《电子政务信息安全保障体系》

电子政务信息安全保障体系

电子政务涉及对国家秘密信息和高敏感度核心政务的保护，设计维护公共秩序和行政监管的准确实施，涉及到为社会提供公共服务的质量保证。电子政务是党委、政府、人大、政协有效决策、管理、服务的重要手段，必然会遇到各种敌对势力、恐怖集团、捣乱分子的破坏和攻击。尤其电子政务是搭建在基于互联网技术的网络平台上，包括政务内网、政务外网和互联网，而互联网的安全先天不足，互联网是一个无行政主管的全球网络，自身缺少设防和安全隐患很多，对互联网犯罪尚缺乏足够的法律威慑，大量的跨国网络犯罪给执法带来很大的难度。所有上述分子利用互联网进行犯罪则有机可乘，使基于互联网开展的电子政务应用面临着严峻的挑战。

对电子政务的安全威胁，包括网上黑客入侵和犯罪、网上病毒泛滥和蔓延、信息间谍的潜入和窃密、网络恐怖集团的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱和瘫痪、信息产品的失控等，应引起足够警惕，采取安全措施，应对这种挑战。

电子政务的安全目标和安全策略

电子政务的安全目标是，保护政务信息资源价值不受侵犯，保证信息资产的拥有者面临最小的风险和获取最大的安全利益，使政务的信息基础设施、信息应用服务和信息内容为抵御上述威胁而具有保密性、完整性、真实性、可用性和可控性的能力。

为实现上述目标应采取积极的安全策略：

·国家主导、社会参与。电子政务安全关系到政府的办公决策、行政监管和公共服务的高质量和可信实施的大事，必须由国家统筹规划、社会积极参与，才能有效保障电子政务安全。

·全局治理、积极防御。电子政务安全必须采用法律威慑、管理制约、技术保障和安全基础设施支撑的全局治理措施，并且实施防护、检测、恢复和反制的积极防御手段，才能更为有效。

·等级保护、保障发展。要根据信息的价值等级及所面临的威胁等级，选择适度的安全机制强度等级和安全技术保障强壮性等级，寻求一个投入和风险可承受能力间的平衡点，保障电子政务系统健康和积极的发展。

电子政务安全保障体系框架

电子政务安全采取“国家推动、社会参与、全局治理、积极防御、等级保护、保障发展”的策略，鉴于电子政务的信息安全面临的是一场高技术的对抗，是一场综合性斗争，涉及法律、管理、标准、技术、产品、服务和基础设施诸多领域，所以电子政务安全，还要从全局来构建其安全保障的体系框架，以保障电子政务的健康发展。

电子政务安全保障体系由六要素组成，即安全法规、安全管理、安全标准、安全服务、安全技术产品和安全基础设施等安全要素（见图1）。

要素一安全法律与政策

电子政务的工作内容和工作流程涉及到国家秘密与核心政务，它的安全关系到国家的主权、国家的安全和公众利益，所以电子政务的安全实施和保障，必须以国家法规形式将其固化，形成全国共同遵守的规约，成为电子政务实施和运行的行为准则，成为电子政务国际交往的重要依据，保护守法者和依法者的合法权益，为司法和执法者提供法律依据，对违法、犯法者形成强大的威慑。

《中华人民共和国保护国家秘密法》已实施13年，已不完全适应我国当前保密工作的现状，特别是电子政务的发展，亟待修订。

政务信息公开是电子政务的重要原则，为了拉近政府和公众的距离，使公众具有知情权、参与权、监督权和享用政府服务的权利，为公众提供良好的信息服务，充分挖掘政务信息的最大效益，开放政务信息资源（非国家涉密和适宜公开部分）服务于民是电子政务的重要特征。尽快制订政务信息公开法，适度的解密和规范开放的规则，保护政府部门间信息的正常交流，保护社会公众对信息的合法享用，打破对政务信息资源的垄断和封锁，提高政府行政透明度和民主进程是非常有利的和必需的。

电子政务亟待电子签章和电子文档的立法保护，国际已有近20多个国家对数字签名和电子文档进行了立法，使数字签名和电子文档在电子政务和电子商务运行中具有法律效力。这将大大促进电子政务和电子商务的健康发展，使电子政务原来的双轨制走向单轨制，这有利于简化程序、降低成本，充分显示电子政务效益是非常有利的。

