電子政務系統中信息安全技術的應用

褚春燕

（南京市信息中心，江蘇 南京 210000）

當前，我國電子政務系統建設速度很快，政府機構在公文往來、資料存儲和服務等環節都實現了電子化轉化，為單位處理各項事務帶來了便捷，豐富了政府服務內容，但也為不法分子利用技術手段竊取機密信息提供了途徑。電子政務系統具有虛擬化、集約化和開放性等特征，且系統的安裝也體現出大規模、復雜化等特點，讓系統面臨著各種信息安全問題。因此，為了進一步發展電子政務系統的作用，需要合理應用信息安全技術，確保電子政務工作的順利開展。

1 電子政務系統信息安全需求分析

1.1 電子政務概述

電子政務通過利用信息技術與通信技術，對管理、服務等進行信息化集成，在網絡環境下結合單位內部結構、業務流程進行完善與調整。電子政府能夠突破以往在時空、部門分割等方面的局限性，讓社會各界獲得更加透明化、規范化、優質高效的管理與服務[1]。電子政務是當前信息化建設中的重要內容，備受社會各界關注，為我國現代化建設夯實了基礎，也為政府部門加強管理提供了基礎，有利于服務質量、效率等提升。對電子政務系統來說，也是一種借助計算機處理各類信息的系統，在安全服務內容上要達到鑒別、訪問、控制等要求，讓數據更加完整，避免出現泄密問題，能夠滿足抵賴性等要求。因為電子政務有著虛擬與開發的特點，主要應用了網絡信息技術，這對相關系統建設提出了很高要求，特別是反映在安全性方面，當前在系統建設標準與規范上還未真正統一，也缺少能夠互聯互通的平臺。基于此，只有充分分析系統在信息安全方面的需求，明確相關安全評估標準，才能提升電子政務系統運行效率。

1.2 電子政務系統信息安全需求

具體來說，在電子政務系統安全需求上，主要包括以下幾點：第一，鑒別。主要指在通信時有效鑒別對等實體與數據來源，即對用戶身份的鑒別，不僅能夠實現抗抵賴要求，也提高了安全服務水平。電子政務與企業甚至個人等信息安全密切相關，只有保證安全防護措施到位，才能為推動電子政務正常運行奠定基礎。在傳輸交易信息的環節，確保國家、企業以及個人在參與政務時可以獲得可靠標識。第二，訪問控制。主要針對OSI可訪問資源非授權使用提供有力保護，實施相應的訪問控制機制，避免出現非授權資源訪問現象，解決了非法信息存取問題[2]。第三，數據機密性。主要具備數據保護功能，消除非授權泄露風險。電子政務信息與國家、企業等信息安全密切相關，必須重點關注信息存取與信息傳輸期間被非法竊取現象。應用數據機密性與防控控制技術，能夠解決非法竊取機密信息問題。第四，數據完整性。重點應對主動威脅，讓數據更加完整與可靠，只有獲得授權的用戶才能存取、修改數據。為達到數據完整性要求，主要采取控制聯網終端與服務器物理環境、限制數據訪問、落實嚴密的驗證機制等方法。此外，應該解決信息隨意生成、修改以及刪除等問題，避免在數據傳輸中出現信息丟失、重復等情況，達到規范信息傳送秩序的目的。第五，抗抵賴性。主要包括有數據原發證明與有交付證明的抗抵賴性，防止發送者或接收者謊稱未發送、接收數據的情況。要如實記錄數據審查結果，為后續審計提供依據，避免用戶出現抵賴現象。

2 電子政務系統中常見的信息安全技術

2.1 加密技術

加密技術主要應對互聯網環境下信息安全保障，在應用數據加密技術的過程中，能夠讓信息傳輸的安全性有一定基礎，并始終維持數據傳輸完整性。這項技術通常涉及數據傳輸與存儲過程的加密等內容，且數據加密算法也多種多樣，其中密碼算法標準化作為現在的一種主流模式，也是當前保密通信領域研究中關鍵內容。在數據加密技術發展歷史中，主要包括古典密碼、對稱密鑰密碼與非對稱密鑰密碼等，其中，第一種算法分為替代加密、置換加密等；第二種算法分為DES與AES；第三種算法分為RSA、背包密碼等。當前數據通信領域一般采用DES算法、RSA算法以及PGP算法等。加密算法發展至今已經有很多種類，且各自在可靠性與效率上表現不同，在電子政務系統中引入加密技術，需要根據實際情況進行選擇，確保一些重要數據的機密性與完整性。

2.2 鑒別和認證技術

要想讓信息在傳輸過程中達到安全和完整的要求，以及滿足不可抵賴性要求，除了要準確鑒別用戶身份是否真實，更應該建立有較強權威性、公正性以及可信任的機構[3]。該機構主要對電子政務相關主體頒發和管理數字證書，如CA認證機構，能夠避免出現信息交互參與者的身份與資信認定等問題。只有擁有CA認證中心頒發的數字證書，才能確保信息交互參與各方在身份上是真實可靠的。利用數字證書，也能讓敏感信息得到加密與簽名，有力保證了信息的真實性與可靠性，也達到保密的要求。數字簽名技術以公開密鑰加密技術為核心，可以對發送方標識進行驗證，讓其數據完整性得到保護。數字簽名并非在技術層面上的實現，是利用多種加密技術組合的解決方案，在現階段電子政務中應用最多的一種電子簽名手段，不僅技術非常成熟，且具有較強的可操作性。在數據簽名技術中通過規范的程序與科學的手段，能夠有效鑒定簽名人身份，并認可電子數據內容。此外，數字簽名技術還可以驗證文件原文傳輸時是否出現變動情況，真正達到電子文件傳輸的真實性、完整性以及不可抵賴性等要求。

