被外部入侵，更为系统内部破坏埋下长期隐患。一般来说，来自内部的安全威胁会更大些，原因在于内部工作人员更了解系统内部网络、主机、应用系统的结构功能；更了解内部管理员的工作漏洞和工作习惯，有时，甚至破坏者自身就是一名内部管理人员；内部工作人员一般都拥有系统的一定访问权限，能很顺利地规避正常的访问监控机制；内部工作人员对内部系统能有更多的机会进行网络侦查，容易进行有针对性地系统登录、密码破解行为。

3.3 缺乏应急机制

当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。

4 针对电子政务系统风险的解决方案

4.1 加强硬软件建设，确保电子政务系统安全

要保障计算机电子政务网络系统的安全，前提是要确保计算机信息系统有关运行设备的物理安全。设备的物理安全主要包括线路安全、设备安全、环境安全三个方面。确保设备的物理安全是要保护计算机网络设备、设施远离火灾、水灾、地震等自然灾害事故，远离人为操作错误，远离各种损害计算机系统的行为。

为确保电子政务系统的安全，通常情况还应把不同密级的网络进行有效隔离，可以采用隔离技术将核心密级、普通密级在物理上进行有效隔离，同时要通过技术手段在逻辑上将两个网络进行有效连通。

电子政务网络系统是通常由省、市、县政府三级网络组成的体系结构，从网络安全角度层面上看，三级网络结构存在于不同的网络安全域，应该在各级的网络边界、政务网、Internet边界设置安装有效的防火墙，并进行相对应的安全策略控制。同时，根据满足对外信息查询等服务的要求，可把对外公开服务器集合起来划分出专门的服务器子网，设置防火墙策略来保护对客户的访问。网络边界安全的防范可采用防火墙等成熟产品和技术实现网络的访问控制，采用安全检测手段防范黑客入侵。

4.2 加强管理，保障电子政务系统安全运行

针对网络安全的脆弱性，我们可在网络设计上增加安全服务功能，完善系统的安全保密措施，同时，要制定有效的安全管理制度，加强网络的安全管理。实施安全管理做好以下几个原则：一是坚持职责分离原则。禁止工作人员了解、参与职责以外的任何安全操作行为；二是坚持多人负责原则。对每项与安全有关的操作都要求有多人在场，相互监督。这些人都应忠诚可靠。三是坚持任期有限原则。对涉及安全的工作人员不能长期兼任，要适当根据年限和表现进行调整。

5 总结

对电子政务系统的描述，让我们了解到电子政务系统给我们的生活带来的极大便利，同时分析出存在的风险，进而在技术上克服难关，确保系统的安全。另外，人在工作中的不确定性操作也会造成很大的安全威胁，所以也要求对工作人员进行严格管理，培养安全意识。这样我们做到了既从技术上解决各种威胁，又从人员管理上尽量减少意外事故发生的几率，从而保证了电子政务系统的安全，相信电子政务系统会给我们的生活带来巨大的改变，发挥出更大的作用。

参考文献：

[1]黄志澄.电子政务的内涵及发展[J].中国信息导报，2010（4）.

[2]杨义先，林晓东，邢育森.信息安全综论[J].电信科学，2009（12）.

[3]谢健全.信息系统安全防护技术[M].中国宇航出版社，2006，07.

[4]聂晓伟，张玉清，杨鼎才.基于BS7799标准风险评估方法的设计与应用[J].计算机工程，2005，31（19）：70-72.

篇8

在网络愈来愈普及的今天,信息传布的效力愈来愈高,人们足不出户便能随时患上知外界即时产生的首要事件,网络的优势愈来愈显明。为了知足人民的需求,适应高速发展的信息化时期,提高办公效力,迅速处理政务事务,各政府已经经建成或者正在建设电子政务系统。各电子政务系统通过网络进行连接,构成了庞大的电子政务网络。电子政务网络的建成,有益于建立政府的威信,对于社会的繁华以及经济发展都拥有重大意义。电子政务网络是各党政机关办公、传递文件、处理事件的网络,是社会最症结的机构的首要工具,因其特殊性所以极容易受到不法份子的袭击。电子政务系统遭到袭击,不管是作用规模仍是严重程度上都会遭遇极大的影响。例如武汉市电子政务内网遭病毒沾染,整个网络瘫痪二四小时,对于社会造成为了严重影响。又例如英美等国家的情报人员通过截获网络数据的方式获取政府下达的首要决策及施行方案,对于国家安全造成为了严重的要挟。以上种种,都表明了对于电子政务网络安全性的保证,是电子政务建设的重中之重。电子政务网络的结构必需加以完美,这样才能保证系统运行的高效性以及持久性;数据传输进程必需釆用安全高效的加密方式,才能在传输速度不受显明影响的情况下,即便网络数据包被非法获取,有效信息也不会暴露。不仅要对于现有的网络进行改良,在不断发展以及建设的新型网络结构中,也要树立相应的安全规范,只有依照公道的规范进行网络建设,方能在方方面面从根本上保证电子政务网络的安全。

