基于云計算的政務信息系統安全防護體系研究

李靜，孫睿

華信咨詢設計研究院有限公司，浙江 杭州，310051

0 引言

隨著互聯網、云計算和大數據等為代表的信息通信技術在各行各業的普及應用，以及社會信息化應用程度不斷加深，政務信息系統由傳統的“各自為政、資源分散、信息孤島”開始向加快推進政務信息系統整合共享的方向發展，基于云計算的政務信息系統能夠滿足未來政務應用的需要，但由于技術、資金和管理等方面的限制，目前政務信息系統的整體網絡安全防護水平還比較薄弱，需全面加強網絡安全防護體系和能力建設，切實維護好網絡空間安全。

1 云計算助力政務信息系統整合發展

政務信息化是政府機構在經濟和社會信息化的背景下，應用現代信息和通信技術，將管理和服務通過網絡技術進行集成，在信息網絡上實現政府組織結構和工作流程的優化重組，超越時間、空間與部門分隔的限制，全方位地向社會提供優質、規范、透明、高水準的管理和服務[1]。我國政務信息系統長期以來普遍存在信息系統數量繁多、信息孤島嚴重、數據資源分散、資源交換困難、安全形勢嚴峻等問題，2015年以來自從積極推進“互聯網+”行動、“大數據”行動綱要以及政務信息系統整合共享實施方案等，我國政務信息系統建設開始進入到一個新的階段[1]。

基于云計算的政務信息系統，通過解耦合基礎軟硬件資源、數據資源、應用軟件及中間件等關系，可以有效解決傳統政務信息系統“煙囪式”架構在數據缺乏共享、安全漏洞不可控、管理工作繁雜分散等方面的不足，從技術上降低信息共享和業務協同的難度。因此政府各部門可以基于統一的標準規范和工程規劃，采用共同的技術和管理基礎架構，按照系統業務的閉環管理要求對各部門業務流程進行全面梳理和優化重構，統籌各政務信息系統間的軟硬件資源，構建“以基礎資源環境為基礎、以數據資源能力為核心，以業務服務能力為目標”的基于云計算的政務信息系統體系設計。①集成網絡設備、服務器設備、存儲設備、負載均衡設備等完成建設計算服務、數據存儲、負載管理、數據備份等基礎資源池化的云計算基礎資源環境，軟硬件資源及信息資源的共建共享將有利于促進政府各部門之間或部門內部的政務信息系統整合，為促進數據共享和業務協同創造條件；②對數據資源的統一集中管理，如統一的元數據庫、基礎數據庫及身份認證、訪問控制、數據挖掘等管理服務，奠定最重要的數據資源能力；③統籌業務服務管理體系，對門戶服務、郵件服務、辦公與管理、財務管理、政務服務、監測分析預警等進行業務整合并及流程再造，將業務操作模塊化、邏輯化、流程化，做到最終模塊高可復用性、應用更加高效性的目標。基于云計算的政務信息系統體系架構如圖1所示。

圖1 基于云計算的政務信息系統體系架構

2 基于云計算的政務信息系統網絡安全威脅越發復雜嚴峻

基于云計算的政務信息系統在打通數據互通共享、提高系統運行效率、促進業務協同發展、集約建設和節約投資等方面起著重大推動作用，但缺乏有效網絡安全防護的政務信息系統安全風險日趨復雜和嚴峻，根據國家計算機網絡應急技術處理協調中心（CNCERT）發布的《2020 年中國互聯網網絡安全報告》統計，隨著業務不斷上云，發生在我國云平臺上的網絡安全事件或威脅數量居高不下：一是發生在我國云平臺上的各類網絡安全事件數量占比仍然較高，其中云平臺上遭受大流量DDoS攻擊的事件數量占境內目標遭受大流量DDoS攻擊事件數量的74%，被植入后門網站數量占境內全部被植入后門網站數量的88.1%，被篡改網站數量占境內全部被篡改網站數量的88.6%。二是攻擊者經常利用我國云平臺發起網絡攻擊，其中云平臺作為控制端發起DDoS攻擊的事件數量占境內控制端發起DDoS攻擊的事件數量的81.3%，作為木馬或僵尸網絡惡意程序控制端控制的IP地址數量占境內全部數量的96.3%，承載的惡意程序種類數量占境內互聯網上承載的惡意程序種類數量的83.3%[2]。所以目前我國的云平臺仍是各類網絡攻擊的重災區，云平臺的網絡安全態勢非常嚴峻。