2.3 訪問控制技術

在20世紀60年代，訪問控制技術逐步發展起來，主要借助某種途徑準許或限制訪問權利與范圍。借助訪問控制服務的方式，能夠在訪問某些重要資源上進行限制，有效避免非法用戶入侵的現象，并防止合法用戶由于操作失誤引起的破壞現象[4]。訪問控制在當前信息安全理論方面占有重要地位，具體包括自主訪問控制、強制訪問控制以及基于角色的訪問控制等。考慮到當前電子政務系統的實際特征，以角色為基礎的訪問控制技術將表現出更加顯著的優勢，且應用前景也極為廣闊。這種技術主要原理是直接為角色授予相應的權限，并非是直接授予主體，主體根據角色分派獲得客體操作權限，最終達到授權的目的。角色與主體相比在電子政務系統中的穩定性更強，也更加直觀，能夠讓信息安全管理人員原本復雜的工作流程得到簡化。

3 電子政務系統中信息安全技術的具體應用

3.1 重要信息控制

通過對電子政務系統進行數據控制能夠避免攻擊者通過政務系統管理主機攻擊其他機器，這樣的行為通常不能杜絕，只能相應減少。在政務內部網中可以通過掃描、探測和連接方式管理主機，但由主機進行的掃描、探測、連接需要網絡安全系統有條件放行[5]。針對數據包出現異常的情況，系統管理員應該及時制止，如圖1所示。在電子政務系統數據控制中，主要采取防火墻技術與信息監測系統。為避免出現電子政務系統管理主機被當成跳板對其他系統造成攻擊現象，需要加大管理主機外連接數控制力度，只能在規定時間對相應數量數據包進行發送[6]。防火墻的作用在于設置單向或雙向的地址連接，其中前者為一方到另一方資料訪問被禁止，而后者是數據訪問能夠正常進行。應用狀態監測數據包過濾技術并非只是利用單個IP包進行過濾，其重點是分析并監控所有對話與連接，使系統內能夠達到自動維護當前狀態的效果，并結合連接狀態讓IP包及時得到過濾。在控制管理主機對外連接的過程中，若其連接數達到設定的數量限值，將對后續連接進行阻斷，避免管理主機受到攻擊后成為“跳板”，且全部出入系統連接需要有日志記錄。

圖1 數據控制示意圖

3.2 基礎設施建設

一方面，應急響應。通過設置安全應急小組，在網絡中出現突發事件后可以盡快響應，避免業務出現停頓的情況，也解決非法入侵為數據帶來的安全問題，同時解決主頁被黑帶來的問題。在數據出現被破壞的現象后，要合理選擇有效技術措施進行恢復。要對安全人員加大培訓力度，確保電子政務系統出現突發事件時能夠及時有效進行處理，同時對法入侵人員能夠進行追蹤。另一方面，災難恢復。主要是指在電子政務系統出現災難的情況時，能夠通過本地或遠離災難現場的地方設置備份系統，為系統運行與恢復業務創造有利條件。在災難恢復過程中，關鍵在于讓數據保證完整性，有效減少電子政務數據出現丟失與被非常竊取的現象，相關業務工作能夠盡快恢復，最大限度地減少業務停頓時間，有效避免出現業務被中斷的現象。

3.3 注重數據備份與安全監控

在電子政務系統運行過程中，會受到硬件設施設備自然老化、外界因素帶來的損壞等影響，不利于系統功能的正常發揮，需要不斷優化工作環境，將各項防范措施做到位，能保證系統硬件設備設施的順利運行。例如，針對電磁波輻射與泄露等問題，需要及時對電子政務系統相關設備進行檢驗與維修，確保硬件設施始終維持最佳工作狀態[7]。同時要為電子政務系統提供安全運行環境，減少各種自然災害對重要設備帶來的破壞。通過防盜安全設備的應用，及時對關鍵數據進行備份，解決數據丟失與泄露等問題，同時將數據保密措施要到位。在電子政務系統中還可以設置安全網閘，這是一種可控的網絡隔離方式，同時系統登錄密碼要采取隱式記錄的方法，并實時監控配置更改情況。

3.4 系統VPN設計

通過發揮VPN的作用，能夠在系統連接的各個政府單位中形成虛擬隧道，讓不同政務網之間的訪問能夠處于同一個專用網絡中。在VPN支持下，當政務網用戶處于外網環境時，也能同內網一樣對政務專用網資源進行訪問并達到政務網中一些特殊管理要求[8]。VPN的建立主要包括以下形式：一是由網絡服務商建設，對企業透明；二是由政府部門建設，對ISP透明；三是由ISP與政府部門一起建設。政務網以VPN為基礎，一般考慮第二種方案，主要原因是政務網為地理范圍在政務網內的計算機網絡，具備在網絡中運行的公網IP地址，包括專門的路由設備，也有相應的網絡管理與維護機構，能夠擁有自主管理權。在政務網層面設計VPN，可以減少對ISP的依賴，政府部門能夠獨立完成建設，享有更多自主性，也能大幅度減少資金投入。

4 結束語

總之，電子政務系統主要應用現代信息技術，是一種提供信息服務與處理等功能的平臺，在當前很多政府機關、企業以及社會公眾等層面應用非常廣泛。政府一般需要履行經濟管理、市場監管、社會管理以及公共服務等職能，也對需要用到電子政務系統，才能有效整合各項職能，實現電子化與網絡化發展，為政府管理工作質量與效率提供保障。因此要想讓電子政務系統運行更加有效，需要充分應用各種信息安全技術，確保系統在存儲與傳輸數據時更加安全可靠?！?/p>