網絡環境下的政府信息安全管理

【摘要】我國政府是信息的主要生產和使用者，信息內容涉及國家政治、軍事、外交、經濟、文化以及科技等眾多領域，關系到國家安全。有些敏感信息一旦出現泄漏，甚至會危害國家和公眾的利益，影響社會穩定。隨著網絡的普及和信息竊密的增多，政府信息在網絡上的安全形勢日趨嚴峻，應受到各級政府部門的高度重視。本文分析了網絡環境下政府信息面臨的安全問題，結合工作實際，提出了網絡環境下政府信息安全的防范措施建議。

【關鍵詞】網絡環境 政府信息 安全管理

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1672-3791（2015）02（b）-0000-00

政府信息安全事關國家安全和社會穩定，也是網絡攻擊的重點。在科學技術飛速發展進步的當代，OA等信息技術在政府機關得到了廣泛應用。但是，在網絡環境下，政府信息存在許多安全隱患。政府信息系統自身漏洞、信息交流以及信息管理等因素，都會影響政府信息安全。對政府信息存在的安全隱患，政府要積極采取相應措施，保證信息安全。

1.網絡信息安全概述

網絡信息系統安全面臨的威脅非常廣泛，包括信息泄露、重傳、篡改、拒絕服務、欺詐、非法使用、竊聽、傳播病毒和木馬等。需要解決的相關問題包括：防范與響應、病毒與后門措施、實體保護與訪問控制、保密與加密、攻擊和檢測、漏洞和監測、備份與恢復等。

網絡信息安全主要包含了三層內容：一是系統安全，即系統實體和系統運行安全；二是系統中信息安全，即對計算機用戶進行權限劃分、控制，對信息數據進行加密等，確保數據不被非法獲取或篡改；三是管理安全，即通過各種手段和約束對信息資源和系統安全運行進行有效管理。

2.網絡環境下政府信息存在的安全問題

隨著我國信息化進程不斷加快，政府也積極加入到政府信息化的進程中來，以提高政府的工作效率。由于對網絡信息安全技術機制認識和理解的不到位，致使網絡信息系統的實體安全、運行安全和信息安全存在著巨大安全問題和隱患。

在實體安全方面的問題和隱患主要有：未對構成計算機網絡物理環境的設施、設備或者區域進行應有的保護，使得計算機系統設備處于不穩定、不可靠、不安全的工作環境中。

在運行安全方面的問題和隱患主要有：未在計算機網絡系統使用過程中采取行之有效的安全措施（如風險分析、審計跟蹤、備份與恢復等），致使計算機網絡系統無法保障系統功能安全實現。

在信息安全方面的問題和隱患主要有：未采用應有的信息安全防護技術機制（如漏洞掃描、訪問控制、密碼保護措施、身份鑒別、入侵檢測、防火墻及VPN等），致使計算機網絡系統容易受到網絡攻擊、數據信息易于被篡改、破壞等。

3.網絡環境下政府信息應采取的措施

對于網絡環境下政府信息存在的許多安全問題，政府機關要積極采取有效的防范措施，提高政府機關信息網絡安全防護技術，保障政府的信息網絡環境安全穩定。

3.1實體安全措施

計算機信息系統的實體安全是指系統設備及相關設施的安全，即保護設備、設施（含網絡）以及其它儲存媒體免遭地震、水災、火災、有害氣體和其它環境事故（如電磁污染等）的破壞。實體安全具體內容和要求包括環境安全、設備安全、介質安全三個方面[1]。

（1）環境安全。環境安全主要包括機房及配套設安全以及相應的人員安全等。從機房外部環境方面，選址要避開高壓高磁場、強震動和強聲波地區。從機房內部設置和配套方面，應注意防雷接地、進行溫濕度控制、機房承重、電源供給等。

（2）設備安全。設備安全主要包括設備防盜、防破壞、防止電磁泄漏和抗電磁干擾等。通常要在機房內外部安裝部署安全防范系統，包括防盜門、防盜窗、紅外報警系統等。需重點保護的機房還應建設成為屏蔽機房或采取屏蔽機柜等措施防止電磁干擾和泄漏。

（3）介質安全。主要防止對媒介數據進行非法竊取、篡改和破壞。目前常用的光盤、優盤是使用最為廣泛的記錄介質，由于其攜帶方便、操作簡單，因而帶來的安全隱患也最大。主要的管理要求有：介質集中專人管理、介質統一特定標識、介質行程完整的記錄檔案、介質使用涉及敏感信息應由專人使用等。