與此同時，我國遭受有組織有目的的網絡攻擊形勢愈加明顯，已成為跨國APT組織的重點攻擊目標，如“海蓮花”、“奇幻熊”、“黑店”、“Lazarus”等APT 組織利用魚叉攻擊、水坑攻擊及遠程漏洞等攻擊手段，持續對我國的政府部門及重點企事業單位等目標進行網絡竊密攻擊，且攻擊方式越來越復雜，涉及軍工、外交、金融、能源、電信等眾多領域的方方面面；另外勒索病毒、數據泄露、安全漏洞等網絡安全威脅日益凸顯，如《2020 年中國互聯網網絡安全報告》中統計：CNCERT在2020年捕獲勒索病毒78.1萬余個，較2019年同比增長6.8%，勒索病毒持續活躍；累計監測并通報聯網信息系統數據庫存在安全漏洞、遭受入侵控制，以及個人信息遭盜取和非法售賣等重要數據安全事件3000余起；國家信息安全漏洞共享平臺（CNVD）2020年收錄安全漏洞數量共計20704個，繼續呈上升趨勢，同比增長27.9%[2]，鑒于我國的政務信息系統已成為境內外黑客組織攻擊的重點目標，受到網絡安全威脅越發復雜和嚴峻，給網絡安全防護工作帶來更多的壓力和挑戰。

3 基于云計算的政務信息系統安全防護體系架構

基于云計算的政務信息系統安全防護體系架構的構建需要在滿足國家法律法規和標準體系的前提下，以等保2.0或者關保的安全防護框架為依據和參考，根據基于云計算的政務信息系統的基礎資源環境及所承載業務系統數據等對安全防護體系的整體需求，強化協同共享，構建一套圍繞基于云計算的政務信息系統中基礎資源環境、數據資源能力和業務服務能力的“一體防護”安全防護體系架構，逐步形成基于云計算的政務信息系統的安全防護制度、標準和體系，基于云計算的政務信息系統安全防護體系架構如圖2所示。

圖2 基于云計算的政務信息系統安全防護體系架構

基于云計算的政務信息系統安全防護體系架構主要從安全防護政策及標準、安全防護技術措施、安全防護管理措施、安全防護測評檢查等四個方面進行闡述，并且注重突出全方位主動防御、安全可信和動態感知，建成政策標準先行、技術措施演進、管理措施提升、測評檢查落實的整體安全防護體系。

3.1 安全防護政策及標準

基于云計算的政務信息系統安全防護體系架構在安全防護政策及標準方面須在嚴格遵守《中華人民共和國網絡安全法》的基礎上，依據《網絡安全保護條例》、《關鍵信息基礎設施保護條例》、《貫徹落實網絡安全等級保護制度和關鍵信息基礎設施安全保護制度的指導意見》等法律法規，參照主要標準規范及具體要求，結合基于云計算的政務信息系統發展目標和安全防護整體要求，確定安全防護標準或定級標準，指導建設基礎資源環境、數據資源能力和業務服務能力等，抵御不斷出現的安全威脅與風險，構建安全、可信、可控的安全防護體系，并根據技術和管理發展需求不斷推動安全防護政策的出臺及安全防護標準的補充優化完善，才能保證基于云計算的政務信息系統長期、穩定、可靠的建設運營發展。

