胡成峰

（銅陵市人力資源和社會(huì)保障局，安徽銅陵 244000）

銅陵市“金保工程”信息系統(tǒng)安全體系架構(gòu)

胡成峰

（銅陵市人力資源和社會(huì)保障局，安徽銅陵 244000）

“金保工程”是關(guān)系民生、影響社會(huì)穩(wěn)定的一項(xiàng)系統(tǒng)信息工程，其安全規(guī)劃建設(shè)極為重要。文章從保護(hù)信息網(wǎng)絡(luò)安全、保護(hù)應(yīng)用服務(wù)安全和保護(hù)系統(tǒng)安全三個(gè)方面對(duì)信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)如何進(jìn)行保護(hù)，避免不受偶然的或者惡意的原因而遭到破壞，保障系統(tǒng)連續(xù)、可靠、正常的運(yùn)行，進(jìn)行了分析，描述了銅陵市“金保工程”信息系統(tǒng)安全的建設(shè)規(guī)劃與體系架構(gòu)。

信息；系統(tǒng)；安全；規(guī)劃

一、項(xiàng)目背景及現(xiàn)狀

“金保工程”是關(guān)系民生，影響社會(huì)穩(wěn)定的一項(xiàng)系統(tǒng)信息工程，其安全規(guī)劃建設(shè)極為重要。作為“銅陵市電子政務(wù)整體規(guī)劃”中的重要子系統(tǒng)，銅陵信息化建設(shè)重點(diǎn)工程，銅陵市人力資源和社會(huì)保障信息系統(tǒng)需要在原有的系統(tǒng)上，建立一個(gè)高起點(diǎn)的計(jì)算機(jī)管理信息系統(tǒng)，為銅陵市信息一體化建設(shè)、“數(shù)字銅陵”的建設(shè)打好堅(jiān)實(shí)基礎(chǔ)。

所謂高起點(diǎn)的計(jì)算機(jī)管理信息系統(tǒng)就是業(yè)務(wù)功能完善、標(biāo)準(zhǔn)規(guī)范統(tǒng)一、性能安全可靠、管理模式先進(jìn)、體系結(jié)構(gòu)開(kāi)放可擴(kuò)展；全面實(shí)現(xiàn)人力資源和社會(huì)保障核心業(yè)務(wù)處理和信息交換的系統(tǒng)化、規(guī)范化、自動(dòng)化；能為政府部門提供強(qiáng)有力的宏觀決策服務(wù)；能面向全社會(huì)，為公眾提供方便、快捷、安全的社會(huì)保障服務(wù)。

這樣的系統(tǒng)就是以網(wǎng)絡(luò)為依托，統(tǒng)一的信息平臺(tái)縱向互連到一縣三區(qū)，并將網(wǎng)絡(luò)延伸到街道、社居委、定點(diǎn)醫(yī)院、定點(diǎn)零售藥店，將網(wǎng)絡(luò)與政府、銀行、財(cái)政、稅務(wù)、工商、公安、民政等部門橫向互聯(lián)，實(shí)現(xiàn)網(wǎng)絡(luò)化辦公和信息資源共享；在規(guī)范和優(yōu)化業(yè)務(wù)流程的基礎(chǔ)上，統(tǒng)一資源、統(tǒng)一標(biāo)準(zhǔn)，整合所有的人力資源和社會(huì)保障業(yè)務(wù)，實(shí)現(xiàn)業(yè)務(wù)管理現(xiàn)代化，業(yè)務(wù)流程規(guī)范化，業(yè)務(wù)辦公自動(dòng)化；將“以人為本，記錄一生，管理一生，服務(wù)一生”，實(shí)現(xiàn)全市的信息共享，以最少的投入實(shí)現(xiàn)最大化的效益，在運(yùn)行中具體體現(xiàn)“服務(wù)統(tǒng)一，相對(duì)獨(dú)立”的機(jī)制，實(shí)現(xiàn)對(duì)勞動(dòng)者進(jìn)行全程化、動(dòng)態(tài)化的實(shí)時(shí)跟蹤和管理，體現(xiàn)以人為本的管理思路，對(duì)一個(gè)勞動(dòng)者從出生到死亡、從就業(yè)到養(yǎng)老等整個(gè)生命歷程進(jìn)行全程化、一體化的管理。