个人数据保护（隐私法）的需求伴随电子政务的发展日显突出。电子政务在实施行政监管和公众服务中有大量的个人信息（自然人和法人），如户籍、纳税、社保、信用等信息大量进入了政府网络信息数据库，它对完成电子政务职能发挥巨大作用。但是这些个人信息如果保护不力或无意被泄漏，而被非法滥用，就可能成为报复、盗窃、推销、讨债、盯梢的工具。在国外已经出现将盗用的个人隐私信息作为非法商品出售，以牟取暴利的情况，这样直接损害个人的利益，甚至危及个人的生命安危。因此加快个人数据保护法的制订，是必要的。

还有很多法规的制订都直接关系到电子政务的健康发展，加快制订这些法规，势在必行。

要素二安全组织与管理

我国信息安全管理职能的格局已经形成，如国家安全部、国家保密局、国家密码管理委员会、信息产业部、总参„„分别执行各自的安全职能，维护国家信息安全。电子政务安全管理涉及到上述众多的国家安全职能部门，其安全管理职能的协调需要由国家信息化领导机构，如国家信息化领导小组及其办公室、国家电子政务协调小组、国家信息安全协调小组等来进行。各地区和部委建立相应的信息安全管理机构，以完成和强化信息安全的管理，形成自顶向下的信息安全管理组织体系，是电子政务安全实施的必要条件。

制订颁发电子政务安全相关的各项管理条例，及时指导电子政务建设的各种行为，从立项、承包、采购、设计、实施、运行、操作、监理、服务等各阶段入手，保障电子政务系统建设全程的安全和安全管理工作的程序化和制度化。

电子政务信息安全域的划分与管理是至关重要的。电子政务有办公决策、行政监管和公共服务等三种类型业务，其业务信息内容涉及国家机密、部门工作秘密、内部敏感信息和开放服务信息。既要保护国家秘密又要便于公开服务，因此对信息安全域的科学划分和管理，将有益于电子政务网络平台的安全设计，有益于电子政务的健康和有效的实现。

制订电子政务工程集成商的资质认证管理办法、工程建设监理机构的管理办法、工程外包商的管理机制和办法，以确保电子政务工程建设的质量和安全，特别是对于电子政务系统的外包制更要有严格的制约和管理手段。对于电子政务中涉密系统工程的承建，还必须有国家保密局颁发的涉密系统集成资质证书，其他部分应具有国家或省市相应的系统集成商的资质证书。对于电子政务涉密部分，不允许托管和外包运行，电子政务其他部分将按相关管理条例执行。

电子政务工程中使用的信息安全产品，国家将制订相应的采购管理政策，涉及密码的信息安全产品需有国家密码主管部门的批准证书，信息安全产品应有通过国家测评主管机构的安全测评的证书，维护信息安全产品的可信性。

电子政务系统信息内容根据管理需求，可以实施对信息内容的安全监控管理，以保护政务信息安全，防止由于内部违规或外部入侵可能造成的网络泄密，同时也阻止有害信息内容在政务网上传播。

制订电子政务系统的人员管理、机构管理、文档管理、操作管理、资产与配置管理、介质管理、服务管理、应急事件管理、保密管理、故障管理、开发与维护管理、作业连续性保障管理、标准与规范遵从性管理、物理环境管理等各种条例，确保电子政务系统的安全运行。

要素三安全标准与规范

信息安全标准有利于安全产品的规范化，有利于保证产品安全可信性、实现产品的互联和互操作性，以支持电子政务系统的互联、更新和可扩展性，支持系统安全的测评与评估，保障电子政务系统的安全可靠。

国家已正式成立“信息安全标准化委员会”，近期成立了信息安全标准体系与协调工作组（wg1）、内容安全分级及标识工作组（wg2）、密码算法与密码模块/kmi/vpn工作组（wg3）、pki/pmi工作组（wg4）、信息安全评估工作组（wg5）、操作系统与数据库安全工作组（wg6）、身份标识与鉴别协议工作组（wg9）、操作系统与数据库安全工作组（wg10），以开展电子政务安全相关标准的研制工作，支撑电子政务安全对标准制订的需求。

