电子政务的安全风险范文

导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的5篇电子政务的安全风险范例，将为您的写作提供有力的支持和灵感！

篇1

中图分类号：TP393.08 文献标志码：A 文章编号：1006-8228（2016）11-38-03

Analysis of information security risk assessment in E-government

Liu Feifei

（Department of Information， Business College of Shanxi University， Taiyuan， Shanxi 030031， China）

Abstract： In view of the security risk assessment in E-government system， the current situation of E-government system and the related concepts of information security risk assessment are introduced； The characteristics of risk assessment methods are analyzed， including OCTAVE method， SSE-CMM method and adaptive method being commonly used in E-government system； And the problems that need to be solved are discussed in order to provide reference for the security risk assessment of E-government.

Key words： E-government； security risk assessment； OCTAVE； adaptive method

0 引言

随着计算机与网络技术的飞速发展，我国各行各业信息化程度提高，电子政务也不例外。电子政务系统能够及时、动态地对信息进行更新，有利于政府信息的公开与共享；同时，建立一个良好的业务服务平台和信息互动平台，可以确保信息和服务的实效性，提高政府服务的效率和质量。电子政务系统涉及政府敏感或秘密信息，系统的稳定性与安全性成为政府工作的必要保障。电子政务系统安全是一项系统工程，传统的信息安全技术及设备不能带来真正的安全，因此，对系统进行各阶段的信息安全风险评估和管理是十分必要的。

1 电子政务系统现状

1.1 网络基本结构

电子政务是一个面向政府职能部门、企业以及民众的复杂的多层次的服务系统，其结构如图1所示[1]。内网是政府内部日常办公网络，实现内部信息的交流与处理，如文件传送、邮件收发等；专网主要用于实现政府内辖的职能部门之间的信息的互通，用以协作完成相关的项目申请、审批等主管业务；外网也指公众信息网是面向社会民众提供信息和服务的综合性网站，可以帮助公众了解最新的政策动态，提供网络服务等；信息库，为三网服务提供数据和所需的资源。

1.2 系统安全风险

电子政务系统网络结构复杂，业务繁多，数据机密性高，同时具有很大的开放性，所以势必面临各型各色的安全风险。主要体现在以下几个方面。

⑴ 物理安全风险

由环境（如水灾、火灾、湿度等）或系统自身物理特性（如设备线路老化、电磁泄漏干扰等）引起的系统不可用的风险。物理安全是系统安全的前提和保障，应做好相关的隔离与保护工作。

⑵ 网络安全风险

网络结构规划或安全部署不合理会带来来自内部和外部的安全缺陷；路由器、三层交换机、网关等网络设备自身配置及安全存在漏洞，会影响系统的安全性；另外，网络中使用的互连、路由协议的不健全，也会给网络带来安全威胁。

⑶ 管理安全风险

管理是防范网络内部攻击的主要手段，是电子政务网络安全的不可或缺的一部分。目前，管理和监管机制还不健全，不规范，缺乏可操作性，都会引起不可避免的安全风险。

2 信息安全风险评估概述

依据国际或国内的标准，使用相关的方法技术，标识系统中的核心资产及业务，识别存在的安全威胁及脆弱性，估算安全事件发生的可能性及带来的损失，同时，制定安全防护加固策略，这就是信息安全风险评估。其中风险分析计算是关键，计算原理如图2所示[2]。

常见的风险分析的方法有定量分析和定性分析。定量分析利用财务评估等手段来测算核心资产的实际价值，使用可量化的数值来估算系统的损失及风险等级，评估结果直观有效，但是资产价值的核算和风险计算复杂；常用的定量分析有决策树、聚类分析等[3]。定性分析通常依据评估者的知识经验，采用文字或假定的数值范围来评定风险等级，主观性强，结论不够严密；典型的分析方法有：德尔菲法、历史比较法等。通常会在定性分析的基础上，结合使用定量分析来实施风险的分析评估，如层次分析、概率分析等。

