史志國 黃楠 周湘瑜

【摘 要】信息安全對于確保電子政務(wù)的發(fā)展具有重要意義。文章從技術(shù)、管理和法律方面分析了中國電子政務(wù)信息安全的現(xiàn)狀。在信息安全技術(shù)措施和管理機(jī)制等角度來探討基礎(chǔ)設(shè)施建設(shè)、安全評價(jià)、組織管理和預(yù)防措施。

【關(guān)鍵詞】電子政務(wù)；管理；信息安全

I.引言

隨著國家信息化進(jìn)程的不斷加快，電子政務(wù)的實(shí)施為政府和組織承擔(dān)的公共管理和服務(wù)實(shí)現(xiàn)電子化、網(wǎng)絡(luò)化和透明、高效開辟了廣闊的空間。[1]同時(shí)電子政務(wù)信息系統(tǒng)的安全問題也變得更加突出、嚴(yán)重。因此，認(rèn)識電子政務(wù)信息系統(tǒng)安全的威脅，把握系統(tǒng)安全的影響因素和要求，建設(shè)系統(tǒng)安全保障體系，研究信息安全技術(shù)及其在電子政務(wù)系統(tǒng)中的應(yīng)用，對保證電子政務(wù)的有效運(yùn)行具有重要意義。

II.電子政務(wù)系統(tǒng)的安全現(xiàn)狀分析

目前我國電子政務(wù)中的信 息安全方面存在著一些問題，電子政務(wù)網(wǎng)絡(luò)比較脆弱， 各種安全隱患普遍存在。導(dǎo)致這種情況的原因是多方面的， 具體地說，有技術(shù)、管理、法規(guī)等因素。

A.技術(shù)方面

信息技術(shù)是電子政務(wù)發(fā)展的最關(guān)鍵的制約因素，沒有技術(shù)就無從談其發(fā)展的問題。一旦技術(shù)出了問題，電子政務(wù)的發(fā)展就會面臨重大的困難。當(dāng)前，電子政務(wù)的技術(shù)方面還存在一些很重要的安全隱患。主要體現(xiàn)在安全應(yīng)用需求不明，產(chǎn)業(yè)的技術(shù)推動性太強(qiáng)，應(yīng)用針對性不夠； 網(wǎng)絡(luò)安全規(guī)劃的不到位，造成網(wǎng)絡(luò)結(jié)構(gòu)的不合理性；關(guān)鍵核心技術(shù)未掌握，增加了基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全的隱患；網(wǎng)絡(luò)技術(shù)不成熟，網(wǎng)絡(luò)設(shè)置不科學(xué)，造成了大量的網(wǎng)絡(luò)安全隱患。

B.管理方面

電子政務(wù)的形式是電子，但內(nèi)容還是政務(wù)。推行電子政務(wù)的目的，主要還是利用先進(jìn)的信息技術(shù)作為工具，幫助政府更好地履行職能，以實(shí)現(xiàn)更好的管理。所以，管理對于電子政務(wù)的發(fā)展是至關(guān)重要的，不能出問題。但就目前來看，電子政務(wù)在管理方面主要還存在政府工作人員思想觀念陳舊，安全意識淡薄，管理體制問題突出，網(wǎng)絡(luò)安全管理混亂，規(guī)范化的管理制度相對滯后等安全問題。

C.法規(guī)方面

我國在電子政務(wù)方面的有關(guān)立法相對滯后，整體法制環(huán)境薄弱，加劇了信息安全隱患。推動電子政務(wù)發(fā)展要立法先行，這是發(fā)達(dá)國家發(fā)展電子政務(wù)的共同經(jīng)驗(yàn)。[2]但是，目前在我國，與信息安全相關(guān)的法律法規(guī)卻很欠缺。在縱橫交錯(cuò)的信息網(wǎng)絡(luò)中，信息安全問題應(yīng)運(yùn)而生，可以說是無處不在。電子政務(wù)系統(tǒng)直接和國際互聯(lián)網(wǎng)連接，不管如何進(jìn)行技術(shù)規(guī)范，受到不法侵害是難以避免的。如果沒有與之相配套的法律法規(guī)，那對電子政務(wù)的普及和發(fā)展以及信息安全問題的解決都無疑會造成很大的障礙。.