还将制订下列标准。涉密电子文档密级划分和标记格式、内容健康性等级划分与标记、内容敏感性等级划分与标记、密码算法标准、密码模块标准、密钥管理标准、pki/ca标准、pmi标准、信息系统安全评估和信息安全产品测评标准、应急响应等级、保护目标等级、应急响应指标、电子证据恢复与提取、电子证据有效性界定、电子证据保护、身份标识与鉴别、数据库安全等级、操作系统安全等级、中间件安全等级、信息安全产品接口规范、数字签名„„。

要素四安全保障与服务

1.电子政务系统建设，要构建其技术安全保障架构，对大型电子政务系统要建立纵深防御体系。

·设置政务内网的安全与控制策略；

·设置政务外网的安全与控制策略；

·设置进入互联网的安全服务与控制策略；

·设置租用公网干线的安全服务与控制策略，包括有线通信、无线通信和卫星通信的安全服务与控制策略；

·设置政务计算环境的安全服务与机制。

采用纵深防御和多级设防，是电子政务安全保障的重要原则，通过全局性的安全防护、安全检测、快速响应、集成的安全管理与安全设施的联动控制，以达到系统具有防护、检测、反应与恢复能力。

2.推广电子政务信息系统安全工程（isse）的控制方法，全面实现安全服务要求。

电子政务安全系统的设计，首先要做好系统资产价值的分析，如物理资产的价值（系统环境、硬件、系统软件）、信息资产的价值、其数据与国家利益和部门利益的关联度；其业务系统（模型、流程、应用软件）正常运行后果所产生的效益，从而确定系统安全应保护的目标，在上述分析的基础上提出整个安全系统的安全需求，进一步定义达到这些安全需求所应具有的安全功能，然后探索系统可能面临的威胁类型，并找出系统自身的脆弱性，这些威胁和脆弱性有：

·网上黑客与计算机犯罪；

·网络病毒的蔓延与破坏；

·机要信息流失与信息间谍潜入；

·网上恐怖活动与信息战；

·内部人员违规与违法；

·网上安全产品的失控；

·网络与系统自身的漏洞与脆弱性。

在这些威胁面前，要分析哪些威胁是本系统主要面临的威胁，哪些是次要的，对系统和任务造成的影响程度如何。进行定性和定量的分析，提出系统安全对策，确定承受风险的能力，寻找投入和风险承受能力间的平衡点，然后确定系统所需要的安全服务及对应的安全机制（见表一），从而配置系统的安全要素。在工程的生命周期中要进行风险管理、风险决策流程（见图2），这种风险管理是要对电子政务全程进行的。

系统投入运行要对其安全性进行有效评估，即评估者给出的评估证据和建设者采用的技术保障设施，的确能使系统拥有者确信已选用技术对策，确实减少了系统的安全风险，满足必要的风险策略（风险策略可以是“零”风险策略、最小风险策略、最大可承受风险策略或不计风险策略），使其达到保护系统资产价值所必需的能力（见图3）。上述有效评估过程可用安全技术保障强壮性级别（iatrn）来描述：

iatrn=f（vn，tn，smln，ealn）

tn：威胁等级

vn：资产价值等级

smln：安全机制强度等级

ealn：评估保障等级

要素五安全技术与产品

1.加强安全技术和产品的自主研制和创新。

由于电子政务的国家涉密性，电子政务系统工程的安全保障需要各种有自主知识产权的信息安全技术和产品，全面推动自主研发和创新这些技术和产品是电子政务安全的需要。这些产品和技术可以分为六大类：

·基础类：风险控制、体系结构、协议工程、有效评估、工程方法；

·关键类：密码、安全基、内容安全、抗病毒、ids、vpn、rbac、强审计、边界安全隔离；

·系统类：pki、pmi、dri、网络预警、集成管理、kmi；

·应用类：ec、eg、nb、ns、nm、wf、xml、cscw；

·物理与环境类：tempex、物理识别；

·前瞻性。免疫技术、量子密码、漂移技术、语义理解识别。

2.电子政务安全产品的选择。

整个电子政务的安全，涉及信息安全产品的全局配套和科学布置，产品选择应充分考虑产品的自主权和自控权。

产品可涉及安全操作系统、安全硬件平台、安全数据库、pki/ca、pmi、vpn、安全网关、防火墙、数据加密机、入侵检测（ids）、漏洞扫描、计算机病毒防治工具、强审计工具、安全web、安全邮件、安全设施集成管理平台、内容识别和过滤产品、安全备份、电磁泄漏防护、安全隔离客户机、安全网闸。