3 电子政务系统风险评估方法

目前，电子政务系统风险评估的方法主要有：OCTAVE方法、SSE-CMM方法及基于免疫的自适应法。

3.1 OCTAVE评估方法

OCTAVE（Operationally Critical Asset and Vulnerability Evaluation）可操作的关键资产、威胁评估法，它遵循自主的原则，从被评估组织中选调业务及信息技术人员组建团队，以定性分析为主，提供一个可操作的、规范的技术框架[4]。它围绕关键资产进行评估，评估人员要充分认识关键资产、资产所受威胁及系统存在脆弱性之间的关系。OCTAVE方法实施过程如图3所示。首先，组建评估团队，标识关键资产及存在威胁；其次，标识与关键资产相关的子系统及组件存在的脆弱性；最后，进行风险分析计算，确定风险等级，制定防护策略计划。

OCTAVE法从组织内部调配人员参与评估，会使得评估的内容更加全面，更具有可操作性，不同的组织根据自身的需求，可以通过多种不同的形式来实践执行。但是它依赖人为因素，只能粗略评估系统可能遭受的风险。

3.2 SSE-CMM评估方法

SSE-CMM（Systems Security Engineering Capability Maturity Model）系统工程能力成熟度模型，在安全工程中，针对不同的安全目标，定义了相应的模块化过程，并能够对组织执行特定过程的能力做出量化的评定，从而帮助寻找实现最终目标的最优途径。它将信息系统的安全过程分为3个模块化过程，通过11个过程域PA（Process Area）和5个能力成熟度级别来描述：风险评估过程，分析安全系统中存在的威胁；工程实施过程，利用相关措施解决/处理威胁可能带来的问题；信任度评估过程，评估执行者解决问题的能力。为了实现风险评估过程目标，SSE-CMM法定义了威胁评估、脆弱性评估、事件影响评估及系统风险评估等四个子过程。

SSE-CMM法指出了系统安全评估过程中的关键过程及必需的基本实施，同时能够量化评定每个过程的可行性，削弱了评估中的主观性；但是其没有规定过程的执行流程和步骤，可操作性差。

3.3 自适应评估方法

自适应评估法的关键在于系统的安全“免疫”子系统（也就是系统中的实时安全监控系统），它要求“免疫”系统能够区分无害的自体和有害的非自体，并能够根据需要及时地清理系统中的非自体；同时可以根据“免疫”系统受到的破坏实时动态地进行风险评估，实施防护。它要在“免疫”系统中定义“免疫”细胞，当出现黑客攻击、病毒等外来威胁时，“免疫”系统就会根据受侵害的程度发生动态变化，做出具体的响应，如禁止服务、关闭端口、关机等。另外，如果系统中的任意一台主机被攻击，都会迅速通知其他主机，使整个系统的安全得到最大的保障。

自适应风险评估法可以快速地识别系统中现有的风险，实施实时防护，并动态调整防护系统，更好地提高系统的安全性，是未来的发展趋势。但是它的实施难度较大，系统成本较高。

电子政务系统风险评估是一项复杂的大工程，一般采用可操作性较强的OCTAVE方法，但是OCTAVE方法是定性分析的，主观性较强，评估结果较为粗略。所以，在实际的评估过程中经常将层次分析、模糊数学、熵理论、D-S证据理论及BP神经网络等应用到OCTAVE方法中，来降低对于人为主观性的依赖，优化评估的结果[5]。

4 结束语

伴随各种移动电子政务业务的出现，使得电子政务系统的安全形势更加严峻，针对电子政务系统开展信息安全风险评估，我们可以发现，系统在建设、实施和运行过程中存在的威胁、脆弱性及风险，而部署防护及加固安全策略，可以为电子政务提供安全可靠的网络环境。

目前，电子政务系统信息安全风险评估还需要在以下方面加强研究：适应电子政务行业需求的风险评估方法及模型的研究；适用于风险评估不同阶段的自动化评估工具的开发；动态风险评估方法的设计与应用。

参考文献（References）：

[1] 李煜川.电子政务系统信息安全风险评估研究―以数字档案

馆为例[D].苏州大学硕士学位论文，2011.