一.二国内外钻研现状

目前,国内外都组建了比较成型的电子政务网络,其中每一个子网络包含电子办公系统、数据存储系统、门户网站等等系统,各个子网络均拥有必定的安全措施,总体的政务网络也有相应的安全标准。自从一九九三年-1美国首先提出电子政务的概念,一九九六年美国率先开始建设电子政务系统以来,欧洲的英国、法国,美洲的加拿大、巴西,亚洲的日本、新加坡等经济发达国家接踵启动了建设电子政务网络的规划。电子政务网络的树立赐与上的1些国家不管从经济上仍是事务管理上都带来了优势,我国也对于电子政务网络也逐步注重起来。于是,在一九九九年一月,由中国电信与多家党政机关、部委进行联合,共同协商,开始建设电子政务网络,早期目标是实现各级政府在网络长进行互联,实现公然信息、官民互动、网上报税、远程服务等项目。仅仅1年时间,在全国规模内的各级党政机关、部委申请的域名就到达二四00多个,办公效力大大晋升,可见电子政务网络对于提高政务处理能力、实现管理水平现代化都拥有重大意义。对于屯子政务网络采用的安全措施是其高效持久运转的根本保证。每一个独立的系统,都拥有完全的安全部系;电子政务网络的总体,也拥有相应的安全技术。其中安全部系包含物理环境安全、网络环境安全、操作系统安全、利用系统安全以及系统的安全管理等。物理环境安全是指承载电子政务系统的装备所在物理环境的安全情况,包含路线铺设、机房防火情况等。网络环境安全是指系统所处的网络种别的安全性,分为单独布网以及共用同1网络等。操作系统安全是指承载装备所运行的操作系统的安全机能。利用系统安全是电子政务系统安全性的核心,它的安全性抉择了电子政务系统总体的安全机能。安全管理包含人员管理、数据管理、操作规范管理和相应法律法规的束缚等。安全技术包含身份认证、防火墙、入侵防护、网络隔离等。身份认证能够对于用户公道分类,不同级别的用户拥有不同的权限,保证走访安全。防火墙能够过滤病毒以及木马等拥有损坏性的歹意程序。入侵防护能够分析用户行动,对于正常操作进行维护而过滤掉歹意行动,如网络渗入、歹意重复走访等。网络隔离可以将不同安全级别的网络环境进行物理或者逻辑上的隔离,使安全级别较高的数据患上到更为严密的维护。

第2章电子政务内网网络结构分析

二.一电子政务网络整体框架分析

篇9

中图分类号:文献标识码:A文章编号:1009-3044(2010)21-5962-02

The Establish and Maintain of The E-government System Based on Security Technology

TANG Fang1, XU Ping2

(1.Jingmen Branch of Chutian Radio & Television Information Network Company of Hubei Province, Jingmen 448000, China; 2.Jingmen Branch of China Construction Bank, Jingmen 448000, China)

Abstract: With China's reform and opening up step by step and the deepening of the functions of government services, the development of e-government has become an important ways for theGovernment to increase the capacity of public services and national capacity for comprehensive management. This paper analyzes and discusses the main e-government technology and related network security based on the principles, put forward a number of technology for building on the multi-level e-government network security solutions.

Key words: security technologies; government; E; virtual private network

随着我国改革开放的逐步推进与政府服务职能的加深,发展电子政务已成为政府提高社会公众服务能力与国家综合治理能力的重要手段。然而在电子政务建设大踏步向前迈进的过程中,随之而产生的问题也越来越急待解决,电子政务的安全便是首要问题。比如计算机病毒的传播更是安全性的巨大威胁之一,病毒一旦发作,轻则破坏文件、损害系统,重则造成网络瘫痪。某某市某局正是在此背景下对本局机关的电子政务系统进行重新设计和实施的。

1 项目背景与目标

1.1 项目背景

某某市某局现有使个局直属单位,各单位分布在某某市各区,与局机关大楼不在同一物理地点,共五个办公区。该局局机关启用电子政务系统后,因为各局属单位的公文仍通过传统的手工方式交换,显然跟不上信息化发展的需要,也严重地影响了该局日常办公的需要。为满足该局信息化发展的需要,由于该局的电子政务系统只涉及工作秘密不涉及国家秘密,可以运行在政务外网。2008年度,经请示上级部门同意,将政务内网的电子政务系统迁移到政务外网,并实现与局属各单位进行公文在线交换。为实现此功能,首先要实现与各单位网络的互联互通并确保信息传输的安全保密性和完整性。

1.2 系统安全分析

该局电子政务网络系统内网与外网完全物理隔离,该局电子政务内网自成体系,不与任何外部系统交互,内网相对安全,信息不容易泄漏,但同时该网也成了一个信息孤岛,与外部系统的数据交换很不方便。不过在现有的网络结构及应用模式下,外网网络安全几乎是不设防,可能存在的主要安全风险如下:

