電子政務安全隱患與安全體系分析

才讓卓瑪，才智杰，卓瑪吉

（1.青海師范大學 計算機學院，青海 西寧 810008；2.青海省印刷產品質量監測站，青海 西寧 810008）

電子政務安全隱患與安全體系分析

才讓卓瑪1，才智杰1，卓瑪吉2

（1.青海師范大學 計算機學院，青海 西寧 810008；2.青海省印刷產品質量監測站，青海 西寧 810008）

針對當前電子政務面臨的各種安全隱患，通過分析影響電子政務發展的主要安全問題，提出安全技術和安全管理相結合的電子政務安全體系模型。此安全體系具有良好可擴展性和先進性，對電子政務系統的開發具有一定的理論和現實意義。

電子政務；安全技術；安全管理；安全隱患；網絡安全

近年來，隨著以互聯網技術為承載主體的信息技術的發展，極大地推動著經濟和社會發展，引發了深刻的生產和生活方式變革。電子政務應運而生并在全球受到高度重視，電子政務的建設已成為是各國核心競爭力的重要因素之一[1]。

電子政務是指政府部門以信息網絡為平臺，綜合運用信息技術，實現政府組織機構和工作流程的優化重組[2]。將政府的管理和服務職能進行整合，超越時間、空間的界限，打破部門分隔的制約，全方位向社會提供優質、規范、透明的管理和服務，實現公務、政務、商務、事務的一體化管理和運行。

在我國，電子政務的發展源于20世紀80年代中期開始的辦公自動化建設，20世紀90年代后期，我國電子政務的發展正式提上日程，近些年來取得了長足的進展[3]。推行電子政務建設是促進政府行政改革的重要手段，對于轉變政府職能，推動政府的現代化進程，帶動和促進我國社會信息化的發展都有重要的現實意義。電子政務的建設既要考慮目前政府的組織機構與業務現狀，又要滿足未來電子政務發展需求，這就要求電子政務系統的設計具有系統性、綜合性、變更性和可持續性。同時，由于電子政務是依賴于信息技術和網絡技術而存在，并通過因特網為企業和個人用戶提供服務。因此，電子政務的首要問題是如何保障其信息安全[5]。電子政務的安全問題，從電子政務的概念提出就成為備受關注的問題之一。隨著各國電子政務的實踐的發展，其安全問題也日益突出，成為制約電子政務進一步發展的首要因素。

電子政務的發展關系到國家政治、經濟、社會、文化等多個方面，而電子政務的發展需要安全保障。對電子政務安全問題的成因進行分析，是解決其安全問題的前提條件。只有對電子政務所面臨的安全風險與隱患進行全面深入的了解，才有可能針對性地做好安全防范工作，建立起有效的安全防范體系和風險控制機制。

1 電子政務安全隱患分析

由于電子政務系統具有網絡化的業務服務特點，因此很容易遭到各種各樣的攻擊，如賬號被盜用、被監聽和截取信息包、搭載木馬程序、掃描端口、占用服務器帶寬、破壞數據完整性等[5]。電子政務安全隱患的成因，可以從多個方面和多個角度進行分析。從攻擊者威脅行為的動機角度分析，可以分為利益驅動、技術驅動、信息驅動等幾個方面；從系統防范的角度分析，可以分為技術問題和管理問題。文章主要從技術和管理兩方面討論電子政務安全隱患。技術隱患指電子政務信息系統本身的技術漏洞，是系統自身的技術缺陷；管理隱患則包含內部和外部威脅，來自內部的威脅如內部人員的惡意破壞、管理人員濫用職權、執行人員的違規和違法操作、內部管理的疏漏等。來自于外部的威脅，如駭客入侵和攻擊、病毒傳染和蔓延、信息間諜的潛入和竊密、網絡攻擊和破壞、信息戰爭及自然災害等。