[2] 唐作其，陈选文，戴海涛，郭峰.多属性群决策理论信息安全风

险评估方法研究[J].计算机工程与应用，2011.47（15）：104-107

[3] 李增鹏，马春光，李迎涛.基于层次分析信息系统风险评

估[J].理论研究，2014.3：80-86

[4] 赵磊.电子政务网络风险评估与安全控制[D].上海交通大学

篇2

0引言

随着电子政务不断推进，社会各阶层对电子政务的依赖程度越来越高，信息安全的重要性日益突出，在电子政务的信息安全管理问题中，基于现实特点的电子政务信息安全体系设计和风险评估[1]模型是突出的热点和难点问题。本文试图就这两个问题给出分析和建议。

1电子政务信息安全的总体要求

随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：

1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。

1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。

1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。

1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。

2电子政务信息安全体系模型设计

完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略

在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：

2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。

2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。

2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。

2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。

安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。

3电子政务信息安全管理体系中的风险评估

电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。

3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。

3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。

电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。

在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。

4结语

电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。

参考文献：

篇3

1 电子政务网络安全概述

1.1 电子政务网络安全发展现状

随着因特网的迅猛发展，我国信息网络技术进入了日益月异的发展阶段，并得以广泛应用。但因特网具有高度的开放性以及自由性，为应用创造极大便利的同时也对其安全性提出了更为严格的要求。现如今，电子政务网络安全问题日益突出，甚至在一定程度上阻碍了我国电子政务建设事业的健康发展，通过何种方式来提升电子政务网络的安全性己然成为亟待解决的问题。

1.2 做好电子政务网络安全风险防范工作的意义

对于整个信息网络而言，电子政务是其中一个比较特殊的应用领域，涉及海量的需要严格保护的信息，相较一般电子商务，其表现出下述特点：首先，信息内容保密等级高；其次，在一定程度上影响甚至决定了行政监督力度；最后，通过网络能够为公众提供高质量的公共服务。电子政务网络一旦遇到安全风险，有可能导致重要信息丢失甚至暴露，带来难以估量的损失，也正因如此，电子政务网络也是信息间谍的首要攻击目标之一。由此可见，政府部门重视和做好电子政务网络安全风险防范工作，对于本部门的高效运行具有相当积极的现实意义。

2 电子政务网络安全风险分析

2.1 物理层风险分析

对于电子政务网络而言，物理层安全是其整体安全的基础。物理层风险主要包括：地震、洪水以及火灾等导致网络瘫痪甚至毁灭；电源故障导致断电、操作系统异常；设备失窃、损毁导致数据丢失甚至泄露；报警系统存在漏洞等。

2.2 数据链路层风险分析

入侵者可能会以传输线路为突破口，在上面设置窃听设备以达成窃取数据的目的，然后再借助相应技术解读数据，还可能会对数据进行一定的篡改。此类风险因素会给电子政务网络安全埋下严重隐患。

2.3 网络层安全风险分析

对电子政务网络所囊括的各个节点而言，其他网络节点均属于外部节点，属于不可信任范畴，均可能导致安全威胁。风险可能源自内部。攻击者借助snifrer之类的嗅探程序来寻找安全漏洞，然后在此基础上对内网发起攻击。风险也可能源自外部，入侵者可能以公开服务器为跳板向内网发起攻击。

2.4 系统层安全风险分析

系统层安全一般是指网络操作系统、计算机数据库、配套应用系统等方面的安全。现阶段的操作系统，其开发商一定会设置相应的BackDoor（后门），另外，系统本身也必然存在若干安全漏洞。无论是“后门”，还是安全漏洞，均会埋下极大的安全隐患。就具体应用而言，系统安全性在很大程度上取决于安全配置，若安全配置不到位，将会为入侵者提供极大便利。

