在我國(guó)的電子政務(wù)系統(tǒng)中，政府機(jī)關(guān)的公文往來(lái)、資料存儲(chǔ)、服務(wù)提供都以電子化的形式來(lái)實(shí)現(xiàn)，但在提高辦公效率、擴(kuò)大政府服務(wù)內(nèi)容的同時(shí)，也為某些居心不良者提供了通過(guò)技術(shù)手段竊取重要信息的可能。目前，我國(guó)的電子政務(wù)系統(tǒng)存在著很大的安全隱患，電子政務(wù)建設(shè)中的網(wǎng)絡(luò)安全問(wèn)題亟待解決。國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心統(tǒng)計(jì)顯示， 我國(guó)各級(jí)政府網(wǎng)站僅在2005年就被篡改2027次，比上年多一倍，這還不包括隱蔽的篡改行為。此外，數(shù)據(jù)信息泄漏、 服務(wù)器數(shù)據(jù)庫(kù)被更改及其他非針對(duì)網(wǎng)站攻擊等現(xiàn)象更是數(shù)不勝數(shù)。為此，本文就如何保障電子政務(wù)系統(tǒng)安全提出幾點(diǎn)建議。

1. 確保網(wǎng)絡(luò)系統(tǒng)的安全。系統(tǒng)安全包括設(shè)備安全、運(yùn)行安全和網(wǎng)絡(luò)安全。 設(shè)備安全是指電子政務(wù)系統(tǒng)中的計(jì)算機(jī)、存儲(chǔ)設(shè)備、網(wǎng)絡(luò)設(shè)備、通信設(shè)備、安全設(shè)備等物理保證安全，防止人為和自然的損壞；運(yùn)行安全是指服務(wù)器操作系統(tǒng)及電子政務(wù)軟件運(yùn)行安全性，防止系統(tǒng)運(yùn)行軟件故障，減少因軟件故障導(dǎo)致的系統(tǒng)運(yùn)行不穩(wěn)定；網(wǎng)絡(luò)安全是指運(yùn)行電子政務(wù)網(wǎng)絡(luò)的聯(lián)通性，保證網(wǎng)絡(luò)聯(lián)通，監(jiān)控和剔除非正常通信。在構(gòu)建電子政務(wù)網(wǎng)絡(luò)時(shí)，要考慮到一定的設(shè)備冗余，使電子政務(wù)網(wǎng)站的運(yùn)行具有不間斷性。電子政務(wù)網(wǎng)站一般情況下需要24小時(shí)提供服務(wù)，所選擇的服務(wù)器和操作系統(tǒng)及電子政務(wù)軟件至關(guān)重要。一方面要保障計(jì)算機(jī)的正常運(yùn)行，還要防止一些惡意的攻擊，故此，必須在服務(wù)器上安裝殺毒軟件和使用防火墻對(duì)服務(wù)器進(jìn)行必要的保護(hù)。服務(wù)器的操作系統(tǒng)要由專業(yè)技術(shù)人員進(jìn)行配置，并由第三方網(wǎng)絡(luò)安全公司進(jìn)行完整的安全檢測(cè)。 網(wǎng)管人員要對(duì)服務(wù)器進(jìn)行24小時(shí)不間斷的監(jiān)控。一要防止因設(shè)備、系統(tǒng)、軟件故障導(dǎo)致的停機(jī)，二要防止黑客的攻擊或病毒的破壞（傳播），三要對(duì)數(shù)據(jù)進(jìn)行實(shí)時(shí)監(jiān)控，對(duì)操作人員的操作進(jìn)行審核，并修復(fù)誤操作。