要素六安全基础设施

信息安全基础设施是一种为信息系统应用主体和信息安全执法主体提供信息安全公共服务和支撑的社会基础设施，方便信息应用主体安全防护机制的快速配置，有利于促进信息应用业务的健康发展，有利于信息安全技术和产品的标准化和促进其可信度的提高，有利于信息安全职能部门的监督和执法，有利于增强全社会信息安全移师和防护技能，有利于国家信息安全保障体系的建设。因此，推动电子政务的发展，应重视相关信息安全基础设施的建设。

信息安全基础设施有两大类。

1.社会公共服务类

·基于pki/pmi数字证书的信任和授权体系；

·基于cc/tcsec的信息安全产品和系统的测评与评估体系；

·计算机病毒防治与服务体系；

·网络应急响应与支援体系；

·灾难恢复基础设施；

·基于kmi的密钥管理基础设施。

2.行政监管执法类

·网络信息内容安全监控体系；

·网络犯罪监察与防范体系；

·电子信息保密监管体系；

·网络侦控与反窃密体系；

·网络监控、预警与反击体系。

第二篇：关于电子政务信息安全管理体系建设的问题关于电子政务信息安全管理体系建设的几点思考

一、概述

电子政务是政府管理方式的革命，它是运用信息以及通信技术打破行政机关的组织界限，构建一个电子化的虚拟机关，使公众摆脱传统的层层关卡以及书面审核的作业方式，并依据人们的需求、人们可以获取的方式、人们要求的时间及地点等，高效快捷地向人们提供各种不同的服务选择。政府机关之间以及政府与社会各界之间也经由各种电子化渠道进行相互沟通。

电子政务的建立将使政府社会服务职能得到最大程度的发挥，但也使政府敏感信息暴露在无孔不入的网络威胁面前。由于电子政务信息网络上有相当多的政府公文在流转，其中不乏重要信息，内部网络上有着大量高度机密的数据和信息，直接涉及政府的核心政务，它关系到政府部门、各大系统乃至整个国家的利益，有的甚至涉及国家安全。因此，电子政务信息安全是制约电子政务建设与发展的首要问题和核心问题，是电子政务的职能与优势得以实现的根本前提。如果电子政务信息安全得不到保障，不仅电子政务的便利与效率无从保证，更会给国家利益带来严重威胁。

二、电子政务信息系统面临的威胁

电子政务涉及对政府机密信息和敏感政务的保护、维护公共秩序和行政监管的准确实施以及为保障社会提供公共服务的质量。电子政务作为政府有效决策、管理、服务的重要手段，必然会遇到各种敌对势力、恐怖集团、捣乱分子的破坏和攻击。尤其是，电子政务在基于互联网的网络平台上，他包括政务内网、政务外网和互联网，而互联网是一个无行政主管的全球网络，自身缺少设防，安全隐患很多，使得不法分子利用互联网进行犯罪有机可乘，这就使得基于互联网开展的电子政务应用面临着严峻的挑战。

对电子政务的安全威胁包括网上黑客入侵和犯罪、病毒泛滥和蔓延，信息间谍的潜入和窃密，网络恐怖集团的攻击和破坏，内部人员的违规和违法操作，网络系统的脆弱和瘫痪，信息安全产品的失控等，对于这些威胁，电子政务的建设和应用应引起足够警惕，采取果断的安全措施，应对这种挑战。

三、电子政务信息安全管理体系的构建

要有效维护电子政务信息系统的安全，就需要构建电子政务安全管理体系，从而使政务的信息基础设施、信息应用服务能够具有保密性、完整性、真实性和可用性。电子政务安全管理体系包括安全技术体系、安全管理体系和安全服务体系，涉及从管理到组织，从网络到数据，从法规标准到基础设施等各个方面。