2.5 应用层安全风险分析

随着网络技术的迅速发展，电脑远程控制呈现出简单化的发展趋势，受此影响，病毒、黑客程序有机结合之后往往带来更为严重的危害，而病毒的入侵通常会导致用户重要数据的泄露。病毒能够经由多种途径（如网上下载、邮件发送以及人为投放等）入侵内部网络系统，所以，其危害是相当严重的。在整个网络系统中，即便只有1台主机“中毒”，也会在很短时间里使其他主机受到感染，进而埋下数据泄露等一系列不安全因素。

2.6 管理层安全风险分析

在网络安全中，管理属于核心部位。安全管理体系不完善，未能明确界定权责，极可能导致管理安全风险。当网络受到内部或外部的相关安全威胁时，难以及时且合理地应对，同时也难以对入侵行为进行追踪，换而言之，网络可控性以及可审查性不理想。因而，重视和做好管理层的工作便成了当务之急。

3 电子政务网络安全风险的防范

3.1 物理层风险的防范

使用那些可提供验证授权等功能的产品，对内外网用户进行高效管理，从而避免入侵者在没有授权的情形下对网络内的重要或敏感数据进行窃取和篡改，又或者对服务提供点发动攻击，防止入侵者通过伪用户身份取得授权而导致严重的网络危害。可借助系列路由器、防火墙产品、计算机网络管理平台之间的有机配合，以实现对用户信息（用户名、登录密码、权限）的科学管理，并在此基础上优化服务策略。

3.2 数据链路层风险的防范

对于政府网络应用而言，其不仅涉及大量的内部应用（OA系统、文件共享以及邮件接收等），同时还涉及大量的外部应用（和合作伙伴之间的沟通等）。为实现对远程用户的有效控制，保证内网资源的安全性，可公共网络中开辟出专用网络，从而使得相关数据可以经由安全系数较高的“加密通道”传播。由国家相关要求可知，政府网络可依托既有平台构建属于自己的内部网络，但一定要采用认证以及加密技术，从而确保数据传输拥有足够的安全性。对于单独的VPN网关而言，其核心功能是以IPSec数据包为对象，执行加（解）密以及身份认证处理，若采用该部署方式，防火墙难以对VPN数据予以有效的访问控制，继而带来诸多负面问题。所以，在防火墙安全网关上集成VPN便成了现阶段安全产品的主流发展趋势之一，可以能提供一个集灵活性、高效性以及完整性等诸多优点于一身的安全方案。

3.3 网络层安全风险的防范

在所有网络出口处设置防火墙能够实现对网络的有效隔离，将其划分为若干安全域，从而进行相应的访问控制。以防火墙为工具进行多网口结构设计，如此一来，能够为合法用户提供相关服务，与此同时，将非法用户的访问拒之门外。当防火墙配置了入侵检测这―功能时，便能够以自动检测的方式查找网络数据流中可能的、隐藏的入侵方式，并提醒管理员及时优化控制规则，最终为整个网络提供实时而有效的网络保护。

3.4 系统层安全风险的防范

为实现对操作系统安全的有效保护，建议从下述两点着手：首先，使用具有自主知识产权且向政府提供源代码的那一类产品；其次，以系统为对象，通过漏洞扫描工具进行定期扫描，以便及时发现相关问题。

3.5 应用层安全风险的防范

建议安装高性能的专业防火墙，要求具备下述功能：（1）外部攻击防范；（2）内网安全；（3）流量监控；（4）邮件过滤；（5）网页过滤；（6）应用层过滤等。引入和应用以ASPF为代表的应用状态检测技术，在验证连接状态是否正常的同时，也可实现对异常命令的有效检测。

3.6 管理层安全风险的防范

对于网络安全而言，管理层安全是其核心所在。通过安全管理的有效实施可为各项安全技术的顺利实施提供有力保障，建议从两方面入手：首先，立足本地区以及本部门的实际情况，制定和实施针对性的安全管理规范，充分利用网络，发挥其在信息化建设工作中的重要作用，推动政府部门信息化建设工作的顺利、高效开展；其次，以可能发生的电子政务网络突发事件为对象，制定配套的应急预案，构建健全的应急机制，从而尽可能地消除突发网络事件所带来的负面影响，最终为电子政务网络的高效运行奠定坚实基础。