1.1 技術隱患分析

技術隱患包括基礎網絡、操作系統和數據庫以及應用平臺等方面的隱患。在基礎網絡方面，網絡拓撲結構設計不合理或缺乏可擴展性，可能會因某結點遭到破壞而導致整個系統癱瘓，其通信線路也易遭物理破壞和搭線竊聽；操作系統和數據庫方面，由于目前所使用的計算機網絡操作系統，多偏重于考慮系統使用的方便性，其結構和代碼設計相對在系統的安全機制上考慮還不夠精細，或多或少地存在安全漏洞；數據庫管理系統基于分級理念對數據庫進行管理，同時數據庫管理系統的安全與操作系統的安全相配套，這使得系統的安全出現不穩定因素。應用平臺方面的隱患主要表現在“后門攻擊”，即在開發電子政務系統的應用功能時，往往留有所謂的“后門”，以便程序員在應用層面進行定期維護或升級，該“后門”一旦被非法人員發現，其破壞性就有可能波及整個系統。

1.2 管理隱患分析

管理隱患包括身份和口令、資源管理和制度法規等多方面的隱患。身份和口令隱患主要表現在用戶名和口令過于簡單，在驗證時極易導致合法身份被冒用，采用靜態口令很容易在日志記錄中被竊取，內部用戶身份級別劃定不嚴格也會導致信息使用級別的混亂。資源管理隱患是內部用戶使用資源時，對重要文件不加密，重要信息進行長期共享，傳遞信息時無身份認證，電子郵件大量群發時缺乏信息保密安全意識的資源管理行為。制度法規方面的隱患主要表現在網絡信息安全法規目前尚未健全，尤其在涉及到政府各部門橫向信息交流時的安全約束機制。多見行政規定代替法規，缺少統一標準，又大多不全面細化，起不到真正監管電子政務信息系統安全的作用。

近年來還出現了一種新的安全隱患，即直接在網絡上假冒政府或某些職能部門的名義開設網站，以牟取非法利益。隨著形勢的發展電子政務系統中可能還會出現新的安全隱患，并且這些安全隱患相互作用，彼此糾結，使得系統安全的維護變得非常困難。綜上所述，可將電子政務安全主要隱患來源設計如圖1所示。

圖1 電子政務安全隱患來源Fig.1 Source of security hidden trouble of E-government

在現實中，很多的安全隱患是由內外因素共同引發的。例如病毒的破壞，往往是由于內部管理的疏漏和人員安全實施的薄弱造成的。來自于系統內部和外部的因素，針對上述安全隱患，需要分別考慮不同的安全隱患的各自特點，制定出針對性的專門的防范措施和危機救援措施。文中通過對電子政務的研究和對政府組織管理、行政事務管理等方面的理解，給出了電子政務安全體系結構及其設計。

2 電子政務的安全體系

電子政務的安全主要是系統安全和數據安全。電子政務的安全目標就是要在確保電子政務的正常運行的同時，維護電子政務系統的安全，也就是維護信息的安全和網絡的安全。從而保證電子政務信息的可用性、完整性、保障性、保密性和不可否認性。

2.1 電子政務安全體系結構

電子政務通過網絡系統實現信息資源的共享與交互，提高了政府處理政務的工作效率，提供了政務系統的可擴充性。但同時，隨著計算機網絡技術的發展和計算機安全問題的日益復雜，增加了電子政務系統安全的復雜性和脆弱性。因此，建立一個穩定可靠的電子政務系統除了加強計算機及網絡等方面的技術安全保障措施外，還必須建立健全法制管理措施對系統的日常操作、運行、維護、審計、監督及文檔管理進行統一管理。

共享型生活服務平臺使社區各主體要素間關系更為緊密，建立起穩定的社會化關系網絡。研究發現，穩定和緊密的人際關系能夠產生經濟價值。社區中的商戶和消費者均是相對穩定的要素，相互間通過生活服務平臺產生了更為緊密的情感聯系和更高的信任度，促進了社區的和諧發展以及社會資本價值的增加[14]。

電子政務系統結構中電子政務安全體系是最重要的組成部分之一，是電子政務系統運行的必要保障體系，文中從技術安全和安全管理兩方面談論電子政務的安全問題。

安全技術系統涉及物理層安全、網絡基礎平臺安全、信息資源層安全與業務應用層安全。安全管理系統包括政務的安全組織、安全策略、安全標準、安全評估與審計及安全制度，其中安全組織包括決策機構、專家小組、管理機制與執行維護機構等。電子政務的安全體系結構如圖2所示。