1加强安全技术力量是实现电子政务安全的基本方法

安全技术体系是利用技术手段实现技术层面的安全保护，是对电子政务安全防护体系的完善，包括网络安全体系、数据安全传输与存储体系，功能主要是通过各种技术手段实现技术层次的安全保护。

网络安全体系包括网闸、入侵检测、漏洞检测、外联和接入检测、补丁管理、防火墙、身份鉴别和认证、系统访问控制、网络审计等;数据安全与传输与存储体系包括数据备份恢复、pki/ca、pmi等。整个电子政务的安全，涉及信息安全产品的全局配套和科学布置，产品选择应充分考虑产品的自主权和自控权。在关键技术、经营管理、生产规模、服务观念等方面，要集中人力、物力，制订相关政策，大力发展自主知识产权的计算机芯片、操作系统等信息安全技术产品，以确保关键政府部门的信息系统的网络安全。加强核心技术的自主研发，并尽快使之产品化和产业化，尤其是操作系统技术和计算机芯片技术。现阶段各地政府部门目前所选用的高端软硬件平台，很多都是国外公司的产品，这也对政务安全带来了许多隐患。因此，在构建电子政务系统的时候，在可能的情况下，我们应尽量选用国产化技术和国内公司的产品。

2构建安全管理体系是电子政务安全实施的重要基础

安全管理是解决电子政务的安全问题在技术以外的另一有力保障和途径。由于安全的防范技术与破坏技术总是“势均力敌”、“相互促进”的。作为防范者就更应该在安全防范的管理上下更大的工夫。安全管理主要涉及三个方面：法律法规、安全防护体系以及等级保护政策。

（1）法律政策、规章制度和标准规范

电子政务的工作内容和工作流程涉及到国家秘密与核心政务，它的安全关系到国家的主权、国家的安全和公众利益，所以电子政务的安全实施和保障，必须以国家法规形式将其固化，形成全国共同遵守的规约。目前，世界上很多国家制定了与网络安全相关的法律法规，如英国的《官方信息保护法》等。我国虽然颁发了一些与网络安全有关的法律法规，如《计算机信息系统安全保护条例》、《计算机信息系统保密管理暂行规定》等等，但显得很零散，还缺乏关于电子政务网络安全的专门法规。此外，在完善法律法规的同时，还应该加大执法力度，严格执法，这一目标的实现不仅需要政府组织的努力，更要国家立法机构的参与和支持。（.2）电子政务防护体系

贯穿整个电子政务的安全防护体系，对电子政务安全实施起全面的指导作用，具体包括三个方面的内容：安全组织机构、安全人事管理、以及安全责任制度。建立安全组织机构，其目的是统一规划各级网络系统的安全、制定完善的安全策略和措施、协调各方面的安全事宜，主要职责包括制定整体安全策略、明确规章制度、落实各项安全措施实施，以及制订安全应急方案和保密信息的安全策略;安全人事管理，其主要内容包括：人事审查与录用、岗位与责任范围的确定、工作评价、人事档案管理、提升、调动与免职、基础培训等;制定和落实安全责任制度，包括系统运行维护管理制度、计算机处理控制管理制度、文档资料管理制度、操作和管理人员管理制度、机房安全管理制度、定期检查与监督制度、网络通信安全管理制度、病毒防治管理制度、安全等级保护制度、对外交流安全维护制度，以及对外合作制度等。（3）等级保护制度

通过全面推行信息安全等级保护制度，逐步将信息安全等级保护制度落实到信息系统安全规划、建设、测评、运行维护和使用等各个环节，使信息安全保障状况得到基本改善。通过加强和规范信息安全等级保护管理，不断提高信息安全保障能力，为维护信息网络的安全稳定，促进信息化发展服务。

四、完善安全服务是维护电子政务安全实施的有力保障

1安全等级测评和风险评估管理

电子政务信息系统安全测评服务，其实质是通过科学、规范、公正的测试和评估向被测评单位证实其信息系统的安全性能符合等级保护的要求。

由于信息安全直接涉及国家利益、安全和主权，政府对信息产品、信息系统安全性的测评认证要更为严格。对信息系统和信息安全技术中的核心技术，由政府直接控制，在信息安全各主管部门的支持和指导下，依托专业的职能机构提供技术支持，形成政府的行政管理与技术支持相结合、相依赖的管理体制。风险管理是对项目风险的识别、分析和应对过程。它包括对正面事件效果的最大化及对负面事件影响的最小化。电子政务安全风险管理的主要任务是电子政务信息系统的风险评估并提出风险缓解措施，前者是识别并分析系统中的风险因素，估计可能造成的损失，后者是选择和实施安全控制，将风险降低到一个可接受的水平。2安全培训服务