4 电子政务网络安全体系建设案例

4.1 某市电子政务现状分析

某市现辖三市（县级市）、五县、五区和一百多个基层政务单位。在政府信息化建设的大背景下，该市的市政府行政管理体制正积极向精简化、统一化以及高效化的方向不断发展。现阶段，各级政务单位均结合自身的具体情况构建起了不同形式的、规模大小不一的办公网络，然而在互联方面考虑不足，相互之间形成了所谓的“信息孤岛”，因而构建具有高度统一性质的电子政务外网平台，以保障网络资源的充分共享已然成为当务之急。值得一提的是，各级政务单位在构建自身网络的过程中没有进行统一规划，因而无论是在安全防护上，还是在安全管理上，均存在较明显的欠缺，所以，如何保障电子政务网络安全成了亟需解决的问题。下面将针对其整体解决方案予以进一步探讨。

4.2 整体解决方案

为实现对该市电子政务外网平台的全面、有效保护，应遵循“全网部署、一体安全、简单为本”的原则，为其构建一个一体化的全面安全防护体系，从而最大程度地满足用户的实际需求。

4.2.1 全网部署

在电子政务外网平台体系中，各级政务部门于广域网出口处设置了天清汉马USG一体化安全网关如图1所示，并将集中管理系统设置在了该市的市政府信息中心，能以整个网络体系为对象进行统一化管理。在统一化管理模式下，管理员通过面前的计算机便能够及时了解各级政务部位的网络状态，尤其是各类风险以及威胁，若察觉到局部突发性质的不安全事件，可马上对整个网络的安全策略进行相应调整，然后统一下发，消除网络威胁，减轻不利影响，从而构建一个具有在线监测和高效防护功能的一体化安全风险管理体系。

4.2.2 一体安全

对于天清汉马USG一体化安全网关而言，其优点表现在两大方面，一个是高性能的硬件架构，另一个是一体化的软件设计，集若干项高效的安全技术（防火墙、VPN以及入侵防御等）于一体，还推出了QoS、负载均衡以及日志审计等实用功能，可为网络边界提供及时而强大的安全防护。这便是“一体安全”的重要体现。除此之外，借助集中管理技术能够对系统中的多台计算机同时下发安全管理策略，如此一来，大幅简化了安全策略的具体实施过程。

4.2.3 简单为本

篇4

2 电子政务发展现状以及概念 

2.1 电子政务信息安全保密管理阶段 

目前，可以将我国电子政务中的信息安全保密管理分成三个阶段：（1）实现全自动化办公，应用的工具主要是Office软件以及台式计算机，把原来的手写形式变成了电子输入，使办公操作能够更加快捷和方便；（2）把Internet当做主要客户端，不同用户、不同行业以及不同终端等都可以贯通交互，使信息交换以及资源共用范围可以更加广泛，显著提升了以前的工作效率；（3）以外部网络以及内部网络共同建立的电子政务信息为中心。 

2.2 电子政务具体概念和相应的保密要求 

所谓电子政务就是指国家政府机构通过现代信息技术以及通信功能进行政务信息交流的手段，利用网络技术使管理工作以及服务在这一领域更加深化，从而产生的一种信息交流方式，就是为了优化重组政府内部具体工作流程以及组织结构，使其不再受到时间以及部门和空间的分隔限制，让政府能够有效地和更加诚信地进行行政管理，使管理环节更加精简，为社会提供更加优质、透明、规范、全面的管理以及服务。我国《保密法》是在2010 年重新修订并且正式实施的，其中就进行了规定，以保证国家秘密安全为工作前提，合理应用相应的电子网络信息。和发达国家相比，我国信息产业发展以及信息技术水平还比较落后，虽然有些安全软件可以对电子政务起到一定的防御作用，同时，也必须考虑安全软件所具有的性能是否与电子政务的国情相符。 