圖2 電子政務安全體系結構圖Fig.2 Structure of security system on E-government

2.2 電子政務安全體系設計

電子政務系統本身是一個非常復雜的系統，其安全問題也是一個綜合性很強的問題。要確保電子政務的安全不僅僅是政府各機構、各部門內部的事情，也是一個國家層面的事情，因為政務信息的安全涉及不同國家之間、不同政治集團之間的利益關系，它的安全保障問題需要從國家范圍來統一規劃，以抵御外來的信息安全威脅。因此，構建一個綜合性的安全保障體系，要從安全技術、安全管理、及相關支撐體系等方面提供全方位的保護和保障。

安全管理系統和安全技術系統是相輔相成的，在建設電子政務系統時，在對安全技術系統進行設計時，必須同時考慮安全管理系統的建設和實施。安全管理系統與安全技術系統的相互關系如圖3所示。

圖3 安全管理系統與安全技術系統的相互關系Fig.3 The relationship between safety management system and the safety technique system

在這一安全體系中，安全技術系統是核心問題，它涉及理論研究和技術開發，安全系統應用，及構建綜合防護系統的等問題；安全管理系統是安全保障的關鍵，其中包括安全制度、安全組織、安全審計、安全標準及安全評估等內容的管理。

2.2.1 安全技術系統設計

首先，由于電子政務系統包含著大量的信息資源，拓構非常復雜，不僅關系到政府辦公外網與政府非涉密網的連接也有非涉密網與涉密網之間的連接。因此，物理安全首先應保證物理連接方面的安全，防止電力中斷、電磁泄漏、保證物理結構合理和可擴展性。對涉密網與非涉密網之間的連接，采用雙布線、雙交換機、雙處理設備，且兩套線路和設備之間不進行物理連接；辦公單位與數據中心的連接均用防火墻進行邏輯隔離，根據過濾規則來判斷網絡數據是否能夠通過防火墻，用以加強網絡之間訪問控制，保證可信的數據傳輸及對非法訪問的拒絕；使用基于物理隔離的數據交換技術對政府涉密外網數據進行審查，保證通行可信數據，拒絕非法請求。

綜合運用防火墻、入侵檢測技術、漏洞掃描技術、病毒防治技術和安全審計技術、操作系統安全策略和數據庫安全策略構建統一的網絡基礎平臺安全策略，及時更新防毒軟件、識別駭客入侵的各種方法和手段、檢測內部人員的誤操作、資源濫用和惡意行為、多層次安全審計，幫助用戶對內外網行為進行追蹤、實時的報警和響應。定期或不定期地調用網絡安全性分析軟件發現網絡安全漏洞。由于操作系統的問題是隨著時間的延續而逐漸出現的，不是在進行一次安全加固后就能解決，所以要通過采用安全工具及時從網絡進行升級、定時掃描，建立完善的分類報表來加強安全。數據庫方面可通過及時下載安全補丁、分階段建立數據庫、制定完善的口令策略和修改系統參數等措施來加強數據庫安全，從保證數據對象的安全著手保證信息數據的安全。

應用安全主要涉及到信息傳輸的安全、信息存儲的安全及對網絡傳輸信息內容的審計等方面，可根據安全構成與其相互關系，建立在PKI（安全存儲公鑰基礎設施，Public Key Infrastructure）體系的 CA（Certificate Authority，證書授權中心）身份認證的基礎上，通過設計CA身份認證的系統，形成基于公鑰密碼體制的安全用基礎環境，為安全體系上其他應用系統解決內部授權訪問、數據完整性、審計、抗否認提供保證。

2.2.2 安全管理系統設計

安全管理是一項綜合管理，是對電子政務的所有安全問題和環節進行管理，如保證設施的安全、信息的安全和運行過程的安全。本文從管理職能的角度將安全管理系統分為安全組織、安全策略和制度、安全標準、安全評估、安全審計等5個方面。

安全組織設計包括如何建立安全決策組織、安全指導小組、安全專家小組、安全領導小組、建立網絡日常管理機構、建立維護單元等。

安全政策和制度包括制定與政府信息系統安全等級相對應的安全措施不力和要求，對參與系統開發和運行的企業的要求和約束，同時執行系統安全審計與安全問題報告制度與程序。如制定國家公務員捷足先登安全規范、安全策略制定規范、物理層安全建設規范、數字證書管理規范、系統管理規范及應急系統構建規范等。