3.2運行安全措施

為了保障計算機網絡信息系統安全運行，確保系統功能的實現，政府信息系統運行安全必須采用以下措施：

（1）加強組織和人員管理。組織和人員管理是計算機網絡信息系統安全運行的根本保證，必須建立專業的信息安全管理機構。在單位內部機構設置多個專、兼職崗位，做好工作分工和責任落實。設置系統管理員、安全管理員和安全審計員崗位，實施專業化對口管理。同時，建立并完善制度，使得各種行為操作有章可循、職責明確。

（2）加強審計和監測。利用審計功能監視、記錄和控制用戶的活動。為系統管理員提供審計日志，從而及時發入侵行為和系統漏洞，震懾潛在的系統攻擊者。根據功能劃分主要有對系統終端的審計，對互聯網計算機的審計，對數據庫訪問記錄的審計，和對網絡設備、流量的審計。

（3）應急響應和恢復。計算機網絡信息系統在日常運行中經常遇到突發事故，導致系統不能正常運行，甚至系統癱瘓。因此，做好應急響應預案和災難恢復是十分必要的。應急準備主要包括關鍵設備設施備份、電源備份、軟件備份及數據備份等。事故發生后，應快速實施應急措施，盡快使系統恢復正常運行，減少損失。在災難恢復方面，尤其應關注災難恢復的優先次序、對各級角色明確責任和授權，確保系統被安全切斷，形成災難恢復文檔。

3.3信息安全措施

從安全角度，組成信息系統各個部分的硬件和軟件都應有相應的安全功能，確保在其所管轄范圍內的信息安全和提供確定的服務。在政府信息安全措施方面主要有：漏洞掃描、身份鑒別、訪問控制、入侵檢測、防火墻、VPN、密碼等。

（1）漏洞掃描。主要指對計算機網絡系統進行檢測，以發現黑客或潛在攻擊者可以用來攻擊的漏洞。主要包括：基于網絡的漏洞掃描和基于主機的漏洞掃描。目前由于價格和市場的因素，政府部門主要采取基于網絡的漏洞掃描。

（2）身份鑒別。廣義的身份鑒別包括系統中所有實體的鑒別，如人、設備、計算機系統、應用和進程等。鑒別就是證明其是否是系統的合法成員或合法使用者。目前，身份鑒別技術，尤其指對于人或使用者的身份鑒別，主要應用于政府涉密網絡系統，有個人識別碼和電子密鑰和生物認證技術三種類型。

（3）訪問控制。信息系統的訪問控制指系統對用戶身份及其所屬的預先定義的策略組限制其使用數據資源能力的手段，通常用于控制用戶對服務器、目錄、文件等網絡資源的訪問。訪問控制是系統保密性、完整性、可用性和合法使用性的重要基礎，是網絡安全防范和資源保護的關鍵策略之一。訪問控制要達到的目的是拒絕不合法的來訪者，根據預先設置的級別或策略限制訪問主體對客體的訪問，從而保障數據資源在合法范圍內得以有效使用和管理。（4）入侵檢測。入侵檢測作是一種積極主動的安全防護技術和手段，也就是在系統受到危害之前攔截和響應入侵，提供對內部攻擊、外部攻擊和誤操作的實時保護。主要是通過收集和分析網絡行為、安全日志、審計數據、其它網絡上可以獲得的信息以及計算機系統中若干關鍵點的信息，檢查網絡或系統中是否存在違反安全策略的行為和被攻擊的跡象。入侵檢測采用的手段主要包括：監視、分析用戶及系統活動；系統構造和弱點的審計；識別反映已知進攻的活動模式并向相關人士報警；異常行為模式的統計分析；評估重要系統和數據文件的完整性；操作系統的審計跟蹤管理，并識別用戶違反安全策略的行為等。

（5）防火墻和防病毒技術。對于黑客攻擊政府信息網絡的問題，可以采用最直接的網絡防火墻技術對網絡信息進行過濾[2]。在政府網站的內部局域網和外部網絡設置一道防火墻，這能夠使用戶的局域網與外界網絡產生隔離。信息進入和流出的網站都需要經過防火墻過濾篩選，黑客在攻擊政府信息網絡時，防火墻就能夠在內部網絡被破壞之前進行阻止，從而保障政府信息網絡的內部網絡安全。另外，網絡防火墻也能夠自動禁止網址不明的網站訪問，阻斷不明外來信息的入侵。

（6）VPN（虛擬專用網絡）。VPN就是在公用網絡上建立專用網絡，利用遠程訪問加密通訊技術在公用網絡上建立政府或企業的專用網絡。社會基礎網絡已經無處不在，通過一定技術手段建立起符合自己安全要求的專用網絡，具有廣泛需求。VPN的實現方式很多。在大型局域網中，可以通過在網絡中心搭建VPN服務器的方法實現VPN；通過專用的軟件實現VPN；通過專用的硬件實現VPN；通過某些含有VPN功能的硬件設備（如路由器、防火墻等）集成自己的VPN等。