為此，銅陵市“金保工程”結(jié)合銅陵市電子政務(wù)建設(shè)的需要，按照國(guó)家金保工程建設(shè)的總體規(guī)劃，分為多個(gè)階段進(jìn)行。目前一期工程已投入使用，二期工程即將開(kāi)始全面建設(shè)。

從系統(tǒng)總體結(jié)構(gòu)上看，銅陵市“金保工程”業(yè)務(wù)信息系統(tǒng)覆蓋銅陵人社局到縣區(qū)級(jí)機(jī)構(gòu)（共4個(gè)）、街道機(jī)構(gòu)（共14個(gè)）和社區(qū)（共86個(gè)）以及政府相關(guān)部門（共4個(gè)）、銀行（4個(gè)），參保企業(yè)（5000多戶），參保人員（50多萬(wàn)人）；通過(guò)廣域網(wǎng)互聯(lián)，利用銅陵電子政務(wù)外網(wǎng)線路進(jìn)行互聯(lián)。

通過(guò)“金保工程”的建設(shè)，一方面統(tǒng)一了相關(guān)信息資源，使“信息孤島”不再獨(dú)立；二方面實(shí)現(xiàn)了信息共享，便利了參保人員，提升了效率；三方面實(shí)現(xiàn)了資源開(kāi)放，利于政務(wù)公開(kāi)與監(jiān)督。至2009年末，銅陵市有73.89萬(wàn)人次的職工參加養(yǎng)老、失業(yè)、工傷、醫(yī)療和生育保險(xiǎn)。其中，養(yǎng)老保險(xiǎn)參保人數(shù)14.94萬(wàn)人，失業(yè)保險(xiǎn)參保人數(shù)14.33萬(wàn)人，工傷保險(xiǎn)參保人數(shù)11.8萬(wàn)人，基本醫(yī)療保險(xiǎn)參保人數(shù)24.31萬(wàn)人，生育保險(xiǎn)參保人數(shù)8.51萬(wàn)人。2009年末被征地農(nóng)民養(yǎng)老保障參保人數(shù)達(dá)4.74萬(wàn)人。①

二、需要解決的問(wèn)題

銅陵市“金保工程”信息系統(tǒng)建設(shè)主要包含網(wǎng)絡(luò)基礎(chǔ)設(shè)施建設(shè)、應(yīng)用系統(tǒng)建設(shè)和安全保障體系建設(shè)三大方面。其中，信息安全保障體系就是建立在網(wǎng)絡(luò)平臺(tái)設(shè)施的基礎(chǔ)上為應(yīng)用系統(tǒng)提供安全運(yùn)行的保障體系。對(duì)于銅陵市“金保工程”信息安全系統(tǒng)的建設(shè)來(lái)說(shuō)，須以全局的目光看待整個(gè)項(xiàng)目的需求建設(shè)情況，根據(jù)網(wǎng)絡(luò)平臺(tái)體系架構(gòu)，應(yīng)用系統(tǒng)架構(gòu)和業(yè)務(wù)流程而綜合得出安全系統(tǒng)的最終要求。

銅陵市“金保工程”信息系統(tǒng)安全建設(shè)需求如下：

1.根據(jù)系統(tǒng)的整體規(guī)劃提出有針對(duì)性的安全解決方案；

2.充分考慮未來(lái)業(yè)務(wù)發(fā)展的需求，提出有計(jì)劃的安全體系建設(shè)步驟；

3.根據(jù)信息系統(tǒng)的產(chǎn)品需求，綜合考慮國(guó)內(nèi)外主流安全產(chǎn)品，提出有針對(duì)性的安全產(chǎn)品解決方案和產(chǎn)品管理部署方案。

三、解決方案

銅陵市“金保工程”信息系統(tǒng)的安全體系建設(shè)應(yīng)當(dāng)從整體安全的角度出發(fā)，縱向貫穿安全管理、安全技術(shù)、服務(wù)支持三大體系，形成銅陵市“金保工程”信息系統(tǒng)安全保障體系。如下圖所示：