1)网络设备节点自身安全风险:网络设备是网络数据传输的核心,是整个网络的基础设施,各种网络设备本身的安全与可靠性以及这些设备上应用策略的安全都需要进行合理的配置才能够保证。尤其是核心层的三层交换机,单点故障的风险比较大,万一出现故障整个网络将完全瘫痪。

2)网络层有效的访问控制的风险:网络结构越来越复杂,接入网络的用户也越来越多,必须能够在不同的网络区域之间采取一定的控制措施,有效控制不同的网络区域之问的网络通信,以此来控制网络元素间的互访能力,避免网络滥用,同时实现安全风险的有效隔离,把安全风险隔离在相对比较独立以及比较小的网络区域。

3)网络攻击行为检测和防范的风险:由于TCP/IP协议的开放特性,带来了非常大的安全风险,常见的IP地址窃取、IP地址假冒、网络端口扫描以及危害非常大的拒绝服务攻击等;由于Internet的开放性,对电子政务的安全威胁,包括网上黑客入侵和犯罪、网上病毒泛滥和蔓延、信息间谍的潜入和窃密、网络恐怖集团的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱和瘫痪、信息产品的失控等,因此应引起足够警惕,采取安全措施,应对这种挑战。在改造前的网络结构中可以看到Internet接入点还是在内部业务系统和下属单位的接入点都没有任何防护措施,网络中存在极大的安全风险。

4)应用层威胁:各种蠕虫、间谍软件、网络钓鱼等应用层威胁和EMAIL、移动代码结合形成复合型威胁,使威胁更加危险和难以抵御。这些威胁直接攻击用户核心服务器和应用,给用户带来了重大损失。

5)控制非法访问的风险:在建设网络安全体系中,身份认证始终是不可忽视的环节,没有良好的身份认证体系,其他的任何安全措施都是没有意义的。

2 系统安全解决方案

本方案主要是遵循事前防范、事中监控、事后审计的思想进行设计,同时结合其他传统的网络安全措施,提出一套新型的基于VPN技术的安全电子政务网络系统解决方案。

2.1 访问控制

访问控制是最基本的安全措施之一,随着网络结构复杂程度的不断增加,应用系统的不断增多,人们已经逐渐认识到保护网上敏感资源的重要性,而旧的访问控制技术有着诸多的管理弊端,已经不能满足用户的要求,因此需要寻求一种有效的手段或方法。本系统采用大安全域隔离。首先把外网划分为内外安全域两大区域,即核心数据域与办公区域,中间用物理网闸隔离,使得核心数据域与办公区域物理隔离,办公区域中的客户端要访问核心数据域中的应用,数据内容必须经过严格过滤和摆渡交换,切实保护工作秘密的安全。

2.2 防火墙的部署

防火墙的主要思想是在内外部网络之间建立起一定的隔离,控制外部对受保护网络的访问,它通过控制穿越防火墙的数据流来屏蔽内部网络的敏感信息以及阻挡来自外部的威胁,只有允许的应用协议才能通过防火墙,所以网络环境变得更安全。在逻辑上,防火墙是一个分离器,一个限制器,也是一个分析器,有效地监控了内部网和公众网之间的任何活动,保证了内部网络的安伞。因此通过在该局办公区域访问互联网的边界部署一台防火墙,既起到逻辑隔离的作用,又能有效控制办公区域和互联网之间的通讯安全。为了更有效地控制办公区域的用户端上网行为,本系统在防火墙前面部署了一台LINUX服务器,给防火墙前而设置多了一道天然的屏障,而且通过缓存机制间接地提高了访问互联网的速度。

2.3 入侵检测系统的部署

虽然通过防火墙可以隔离大部分的外部攻击,但是仍然会有小部分攻击通过正常的访问漏洞渗透到内部网络,据统计有70%以上的攻击事件来自内部网络,也就是说内部人员有意或无意的攻击,而这恰恰是防火墙的盲区。入侵检测系统可以弥补防火墙的不足,为网络安全提供实时的入侵检测及采取相应的防护手段,如记录证据用于跟踪、恢复、断开网络连接等,及时地发现异常地网络流量或安全隐患,尽早采取措施、排查隐患,避免安全事故的进一步扩大。

3 结束语

电子政务信息安全建设是一项复杂、庞大的工程,电子政务安全是一项动态的、长期的、整体的系统工程,需要周密的设计和部署。在电子政务网络安全体系的构建中除了要有上述的各种技术手段,更需要严谨的管理手段。

参考文献:

[1] 威特曼.信息安全原理[M].北京:清华大学出版社,2006.