根据不同层次的人才需求，社会化的信息安全人才培养体系应分为专业型教育、应用型教育和安全素养教育三个层次。专业型教育主要是培养信息安全领域的专业研发、工程技术、战略管理等方面的人才。应用型（半专业）教育则是以从事现代信息管理工作的人作为对象，培养目标是要求学生具备信息安全的基本知识、网络和信息系统安全防范技能、组织机构或系统安全管理的能力等。这种应用型的信息安全教育要求受教育对象数量要多，覆盖面要广，基本信息技能要强。通过课程、讲座、宣传等多种形式，达到让每一个人都具备必要的安全意识和常规的信息安全自我防范技术的目的。要求单位领导应具备必要信息安全意识和安全知识;信息管理人员应具备一定的信息安全知识和基本技能;从事信息服务或信息安全服务的有关人员应具备必要的信息安全知识和技术基础等。

[1]何玲，电子政务环境下政府电子文件管理新探索[d].成都：四川大学硕士学位论文，2008.[2]电子政务：安全防护体系构建策略[eb/ol].http：//www.xiexiebang.com，2009.[3]金江军.电子政务信息安全体系建设[eb/ol].博客中国，2005.百度网搜搜网

第三篇：电子政务信息安全和管理电子政务信息安全和管理

一、电子政务顺利实施的核心问题

电子政务是一种全新的政府管理方式，是一个基于网络技术的综合性业务模式。建立电子政务系统参公众服务，必然要求这一系统必须是安全、可靠、抗灾难、可恢复的。计算机和计算机网络的共享、交互和快速为这种系统的建立提供了前提条件，互联网技术的迅速发展和广泛应用，又为电子政务系统不断走向开放互联提供了巨大推动力。随着电子政务信息化的不断发展，电子政务对于网络系统的依赖性越来越强，政务系统作为关系国计民生的重要部分，在安全方面尤为重要，而由于互联网的开放性和公共性带来的不安全因素，使信息安全问题成为保障电子政务顺利实施的核心问题。

二、电子政务信息安全面临的问题

电子政务网分为政务内网（涉密网）和政务外网（非涉密网），两网之间物理隔离，政务外网采取逻辑隔离与互联网联通。政府各部门大力推行的办公自动化、网络化、电子化、信息共享都以这些网络为支撑，以tcp/ipv4为传输协议，该协议为开放协议，从协议规划、服务模式、网络管理等方面均缺乏安全性设计，所以电子政务信息系统就存在着诸多的安全隐患。

1.网络安全规划的不到位，造成网络结构的不合理性。由于信息技术发展的历史原因和建设资金问题，我国电子政务网络的建设在规划上经常缺少前瞻性的安全规划，网络流量存在多个瓶颈，ip地址缺乏统一规划，广播流量可控性差，子网故障隔离性差，重要流量缺乏带宽管理和服务质量优先保证等一大堆问题。随着安全问题的不断出现，只能在运行过程中不停地修修补补。但是，这种修补只能解决暂时的问题，解决一个问题后，往往又有新问题出现。

2.关键核心技术还掌握，增加了我国基础信息网络和重要信息系统安全的隐患。我国对发达国家信息设备和信息技术存在很强的依赖性，信息化核心设备严重依赖国外，对引进技术和设备缺乏必要的信息管理和技术改造。尤其是在系统安全和安全协议的研究和应用方面与发达国家的差距很大。目前组成我国电子政务网络的计算机网络系统所用硬件、软件、操作系统、网管软件、各类应用系统、数据库、防火墙、网络接入设备、路由器、服务器基本上都是国外公司的产品，微机芯片都是intel系列，软件基本上是微软公司的产品，完全自主知识产权的产品基本没有。这些因素使我国的电子政务网络安全性能大大降低，我国的经济和社会发展面临着新的风险。