該體系架構(gòu)通過(guò)安全管理平臺(tái)將安全技術(shù)和管理相融合，并與網(wǎng)絡(luò)管理平臺(tái)相互聯(lián)動(dòng)，通過(guò)統(tǒng)一管理界面對(duì)網(wǎng)絡(luò)安全系統(tǒng)的風(fēng)險(xiǎn)進(jìn)行可視化管理，同時(shí)依托安全服務(wù)業(yè)務(wù)確保該體系的持續(xù)改進(jìn)。

1.安全管理體系設(shè)計(jì)

安全管理體系設(shè)計(jì)包括安全組織體系的建設(shè)和安全策略體系的建設(shè)。安全組織作為安全工作的管理和實(shí)施體系，主要負(fù)責(zé)網(wǎng)絡(luò)安全策略、制度、規(guī)劃的制訂和實(shí)施，確定網(wǎng)絡(luò)中各種安全管理崗位和相應(yīng)職責(zé)，并負(fù)責(zé)選用合適的人員來(lái)完成安全管理工作，監(jiān)督各種網(wǎng)絡(luò)安全工作的開(kāi)展，協(xié)調(diào)各部門在安全實(shí)施中的分工和合作，保證安全目標(biāo)的實(shí)現(xiàn)。信息安全策略體系為信息安全提供管理指導(dǎo)和支持。銅陵人社局制定一套清晰的指導(dǎo)方針，并通過(guò)組織內(nèi)信息安全策略的發(fā)布和保持來(lái)實(shí)現(xiàn)對(duì)信息安全的支持與承諾。信息安全策略指的是為了保護(hù)網(wǎng)絡(luò)信息資源，消除或降低風(fēng)險(xiǎn)而制訂的各種綱領(lǐng)、制度、規(guī)范和操作流程。網(wǎng)絡(luò)安全策略是一個(gè)層次化的概念，上到指導(dǎo)方針，下到實(shí)施細(xì)則的一系列指導(dǎo)性文檔體系。②

2.安全技術(shù)體系設(shè)計(jì)

安全技術(shù)體系包括監(jiān)控體系和支撐性基礎(chǔ)設(shè)施兩個(gè)方面的內(nèi)容。

安全監(jiān)控平臺(tái)包括網(wǎng)絡(luò)管理平臺(tái)和安全管理平臺(tái)，其中網(wǎng)絡(luò)管理平臺(tái)的管理對(duì)象主要包括網(wǎng)絡(luò)交換機(jī)、路由器以及服務(wù)器等；安全管理平臺(tái)的管理對(duì)象主要是網(wǎng)絡(luò)安全系統(tǒng)，如防火墻、入侵檢測(cè)、終端安全管理、病毒防護(hù)系統(tǒng)、漏洞掃描系統(tǒng)等，其中網(wǎng)絡(luò)安全審計(jì)作為安全管理平臺(tái)的一個(gè)功能。安全管理平臺(tái)可以收集來(lái)自于網(wǎng)絡(luò)管理平臺(tái)的設(shè)備狀態(tài)等信息，然后通過(guò)統(tǒng)一的管理界面進(jìn)行展示。

支撐性基礎(chǔ)設(shè)施采取的技術(shù)安全措施主要有：訪問(wèn)控制、內(nèi)容過(guò)濾、身份鑒別、授權(quán)管理、審計(jì)追蹤、數(shù)據(jù)加密、入侵分析、安全加固、容災(zāi)備份等內(nèi)容。

在銅陵市“金保工程”信息系統(tǒng)中，我們采用了如下技術(shù)：

防病毒系統(tǒng)：在所有工作站和服務(wù)器上分別部署防病毒軟件，實(shí)施“層層設(shè)防、集中控制、以防為主、防殺結(jié)合”的策略，建立完善的網(wǎng)絡(luò)病毒防治體系。

可信終端系統(tǒng)：在每一臺(tái)終端上安裝可信終端系統(tǒng)的代理程序，從而實(shí)現(xiàn)：操作人員身份的標(biāo)識(shí)和鑒別；訪問(wèn)控制；信息保密；可信應(yīng)用；補(bǔ)丁升級(jí)；審計(jì)。