篇10

不过，我们不可否认，互联网作为一个开放的网络环境，在安全方面确实存在着先天不足和诸多的隐患，基于互联网的电子政务建设面临着政务信息失泄密、非法篡改、身份假冒等安全威胁。所以济源在电子政务建设中，高度重视信息安全的问题，明确规定信息不能上网，而且通过密码技术来保证基于互联网的电子政务的信息安全。

虽然济源在电子政务网络的建设中，包括信息安全的建设中，都没有拉一条专线，没有建一个专网，完全是基于互联网，但他们通过采用商用密码技术和VPN技术，合理配置了具有防火墙功能的、不同档次的VPN安全网关和VPN客户端，实现了整个网络在安全条件下的互联互通和信息共享。

由于完全是基于互联网的电子政务，安全变得至关重要，但是，保障信息安全并不是安全措施越多越好，不能为了安全而安全，而是应该根据系统安全等级采用适度的安全措施，更重要的是从实际应用出发，保证适度安全，使得电子政务系统能够既安全又好用。

如何在坚持适度安全的基础上建设基于互联网的电子政务安全保障体系呢？

济源同样选择了等级保护的方法，把安全办公与开放服务有机地统一起来，在风险分析的前提下合理定级，并进行了分域防控和分级防护。

同样是由于基于互联网，安全隐患多而复杂，所以在风险分析中就面临了更大的和更严峻的挑战。作为政府政务办公的“内部”网和面向公众开放服务的“外部”网都是在互联网上的，互联网上的身份假冒、口令窃取等威胁很大，所以身份鉴别是网络安全的基础；存储或传输的信息在互联网上容易被窃取或篡改，所以信息坚决不能上网；系统遭到攻击的风险很大，所以必须提高抗攻击的能力；互联网上病毒传播和扩散很广很快，所以要防止其影响到终端和服务器的正常运行。

针对由于互联网带来的这些风险，济源将电子政务应用系统分为了公开信息处理区和敏感信息处理区，根据其不同的特点分别进行防护。比如，公开信息处理区主要是面向广大公众的服务系统和完全公开的信息，由于广大互联网用户都可以访问，所以就要采取网页防篡改措施。

而在分级防护方面，将信息分为了完全公开、内部公开和内部受控三类，也是根据不同类别的不同特点采取不同的安全措施。比如对于在互联网上完全公开的信息，用户无须身份认证和加密传输就可以直接访问；而对于内部公开信息则用了商用密码进行传输加密，要通过口令进行身份认证后才能访问。

当然作为基于互联网开展电子政务的惟一一家试点单位，济源进行了一些有益的尝试，也取得了初步的成效，但要进一步拓展服务模式、扩大使用范围、提高服务质量，甚至是在全国进行推广，都还有很长的路要走。

实施效果

篇11

中图分类号：TP39 文献标识码：A 文章编号：1672-3791（2015）11（c）-0007-02

我国电子政务建设正处在高速发展期，从中央到省市各级政府部门都投入了大量的人力和财力来推进信息化工作。电子政务公共平台的顶层设计和实施建成，较大程度地提高了政府信息政务公开和共享等的工作效率和服务质量。电子政务公共平台稳定和安全运行已经构成了政府运转连续性的重要保障之一。 因此，电子政务公共平台的安全保障工作已经成为政府信息化工作成败的关键因素。信息安全的管理需要在各个层面为电子政务提供机密性、完整性、可用性、鉴别等安全服务。该文基于信息安全等级保护，从安全基础设施、访问控制策略、安全防御、安全监控、安全审计和安全响应恢复等研究信息安全研究电子政务的安全管理体系。从而从整体上提高电子政务公共平台信息安全管理全面性。

1 研究思路

基于电子政务公共平台服务的战略定位、统筹规划和实施路径的总体把握，按照基于等级保护技术要求，并根据电子政务信息化服务业务安全需求，为信息化综合服务提供安全支撑服务，从而使得平台可以安全、稳定、可连续的进行信息化服务。重点保护基础信息网络和重要信息系统安全，实现信息安全服务支撑工作的有效安全技术和管理措施要求，以实现信息安全等级保护实施的重大的现实和战略意义。

2 总体设计目标

（1）电子政务公共平台安全管理建设的总体目标是统一技术标准，共建共享信息安全基础设施，建立统一的公共密钥基础设施（PKI），实现跨系统的身份认证机制等。

（2）解决传统信息化系统建设中，电子政务公共平台基础设施、信息资源与业务系统因所有权、使用权和管理权界定不清晰，存在基础设施和业务应用的管理权限难以分离管理，责任权限过大或者过小，造成设备利用率不高，或容易出现信息安全事件的情况。

（3）解决不同的政府部分因不同的职能/服务导致的电子政务基础设施和资源的重复建设和资金浪费问题。

（4）解决信息化综合服务的安全服务支撑，实现各级信息系统的授权管理、认证服务、鉴别服务、访问控制和数据防护的安全服务支撑，最终实现各级信息系统互联互通的信息化服务。

