政府門戶網站安全政策標準研究及建議

李媛

摘 要：論文分析了我國政府門戶網站的分類情況和服務形態變化趨勢，同時結合近年來政務互聯網安全態勢分析結果，總結出當前政府網站面臨的主要安全風險。在對國家政府網站安全政策規定深入研究的基礎上，詳細解讀了《政府門戶網站系統安全技術指南》的定位和主要內容，并結合政府網站安全工作現狀和標準應用情況，從確立“三同步”的指導思想、完善監管評價機制、研究檢查評估方法和加強人才隊伍建設等方面，提出增強政府網站安全管理工作實效的建議思考。

關鍵詞：政府網站；門戶；安全；標準

中圖分類號：TP393.0 文獻標識碼：A

1 引言

政府機關門戶網站既是單位的門面又是審視自身工作的一面鏡子。政府門戶網站的安全狀況直接關乎單位的榮譽、影響力、績效評比以及公眾的信任程度等，因此如何做好政府部門的網站安全成為每一位政務信息化從業人事不可回避的命題之一。

2 政府網站呈現出新時代特點

有關政府門戶網站的定義，在GB/T 31506-2015《政府門戶網站系統安全技術指南》[1]國家標準中給出定義：政府機構利用互聯網發布政務信息、提供在線服務、開展互動交流等而建立的網站。

正如標準中所言，當今政府門戶網站的形態呈現多樣化特點，包括以政策發布、新聞瀏覽為主的宣傳類網站，如中國新聞網等；以支撐政府決策為目標，通過互聯網應用形式展示，為百姓生活提供便利的服務類政府網站，如北京小客車指標調控管理系統、12306網站等；除新聞瀏覽外，還輔以提供政務公開、政民互動等信息化服務的綜合性網站，如首都之窗網、各省政府或行業主管部門的門戶網站等。

在云計算、大數據技術的發展下，各省、市政府網站逐步在原有綜合類網站的基礎上，依托政企數據的匯聚，建設政務數據共享和交換應用平臺，通過開放政府數據為企業、公眾提供更加便捷和多樣的政務服務和應用，解決百姓辦事難、辦事慢的實際困難，如浙江省政務服務網等。

隨著“互聯網+政務”的廣泛應用，越來越多的政務系統開始嘗試利用移動客戶端提供在線服務，這也是政府門戶網站的一種新應用的實現形式。

由此可見，政府門戶網站呈現出形式多樣化、應用復雜化的新時代特點，其提供的功能與一般意義上的業務信息系統之間的區別越來越小，界限越來越模糊。因此，《政府門戶網站系統安全技術指南》中對政府網站的解釋包括黨政部門、政府機關的宣傳門戶，以及通過網站形態對外提供服務的應用系統。

3 政府網站面臨的安全風險

國家互聯網應急中心發布的《2017年中國互聯網網絡安全報告》[2]對2013年至2017年間我國境內互聯網安全狀況進行統計，結果顯示2017年全年通報涉及政府機構、關鍵信息基礎設施以及行業安全漏洞事件共26892起，同比上升10.9%。2017年我國境內約2萬個網站被篡改，較2016年增長20.0%，其中被篡改的政府網站較2016年增長 32.3%。

根據長期對我國政府網站安全事件的跟蹤發現，黑客對于政府網站的攻擊常常集中在我國重要政治活動期間，如G20峰會等，而政府網站遭受攻擊的影響則集中反應在幾個方面。

（1）網站性能下降或中斷，導致重要時刻不能正常對外提供服務，帶來嚴重的社會影響和政治輿論。

（2）網站內容遭到篡改，黑客在頁面上散播反動言論或有目的性的曝光敏感事件等。

（3）隨著網站對外提供服務形式多樣化，內容范圍逐漸豐富，網站勢必會沉淀大量政府、企業和百姓的敏感信息、隱私信息等，近期接連曝光的個人信息泄露事件就是最好的例證。

4 我國政府網站政策標準分析

經由搜索引擎檢索，截至2018年9月我國針對政府網站的政策規定和國家標準主要有八點，如表1所示。

網站安全保障的思想都不同程度地體現在這些政策的內容中主要包括幾個方面。

（1）目標：提升政府網站安全防護水平是政府部門信息化建設的驅動力。

（2）任務：建設全方位、整體化的網站安全防護體系，實現對網站系統的技術保障和管理規范。

（3）內容：從域名、內容、人員、設備、應急監測等方面進行規劃部署，保障網站安全建設工作有效開展。

國家和地方政府的法規制度從頂層設計上對于網站安全的整體規劃和布局給出了指導和建議。但具體到一個單位的信息化建設工作，還需要具體的、有針對性的、可操作的、有落實性的標準、指南或規范來具體指導網站系統的安全設計、建設和運營保障工作。