3.2 安全防護技術措施

安全防護技術措施主要從網絡架構設計、區域邊界防護、計算環境防護和安全管理中心四個部分組成。

（1）網絡架構設計。基于云計算的政務信息系統需要根據分區分域安全防護的原則，合理劃分網絡安全域，無論是單位機房網絡架構或者設備網絡架構在設計之初需要考慮網絡安全防護的需求，劃分為不同的物理安全域，或者是根據存儲數據的重要性，劃分出不同的邏輯安全域，安全域的大小或多少要以滿足應用和管理為目標，堅持“動態平衡”原則，但都要做好安全域之間的區域邊界防護，并綜合采用多層、多重保護的安全防護措施，達到層層防護、縱深防御的網絡架構設計目標。

（2）區域邊界防護。對各種進出物理或邏輯區域邊界的數據流量進行檢測檢查是安全防護體系架構設計的基本要求，可采運用訪問控制、入侵檢測和惡意代碼防范等對區域邊界進行安全控制；對進入和流出應用環境的信息流進行安全檢查，既可以保證應用系統中的敏感信息不被泄漏出去，同時也可防止應用系統遭受外界的惡意攻擊和破壞[3]。

（3）計算環境防護。是基于云計算的政務信息系統最根本的安全防護需求，是保障各部門業務數據存儲、應用計算、信息傳輸等計算服務資源和信息安全的根本保障，能確保基于云計算的政務信息系統的機密性和完整性，為云計算的正常運行和免遭惡意破壞提供支撐和保障。

（4）安全管理中心。是安全防護技術措施的“大腦”，是指導網絡架構設計，對區域邊界防護和計算環境防護進行整體監控管理、統一配置管理，感知安全防護技術措施的整體安全狀況信息，并且根據任一異常行為進行監測分析上報，并對整體網絡中的安全威脅進行集中檢測和響應，為構建完善的安全防護技術體系奠定基礎。

3.3 安全防護管理措施

安全防護管理措施主要從安全管理制度、安全管理機構、安全管理人員和安全運維管理四個部分組成。

（1）安全管理制度。制定安全管理制度和執行辦法，保障基于云計算的政務信息系統正常運行及各項安全防護措施落實到位，明確安全防護職責，規范安全防護行為，建立和維護良好的安全防護秩序，從整體上確保制度有序發揮管理效能。

（2）安全管理機構。對基于云計算的政務信息系統安全防護工作負責全面領導和組織責任，具體管理措施包括崗位配備、授權審批、溝通合作、審查核查等內容，是安全防護體系的組織保障。

（3）安全管理人員。配備專職的安全管理人員，包括對內部人員和外部人員進行安全管理，以及對內部人員的錄用、離崗、考核、安全培訓，對外部人員訪問管理，同時對管理人員進行安全技能和安全認知考核，提高安全管理的效率[4]，是安全防護體系的人員保障。

（4）安全運維管理。按照基于云計算的政務信息系統的機房管理制度、網絡安全管理制度、數據安全管理制度和應急預案制度等做好日常安全運維管理，并且在運維過程中不斷完善安全管理制度，是安全防護體系得以正常運轉的基本要求。

3.4 安全防護測評檢查

安全防護測評是評價基于云計算的政務信息系統的安全防護是否達到要求和標準，也為了更好檢驗提升其安全防護能力，需要基于安全防護測評要求或指南，按照測評前期準備、測評方案編制、現場測評、測評報告編制等流程，引入漏洞掃描及滲透測試等有關安全防護測評手段，檢驗其整體安全防護能力，協助安全管理人員快速查找解決各種潛在安全防護問題。

安全防護檢查可以定期或不定期檢查基于云計算的政務信息系統安全防護體系中的安全管理制度、安全防護技術措施、安全防護管理措施等是否一以貫之，也是確保安全防護體系持續得以落實和實施的強勁推力和根本手段。

4 結語

基于云計算的政務信息系統安全防護體系的建立仍面臨著諸多問題，需要在設計、建設、運維中加強對這些問題的分析研究，在汲取傳統網絡安全保護經驗的基礎上提升基于云計算的政務信息系統安全防護，不斷提升鞏固計安全防護技術，組織完善安全防護管理，強化安全態勢感知能力，升級安全防護機制，建立一套完整的基于云計算的政務信息系統安全防護體系，不斷增強我國的安全防護實力。