3 设计分析

3.1 设计思路

（1）电子政务公共平台安全管理建设统一管理电子政务边界安全防护系统，集中建设互联网接入点，实现部门互联网的安全接入和可管可控可剥离等。

（2）电子政务公共平台安全管理基于安全技术体系下，根据各自信息安全等级，建设、升级、完善安全系统等。

（3）电子政务公共平台安全管理中心系统将不同位置、不同安全系统中分散且海量的单一安全事件进行汇总、过滤、收集和关联分析，以全局角度分析信息安全风险和信息安全事件，形成分层次分区域的安全策略，以对安全事件进行响应和处置的综合性信息安全管理平台。

（4）电子政务公共平台安全管理是一个跨系统、跨部门的综合信息系统，由虚拟资源管理系统、数据挖掘与智能浏览、虚拟资源隔离系统、信息资源目录与交换系统、基于SOA的业务协同、多元数据融合与集成系统、数据库资源整合与综合应用、多级数据交换系统、信息服务资源运营管理平台、信息化综合服务管理平台信息中心构成的完整独立体系构成等。

（5）电子政务公共平台信息安全管理是按照其保障工作流程，依次分为数据采集层、分析层、展示层等。

（6）电子政务公共平台安全管理设计研究多种分类的数据接口，一方面满足与用户已有或后续建设的其他管理系统或平台集成整合，另一方面，安全管理中心还提供了相关数据接口和配置接口，可对相关安全产品进行统一配置和管理等。

（7）电子政务公共平台安全管理的数据采集层针对重要信息系统进行信息安全数据采集，包括关键业务系统环境相关的网络设备、主机、安全产品等信息。

（8）电子政务公共平台安全管理的分析层是安全运行管理的核心，负责对数据采集的信息进行分析处理，并对相关的信息安全风险和信息安全事件进行预警和响应等。

（9）电子政务公共平台主要功能包括了安全监控、预警、告警、响应、信息安全策略管理和系统管理等。

（10）电子政务公共平台安全管理的数据展示层提供了安全运行管理可视化界面，分为管理员界面和为客户提供的可视化界面。管理员通过管理界面，对电子政务公共平台整体信息安全态势、管理和配置进行管理操作，主要包括网络、系统运行、事件报警等展示和策略配置管理；为电子政务服务提供定制化全网的安全信息和安全状态分析展示，包括风险预警、告警事件、故障分析、策略、报表报告等数据分析和展示功能等。

3.2 设计模型

（1）电子政务公共平台安全管理中心系统。

①组成：数据采集层、数据和业务管理层、数据展示层等；

②通过数据接口连接外部产品管理接口，诸如，实时数据接口、文件接口、数据库接口、其他接口等。

（2）电子政务公共平台安全管理中心系统数据展示层。

①风险展现管理：包括，拓扑展示、运行状态、实时性能、风险预警、告警事件、故障分析、策略、报表报告等。

②通过采集探针Probe整合，以Portal的方式进行多系统数据展示整合。

（3）电子政务公共平台安全管理中心系统分析层。

①分析层是安全运行管理平台的核心，由信息安全核心服务器和数据库构成等。

②负责对前端信息安全数据采集的风险点进行分析，并对根据信息安全策略对安全目标进行预警和响应等。

③负责安全监控、预警、告警、响应、信息安全策略管理和系统管理等。

④组成：应用引擎平台、业务逻辑子层、数据逻辑子层、资源管理（KBP）、数据管理（KPI）、南向适配（配置、性能、事件数据元素整形适配器）、采集调试管理等。

⑤业务逻辑子层通过工单交互、知识库交互等，与企业整体的运维管理系统实现双向接口等。

⑥数据逻辑子层通过CMDB复用等，以统一CMDB的形式与网管、运维系统整合等。

（4）电子政务公共平台安全管理中心系统采集层。

①数据采集层针对重要信息系统进行信息安全数据采集，包括关键业务系统环境相关的网络设备、主机、安全产品等信息。

②设计部署采集管理控制台统一进行信息采集，并设计采集任务分发给相对应的采集点。

③设计可定制化的采集的策略，包括采集范围对象、采集频度、采集数量等。

3.3 数据模型分析

数据采集层设计采用以下网络协议进行数据采集，列举主要的安全管理中心应用的协议和技术实施例。

4 研究案例与成果

信息安全保障技术是为管理做技术支持，管理和技术并重。信息安全管理的策略设计与运行实施才是安全管理落地的根本，从运行和维护的信息安全角度，总结信息安全管理主要工作主要包括了：（1）建立完善的电子政务服务身份认证和访问控制机制，规范管理电子政务服务信息安全标准规范和相关协议的合规性作业流程；（2）信息安全的管理运行分级分域进行信息安全管理，即采取分级控制和按业务类型重要程度分域的管理，并对运维人员的职责范围明确划分；（3）设立以政府为主导的第三方监督审计机构，对电子政务服务安全性、合规性监督测评；（4）定期开展信息安全培训，加强人员的信息安全意识，健全内部机制，增强政府服务的安全防范意识和风险管理能力。