（7）密碼。前文提到，密碼仍然是廣泛采用的、多數情況下簡單而有效的安全手段。同時應注意到，密碼使用的問題是使用的不規范、不重視，問題都是這樣出現的，也就是主要是管理問題。

4.思考和建議

在現代社會，網絡環境下政府信息安全是一個至關重要的問題，關系到政府部門能否正常有效運作。同時，它不但是一個技術問題，更是一個管理問題，是一個需要不斷實踐，不斷總結和提煉，不斷遇到和發現問題，不斷提高和增強防護和安全手段的問題。作者結合自身信息安全管理工作實踐，對于進一步做好政府信息安全管理有如下建議：

4.1完善信息安全組織機構

按照《國務院辦公廳關于加強政府信息系統安全和保密管理工作的通知》要求，各部門應明確一名副職領導主管信息安全工作，指定一個專職機構承擔信息安全管理工作，各內設機構應指定一名專職或兼職信息安全員。

4.2加強日常信息安全管理

（1）人員管理。落實信息安全和保密責任制，加強人員上離、在崗和崗離管理，定期組織有關人員參加信息安全教育培訓、掌握信息安全常識和基本技能。

（2）系統管理。建立信息系統風險評估機制，規范信息系統定級、測評；加強信息系統運營和使用權限管理、重要變更審批備案、日常運維操作管理、安全日志定期備份和分析；

掌握總體網絡架構、子系統分布、終端節點、區域劃分及邊界防護、網絡互聯網接入管理；

掌握防火墻、入侵檢測、安全審計、病毒防護等信息安全產品部署及使用情況，以及信息安全產品策略配置有效性；加強服務器上應用、服務、端口、鏈接以及系統補丁等安全措施管理，關閉不必要的應用、服務、端口、鏈接，定期更換賬號口令，定期更新病毒木馬防護升級包等，定期進行漏洞掃描、病毒木馬檢測；采取集中安全管理措施，做到計算機賬號口令強度按月更新，加強終端計算機接入互聯網安全管理（如實名接入、對計算機IP和MAC地址進行綁定、指定固定上網IP地址等）加強安全邊界防護、抗拒絕服務攻擊、網頁防篡改等安全防護設備的部署，以及安全配置策略的有效性。

（3）密碼保護。采用密碼技術對信息系統、終端計算機、電子文檔等進行保護，采用數字證書方式實現身份認證和授權管理，使用的密碼技術產品及含有密碼技術的信息技術產品應符合國家密碼管理規定。

（4）應急與災備。落實《國家網絡與信息安全事件應急預案》，制定本部門信息安全應急預案，建立應急技術支援隊伍，對重要數據和信息系統進行災難備份，必要時采用社會第三方災難備份服務。

4.3加快國產信息技術產品的開發研究

目前我國信息安全管理系統和計算機設備許多還是采用國外的技術和產品。這會給我國政府信息安全帶來較大安全隱患。國家要積極加大對國產基礎軟件開發研究扶持力度，掌握基礎軟件關鍵技術，為國家政府的信息安全提供一個安全可靠的網絡運行基礎。

4.4積極制定相關的政府信息安全保護法律法規

信息安全不僅是網絡技術的問題，保護政府信息安全，還需要政府加強對信息安全保護的法律法規的制定。目前我國在性信息安全的認證和檢測方面還存在一定的缺陷。比如，在信息安全的認定上，公安部、國家信息安全產品測評認證中心以及國家質量技術監督局都參與信息安全的認定，各個部門的標準難以達到統一，增加信息產品認證的程序，影響認證的效果。因此國家有關部門要積極制定相關的法律法規，統一信息的認證標準，保障政府信息的安全。

5.結語

隨著我國信息化程度不斷加深，政府也積極利用信息技術，提高政府管理工作效率。在網絡環境下，由于計算機網絡病毒、網絡黑客攻擊破壞以及對信息網絡監管力度不夠等因素，政府信息安全存在很大的隱患。因此政府機關要積極加強對政府信息安全的管理，從技術上、制度上以及信息管理上加強對政府信息的安全保護，維護政府信息安全，從而保障國家安全和公眾利益。

【主要參考文獻】

[1]趙戰生，杜虹，呂述望.信息安全保密教程.合肥：中國科學技術大學出版社，2006、P523-P574 ）

[2]胡艷春.網絡環境下的政府信息安全保護策略[J].電子商務，2012，05（09）：64-65

作者信息：

姓 名：張鵬

身份證號：230522197906231973

單 位：國家國防科技工業局核技術支持中心

地 址：北京市西城區車公莊大街12號核建設大廈638室

職 稱：工程師

聯系電話：88306808/18611992670

？？

？？

？？

？？

3 / 4