3 电子政务信息具体安全保密风险和相应的防范措施 

3.1 网络技术安全所具有的脆弱性 

篇5

一、现状

电子政务建设作为国民经济信息化的重要组成部分，在现阶段对于带动国民经济和社会信息化，提高国民信息化意识，进一步扩大信息化需求，推动信息技术在全社会各个领域的普及应用，都具有十分重要的现实意义。随着对电子政务投资的增加以及应用的深入。信息系统的规划、建设和运行的难度和风险因素剧增。通常，信息化项目都存在高风险，成功率平均只有30％左右，电子政务更不例外，而且相对一般信息化(如企业信息化)项目，电子政务项目更复杂，不确定性更大，经验更少。如果对潜在的困难和风险估计不足，或不能有效化解这些风险，将可能造成损失。因此应充分估计风险和困难，并通过加强全过程的管理来化解电子政务风险，提高项目的成功率。

二、电子政务风险简析

风险是指预期结果偏离期望值的可能性。风险一般可分为外部风险和内部风险。外部风险主要是指与项目本身没有直接关系，但又会影响到项目实施效果的客观因素即环境因素造成的风险；内部风险是指与项目本身直接相关的人或事对项目产生的影响所造成的风险。

(一)外部风险

外部风险作用于项目全过程，充分认识和正确处理外部风险是电子政务项目成功的重要前提。

首先，政策和法律风险是电子政务外部风险的基础性风险。在政策方面，政府可能颁布与为项目提供支持依据的条文产生冲突的法规、文件，或者为项目提供支持依据的条文失效；在法律方面，项目实施单位与政府部门在签订合同时未仔细审核合同条文、明确责权，或在一些涉及技术部分的条文方面存在信息不对称的情况，致使合作双方在许可权、专利等方面发生合同失效、诉讼等情况。

其次，转变和调整的风险，即部门发展战略的改变也会给电子政务带来风险。如果遇到大的人动或者大的政策变化，一个部门的整体战略会因此而受到影响，从而可能会要求电子政务系统的建设发生变化。

再次，领导特别是高层领导主要关注系统的表现，为确保系统表现稳定准确，一些隐蔽工程就可能放在上线后实施。由于需求变化的不可控性，会使项目不能在预期的时间内完成。我们把这样的风险称为进度风险。

最后，自然灾害、电信故障等不可抗力所引起的风险也是电子政务不可忽视的风险。

(二)内部风险

内部风险是可控风险，对电子政务项目能否成功具有决定性作用。按风险的来源分析，内部风险主要包括三个维度：协调性风险，技术性风险，实施与运行风险。

第一，协调性风险。协调性风险是合作主体即电子政务实施单位和政府部门之间的矛盾所造成的。对目标的期望和认识不一致，责任与信息不对称，文化意识差异和沟通矛盾等问题都是这种风险存在的原因。由于国内电子政务建设实践时间不长，加上缺少深入研究和经验不足。难以真正把握其本质和发展规律。一些人简单地认为只有加大信息化投资就可以实现跨越式发展，只有建设业务系统就是信息化，只要实现了网络化、数字化就可以开展电子政务。这种对信息化和电子政务的片面认识，会导致忽视行政改革、盲目建设等问题。系统设计时未充分考虑政府部门间的相互影响，在实施过程中受到其它强力部门以不符合某方面规划等理由而提出系统更改要求；需要多部门配合的系统可能会涉及到某个或某几个部门的既得利益，在建设和推广过程中，项目可能会受到阻挠。实施单位与政府部门之间缺乏有效沟通而造成的理解偏差所引起的风险，实质上是文化意识差异或不同沟通方式矛盾的外在表现。