III.安全策略與措施

電子政務(wù)的安全目標(biāo)是，保護(hù)政務(wù)信息資源價(jià)值不受侵犯，保證信息資產(chǎn)的擁有者面臨最小的風(fēng)險(xiǎn)和獲取最大的安全利益，使政務(wù)的信息基礎(chǔ)設(shè)施、信息應(yīng)用服務(wù)和信息內(nèi)容為抵御上述威脅而具有保密性、完整性、真實(shí)性、可用性和可控性的能力。為此，實(shí)施保護(hù)的措施集中在安全法規(guī)、安全管理、安全技術(shù)三方面。

A.加強(qiáng)漏洞掃描系統(tǒng)預(yù)警

電子政務(wù)應(yīng)用和安全措施都依賴操作系統(tǒng)提供底層支持，操作系統(tǒng)的漏洞或配置不當(dāng)將有可能導(dǎo)致整個(gè)安全體系的崩潰。由于國內(nèi)未能建立獨(dú)立自主的信息安全產(chǎn)業(yè)，在操作系統(tǒng)安全設(shè)計(jì)方面必須布置漏洞掃描系統(tǒng)。利用漏洞掃描工具采取時(shí)間策略定時(shí)掃描整個(gè)網(wǎng)絡(luò)地址網(wǎng)段，對多種來自通訊、服務(wù)、設(shè)備、系統(tǒng)等的漏洞進(jìn)行掃描。采用模擬攻擊的手段去檢測網(wǎng)絡(luò)上隱藏的漏洞，且對網(wǎng)絡(luò)不做任何修改或造成任何危害，并提供漏洞檢測報(bào)告和解決方案，從而有效檢查網(wǎng)絡(luò)系統(tǒng)的可靠性和安全性。

B.基于多協(xié)議標(biāo)簽交換技術(shù)優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu)

內(nèi)網(wǎng)數(shù)據(jù)保密性的考慮，不希望內(nèi)網(wǎng)暴露在對外環(huán)境中，電子政務(wù)實(shí)踐中往往產(chǎn)生內(nèi)網(wǎng)與專網(wǎng)、外網(wǎng)間的信息交換需求。安全島是當(dāng)前最為有效的措施，它是獨(dú)立于電子政務(wù)內(nèi)、外網(wǎng)的一個(gè)特殊的過渡網(wǎng)絡(luò)，置于內(nèi)網(wǎng)、專網(wǎng)和外網(wǎng)相交的邊界位置，將內(nèi)網(wǎng)與外網(wǎng)物理隔離，防止外網(wǎng)中黑客利用漏洞等攻擊手段進(jìn)入內(nèi)網(wǎng)，完成數(shù)據(jù)的中轉(zhuǎn)，在其安全策略的控制下安全地進(jìn)行內(nèi)外網(wǎng)間的數(shù)據(jù)交換。隔離網(wǎng)閘技術(shù)是實(shí)現(xiàn)安全島的關(guān)鍵技術(shù)，通過添加VPN通信認(rèn)證、加密、入侵檢測和對數(shù)據(jù)的病毒掃描，就可構(gòu)成一個(gè)在物理隔離基礎(chǔ)上實(shí)現(xiàn)安全數(shù)據(jù)交換的信息安全島，它如同一個(gè)高速開關(guān)在內(nèi)外網(wǎng)間來回切換，同一時(shí)刻內(nèi)外網(wǎng)間沒有連接，處于物理隔離狀態(tài)。在此基礎(chǔ)上，隔離網(wǎng)閘作為代理從外網(wǎng)的網(wǎng)絡(luò)訪問包中抽取出數(shù)據(jù)然后通過反射開關(guān)轉(zhuǎn)入內(nèi)網(wǎng)，完成數(shù)據(jù)中轉(zhuǎn)。在中轉(zhuǎn)過程中，隔離網(wǎng)閘會對抽取的數(shù)據(jù)做應(yīng)用層的協(xié)議檢查、內(nèi)容檢測，也會對IP包地址實(shí)施過濾控制，由于隔離網(wǎng)閘采用了獨(dú)特的開關(guān)切換機(jī)制，因此，在進(jìn)行這些檢查時(shí)網(wǎng)絡(luò)實(shí)際上處于斷開狀態(tài)，只有通過嚴(yán)格檢查的數(shù)據(jù)才有可能進(jìn)入內(nèi)網(wǎng)，即使黑客強(qiáng)行攻擊了隔離網(wǎng)閘，由于攻擊發(fā)生時(shí)內(nèi)外網(wǎng)始終處于物理斷開狀態(tài)，黑客也無法進(jìn)入內(nèi)網(wǎng)。另一方面，由于隔離網(wǎng)閘僅抽取數(shù)據(jù)交換進(jìn)內(nèi)網(wǎng)，因此，內(nèi)網(wǎng)不會受到網(wǎng)絡(luò)層的攻擊，這就在物理隔離的同時(shí)實(shí)現(xiàn)了數(shù)據(jù)的安全交換。