5 结语

该文研究信息安全管理系统满足电子政务业务的安全事件集中收集和处理能力，构筑了基于资产安全属性（CIA）和安全域的业务安全风险管理体系，通过关联分析和客户化关联分析规则定义，实现准确的事件定位，形成了统一的安全知识共享体系，可实现多级不同管理模式的功能，具备安全管理中心的高容错性、高可用性和高冗余可靠性。该研究成果具有良好安全管理中心的可扩展性，包括多级扩展、功能扩展，满足级保护三级―― 监督保护级要求，并遵循《关于印发的通知》（国信办【2006】9号）进行资产、弱点、威胁和采取的控制措施进行评估的要求。

参考文献

篇12

随着计算机信息技术的飞速发展，电子政务在促进政府政务、职能转变，提高行政效率，推进政务公开，拓宽民主参与渠道等诸多方面发挥了积极作用，实现了政府组织结构和工作流程的重组优化，超越了时间、空间和部门分割的制约，形成了精简、高效的政府运作模式。由于电子政务是以互联网为平台，经常与外部网络环境相接触，比较容易受到病毒侵扰或者是非法的、恶意的攻击，因而安全问题应成为电子政务系统建设的首要问题，并贯穿于电子政务建设的整个过程。同时，电子政务安全体系建设应是一个动态的过程，并非一劳永逸。随着系统安全状态的不断变化，应定期对系统进行安全评估，对电子政务建设中自身的不足和隐患有充分的认识，不断从技术、管理等方面进行完善，构建一套可管理、易部署、高安全的可信电子政务体系。

一、电子政务安全防护的必要性

电子政务是基于网络的、符合Internet技术标准的面向政府机关、企 业以及社会公众的信息服务和处理系统。

近年来，各国政府机构的信息系统遭到的各种入侵、攻击和破坏时有发生，既受到外部环境的威胁，也受到内部环境的威胁。电子政务面临的各种威胁，主要包括黑客与计算机犯罪、网络病毒的蔓延和破坏、机要信息的流失与信息间谍的潜入、网上恐怖活动与信息战争、内部人员的违法和违规、临近式的恶意破坏、安全产品软硬件的缺陷、刚络的脆弱性和系统的漏洞等等。这些威胁会给经济带来巨大的损失，同时还会带来涉及国家安全、社会稳定，甚至是人类生存等的重大问题。

电子政务系统安全要求的特殊性和重要性。

（1）电子政务系统中有很多的政府公文在流转，这些信息通过网络传送时不能被窃听、泄密、篡改和伪造。

（2）电子政务外网一般对外界各种信息，包括政策、法规和条例等等。这些信息是严肃的、权威的，不能被入侵者篡改、歪曲。

（3）电子政务系统一旦启用后，必须稳定可靠，从而保证各种业务的连续性和一致性。

（4）政府网站收集的各种公众反馈信息必须是真实的，不能被入侵者篡改、歪曲，并且能够安全地被反馈到相关的政府部门。

为维护政府的良好形象、保证电子政务系统的稳定运行、避免重大损失等，建立起安全的电子政务体系以保障电子政务的安全是非常必要的。

二、电子政务安全存在的问题

（1）观念落后，意识淡薄

虽然自1999年政府上网工程启动以来，政府部门越来越重视网络系统建设，看重网络带来的便利与高效，更有人提出应把信息系统安全建设提高到研制“两弹一星”的高度去认识。但是有些地方对信息安全工作并没有引起足够的重视，同时由于公众对计算机犯罪的态度比较“宽容”，从而使得部分公务员的信息安全意识淡薄。

（2）技术水平较低

我国大多数政府和部门的电子政务网络系统在建网初期都是按照双网模式来进行规划和建设的。内网作为内部信息和公文传输平台，外网向公众一些公共服务信息和政府互动平台。由于双网实现了物理隔离，虽然实现了工作的便利与高效，但是信息的安全没有保障。

网络安全建设严重滞后：1、安全事故监控和响应缺乏技术手段。2、安全技术手段使用不足。大部分系统都存在很多空白空间。不同安全域之间的连接都没有通过防火墙进行访问控制。3缺乏统一规划，安全问题更加复杂。由于电子政务系统为了提高系 统兼容性一般都具有多个不同的平台，这虽然极大地提高了生产效率和投资回报，但同时也让安全问题变得更加复杂了。4、系统普遍存在缺省配置开放不必要的端口，没有打安全补丁，口令强度严重不足，使用缺省的口令配置等。

（3）法律法规滞后

电子政务需要政府部门做到信息公开、政务公开，提高政务的透明度。但现有法律法规中尚无政府部门信息公开的相关规定。近年来，国家各部委相继颁布了许多关于政务信息公开的法规，有力地促进了政务信息公开。这些法律法规规范了电子政务运行时候存在的一些安全问题，在客观上促进了电子政务建设，明确了信息技术手段在行政过程中的地位和作用。但是我国电子政务方面的法律法规与发达国家相比还是明显滞后，表现为现有的相关法律规范立法层次不高，立法理念和技术相对陈旧，现行的政策法规无法适应网络和信息时展的需要，因而对法律法规的需求更加迫切。

