基于等級保護的財政信息系統安全建設探討

古先濤

摘 要

建設財政信息的安全系統是財政管理改革發展中的要求。當下財政信息化的應用在全國各地的財政系統中正逐漸深入，覆蓋了各級財政部門和面向社會公眾的財政信息系統。可以說財政信息系統是各級財政系統進行信息共享的平臺，目前由于大量需要保護的數據和信息存儲在財政信息系統中，所以對系統中運行的安全保障提出了更高的要求。

【關鍵詞】等級保護 財政信息系統 信息安全

在財政信息系統安全建設的過程中，由于系統復雜、數據安全的屬性要求存在著差異，導致系統在不同程度上存在一定的脆弱性；在系統安全的規劃和設計中由于對策略認識不夠，以致風險延續到信息系統的運行和維護管理階段。文章從我國信息安全等級體系的規范和標準著眼，對財政信息系統的安全保護等級模型進行了分析，并提出了進一步完善財政信息系統安全的措施。

1 信息安全的保護等級及其基本流程

目前信息安全技術和管理水平在不斷地提升和發展，人們逐漸意識到要想保障信息系統的安全，就要不斷完善信息安全管理和技術體系，構建完整的信息系統，并且為了把信息和信息系統的殘留風險降低到最小級別，就要提高信息安全應急處置的能力。由于當前不同的信息和信息系統，對其安全級別的要求也不盡相同，應將管理策略、技術、工程過程等多個方面相結合，同時進行客觀的綜合考慮，對信息系統的安全分類需要充分運用信息安全等級保護的思想和方式。

1.1 信息系統安全保護等級

信息系統安全保護等級在《信息安全技術——信息系統安全等級保護基本要求》中劃分為五個等級，信息系統安全保護等級的第一級是用戶自主保護等級，用戶可根據自主訪問控制、身份鑒別和數據的完整性這三個條款進行判斷；第二級是系統審計保護級，在第一級的基礎上增加了兩個條款，分別是客體重用和審計；第三級是安全標記保護級，在第二級的基礎上增加了強制訪問控制、標記等條款；第四級是結構化保護級，在第三級的基礎上增加了可信路徑和隱蔽信道分析；第五級是訪問驗證保護級，在第四級的基礎上增加了可信恢復條款。這五個等級的基本內容以信息安全的屬性為主，即網絡安全、系統安全、應用安全、物理安全以及管理安全等五個方面，根據其不同要求，對安全信息系統的構建、測評和運行過程進行管理和掌控，進而實現對不同信息的類別按照不同的要求進行等級安全保護的目標，盡管不同等級的條款中有些內容是相似的，但在一定程度上仍然存在著差異，安全保護能力的要求會隨著保護等級的提升而逐漸增強。

1.2 信息系統安全等級保護實施的流程

信息系統安全等級保護實施的基本流程包括五個階段，分別是定級階段、備案階段、測評階段、整改階段、運行和維護階段。其中等級保護工作的基本前提是系統劃分和定級工作，定級工作必須要首先確定，否則后面的工作將會無從做起；備案階段中，當專家評審與自定級不同時，要重新定級，才能夠進行備案工作；測評階段中指定的第三方測評機構必須是權威機構，需要公正公平地對系統進行測評；整改和復測階段中對于整改的項目要通過等級保護測評和風險評估的方法進行分析。等級保護工作要隨著信息系統建設的變化和發展而做出不斷循環的工作。

2 財政信息系統的等級保護

2.1 財政信息系統安全的架構

在財政信息系統安全的架構模式中，既包含計算機網絡通信和環境平臺、又有多種相關的業務平臺，并且這些應用的安全等級各不相同，所以采取的安全保護策略也有所不同。財政信息系統規模大、系統復雜，按照系統的功能可以分為核心數據中心、采購管理、預算管理、業務門戶網站等多個子系統，要按照業務應用數據的不同性質進行不同安全等級的保護。總之要根據財政信息系統的實際情況，構建一個相對完善的財政信息系統模型。

2.2 財政信息系統安全的等級區域的劃分

財政信息系統安全等級保護要根據系統的特點和性質進行不同區域的安全劃分，以實現不同強度下的安全保護。針對財政信息系統中不同子系統的實際情況，可以將財政信息網絡劃分為不同的安全保密等級區域，分別為業務核心區，辦公用戶區域、專線用戶區域、內部網與互聯網信息交換的區域等。

3 財政信息系統的等級的保護措施

在財政信息系統安全等級保護的建設工作中，目前采取內網與外網物理隔離的方式，從物理上把財政業務中各個子系統與對外服務區進行劃分，分別劃分到不同的子網，在財政業務的防火墻上可以設置權限為允許的策略，源地址是內部桌面，目的地址是業務服務器，對于其他服務的子系統，同樣需要防火墻進行隔離，使各子系統都有充分的隔離和清晰的界限，同時可以配置漏洞掃描設備的檢測設備，不定期對各個服務器進行掃描。

數據備份能夠進一步保障財政信息系統的安全，在財政信息系統應用中需要配備存儲備份設備以實現數據自動備份，一旦系統出現故障，通過數據備份即可恢復。為了進一步支持財政信息系統的穩步運行，可建立一個異地財政信息數據備份中心，以防財政信息系統發生災難性故障時實現異地遠程恢復的功能。

在財政信息系統安全保障體系建立的過程中，要嚴格依照等級保護下的安全管理制度、系統建設制度和相關財政系信息管理的法律及標準，在建立完善的網絡安全管理機制的同時明確管理人員的職責。

4 結論

綜上所述，文章從我國信息安全等級體系的規范和標準著眼，對財政信息系統的安全保護等級模型進行了分析，并提出了進一步完善財政信息系統安全的有效措施。在財政信息建設的過程中，設計出一個科學合理、全面的信息安全解決方案是一個關鍵的任務，要從我國信息安全等級體系的規范和標準著眼，對財政信息系統安全保障的體系進行深入的探討，以達到切實保護財政信息系統安全的目的。

參考文獻

[1]龔雷.應用安全透明支撐平臺體系結構與模型研究[D].鄭州：解放軍信息工程大學，2013.

[2]王會.基于等級保護的黨校網絡安全體系的研究與應用[D].廣州：中山大學，2012.

[3]劉莎莎.NN市委辦政務信息系統安全等級保護策略研究[D].南寧：廣西大學，2012.

[4]高朝勤.信息系統等級保護中的多級安全技術研究[D].北京：北京工業大學，2012.

作者單位

重慶市中冉信息產業有限公司 重慶市 400041endprint