規劃信息化中的網絡信息安全研究與實踐

郭志強

摘 要：網絡信息安全是信息化工作的基石。隨著政府工作增效提速要求的逐步深化以及規劃信息化工作的迅速發展，網絡信息安全工作面臨的問題也日益嚴峻。本文針對目前規劃信息化工作中所面臨的網絡信息安全問題，對各類威脅網絡信息安全的因素進行分析，提出新的網絡信息安全工作思路，針對面臨的具體安全問題，在工作中進行嘗試和實踐，以圖找到更佳的解決辦法，助力規劃管理服務效能提升。

關鍵詞：增效提速；規劃信息化；網絡安全

DOI：10.16640/j.cnki.37-1222/t.2017.19.129

隨著政府工作增效提速要求的逐步深化，規劃工作與信息化工作結合程度進一步加深，對信息的安全性及服務的可用性提出了更高的要求。“網絡安全和信息化是一體之兩翼、驅動之雙輪”，“要處理好安全和發展的關系，做到協調一致、齊頭并進，以安全保發展、以發展促安全”[1]。我們在工作實踐中，以“信息可控、數據安全、系統健壯、服務可靠、管理到位”為核心要求，實現業務信息全生命周期的安全管理，保證整個規管系統的保密性、安全性、可用性得到保證，確保規劃管理服務的高效有序開展。下邊，我們以濟南市規劃局信息系統為例來探討網絡安全管理體系建設。

1 目前網絡信息安全面臨的主要問題

目前網絡安全形勢依舊嚴峻，較之以往，目前面臨的安全問題更為復雜。移動終端惡意程序數量高速增長，病毒感染、網絡攻擊層出不窮，信息泄露風險無處不在；無孔不入的社工攻擊等安全問題日益突出；全球勒索病毒多次大范圍爆發，數據安全受到嚴重威脅。因此，盡管用戶的網絡安全意識普遍提升，但當前安全形勢仍舊不容樂觀。另外，因規劃業務與信息系統的結合程度日益緊密，對信息化的要求進一步提升，在應用服務、數據安全、容災備份等方面也提出了新的要求。網絡信息安全威脅導致的后果主要包括信息泄露、信息篡改、服務中斷、數據丟失等情況。這些情況一旦發生，可能會產生嚴重法律問題，造成不良社會影響，甚至會導致不可挽回的損失。綜上所述，我們嘗試從防范信息泄露/篡改，和保障數據/服務安全兩個方面來解決網絡信息安全問題。

2 建立安全體系的層次化結構，形成立體交叉防護措施，降低信息泄露風險

2.1 網絡安全體系基礎建設

針對目前來自惡意程序、社工攻擊、管理漏洞等多維度的安全問題和挑戰，結合基于安全工作的思考和實踐要求，我們在終端安全、網絡安全和業務安全三個安全層次上綜合考慮，協同防護、統一管理，實現技術層面的立體交叉式安全防護網絡，建立完整的技術保障和網絡安全的基礎體系，降低信息泄露等安全風險。

2.1.1 終端安全

通過系統補丁的統一升級管理、系統和網絡的身份認證、網絡安全設備的安裝部署等措施，加強對終端用戶的安全管理，提高終端安全保障力度。

2.1.2 網絡安全

通過殺毒軟件的統一規劃部署、強化準入控制管理、VPN接入等安全措施，提升網絡安全層次，保障網絡傳輸和訪問的安全。

2.1.3 業務安全

除業務系統的性能和健壯性建設外，我們建立了網絡和應用層面的訪問審計、網絡及業務訪問流量的記錄和管控，并通過網路結構和訪問控制降低外部入侵威脅。

2.2 從用戶視角看網絡信息安全建設實踐

除了常規安全技術措施外，我們通過網絡安全管理、系統規劃設計、數據加密授權、電子印章服務、屏幕使用水印等多重技術手段進行綜合性的立體防范，協同防護，力圖實現“不該進的進不來、不該用的用不了、不該改的改不動、不該拿的拿不走、不授權的拿到也沒有用”的“五不”目標，保障規劃工作安全有序進行。

2.2.1 不該進的進不來

我們從網絡接入層面開始進行管理，建立設備準入管理體系，凡是入網設備必須進行設備登記及設備、地址、端口三重綁定，非登記設備在網絡接入層面即被拒絕接入服務，通過接入端的安全準入系統對網絡接入設備進行統一管控，從根源上杜絕非授權訪問，并對許可訪問的設備、地址及端口訪問情況進行記錄，實現網絡接入的全過程管理，真正做到“不該進的進不來”。