（4）电子政务安全管理体制不健全

电子政务安全大部分都停留在技术层面上，管理这一核心环节很少重视，同时相应的安全管理体制和机制不健全，管理混乱，责权不清，制度不全等问题屡见不鲜，这些问题已成为地方电子政务建设安全保障的瓶颈。

通过对网络安全事件统计报告显示：国外政府入侵的安全风险指数为21%，黑客入侵的安全风险指数为48%，竞争对手入侵的安全风险指数为72%，组织内部不满雇员入侵的安全风险指数为89%。以上数据表明，来自内部人员的安全威胁几率更大，更加可怕的是内部人员了解内部的网络、主机和应用系统的结构；能够知道内部网络和系统管理员的工作规律，甚至自己就是管理员。因而，电子政务信息安全不是单纯的技术问题，如果没有好的管理，再好的技术和设备都无法确保其信息安全。

三、电子政务安全体系建设的对策

为推动电子政务的发展，构建安全的电子政务体系，我们应该采取下列措施：

（1）加强宣传，培养信息安全意识

电子政务是近些年来随着电子信息技术的发展和互联网出现的产物，是一种新的政府管理方式。信息安全意识，指的是公务员对电子政务中信息安全问题主要表现与危害以及保证政府信息安全的意义的正确认识，发现电子政务中影响信息安全的现象和行为的敏锐性，维护电子政务信息安全的主动性。但是大多数公务员岁其概念、内涵和特点尚不理解。因此，当前必须加强电子政务与传统的政府管理的差异，电子政务与办公自动化的区别、电子政务对信息产业的引导作用等的宣传工作；用多种途径对公务员进行电子政务信息安全方面的教育；积极组织各种专题讲座和培训班，培养信息安全人才；积极开展安全策略研究，使各级领导树立正确观念。

（2）强化技术保障

1、提高对计算机病毒的防范。通常我们应该采取以下措施。一是定期对新存入计算机的文件进行数据备份，当计算机遭到病毒破坏可以及时恢复主要数据。其次是是合理使用杀毒软件。反病毒软件是不能够防治现有的和未来产生的所有病毒的，因此，必须合理使用和部署防病毒软件才能充分发挥其作用。三是制定严格的病毒防治规章。

2、信息传递过程中的加密。加密技术是解决网络信息安全问题的技术核心，加密就是对信息进行编码和解码以保证其安全。电子政务所涉及的公文流转等信息往往涉及机密等级的问题，因而必须采取适当的加密方法对信息予以保密。

3、物理隔离。物理隔离是指内部网不得直接或间接连接公共网络。这种物理隔离是通过在每台电脑主板插槽安装物理隔离卡、双硬盘，把一台普通计算机分成两台虚拟机，实现真正的物理隔离。这使得内部网与公共网实现了物理上的隔离，从根本上保证了内部信息网络不受来自互联网的攻击，此外，物理隔离也为内部网划定了明确的安全边界，使得网络的可控性增强，更便于内部管理。

（3）强化法规制度的安全保障

法律法规可以起到加强信息安全管理，离开了法律，信息安全是脆弱的。在电子政务的建设时也应当考虑以人为本，强化对人的管理。建立和健全法规制度，做到电子政务安全方面的各项工作要有法可依，有章可循。我国虽然在网络信息安全方面制定了相当数量法律、法规及一些规范性的文件，但仍有许多不足之处，例如缺乏统一标准、监管成本高、可操作性不强等。因此，需要强化法律、法规建设，使信息安全管理有法可依。

（4）建立信息安全管理制度

政府重要数据面临的最大的风险就是被他人窃取。为防止此类情况的发生，首先我们要健全数据保护制度。一是做好物理访问控制，防止外部人员接触到存有重要数据的主机、存储设备和打印机等输出设备。二是做好数据的逻辑访问控制。三是做好数据备份和灾难恢复计划。

参考文献：

[1]杜治溯电子政务与政府管理模式的互动[M]北京：中国经济出版社，2009

[2]代安明试论电子政务及其办公自动化建设[J]黑龙江科技信息，2010，（06S）

[3]吴爱明中国电子政务理论与实践[M]北京：人民出版社，2011

[4]樊博电子政务上海交通大学出版社，2011

[5]崔丽，沈昌祥国家安全概念：对信息系统的安全应从“两弹一星”的高度去认识中国青年报，2011-06-l8

[6]尹秀莲，于跃武电子政务与网络信息安全内蒙古科技与经济，2012（2）

篇13

网络环境为信息共享、信息交流、信息服务创造了理想空间，同时也产生了许多安全问题如信息泄漏、信息污染、信息不易受控等。网络运用的趋势是全社会广泛参与，但随之而来的是控制权分散的政府电子政务管理问题。由于人们利益、目标、价值的分歧，使信息资源的保护和管理出现脱节和真空，从而使信息安全问题变得广泛而复杂。在网络环境中，一些组织或个人出于某种特殊目的，进行信息泄密、信息破坏、信息侵权和意识形态的信息渗透，甚至通过网络进行政治颠覆等活动，使国家利益、社会公共利益和各类主体的合法权益受到威胁。随着社会重要基础设施的高度信息化，社会的“命脉”和核心控制系统有可能面临更大的威胁。