2. 選擇合適的電子政務(wù)系統(tǒng)。目前，我國(guó)有多家軟件公司在做電子政務(wù)系統(tǒng)。每個(gè)公司的系統(tǒng)都有其自身的優(yōu)點(diǎn)和不足。各級(jí)政府必須有目的地選購(gòu)適合本級(jí)政府的電子政務(wù)系統(tǒng)，軟件系統(tǒng)要和本部門的硬件設(shè)備及管理、操作人員相匹配。另外，軟件所需要的網(wǎng)絡(luò)設(shè)備的負(fù)載及網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)也是非常重要的，各公司的軟件對(duì)此要求也各不相同。只有根據(jù)實(shí)際情況出發(fā)， 才能選擇針對(duì)性強(qiáng)的電子政務(wù)軟件，才能使國(guó)家的資金正常發(fā)揮作用，才能使電子政務(wù)系統(tǒng)正常合理的使用。 筆者曾對(duì)某地級(jí)市的電子政務(wù)系統(tǒng)進(jìn)行檢測(cè)，發(fā)現(xiàn)其使用率不足5%， 所使用的Oracle數(shù)據(jù)庫(kù)及Unix操作系統(tǒng)沒有一個(gè)網(wǎng)絡(luò)管理人員熟悉，一旦系統(tǒng)出了問(wèn)題就只有等軟件廠商來(lái)解決，安全問(wèn)題更得不到保障。這就是選擇不當(dāng)?shù)慕Y(jié)果，如果選用Windows Server 2003和SQL Server 2005及Lout 7或Exchange Server平臺(tái)上的電子政務(wù)系統(tǒng)，管理、維護(hù)就方便得多。

3． 使用恰當(dāng)?shù)募用芗罢J(rèn)證手段確保連接的安全性。在電子政務(wù)系統(tǒng)中，客戶端（工作機(jī)）與服務(wù)器的連接是必須的。目前，隨著計(jì)算機(jī)技術(shù)的發(fā)展及網(wǎng)絡(luò)的普及，單機(jī)版的電子政務(wù)軟件已經(jīng)越來(lái)越少了，網(wǎng)絡(luò)版中，客戶端（工作機(jī)）必須與服務(wù)器連接，讀寫服務(wù)器數(shù)據(jù)庫(kù)中的數(shù)據(jù)。目前，我國(guó)的電子政務(wù)系統(tǒng)一般使用的是C/S或B/S模式。基于C/S模式的電子政務(wù)系統(tǒng)中主要使用的網(wǎng)絡(luò)連接有非加密連接（ODBC直接連接）、VPN遠(yuǎn)程接入兩種。使用非加密直連，黑客可以通過(guò)嗅探器輕松獲取數(shù)據(jù)庫(kù)名稱及用戶名、 密碼， 可以構(gòu)建一個(gè)虛擬環(huán)境來(lái)對(duì)服務(wù)器數(shù)據(jù)庫(kù)進(jìn)行讀寫， 形成極大的安全漏洞，據(jù)筆者所知，這樣的連接還大量存在。此外，使用VPN遠(yuǎn)程接入，由于選擇VPN設(shè)備的不同，也存在密碼強(qiáng)度問(wèn)題及數(shù)據(jù)被解密的情況。 有些VPN設(shè)備本身存在缺陷， 也為電子政務(wù)系統(tǒng)安全帶來(lái)隱患?；贐/S模式的電子政務(wù)系統(tǒng)，目前有非加密、IPSec加密、SSL加密、使用VPN連接及數(shù)字認(rèn)證（卡證）等。相對(duì)于C/S模式，加密的選擇種類較多，算法多種多樣，支持第三方認(rèn)證，加密強(qiáng)度也較高，許多加密手段集成到操作系統(tǒng)中， 在目前的電子政務(wù)系統(tǒng)中使用較多。 現(xiàn)在的電子政務(wù)系統(tǒng)大部分使用的是VPN連接和IPSec加密，SSL加密目前大部分用于電子商務(wù)網(wǎng)站。 基于VPN連接，客戶端(工作機(jī)）連接到VPN設(shè)備（VPN服務(wù)器），獲得加密通道，啟用安全連接，進(jìn)行數(shù)據(jù)傳輸，黑客無(wú)法進(jìn)行正常的嗅探?；贗PSec加密，是服務(wù)器和客戶端全部啟用IPSec協(xié)議，傳輸數(shù)據(jù)實(shí)施制定的加密強(qiáng)度的加密， 即便黑客嗅探到數(shù)據(jù)，其解密難度也極其大。基于SSL協(xié)議加密，客戶端與服務(wù)器連接認(rèn)證時(shí)，使用SSL進(jìn)行加密通訊，即便遭到黑客嗅探，解密也需要極其長(zhǎng)的時(shí)間，相對(duì)來(lái)說(shuō)能夠很好地保護(hù)用戶登錄信息，在傳輸敏感信息時(shí)，也啟用SSL，保護(hù)數(shù)據(jù)安全。不過(guò)，目前我國(guó)電子政務(wù)系統(tǒng)中，此技術(shù)使用較少。有些電子政務(wù)系統(tǒng)使用數(shù)字證書（卡證）等進(jìn)行身份認(rèn)證，在連接時(shí)，將數(shù)字證書（卡證）附著在登錄中，進(jìn)行加密，但有些高技術(shù)的黑客仍可以通過(guò)分析嗅探得到數(shù)據(jù)包， 分離出數(shù)字證書或卡證，冒用身份認(rèn)證。有些基于域的用戶可以使用域信任，一般情況，此信任在內(nèi)部相對(duì)安全，也方便得多。此認(rèn)證使用Kerberos（KB認(rèn)證），目前使用的是V4或V5兩個(gè)版本，網(wǎng)絡(luò)管理員和軟件廠商通過(guò)合理的加密強(qiáng)度及認(rèn)證方法來(lái)保障客戶端（工作機(jī)）與服務(wù)器的安全鏈接。