3.网络安全管理的混乱和规范化的管理制度相对滞后，造成很多管理安全漏洞。由于电子政务的网络是连接多个政务部门的广域网或城域网，需要各部门协调一致，共同维护整个网络平台的安全。但是，由于不同政府部门的信息技术人才和信息化水平的差异性，以及不同政府部门存在一些相关的利益和冲突，因此，很难做到安全管理的统一协调性，一旦发生安全事件，故障定位不准，追查事故源困难，责任问题牵扯不清，从而造成事件的破坏性后果更为严重。

4.安全意识淡薄。目前，在电子政务信息的安全问题上还存在不少认知盲区和制约因素。网络是新生事物，许多人一接触就忙着用于学习、工作和娱乐等，对网络信息的安全性无暇顾及，安全意识相当淡薄，对网络信息不安全的事实认识不足。与此同时，机关、事业单位注重的是网络效应，对安全领域的投入和管理远远不能满足安全防范的要求。总体上看，网络信息安全处于被动的封堵漏洞状态，从上到下普遍存在侥幸心理，没有形成主动防范、积极应对的全民意识，更无法从根本上提高网络监测、防护、响应、恢复和抗击能力。

三、电子政务信息安全措施

1.设备的物理安全。物理层的安全设计应从三个方面考虑：环境安全、设备安全、线路安全。采取的措施包括：机房屏蔽，电源接地，布线隐蔽，防雷。根据中央保密委有关文件规定，凡是计算机同时具有内网和外网的应用需求，必须采取网络安全隔离技术，在计算机终端安装隔离卡或安装安全网闸，使内网与外网之间从根本上实现物理隔离，防止涉密信息通过外网泄漏。

2.信息的加密。电子政务应用涵盖政府内部办公和面对公众的信息服务两大方面。就政府内部办公而言，电子政务系统涉及到部门与部门之间、上下级之间、地区与地区间的公文流转，这些公文的信息往往涉及不宜公开的和有密级的内容。因此，在信息传递过程中，必须采取适当的加密方法对信息进行加密。可采用多种加密方式：a.基于ipsec的加密方式正被广泛采用，其优点显而易见：ipsec对应用系统透明且具有极强的安全性，这一点对于要开发庞大应用的电子政务来说，就显得极有好处了，应用系统开发商不必为数据传输过程中的加密做过多的考虑，易于部署和维护。b.采用vpn技术在公共数据网上进行内部信息的安全传输。其优点是只增加端设备避免了重复建设。c.采用公钥基础设施技术（pki）为基础，以数据机密性、完整性、身份认证和行为的不可否认为安全目的为电子政务提供安全支持。

3.操作系统的安全性。网络安全的重要基础之一是安全的操作系统，因为所有的政务应用和安全措施都依赖操作系统提供底层支持。操作系统的漏洞或配置不当将有可能导致整个安全体系的崩溃。更危险的是，我们无法保证国外厂家的操作系统产品不存在后门。在操作系统安全方面，有两点是值得考虑的：一是采用具有自主知识产权且源代码对政府公开的产品;二是利用漏洞扫描工具定期检查系统漏洞和配置更改情况，及时发现问题。

4.数据备份与容灾。任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。

5.管理制度的完善。电子政务网络内部安全和外部安全一样重要，内部安全除了需要体系化的安全防御策略，还需要严格的、可操作性强的安全管理制度。制度的制订首先要规范，其次要强调制度的强制性、法规约束力和可操作性，同时进行安全宣传教育，增强安全意识的培养和信息安全知识的普及这样才能保证制度的真正贯彻和执行加强。

6.建立网络安全事件应急响应预案。网络安全事件应急响应预案是安全管理制度的一个重要部分，这里单独来讨论，主要是考虑到其重要性。事前有预案，一旦发生安全事件，就可以触发相应的预案处理程序，在最短的时间内恢复正常的网络服务和信息服务，力求把安全事件的破坏力降到最低。□（编辑/李舶）

第四篇：网络信息安全保障体系建设附件3网络信息安全保障体系建设方案

目录

网络信息安全保障体系建设方案………………………………………………………………1

1、建立完善安全管理体系………………………………………………………………………11.1成立安全保障机构……………………………………………………………………………..1