數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)：評(píng)估網(wǎng)絡(luò)配置的合理性、安全策略的有效性，追溯分析安全攻擊軌跡，并能為實(shí)時(shí)防御提供手段。通過(guò)對(duì)用戶網(wǎng)絡(luò)行為的審計(jì)，確認(rèn)行為的合法性，確保管理的安全，審計(jì)用戶訪問(wèn)數(shù)據(jù)庫(kù)系統(tǒng)的操作行為，并進(jìn)行審計(jì)記錄，以便事后追查取證。

主頁(yè)防篡改系統(tǒng)：信息系統(tǒng)的網(wǎng)頁(yè)代表著銅陵人社局的形象，無(wú)論如何不能夠出現(xiàn)網(wǎng)頁(yè)被篡改的事故，網(wǎng)頁(yè)篡改是最高級(jí)別的安全事故，針對(duì)這個(gè)安全問(wèn)題，采用網(wǎng)頁(yè)防篡改事件觸發(fā)技術(shù)，具備觸發(fā)式篡改檢驗(yàn)引擎，針對(duì)網(wǎng)站文件的增刪改操作，一觸即發(fā)，校驗(yàn)修改的合法性，瞬間清除被非法篡改的網(wǎng)頁(yè)，實(shí)時(shí)恢復(fù)正確網(wǎng)頁(yè)。事件觸發(fā)技術(shù)一個(gè)最突出的特點(diǎn)就是確保任何時(shí)候網(wǎng)站文件的合法性。同時(shí)提供網(wǎng)站監(jiān)控與恢復(fù)、發(fā)布與同步、報(bào)警、日志、備份、服務(wù)器聯(lián)動(dòng)、用戶認(rèn)證、篡改分析和審計(jì)等功能。

網(wǎng)絡(luò)行為監(jiān)控系統(tǒng)：通過(guò)該系統(tǒng)實(shí)時(shí)抓取網(wǎng)絡(luò)中的數(shù)據(jù)進(jìn)行分析審計(jì)匹配、統(tǒng)計(jì)，通過(guò)特定的協(xié)議算法，能夠?qū)W(wǎng)絡(luò)上的信息進(jìn)行快速分析或在主機(jī)上對(duì)用戶進(jìn)行審計(jì)分析，通過(guò)集中控制臺(tái)來(lái)管理、檢測(cè)，從而實(shí)現(xiàn)入侵檢測(cè)、信息還原等網(wǎng)絡(luò)審計(jì)監(jiān)控功能。③

防火墻系統(tǒng)：在省廳和市局專網(wǎng)出口和互聯(lián)網(wǎng)出口處分別部署防火墻系統(tǒng)，在市局及縣級(jí)局出口處部署防火墻，并執(zhí)行嚴(yán)格的訪問(wèn)控制策略，實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)和各廣域網(wǎng)的邏輯隔離，杜絕未授權(quán)訪問(wèn)進(jìn)入內(nèi)網(wǎng)。

入侵防御系統(tǒng)：在系統(tǒng)關(guān)鍵邊界位置部署入侵防御系統(tǒng)，對(duì)入侵活動(dòng)和攻擊性網(wǎng)絡(luò)流量進(jìn)行攔截，在發(fā)現(xiàn)網(wǎng)絡(luò)安全事件的時(shí)候，進(jìn)行有針對(duì)性的動(dòng)作，并將這些對(duì)安全事件反應(yīng)的動(dòng)作發(fā)送到交換機(jī)或防火墻上，由交換機(jī)或防火墻來(lái)實(shí)現(xiàn)精確端口的關(guān)閉和斷開(kāi)，避免其造成任何損失，而不是簡(jiǎn)單地在惡意流量傳送時(shí)或傳送后才發(fā)出警報(bào)，真正做到主動(dòng)防護(hù)。