C.綜合運(yùn)用加密認(rèn)證技術(shù)確保信息傳輸安全

電子政務(wù)系統(tǒng)在服務(wù)發(fā)布層、內(nèi)部安全應(yīng)用層、核心安全應(yīng)用層等網(wǎng)絡(luò)之間存在著信息資源、服務(wù)對象、數(shù)據(jù)通信等差異，其信息內(nèi)容和保密級別也不盡相同，如何用電子方式驗(yàn)證信任關(guān)系就顯得至關(guān)重要。在電子政務(wù)系統(tǒng)設(shè)計(jì)時(shí)，可采用PKI技術(shù)解決機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等問題，防止信息在傳輸過程中的非法截獲。電子政務(wù)系統(tǒng)是一個(gè)涉及到縱向、橫向數(shù)百個(gè)政府部門，連接數(shù)千個(gè)政府機(jī)關(guān)及相關(guān)單位的系統(tǒng)，如果沒有一套強(qiáng)健完善的信任體系，那么系統(tǒng)運(yùn)行過程中，重要文件、敏感信息的失密、偽造、篡改將泛濫成災(zāi)，從而嚴(yán)重影響系統(tǒng)的正常穩(wěn)定運(yùn)行，甚至造成難以估計(jì)的嚴(yán)重后果。因此，有必要采用PKI技術(shù)建立一套高可信度的政務(wù)信任體系，也就是建立電子政務(wù)的PKI系統(tǒng)。

IV.結(jié)束語

電子政務(wù)信息安全的保障是一項(xiàng)關(guān)系多領(lǐng)域的綜合工程，必須從技術(shù)管理和法規(guī)等多方面入手，才能最大限度地保證電子政務(wù)信息安全。在電子政務(wù)中，要達(dá)到絕對的安全是不可能的，但是，當(dāng)充分的認(rèn)識到電子政務(wù)信息安全所涉及的各個(gè)方面后，從綜合的角度出發(fā)，就可以找到較好的辦法，盡可能的達(dá)到維護(hù)電子政務(wù)系統(tǒng)安全的最終目的，以保證電子政務(wù)健康快速的發(fā)展。

參考文獻(xiàn)：

[1]LI Dong Dong； TONG Xin Hai； WANG Xong，”Research on constructing e-government information security assurance system”J.j.Microcomputer & Its Applications， pp.117-120， S1，2007 （In Chinese）.

[2]XU Chang-feng； LIU Ai-jiang； HE Da-ke，”Implementation of PMI Based on Attribute Certificate in Electronic Government Secure Construction，”J.Application Research of Computers，pp.119-122，01，2004（In Chinese）.