GB/T 22239-2008《信息系統安全等級保護基本要求》標準是針對信息系統的一個通用類的安全基線標準，它以分級分域分層的方式給出了一個信息系統應該滿足的基本安全要求。本文要重點闡述的GB/T 31506-2015《政府門戶網站系統安全技術指南》是2016年中國國家標準化管理委員會發布的政府網站領域第一個技術類的專用標準。總結該標準有三個特點。

（1）重點從網站面臨的典型安全威脅出發，突出了相關防護技術，如網頁篡改、服務中斷、網頁掛馬、信息竊取等。

（2）從網站的行政級別、訪問量、注冊用戶數以及業務重要度出發，根據安全防護需求的不同，將網站分為基本和增強兩個級別，分別給出相應的技術控制措施。

（3）從物理環境、網絡通信、系統、終端、數據及應用等十一個方面，全方位提出安全保護要求，并強調對系統建設方、開發方及運維方的具體指導作用。

5《政府門戶網站系統安全技術指南》主要內容解讀

《政府門戶網站系統安全技術指南》的目標對象是政府網站以及對外提供服務的信息系統，以滿足政務業務多樣化的形勢需求。標準約束范疇不局限于政府網站的建設模式，既適用于通過自建機房、購買設備和開發應用程序方式來建設的網站系統，同時兼容采用虛擬化或云計算模式部署的網站應用。標準范圍覆蓋十一大方面，如圖1所示，從層面防護和整體防護兩個維度，給出基本級和增強級兩種安全要求供讀者適度選擇。

標準內容最關注的核心問題反應在幾個方面。

5.1 可控運行是安全基礎

政府網站安全工作最基本的目標是保證系統的可控運行，即性能穩定、服務可控、數據完整及內容規范等。因此標準從運行支撐、分層防護、綜合防范、安全監控和應急響應等五個方面，給出整體層面的防護要求；同時，標準還結合網站特點，區別與其他內部應用系統的特殊性，從物理安全、邊界安全、主機安全、終端安全、應用安全、域名安全、數據安全和網站內容等方面給出分層防護要求，內容覆蓋網站設計、建設和運行的基本安全功能，如圖2所示。

標準內容針對政府網站的建設運行模式明確了政府部門的管理和監督職責；邊界防護方面，在網絡邊界、安全域邊界的基礎上，著重強調網站與業務系統之間加強數據邊界安全防護的重要性；無論是服務器、數據庫和網站運行所需依托的其他軟件，其安全性的核心都是操作系統的安全配置和對惡意代碼的防范；網站應用安全和對域名的管理有著網站系統區別與其他業務類信息系統的特殊性，標準從網站內容編輯與審核、系統管理和域名管理人員的身份控制和行為追述等方面出發，提出加強網站Web層抗風險能力的安全要求。

5.2 內容安全是工作核心

網站內容的合法性、合規性以及合理性關乎政府的聲譽，直接影響著公眾對于政府的信任程度。因此，為保證網站內容的規范可控，標準在內容安全方面提出了由編制、審核、批準、發布和管控等環節組成的閉環安全管理體系，如圖3所示，以及包括終端編制、內容檢查、發布受控和在線監測等內容的基于權限控制的全流程安全防護機制。

標準中“終端安全”指出：限制網站編輯、發布和管理終端的外聯行為，并加強終端接入的管控和惡意代碼檢查，保證網站內容的完整性；“內容發布安全”指出：網站內容應由授權人員審核、批準后才能對外發布，且內容編輯、審核與發布的權限應被分離，以保證內容的合法性和可控性；“安全監控”指出：應對網站狀態、網頁內容進行動態監控、實時過濾，以便及時發現網站內容被掛名或篡改等安全事件。

5.3 數據安全是重要保障

近年來頻繁爆發的信息泄露事件，說明網站數據的使用、存儲、轉移等方面的防護措施仍然薄弱，網站被脫庫或撞庫后導致大量敏感信息和個人隱私信息被泄露和丟失。標準從信息采集、傳輸、使用、存儲和備份等全過程給出數據安全技術措施，如圖4所示。

標準內容強調通過提高編碼規范性和安全性來降低網站信息在采集輸入階段帶來的安全風險，同時標準中“數據安全”指出涉及個人信息、隱私信息、法人和組織敏感信息的應采取密碼保護技術和權限控制措施等，來保證隱私和敏感信息的加密傳輸和數據使用過程的不可抵賴，以及數據存儲后的完整性和保密性等，并利用數據備份的有效性降低網站內容遭受攻擊的安全成本。