安全等級的分類與等級相應的安全措施，對參與系統開發和運行的單位、人員的要求，系統安全審計，安全問題的報告制度和程序，緊急情況的處理和應急措施有關。

安全標準包括制定具體的，針對每一個安全等級的政務信息系統的安全標準、運行的規范、數據和軟件的備份、系統的物理安全。制定安全標準，電子政務系統中的信息可參照標準執行確保在該標準下的安全。從而保證安全管理，節約各部門和系統在安全問題上消耗的人力、財力和資源。

安全評估主要從政治、經濟、技術等方面分析，明確并規范哪些子系統需要專網，哪些子系統需要加密措施，并確定系統中信息資源的安全級別。分析電子政務系統中的各子系統會有哪些潛在的威脅、威脅的嚴重程度如何、威脅將造成什么樣的后果、系統對此到底需要什么樣的安全措施。

電子政務在建成和運行的過程中，都應接受有關部門的安全審計，以確保政務的安全政策與安全標準得到落實。安全審計主要通過人工審記或由計算機自動分析處理審計的方法，記錄和跟蹤網絡狀態的變化，對用戶的活動、程序和文件的使用情況進行監控，并對程序和文件的使用及對文件的處理過程等加以記錄。

3 結束語

電子政務是信息技術應用帶來的一種新的政務形式，它的實施對轉變政府職能、改進政府作風、精簡政府機構、提高行政效率、節省管理成本、提高政務質量等方面都起著直接的推動作用。安全是電子政務系統[6]最基本的要求，本文的通過對電子政務安全問題的成因分析，針對性地提出保障電子政務系統安全有效運轉的體系結構，力求從整體上尋求比較完善可靠的解決之道。但安全體系的建設并非一勞永逸，隨著電子政務的進一步發展，必然會對網絡安全提出更高的要求，這就需要用動態的、前進的、創新的眼光來認識電子政務，建立起更加完善的電子政務系統體系結構[6]，定期進行安全評估、合理運用安全技術和加強安全管理措施。

[1]HUANG Meng-xing，XING Chun-xiao，YANG Ji-jiang.E-government maturity model and its evaluation[J].Journal of Southeast University:English Edition，2008，24（3）:389-392.

[2]楊安.電子政務理論與技術[M].北京:清華大學出版社，2008.

[3]徐曉林，楊銳.武漢：電子政務[M].武漢：華中科技大學出版社，2009.

[4]穆昕，王浣塵，王曉華.電子政務信息共享問題研究[J].中國管理科學，2004，12（3）：122-125.

MU Xin，WANG Huan-chen，WANG Xiao-hua.Study on information sharing of E-government[J].Chinese Journal of Management Science，2004，12（3）:122-125.

[5]陳兵，錢兵燕，馮愛民，等.電子政務安全技術[M].北京:北京大學出版社，2005.

[6]顧靜秋，吳華瑞，朱華吉.小城鎮移動電子政務系統的設計與實現[J].計算機工程與設計，2010，31（1）:98-112

GUJing-qiu，WUHua-rui，ZHUHua-ji.Designandimplementation of mobile E-government system of small town[J].Computer Engineering and Design，2010，31（1）:98-112.

Analysis of security hidden trouble and security system on E-government

Cai-rang-zhou-ma1， Cai-zhi-jie1， Zhuo-ma-ji2（1.College of Computer science，Qinghai Normal University，Xining810008，China；2.Printing Quality Monitoring Station in Qinghai Province，Xining810008，China）

According to the Various Kinds of security hidden troubles in the E-government，the major network security problem is analyzed which affects on the development of E-government，and proposed an E-government security system model of combining with security technology and security management.The security system is designed has good expansibility and advancement.it has a certain theoretical and realistic significance to the development of E-government system.

E-government； security technology； security management； security hidden trouble； network security

TP 399

A

1674－6236（2012）05-0005-03

2011-12-16稿件編號：201112092

國家自然科學基金資助項目（61163018）；國家社會科學基金資助項目（09XYY024）；青海省科技廳應用基礎研究計劃基金資助項目（2011-Z-750；2011-Z-755）

才讓卓瑪（1970—），女，藏族，青海西寧人，碩士，副教授。研究方向：軟件工程、中文信息處理。