一、网络安全风险分析

电子政务网络安全是网络正常运行的前提。网络安全不只是单点的安全，而是整个信息网的安全，需要从物理、网络、系统、应用和管理方面进行立体的防护。要想知道如何防护，首先需要了解安全风险来自于何处。电子政务网络安全系统必须包括技术和管理两方面，涵盖物理层、系统层、网络层、应用层和管理层各个层面上的诸多风险类。无论哪个层面上的安全措施不到位，都会存在很大的安全隐患，都有可能造成网络的中断。根据国内网络系统的网络结构和应用情况来看，应当从网络安全、系统安全、应用安全及管理安全等方面进行全面地分析。风险分析是政府电子政务网络安全技术需要提供的一个重要功能。它要连续不断地对网络中的消息和事件进行检测，对系统受到侵扰和破坏的风险进行分析。风险分析必须包括网络中所有有关的成分。

我国政府电子政务网络安全问题日益突出的主要标志是：一是计算机系统遭受病毒感染和破坏的情况相当严重；二是电脑黑客活动已形成重要威胁；三是信息基础设施面临网络安全的挑战；四是网络政治颠覆活动频繁。

电子政务运行管理是过程管理，是实现全网安全和动态安全的关键。有关电子政务信息安全的政策、计划和管理手段等最终都会在政府电子政务运行管理机制上体现出来。就目前的电子政务运行管理机制来看，有以下几方面的缺陷和不足。

（1）政府电子政务网络安全管理方面人才匮乏。由于互联网通信成本极低，分布式客户服务器和不同种类配置不断更新和发展及技术应用的扩展，技术的管理也应同步扩展，但从事系统管理的人员却往往并不具备安全管理所需的技能、资源和利益导向。政府电子政务信息安全技术管理方面的人才无论是数量还是水平，都无法适应政府电子政务信息安全形势的需要。

（2）安全措施不到位。互联网越来越具有综合性和动态性特点，这同时也是互联网不安全因素的原因所在。然而，网络用户对此缺乏认识，未进入安全就绪状态就急于操作，结果导致敏感数据暴露，使系统遭受风险。配置不当或过时的操作系统、邮件程序和内部网络都存在入侵者可利用的缺陷，如果缺乏周密有效的安全措施，就无法发现和及时查堵安全漏洞。当厂商补丁或升级软件来解决安全问题时，许多用户的系统却不进行同步升级，主要是管理者未充分意识到网络不安全的风险所在，未引起重视。

（3）缺乏综合性的解决方案。面对复杂的不断变化的互联网世界，大多数政府电子政务部门缺乏综合性的安全管理解决方案，使这些政府电子政务部门就此产生了虚假的安全感，渐渐丧失警惕。实际上，一次性使用一种方案并不能保证系统一劳永逸和高枕无忧，网络安全问题远远不是防毒软件和防火墙能够解决的，也不是大量标准安全产品简单堆砌就能解决的。近年来，国外的一些互联网安全产品厂商及时应变，由防病毒软件供应商转变为企业安全解决方案的提供者，他们相继在我国推出多种全面的企业安全解决方案，包括风险评估和漏洞检测、入侵检测、防火墙和虚拟专用网、防病毒和内容过滤解决方案等一整套综合性安全管理解决方案。

（4）缺乏制度化的防范机制。不少政府电子政务部门单位没有从管理制度上建立相应的安全防范机制，在整个运行过程中，缺乏行之有效的安全检查和应对保护制度。不完善的制度滋长了网络管理者和内部人士自身的违法行为。许多网络犯罪行为（尤其是非法操作）都是因为内部联网电脑和系统管理制度疏于管理而造成的。同时，政策法规难以适应网络发展的需要，政府电子政务部门信息立法还存在相当多的空白。个人隐私保护法、数据库保护法、数字媒体法、数字签名认证法、计算机犯罪法以及计算机安全监管法等信息空间正常运作所需的配套法规尚不健全。由于网络作案手段新、时间短、不留痕迹等特点，给侦破和审理网上犯罪案件带来极大困难。

二、对解决我国政府电子政务网络安全问题的几点建议

一是在国家层面上结合我国国情制定的计划能全面加强和指导国家政治、军事、经济、文化以及社会生活各个领域的网络安全防范体系。

二是建立有效的国家政府电子政务信息安全管理体系。改变原来职能不匹配、重叠、交叉和相互冲突等不合理状况，提高政府的管理职能和效率。

三是加快出台相关法律法规。改变目前一些相关法律法规太笼统、缺乏操作性的现状，对各种政府电子政务信息主体的权利、义务和法律责任，做出明确的法律界定。