4． 加強(qiáng)對(duì)電子政務(wù)網(wǎng)的運(yùn)行監(jiān)管。 在電子政務(wù)網(wǎng)中，網(wǎng)絡(luò)管理員和政府相關(guān)部門都要加強(qiáng)管理。網(wǎng)絡(luò)管理員要實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)的安全運(yùn)行，發(fā)現(xiàn)異常情況或網(wǎng)絡(luò)攻擊要及時(shí)分析原因， 并在第一時(shí)間上報(bào)， 并與有關(guān)部門（如公安部門）協(xié)調(diào)解決。筆者在對(duì)河北某市的電子政務(wù)系統(tǒng)了解中，發(fā)現(xiàn)網(wǎng)絡(luò)管理員在廠商配置完成后近兩年沒有對(duì)網(wǎng)絡(luò)進(jìn)行任何維護(hù)，大量新出現(xiàn)的漏洞沒有修補(bǔ)， 黑客極易對(duì)網(wǎng)絡(luò)進(jìn)行攻擊，安全問(wèn)題無(wú)法保證。這就要求管理員必須做到每天都對(duì)系統(tǒng)數(shù)據(jù)庫(kù)進(jìn)行備份，并對(duì)數(shù)據(jù)進(jìn)行必要的完整性檢測(cè)，發(fā)現(xiàn)問(wèn)題要及早處理，及時(shí)消除安全隱患。此外，系統(tǒng)管理員還要與廠商保持經(jīng)常性的聯(lián)系，及時(shí)更新軟件，不定期地對(duì)系統(tǒng)及網(wǎng)絡(luò)進(jìn)行安全測(cè)試，使用安全掃描軟件對(duì)系統(tǒng)進(jìn)行必要的安全掃描。

5． 建立健全相關(guān)的法律及各項(xiàng)規(guī)章制度，加強(qiáng)內(nèi)部人員的管理。在電子政務(wù)網(wǎng)絡(luò)安全體系中，必須要健全網(wǎng)絡(luò)安全的法律法規(guī)，強(qiáng)化電子政務(wù)信息安全的法制管理，并且加強(qiáng)對(duì)網(wǎng)絡(luò)管理員的監(jiān)控、管理，形成有力的約束。政府有關(guān)部門必須對(duì)從業(yè)人員進(jìn)行必要的教育，提高其道德水平。要有嚴(yán)格的工作人員審核制度， 并結(jié)合規(guī)章制度來(lái)約束內(nèi)部人員，對(duì)違法違章行為嚴(yán)加懲處，最大限度保護(hù)系統(tǒng)的穩(wěn)定和網(wǎng)絡(luò)的安全。

（收稿日期：2007-09-19）