VPN系統(tǒng)：為了滿足移動(dòng)人員辦公的需要，防止通過(guò)廣域網(wǎng)傳輸數(shù)據(jù)被非授權(quán)截取、修改，采用VPN技術(shù)構(gòu)建虛擬專用網(wǎng)絡(luò)，實(shí)現(xiàn)在廣域網(wǎng)傳輸數(shù)據(jù)的加密，保障傳輸數(shù)據(jù)的安全性。

安全管理平臺(tái)（SOC）：通過(guò)集中安全管理中心總體配置、調(diào)控整個(gè)網(wǎng)絡(luò)多層面、分布式的安全系統(tǒng)，實(shí)現(xiàn)對(duì)各種網(wǎng)絡(luò)安全資源的集中監(jiān)控、網(wǎng)絡(luò)安全保護(hù)策略集中部署，簡(jiǎn)化對(duì)安全部件的管理，確保網(wǎng)絡(luò)安全策略的統(tǒng)一。

數(shù)據(jù)容災(zāi)備份系統(tǒng)：部署了同城異地?cái)?shù)據(jù)容災(zāi)備份中心，把所有“雞蛋”放在相距一定距離的兩個(gè)“籃子”里。數(shù)據(jù)同步復(fù)制系統(tǒng)包括主備兩個(gè)數(shù)據(jù)中心，其中生產(chǎn)數(shù)據(jù)中心在勞動(dòng)保障大廈，備份數(shù)據(jù)中心建立在電信IDC機(jī)房。同城異地?cái)?shù)據(jù)備份項(xiàng)目是提高業(yè)務(wù)系統(tǒng)的整體安全性和可用性，在正常情況下，系統(tǒng)數(shù)據(jù)都在主數(shù)據(jù)中心運(yùn)行，重要的業(yè)務(wù)數(shù)據(jù)通過(guò)光纖鏈路實(shí)時(shí)地傳輸?shù)絺浞輸?shù)據(jù)中心。一旦主數(shù)據(jù)中心的存儲(chǔ)設(shè)備或其它相關(guān)的連接設(shè)備發(fā)生故障，并導(dǎo)致業(yè)務(wù)應(yīng)用無(wú)法正常訪問(wèn)主數(shù)據(jù)中心的數(shù)據(jù)時(shí)，業(yè)務(wù)主機(jī)可以通過(guò)光纖鏈路直接訪問(wèn)備份數(shù)據(jù)中心的數(shù)據(jù)，從而保證了關(guān)鍵業(yè)務(wù)的連續(xù)運(yùn)行，保證了數(shù)據(jù)的安全性。

3.服務(wù)支持體系規(guī)劃

安全體系建設(shè)的根本目標(biāo)是為了保障、支持信息應(yīng)用業(yè)務(wù)系統(tǒng)的持續(xù)可靠運(yùn)行。而對(duì)于以生產(chǎn)及業(yè)務(wù)為主的組織來(lái)講，往往因?yàn)榘踩夹g(shù)能力欠缺、安全信息缺乏及關(guān)注程度不夠等問(wèn)題，無(wú)法把握信息安全的發(fā)展。通過(guò)引進(jìn)第三方專業(yè)安全廠商服務(wù)支持體系，有效提高相關(guān)人員的專業(yè)技術(shù)能力，在保證業(yè)務(wù)發(fā)展的同時(shí)，充分利用現(xiàn)有安全技術(shù)體系，不斷提升信息安全保障水平，確保銅陵市“金保工程”業(yè)務(wù)系統(tǒng)的高效、可靠、穩(wěn)定運(yùn)行。

注：

①2009年銅陵市國(guó)民經(jīng)濟(jì)和社會(huì)發(fā)展統(tǒng)計(jì)公報(bào)，摘自：www.tjj.tl. gov.cn

②楊智慧：《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全法規(guī)匯編》，群眾出版社，1998

③趙澤茂、朱芳：《信息安全技術(shù)》，西安電子科技大學(xué)出版社，2009

TP311.1

：A

：1672-0547（2010）05-0076-02

2010-08-23

胡成峰（1973-），男，安徽含山人，銅陵市人力資源和社會(huì)保障局信息數(shù)據(jù)中心副主任，經(jīng)濟(jì)師。