6 我國政府網站安全工作的相關建議

標準牽頭起草單位在國家互聯網信息辦公室和全國信息安全標準化技術委員會的支持和指導下，從省級、地方、華北、西部等區域內選擇了七家政府單位開展標準應用示范工作。本文總結出實施過程中收獲的經驗和遇到的挑戰，建議從幾方面推進政府網站安全工作。

6.1 以“三同步原則”為基本指導思想

政府網站安全工作應落實三同步原則，以“同步規劃、同步建設、同步使用”為基本指導思想，本著“誰主管、誰負責”的工作理念落地執行，在信息系統生命周期各階段明確責任部門及安全職責，在全過程中推行安全同步原則，強化安全工作前移，降低運維階段的服務成本和資金壓力等。應在政府門戶網站規劃設計之出，將標準中的技術要求和安全檢測等內容作為網站安全工作需求提出，并在系統建設時依照安全需求部署實施，同時在系統上線前及時開展安全驗收、滲透測試、源代碼審核等工作，最大程度上減少網站在安全防護方面的整改費用和難度。同時將針對網站的監測、預警和處置等作為日常運營的常態工作，也會降低網站安全事件發生帶來的社會影響和造成的經濟損失。

6.2 政府網站監管評價機制亟待完善

在國務院辦公廳政府信息與政務公開辦公室組織開展的全國政府網站抽查工作中，安全保障效果已作為政府網站績效評估指標之一，但所占比例不高，尚未引起政府網站運營者的高度重視和對網站安全保障工作的資金、人力等資源投入。但從評價結果來看，已將主機風險控制、網站漏洞防護等方面的安全控制工作納入日常運維管理中的網站運營單位，在績效評比中均取得了優異的成績，例如“首都之窗”依據國家標準對門戶網站進行防護和檢測，在第十五屆中國政府網站績效評比中蟬聯省級政府網站評估第一名[5]，榮獲省級網站評估績效第一名。因此，建議各地網信部門和政府門戶網站運營者通過行政指令等方式，將國家標準作為安全檢查工作開展的有力工具和網站安全評價工作的重要依據。

6.3 研究檢查評估方法，促進安全工作落地

標準針對政府網站安全提出了具體的技術要求和量化指標，以及應達到的安全效果和防護水平，但在實際應用中還需要結合網站建設工作所處的信息化發展水平，從研究可實現的安全措施出發，制訂切實可行的安全評估工作指南，包括檢查要點、檢測工具使用以及定性定量相結合的網站安全風險分析方法等。工作指南將便于政府網站建設使用單位更清晰、準確地理解國家政策標準的要求，促進網站安全自查或檢查工作的有效開展；幫助網站運營監管部門全面準確地評價網站安全風險，為加強網站安全建設管理工作提供實踐依據。

6.4 人才隊伍建設是安全工作的核心保障

我國政府網站信息化工作中普遍存在人員數量不足、技術能力有限等客觀問題，網站運營者缺少可靠的技術團隊來配合支撐政策執行、標準應用等工作，無法快速、準確地理解標準內容，難以保障網站安全工作的有序推進。因此，通過建立自身技術團隊或者依托外部技術力量來加強人才隊伍建設，增強安全防范意識水平，是支撐網站安全保障工作和提高網站安全防護水平的基本前提。

7 結束語

隨著云計算、大數據、物聯網、移動互聯網、智慧城市等新技術的發展和應用，政府網站的運營模式、訪問形式、業務形態等都在發生著改變，因此關于政府網站安全防護的政策規定及相關標準規范等也需要隨之完善。目前，亟需關注的有政府網站如何安全遷入云環境，移動互聯應用下的政府網站如何安全運營等方面的政策標準制定；同時傳統的安全防護產品已經無法滿足在虛擬化技術下提供服務，因此云上網站安全防護產品和服務的選擇和使用，以及基于云計算的政府網站安全測評要求等方面的相關標準研制也需要引起進一步地關注。

參考文獻

[1] 國家計算機網絡應急技術處理協調中心.2017年中國互聯網網絡安全報告[M].北京： 人民郵電出版社，2018.

[2] GB/T 31506-2015政府門戶網站系統安全技術指南[S].

[3] GB/T 22239-2008信息系統安全等級保護基本要求[S].

[4] 劉海峰.政務信息系統安全測評應用指南[M].北京： 中國質檢出版社，2013.

[5] 中國軟件評測中心.第十五屆中國政府網站績效評估總報告[EB/OL]. http：//www.cstc.org.cn/wzpg2016/zbg/pgbg_detail.jsp？id=128308，2017.