2.2.2 不該用的用不了

涉及網絡信息安全的關鍵應用系統針對IP地址和用戶信息進行多重認證，正常設備只允許指定的用戶使用指定的設備在指定的端口訪問應用，否則訪問將被拒絕。

通過多重認證及強制加密管理，只有被授權使用的人才能在對應的設備/端口上以規定的IP地址訪問數據，實現“不該用的用不了”。

2.2.3 不該改的改不動

因規劃管理業務案卷內容和使用頻率等方面原因導致紙質檔案的保存、管理、查詢、補充一直是一大難題。隨著規管業務信息化程度日益加深，越來越多的信息儲存于電子文檔之中，其重要性也不斷提高。在此情況下，必須考慮電子檔案的安全性問題。電子檔案使用和編輯上的方便性，同時也導致其存在易被篡改等問題。如何保障電子檔案的可靠性和權威性，是我們必須考慮的問題。針對這個問題，我們針對業務辦理的不同階段，采取不同的安全策略，保證檔案案卷的安全性和權威性。首先，在業務辦理階段，通過電子簽名，實現業務辦理階段操作的不可否認性；通過操作日志保證操作可追溯。其次，在業務辦理結束后，通過案卷靜態化，實現案卷的只讀管理；通過加密系統保證安全訪問授權的可控性；通過案卷補充完善的正式簽批流程實現個別案卷的補充完善。通過這一系列措施，實現案卷修改的嚴格管理，做到“不該改的改不動”。

2.2.4 不該拿的拿不走

通過對應用系統在整個開發周期的規劃設計和開發部署，實現了系統各類數據的在線使用模式，絕大多數數據均采用在線瀏覽/編輯模式，無法下載使用。對于個別無法實現在線瀏覽/編輯的數據類型，則通過加密系統在線授權使用的方式進行保護。同時通過屏幕水印等技術手段，實現對數據的攝屏保護，杜絕通過拍照、截屏等技術手段抓取信息。通過以上措施，實現“不該拿的拿不走”，保護信息不會產生非授權流動。

2.2.5 不授權的拿走也沒有用

對于需要正式向外部提供數據的情況，通過建立完善的授權簽批供圖供檔流程，提供數據外發和數據解密服務，以滿足正常數據流動需求。針對電子圖紙，提供電子簽章授權服務，外部單位可通過授權直接使用本系統簽章后的電子圖紙而不會破壞原有簽章，保障電子圖紙流轉的身份唯一性，為規管業務的指標審查提供有力技術支撐。同時保證即便個別人員/單位從非正常途徑拿到數據，也無法正常使用，真正做到“不授權的拿走也沒有用”。

3 系統冗余及數據災備，保障服務和數據不留隱患

系統的可靠性和數據安全，則是網絡信息安全的另一項內容。在系統建設規劃設計階段，我們對網絡和應用系統的冗余保障做了充分考慮，基于實際工作需要，對重要網絡節點/線路和應用服務，實現雙機雙線在線冗余，保障系統可用性；對于數據，除了雙機熱備外，針對不同數據類型和特點，采用手工和自動備份相結合的模式，制定了完善的跨機、跨區和跨市域三級數據離機冷/熱備份。通過以上措施，保障了系統服務的健壯性和數據的安全性。

4 安全管理制度是保障網絡信息安全的基石

4.1 安全和效率

在網絡信息安全工作領域，安全和效率無法兼得。但在實際工作中我們又不能放棄其中任何一個，安全和效率互為表里，皮之不存毛將焉附，必須處理好安全和發展的關系，做到協調一致，互相促進。因此，在制定和實踐安全措施時，我們要對每一項措施的可行性和對工作效率的影響做一個充分評估，實現安全和效率的協調一致發展。

4.2 安全管理，制度先行

任何工作的實際執行者都是具體的人，而非計算機，這就意味著安全策略的制定和執行可能存著不一致的情況。當策略執行偏離既定方向，安全則無法保障。在實踐中，我們通過兩個方面的努力，來處理這個問題。首先是通過建立監督機制，保障制度的執行；其次是通過反饋機制，來了解制度執行過程中的問題，從而不斷完善制度，促進執行。

參考文獻：

[1]習近平.在中央網絡安全和信息化領導小組第一次會議上的講話[R].2017，02（27）.

[2]51CTO.安全體系的層次化結構[S].2009，5（19）.endprint