2、可靠性保证………………………………………………………………………………………..22.1操作系统的安全…………………………………………………………………………………32.2系统架构的安全…………………………………………………………………………………32.3设备安全……………………………………………………………………………………………42.4网络安全……………………………………………………………………………………………42.5物理安全……………………………………………………………………………………………52.6网络设备安全加固……………………………………………………………………………..52.7网络安全边界保护……………………………………………………………………………..62.8拒绝服务攻击防范……………………………………………………………………………..62.9信源安全/组播路由安全…………………………………………………………………….7

网络信息安全保障体系建设方案

1、建立完善安全管理体系

1.1成立安全保障机构

山东联通以及莱芜联通均成立以总经理为首的安全管理委员会，以及分管副总经理为组长的网络运行维护部、电视宽带支撑中心、网络维护中心等相关部门为成员的互联网网络信息安全应急小组，负责全省网络信息安全的总体管理工作。

山东联通以及莱芜联通两个层面都建立了完善的内部安全保障工作制度和互联网网络信息安全应急预案，通过管理考核机制，严格执行网络信息安全技术标准，接受管理部门的监督检查。同时针对三网融合对网络信息安全的特殊要求，已将iptv等宽带增值业务的安全保障工作纳入到统一的制度、考核及应急预案当中。内容涵盖事前防范、事中阻断、事后追溯的信息安全技术保障体系，域名信息登记管理制度ip地址溯源和上网日志留存等。并将根据国家规范要求，对三网融合下防黑客攻击、防信息篡改、防节目插播、防网络瘫痪技术方案进行建立和完善。

2、可靠性保证

iptv是电信级业务，对承载网可靠性有很高的要求。可靠性分为设备级别的可靠性和网络级别的可靠性。

（1）设备级可靠性

核心设备需要99.999%的高可靠性，对关键网络节点，需要采用双机冗余备份。此外还需要支持不间断电源系统（含电池、油机系统）以保证核心设备24小时无间断运行。

（2）网络级可靠性

关键节点采用冗余备份和双链路备份以提供高可靠性。网络可靠性包括以下几方面：

接入层。接入层交换机主要利用stp/rstp协议在osi二层实现网络收敛自愈。

汇聚层：在osi第三层上使用双机vrrp备份保护机制，使用bfd、ethernetoam、mplsoam来对链路故障进行探测，然后通过使用快速路由协议收敛来完成链路快速切换。核心层：在p设备（core设备和cr设备）上建立全连接ldpoverte。te的数量在200以下。

组播业务保护。主要基于is-is协议对组播业务采取快速收敛保护，对组播分发进行冗余保护和负载分担。

2.1操作系统的安全

在操作系统级别上，其安全需求主要表现在防止非法用户入侵、防病毒、防止数据丢失等。

防止非法用户入侵：系统设置防火墙，将所有需要保护的主机设置在防火墙内部，物理上防止恶意用户发起的非法攻击和侵入。为业务管理人员建立起身份识别的机制，不同级别的业务管理人员，拥有不同级别的对象和数据访问权限。防病毒：部署防病毒软件，及时更新系统补丁。

数据安全。建立数据安全传输体系，系统具备完善的日志功能，登记所有对系统的访问记录。建立安全的数据备份策略，有效地保障系统数据的安全性。

2.2系统架构的安全

iptv运营管理平台具备双机热备份功能，业务处理机、epg服务器、接口机都支持主备功能。

存储系统能够支持磁盘raid模式，利用raid5技术防止硬盘出现故障时数据的安全。支持ha（highavailability）模式，实现系统的热备份，在主用系统故障时能够自动切换到备用系统，可提供流媒体服务器多种单元的冗余备份。

支持用户通过手工备份功能。并且备份数据可保存到外部设备中。同时，设备可通过分布式部署，保证系统的安全。epg服务器、vdn调度单元、网管均支持分布式处理。

由系统的拥有单位参照该等级对访问控制的要求，协商确定边界防护措施和数据交换安全措施，保障电子政务系统间互联互通的安全。

b）不同等级电子政务系统间的互联互通

各系统在按照自身安全等级进行相应保护的基础上，协商对相互连接的保护。高安全等级的系统要充分考虑引入低安全等级系统后带来的风险，采取有效措