第二，技术性风险。技术性风险是由对实施方案、软件开发工具和技术的选择及对软件和硬件设备的采购等涉及技术层面的问题所引起的风险。规划是电子政务建设的基础和主要工作，但由于对电子政务认识的局限性以及目前的行政体制和投融资体制等原因，很多项目在没有总体规划的情况下，临时策划并建设，出现了项目目标模糊、贪大求全、急于求成、脱离需求等问题。即使制定了规划，也可能是多个项目的简单罗列，不能切实针对电子政务的阶段要求，结合区域经济社会发展需要，紧密配合行政业务改革，有系统、有层次、有选择地规划电子政务项目。不能统筹各类信息化资源，致使已建成项目的相关性、集成度存在不足，效率低下。另外，系统设计时，对一些问题没有预见，使得设计错误影响项目的实施。开发软件环境没有准备好或与实际环境不同，导致产品无法装载到运行环境，或因为运行环境和产品开发环境的差异，尤其是开发机器与服务器硬件配置存在差异，从而造成部署困难。

由于政府采购需要一定的时间周期，当系统需要上线时必需的设备、软件不能按时到货，采购的产品不能满足系统升级或兼容其他政务平台的要求，或在选择开发工具时没有考虑技术的发展趋势与其它开发工具的协作性，从而导致信息孤岛的出现。项目建设中，涉及到对旧有异构数据和系统的整合时，由于在实施前没有做充分调查，不了解相关技术细节、采用比较成熟和稳定的整合方案，并制定接口规范，使得整合后系统不能正常使用或运行不稳定。

第三，实施与运行风险。人员组合不恰当与变动造成团队涣散，项目审批与监理存在问题，实施与运营没有很好交接，双方的信息沟通不畅等问题，都会影响电子政务的建设与应用。在资金使用方面，由于缺乏对部门资金的有效监督，使得浪费严重，建设成本不断攀升，并出现了不断攀比建设规模的现象；另外，如果没有合理的成本分析，或没有考虑到优化开发或创新管理以减少成本，会使项目缺少后续资金；项目在建设和运行阶段资金被挪用，造成进一步建设和运行困难。电子政务项目的效益主要体现在内部办公效率、对外服务能力等社会效益方面，并且缺少有效的测评指标及办法，因而难以量化考评。由于上述原因，电子政务项目在应用效益、资金使用与控制方面产生了潜在的风险。在建设和实施电子政务的时候，可能会需要再造旧有的政务运作模式，组织架构业绩考评体系。如果不对政务流程进行优化、简化，可能造成已建成的电子政务平台得不到很好应用，甚至完全不能使用。项目组成人员流动比较频繁，交接不顺利或管理不到位，使项目的进度和质量受到影响。开发团队内部或多个开发团队之间沟通与协调不够，导致程序员对系统设计的理解上出现偏差。实施方与政府部门交接时，开发人员与维护人员没有全而细致的工作沟通，造成一定时期内的维护困难。当电子政务平台进入使用阶段后，不少项目存在稳定性、安全性、可靠性等方面的不足，随着部分业务广泛且深度地利用信息系统，系统的任何不稳定、不安全、不可靠运行，都可能造成损失。对信息资源没有有效开发，对政务信息没有

按照信息标准的要求或不及时，都会造成不良影响。在电子政务建设中。由于资金规模膨胀对部门有利，且缺少项目评价办法，造成项目评价越来越模糊，责任无从分清，更无法追究。结果，电子政务项目规模越来越大，而效益问题却越来越模糊。这种“大投入、软约束、轻责任”，权利和责任不对称的情况将进一步增加电子政务建设的风险。

三、应对措施

(一)主管部门应加强宣传，使政府部门工作人员树立“用电子、重政务”的观念，对电子政务的本质有准确把握，明白在电子政务中，电子是工具，政务是目的。在选择电子政务方案时，要以“重政务”的态度，采用效果评估的方式，对到底要通过电子政务压缩多少流程，提高多少服务以及如何调整下属各部门的职能等方面进行摸底，认真分析。

(二)将电子政务曲建设和实施制度化、流程化。建立项目沟通机制，做好电子政务项目的前期咨询工作，对项目做专业的前期评估，认真分析功能需求及经费需求。电子政务主要是政府的事情，要充分发挥政府在电子政务项目建设过程中的积极作用。

(三)制定严密的操作程序，确定项目审核标准，加强监理。规范采购行为，对实施企业的选择实行透明化操作，鼓励竞争，提高财政资金的使用效率。